麒麟 Kerberos / LDAP 域环境怎么接入

结论先行

接入 Kerberos/LDAP 域，麒麟侧做的是「装客户端组件 + 写配置 + 验证」，域侧（KDC、LDAP 服务器）策略不变。最容易翻车的两个前提：时钟必须同步（Kerberos 对时钟差敏感）与网络通（DNS 解析 KDC/LDAP 服务），这两个没到位，后面配置再对也通不了。

接入步骤

1. 前提确认：

   • 时间同步正常（NTP/chrony，另见「服务器时间同步」篇）——Kerberos 默认对时钟差容忍有限，差超阈值直接拒绝认证。
   • DNS 能解析域域名与 KDC/LDAP 主机（另见 DNS 规划篇）。
   • 参考条目：高级服务器 V11 x86-64、高级服务器 V11 arm64。

2. 装客户端组件：Kerberos 客户端（krb5 套件）、LDAP 客户端（openldap 客户端工具），按条目软件源安装。

3. 写配置：

   • Kerberos：域（REALM）、KDC 地址、默认 realm 写入 /etc/krb5.conf。
   • LDAP：服务器地址、基础 DN、TLS 要求写入 nsswitch/SSSD 类组件配置（按发行版接入文档）。

4. 验证：

   kinit 域用户            # 拿票成功再试
   klist
   id 域用户               # LDAP 解析是否生效

注意

• 具体接入工具链（如 sssd 类组件是否预置）以条目页/厂商文档为准，按 麒麟镜像列表 条目说明确认。
• 域侧加入（注册主机等）走域管理员流程，麒麟侧只是客户端配置。
• 时钟偏大时先修时间再查其他，能省一半排查时间。

拿不准的域策略（加密类型、ticket 有效期）以域侧文档为准，别在客户端侧猜参数。

相关链接

• 高级服务器 V11 arm64
• 高级服务器 V11 x86-64
• 麒麟镜像列表