python LDAP 获取全部用户 python操作ldap

一、ldap3库和python-ldap两者区别：

python-ldap 主要是对OpenLDAP 的封装，同时也支持LDIF, LDAPURLs, LDAPv3。它用C+Python实现，提供的接口偏向过程。支持Python2和3。社区活跃。

ldap3 支持LDAP V3。用纯Python实现，提供的接口更偏向对象。支持Python2和3。社区活跃。

如果是对LDAP V3协议进行支持，那么我推荐使用ldap3，写起来爽。看GitHub上Star数就多了不少。

如果是对其他协议进行支持，那么就是用python-ldap。

 

二、ldap3 实战开发

ldap3 官网 ： https://ldap3.readthedocs.io/en/latest/

Ldap3 库使用方法-完整版

以下是代码汇总版：

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import json
from ldap3 import ALL_ATTRIBUTES
# 注意：ldap3库如果要使用tls（安全连接），需要ad服务先安装并配置好证书服务，才能通过tls连接，否则连接测试时会报LDAPSocketOpenError('unable to open socket'
# 如果是进行账号密码修改及账户激活时，会报错：“WILL_NOT_PERFORM”
from ldap3 import Connection, NTLM, Server
from ldap3 import MODIFY_REPLACE


server1 = Server("adtest.com", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
LDAP_SERVER_POOL = [server1]
SERVER_USER = 'adtest\\administrator'
SERVER_PASSWORD = "XXXXXXX"

class AD(object):
    '''    AD用户操作    '''
    def __init__(self):
        '''初始化'''
        self.conn = Connection( #配置服务器连接参数
            server=LDAP_SERVER_POOL,
            auto_bind=True,
            authentication=NTLM,  #连接Windows AD需要配置此项
            read_only=False,  #禁止修改数据：True
            user=SERVER_USER,#管理员账户
            password=SERVER_PASSWORD,
        )

        self.leaved_base_dn = 'ou=Leaved,dc=adtest,dc=intra'#离职账户所在OU
        self.active_base_dn = 'ou=测试部门,dc=adtest,dc=intra'#正式员工账户所在OU
        self.search_filter = '(objectclass=user)'#只获取【用户】对象
        self.ou_search_filter = '(objectclass=organizationalUnit)'#只获取【OU】对象

    def users_get(self):
        '''获取所有的用户'''
        self.conn.search(search_base=self.active_base_dn,search_filter=self.search_filter,attributes=ALL_ATTRIBUTES)
        res = self.conn.response_to_json()
        res = json.loads(res)['entries']
        return res

    def OU_get(self):
        '''获取所有的OU'''
        self.conn.search(search_base=self.active_base_dn,search_filter=self.ou_search_filter,attributes=ALL_ATTRIBUTES)
        res = self.conn.response_to_json()
        res = json.loads(res)['entries']
        return res

    def create_obj(self,dn,type,attr=None):
        '''
        新建用户or 部门，User需要设置密码，激活账户
        :param dn: dn = "ou=人事部3,ou=罗辑实验室,dc=adtest,dc=intra"  # 创建的OU的完整路径
                   dn = "cn=张三,ou=人事部3,ou=罗辑实验室,dc=adtest,dc=intra"  # 创建的User的完整路径
        :param type:选项：ou or user
        :param attr = {#User 属性表，需要设置什么属性，增加对应的键值对
                        "SamAccountName": "zhangsan",  # 账号
                        "EmployeeID":"1",    # 员工编号
                        "Sn": "张",  # 姓
                        "name": "张三",
                        "telephoneNumber": "12345678933",
                        "mobile": "12345678933",
                        "UserPrincipalName":"[e-mail]",
                        "Mail":"[e-mail]",
                        "Displayname": "张三",
                        "Manager":"CN=李四,OU=人事部,DC=adtest,DC=com",#需要使用用户的DN路径
                    }
                attr = {#OU属性表
                        'name':'人事部',
                        'managedBy':"CN=张三,OU=IT组,OU=罗辑实验室,DC=adtest,DC=intra", #部分负责人
                        }
        :return:True and success 是创建成功了
        (True, {'result': 0, 'description': 'success', 'dn': '', 'message': '', 'referrals': None, 'type': 'addResponse'})

