En uno de nuestros artículos anteriores sobre cómo se puede "amigablemente" integrar Zimbra y MS Active Directory, que se utiliza en la mayoría de las empresas rusas para la gestión de cuentas de usuario. En él, sugerimos a los usuarios de Zimbra que utilizaran el método más simple y seguro para crear buzones de correo en Zimbra basado en datos de AD, llamado LAZY Mode. Este modo de operación permite crear automáticamente un nuevo usuario de Zimbra con el nombre y la contraseña de AD en el momento de su primer inicio de sesión en el cliente web de Zimbra. Sin embargo, gracias a la discusión que se desarrolló en los comentarios, quedó claro que no a todos los administradores les resulta adecuado este método de configuración automática de usuarios Zimbra desde AD. Por lo tanto, ahora hablaremos de un método alternativo para automatizar la creación de cuentas de usuario basadas en datos de AD llamado EAGER Mode.
LAZY y EAGER Mode difieren en los enfoques para la creación de nuevas cuentas. En el caso de LAZY, el sistema espera hasta que el usuario ingrese al cliente web de Zimbra para crear un nuevo usuario, mientras que en EAGER, el sistema sondea periódicamente el servidor AD en busca de nuevos usuarios, y, en caso de una respuesta afirmativa, crea automáticamente una nueva cuenta basada en los datos proporcionados por Active Directory. Una diferencia pequeña, a primera vista, puede hacer que el uso de LAZY Mode sea completamente inaceptable para ciertos gerentes de TI.
Uno de esos casos podría ser la prohibición directa del uso del cliente web de Zimbra. Esto puede deberse a la optimización de los recursos computacionales del servidor (cuando se utiliza el cliente web, el servidor con Zimbra puede ofrecer un servicio de calidad para 2500 usuarios, mientras que con los clientes de escritorio y móviles hasta 5-6 mil usuarios), o a la política de seguridad de la empresa que prohíbe de manera estricta el uso del cliente web para trabajar con el correo. La ausencia del cliente web impide el uso de LAZY Mode, que solo funciona en él, lo que significa que los gerentes de TI de tales empresas no tienen otra opción que usar EAGER Mode.
Primero, necesitamos conectar AD como un LDAP externo a Zimbra. Para ello, hay que entrar en la consola de administración, que se encuentra en la dirección mail.company.ru:7071/zimbraAdmin/, luego en el panel lateral izquierdo seleccionar la opción Configurar, y luego el subapartado Dominios. En la lista dominios ahora debemos seleccionar el que utilizaremos en conjunto con AD y, haciendo clic con el botón derecho en el dominio seleccionado, elegir la opción «Configurar Autenticación». Después, aparecerá en la pantalla un cuadro de diálogo para la configuración de LDAP externo, donde ingresaremos todos los datos necesarios para integrar Zimbra con AD.
Una vez que hayamos ingresado todos los datos necesarios, debemos crear un archivo de configuración, por ejemplo, touch ~/Documents/autoprov.cfg, en el cual ingresaremos una serie de comandos que son necesarios para activar la autoconfiguración de cuentas desde AD en modo EAGER. A diferencia del modo LAZY, donde el proceso de configuración es extremadamente sencillo y todos los ajustes se pueden introducir como comandos en la CLI, en el caso de EAGER es mejor ser precavidos y almacenar todos los ajustes en un archivo separado. Así será más fácil hacer cambios en caso de que algo no funcione como se esperaba.
Así que, después de crear el archivo ~/Documents/autoprov.cfg, debemos escribir las siguientes líneas, adaptándolas previamente a su infraestructura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Su cuenta ha sido creada automáticamente. La dirección de su correo electrónico es ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Se ha creado automáticamente una nueva cuenta"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Gracias a estas configuraciones, hacemos que el servidor Zimbra consulte a AD cada minuto para obtener información sobre la aparición de nuevos usuarios en la base de datos, y en caso de encontrarlos, crea una cuenta para ellos y envía un mensaje de bienvenida.
Después de que se guarden todos los cambios en el archivo, será necesario aplicar las configuraciones especificadas en él mediante el comando zmprov < ~/Documents/autoprov.cfg. Todos los cambios realizados funcionarán de inmediato, no debería ser necesaria la reinicialización del servidor.
En caso de que la auto-configuración de cuentas desde AD en modo EAGER funcione, el archivo /opt/zimbra/log/mailbox.log mostrará el progreso de la auto-configuración de cuentas de la siguiente manera:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Si la auto-configuración de cuentas no funciona, el problema está probablemente del lado del servidor AD. En este caso, es necesario observar el código del error que se genera. Presentamos los más comunes:
525 — Usuario no encontrado
52e — Credenciales incorrectas
530 — No tiene permiso para iniciar sesión en este momento
531 — No tiene permiso para iniciar sesión desde este ordenador
532 — La vida útil de la contraseña ha expirado
533 — La cuenta está desactivada
534 — El usuario no tiene suficientes derechos para iniciar sesión desde este ordenador
701 — La vida útil de la cuenta ha expirado
773 — El usuario debe restablecer la contraseña
775 — La acción de la cuenta está temporalmente restringida
8350 — formato de Distinguished Name incorrecto
Fuente: habr.com
