LDAP 集成故障排除
诊断和解决 IBM Bob 本地版的常见 LDAP 配置和同步问题。
使用下表诊断和解决常见的 LDAP 配置和同步问题。
故障排除
| 症状 | 可能原因和解决方案 |
|---|---|
LDAPReachable 为 False | 集群无法连接到 LDAP 服务器。验证 connectionUrl 值，并确认 LDAP 服务器可从集群的所需端口（LDAP 使用 389，LDAPS 使用 636）访问。检查网络策略、防火墙和 DNS 解析。 |
LDAPAuthenticated 为 False | 配置的 bindDn 或绑定密码不正确。验证凭证并重新应用配置。 |
LDAPUserSyncSucceeded 为 False | 用户同步失败或超时。验证 usersDn 和 customUserSearchFilter 值。对于大型目录，增加 BOB_IDP_WAIT_TIMEOUT 值并重试操作。 |
| 连接 LDAP 服务器时出现 TLS 错误 | CA 证书缺失、无效或与 LDAP 服务器证书不匹配。验证证书，必要时重新创建 ldapsCACertSecret。 |
| LDAP 用户可以验证身份但无法访问 Bob | 用户角色通过 SCIM 配置分配。确认登录成功完成，并等待最多五分钟以完成配置。 |
| 管理员用户没有管理员权限 | 验证用户是否属于通过 groupMapper 映射的 LDAP 管理员群组。或者，在 Keycloak 控制台中手动将用户添加到 bob-admins 群组。 |
| 直接 Keycloak 用户无法登录 | 用户账户可能已禁用或缺少凭证。在 Keycloak 管理控制台中打开用户记录，验证账户状态和凭证。 |
| LDAP 群组未出现在 Keycloak 中 | 验证 groupMapper.groupsDn 是否引用了正确的 LDAP 位置，以及群组条目是否包含已配置的 groupObjectClasses。 |
| 用户群组成员资格未解析 | 验证 LDAP 目录中是否填充了群组成员属性。根据你的配置，这可能是群组的 member 属性或用户的 memberOf 属性。 |
| 新添加的 LDAP 用户未出现在 Bob 中 | SCIM 配置可能失败。验证 bob-admin pod 是否正在运行，确认 BobIDP 资源报告 Ready: True，并让用户尝试初始登录以触发配置。 |
| Bob 管理 UI 显示"未找到客户端" | 用户的电子邮件域未包含在 BobIDP 资源的 domains 字段中。更新配置并重新运行 bobctl configure-idp。 |
| 从 LDAP 中移除的用户仍可访问 Bob | SCIM 取消配置事件未被处理。查看 bob-admin 日志，验证 Keycloak SCIM 插件是否正常工作，如有必要，在 Keycloak 中从 bob realm 手动删除用户。 |
收集诊断信息
如果你需要执行额外的故障排除或提交支持案例，请收集提供商状态和相关日志。
# IDP CR 状态
oc get bobidp bob-idp -n <instance-namespace> -o yaml > bobidp-status.yaml
# Operator 日志
oc logs -n <operator-namespace> deployment/ibm-bob-operator --tail=500 > operator.log
# Keycloak 日志（LDAP 连接和身份验证错误会显示在此处）
oc logs -n <instance-namespace> -l app=keycloak --tail=500 > keycloak.log在联系支持人员之前，请查看收集到的文件中的错误，并在任何支持请求中附上这些文件，以加快问题解决速度。
这个主题怎么样？