【外置】LDAP 接入与验证推荐

# 接入边界

外置 LDAP 由企业维护用户、组、成员关系、复制和备份。Ambari Plus 只验证连接、同步目录对象、识别管理员组并下发组权限，不创建或删除企业 LDAP 对象。

# 1. 选择外置 LDAP

进入 权限与审计 → LDAP 目录与权限 → 选择目录来源，选择“接入外部 LDAP”。

选择接入外部 LDAP

# 2. 填写连接

最新版外置 LDAP 连接页

配置项	示例
LDAP 地址	`ldaps://ldap.example.com:636`
备用地址	`ldaps://ldap-backup.example.com:636`
Base DN	`dc=example,dc=com`
Bind DN	`uid=svc-ambari,ou=users,dc=example,dc=com`
用户搜索 Base	`ou=users`
用户名属性	`uid`
用户组搜索 Base	`ou=groups`
用户组名称属性	`cn`
成员属性	`member`

使用 LDAPS 时上传企业 CA 链；使用 LDAP 389 时启用 StartTLS。Bind 密码只在当前页面输入并由平台密文保存，不写入文档或 Stack 默认值。

# 3. 先从集群节点验证

openssl s_client -connect ldap.example.com:636 \
  -servername ldap.example.com -showcerts </dev/null

ldapsearch -x -H ldaps://ldap.example.com:636 \
  -D 'uid=svc-ambari,ou=users,dc=example,dc=com' -W \
  -b 'dc=example,dc=com' '(objectClass=*)' dn

1
2
3
4
5
6

# 4. 准备管理员身份

向导“管理员准备”步骤填写企业 LDAP 中已经存在的管理员用户和管理员组，并执行校验。平台不需要知道该管理员用户的日常登录密码；用户登录时使用自己的 LDAP 密码，平台根据管理员组授予管理权限。

管理员用户：platform-admin
管理员组：ambari-admins

1
2

# 5. 预览并执行

确认连接、同步规则、管理员用户/组和已安装消费者后执行。完成后打开 LDAP 目录控制台：

外置 LDAP 接入完成

验收项：

当前接入方式为外置 LDAP，Provider 状态可用；
用户和用户组数量非零；
管理员用户可使用自己的 LDAP 密码登录；
外置用户和组页面为只读；
Ranger Usersync、Knox、Hue 等消费者使用同一用户名和组。

用户和组维护、组授权及组件验证见外置 LDAP 用户、用户组与授权验证。

#LDAP #LDAPS #Ranger #权限与审计

← 【托管】OpenLDAP 高可用部署【外置】用户、用户组与授权验证→