Posted inPython

Quản trị Active Directory bằng Python: Tự động hóa thay vì ‘Click’ mỏi tay

Python tutorial - IT technology blog
Python tutorial - IT technology blog

Câu chuyện thực tế: Khi 50 lần click chuột trở thành cực hình

Ngày đầu làm Admin, mình từng nhận task onboarding cho 50 nhân sự mới mỗi tuần. Quy trình lặp lại đến phát chán: mở Active Directory Users and Computers (ADUC), chuột phải, chọn New User, gõ tên, đặt mật khẩu, rồi add group. Trung bình mỗi user mất 5 phút, tính ra mình mất gần nửa ngày chỉ để làm những việc máy móc.

Làm tay không chỉ chậm mà còn rất dễ sai. Chỉ cần gõ nhầm một ký tự trong displayname hoặc quên tick ô ‘User must change password’ là hôm sau bị ‘réo’ ngay. Khi hệ thống chạm mốc 1.000 user, việc kiểm tra thủ công xem ai đã hết hạn hay ai chưa đổi pass trong 90 ngày là nhiệm vụ bất khả thi.

Mình quyết định đưa AD về chung một mối với stack automation của team. Thay vì dùng PowerShell, mình chọn ldap3 để đồng bộ hoàn toàn với các script Python có sẵn.

Tại sao ldap3 là lựa chọn hàng đầu?

Nhiều anh em thường phân vân giữa python-ldap và ldap3. Tuy nhiên, python-ldap cực kỳ khó chịu khi cài đặt trên Windows vì đòi hỏi C headers và thư viện OpenLDAP đi kèm. Nếu bạn code trên Mac nhưng deploy quản lý AD trên Windows, lỗi dependency sẽ xuất hiện liên tục.

ldap3 giải quyết triệt để vấn đề này nhờ thiết kế thuần Python (pure Python). Bạn chỉ cần đúng một dòng pip install là chạy được ở mọi nơi. Thư viện này hỗ trợ cả cơ chế đồng bộ lẫn bất đồng bộ, giúp việc tương tác với Domain Controller trở nên nhẹ nhàng hơn nhiều.

Triển khai: Kết nối và xác thực (Bind)

Đầu tiên, hãy cài đặt thư viện:

pip install ldap3

Trong LDAP, việc đăng nhập được gọi là “Bind”. Dưới đây là cách thiết lập kết nối tới Domain Controller (DC):

from ldap3 import Server, Connection, ALL, SAFE_SYNC

LDAP_SERVER = '192.168.1.10'
USER_DN = 'CN=Admin,OU=IT,DC=itfromzero,DC=com'
PASSWORD = 'YourSecurePassword'

# Khởi tạo server và kết nối
server = Server(LDAP_SERVER, get_info=ALL)
conn = Connection(server, user=USER_DN, password=PASSWORD, client_strategy=SAFE_SYNC, auto_bind=True)

if conn.bound:
    print("Kết nối thành công!")
    conn.unbind()
else:
    print(f"Thất bại: {conn.result}")

Lưu ý: Luôn dùng auto_bind=True để thư viện tự động xác thực ngay khi khởi tạo. Nếu bạn đang viết tool kiểm tra mật khẩu cho User, chỉ cần truyền thông tin của chính User đó vào USER_DN và PASSWORD.

Truy vấn thông tin User (Search)

Giả sử bạn cần tìm email và số điện thoại của nhân viên có username là ‘tung.nguyen’. Thay vì mở giao diện AD tìm kiếm, hãy dùng filter LDAP.

search_base = 'DC=itfromzero,DC=com'
search_filter = '(&(objectClass=user)(sAMAccountName=tung.nguyen))'

conn.search(search_base, search_filter, attributes=['mail', 'displayName', 'telephoneNumber'])

if conn.entries:
    user = conn.entries[0]
    print(f"Tên: {user.displayName} - Email: {user.mail}")
else:
    print("Không tìm thấy dữ liệu.")

Cú pháp filter có vẻ hơi lạ lẫm: & đại diện cho phép AND, còn | là phép OR. Câu lệnh trên yêu cầu: Tìm đối tượng vừa thuộc class user, vừa có sAMAccountName trùng khớp.

Tự động hóa: Tạo mới và kích hoạt User

Đây là phần giúp mình tiết kiệm 4 tiếng làm việc mỗi tuần. Khi tạo User mới qua LDAP, bạn cần khai báo các thuộc tính bắt buộc của AD.

new_user_dn = 'CN=Nguyen Van A,OU=Users,DC=itfromzero,DC=com'
attributes = {
    'cn': 'Nguyen Van A',
    'sAMAccountName': 'a.nguyen',
    'userPrincipalName': '[email protected]',
    'userPassword': 'DefaultPassword123!',
}

if conn.add(new_user_dn, ['top', 'person', 'organizationalPerson', 'user'], attributes):
    # Kích hoạt tài khoản (mặc định AD sẽ disable user mới tạo)
    conn.modify(new_user_dn, {'userAccountControl': [(('MODIFY_REPLACE'), [512])]})
    print("Tạo và kích hoạt User thành công!")

Mẹo nhỏ: Giá trị 512 trong thuộc tính userAccountControl tương ứng với trạng thái ‘Normal Account’. Nếu thiếu bước này, User sẽ không thể đăng nhập dù password đúng.

Kinh nghiệm thực tế khi mở rộng hệ thống

Khi script tăng từ 20 dòng lên 2.000 dòng để phục vụ cả hệ thống nhân sự và chấm công, mình rút ra 4 bài học quan trọng:

  • Sử dụng Connection Pool: Việc bắt tay (handshake) với AD rất tốn tài nguyên. Đừng mở/đóng kết nối cho từng request nhỏ. Hãy dùng ServerPool để tối ưu hiệu suất và tăng tính chịu lỗi.
  • Bọc lỗi chặt chẽ: Đường truyền tới Domain Controller có thể chập chờn. Luôn dùng try-except để bắt các lỗi LDAPSocketOpenError, tránh việc script chết đứng giữa chừng.
  • Xây dựng Abstraction Layer: Đừng viết code LDAP rải rác. Hãy gom vào một Class ADManager với các hàm như get_user() hay reset_password(). Khi cần đổi logic, bạn chỉ cần sửa tại một điểm duy nhất.
  • Bảo mật là ưu tiên số 1: Tuyệt đối không để password Admin trong code. Hãy sử dụng biến môi trường hoặc các kho lưu trữ secret như HashiCorp Vault.

Làm chủ ldap3 giúp bạn xử lý hàng nghìn tài khoản chỉ trong vài giây. Thay vì mệt mỏi với những cú click chuột, bạn có thể dành thời gian đó để tối ưu những phần quan trọng hơn của hệ thống. Chúc các bạn ứng dụng thành công!

Share:
Tags: