Produits Entr'ouvert » Authentic 2

Benjamin, tu imagines vérifier à la volée si un rôle est dans le mapping ? Ça se fait probablement de manière assez légère dans PermissionMixin, si on veut bien se contenter de planquer les boutons.
Un peu dommage par contre que le mapping soit de la forme [['dn', ['role1', 'role2']], ...] au lieu de {'dn': ('role1', 'role2'), ...}, ça fera pas un check très joli. Si c'est en prod à peu d'endroit et que le changer est envisageable...

La plupart des déploiements n'ont pas de mapping et quand il y en a il n'y en a qu'un, donc oui un truc assez moche :

if any(role.name in mapping[1] for mapping in getattr(settings, 'LDAP_SETTINGS', {}).get('group_to_role_mapping', [])):
   show_warning()

qu'on enlèvera le jour où on saura faire plus propre.

Tu n'y es pour rien mais au final c'est super moche et difficilement maintenable, je ne sais pas pourquoi j'ai mis ticket facile. On se retrouve déjà avec des histoires de 'manage_members' dans une vue sensée être générique et maintenant des histoires de LDAP.

Je propose une autre voie qui servira aussi à faire disparaître les slugs à la con genre _a2-bidule ou _hobo-machin: avoir différents flags sur les rôles pour restreindre les permissions ou leur visibilité¹.

Ici on aurait un flag can_manage_members=True par défaut, qui serait mis à False dès qu'un rôle devient synchronisé par LDAP (à terme on arrêtera de synchroniser un rôle existant, on synchronisera des requêtes LDAP vers des trucs liés au LDAP dont un rôle normal héritera).

Coté LDAP ça reviendrait à poser :

   if role.can_manage_members:
       logger.info('role %s is now only manageable tourgh LDAP', role)
       role.can_mamage_members = False
       role.save()

et coté vue des rôles, poser un accesseur sur les vues d'affichage et des gestion des membres et de l'héritage :

   @cached_
   def can_manage_members(self):
       return self.object.can_manage_members and self.request.user.has_perm(self.object, 'a2_rbac.role_manage_members')

Et utiliser object.can_manage_members pour afficher le warning This role's members are managed elsewhere (LDAP). qu'on étendra ou améliorera où on aura un cas qui n'est pas LDAP.

¹ On pourrait avoir aussi visible pour les rôles purement techniques qui n'auraient même pas de slug ou de nom ou can_edit pour les rôles créer automatiquement mais dont on doit pas toucher aux nom et slug (genre "Administrateur du service <service>"; il faudrait rendre plus de chose explicites et ne plus jamais se baser sur la forme du slug.

Frédéric Péters a écrit :

Ça peut être affiché plus visiblement que "caché" en tooltip ? (capture exemple attachée)

Je fais ça (note quand même que les boutons pour ajouter/supprimer un utilisateur ne sont plus non plus affichés).

J'aime pas trop le nom mais OK, je pousse quand c'est vert.

Valentin Deniaud a écrit :

J'aime pas trop le nom mais OK, je pousse quand c'est vert.

Je ne suis pas fan du nom non plus mais c'est pour rester cohérent avec les accesseurs sur les vues et ailleurs.