{% extends "base.html" %}
{% set active_page = "settings_ldap" %}
{% set can_edit = current_user.has_permission('settings_ldap.edit') %}
{% block page_title %}LDAP / Active Directory{% endblock %}
{% block page_sub %}<div class="topbar-sub">Anmeldung mit dem Domänen-Passwort, zusätzlich zu lokalen Konten</div>{% endblock %}

{% block content %}
<div class="settings-grid settings-grid--wide">

  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div>
        <h2 style="font-size:16px;">Verbindung</h2>
        <div class="hint">Server, Bind-Konto und Suchparameter für die Anbindung an AD/LDAP.</div>
      </div>
    </div>
    {% if can_edit %}
    <form method="post">
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_enabled" {% if ldap.enabled %}checked{% endif %}>
          <span class="track"></span>
          <span>LDAP-Anmeldung aktivieren</span>
        </label>
      </div>
      <div class="field"><label>Server</label>
        <input type="text" name="ldap_server" value="{{ ldap.server }}" placeholder="z.B. 192.168.1.1 oder dc01.firma.local">
        <div class="field-hint">DNS-Name oder IP-Adresse — beides wird genau so gespeichert und beim Verbinden verwendet.</div>
      </div>
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_use_ssl" id="ldap_use_ssl" {% if ldap.use_ssl %}checked{% endif %}
                 onchange="document.getElementById('ldap_port').value = this.checked ? 636 : 389;">
          <span class="track"></span>
          <span>LDAPS/TLS verwenden</span>
        </label>
        <div class="field-hint">Ohne LDAPS wird das Passwort unverschlüsselt übertragen — nur für interne Tests geeignet, vor Produktivbetrieb LDAPS auf dem Domain Controller einrichten. Stellt beim Umschalten den Port automatisch auf 636/389 — unten weiterhin manuell änderbar.</div>
      </div>
      <div class="field"><label>Port</label>
        <input type="number" name="ldap_port" id="ldap_port" min="1" max="65535" value="{{ ldap.port }}">
      </div>
      <div class="field">
        <label class="switch-check" style="display:inline-flex; align-items:center; gap:8px;">
          <input type="checkbox" name="ldap_tls_skip_verify" {% if ldap.tls_skip_verify %}checked{% endif %}>
          <span class="track"></span>
          <span>Zertifikatsprüfung überspringen (nur LDAPS)</span>
        </label>
        <div class="field-hint">Akzeptiert jedes Server-Zertifikat, auch selbstsignierte/nicht vertrauenswürdige — praktisch für interne Tests, schützt dann aber nicht mehr vor einem gefälschten Server. Vor Produktivbetrieb ein echtes, vertrauenswürdiges Zertifikat einrichten und diese Option deaktivieren.</div>
      </div>
      <div class="field"><label>Bind-Konto (Service-Account)</label>
        <input type="text" name="ldap_bind_dn" value="{{ ldap.bind_dn }}" placeholder="z.B. ldap@ad.firma.local">
        <div class="field-hint">Ein normales, unprivilegiertes Domänenkonto reicht — es wird nur zum Suchen von Benutzern verwendet, keine Admin-Rechte nötig. Ein neu gespeichertes Konto ersetzt das bisherige vollständig.</div>
      </div>
      <div class="field"><label>Bind-Passwort</label>
        <input type="password" name="ldap_bind_password" placeholder="{{ '(unverändert lassen)' if ldap.bind_password_enc else '' }}">
      </div>
      <div class="field"><label>Base-DN</label>
        <input type="text" name="ldap_base_dn" value="{{ ldap.base_dn }}" placeholder="Leer = automatisch ermitteln">
      </div>
      <div class="field"><label>Attribut für Benutzername</label>
        <input type="text" name="ldap_user_filter_attr" value="{{ ldap.filter_attr }}" placeholder="sAMAccountName">
        <div class="field-hint">Für Active Directory: sAMAccountName. Für generisches LDAP (z.B. OpenLDAP): meist uid. Anmeldung per userPrincipalName (E-Mail/UPN) funktioniert unabhängig davon immer zusätzlich.</div>
      </div>
      <div class="field"><label>Standardgruppe für neue AD-Benutzer</label>
        <select name="ldap_default_group">
          <option value="">Systemstandard ({{ ldap_groups|selectattr('is_default')|map(attribute='name')|first or 'Benutzer' }})</option>
          {% for g in ldap_groups %}
          <option value="{{ g['id'] }}" {% if ldap.default_group == g['id']|string %}selected{% endif %}>{{ g['name'] }}</option>
          {% endfor %}
        </select>
        <div class="field-hint">Wird nur zugewiesen, wenn unten keine AD-Gruppenzuordnung greift — siehe Karte „AD-Gruppenzuordnungen“.</div>
      </div>
      <div class="field"><label>Erforderliche AD-Gruppe für Login (optional)</label>
        <div class="flex gap-2">
          <select name="ldap_required_login_group" id="requiredGroupSelect" style="flex:1;">
            <option value="">Keine (jeder gültige AD-Benutzer darf sich anmelden)</option>
            {% if ldap.required_login_group %}
            <option value="{{ ldap.required_login_group }}" selected>{{ ldap.required_login_group }}</option>
            {% endif %}
          </select>
          <button type="button" class="btn btn-secondary btn-sm" id="requiredGroupLoadBtn">Gruppen laden</button>
        </div>
        <div class="field-hint" id="requiredGroupLoadStatus">Ist hier eine Gruppe ausgewählt, scheitert die Anmeldung für alle Benutzer, die ihr NICHT angehören (rekursiv, auch über verschachtelte Gruppen) — wie bei falschen Zugangsdaten, ohne Hinweis auf den eigentlichen Grund.</div>
      </div>
      <div class="flex gap-2" style="flex-wrap:wrap;">
        <button type="submit" name="save_ldap" value="1" class="btn btn-primary">
          <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M20 6L9 17l-5-5"/></svg>
          Speichern
        </button>
        <button type="submit" name="test_ldap" value="1" class="btn btn-secondary" formnovalidate>
          Verbindung testen
        </button>
      </div>
    </form>
    {% if ldap.bind_dn %}
    <form method="post" data-confirm="LDAP-Bind-Konto wirklich löschen? Die LDAP-Anmeldung wird dabei deaktiviert." style="margin-top:10px;">
      <input type="hidden" name="clear_ldap_bind" value="1">
      <button type="submit" class="btn btn-sm" style="color:var(--danger); background:transparent; border-color:var(--danger-dim);">
        Bind-Konto löschen
      </button>
    </form>
    {% endif %}
    {% else %}
    <p class="text-faint" style="font-size:12.5px;">Für Änderungen fehlt das Recht „LDAP/AD-Konfiguration speichern“.</p>
    {% endif %}
  </div>

