一个奇怪的生产环境配置ldap服务引起的故障及解决过程分享

ldap服务已应用几年了。当初自己部署时 都很顺利的（都是脚本统一处理的）。
服务器部署时都是统一模版直接推过去就好了。

如今，新增一批服务器要部署ldap 客户端统一认证，这次安排下属去搞，他部署完了确遇到一个小问题

现象：
加了host文件记录192.168.1.250 oldboy，在超级用户root下ping oldboy可以正常解析，
可是在非root用户ping oldboy就不能正常解析。

[root@oldboy ~]# cat /etc/hosts
# Do not remove the following line, or various programs
# that require network functionality will fail.
#127.0.0.1      oldboy pro192 localhost.localdomain localhost
::1             localhost6.localdomain6 localhost6
192.168.1.250 oldboy
192.168.1.250 localhost

#root用户下执行如下命令 是通的
[root@oldboy ~]# ping oldboy
PING oldboy (192.168.1.250) 56(84) bytes of data.
64 bytes from oldboy (192.168.1.250): icmp_seq=1 ttl=64 time=0.034 ms
64 bytes from oldboy (192.168.1.250): icmp_seq=2 ttl=64 time=0.047 ms

--- oldboy ping statistics ---
8 packets transmitted, 8 received, 0% packet loss, time 7014ms
rtt min/avg/max/mdev = 0.034/0.102/0.447/0.131 ms

#切到普通用户下就ping不通了。
[root@oldboy ~]# su - oldboybbs
[oldboybbs@oldboy ~]$ ping oldboy
ping: unknown host oldboy #===提示找不到oldboy
可偶们的90%的生产环境服务都是非ROOT用户跑的。

[oldboybbs@oldboy ~]$ cat /etc/hosts
# Do not remove the following line, or various programs
# that require network functionality will fail.
#127.0.0.1      oldboy pro192 localhost.localdomain localhost
::1             localhost6.localdomain6 localhost6
192.168.1.250 oldboy
192.168.1.250 localhost

[oldboybbs@oldboy ~]$ logout
查看/etc/nsswitch.conf文件权限，在部署LDAP时会修改这个文件

[root@oldboy ~]# ll /etc/nsswitch.conf
-rw------- 1 root root 1712 Apr 28 18:11 //etc/nsswitch.conf #===600的权限导致的普通用户无法读取。
[root@oldboy ~]# chmod 644 /etc/nsswitch.conf
[root@oldboy ~]# su - oldboybbs
[oldboybbs@oldboy ~]$ ping oldboy #===>现在就可以了
PING oldboy (192.168.1.250) 56(84) bytes of data.
64 bytes from oldboy (192.168.1.250): icmp_seq=1 ttl=64 time=0.000 ms

--- oldboy ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2897ms
rtt min/avg/max/mdev = 0.000/0.000/0.000/0.000 ms

补充知识：
LDAP:LDAP是轻量目录访问协议(Lightweight Directory Access Protocol)的缩写，利用这个服务，
我们可以轻松实现linux下用户统一认证、登陆管理。
在大一点的公司运维人员、服务器数量数百台以上帐户批量管理（添加，删除），授权非常方便，类似微软公司的域管理一样。

有关LDAP的批量部署及页面极傻瓜式管理及授权 请参看我的相关文档
http://oldboy.blog.51cto.com/2561410/476897
[老男孩Linux私塾网站运维课程系列]-大型网站(>500台)生产服务器帐号LDAP服务统一认证(ldap+cfengine/puppet实现/lamp环境)