如何用ldap3或Python库实现AD组共享文件权限配置？

首先明确：ldap3无法直接实现文件/目录的权限分配。因为LDAP协议仅负责AD域内用户、组等目录对象的管理，而文件共享（SMB）和NTFS权限属于Windows系统层面的资源配置，不属于LDAP协议的管辖范围。

要实现全流程自动化，需要结合Python调用Windows系统工具/API，完成「创建文件/目录 → 配置SMB共享 → 设置NTFS权限」的完整链路，以下是具体可行方案：

方案一：使用pywin32直接调用Windows API #

pywin32是Python对接Windows系统API的第三方库，可直接操作SMB共享和NTFS权限。

1. 依赖安装 #

pip install pywin32

2. 核心代码实现 #

创建SMB共享

import win32net
import win32netcon

def create_smb_share(share_name, target_path, desc="Automated shared directory"):
    share_config = {
        'netname': share_name,
        'type': win32netcon.STYPE_DISKTREE,
        'remark': desc,
        'path': target_path
    }
    # 创建共享（默认权限可后续通过NTFS调整）
    win32net.NetShareAdd(None, 2, share_config)

设置NTFS权限

import win32security
import ntsecuritycon as con

def set_ntfs_permissions(target_path, ad_identity, permissions):
    # 解析AD用户/组的SID
    sid, domain, _ = win32security.LookupAccountName(None, ad_identity)
    
    # 获取目标路径的现有安全描述符
    sd = win32security.GetFileSecurity(target_path, win32security.DACL_SECURITY_INFORMATION)
    dacl = sd.GetSecurityDescriptorDacl()
    
    # 构建权限掩码
    perm_mask = 0
    if 'read' in permissions:
        perm_mask |= con.FILE_GENERIC_READ
    if 'write' in permissions:
        perm_mask |= con.FILE_GENERIC_WRITE
    if 'delete' in permissions:
        perm_mask |= con.DELETE
    
    # 添加访问控制项（ACE）
    ace = win32security.ACL()
    ace.AddAccessAllowedAce(win32security.ACL_REVISION, perm_mask, sid)
    sd.SetSecurityDescriptorDacl(True, ace, False)
    
    # 应用修改后的权限
    win32security.SetFileSecurity(target_path, win32security.DACL_SECURITY_INFORMATION, sd)

全流程整合

import os

def automate_shared_dir_workflow(dir_path, share_name, ad_group, permissions):
    # 创建目标目录（不存在则新建）
    if not os.path.exists(dir_path):
        os.makedirs(dir_path)
    
    # 创建SMB共享
    create_smb_share(share_name, dir_path)
    
    # 分配NTFS权限
    set_ntfs_permissions(dir_path, ad_group, permissions)

# 调用示例（替换为实际路径、共享名、AD组）
automate_shared_dir_workflow(
    r"C:\CompanyShares\MarketingTeam",
    "Marketing_Team_Share",
    "CORP\\Marketing_Group",
    ['read', 'write', 'delete']
)

方案二：Python调用PowerShell脚本 #

如果不想依赖pywin32，可通过Python执行PowerShell命令完成配置，适合熟悉PowerShell语法的场景：

import subprocess

def create_share_via_powershell(dir_path, share_name, ad_group, permissions):
    # 映射权限到PowerShell格式
    perm_map = {'read':'Read', 'write':'Write', 'delete':'Delete'}
    perm_str = ','.join([perm_map[p] for p in permissions])
    
    # 构建PowerShell命令
    ps_cmd = f"""
    # 创建SMB共享并授予基础权限
    New-SmbShare -Name {share_name} -Path "{dir_path}" -FullAccess "CORP\\{ad_group}"
    # 配置NTFS继承权限
    $acl = Get-Acl "{dir_path}"
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule(
        "CORP\\{ad_group}", "{perm_str}", "ContainerInherit,ObjectInherit", "None", "Allow"
    )
    $acl.AddAccessRule($rule)
    Set-Acl "{dir_path}" $acl
    """
    
    # 执行命令
    subprocess.run(["powershell", "-Command", ps_cmd], check=True)

关键注意事项 #

• 运行脚本的用户必须拥有本地管理员权限和AD域内的权限，才能创建共享和修改NTFS权限。
• AD组/用户名必须使用完整域名前缀（如CORP\\Marketing_Group），避免身份识别错误。
• 测试阶段请在非生产环境验证，防止误操作导致数据访问异常。

内容的提问来源于stack exchange，提问作者Vimal Nayak