通义灵码在企业环境中通常会开放LDAP认证入口，方便已经使用Windows AD域控的团队直接沿用现有账号体系。LDAP配置并不复杂，但域控地址、Base DN、绑定账号和用户过滤器这几个参数容易写错，导致用户在登录通义灵码时反复提示用户名或密码错误。本文基于Windows Server域控环境，说明从AD中获取参数到完成通义灵码LDAP集成的过程，并列出排错顺序。
一、LDAP与Windows AD之间的认证流程
LDAP（Lightweight Directory Access Protocol）是访问目录服务的标准协议，Windows AD域控通过LDAP暴露用户、组、组织单位等目录对象。通义灵码接入LDAP后，用户输入域账号和密码，通义灵码服务端会先用绑定账号连接AD域控，再根据用户过滤器搜索匹配的用户DN，最后用用户DN和输入的密码做一次绑定校验。整个流程分为三步：连接、搜索、认证。理解这个顺序有助于定位错误发生在哪个环节。
Windows AD通常使用389端口承载LDAP明文通信，使用636端口承载LDAPS加密通信。如果域控开启了“要求LDAP签名”或“要求LDAPS”，则必须使用636端口并正确配置TLS证书。很多认证失败表面上是密码错误，实际是连接参数或证书校验不通过。管理员可以在域控上用LDP工具或dsquery命令验证Base DN和用户过滤器，再将其填入通义灵码。
用户过滤器用于限定哪些AD对象可以登录。AD用户对象包含objectClass=user和objectClass=person，且通常有sAMAccountName属性。通用LDAP过滤条件可写成(&(objectClass=user)(sAMAccountName=%s))，其中%s是通义灵码替换登录名的占位符。过滤条件写错会导致搜索不到用户，表现为用户不存在或认证失败。
二、通义灵码LDAP集成配置步骤
管理员需要先在AD域控上准备一个专用绑定账号，并授予读取目录的权限。建议创建一个普通域用户，例如ldapbind，并将其加入Domain Users即可，不需要管理员权限。域控地址建议填写主机名或IP，参数格式如下：
LDAP地址：ldap.ipipp.com:389 绑定账号：CN=ldapbind,CN=Users,DC=example,DC=com 绑定密码：****** Base DN：DC=example,DC=com 用户过滤器：(&(objectClass=user)(sAMAccountName=%s))
这里注意Base DN要写域目录的搜索根，而不是某个用户的DN。如果用户对象集中在某个组织单位，例如OU=研发中心,DC=example,DC=com，也可以将Base DN缩小到该OU，但需要确认所有目标用户都在该OU下。绑定账号的DN需要通过ADSI编辑器或Active Directory用户和计算机的高级功能查看，不一定都在CN=Users下。
通义灵码控制台通常会提供“测试连接”按钮。建议先使用空过滤器或只按objectClass=user搜索，确认能列出用户后再替换为sAMAccountName过滤条件。若启用LDAPS，需要先将域控CA根证书导入到通义灵码服务器所在机器的受信任根证书颁发机构。证书管理可以通过运行certlm.msc打开，该工具位于C:\Windows\System32\certlm.msc。也可以使用命令行导入证书：
certutil -addstore -f Root C:\temp\ad-ca.cer
三、常见错误与解决方法
配置完成后登录失败，建议按以下顺序排查。先确认通义灵码服务器到域控的网络连通性，可以使用PowerShell的Test-NetConnection命令测试389或636端口。如果端口不通，检查Windows防火墙和企业安全组是否放行。域控默认防火墙策略可能只允许域内流量，需要在域控的Windows防火墙入站规则中允许TCP 389和636。
Test-NetConnection -ComputerName dc.ipipp.com -Port 389 Test-NetConnection -ComputerName dc.ipipp.com -Port 636
绑定失败通常因为绑定账号DN写错、密码过期或账号被禁用。检查绑定账号在Active Directory用户和计算机中是否启用，并且密码没有设置“下次登录必须更改密码”。如果是新建账号，需要先手动登录一次域控或清除该选项。用户查不到则要检查Base DN和用户过滤器，尤其注意过滤器中的与符号必须写成&，如果直接在配置界面输入&，可能被HTML或参数解析吃掉。
TLS证书报错常见原因是通义灵码服务器不信任域控的CA证书，或者证书中记录的服务器名称与LDAP地址不一致。使用636端口时必须填写证书对应的FQDN，不能临时使用IP地址，除非证书包含IP SAN。排查时可以在服务器上用浏览器或openssl工具查看证书链，确保证书有效期和吊销状态正常。管理员还可以检查域控组策略中的LDAP服务器签名要求，如果设为“要求签名”，则必须切换到LDAPS。
四、注意事项与安全建议
生产环境不建议使用明文LDAP，尤其当通义灵码服务器与域控跨网段部署时。若必须使用389端口，请至少启用LDAP签名，并通过防火墙限制来源IP。绑定账号应采用最小权限原则，不要使用域管理员账号。目录读取权限本质上只需对用户对象和属性的读取权限，授予过高权限会增加泄露风险。可以创建一个全局安全组，将ldapbind放入，并在目录安全中限制其只能读取。
用户过滤器应尽可能缩小范围，避免将所有用户对象开放给外部应用。例如只允许特定安全组成员登录时，可以写成(&(objectClass=user)(memberOf=CN=通义灵码用户组,OU=企业组,DC=example,DC=com))。需要注意memberOf属性过滤在部分AD环境中对主要组可能不生效，建议同时结合department或自定义属性。每次调整过滤器后，先用测试连接验证搜索结果。
最后，域控本身要启用审计，记录LDAP绑定失败和账号锁定事件。事件查看器中的安全日志位于C:\Windows\System32\winevt\Logs\Security.evtx，可通过筛选事件ID 4771、4625来追踪认证失败来源。通义灵码侧也应开启登录日志，便于与AD事件时间线做对照，快速确认是配置问题还是账号本身问题。
通义灵码LDAP集成Windows AD修改时间：2026-09-20 14:44:02