OpenLDAP 标准建设：正确创建业务管理员账号（彻底区分底层Root超级账号与业务管理员账号）

OpenLDAP 标准建设：正确创建业务管理员账号（彻底区分底层Root超级账号与业务管理员账号）

适用环境：银河麒麟V10 SP3、OpenLDAP 2.4.50、OLC动态配置、MDB数据库

标签：#OpenLDAP #LDAP规范架构 #业务管理员 #信创运维 #账号权限分离

系列专栏：银河麒麟V10 OpenLDAP 从零部署实战系列

越简单越容易翻车，好多小伙伴喜欢用老的CentOS安装方式和麒麟比较，认为都是通用的，结果高高兴兴去安装，慌慌张张去还原。其实OpenLDAP没有变，而是使用习惯发生了变化，早期ldap简单所以没有必要分业务账号和超级账号，现在业务复杂了，不分不行了，才发现，OpenLDAP本身就有这个功能，于是乎一顿炒作猛如虎，一进目录都没有，怎么办呀，跑了三年的用户数据都没了，黑客攻击了，外星人劫持了，没给娃买鸡捞面，紧张美食全部涌入大脑。

不必惊慌！解法如下：

一、前言（为什么必须单独建业务管理员？）

绝大多数新手部署 OpenLDAP 存在一个致命不规范：

直接使用 olcRootDN 超级账号（cn=admin,dc=xx）做日常业务管理、系统对接、用户增删改。

这在生产环境是严重违规、高危操作，存在以下巨大风险：

• 超级账号权限过大，可直接篡改 LDAP 底层配置、删除整库

• 业务系统、运维脚本直接绑定超级账号，一旦泄露后果毁灭性

• 无法做权限最小化管控，不符合等保权限分离要求

• 所有操作日志都是超级账号，无法审计具体业务操作行为

企业生产标准规范：底层超级账号只用来维护服务，日常运维、用户管理、系统对接一律使用「业务管理员账号」。

二、OpenLDAP 两种管理员身份终极说明（核心重点）

2.1 底层超级管理员（olcRootDN）

该账号写死在 cn=config 配置中，属于数据库级超级权限，不属于业务目录树条目。

• 默认示例：cn=admin,dc=mynewldap,dc=local

• 权限：不受ACL限制、拥有全库所有权限

• 用途：仅用于修改LDAP底层配置、模块加载、故障应急

• 禁止：业务登录、系统对接、日常用户管理

2.2 业务管理员（本文重点）

业务管理员是业务目录树内的普通实体账号，受ACL权限控制，权限可大可小，完全可控。

• 用途：日常新增用户、修改用户、删除用户、密码重置、业务系统绑定

• 权限：仅管理业务用户目录，无法修改 LDAP 底层 config 配置

• 安全：即使泄露，无法破坏底层服务架构，符合最小权限原则

三、市面上两种业务管理员架构对比（深度分析）

目前网络上存在两种业务管理员搭建方案，很多人混淆，本文一次性讲透优劣。

3.1 方案一：业务管理员放在根域（传统方案）

DN示例：cn=admin,dc=mynewldap,dc=local

优点：

• 全网通用、教程最多、适配所有开源系统

• 配置简单，无需复杂ACL适配

致命缺点：

• 管理员账号游离在用户OU之外，目录结构混乱

• 无法统一做子树权限控制、审计规则不统一

• 不符合企业组织架构分层思想

3.2 方案二：业务管理员归入 users 业务OU（生产规范方案·推荐）

DN示例：uid=admin,ou=users,dc=mynewldap,dc=local

核心优势（生产环境首选）：

• 结构绝对规范：所有业务账号（管理员+普通用户）统一在 ou=users 下

• 权限统一可控：只需对 ou=users 子树配置ACL，即可统一管控所有业务账号

• 审计干净统一：所有业务操作DN都在同一分支，日志筛选、行为追溯零混乱

• 完全权限分离：底层超级账号、业务管理员彻底割裂

• 可扩展极强：后期可扩展多部门OU、分级管理员

唯一小缺点：部分老旧系统默认根域admin，需要手动修改绑定DN。

四、生产最终规范结论

信创生产、等保环境、企业规范化建设，强制使用：

uid=admin,ou=users,dc=mynewldap,dc=local 作为唯一业务管理员

olcRootDN 超级账号全程封存，不用于日常操作

五、规范搭建完整实操（OU + 业务管理员 + 权限）

5.1 第一步：创建标准业务用户OU（必须先创建）

所有业务账号统一归属该目录，杜绝散乱账号。

vim create_ou_users.ldif

# create_ou_users.ldif
dn: ou=users,dc=mynewldap,dc=local
objectClass: top
objectClass: organizationalUnit
ou: users
description: 统一业务用户目录，包含普通用户、业务管理员

ldapadd -x -D "cn=admin,dc=mynewldap,dc=local" -w "123456" -f create_ou_users.ldif

5.2 第二步：创建标准业务管理员账号

先生成加密密码（禁止明文）：

slappasswd -s Aa123456

复制 {SSHA}xxxx 密文，替换下方文件。

假如生成密码是{SSHA}JA8DlmNOwunhpaCbcmjYzSEFkc7GnaaZ

vim business_admin.ldif

# business_admin.ldif
dn: uid=admin,ou=users,dc=mynewldap,dc=local
objectClass: top
objectClass: inetOrgPerson
cn: 业务管理员
sn: Admin
uid: admin
#userPassword: {SSHA}此处替换为你的密文
userPassword: {SSHA}JA8DlmNOwunhpaCbcmjYzSEFkc7GnaaZ
description: 标准业务管理员，负责用户增删改查、业务系统对接，无底层配置权限

ldapadd -x -D "cn=admin,dc=mynewldap,dc=local" -w "123456" -f business_admin.ldif

5.3 第三步：配置ACL权限（授予业务管理员管理全站用户权限）

默认新建的业务管理员没有任何权限，必须配置ACL策略赋予管理权限。

vim acl_business_admin.ldif

dn: olcDatabase={2}mdb,cn=config
changetype: modify
add: olcAccess
olcAccess: to dn.subtree="ou=users,dc=mynewldap,dc=local"
by dn="uid=admin,ou=users,dc=mynewldap,dc=local" write
by self write
by * read

ldapmodify -Y EXTERNAL -H ldapi:/// -f acl_business_admin.ldif

六、权限策略说明

• 业务管理员：对 ou=users 所有用户拥有增删改写权限

• 普通用户：可修改自身信息、密码

• 匿名/其他主体：仅可读，不可修改

• 业务管理员无法修改 cn=config 底层配置，权限完全隔离

七、验证业务管理员权限

使用业务管理员账号登录查询用户：

ldapsearch -x -D "uid=admin,ou=users,dc=mynewldap,dc=local" -w "Aa123456" -b "ou=users,dc=mynewldap,dc=local"

可正常查询、新增、修改、删除用户即为配置成功。

就是能看到自己的userPassword就对了。

也可以使用第三方软件查看

八、生产环境最终运维规范（必看）

九、架构总结

本文彻底解决了 OpenLDAP 新手最核心的架构不规范问题：超级账号与业务账号混用。

通过「独立OU + 业务管理员下沉用户目录 + ACL精准授权」，搭建出企业级标准LDAP身份架构，为后续批量用户管理、权限分级、日志审计、等保测评、业务系统对接打下绝对规范的基础。

💡 点赞收藏，后续更新：LDAP批量用户管理、分级管理员、密码安全策略、完整等保加固