Аутентификация активного каталога с помощью python + ldap

Как выполнить аутентификацию с помощью AD с помощью Python + LDAP. В настоящее время я использую библиотеку python-ldap, и все, что она производит, это слезы.

Я не могу даже связать выполнение простого запроса:

import sys
import ldap


Server = "ldap://my-ldap-server"
DN, Secret, un = sys.argv[1:4]

Base = "dc=mydomain,dc=co,dc=uk"
Scope = ldap.SCOPE_SUBTREE
Filter = "(&(objectClass=user)(sAMAccountName="+un+"))"
Attrs = ["displayName"]

l = ldap.initialize(Server)
l.protocol_version = 3
print l.simple_bind_s(DN, Secret)

r = l.search(Base, Scope, Filter, Attrs)
Type,user = l.result(r,60)
Name,Attrs = user[0]
if hasattr(Attrs, 'has_key') and Attrs.has_key('displayName'):
  displayName = Attrs['displayName'][0]
  print displayName

sys.exit()

Выполнение этого с помощью [email protected] password username дает мне одну из двух ошибок:

Invalid Credentials - Когда я ошибаюсь или намеренно использую неправильные учетные данные, он не аутентифицируется.

ldap.INVALID_CREDENTIALS: {'info': '80090308: LdapErr: DSID-0C090334, комментарий: Ошибка AcceptSecurityContext, данные 52e, vece', 'desc': 'Недопустимые учетные данные'}

Или

ldap.OPERATIONS_ERROR: {'info': '00000000: LdapErr: DSID-0C090627, комментарий: для выполнения этой операции в соединении должно быть выполнено успешное связывание., data 0, vece', 'desc': "Ошибка операции" }

Что мне не хватает для правильной привязки?

Я получаю те же ошибки в Fedora и Windows.

Ответ 1

Мне не хватало

l.set_option(ldap.OPT_REFERRALS, 0)

Из init.

Ответ 2

Если вы открыты для использования pywin32, вы можете использовать вызовы Win32 из Python. Это то, что мы делаем на нашем веб-сервере CherryPy:

import win32security
token = win32security.LogonUser(
    username,
    domain,
    password,
    win32security.LOGON32_LOGON_NETWORK,
    win32security.LOGON32_PROVIDER_DEFAULT)
authenticated = bool(token)

Ответ 3

Это сработало для меня, l.set_option (ldap.OPT_REFERRALS, 0) был ключом для доступа к ActiveDirectory. Более того, я думаю, что вы должны добавить "con.unbind()", чтобы закрыть соединение до завершения script.

Ответ 4

Вот какой простой код, который работает для меня.

import ldap  # run 'pip install python-ldap' to install ldap module.
conn = ldap.open("ldaphost.company.com")
conn.simple_bind_s("[email protected]", "mypassword")

Это основано на предыдущем ответе.

Ответ 5

если у вас установлен Kerberos и разговаривает с AD, как это было бы, например, с установкой и запуском Centrify Express, вы можете просто использовать python-kerberos. Например.

import kerberos
kerberos.checkPassword('joe','pizza','krbtgt/x.pizza.com','X.PIZZA.COM')`

вернет True. Пользователь "joe" имеет пароль "pizza" в области Kerberos X.PIZZA.COM. (как правило, я думаю, что последнее будет таким же, как имя домена AD)

Ответ 6

Я вижу ваш комментарий к @Johan Buret о DN, не фиксирующем вашу проблему, но я также считаю, что это то, что вы должны изучить.

Учитывая ваш пример, DN для учетной записи администратора по умолчанию в AD будет: cn = Administrator, cn = Пользователи, dc = mydomain, dc = co, dc = uk - попробуйте это.

Ответ 7

Я попытался добавить

l.set_option (ldap.OPT_REFERRALS, 0)

но вместо ошибки Python просто зависает и больше не будет реагировать на что-либо. Возможно, я неправильно искал поисковый запрос, какова базовая часть поиска? Я использую то же, что и DN для простого связывания (о, и мне пришлось сделать l.simple_bind вместо l.simple_bind_s):

import ldap
local = ldap.initialize("ldap://127.0.0.1")
local.simple_bind("CN=staff,DC=mydomain,DC=com")
#my pc is not actually connected to this domain 
result_id = local.search("CN=staff,DC=mydomain,DC=com", ldap.SCOPE_SUBTREE, "cn=foobar", None)
local.set_option(ldap.OPT_REFERRALS, 0)
result_type, result_data = local.result(result_id, 0)

Я использую AD LDS, и экземпляр зарегистрирован для текущей учетной записи.

Ответ 8

У меня была такая же проблема, но речь шла о кодировке пароля

.encode('iso-8859-1')

Решил проблему.

Ответ 9

Используйте "Различающееся имя" для входа в систему. "CN=Your user,CN=Users,DC=b2t,DC=local" Он должен работать в любой LDAP-системе, включая AD

Ответ 10

Если это часть веб-сервиса, предназначенного для аутентифицированных пользователей, этот вопрос может представлять интерес.

Ответ 11

Для меня переход от simple_bind_s() в bind() сделал трюк.

Ответ 12

На основе отличного учебника по ldap3:

>>> from ldap3 import Server, Connection, ALL, NTLM
>>> server = Server('server_name_or_ip', get_info=ALL)
>>> conn = Connection(server, user="user_name", password="password", auto_bind=True)
>>> conn.extend.standard.who_am_i()
>>> server.info

Я сделал выше в Python3, но он должен быть совместим с Python 2.