  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div>
        <h2 style="font-size:16px;">AD-Gruppenzuordnungen</h2>
        <div class="hint">
          Ist ein AD-Benutzer (rekursiv, auch über verschachtelte Gruppen) Mitglied einer hier zugeordneten
          AD-Gruppe, erhält er beim Login zusätzlich die zugeordnete App-Rechtegruppe — additiv, mehrere
          Zuordnungen können gleichzeitig greifen. Wird keine Zuordnung getroffen, gilt die Standardgruppe oben.
        </div>
      </div>
      {% if can_edit %}
      <button type="button" class="btn btn-primary" data-open-modal="addLdapMappingModal">
        <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><path d="M12 5v14M5 12h14"/></svg>
        Zuordnung hinzufügen
      </button>
      {% endif %}
    </div>

    {% if mappings %}
    <div class="table-wrap">
      <div style="overflow-x:auto;">
      <table class="data-table">
        <thead><tr><th>AD-Gruppe</th><th>App-Rechtegruppe</th><th style="width:1%;">Aktionen</th></tr></thead>
        <tbody>
          {% for m in mappings %}
          <tr>
            <td>{{ m.ad_group_name }}<div class="text-faint mono" style="font-size:11px;">{{ m.ad_group_dn }}</div></td>
            <td>{{ m.app_group_name or '—' }}</td>
            <td>
              {% if can_edit %}
              <form method="post" data-confirm="Zuordnung „{{ m.ad_group_name }} → {{ m.app_group_name }}“ löschen?">
                <input type="hidden" name="delete_ldap_group_mapping" value="{{ m.id }}">
                <button type="submit" class="icon-btn" style="color:var(--danger);" title="Löschen">
                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M3 6h18M8 6V4a2 2 0 012-2h4a2 2 0 012 2v2m3 0l-1 14a2 2 0 01-2 2H7a2 2 0 01-2-2L4 6"/></svg>
                </button>
              </form>
              {% endif %}
            </td>
          </tr>
          {% endfor %}
        </tbody>
      </table>
      </div>
    </div>
    {% else %}
    <p class="text-faint" style="font-size:12.5px;">Noch keine Zuordnung angelegt — alle neuen AD-Benutzer erhalten nur die Standardgruppe.</p>
    {% endif %}
  </div>

