IMC用户信息解除LDAP绑定后如何重新绑定

删除该本地账号 → 重新 LDAP 同步（推荐，标准流程）

前提：AD 里这个域账号还正常存在，LDAP 服务器、同步策略配置完好

1. 先记录这个账号上的配置：所属分组、在线限制、安全策略、接入服务权限等（删除后配置会清空）
2. 在接入用户页面，注销 / 删除这条已经解绑、变成本地的账号
3. 进入：【用户】→【接入策略管理】→【LDAP 业务管理】→【同步策略配置】，找到对应 AD 的同步策略，点击【同步】H3C
4. 同步完成后，AD 里同名账号会作为全新 LDAP 账号重新导入 EIA，LDAP服务器认证=是，恢复 LDAP 绑定状态
5. 把分组、限速、策略等配置补回去

⚠️重点：同步策略里面有个选项：【同名账号处理】

• 如果策略设置：同名覆盖：同步的时候会直接覆盖这条本地账号，不用手动删账号；
• 如果策略是：跳过同名：同步会忽略这条账号，不会重新绑定，这就是很多人同步完不生效的原因！

✅ 排查点：打开同步策略，检查【同名账号处理】，改成覆盖再同步。

方案二：保留账号、修改后台标记（不推荐，风险操作，仅应急）

不删账号，直接改数据库标记，不建议生产随便操作，不适合常规运维 EIA 界面没有 UI 入口给本地账号重新关联 LDAP DN，这个绑定关系存在数据库表中，需要开 400 工单，由 H3C 售后工程师后台修改 user 表内 ldap_dn、ldap_server 字段，把账号和 AD 里对应的 DN、LDAP 服务 ID 重新关联。 风险：版本升级、补丁后容易异常，不建议自行操作数据库。

方案三：使用【第三方认证】方式替代（变通方案）

账号保留本地，在用户修改页面开启【启用第三方认证】，选择 LDAP 服务器； 区别：

• 真正 LDAP 同步账号：账号属性（姓名、邮箱、密码）由 AD 同步维护，EIA 不能改密码
• 开启第三方认证的本地账号：账号本身是本地账号，只把密码校验转发给 LDAP，属性不同步，不是原生 LDAP 同步账号，界面上也不会显示LDAP服务器认证=是，只是密码走 LDAP 校验，和原来的同步账号不是同一个模型。

常见踩坑点

1. 同步完账号还是本地、LDAP 标识不变：就是同步策略【同名账号处理 = 跳过】，EIA 发现已经存在同名本地账号，直接跳过导入，不会覆盖绑定；
2. AD 账号和 EIA 账号账号名大小写、后缀不一致，同步匹配失败；
3. 解除绑定之后，该账号历史审计日志会保留；删除再同步的新账号是一条新记录，审计日志是分开的，如果审计连续性要求高，不要删除账号，走方案二工单。

快速操作顺序总结（日常运维首选）

1. 进入 LDAP 同步策略 → 修改策略：同名账号处理 = 覆盖
2. 执行手动同步
3. 刷新接入用户列表，查看该账号是否变回 LDAP服务器认证=是
4. 如果依旧不变，说明策略没生效，就删除这条本地账号，再次同步