В една от нашите предишни статии за това как да „присъединим“ Zimbra и MS Active Directory, която се използва в повечето руски предприятия за управление на потребителски акаунти. В нея предложихме на потребителите на Zimbra да се възползват от най-простия и безопасен начин за създаване на пощенски кутии в Zimbra на основата на данни от AD, наречен LAZY Mode. Този режим позволява автоматично да се създаде нов потребител в Zimbra с име и парола от AD точно в момента на първото му влизане в уеб-клиента на Zimbra. Въпреки това, благодарение на разгорялата се дискусия в коментарите, стана ясно, че не на всички администратори им подхожда такъв начин на автоматична настройка на потребители от Zimbra от AD. Затова в момента ще разкажем за алтернативен метод за автоматизация на създаването на потребителски акаунти на основата на данни от AD, наречен EAGER Mode.
LAZY и EAGER Mode се различават по подхода за създаване на нови акаунти. Ако при LAZY системата чака, когато потребителят сам влезе в уеб-клиента на Zimbra, за да създаде новия потребител, то при EAGER системата периодично запитва сървъра с AD за наличие на нови потребители и, при утвърдителен отговор, самостоятелно създава нов акаунт на базата на предоставените от Active Directory данни. На пръв поглед незначителната разлика може да направи използването на LAZY Mode напълно неприемливо за определени ИТ мениджъри.
Един от тези случаи може да бъде прякото забраняване на използването на уеб-клиента Zimbra. Причината може да бъде спестяване на изчислителната мощ на сървера (при използването на уеб-клиент сървърът с Zimbra може да осигури качествено обслужване за 2500 потребители, а при използване на десктоп и мобилни клиенти до 5-6 хиляди потребители), или политика на сигурност на предприятието, която категорично забранява използването на уеб-клиент за работа с пощата. Липсата на уеб-клиент води до невъзможност да се използва режимът LAZY Mode, който работи само в него, а следователно на ИТ мениджърите на такива предприятия не им остава избор, освен да използват режима EAGER Mode.
На първо място, ще трябва да свържем AD като външен LDAP към Zimbra. За целта е необходимо да влезете в администраторската конзола, която се намира на адрес mail.company.ru:7071/zimbraAdmin/, след което в лявото странично меню да изберете опцията Конфигурирайте, а след това и подопцията Domains. В списъка домейни сега трябва да изберете този, който ще използваме с AD и, натискайки с десния бутон на мишката върху избрания домейн, да изберете опцията „Конфигуриране на идентификация“. След това на екрана ще се появи диалог за настройка на външен LDAP, в който ще въведем всички необходими данни за интеграция на Zimbra с AD.
След въвеждане на всички необходими данни, трябва да създадете конфигурационен файл, например touch ~/Documents/autoprov.cfg, в който ще въведем серия команди, които е необходимо да въведем за активиране на автонастройката на акаунти от AD в режим EAGER Mode. За разлика от LAZY Mode, където процесът на настройка е максимално опростен и всички настройки могат да бъдат въведени като команди в CLI, в случай на EAGER Mode е по-добре да се застраховаме и всички настройки да се съхраняват в отделен файл. Така ще е по-лесно да се внасят промени в тях в случай, че нещо не тръгне по план.
И така, след създаването на файла ~/Documents/autoprov.cfg, в него трябва да запишете следните редове, предварително адаптирайки ги към вашата инфраструктура:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Вашият акаунт е създаден автоматично. Адресът на вашия имейл е ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Нова акаунт е създаден автоматично"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Благодарение на тези настройки, ние заставяме сървъра Zimbra да се свързва всяка минута с AD и да получава информация за нови потребители в базата данни и, в случай на тяхното откриване, да създава акаунти за тях и да изпраща приветствени съобщения.
След като всички промени в файла бъдат запазени, ще е необходимо да приложите написаните в него настройки с помощта на команда zmprov < ~/Documents/autoprov.cfg. Всички направени промени ще влязат в сила незабавно, не би трябвало да има необходимост от рестартиране на сървъра.
В случай, че автоматичната настройка на акаунти от AD в EAGER режим проработи, в файла /opt/zimbra/log/mailbox.log ще се отразява напредъкът на автоматичната настройка на акаунтите по следния начин:
[AutoProvision] [] autoprov - Автоматично настройване на акаунти на домейн company.ru
[AutoProvision] [] autoprov - 1 външна LDAP входна точка върната като резултат от търсене
[AutoProvision] [] autoprov - автоматично създаване на акаунт в EAGER режим: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Ако автоматичната настройка на акаунтите не работи, проблемът вероятно е на страната на AD сървъра. В този случай е необходимо да се разгледа кода на възникналата грешка. Изброяваме най-разпространените от тях:
525 — Потребителят не е намерен
52e — Невалидни удостоверения
530 — В момента няма разрешение за влизане
531 — Няма разрешение за влизане от този компютър
532 — Срокът на паролата е изтекъл
533 — Действието на акаунта е спрянo
534 — Потребителят няма достатъчни права за влизане от този компютър
701 — Срокът на акаунта е изтекъл
773 — Потребителят трябва да нулира паролата си
775 — Действието на акаунта е временно ограничено
8350 — невалиден формат на Distinguished Name
Източник: habr.com
