test repo

django_app/config/settings.py

@@ -0,0 +1,166 @@
+"""
+Настройки портала администрирования.
+Все секреты и параметры окружения читаются через python-decouple.
+При запуске под systemd переменные передаются через EnvironmentFile
+(/etc/admin-portal/admin-portal.env, см. systemd/admin-portal.service),
+поэтому наличие .env-файла рядом с manage.py не обязательно, но
+поддерживается для локальной разработки/отладки на самой ВМ.
+"""
+import ldap
+from django_auth_ldap.config import LDAPSearch, GroupOfNamesType, LDAPGroupQuery
+from decouple import Config, RepositoryEnv, config as env_config, Csv
+from pathlib import Path
+import os
+
+BASE_DIR = Path(__file__).resolve().parent.parent
+
+# Если рядом лежит .env (локальная разработка) — используем его, иначе
+# полагаемся на переменные окружения процесса (боевой режим, systemd).
+_dotenv_path = BASE_DIR / ".env"
+config = Config(RepositoryEnv(_dotenv_path)) if _dotenv_path.exists() else env_config
+
+SECRET_KEY = config("DJANGO_SECRET_KEY")
+DEBUG = config("DJANGO_DEBUG", default=False, cast=bool)
+ALLOWED_HOSTS = config("DJANGO_ALLOWED_HOSTS", cast=Csv(), default="*")
+
+INSTALLED_APPS = [
+    "django.contrib.admin",
+    "django.contrib.auth",
+    "django.contrib.contenttypes",
+    "django.contrib.sessions",
+    "django.contrib.messages",
+    "django.contrib.staticfiles",
+    "portal",
+]
+
+MIDDLEWARE = [
+    "django.middleware.security.SecurityMiddleware",
+    "whitenoise.middleware.WhiteNoiseMiddleware",
+    "django.contrib.sessions.middleware.SessionMiddleware",
+    "django.middleware.common.CommonMiddleware",
+    "django.middleware.csrf.CsrfViewMiddleware",
+    "django.contrib.auth.middleware.AuthenticationMiddleware",
+    "django.contrib.messages.middleware.MessageMiddleware",
+    "django.middleware.clickjacking.XFrameOptionsMiddleware",
+]
+
+ROOT_URLCONF = "config.urls"
+
+TEMPLATES = [
+    {
+        "BACKEND": "django.template.backends.django.DjangoTemplates",
+        "DIRS": [BASE_DIR / "portal" / "templates"],
+        "APP_DIRS": True,
+        "OPTIONS": {
+            "context_processors": [
+                "django.template.context_processors.request",
+                "django.contrib.auth.context_processors.auth",
+                "django.contrib.messages.context_processors.messages",
+            ],
+        },
+    },
+]
+
+WSGI_APPLICATION = "config.wsgi.application"
+
+# ---------------------------------------------------------------------------
+# База данных — локальный PostgreSQL на этой же ВМ (или указанный хост)
+# ---------------------------------------------------------------------------
+DATABASES = {
+    "default": {
+        "ENGINE": "django.db.backends.postgresql",
+        "NAME": config("POSTGRES_DB"),
+        "USER": config("POSTGRES_USER"),
+        "PASSWORD": config("POSTGRES_PASSWORD"),
+        "HOST": config("POSTGRES_HOST", default="127.0.0.1"),
+        "PORT": config("POSTGRES_PORT", default="5432"),
+    }
+}
+
+# ---------------------------------------------------------------------------
+# Кэш и сессии — локальный Redis на этой же ВМ (или указанный хост)
+# ---------------------------------------------------------------------------
+CACHES = {
+    "default": {
+        "BACKEND": "django_redis.cache.RedisCache",
+        "LOCATION": config("REDIS_URL", default="redis://127.0.0.1:6379/1"),
+        "OPTIONS": {"CLIENT_CLASS": "django_redis.client.DefaultClient"},
+    }
+}
+SESSION_ENGINE = "django.contrib.sessions.backends.cache"
+SESSION_CACHE_ALIAS = "default"
+SESSION_COOKIE_NAME = "sessionid"
+SESSION_COOKIE_AGE = 60 * 60 * 8  # 8 часов
+SESSION_COOKIE_SECURE = True
+SESSION_COOKIE_HTTPONLY = True
+SESSION_COOKIE_SAMESITE = "Lax"
+CSRF_COOKIE_SECURE = True
+
+# ---------------------------------------------------------------------------
+# Авторизация через Active Directory (LDAP)
+# ---------------------------------------------------------------------------
+AUTH_LDAP_SERVER_URI = config("AD_SERVER_URI")
+AUTH_LDAP_BIND_DN = config("AD_BIND_DN")
+AUTH_LDAP_BIND_PASSWORD = config("AD_BIND_PASSWORD")
+
+AUTH_LDAP_USER_SEARCH = LDAPSearch(
+    config("AD_USER_SEARCH_BASE"),
+    ldap.SCOPE_SUBTREE,
+    "(sAMAccountName=%(user)s)",
+)
+
+AUTH_LDAP_GROUP_SEARCH = LDAPSearch(
+    config("AD_GROUP_SEARCH_BASE"),
+    ldap.SCOPE_SUBTREE,
+    "(objectClass=group)",
+)
+AUTH_LDAP_GROUP_TYPE = GroupOfNamesType(name_attr="cn")
+
+# Атрибуты, которые тянем из AD в модель User при первом логине/обновлении
+AUTH_LDAP_USER_ATTR_MAP = {
+    "first_name": "givenName",
+    "last_name": "sn",
+    "email": "mail",
+}
+
+# В Django группы AD не мапятся на Django Group автоматически (нам это не нужно —
+# группы читаются напрямую из LDAP через .ldap_user.group_names при построении
+# каталога ресурсов, см. portal/services.py), но кэшируем сам LDAP-объект юзера.
+AUTH_LDAP_ALWAYS_UPDATE_USER = True
+AUTH_LDAP_CACHE_TIMEOUT = config("AD_GROUP_CACHE_TTL_SECONDS", default=600, cast=int)
+
+AUTH_LDAP_CONNECTION_OPTIONS = {
+    ldap.OPT_REFERRALS: 0,
+    ldap.OPT_NETWORK_TIMEOUT: 5,
+}
+
+AUTHENTICATION_BACKENDS = [
+    "django_auth_ldap.backend.LDAPBackend",
+    "django.contrib.auth.backends.ModelBackend",  # для локального суперпользователя
+]
+
+LOGIN_URL = "/login/"
+LOGIN_REDIRECT_URL = "/"
+LOGOUT_REDIRECT_URL = "/login/"
+
+# ---------------------------------------------------------------------------
+# Токен для backend admin panels (см. docs/architecture.md, раздел 6)
+# ---------------------------------------------------------------------------
+RESOURCE_TOKEN_SECRET = config("RESOURCE_TOKEN_SECRET")
+RESOURCE_TOKEN_TTL_SECONDS = config("RESOURCE_TOKEN_TTL_SECONDS", default=60, cast=int)
+RESOURCE_TOKEN_COOKIE_NAME = "resource_token"
+
+STATIC_URL = "static/"
+STATIC_ROOT = BASE_DIR / "staticfiles"
+STORAGES = {
+    "staticfiles": {
+        "BACKEND": "whitenoise.storage.CompressedManifestStaticFilesStorage",
+    },
+}
+
+DEFAULT_AUTO_FIELD = "django.db.models.BigAutoField"
+
+LANGUAGE_CODE = "ru-ru"
+TIME_ZONE = "Europe/Moscow"
+USE_I18N = True
+USE_TZ = True