  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div>
        <h2 style="font-size:16px;">Fileshare-Gruppen</h2>
        <div class="hint">
          Ist ein AD-Benutzer (rekursiv) Mitglied einer hier zugeordneten AD-Gruppe, wird die zugehörige
          Freigabe beim Login für ihn gemountet — sofern er zusätzlich das TESM-Recht „Dateifreigaben lesen“
          hat (siehe Gruppen → Rechte, Bereich „Dateifreigaben“). Fehlt das Recht, wird nicht gemountet und
          der Menüpunkt „Dateifreigaben“ erscheint nicht, unabhängig von der AD-Gruppenmitgliedschaft.
        </div>
      </div>
      {% if can_edit %}
      <button type="button" class="btn btn-primary" data-open-modal="addFileshareMappingModal">
        <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><path d="M12 5v14M5 12h14"/></svg>
        Zuordnung hinzufügen
      </button>
      {% endif %}
    </div>

    {% if fileshare_mappings %}
    <div class="table-wrap">
      <div style="overflow-x:auto;">
      <table class="data-table">
        <thead><tr><th>AD-Gruppe</th><th>Freigabe</th><th>Pfad</th><th style="width:1%;">Aktionen</th></tr></thead>
        <tbody>
          {% for m in fileshare_mappings %}
          <tr>
            <td>{{ m.ad_group_name }}<div class="text-faint mono" style="font-size:11px;">{{ m.ad_group_dn }}</div></td>
            <td>{{ m.share_label }}</td>
            <td class="mono" style="font-size:12px;">{{ m.share_unc }}</td>
            <td>
              {% if can_edit %}
              <form method="post" data-confirm="Fileshare-Zuordnung „{{ m.ad_group_name }} → {{ m.share_label }}“ löschen?">
                <input type="hidden" name="delete_fileshare_mapping" value="{{ m.id }}">
                <button type="submit" class="icon-btn" style="color:var(--danger);" title="Löschen">
                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M3 6h18M8 6V4a2 2 0 012-2h4a2 2 0 012 2v2m3 0l-1 14a2 2 0 01-2 2H7a2 2 0 01-2-2L4 6"/></svg>
                </button>
              </form>
              {% endif %}
            </td>
          </tr>
          {% endfor %}
        </tbody>
      </table>
      </div>
    </div>
    {% else %}
    <p class="text-faint" style="font-size:12.5px;">Noch keine Fileshare-Zuordnung angelegt — für niemanden wird eine Freigabe gemountet.</p>
    {% endif %}
  </div>

</div>

{% if can_edit %}
<div class="modal-overlay" id="addLdapMappingModal">
  <div class="modal">
    <form method="post">
      <input type="hidden" name="add_ldap_group_mapping" value="1">
      <div class="modal-header">
        <h3>AD-Gruppenzuordnung hinzufügen</h3>
        <button type="button" class="modal-close" data-close-modal>&times;</button>
      </div>
      <div class="modal-body">
        <div class="field">
          <label>AD-Gruppe</label>
          <div class="flex gap-2">
            <select name="ad_group_dn" id="ldapMappingAdGroup" required style="flex:1;">
              <option value="">— zuerst laden —</option>
            </select>
            <button type="button" class="btn btn-secondary btn-sm" id="ldapMappingLoadGroupsBtn">Gruppen laden</button>
          </div>
          <input type="hidden" name="ad_group_name" id="ldapMappingAdGroupName">
          <div class="field-hint" id="ldapMappingLoadStatus">Fragt live per Bind-Konto alle Gruppen aus dem Verzeichnis ab.</div>
        </div>
        <div class="field"><label>App-Rechtegruppe</label>
          <select name="app_group_id" required>
            <option value="">— auswählen —</option>
            <option value="admin">Admin (alle Rechte)</option>
            {% for g in ldap_groups %}
            <option value="{{ g['id'] }}">{{ g['name'] }}</option>
            {% endfor %}
          </select>
        </div>
      </div>
      <div class="modal-footer">
        <button type="button" class="btn btn-secondary" data-close-modal>Abbrechen</button>
        <button type="submit" class="btn btn-primary">Speichern</button>
      </div>
    </form>
  </div>
</div>

