Ldap авторизация в Django

Вопрос ldap авторизации в Python довольно хорошо рассмотрен. Теперь разберем, как привязать эту авторизацию к Django.
Первый вариант в рамках компании будет регистрация на сайте с django путем авторизации в ldap.
Другой вариант - полная интеграция авторизации ldap в джанго, но тогда все преимущества групп и контроля доступа теряются, если только не получать эту дополнительную информацию от ldap или других источников.
Третий, наиболее гибкий вариант. Отсутствие регистрации. Логиним пользователя - ищем его профиль в auth у Django - если его нет, создаем, если есть - то используем найденный профиль (если пароль в Django не совпадает с ldap паролем - обновляем его).

Давайте пойдем по третьему пути.

Для начала подготавливаем Django. У нас будет расширенный стандартный Django User, так как после авторизации пользователя в ldap мы еще получим его данные с корпоративной базы mssql.

Устанавливаем python-ldap:

view plainprint?

1. $ sudo apt-get install python-ldap  

$ sudo apt-get install python-ldap

Прописываем в settings.py:

view plainprint?

1. LDAP_DOMAIN='mydomain.com'    
2. LDAP_SERVER='ldaps://%s' % LDAP_DOMAIN #SSL connection  

LDAP_DOMAIN='mydomain.com'  
LDAP_SERVER='ldaps://%s' % LDAP_DOMAIN #SSL connection

Правим файл auth.py:

view plainprint?

1. # -*- coding: utf-8 -*-  
2.   
3. from django.conf import settings  
4. from django.contrib.auth.backends import ModelBackend  
5. from django.core.exceptions import ImproperlyConfigured  
6. from django.db.models import get_model  
7. from social.models import CustomUser   
8.   
9. class CustomUserModelBackend(ModelBackend):  
10.       
11.     def get_local_user(self, email, password=None):  
12.               
13.         try:  
14.             user = self.user_class.objects.get(email=email.lower())  
15.             if user.check_password(password):  
16.                 return user  
17.             else:  
18.                 self.exist_user=user#save user for refresh local data  
19.         except self.user_class.DoesNotExist:  
20.             return None  
21.   
22.     def get_ldap_refresh_create_user(self, username=None, password=None):  
23.         import ldap, sys  
24.           
25.         #create new local user  
26.         if '@' in username:  
27.             #user@domain  
28.             LDAP_USERNAME=username  
29.             username=username.split('@')[0]  
30.         else:  
31.             #user  
32.             LDAP_USERNAME='%s@%s' % (username, settings.LDAP_DOMAIN)  
33.           
34.         LDAP_PASSWORD=password  
35.   
36.         try:    
37.              # build a client    
38.              ldap_client = ldap.initialize(settings.LDAP_SERVER)    
39.              # perform a synchronous bind    
40.              ldap_client.simple_bind_s(LDAP_USERNAME, LDAP_PASSWORD)  
41.         except ldap.INVALID_CREDENTIALS, e:    
42.              return False  
43.         except ldap.SERVER_DOWN, e:    
44.              return False#@todo raise Validation error  
45.           
46.         #lpad auth succes:  
47.           
48.         #try to get local user  
49.         user=self.get_local_user(LDAP_USERNAME, password)  
50.           
51.         if user:#if we check user in localbase  
52.             return user  
53.         else:#else create new or refresh old pass   
54.             if hasattr(self, 'exist_user'):  
55.                 #refresh local auth data from ldap in case of change pass  
56.                 self.exist_user.set_password(password)  
57.                 self.exist_user.save()#write new pass  
58.                 user=self.exist_user  
59.             else:  
60.                 user=CustomUser.objects.create_user(username,LDAP_USERNAME,password)  
61.                   
62.             return user  
63.       
64.     def updape_user_info(self, user):  
65.         pass  
66.            
67.     def authenticate(self, username=None, password=None):  
68.         #try to auth with ldap  
69.         #and refresh user data in success or create new one if user does not exist  
70.         user=self.get_ldap_refresh_create_user(username, password)  
71.         if user:  
72.             self.updape_user_info(user)#get data from mssql  
73.             return user  
74.         else:  
75.           return None# error ldap auth  
76.           
77.     def get_user(self, user_id):  
78.         try:  
79.             return self.user_class.objects.get(pk=user_id)  
80.         except self.user_class.DoesNotExist:  
81.             return None  
82.  
83.     @property  
84.     def user_class(self):  
85.         if not hasattr(self, '_user_class'):  
86.             #self._user_class = get_model(*settings.CUSTOM_USER_MODEL.split('.', 3))  
87.             self._user_class = CustomUser  
88.             if not self._user_class:  
89.                 raise ImproperlyConfigured('Could not get custom user model')  
90.         return self._user_class  

# -*- coding: utf-8 -*-

from django.conf import settings
from django.contrib.auth.backends import ModelBackend
from django.core.exceptions import ImproperlyConfigured
from django.db.models import get_model
from social.models import CustomUser 

class CustomUserModelBackend(ModelBackend):
    
    def get_local_user(self, email, password=None):
            
        try:
            user = self.user_class.objects.get(email=email.lower())
            if user.check_password(password):
                return user
            else:
                self.exist_user=user#save user for refresh local data
        except self.user_class.DoesNotExist:
            return None

    def get_ldap_refresh_create_user(self, username=None, password=None):
        import ldap, sys
        
        #create new local user
        if '@' in username:
            #user@domain
            LDAP_USERNAME=username
            username=username.split('@')[0]
        else:
            #user
            LDAP_USERNAME='%s@%s' % (username, settings.LDAP_DOMAIN)
        
        LDAP_PASSWORD=password

        try:  
             # build a client  
             ldap_client = ldap.initialize(settings.LDAP_SERVER)  
             # perform a synchronous bind  
             ldap_client.simple_bind_s(LDAP_USERNAME, LDAP_PASSWORD)
        except ldap.INVALID_CREDENTIALS, e:  
             return False
        except ldap.SERVER_DOWN, e:  
             return False#@todo raise Validation error
        
        #lpad auth succes:
        
        #try to get local user
        user=self.get_local_user(LDAP_USERNAME, password)
        
        if user:#if we check user in localbase
            return user
        else:#else create new or refresh old pass 
            if hasattr(self, 'exist_user'):
                #refresh local auth data from ldap in case of change pass
                self.exist_user.set_password(password)
                self.exist_user.save()#write new pass
                user=self.exist_user
            else:
                user=CustomUser.objects.create_user(username,LDAP_USERNAME,password)
                
            return user
    
    def updape_user_info(self, user):
        pass
         
    def authenticate(self, username=None, password=None):
        #try to auth with ldap
        #and refresh user data in success or create new one if user does not exist
        user=self.get_ldap_refresh_create_user(username, password)
        if user:
            self.updape_user_info(user)#get data from mssql
            return user
        else:
          return None# error ldap auth
        
    def get_user(self, user_id):
        try:
            return self.user_class.objects.get(pk=user_id)
        except self.user_class.DoesNotExist:
            return None

    @property
    def user_class(self):
        if not hasattr(self, '_user_class'):
            #self._user_class = get_model(*settings.CUSTOM_USER_MODEL.split('.', 3))
            self._user_class = CustomUser
            if not self._user_class:
                raise ImproperlyConfigured('Could not get custom user model')
        return self._user_class

Функция updape_user_info на самостоятельное написание, она должна дописывать необходимую расширенную информацию.

ps. прозрачная авторизация в принципе возможна, но только с IE, можете попробовать.