        '''
        object_class = {'user':['user', 'posixGroup', 'top'],
                        'ou':['organizationalUnit', 'posixGroup', 'top'],
                        }
        res = self.conn.add(dn=dn,object_class=object_class[type],attributes=attr)
        if type == "user": # 如果是用户时，我们需要给账户设置密码，并把账户激活
            self.conn.extend.microsoft.modify_password(dn, "XXXXXXXXX")    #设置用户密码
            self.conn.modify(dn, {'userAccountControl': [('MODIFY_REPLACE',512)]})    #激活用户
        return res, self.conn.result

    def del_obj(self,DN):
        '''
        删除用户 or 部门
        :param DN:
        :return:True
        '''
        res = self.conn.delete(dn=DN)
        return res

    def update_obj(self, dn, attr):
        '''更新员工 or 部门属性
        先比较每个属性值，是否和AD中的属性一致，不一样的记录，统一update
        注意：
            1. attr中dn属性写在最后
            2. 如果name属性不一样的话，需要先变更名字（实际是变更原始dn为新name的DN），后续继续操作update and move_object
        User 的 attr 照如下格式写：
        dn = "cn=test4,ou=IT组,dc=adtest,dc=com" #需要移动的User的原始路径
        {#updateUser需要更新的属性表
             "Sn": "李",  # 姓
             "telephoneNumber": "12345678944",
             "mobile": "12345678944",
             "Displayname": "张三3",
             "Manager":"CN=李四,OU=人事部,DC=adtest,DC=com",#需要使用用户的DN路径
             'DistinguishedName':"cn=张三,ou=IT组,dc=adtest,dc=com" #用户需要移动部门时，提供此属性，否则不提供
            }

        OU 的 attr 格式如下：
        dn = "ou=人事部,dc=adtest,dc=com" #更新前OU的原始路径
        attr = {
        'name':'人事部',
        'managedBy':"CN=张三,OU=IT组,DC=adtest,DC=com",
        'DistinguishedName': "ou=人事部,dc=adtest,dc=com" # 更新后的部门完整路径
        }
        '''
        changes_dic = {}
        for k,v in attr.items():
            if not self.conn.compare(dn=dn,attribute=k,value=v):
                if k == "name":
                    res = self.__rename_obj(dn=dn,newname=attr['name']) # 改过名字后，DN就变了,这里调用重命名的方法
                    if res['description'] == "success":
                        if "CN" == dn[:2]:
                            dn = "cn=%s,%s" % (attr["name"], dn.split(",", 1)[1])
                        if "OU" == dn[:2]:
                            dn = "DN=%s,%s" % (attr["name"], dn.split(",", 1)[1])
                if k == "DistinguishedName": # 如果属性里有“DistinguishedName”，表示需要移动User or OU
                    self.__move_object(dn=dn,new_dn=v) # 调用移动User or OU 的方法
                changes_dic.update({k:[(MODIFY_REPLACE,[v])]})
                self.conn.modify(dn=dn,changes=changes_dic)
        return self.conn.result

    def __rename_obj(self,dn,newname):
        '''
        OU or User 重命名方法
        :param dn:需要修改的object的完整dn路径
        :param newname: 新的名字，User格式："cn=新名字";OU格式："OU=新名字"
        :return:返回中有：'description': 'success', 表示操作成功
        {'result': 0, 'description': 'success', 'dn': '', 'message': '', 'referrals': None, 'type': 'modDNResponse'}
        '''
        self.conn.modify_dn(dn,newname)
        return self.conn.result

    def compare_attr(self,dn,attr,value):
        '''比较员工指定的某个属性
        '''
        res = self.conn.compare(dn=dn,attribute=attr,value=value)
        return res

    def __move_object(self,dn,new_dn):
        '''移动员工 or 部门到新部门'''
        relative_dn,superou = new_dn.split(",",1)
        res = self.conn.modify_dn(dn=dn,relative_dn=relative_dn,new_superior=superou)
        return res


