Σε ένα από τα προηγούμενα άρθρα μας σχετικά με το πώς μπορείτε να «κάνετε φίλους» μεταξύ του Zimbra και του MS Active Directory, το οποίο χρησιμοποιείται από τις περισσότερες ρωσικές επιχειρήσεις για τη διαχείριση λογαριασμών χρηστών. Σε αυτό, προτείναμε στους χρήστες του Zimbra να χρησιμοποιήσουν τον ευκολότερο και ασφαλέστερο τρόπο για να δημιουργήσουν γραμματοκιβώτια στο Zimbra με βάση δεδομένα από AD που ονομάζεται LAZY Mode. Αυτός ο τρόπος λειτουργίας σάς επιτρέπει να δημιουργείτε αυτόματα έναν νέο χρήστη Zimbra με όνομα χρήστη και κωδικό πρόσβασης από το AD τη στιγμή που συνδέεστε στο πρόγραμμα-πελάτη ιστού Zimbra για πρώτη φορά. Ωστόσο, χάρη στη συζήτηση που εκτυλίχθηκε στα σχόλια, κατέστη σαφές ότι δεν είναι όλοι οι διαχειριστές κατάλληλοι για αυτήν τη μέθοδο αυτόματης ρύθμισης παραμέτρων των χρηστών Zimbra από το AD. Επομένως, τώρα θα μιλήσουμε για έναν εναλλακτικό τρόπο αυτοματοποίησης της δημιουργίας λογαριασμών χρηστών με βάση δεδομένα από το AD που ονομάζεται EAGER Mode.
Το LAZY και το EAGER Mode διαφέρουν στις προσεγγίσεις τους στη δημιουργία νέων λογαριασμών. Εάν στην περίπτωση του LAZY το σύστημα περιμένει να συνδεθεί ο χρήστης στο πρόγραμμα-πελάτη ιστού Zimbra για να δημιουργήσει έναν νέο χρήστη, τότε στην περίπτωση του EAGER το σύστημα ψηφίζει περιοδικά τον διακομιστή με AD για την εμφάνιση νέων χρηστών και, Εάν η απάντηση είναι καταφατική, δημιουργεί ανεξάρτητα έναν νέο λογαριασμό βάσει δεδομένων που παρέχονται από την υπηρεσία καταλόγου Active Directory. Μια φαινομενικά ασήμαντη διαφορά μπορεί να κάνει τη χρήση του LAZY Mode εντελώς απαράδεκτη για αρκετούς διαχειριστές IT.
Μια τέτοια περίπτωση θα μπορούσε να είναι η άμεση απαγόρευση χρήσης του προγράμματος-πελάτη ιστού Zimbra. Ο λόγος για αυτό μπορεί να είναι η εξοικονόμηση υπολογιστικής ισχύος διακομιστή (κατά τη χρήση ενός προγράμματος-πελάτη ιστού, ένας διακομιστής με Zimbra μπορεί να παρέχει υπηρεσίες υψηλής ποιότητας για 2500 χρήστες και όταν χρησιμοποιείτε πελάτες για επιτραπέζιους υπολογιστές και κινητές συσκευές έως και 5-6 χιλιάδες χρήστες) ή μια επιχείρηση πολιτική ασφαλείας που απαγορεύει άμεσα τη χρήση του ιστού - πελάτη για εργασία με αλληλογραφία. Η απουσία προγράμματος-πελάτη Ιστού καθιστά αδύνατη τη χρήση της λειτουργίας LAZY, η οποία λειτουργεί μόνο σε αυτήν, πράγμα που σημαίνει ότι οι διαχειριστές IT τέτοιων επιχειρήσεων δεν έχουν άλλη επιλογή από το να χρησιμοποιήσουν τη λειτουργία EAGER.
Πρώτα απ 'όλα, θα χρειαστεί να συνδέσουμε το AD ως εξωτερικό LDAP στο Zimbra. Για να το κάνετε αυτό, μεταβείτε στην κονσόλα διαχείρισης, η οποία βρίσκεται στη διεύθυνση mail.company.ru:7071/zimbraAdmin/, στη συνέχεια επιλέξτε το στοιχείο στην αριστερή πλαϊνή γραμμή Διαμορφώστε, και μετά την υποπαράγραφο Domains. Εισηγμένη ντομέν Τώρα πρέπει να επιλέξουμε αυτό που θα χρησιμοποιήσουμε σε συνδυασμό με το AD και, κάνοντας δεξί κλικ στον επιλεγμένο τομέα, να επιλέξουμε το στοιχείο "Διαμόρφωση ελέγχου ταυτότητας". Μετά από αυτό, θα εμφανιστεί στην οθόνη ένας εξωτερικός διάλογος διαμόρφωσης LDAP, στον οποίο θα εισαγάγουμε όλα τα απαραίτητα δεδομένα για την ενοποίηση του Zimbra με το AD.
