I en af vores tidligere artikler hvordan man kan "sætte Zimbra og MS Active Directory sammen", som anvendes af de fleste russiske virksomheder til håndtering af brugeroplysninger. I den artikel foreslog vi Zimbra-brugere den mest enkle og sikre metode til at oprette mailkonti i Zimbra baseret på data fra AD, kaldet LAZY Mode. Denne driftsform gør det muligt automatisk at oprette en ny Zimbra-bruger med navn og password fra AD i det øjeblik, han eller hun logger ind for første gang på Zimbra webklienten. Imidlertid, takket være den opståede diskussion i kommentarer, blev det klart, at ikke alle administratorer foretrækker denne metode til automatisk opsætning af Zimbra-brugere fra AD. Derfor vil vi nu fortælle om en alternativ metode til automatisering af oprettelsen af brugerkonti baseret på data fra AD, kaldet EAGER Mode.
LAZY og EAGER Mode adskiller sig i måden, hvorpå nye konti oprettes. I tilfældet med LAZY venter systemet, indtil brugeren logger ind i Zimbra webklienten for at oprette en ny bruger, mens EAGER systemet periodisk spørger AD-serveren om der er nye brugere, og hvis svaret er positivt, opretter det automatisk en ny konto baseret på de oplysninger, som Active Directory har givet. Denne tilsyneladende lille forskel kan gøre, at mange IT-chefer finder det uacceptabelt at bruge LAZY Mode.
Et af disse scenarier kan være et direkte forbud mod brugen af Zimbra webklienten. Årsagen kan være øget økonomisk besparelse på serverens beregningskapacitet (ved brug af webklienten kan serveren med Zimbra yde kvalitetsservice til 2500 brugere, mens desktop- og mobilklienter kan håndtere op til 5-6 tusinde brugere), eller virksomhedens sikkerhedspolitik, som direkte forbyder brug af webklienten til e-mail. Manglen på en webklient medfører, at LAZY Mode, som kun fungerer i denne, ikke kan bruges. Derfor har IT-chefer i sådanne virksomheder ikke andet valg end at anvende EAGER Mode.
For det første skal vi tilslutte AD som ekstern LDAP til Zimbra. For at gøre dette skal du gå til administrationskonsollen, som findes på adressen mail.company.ru:7071/zimbraAdmin/, derefter vælge punktet Configure, og derefter underpunktet Domains. I listen domæner skal du nu vælge den, vi skal bruge i samarbejde med AD, og ved at højreklikke på den valgte domæne vælge punktet «Configure Authentification». Derefter vises en dialogboks til konfiguration af ekstern LDAP, hvor vi indtaster alle de nødvendige oplysninger til integrationen af Zimbra med AD.
Efter indtastning af alle nødvendige oplysninger skal vi oprette en konfigurationsfil, f.eks. touch ~/Documents/autoprov.cfg, hvor vi skriver en række kommandoer, der skal indtastes for at aktivere automatisk opsætning af konti fra AD i EAGER Mode. I modsætning til LAZY Mode, hvor opsætningsprocessen er meget enkel, og alle indstillinger kan indtastes som kommandoer i CLI, er det bedre at være forsigtig med EAGER Mode og opbevare alle indstillinger i en separat fil. Det vil gøre det lettere at foretage ændringer, hvis noget skulle gå galt.
Så, efter at have oprettet filen ~/Documents/autoprov.cfg, skal følgende linjer skrives ind, tilpasset din infrastruktur:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Din konto er blevet oprettet automatisk. Din e-mailadresse er ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Ny konto er blevet oprettet automatisk"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Med disse indstillinger tvinger vi Zimbra-serveren til hvert minut at kontakte AD og hente oplysninger om nye brugere i databasen, og i tilfælde af at de opdages, oprette en konto for dem og sende en velkomstbesked.
Når alle ændringer i filen er gemt, skal de angivne indstillinger anvendes ved hjælp af kommandoen zmprov < ~/Documents/autoprov.cfg. Alle ændringer træder i kraft med det samme, så der er ikke behov for at genstarte serveren.
Hvis automatisk opsætning af konti fra AD i EAGER Mode fungerer, vil filen /opt/zimbra/log/mailbox.log vise status for automatisk opsætning af konti på følgende måde:
[AutoProvision] [] autoprov - Automatisk oprettelse af konti på domænet company.ru
[AutoProvision] [] autoprov - 1 ekstern LDAP-post returneret som søgeresultat
[AutoProvision] [] autoprov - automatisk oprettelse af konto i EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Hvis automatisk opsætning af konti ikke fungerer, er problemet sandsynligvis i AD-serveren. I dette tilfælde skal man se på den opståede fejlmeddelelse. Vi nævner de mest almindelige her:
525 — Bruger ikke fundet
52e — Ugyldige legitimationsoplysninger
530 — Ingen adgang til at logge ind i øjeblikket
531 — Ingen adgang til at logge ind fra denne computer
532 — Adgangskodens udløbstid er overskredet
533 — Kontoens handling er stoppet
534 — Brugeren har ikke tilstrækkelige rettigheder til at logge ind fra denne computer
701 — Kontoens udløbstid er overskredet
773 — Brugeren skal nulstille sin adgangskode
775 — Kontoens handling er midlertidigt begrænset
8350 — Ugyldigt format for Distinguished Name
Kilde: habr.com
