V jednom z našich předchozích článků o tom, jak se můžete „spřátelit“ mezi Zimbrou a MS Active Directory, kterou většina ruských podniků používá ke správě uživatelských účtů. V něm jsme navrhli, aby uživatelé Zimbry používali nejjednodušší a nejbezpečnější způsob vytváření poštovních schránek v Zimbře na základě dat z AD s názvem LAZY Mode. Tento režim provozu vám umožňuje automaticky vytvořit nového uživatele Zimbra s uživatelským jménem a heslem od AD hned v okamžiku, kdy se poprvé přihlásíte do webového klienta Zimbra. Díky diskuzi, která se rozvinula v komentářích, se však ukázalo, že ne všichni správci jsou pro tento způsob automatické konfigurace uživatelů Zimbry z AD vhodní. Proto si nyní povíme o alternativním způsobu, jak automatizovat vytváření uživatelských účtů na základě dat z AD s názvem EAGER Mode.
LAZY a EAGER Mode se liší v přístupu k vytváření nových účtů. Pokud v případě LAZY systém čeká, až se uživatel přihlásí do webového klienta Zimbra, aby mohl vytvořit nového uživatele, pak v případě EAGER systém pravidelně dotazuje server s AD na výskyt nových uživatelů a, pokud je odpověď kladná, nezávisle vytvoří nový účet na základě dat poskytnutých službou Active Directory. Zdánlivě nepodstatný rozdíl může způsobit, že použití LAZY Mode je pro řadu IT manažerů zcela nepřijatelné.
Jedním z takových případů by mohl být přímý zákaz používání webového klienta Zimbra. Důvodem může být úspora výpočetního výkonu serveru (při použití webového klienta může server se Zimbrou poskytnout kvalitní službu pro 2500 uživatelů a při použití desktopových a mobilních klientů až 5-6 tisíc uživatelů), nebo podnik bezpečnostní politiku, která přímo zakazuje používání webu – klienta pro práci s poštou. Absence webového klienta znemožňuje použití LAZY Mode, který funguje pouze v něm, což znamená, že IT manažerům takových podniků nezbývá než použít EAGER Mode.
Nejprve budeme muset připojit AD jako externí LDAP k Zimbře. Chcete-li to provést, přejděte do konzoly pro správu, která se nachází na adrese mail.company.ru:7071/zimbraAdmin/a poté vyberte položku na levém postranním panelu Konfiguracea poté pododstavec Domény... V seznamu доменов Nyní musíme vybrat tu, kterou budeme používat ve spojení s AD, a kliknutím pravým tlačítkem myši na vybranou doménu vybrat položku "Konfigurovat ověřování". Poté se na obrazovce objeví externí konfigurační dialog LDAP, do kterého zadáme všechny potřebné údaje pro integraci Zimbry s AD.
Po zadání všech potřebných údajů byste měli vytvořit například konfigurační soubor klepněte na ~/Documents/autoprov.cfg, ve kterém zadáme řadu příkazů, které je nutné zadat pro aktivaci automatické konfigurace účtů z AD v režimu EAGER. Na rozdíl od LAZY Mode, kde je proces nastavení extrémně jednoduchý a všechna nastavení lze zadat jako příkazy v CLI, je v případě EAGER Mode lepší hrát na jistotu a všechna nastavení uložit do samostatného souboru. To usnadní jejich provádění změn, pokud se náhle něco pokazí.
Tedy po vytvoření souboru ~/Documents/autoprov.cfg, měli byste do něj zadat následující řádky, které jste předtím přizpůsobili vaší infrastruktuře:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Díky těmto nastavením nutíme server Zimbra kontaktovat AD každou minutu a dostávat informace o výskytu nových uživatelů v databázi, a pokud jsou detekováni, vytvořit jim účet a poslat uvítací zprávu.
Po uložení všech změn v souboru budete muset použít nastavení v něm uvedená pomocí příkazu zmprov < ~/Documents/autoprov.cfg. Všechny provedené změny budou fungovat okamžitě, nemělo by být nutné restartovat server.
Pokud funguje automatická konfigurace účtů z AD v režimu EAGER, v souboru /opt/zimbra/log/mailbox.log Průběh automatické konfigurace účtu se zobrazí v následujícím formuláři:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Pokud automatická konfigurace účtů nefunguje, je problém s největší pravděpodobností na straně serveru AD. V tomto případě se musíte podívat na chybový kód, který se vyskytuje. Uvádíme nejčastější z nich:
525 - Uživatel nenalezen
52e – Neplatné přihlašovací údaje
530 - V tuto chvíli není povoleno vstoupit
531 - Nemáte oprávnění k přihlášení z tohoto počítače
532 — Platnost hesla vypršela
533 – Účet byl pozastaven
534 - Uživatel nemá dostatečná práva pro přihlášení k tomuto počítači
701 – Platnost účtu vypršela
773 - Uživatel musí resetovat heslo
775 — Platnost účtu je dočasně omezena
8350 - neplatný formát rozlišovacího jména
Zdroj: www.habr.com