<div class="modal-overlay" id="addFileshareMappingModal">
  <div class="modal">
    <form method="post">
      <input type="hidden" name="add_fileshare_mapping" value="1">
      <div class="modal-header">
        <h3>Fileshare-Zuordnung hinzufügen</h3>
        <button type="button" class="modal-close" data-close-modal>&times;</button>
      </div>
      <div class="modal-body">
        <div class="field">
          <label>AD-Gruppe</label>
          <div class="flex gap-2">
            <select name="fs_ad_group_dn" id="fsMappingAdGroup" required style="flex:1;">
              <option value="">— zuerst laden —</option>
            </select>
            <button type="button" class="btn btn-secondary btn-sm" id="fsMappingLoadGroupsBtn">Gruppen laden</button>
          </div>
          <input type="hidden" name="fs_ad_group_name" id="fsMappingAdGroupName">
          <div class="field-hint" id="fsMappingLoadStatus">Fragt live per Bind-Konto alle Gruppen aus dem Verzeichnis ab.</div>
        </div>
        <div class="field"><label>Bezeichnung</label>
          <input type="text" name="fs_share_label" placeholder="z.B. Vertrieb" required>
          <div class="field-hint">Anzeigename in der Freigaben-Auswahl — auch Ordnername unter dem Mount-Punkt.</div>
        </div>
        <div class="field"><label>Freigabe-Pfad (UNC)</label>
          <input type="text" name="fs_share_unc" placeholder="//fileserver/freigabe" required>
          <div class="field-hint">Beide Schreibweisen funktionieren — <code>\\server\freigabe</code> wird automatisch in das von Linux benötigte <code>//server/freigabe</code> umgewandelt.</div>
        </div>
      </div>
      <div class="modal-footer">
        <button type="button" class="btn btn-secondary" data-close-modal>Abbrechen</button>
        <button type="submit" class="btn btn-primary">Speichern</button>
      </div>
    </form>
  </div>
</div>

<script>
(function () {
  function wireAdGroupLoader(btnId, selectId, nameFieldId, statusId, includeEmptyOption) {
    var btn = document.getElementById(btnId);
    var select = document.getElementById(selectId);
    var nameField = nameFieldId ? document.getElementById(nameFieldId) : null;
    var status = document.getElementById(statusId);
    if (!btn) return;

    btn.addEventListener('click', function () {
      // Aktuellen Wert (z.B. die vorher gespeicherte, noch nicht per
      // Klartext-Namen aufgeloeste Gruppe) merken -- bleibt nach dem
      // Neuaufbau der Optionsliste ausgewaehlt, falls sie unter den
      // geladenen Gruppen auftaucht.
      var currentValue = select.value;
      status.textContent = 'Lade Gruppen …';
      fetch("{{ url_for('settings_ldap_ad_groups') }}")
        .then(function (r) { return r.json(); })
        .then(function (groups) {
          if (!Array.isArray(groups)) {
            status.textContent = groups.error || 'Fehler beim Laden.';
            return;
          }
          select.innerHTML = '';
          if (includeEmptyOption) {
            var emptyOpt = document.createElement('option');
            emptyOpt.value = '';
            emptyOpt.textContent = 'Keine (jeder gültige AD-Benutzer darf sich anmelden)';
            select.appendChild(emptyOpt);
          }
          if (!groups.length) {
            if (!includeEmptyOption) select.innerHTML = '<option value="">Keine Gruppen gefunden</option>';
            status.textContent = 'Keine Gruppen gefunden — Verbindung/Bind-Konto prüfen.';
            return;
          }
          groups.forEach(function (g) {
            var opt = document.createElement('option');
            opt.value = g.dn;
            opt.textContent = g.name;
            opt.dataset.name = g.name;
            if (g.dn === currentValue) opt.selected = true;
            select.appendChild(opt);
          });
          if (nameField) nameField.value = (select.options[select.selectedIndex] && select.options[select.selectedIndex].dataset.name) || '';
          status.textContent = groups.length + ' Gruppe(n) geladen.';
        })
        .catch(function () { status.textContent = 'Fehler beim Laden — Verbindung/Bind-Konto prüfen.'; });
    });

    select.addEventListener('change', function () {
      if (!nameField) return;
      var opt = select.options[select.selectedIndex];
      nameField.value = (opt && opt.dataset.name) || '';
    });
  }

  wireAdGroupLoader('ldapMappingLoadGroupsBtn', 'ldapMappingAdGroup', 'ldapMappingAdGroupName', 'ldapMappingLoadStatus', false);
  wireAdGroupLoader('fsMappingLoadGroupsBtn', 'fsMappingAdGroup', 'fsMappingAdGroupName', 'fsMappingLoadStatus', false);
  wireAdGroupLoader('requiredGroupLoadBtn', 'requiredGroupSelect', null, 'requiredGroupLoadStatus', true);
})();
</script>
{% endif %}
{% endblock %}