def check_credentials(username, password):
    """
    用户认证接口 #
    """
    ldap_user = '\\{}@adtest.intra'.format(username)
    server = Server('adtest.intra', use_ssl=True)

    connection = Connection(server, user=ldap_user, password=password, authentication=NTLM)
    try:
        logger.info("username:%s ;res: %s" %(username,connection.bind()))
        return connection.bind()
    except:
        logger.warning("username:%s ;res: %s" % (username, connection.bind()))
        return False
    finally:
        connection.closed

具体的文档，可以参考官网文档：Ldap3 文档

 

三、Ldap3 详解讲述

1、Ldap3 库使用方法（一）

Ldap3 库介绍

ldap3是一个纯Python的LDAP管理库。 项目地址：(https://github.com/cannatag/ldap3) 指导文档：http://ldap3.readthedocs.org

使用场景

一般我们公司会用到账号密码系统，常见的有Windows的AD服务器、Linux系统下的OpenLdap账号系统。

默认状态下，我们都是通过AD或者OpenLDAP管理方式对账号和密码进行维护。但是我们希望通过程序自动化管理账号，对接人事系统，账号能够自动的增减和修改密码。

使用教程

1. 安装ldap3

基础： 先正确安装python3 和pip3

安装：

pip install ldap3

检验结果：

python环境下，执行

import ldap3

能够正常导入，说明安装成功

1. ldap3的基础功能

连接服务器：

from ldap3 import Server, Connection, NTLM

def test(): 
    # 加密连接AD服务器
    server1 = Server("xxx.xxx.xxx.xxx", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
    # 非加密连接AD服务器
    server2 = Server("xxx.xxx.xxx.xxx", get_info=ALL, connect_timeout=5)
    conn = Connection( #配置服务器连接参数  
  server = server1, # 如果加密连接使用server1，非加密连接使用server2
  auto_bind = True,  
  authentication = NTLM, #连接Windows AD需要配置此项，要是连接OpenLDAP不要配置  
  read_only = False, #对AD只读配置，要修改数据：配置True  
  user = username,# 管理员账户  
  password = password,# 管理员账户对应的密码  
  fast_decoder=True,  
  check_names=True,  
  )  
    return conn.user
if __name__ == '__main__':  
    print(test())

如果能够这正确输出连接服务器的管理员账户信息，即连接成功

 

2、Ldap3库使用方法（二）

今天给大家讲解如何使用Ldap3 库如何获取AD中用户和部门（OU）

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import json
from ldap3 import ALL_ATTRIBUTES
# 注意：ldap3库如果要使用tls（安全连接），需要ad服务先安装并配置好证书服务，才能通过tls连接，否则连接测试时会报LDAPSocketOpenError('unable to open socket'
# 如果是进行账号密码修改及账户激活时，会报错：“WILL_NOT_PERFORM”
from ldap3 import Connection, NTLM, Server
from ldap3 import MODIFY_REPLACE


server1 = Server("adtest.com", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
LDAP_SERVER_POOL = [server1]
SERVER_USER = 'adtest\\administrator'
SERVER_PASSWORD = "XXXXXXX"

class AD(object):
    '''    AD用户操作    '''
    def __init__(self):
        '''初始化'''
        self.conn = Connection( #配置服务器连接参数
            server=LDAP_SERVER_POOL,
            auto_bind=True,
            authentication=NTLM,  #连接Windows AD需要配置此项
            read_only=False,  #禁止修改数据：True
            user=SERVER_USER,#管理员账户
            password=SERVER_PASSWORD,
        )

        self.leaved_base_dn = 'ou=Leaved,dc=adtest,dc=intra'#离职账户所在OU
        self.active_base_dn = 'ou=测试部门,dc=adtest,dc=intra'#正式员工账户所在OU
        self.search_filter = '(objectclass=user)'#只获取【用户】对象
        self.ou_search_filter = '(objectclass=organizationalUnit)'#只获取【OU】对象

    def users_get(self):
        '''获取所有的用户'''
        self.conn.search(search_base=self.active_base_dn,search_filter=self.search_filter,attributes=ALL_ATTRIBUTES)
        res = self.conn.response_to_json()
        res = json.loads(res)['entries']
        return res

    def OU_get(self):
        '''获取所有的OU'''
        self.conn.search(search_base=self.active_base_dn,search_filter=self.ou_search_filter,attributes=ALL_ATTRIBUTES)
        res = self.conn.response_to_json()
        res = json.loads(res)['entries']
        return res

