IdentityManagement

プロジェクトを作る

最初に "identity_tutorial" という新規のプロジェクトを作りましょう:

$ tg-admin quickstart --identity identity_tutorial

デフォルトのパッケージ名は "identity_tutorial" とします。TurboGearsは認証のためのデータオブジェクトとコントローラを含んだプロジェクトのスケルトンを生成するでしょう。

ここでデータベースを初期化します:

$ tg-admin sql create

こうすると "devdata.sqlite" という空のデータベースができあがります。これは認証管理に必要な空のテーブルを含んでいます。

ログインページのテスト

ここですべてうまくセットアップされているかどうかをチェックしてみましょう。普段と同じようにプロジェクトを起動します:

$ python start-identity_tutorial.py

ログインページである http://localhost:8080/login を見てみてください。そうするとユーザ名とパスワードの各フィールドがあるちょっとしたログインページが見えるはずです。

何かをフィールドに入力してログインを試してみることができますが、まだユーザを追加していないのでログインに失敗するでしょう。次のステップに進んでユーザとグループを追加しましょう。

ユーザとグループの追加

データベースのサポートとしてSQLObjectを選んだのであれば、ユーザを追加するためにTurboGearsのシェルやCatWalkを利用することができます。他のORマッパー（すなわちSQLAlchemy）を利用している場合はTurboGearsのシェルを使ってください。

$ tg-admin toolbox

email_address: jdoe@example.com
display_name: Jane Doe
user_name: jdoe
password: xxx

display_name: Administrators
group_name: admin

$ tg-admin shell

>>> u = User(user_name='jdoe', email_address='jdoe@example.com', display_name='Jane Doe', password='xxx')

>>> g = Group(group_name='admin', display_name='Administrators')

>>> g.addUser(u)

>>> g.users
[<User 1 user_name=u'jdoe' email_address=u'jdoe@example.com' display_name=u'Jane Doe' password=u'xxx' created='datetime.datetime...)'>]

>>> u.groups
[<Group 1 group_name=u'admin' display_name=u'Administrators' created='datetime.datetime...)'>]

identityのメソッド

一般によく使われるidentityのメソッドとしては以下のようなものがあります:

@identity.require(identity.not_anonymous())

@identity.require(identity.in_group("admin"))

@identity.require(identity.in_all_groups("admin", "editor"))

@identity.require(identity.in_any_group("admin", "editor"))

@identity.require(identity.has_permission("edit"))

@identity.require(identity.has_all_permissions("edit", "delete", "update"))

@identity.require(identity.has_any_permission("edit", "delete", "update"))

@identity.require(identity.from_host("127.0.0.1"))

@identity.require(identity.from_any_host(("127.0.0.1", "10.0.0.1")))

@identity.require(identity.Any(identity.in_group("admin"), identity.has_permission("edit")))

@identity.require(identity.All(identity.from_host("127.0.0.1"), identity.has_permission("edit")))

@identity.require(identity.All(identity.from_any_host(("127.0.0.1", "10.0.0.1")), identity.in_group("editor")))

ディレクトリの保護

コントローラ全体（サブディレクトリ）のアクセスを制限したいときには、 identity.SecureResource? から Controller を得て、クラスレベルの属性を追加します:

class MySecureController(turbogears.Controller, identity.SecureResource):
    require = identity.in_group("admin")

    # etc. ...

MySecureController? インスタンスのメソッドにはどのようなデコレータも適用できます。ですのでそれぞれのメソッドにさらに追加的な制限を加えることも可能です。また MySecureController? は SecureObjects? を持つこともできます。このとき MySecureController? のexposedメソッドや SecureObjects? へのアクセスは MySecureController? の権限を満たしている必要があります。

明示的なパーミッションチェック

例えば今あなたは、ブログツールや写真共有など、ユーザが自分自身のコンテンツを追加できるようなウェブサイトを作っているとしましょう。ユーザは自分自身のコンテンツは編集できますが、他人の追加したコンテンツは編集できないようにします。デコレータを使ったチェックではこういったことはできません。なぜならメソッドだけが読み込む実際のデータにアクセスする必要があるからです（そのデータを２回読み込むことはしたくないでしょう）。そこで、デコレータを使う代わりに、メソッドでidentityチェックを行うことにしましょう。

再び identity.SecureResource? からコントローラを得ます。そしてメソッドレベルでidentityチェックを行います。ユーザが要求されたパーミッションを持たないときは、 IdentityException? を投げます:

class MyController(controllers.Controller, identity.SecureResource):

     @turbogears.expose(html="mytemplate")
     def myFunction(self):
         if not ("admin" in identity.current.groups or
            "super" in identity.current.groups):
            raise identity.GroupMembershipRequiredException(("admin", "super"))

この例では SecureResource? がパーミッションをチェックするコードとともにすべてのexposedメソッドをラップし、 IdentityExceptions? を仕掛けます。よって IdentityException? が起こったときにもすべてはうまく処理されるでしょう。

もちろんそれぞれの関数にこれをコピー＆ペーストするよりも、関数の中に自分なりの認証ロジックを埋め込むこともできます。

自分のコードでidentityのメソッドを使うことも可能です:

if identity.in_group("admin") and identity.has_permission("edit"):
    pass
else:
    pass

自分のデコレータ関数を書く

みなさん全員におすすめできることではないですが、とても柔軟性のある結果が得られます。

ちょっと turbogears/identity/conditions.py にあるデコレータを見てみてください。きっとあなたが自分のデコレータ関数を書くために何をしなければならないか、そのきっかけが見つかるでしょう。

また簡単にするために、turbogears.decoratorをベースにすることも考えて見てください。turbogears.decoratorは骨格となるものを与えてくれるでしょうし、実際に他のデフォルトのデコレータでも使われています。

identityモデルをカスタマイズする

ユーザクラスにいくつかの属性（ユーザの画像や電話番号など）を追加することによって、あるいは完全に置換してしまってもよいのですが、ユーザ、グループ、パーミッションなどに対して自分のクラスをカスタマイズすることもできます。

しかしidentityは、自動生成されたクラスやそれらの属性について、名前によって関連づけれられています。ですのでそれを削除したりリネームしたりすることはすべきでありません。

外部ソースによる認証

パスワード以外のものはidentityモデルを使い、パスワードは外部ソースにあるもので認証したいという場合があるでしょう。

例えば既存のWindowsやSambaのドメインコントローラで認証すれば、ユーザはWindowsにログインするのと同じパスワードをTurboGearsプロジェクトでも使うことができます。（同じ事はLDAPなどについても言えるでしょう。）

これをどのように実現するのかということの例は、 sosmbprovider.py を参照してください。これはSQLObjectプロバイダのサブクラスですが、Windowsドメインからユーザとパスワードを確認します。これは純粋なSMBプロバイダではありません（ユーザとパスワードだけをドメインコントローラでチェックする）ので、やはりidentityテーブルにユーザやグループなどを追加する必要があります。

LDAPディレクトリでユーザとパスワードをチェックする方法についての例は、 soldapprovider.py を参照してください。

TurboGears? 1.0では soprovider.py において SqlObjectIdentityProvider? オブジェクトに validate_password() メソッドが加えられました。これによってサブクラスが単純になり、自分のプロバイダを生成することが簡単になりました。