AD: поиск по нескольким OU (AD_BASES)

- config.py: AD_BASE -> AD_BASES (кортеж OU)
- utils/ad_search.py: новая утилита для поиска по всем OU
- utils/ad_checker.py: использовать ad_search
- utils/otp_service.py: использовать ad_search
- lk/handlers.py: использовать ad_search
- transcription_bot/handlers.py: использовать ad_search
- service_desk/handlers.py: использовать ad_search
- instruct/handlers.py: использовать ad_search
- photo_bot/ad_helper.py: использовать ad_search
- photo_bot/check_ad_photo.py: использовать ad_search
- check_ad_2fa.py: использовать ad_search
- debug_ad_filter.py: обновить для AD_BASES
- lk/test_lk_payslip.py: обновить для AD_BASES

utils/ad_checker.py

@@ -3,34 +3,20 @@
 
 
 from ldap3 import Server, Connection, ALL
-
-
-def _get_ad_connection():
-    """Создать соединение с AD."""
-    from config.config import AD_SERVER, AD_USER, AD_PASSWORD, AD_BASE  # noqa: E501
-    server = Server(AD_SERVER, get_info=ALL)
-    return Connection(server, user=AD_USER, password=AD_PASSWORD, auto_bind=True), AD_BASE
+from utils.ad_search import search_by_filter as ad_search_all_bases
 
 
 def get_user_groups(cn: str) -> list[str] | None:
     """
     Найти пользователя по CN и вернуть список групп.
+    Ищет по всем OU из AD_BASES.
     Возвращает None если пользователь не найден.
     """
-    conn, ad_base = _get_ad_connection()
-    try:
-        conn.search(
-            search_base=ad_base,
-            search_filter=f"(cn={cn})",
-            attributes=["cn", "sAMAccountName", "memberOf"],
-        )
-        if not conn.entries:
-            return None
-        entry = conn.entries[0]
-        return [str(g) for g in entry.memberOf]
-    except Exception as e:
-        print(f"❌ Ошибка AD при поиске {cn}: {e}")
+    entries = ad_search_all_bases("(cn={})".format(cn), ["cn", "sAMAccountName", "memberOf"])
+    if not entries:
         return None
+    entry = entries[0]
+    return [str(g) for g in entry.memberOf]
 
 
 def check_group_membership(cn: str, group_pattern: str = "2FA") -> dict:

utils/ad_search.py

@@ -0,0 +1,73 @@
+# /opt/trueconf_bot/utils/ad_search.py
+# Универсальный поиск пользователей по нескольким OU в AD.
+# Каждая функция принимает user_id/email/логин и ищет по всем OU из AD_BASES.
+# Возвращает первую найденную запись (ldap3 Entry) или None.
+
+from ldap3 import Server, Connection, ALL
+from ldap3.utils.conv import escape_filter_chars
+import config.config as config
+
+
+def _get_conn():
+    """Создать соединение с AD."""
+    server = Server(config.AD_SERVER, get_info=ALL)
+    return Connection(server, user=config.AD_USER, password=config.AD_PASSWORD, auto_bind=True)
+
+
+def search_by_login(login: str, attributes: list[str] | None = None) -> list:
+    """
+    Найти пользователя по sAMAccountName во всех OU из AD_BASES.
+    Возвращает список Entry (обычно 0 или 1).
+    """
+    attrs = attributes or ["cn", "sAMAccountName"]
+    conn = _get_conn()
+    for base in config.AD_BASES:
+        conn.search(
+            search_base=base,
+            search_filter="({}={})".format("sAMAccountName", login),
+            attributes=attrs,
+        )
+        if conn.entries:
+            return list(conn.entries)
+    return []
+
+
+def search_by_user_id(user_id: str, attributes: list[str] | None = None) -> list:
+    """
+    Найти пользователя по email/UPN/sAMAccountName во всех OU из AD_BASES.
+    Возвращает список Entry (обычно 0 или 1).
+    """
+    attrs = attributes or ["cn", "sAMAccountName", "mail", "userPrincipalName", "extensionAttribute2"]
+    safe_id = escape_filter_chars(user_id)
+    short_username = user_id.split("@")[0] if "@" in user_id else user_id
+    safe_sam = escape_filter_chars(short_username)
+
+    # Строим LDAP filter: (&(objectClass=user)(|(mail=...)(userPrincipalName=...)(sAMAccountName=...)))
+    or_parts = [
+        "(mail={})".format(safe_id),
+        "(userPrincipalName={})".format(safe_id),
+        "(userPrincipalName={})".format(short_username + "@sibcem.ru"),
+        "(sAMAccountName={})".format(safe_sam),
+    ]
+    or_filter = "({})".format("".join(or_parts))
+    search_filter = "(&{}{})".format("(objectClass=user)", or_filter)
+
+    conn = _get_conn()
+    for base in config.AD_BASES:
+        conn.search(search_base=base, search_filter=search_filter, attributes=attrs)
+        if conn.entries:
+            return list(conn.entries)
+    return []
+
+
+def search_by_filter(search_filter: str, attributes: list[str]) -> list:
+    """
+    Найти по произвольному LDAP-фильтру во всех OU из AD_BASES.
+    Возвращает список Entry.
+    """
+    conn = _get_conn()
+    for base in config.AD_BASES:
+        conn.search(search_base=base, search_filter=search_filter, attributes=attributes)
+        if conn.entries:
+            return list(conn.entries)
+    return []

utils/otp_service.py

@@ -63,18 +63,16 @@ async def send_otp_via_api(phone: str, code: str) -> tuple:
         return False, str(e)
 
 def get_card_id_from_ad(user_id: str) -> str:
-    """Синхронно вытягивает CARD_ID сотрудника из Active Directory (extensionAttribute2)"""
+    """Синхронно вытягивает CARD_ID сотрудника из Active Directory (extensionAttribute2).
+    Ищет по всем OU из AD_BASES."""
+    from utils.ad_search import search_by_user_id
     try:
-        server = Server(config.AD_SERVER, get_info=ALL)
-        conn = Connection(server, user=config.AD_USER, password=config.AD_PASSWORD, auto_bind=True)
-        safe_user_id = escape_filter_chars(user_id)
-        short_username = user_id.split('@')[0]
-
-        search_filter = f"(&(objectClass=user)(|(mail={safe_user_id})(userPrincipalName={safe_user_id})(userPrincipalName={escape_filter_chars(f'{short_username}@sibcem.ru')})(sAMAccountName={escape_filter_chars(short_username)})))"
-        conn.search(config.AD_BASE, search_filter, attributes=['extensionAttribute2'])
-
-        if conn.entries and 'extensionAttribute2' in conn.entries[0] and conn.entries[0].extensionAttribute2.value:
-            return str(conn.entries[0].extensionAttribute2.value).strip()
+        entries = search_by_user_id(user_id, ["extensionAttribute2"])
+        if not entries:
+            raise Exception("Пользователь не найден в AD.")
+        entry = entries[0]
+        if 'extensionAttribute2' in entry and entry.extensionAttribute2.value:
+            return str(entry.extensionAttribute2.value).strip()
         raise Exception("Поле extensionAttribute2 не заполнено в AD.")
     except Exception as e:
         logger.error(f"Ошибка получения CARD_ID из AD для {user_id}: {e}")