以上是Ldap3库对AD的User和OU的增删改查的方法实现。具体的文档，可以参考官网文档：Ldap3 文档 以上的增删改查方法，大家主要查看【LDAP Operations】章节的内容。

 

 

3、Ldap3库使用方法（三）

今天给大家讲解如何使用Ldap3 库创建AD中用户和部门（OU）

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import json
from ldap3 import ALL_ATTRIBUTES
# 注意：ldap3库如果要使用tls（安全连接），需要ad服务先安装并配置好证书服务，才能通过tls连接，否则连接测试时会报LDAPSocketOpenError('unable to open socket'
# 如果是进行账号密码修改及账户激活时，会报错：“WILL_NOT_PERFORM”
from ldap3 import Connection, NTLM, Server
from ldap3 import MODIFY_REPLACE


server1 = Server("adtest.com", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
LDAP_SERVER_POOL = [server1]
SERVER_USER = 'adtest\\administrator'
SERVER_PASSWORD = "XXXXXXX"

class AD(object):
    '''    AD用户操作    '''
    def __init__(self):
        '''初始化'''
        self.conn = Connection( #配置服务器连接参数
            server=LDAP_SERVER_POOL,
            auto_bind=True,
            authentication=NTLM,  #连接Windows AD需要配置此项
            read_only=False,  #禁止修改数据：True
            user=SERVER_USER,#管理员账户
            password=SERVER_PASSWORD,
        )

        self.leaved_base_dn = 'ou=Leaved,dc=adtest,dc=intra'#离职账户所在OU
        self.active_base_dn = 'ou=测试部门,dc=adtest,dc=intra'#正式员工账户所在OU
        self.search_filter = '(objectclass=user)'#只获取【用户】对象
        self.ou_search_filter = '(objectclass=organizationalUnit)'#只获取【OU】对象

    def create_obj(self,dn,type,attr=None):
        '''
        新建用户or 部门，User需要设置密码，激活账户
        :param dn: dn = "ou=人事部3,ou=罗辑实验室,dc=adtest,dc=intra"  # 创建的OU的完整路径
                   dn = "cn=张三,ou=人事部3,ou=罗辑实验室,dc=adtest,dc=intra"  # 创建的User的完整路径
        :param type:选项：ou or user
        :param attr = {#User 属性表，需要设置什么属性，增加对应的键值对
                        "SamAccountName": "zhangsan",  # 账号
                        "EmployeeID":"1",    # 员工编号
                        "Sn": "张",  # 姓
                        "name": "张三",
                        "telephoneNumber": "12345678933",
                        "mobile": "12345678933",
                        "UserPrincipalName":"[e-mail]",
                        "Mail":"[e-mail]",
                        "Displayname": "张三",
                        "Manager":"CN=李四,OU=人事部,DC=adtest,DC=com",#需要使用用户的DN路径
                    }
                attr = {#OU属性表
                        'name':'人事部',
                        'managedBy':"CN=张三,OU=IT组,OU=罗辑实验室,DC=adtest,DC=intra", #部分负责人
                        }
        :return:True and success 是创建成功了
        (True, {'result': 0, 'description': 'success', 'dn': '', 'message': '', 'referrals': None, 'type': 'addResponse'})