Αφού εισαγάγετε όλα τα απαραίτητα δεδομένα, θα πρέπει για παράδειγμα να δημιουργήσετε ένα αρχείο ρυθμίσεων αγγίξτε ~/Documents/autoprov.cfg, στην οποία θα εισαγάγουμε μια σειρά από εντολές που πρέπει να εισαχθούν για να ενεργοποιηθεί η αυτόματη διαμόρφωση λογαριασμών από το AD σε λειτουργία EAGER. Σε αντίθεση με το LAZY Mode, όπου η διαδικασία εγκατάστασης είναι εξαιρετικά απλή και όλες οι ρυθμίσεις μπορούν να εισαχθούν ως εντολές στο CLI, στην περίπτωση του EAGER Mode είναι καλύτερο να το παίξετε με ασφάλεια και να αποθηκεύσετε όλες τις ρυθμίσεις σε ξεχωριστό αρχείο. Αυτό θα διευκολύνει την πραγματοποίηση αλλαγών σε αυτά εάν κάτι πάει στραβά ξαφνικά.
Μετά τη δημιουργία του αρχείου λοιπόν ~/Documents/autoprov.cfg, θα πρέπει να εισαγάγετε τις ακόλουθες γραμμές σε αυτό, έχοντας προηγουμένως προσαρμοστεί στην υποδομή σας:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Χάρη σε αυτές τις ρυθμίσεις, αναγκάζουμε τον διακομιστή Zimbra να επικοινωνεί με την AD κάθε λεπτό και να λαμβάνει πληροφορίες σχετικά με την εμφάνιση νέων χρηστών στη βάση δεδομένων και, εάν εντοπιστούν, να δημιουργήσει έναν λογαριασμό για αυτούς και να στείλει ένα μήνυμα καλωσορίσματος.
Αφού αποθηκευτούν όλες οι αλλαγές στο αρχείο, θα πρέπει να εφαρμόσετε τις ρυθμίσεις που καθορίζονται σε αυτό χρησιμοποιώντας την εντολή zmprov < ~/Documents/autoprov.cfg. Όλες οι αλλαγές που έγιναν θα λειτουργήσουν αμέσως.
Εάν λειτουργεί η αυτόματη διαμόρφωση λογαριασμών από το AD σε λειτουργία EAGER, στο αρχείο /opt/zimbra/log/mailbox.log Η πρόοδος της αυτόματης διαμόρφωσης λογαριασμού θα εμφανιστεί στην ακόλουθη μορφή:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Εάν η αυτόματη ρύθμιση παραμέτρων των λογαριασμών δεν λειτουργεί, τότε το πρόβλημα είναι πιθανότατα από την πλευρά του διακομιστή AD. Σε αυτήν την περίπτωση, πρέπει να δείτε τον κωδικό σφάλματος που παρουσιάζεται. Σας παρουσιάζουμε τα πιο συνηθισμένα από αυτά:
525 - Ο χρήστης δεν βρέθηκε
52e - Μη έγκυρα διαπιστευτήρια
530 - Δεν υπάρχει άδεια εισόδου αυτήν τη στιγμή
531 - Δεν έχετε άδεια να συνδεθείτε από αυτόν τον υπολογιστή
532 — Ο κωδικός πρόσβασης έχει λήξει
533 - Ο λογαριασμός έχει ανασταλεί
534 - Ο χρήστης δεν έχει επαρκή δικαιώματα για να συνδεθεί σε αυτόν τον υπολογιστή
701 - Ο λογαριασμός έχει λήξει
773 - Ο χρήστης πρέπει να επαναφέρει τον κωδικό πρόσβασης
775 — Η εγκυρότητα του λογαριασμού είναι προσωρινά περιορισμένη
8350 - μη έγκυρη μορφή Distinguished Name
Πηγή: www.habr.com
