ldap

type AuthResult struct {
	// Presence, kullanıcının dizinde bulunup bulunmadığı.
	Presence Presence

	// Authenticated, parolanın DOĞRU olduğu. Presence present olsa da
	// false olabilir — kullanıcı var, parola yanlış.
	Authenticated bool

	// Disabled, hesabın dizinde kapatılmış olduğu (bkz. liveness.go).
	// Parola doğru olsa bile giriş verilmemeli.
	Disabled       bool
	DisabledReason string

	/*
	 * PasswordExpired, dizin "parola doğru ama süresi dolmuş / önce
	 * değiştirmelisin" dedi.
	 *
	 * ⚠️ Authenticated FALSE kalıyor ve bu doğru: giriş verilmiyor.
	 * Ayrı bir alan olmasının sebebi SÖYLENEN ŞEY: bu hâl "yanlış
	 * parola" olarak gösterildiğinde kullanıcı doğru parolasını
	 * defalarca deniyor, sonra da yanlış yerde — postern'de — arıza
	 * arıyor. Oysa yapılacak iş belli ve postern'de değil: parolayı
	 * kurumun kendi aracıyla değiştirmek.
	 */
	PasswordExpired bool

	Groups     []string
	OutOfScope []string

	/*
	 * Identity, dizinin verdiği KARARLI ve opak kimlik (objectGUID ya
	 * da entryUUID), kanonik biçimde. Boş: bu dizin ya da bu servis
	 * hesabı böyle bir değer vermiyor.
	 *
	 * ⚠️ Eşleştirmenin ASIL anahtarı bu, kullanıcı adı değil. Ad
	 * dizinde değişir (ölçüldü: yeniden adlandırma ve OU taşıma bu
	 * değeri değiştirmiyor) ve yeniden kullanılır (ölçüldü: aynı adla
	 * yeniden açılan kayıt FARKLI kimlik alıyor).
	 */
	Identity string

	// IdentityError, öznitelik geldi ama çözümlenemedi. "Yok" ile aynı
	// şey değil ve teşhis ekranında ayrı görünmeli.
	IdentityError string
}

type Config struct {
	// URL, "ldaps://host:636" ya da "ldap://host:389".
	URL string

	// BindDN/BindPassword, POSTERN'İN servis hesabı — kullanıcının değil.
	BindDN       string
	BindPassword string

	// UserBase ve UserFilter, kullanıcıyı bulmak için. Filtredeki %s
	// kullanıcı adıyla değiştirilir: "(uid=%s)" ya da
	// "(sAMAccountName=%s)" (Active Directory).
	UserBase   string
	UserFilter string

	// GroupAttribute doluysa gruplar kullanıcı girdisindeki bu
	// öznitelikten okunur (çoğu dizinde "memberOf"). Boşsa GroupBase +
	// GroupFilter ile arama yapılır — eski şemalarda üyelik grubun
	// üstünde durur, kullanıcının değil.
	GroupAttribute string

	GroupBase   string
	GroupFilter string

	// GroupNameFrom, grup adının nasıl çıkarılacağı: "cn" (varsayılan)
	// ya da "dn".
	//
	// "cn" seçilmesinin sebebi eşleme tablosunun OIDC ile ORTAK olması:
	// token'dan gelen "sysadmins" ile dizinden gelen
	// "cn=sysadmins,ou=groups,dc=..." aynı isim uzayına düşmeli. Bedeli:
	// farklı OU'lardaki aynı adlı iki grup birleşir. Bu kabul edilemezse
	// "dn" seçilir ve eşlemeler tam DN yazılır.
	GroupNameFrom string

	/*
	 * GroupScope, grubun taban DN'e göre nerede durabileceği:
	 * "direct" (varsayılan) ya da "subtree".
	 *
	 * ⚠️ VARSAYILAN "direct" VE BU BİR GÜVENLİK KARARI.
	 *
	 * GroupNameFrom="cn" iken grup adı DN'in yalnızca ilk bileşeninden
	 * okunuyor. Ölçüldü:
	 *
	 *     normalize("cn=sysadmins,ou=teams,ou=groups,dc=corp") → "sysadmins"
	 *
	 * LDAP'ta benzersizlik EBEVEYN BAŞINA. Yani cn=sysadmins zaten
	 * varken, bir alt-OU'da aynı adla ikinci bir grup açılabiliyor ve
	 * postern ikisini de aynı role çözüyordu. Grup açma yetkisi
	 * devredilmiş her kurumda (self-servis portal, departman OU'su,
	 * yüklenici alt ağacı) bu, "istediğim rolü kendime basarım"
	 * demekti.
	 *
	 * "direct" bunu kapatır: grup, taban DN'in DOĞRUDAN çocuğu olmak
	 * zorunda, ve orada benzersizliği dizinin kendisi garanti ediyor.
	 *
	 * "subtree" YALNIZCA GroupNameFrom="dn" ile geçerli — orada eşleme
	 * anahtarı tam DN olduğu için çakışma zaten imkânsız. cn ile
	 * birlikte reddediliyor (bkz. New).
	 */
	GroupScope string
}

type GroupMembers struct {
	// Usernames, user_filter'ın eşleştireceği adlar.
	Usernames []string
	// Truncated, dizinin daha fazla üye bildirdiği.
	Truncated bool
}

type LookupResult struct {
	Presence Presence
	Groups   []string

	/*
	 * Disabled, dizinin bu hesabı KAPATTIĞINI söylemesi.
	 *
	 * ⚠️ PresencePresent İLE BİRLİKTE GELEBİLİR ve gelmesi normal:
	 * bir hesabı devre dışı bırakmak girişi silmez, grup üyeliklerini
	 * de kaldırmaz. Yalnızca gruplara bakan bir çağıran o hesabı
	 * "burada ve şu rollere sahip" diye okur — işten ayrılma ve olay
	 * müdahalesinde atılan İLK adımı görmezden gelmiş olur.
	 */
	Disabled       bool
	DisabledReason string

	/*
	 * Identity, dizinin verdiği KARARLI ve opak kimlik: AD'de
	 * objectGUID, RFC 4530 dizinlerinde entryUUID. Kanonik küçük
	 * harfli UUID biçiminde; boşsa dizin (ya da servis hesabı) böyle
	 * bir değer vermiyor.
	 *
	 * ⚠️ Var olma sebebi: kullanıcı adı bir kimlik DEĞİL. Ölçüldü
	 * (OpenLDAP): yeniden adlandırma ve OU taşıma bu değeri
	 * DEĞİŞTİRMİYOR, silinip aynı adla yeniden açmak ise DEĞİŞTİRİYOR
	 * — yani ayrılan çalışanın adını alan kişi eski hesabı devralamaz.
	 * 011 göçünün OIDC için kapattığı açığın dizin karşılığı.
	 */
	Identity string

	// IdentityError, kimlik özniteliği geldi ama çözümlenemedi.
	IdentityError string

	// OutOfScope, kullanıcının üye olduğu ama grup KAPSAMI dışında
	// kaldığı için sayılmayan grupların ham DN'leri.
	//
	// Teşhis için: kapsam varsayılanı "direct" olduğunda, gruplarını bir
	// OU daha derinde tutan bir kurulum yükseltmeden sonra rol
	// kaybeder. Bunu sessizce yapmak, operatörü kaybolan yetkinin
	// sebebini arayarak saatlerce dolaştırırdı.
	OutOfScope []string
}

type Presence int

type Source struct {
	// contains filtered or unexported fields
}