Python+LDAP+SSL

Добрый день.

Заранее извиняюсь за мой английский, мои национальные форумы и ресурсы не помогли.

Понадобился скрипт, меняющий (или создающий) пароль пользователя в AD.

Изучив вопрос, стало ясно, что

  1. Пароль назначать или менять можно только для установки зашифрованного соединения с сервером
  2. Присылать пароль нужно только в кодировке utf-16-le

В общем со вторым проблем нет, а вот с первым есть проблемы

$ python ldap-test-starttls.py 
Traceback (most recent call last):
  File "ldap-test-starttls.py", line 9, in <module>
    l.simple_bind_s( "cn=admin,ou=users,dc=test,dc=ru", "password" )
  File "/usr/lib/python2.7/dist-packages/ldap/ldapobject.py", line 206, in simple_bind_s
    msgid = self.simple_bind(who,cred,serverctrls,clientctrls)
  File "/usr/lib/python2.7/dist-packages/ldap/ldapobject.py", line 200, in simple_bind
    return    self._ldap_call(self._l.simple_bind,who,cred,EncodeControlTuples(serverctrls),EncodeControlTuples(clientctrls))
  File "/usr/lib/python2.7/dist-packages/ldap/ldapobject.py", line 96, in _ldap_call
    result = func(*args,**kwargs)
 ldap.SERVER_DOWN: {'info': 'A TLS packet with unexpected length was received.', 'desc': "Can't contact LDAP server"}

Код скрипта

import ldap
host = 'ldaps://ldap:636'
l = ldap.initialize(host)
l.set_option( ldap.OPT_X_TLS_DEMAND, True )
l.set_option( ldap.OPT_DEBUG_LEVEL, 255 )
username = 'someUser'
new_pass = 'ne$wP4assw0rd3!'
new_password = ('"%s"' % new_pass).encode("utf-16-le")
l.simple_bind_s( "cn=admin,ou=users,dc=test,dc=ru", "password" )
mod_attrs = [(ldap.MOD_REPLACE, 'unicodePwd', new_password)],[( ldap.MOD_REPLACE, 'unicodePwd', new_password)]
l.modify_s('CN=%s,dc=users,dc=test,dc=ru' % username, mod_attrs)
l.unbind_s()
print "Successfully changed password."

Скорее всего кто-то уже решал подобную проблему. Да, скрипт работает на Centos и использовать py32win невозможно.

Заранее спасибо.


python ssl active-directory python-ldap
person ellerseer    schedule 10.10.2011    source источник

Ответы (2)


arrow_upward
33
arrow_downward

Изучив его больше, я смог найти решение:

ldap.set_option(ldap.OPT_X_TLS_REQUIRE_CERT, ldap.OPT_X_TLS_NEVER)
l = ldap.initialize("ldaps://ldap:636")
l.set_option(ldap.OPT_REFERRALS, 0)
l.set_option(ldap.OPT_PROTOCOL_VERSION, 3)
l.set_option(ldap.OPT_X_TLS,ldap.OPT_X_TLS_DEMAND)
l.set_option( ldap.OPT_X_TLS_DEMAND, True )
l.set_option( ldap.OPT_DEBUG_LEVEL, 255 )
l.simple_bind_s("[email protected]","password")
person ellerseer    schedule 18.10.2011
comment
Первая строка в этом ответе - та, которая сделала это для меня. Не знаю, насколько остальные нужны остальным. Похоже, это необходимо для отключения TLS, чтобы вы действительно использовали SSL. (Если это то, что вы хотели) - person SpiRail; 18.09.2012
comment
Привет, я пытался с вашим ответом, но не повезло. Я разместил свой вопрос stackoverflow .com/questions/38603236/ если вы можете помочь - person Kartik Domadiya; 27.07.2016

arrow_upward
1
arrow_downward

Я также думаю, что OPT_X_TLS_NEVER отключит TLS, поэтому, пожалуйста, не используйте его.

set_option(ldap.OPT_X_TLS_NEWCTX, ldap.OPT_ON): LDAP_OPT_X_TLS_NEWCTX должен быть вызван после вызова ldap_set_option() для установки атрибутов TLS, если он вызывается до установки атрибутов (как в текущем коде), тогда атрибуты TLS не копируются в новый TLS-контекст.

так что мое решение

l = ldap.initialize("ldaps://ldap:636")
l.set_option(ldap.OPT_REFERRALS, 0)
l.set_option(ldap.OPT_PROTOCOL_VERSION, 3)
l.set_option(ldap.OPT_X_TLS,ldap.OPT_X_TLS_DEMAND)
l.set_option(ldap.OPT_X_TLS_DEMAND, True)
l.set_option(ldap.OPT_DEBUG_LEVEL, 255)
# This must be the last tls setting to create TLS context.
l.set_option(ldap.OPT_X_TLS_NEWCTX, ldap.OPT_ON)
l.simple_bind_s("[email protected]","password")

@см. python-ldap/issues/55

@see введите здесь описание ссылки

person WheelChen    schedule 12.05.2020