如何配置SVN服务端实现基于LDAP的用户域认证口令

SVN对接LDAP：两种主流模式实现域用户统一认证

SVN服务端想要对接LDAP实现域用户统一认证，核心思路其实很简单：让SVN跳过本地密码文件（passwd），转而调用LDAP服务器来验证用户身份。实践中有两种主流模式可选：一种是基于svnserve + SASL，适用于传统的svn://协议访问；另一种是基于Apache + mod_ldap，适用于HTTP/HTTPS访问。两者都依赖LDAP服务可用、网络连通、权限账号配置正确，才能顺畅跑起来。

在动手配置之前，有几项准备工作需要先确认清楚。

确认LDAP服务与基础环境

首先，得确保LDAP服务器（比如OpenLDAP或Windows AD）本身已经稳定在运行，并且能从SVN服务器上通过ldapsearch或testsaslauthd这类工具正常连通。以下这些关键信息需要提前整理好：

• LDAP服务器地址与端口（例如 ldap://192.168.10.5:389 或 ldaps://...）
• 绑定DN和密码（建议使用只读专用账号，比如 cn=svnbind,dc=example,dc=com）
• 用户搜索基准（baseDN，比如 ou=People,dc=example,dc=com）
• 用户唯一标识属性（通常为 uid 或 sAMAccountName）
• 用户密码对应属性（比如userPassword或unicodePwd，如果是AD环境，需要注意对TLS/SSL的支持要求）

方式一：svnserve + SASL（推荐用于内网svn://协议）

这种方式不依赖Apache，轻量直接，特别适合传统SVN客户端（如TortoiseSVN、命令行工具）通过svn://协议访问的场景。具体怎么做？来，一步一步拆解：

• 安装SASL组件：yum install -y cyrus-sasl cyrus-sasl-lib cyrus-sasl-plain cyrus-sasl-ldap
• 修改/etc/sysconfig/saslauthd配置文件，将MECH设为ldap
• 创建/etc/saslauthd.conf，填入LDAP连接参数（注意缩进和换行，这些小细节容易踩坑）：

  ldap_servers: ldap://192.168.10.5
    ldap_bind_dn: cn=svnbind,dc=example,dc=com
    ldap_bind_pw: your_secure_password
    ldap_search_base: ou=People,dc=example,dc=com
    ldap_filter: (uid=%U)
    ldap_password_attr: userPassword

• 创建/etc/sasl2/svn.conf，指定校验方式：

  pwcheck_method: saslauthd
    mech_list: plain login

• 重启saslauthd服务，并用testsaslauthd -u testuser -p 'xxx'命令测试一下连通性
• 编辑SVN仓库下的conf/svnserve.conf，启用SASL：

  [sasl]
    use-sasl = true

  同时，注释或删除password-db = passwd这一行，避免本地密码文件造成干扰。

方式二：Apache + mod_ldap（推荐用于https://访问及Web集成）

这个方案更灵活，支持HTTPS加密、单点登录扩展，还能实现更细粒度的组策略控制，特别适合企业级Web前端访问场景。配置要点如下：

• 启用必要模块：在Debian/Ubuntu系统上执行a2enmod ldap authnz_ldap；在RHEL/CentOS上确认mod_ldap.so和mod_authnz_ldap.so已正常加载。
• 在VirtualHost或Location配置段中，加入LDAP认证指令，示例配置如下：

  AuthType Basic
    AuthName "SVN Repository"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://192.168.10.5/ou=People,dc=example,dc=com?uid?sub?(objectClass=posixAccount)"
    AuthLDAPBindDN "cn=svnbind,dc=example,dc=com"
    AuthLDAPBindPassword "your_secure_password"
    Require ldap-user

• 如果需要更精细的权限控制，可以用Require ldap-group cn=svn-devs,ou=Groups,dc=example,dc=com来限制只有特定LDAP组的用户才能访问。
• 别忘了注释掉本地密码文件的配置行：#AuthUserFile /path/to/passwd
• 最后重启Apache：systemctl restart httpd（或apache2）

权限控制仍由authz管理

需要特别说明的是，无论采用哪种LDAP接入方式，SVN自身的权限分配（读、写、路径级控制）依然是通过authz文件来完成的。LDAP只负责回答“你是谁”这个问题，而“你能做什么”这件事，还得由authz说了算。

具体配置时，在authz文件中使用LDAP用户名（比如testuser）或组名（比如@dev-team）来显式授权：

• [groups]
    dev-team = testuser, alice, bob

• [repo:/trunk]
    @dev-team = rw
    * = r

有一点值得留意：如果使用Apache方式，并且启用了AuthLDAPGroupAttributeIsDN off，那么authz中的组名需要与LDAP中cn属性的值严格一致；如果设置为on，则需要填写完整的DN。这块细节容易出错，配置时最好仔细核对一下。