python - 有什么更好的方法可以在 Python 中从 Active Directory 域获取用户/组信息？

Question

对于我正在处理的 Django 应用程序，我希望允许由 Active Directory 组确定组成员身份。在对 pywin32 文档进行了一段时间的挖掘之后，我想到了这个:

>>> import win32net
>>> win32net.NetUserGetGroups('domain_name.com', 'username')
[(u'Domain Users', 7), ...]

虽然我花了一段时间谷歌搜索才弄明白这一点，但我发现的示例几乎完全使用 LDAP 来处理这种事情。有什么理由比这种方法更受欢迎吗？请记住几件事:

1. 我没有使用 Active Directory 来实际执行身份验证，只是权限。身份验证由另一台服务器执行。
2. 虽然拥有一些跨平台功能会很好，但这可能几乎只能在 Windows 上运行。

Answer 1

AD 的 LDAP 接口(interface)有很多“怪癖”，这使得它比表面上看起来更难使用，而且它在功能上往往明显落后。当我使用它时，我主要处理身份验证，但无论您在做什么，它可能都是一样的。必须绑定(bind)为特定用户才能进行普通 LDAP 服务器允许您以匿名方式进行的简单搜索，这有很多奇怪的地方。

此外，至少在一年前，当我从事这项工作时，python-ldap 是唯一支持任何接近完整功能集的 Python LDAP 实现，因为它构建在 OpenLDAP 之上，但是，OpenLDAP 是在 Windows 上构建相当困难(通常)，因此大多数构建将缺少一个或多个功能。尽管您没有进行身份验证，但缺少 SASL/Kerberos 支持(在我使用它时缺少)可能会使事情变得复杂。

如果您有可用的东西，并且只需要在 Windows 上运行它，我真的建议您坚持使用它；通过 LDAP 使用 AD 可以变成一个大项目。