用 sssd 统一管理 Linux 账户：LDAP 接入

发布时间:2026-07-11 15:12

## 概念是什么 服务器一多，账号管理就会失控：新同事入职要逐台开账号，离职要逐台回收，口令策略各机不一。sssd 是系统上的安全服务守护进程，让机器从集中目录服务获取账号信息，账号在目录里建一次，全部机器生效，本地不再维护一份影子口令副本。 ## 背后原理 sssd 把目录服务的账号数据缓存在本机，登录时先查缓存，必要时再去目录验证。这个缓存带来两个关键特性：目录服务不可达时已登录过的用户仍能完成认证，机器不会因目录抖动集体锁死；解析账号的请求由 sssd 代理，避免了每个进程直接查询目录造成的连接风暴。 ``` realm join --user=admin ldap.example.internal realm list id zhang.san ``` ## 最小实操 主流发行版用 realm 一条命令完成接入：指定有加入权限的目录账号，命令自动写好 sssd 配置、拉入证书、切换名称服务指向。接好后用 id 验证目录用户在本机已可见，登录一次确认口令链路正常，最后配置家目录自动创建，否则用户登录后落在根目录。 ## 常见错误 目录不可达时新用户首次登录会失败，这是缓存的边界，要让关键运维账号保留本地兜底。sudo 权限忘记同步，账号能登录但干不了活，sudo 规则也要从目录下发或在配置里统一指向。时钟不同步会破坏认证协议，接入前先确认 NTP 正常。顺云云服务器批量接入时先拿一台验证完整流程，再脚本化铺开，避免半接入状态堆积。 接入后的运行观察也有套路：sssd 自身的状态查询能看到缓存命中率与后端延迟，目录响应变慢时先看它，区分是网络慢还是目录服务器忙。离线缓存的有效期参数按安全要求设定：缓存太久意味着离职账号短期内仍可登录，太短则失去离线兜底的意义，典型折中是数小时到一天。多域或信任关系复杂的目录，接入前把域后缀搜索顺序配置明确，避免跨域解析用户名时的歧义。