V jednom z našich předchozích článků o tom, jak lze "spřátelit" Zimbu a MS Active Directory, která je používána ve většině ruských podniků pro správu uživatelských účtů. V článku jsme nabídli uživatelům Zimby nejjednodušší a nejbezpečnější způsob vytvoření e-mailových schránek v Zimbě na základě údajů z AD s názvem LAZY Mode. Tento provozní režim umožňuje automaticky vytvořit nového uživatele Zimby se jménem a heslem z AD přímo při prvním přihlášení do webového klienta Zimby. Díky vyvstávající diskuzi v komentářích však bylo jasné, že ne všem administrátorům tento způsob automatického nastavení uživatelů Zimby z AD vyhovuje. Proto nyní představíme alternativní způsob automatizace vytváření uživatelských účtů na základě údajů z AD s názvem EAGER Mode.
LAZY a EAGER Mode se liší přístupy k vytváření nových účtů. Zatímco v případě LAZY systém čeká, až se uživatel sám přihlásí do webového klienta Zimby, aby vytvořil nového uživatele, v případě EAGER systém pravidelně kontroluje server AD na nově příchozí uživatele a v případě kladné odpovědi automaticky vytvoří nový účet na základě údajů poskytnutých Active Directory. Nezanedbatelné, na první pohled malé rozdíly, mohou učinit používání LAZY Mode zcela nepřijatelným pro řadu IT manažerů.
Jedním z takových scénářů může být přímý zákaz používání webového klienta Zimby. Důvodem může být úspora výpočetních kapacit serveru (při používání webového klienta může server se Zimbou poskytovat kvalitní služby pro 2500 uživatelů, zatímco při využití desktopových a mobilních klientů až pro 5-6 tisíc uživatelů), nebo bezpečnostní politika podniku, která přímo zakazuje používání webového klienta pro práci s e-mailem. Nepřítomnost webového klienta znemožňuje použití režimu LAZY Mode, který funguje pouze v něm, a proto IT manažeři v těchto podnicích nemají na výběr, než použít režim EAGER Mode.
Nejprve budeme potřebovat připojit AD jako externí LDAP k Zimbře. Za tímto účelem se přihlaste do administrační konzoly, která se nachází na adrese mail.company.ru:7071/zimbraAdmin/, poté v levém postranním panelu vyberte položku Nastavení, a poté i podpod položku Domény. V seznamu domén. nyní vyberte ten, který budeme používat ve spojení s AD, a po kliknutí pravým tlačítkem myši na vybranou doménu zvolte položku „Nastavit autentizaci“. Po té se na obrazovce objeví dialog pro nastavení externího LDAP, do kterého zadáme všechny potřebné údaje pro integraci Zimbry s AD.
Po zadání všech potřebných údajů je třeba vytvořit konfigurační soubor, například touch ~/Documents/autoprov.cfg, do kterého vložíme sérii příkazů, které je nutné zadat pro aktivaci automatického nastavení účtů z AD v režimu EAGER Mode. Na rozdíl od LAZY Mode, kde je proces nastavení velmi jednoduchý a všechna nastavení mohou být zadána jako příkazy v CLI, v případě EAGER Mode je lepší být opatrný a všechna nastavení uchovávat v samostatném souboru. Tak bude snazší provádět změny, pokud se něco nevydaří.
Takže po vytvoření souboru ~/Documents/autoprov.cfg, je třeba do něj vložit následující řádky, přičemž je přizpůsobíte vaší infrastruktuře:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Váš účet byl automaticky vytvořen. Adresa vaší e-mailové schránky ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Nový účet byl automaticky vytvořen"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Díky těmto nastavením nutíme server Zimbra, aby každou minutu komunikoval s AD a získával informace o nových uživatelích v databázi. Pokud jsou nalezeni, vytvoří pro ně uživatelský účet a odešle uvítací zprávu.
Jakmile budou všechna změny v souboru uložena, je nutné aplikovat v něm definovaná nastavení pomocí příkazu zmprov < ~/Documents/autoprov.cfg. Všechny provedené změny budou okamžitě aktivovány, není potřeba restartovat server.
Pokud auto-nastavení účtů z AD v EAGER Módu funguje, v souboru /opt/zimbra/log/mailbox.log se zobrazí průběh auto-nastavení účtů následujícím způsobem:
[AutoProvision] [] autoprov - Automatické vytváření účtů na doméně company.ru
[AutoProvision] [] autoprov - 1 externí LDAP záznam vrácen jako výsledek hledání
[AutoProvision] [] autoprov - automatické vytváření účtu v EAGER módu: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Pokud však auto-nastavení účtů nefunguje, problém je pravděpodobně na straně serveru AD. V takovém případě je třeba se podívat na kód vzniklé chyby. Uvádíme nejčastější z nich:
525 — Uživatel nebyl nalezen
52e — Neplatné přihlašovací údaje
530 — V tuto chvíli není povolení ke vstupu
531 — Není povolení ke vstupu z tohoto počítače
532 — Platnost hesla vypršela
533 — Činnost účtu byla pozastavena
534 — Uživatel nemá dostatečná práva pro přihlášení z tohoto počítače
701 — Platnost účtu vypršela
773 — Uživatel musí resetovat heslo
775 — Činnost účtu je dočasně omezená
8350 — neplatný formát Distinguished Name
Zdroj: habr.com
