与这个问题类似,我正在尝试使用python ldap(CentOS 6.2 x86_64,Python 2.6.6,python-ldap 2.3.10)对2003 Active Directory执行简单身份验证。
尽管按照初始化中的所有常规步骤进行操作,包括:
conn.set_option(ldap.OPT_REFERRALS, 0)
如果我传递正确的凭据,我总是会得到一个返回值为(97, [])
的结果:>>> import ldap
>>> conn = ldap.initialize('ldap://ad.server.domain.com')
>>> conn.protocol_version = 3
>>> conn.set_option(ldap.OPT_REFERRALS, 0)
>>> conn.simple_bind_s('user@domain.com', 'WrongPassword')
ldap.INVALID_CREDENTIALS: {'info': '80090308: LdapErr: DSID-0C090334, comment: AcceptSecurityContext error, data 52e, vece', 'desc': 'Invalid credentials'}
>>> conn.simple_bind_s('user@domain.com', 'CorrectPassword')
(97, [])
错误代码97并不是成功的表示,而是从AD返回的LDAP_REFERRAL_LIMIT_EXCEEDED
错误。我也不能将其用作事实上的成功指标,因为:
>>> conn.simple_bind_s('', 'CorrectPassword')
(97, [])
>>> conn.simple_bind_s('', '')
(97, [])
更令人沮丧的是,这个脚本是从一个使用 Net::LDAP 的旧 Perl 脚本迁移而来的,后者在向同一 AD 和服务器进行成功身份验证绑定时返回 0。我能找到的有关 python-ldap 的所有信息都表明我的做法应该可以正常工作;我倾向于认为 AD 服务器出了问题,但 Perl 脚本在成功绑定时确实返回了正确的 LDAP 代码。
我已经在一个我刚好有的旧 CentOS 5.5 上测试了 python-ldap 2.2.0 和 python 2.4.4,结果以完全相同的方式“失败”。
有谁知道我错过了什么吗?
编辑:根据请求,这里是能够正常工作的 Perl 脚本。Net::LDAP 返回 LDAP 服务器的返回代码,AD 服务器返回的是 0x00,“成功请求”,据我所知。
#!/usr/bin/perl -w
use strict;
use Net::LDAP;
## Corporate subdomains
my @domains = ("americas", "asia", "europe");
# AD connect timeout
my $timeout = 10;
# Set AD server info.
my $port = "389";
my $host = "server.domain.com";
my $user = shift @ARGV;
chomp $user;
my $password = <STDIN>;
$password =~ s/\r\n//;
chomp $password;
my $ldap = Net::LDAP->new($host, port => $port, timeout => $timeout ) ||
die "Unable to connect to LDAP server";
my $bind_return = 1;
foreach (@domains) {
my $result = $ldap->bind( "$user\@$_.domain.com", password => $password );
if( $result->code == 0) {
$bind_return = 0;
last;
}
}
## Unbind and return
$ldap->unbind;
if ($bind_return) { print "Authentication Failed. Access Denied\n" }
exit $bind_return;