        '''
        object_class = {'user':['user', 'posixGroup', 'top'],
                        'ou':['organizationalUnit', 'posixGroup', 'top'],
                        }
        res = self.conn.add(dn=dn,object_class=object_class[type],attributes=attr)
        if type == "user": # 如果是用户时，我们需要给账户设置密码，并把账户激活
            self.conn.extend.microsoft.modify_password(dn, "XXXXXXXXX")    #设置用户密码
            self.conn.modify(dn, {'userAccountControl': [('MODIFY_REPLACE',512)]})    #激活用户
        return res, self.conn.result

以上是Ldap3库对AD的User和OU新增的方法。具体的文档，可以参考官网文档：Ldap3 文档

以上的方法，大家主要查看【LDAP Operations】章节的内容。

 

 

4、Ldap3库使用方法（四）

今天给大家讲解如何使用Ldap3 库更新AD中用户和部门（OU）属性，含重命名操作和移动部门方法

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import json
from ldap3 import ALL_ATTRIBUTES
# 注意：ldap3库如果要使用tls（安全连接），需要ad服务先安装并配置好证书服务，才能通过tls连接，否则连接测试时会报LDAPSocketOpenError('unable to open socket'
# 如果是进行账号密码修改及账户激活时，会报错：“WILL_NOT_PERFORM”
from ldap3 import Connection, NTLM, Server
from ldap3 import MODIFY_REPLACE


server1 = Server("adtest.com", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
LDAP_SERVER_POOL = [server1]
SERVER_USER = 'adtest\\administrator'
SERVER_PASSWORD = "XXXXXXX"

class AD(object):
    '''    AD用户操作    '''
    def __init__(self):
        '''初始化'''
        self.conn = Connection( #配置服务器连接参数
            server=LDAP_SERVER_POOL,
            auto_bind=True,
            authentication=NTLM,  #连接Windows AD需要配置此项
            read_only=False,  #禁止修改数据：True
            user=SERVER_USER,#管理员账户
            password=SERVER_PASSWORD,
        )

        self.leaved_base_dn = 'ou=Leaved,dc=adtest,dc=intra'#离职账户所在OU
        self.active_base_dn = 'ou=测试部门,dc=adtest,dc=intra'#正式员工账户所在OU
        self.search_filter = '(objectclass=user)'#只获取【用户】对象
        self.ou_search_filter = '(objectclass=organizationalUnit)'#只获取【OU】对象

    def update_obj(self, dn, attr):
        '''更新员工 or 部门属性
        先比较每个属性值，是否和AD中的属性一致，不一样的记录，统一update
        注意：
            1. attr中dn属性写在最后
            2. 如果name属性不一样的话，需要先变更名字（实际是变更原始dn为新name的DN），后续继续操作update and move_object
        User 的 attr 照如下格式写：
        dn = "cn=test4,ou=IT组,dc=adtest,dc=com" #需要移动的User的原始路径
        {#updateUser需要更新的属性表
             "Sn": "李",  # 姓
             "telephoneNumber": "12345678944",
             "mobile": "12345678944",
             "Displayname": "张三3",
             "Manager":"CN=李四,OU=人事部,DC=adtest,DC=com",#需要使用用户的DN路径
             'DistinguishedName':"cn=张三,ou=IT组,dc=adtest,dc=com" #用户需要移动部门时，提供此属性，否则不提供
            }

        OU 的 attr 格式如下：
        dn = "ou=人事部,dc=adtest,dc=com" #更新前OU的原始路径
        attr = {
        'name':'人事部',
        'managedBy':"CN=张三,OU=IT组,DC=adtest,DC=com",
        'DistinguishedName': "ou=人事部,dc=adtest,dc=com" # 更新后的部门完整路径
        }
        '''
        changes_dic = {}
        for k,v in attr.items():
            if not self.conn.compare(dn=dn,attribute=k,value=v):
                if k == "name":
                    res = self.__rename_obj(dn=dn,newname=attr['name']) # 改过名字后，DN就变了,这里调用重命名的方法
                    if res['description'] == "success":
                        if "CN" == dn[:2]:
                            dn = "cn=%s,%s" % (attr["name"], dn.split(",", 1)[1])
                        if "OU" == dn[:2]:
                            dn = "DN=%s,%s" % (attr["name"], dn.split(",", 1)[1])
                if k == "DistinguishedName": # 如果属性里有“DistinguishedName”，表示需要移动User or OU
                    self.__move_object(dn=dn,new_dn=v) # 调用移动User or OU 的方法
                changes_dic.update({k:[(MODIFY_REPLACE,[v])]})
                self.conn.modify(dn=dn,changes=changes_dic)
        return self.conn.result

