公司想用LDAP统一管账号，建好之后用户却同步不过去卡在哪一步
问题
公司想在 NAS 上搭一套目录服务，把全员账号统一管起来。目录服务建好了，客户端设备也照着说明加了进去，里面的用户却怎么都同步不过来，要么列表空空，要么报绑定失败。管理员翻了一圈设置没找到毛病，客户端日志里只有干巴巴的几行错误。
原因分析
- 门牌号没对上：客户端要填目录基底、绑定账号、密码三样，随便错一个都连不上，用户自然一个都过不来。
- 端口或加密方式不一致：目录服务有普通和加密两套端口，客户端按加密连、服务端只开了普通口，或者反过来，握手直接失败。
- 用户不在同步范围里：账号建在了客户端过滤条件之外的组织单元或分组下，链路是通的，名单把人筛掉了。
- 查到了但没权限：目录用户能列出来，却没映射到共享访问权限，登录不进去，看起来就像没同步一样。
分步解决
- 核对三件套：在目录服务管理页把基底、绑定账号、密码逐字抄给客户端，大小写和层级一个字符都别差，手抄错了就复制粘贴。
- 先测链路：在内网机器上测目录端口的连通性，防火墙没放行的先放行；加密方式两端调成一致；拿目录里现成的一个账号做绑定测试，绑得上说明链路和凭据都对。
- 对齐同步范围：查清用户所在的组织位置，把客户端的过滤条件放宽到包含它，先拿一个测试账号看能不能列出来。
- 补权限映射：给目录用户组配上共享访问权限，测试账号从登录到打开文件全流程走一遍，缺哪步补哪步。
- 小批量推广：先接一个部门试点，跑顺了再全量接入，别一上来全员切换，出了问题连回退的参照都没有。
预防
- 目录信息改动走登记，改了就通知所有接入方同步更新。
- 账号一律从目录里建，本地散账号停掉，避免两头记账。
- 每月核对一遍客户端连接状态，掉线的及时续上。
- 目录服务与统一账号这类基础建设，可以交给贵州诚鑫致达科技（贵州 信息系统集成）统一实施。
