I en af vores tidligere artikler om, hvordan du kan "få venner" Zimbra og MS Active Directory, som bruges i de fleste russiske virksomheder til at administrere brugerkonti. I den foreslog vi, at Zimbra-brugere udnyttede den nemmeste og sikreste måde at oprette postkasser i Zimbra baseret på data fra AD kaldet LAZY Mode. Denne funktionsmåde giver dig mulighed for automatisk at oprette en ny Zimbra-bruger med et brugernavn og en adgangskode fra AD lige på tidspunktet for hans første login til Zimbra Web Client. Men takket være diskussionen, der udspillede sig i kommentarerne, blev det klart, at ikke alle administratorer er egnede til denne metode til autokonfigurering af Zimbra-brugere fra AD. Derfor vil vi nu tale om en alternativ måde at automatisere oprettelsen af brugerkonti baseret på data fra AD kaldet EAGER Mode.
LAZY og EAGER Mode adskiller sig i deres tilgange til at oprette nye konti. Hvis systemet i tilfælde af LAZY venter på, at brugeren går ind i Zimbra-webklienten for at oprette en ny bruger, så spørger systemet i tilfælde af EAGER periodisk serveren med AD for nye brugere, og hvis svaret er ja, den opretter en ny på sin egen konto baseret på data leveret af Active Directory. En tilsyneladende ubetydelig forskel kan gøre brugen af LAZY Mode fuldstændig uacceptabel for en række it-chefer.
Et af disse tilfælde kan være et direkte forbud mod brugen af Zimbra-webklienten. Årsagen til dette kan være strømbesparelser på serveren (når du bruger en webklient, kan en server med Zimbra levere en kvalitetsservice til 2500 brugere, og når du bruger desktop- og mobilklienter op til 5-6 tusinde brugere), eller en virksomhedssikkerhed politik, der direkte forbyder brugen af web-klienten til arbejde med mail. Manglen på en webklient resulterer i manglende evne til at bruge LAZY Mode, som kun fungerer i den, hvilket betyder, at it-chefer i sådanne virksomheder ikke har andet valg end at bruge EAGER Mode.
Først og fremmest skal vi forbinde AD som en ekstern LDAP til Zimbra. For at gøre dette skal du gå til administrationskonsollen, som er placeret på mail.company.ru:7071/zimbraAdmin/, og vælg derefter elementet i venstre sidebjælke Konfigurer , og derefter underafsnit domæner. Opført доменов Nu skal vi vælge den, vi vil bruge sammen med AD, og ved at højreklikke på det valgte domæne skal vi vælge elementet "Konfigurer godkendelse". Derefter vises den eksterne LDAP-konfigurationsdialog på skærmen, hvor vi indtaster alle de nødvendige data for at integrere Zimbra med AD.
Når du har indtastet alle de nødvendige data, skal du f.eks. oprette en konfigurationsfil tryk på ~/Documents/autoprover.cfg, hvori vi vil indtaste en række kommandoer, der skal indtastes for at aktivere automatisk konfiguration af konti fra AD i EAGER-tilstand. I modsætning til LAZY Mode, hvor opsætningsprocessen er ekstremt enkel, og alle indstillinger kan indtastes som kommandoer i CLI, er det i tilfælde af EAGER Mode bedre at spille det sikkert og gemme alle indstillinger i en separat fil. Dette vil gøre det nemmere at foretage ændringer i dem, hvis noget pludselig går galt.
Så efter at have oprettet filen ~/Documents/autoprover.cfg, skal du indtaste følgende linjer i den, efter at du tidligere har tilpasset dem til din infrastruktur:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Takket være disse indstillinger tvinger vi Zimbra-serveren til at kontakte AD hvert minut og modtage information om nye brugeres udseende i databasen, og hvis de bliver fundet, skal du oprette en konto til dem og sende en velkomstbesked.
Når alle ændringer i filen er gemt, vil det være nødvendigt at anvende de indstillinger, der er angivet i den ved hjælp af kommandoen zmprov < ~/Documents/autoprov.cfg. Alle ændringer vil virke med det samme, det skulle ikke være nødvendigt at genstarte serveren.
I tilfælde af at automatisk konfiguration af konti fra AD til EAGER-tilstand fungerer, skal du i filen /opt/zimbra/log/mailbox.log status for kontoens autokonfiguration vil blive vist i følgende form:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Hvis automatisk konfiguration af konti ikke virker, er problemet højst sandsynligt på siden af AD-serveren. I dette tilfælde skal du se på den fejlkode, der opstår. Vi præsenterer de mest almindelige af dem:
525 - Bruger ikke fundet
52e - Ugyldige legitimationsoplysninger
530 - Ingen tilladelse til at komme ind på nuværende tidspunkt
531 - Ingen tilladelse til at logge på fra denne computer
532 - Adgangskode udløbet
533 - Konto stoppet
534 - Brugeren har ikke tilstrækkelige rettigheder til at logge på fra denne computer
701 - Konto udløbet
773 - Brugeren skal nulstille adgangskoden
775 - Konto midlertidigt begrænset
8350 - ugyldigt Distinguished Name-format
Kilde: www.habr.com
