如何跟踪 LDAP 身份验证失败？

Question

1) 我有一个可以工作的 LDAP 服务器，我已经确认它可以与 LDAP 客户端一起使用，通过 jumpbox 在 ec2 上运行。

2）我已经运行 authconfig 来设置基于 ldap 的身份验证，以指向服务器：

authconfig --useshadow --enablesssd --enablesssdauth --enablesssdauth --passalgo=sha512 --enableldap --ldapserver=my.ldap.server --ldapbasedn='ou=users,o=Directory' --enablecachecreds --enablelocauthorize --update --enableldapauth

3) 但是，LDAP 登录失败：

[root@m2 ~]# su bsmith su: 用户 bsmith 不存在

为了调试，我尝试验证尽可能多的 ldap 组件。这是来自我的客户端机器的一些数据：

1) 我的 /etc/nsswitch.conf 列表中似乎有 ldap：

passwd:     files sss ldap
shadow:     files sss ldap
group:      files sss ldap

2）另外，我检查了/etc/pam_ldap.conf，最后似乎有正确的内容：

# SASL mechanism for PAM authentication - use is experimental
# at present and does not support password policy control
#pam_sasl_mech DIGEST-MD5
uri ldap://my.ldap.server/
ssl start_tls
tls_cacertdir /etc/openldap/cacerts
pam_password md5

如何调试客户端中的登录/身份验证路径以找出登录失败的位置以及客户端无法登录的原因？

Answer 1

我认为/var/log/secure正如/var/log/messages@sami 在上面的帖子中提到的那样。另请检查此守护进程是否已启动并正在运行“nscd 和 nslcd”。

请同时检查以下配置..！
/etc/nslcd.conf：

uid nslcd
gid ldap
# This comment prevents repeated auto-migration of settings.
uri ldap://ldap.da.com
base dc=da,dc=com
ssl start_tls
tls_cacertdir /etc/openldap/cacerts