    def __rename_obj(self,dn,newname):
        '''
        OU or User 重命名方法
        :param dn:需要修改的object的完整dn路径
        :param newname: 新的名字，User格式："cn=新名字";OU格式："OU=新名字"
        :return:返回中有：'description': 'success', 表示操作成功
        {'result': 0, 'description': 'success', 'dn': '', 'message': '', 'referrals': None, 'type': 'modDNResponse'}
        '''
        self.conn.modify_dn(dn,newname)
        return self.conn.result

    def compare_attr(self,dn,attr,value):
        '''比较员工指定的某个属性
        '''
        res = self.conn.compare(dn=dn,attribute=attr,value=value)
        return res

    def __move_object(self,dn,new_dn):
        '''移动员工 or 部门到新部门'''
        relative_dn,superou = new_dn.split(",",1)
        res = self.conn.modify_dn(dn=dn,relative_dn=relative_dn,new_superior=superou)
        return res

以上是Ldap3库对AD的User和OU新增的方法。具体的文档，可以参考官网文档：Ldap3 文档

以上的方法，大家主要查看【LDAP Operations】章节的内容。

 

 

5、Ldap3库使用方法（五）

今天给大家讲解如何使用Ldap3 库删除AD中用户和部门（OU），以及封装一个账户密码认证方法

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import json
from ldap3 import ALL_ATTRIBUTES
# 注意：ldap3库如果要使用tls（安全连接），需要ad服务先安装并配置好证书服务，才能通过tls连接，否则连接测试时会报LDAPSocketOpenError('unable to open socket'
# 如果是进行账号密码修改及账户激活时，会报错：“WILL_NOT_PERFORM”
from ldap3 import Connection, NTLM, Server
from ldap3 import MODIFY_REPLACE


server1 = Server("adtest.com", port=636, use_ssl=True, get_info=ALL, connect_timeout=5)
LDAP_SERVER_POOL = [server1]
SERVER_USER = 'adtest\\administrator'
SERVER_PASSWORD = "XXXXXXX"

class AD(object):
    '''    AD用户操作    '''
    def __init__(self):
        '''初始化'''
        self.conn = Connection( #配置服务器连接参数
            server=LDAP_SERVER_POOL,
            auto_bind=True,
            authentication=NTLM,  #连接Windows AD需要配置此项
            read_only=False,  #禁止修改数据：True
            user=SERVER_USER,#管理员账户
            password=SERVER_PASSWORD,
        )

        self.leaved_base_dn = 'ou=Leaved,dc=adtest,dc=intra'#离职账户所在OU
        self.active_base_dn = 'ou=测试部门,dc=adtest,dc=intra'#正式员工账户所在OU
        self.search_filter = '(objectclass=user)'#只获取【用户】对象
        self.ou_search_filter = '(objectclass=organizationalUnit)'#只获取【OU】对象

    def check_credentials(username, password):
        """
        用户认证接口 #
        """
        ldap_user = '\\{}@adtest.intra'.format(username)
        server = Server('adtest.intra', use_ssl=True)

        connection = Connection(server, user=ldap_user, password=password, authentication=NTLM)
        try:
            logger.info("username:%s ;res: %s" %(username,connection.bind()))
            return connection.bind()
        except:
            logger.warning("username:%s ;res: %s" % (username, connection.bind()))
            return False
        finally:
            connection.closed
            
    def del_obj(self,DN):
        '''
        删除用户 or 部门
        :param DN:
        :return:True
        '''
        res = self.conn.delete(dn=DN)
        return res

具体的文档，可以参考官网文档：Ldap3 文档

以上的方法，大家主要查看【LDAP Operations】章节的内容。