文章作者：刘汉华，贝聊高级运维工程师
什么是“LDAP”, 英文全称是Lightweight Directory Access Protocol，一般都简称为
通过LDAP我们可以实现:
1、所有相关系统都能接入
2、统一用户身份及安全管理
3、所有系统一个账号及密码
同时我们的上线实施操作，必须首先保证所有人工作不受影响。
下面是我们实施步骤介绍：
步骤一、 LDAP服务方案选择
选openldap ? 还是域控器AD呢？
1、Openldap 是ldap自由和开源的实现，但是我们在配置及使用发现很多不成熟，线上应用风险很大
2、LDAP实施工期紧，最后决定选用比较成熟的域控AD，来接入服务
下面是我选择域控的原因:
1、 域控便捷统一的管理
2、 成熟安全策略
3、 良好的冗余备份机制，支持主从冗余及备份快照
步骤二、域控LDAP接入的各种方案整理及完善
一句话就是要让我们用到的 sso、svn、cwiki、squid、vpn、maven、git、zabbix 等等能获取到ldap用户及组，并且保持原有权限不发生变化;
测试过程中我们采取另外部署的方式，避免影响线上用户。
不同的系统的LDAP接入方式
Oss后台系统是采用java代码支持,这里不再介绍,
下面仅介绍一下我们用到几种LDAP接入配置
Confluence wiki支持ldap接入配置，范例如下
Apache的支持，用于svn认证
Git的ldap支持
配置文件/etc/gitlab/gitlab.rb
pptp VPN支持ldap
Squid代理支持ldap
步骤三、 域控AD录入所有员工账号、密码及相应资料
1、 批量导入用户列表及用户密码初始化
A、 hr提供到的账号数据处理
B、 转换为命令行导入
域控支持Csvde –f 命令的方式
步骤四，继续按列表推进直至完成.
下面是实施过程进度安排表
实施过程的两要点:
1、 Confluence wiki等用户使用较多的系统，采取何种策略切换：
A、用户完全无感知，采用双轨制，新增账号接入ldap，原有账号不变
B、彻底一次性切换， 所有用户一切性切换为LDAP账号
让用户测试及验证，体会到LDAP接入统一化管理的好处
最终: 选择B策略
2、 SSO接入时各功能核对及测试
A、 为避免上线时用户体验不好，我们就把所有可能问题集中罗列、集中测试，确保无遗漏
回看整个实施过程，有不少风险与隐患, 这里对有价值实施部分作归纳，分享给大家:
1、 表格化的整体实施进度排期, 这方便我们对整个LDAP实施实战有了统一计划与管理
2、 技术备用方案是否充足? 这是实施顺利与否的关键，因为意外情况会导致整个实施受阻
3、 实施过程采用“灰度策略”, 这里我们是先小范围再大范围实施,最终能减少不良体验范围，让更多人有更好的体验
4、上线及发布文告
A、 文告内容不易懂或不清晰, 这会造成上线后会有大量用户同时找你沟通或求助
B、 文告内容展现，决定了在所有人心中印象与感知, 写好了就有画龙点晴的效果
有关之前及之后流程效果图如下:
之前流程
优化后流程
