जिम्ब्रा सहयोग सूट में एडी से खातों का स्वचालित निर्माण

हमारे पिछले लेखों में से एक में हमने बताया आप ज़िम्ब्रा और एमएस एक्टिव डायरेक्ट्री के बीच "दोस्त कैसे बना सकते हैं" के बारे में, जिसका उपयोग अधिकांश रूसी उद्यमों द्वारा उपयोगकर्ता खातों को प्रबंधित करने के लिए किया जाता है। इसमें, हमने सुझाव दिया कि जिम्ब्रा उपयोगकर्ता AD के डेटा के आधार पर जिम्ब्रा में मेलबॉक्स बनाने के लिए सबसे आसान और सुरक्षित तरीके का उपयोग करें जिसे LAZY मोड कहा जाता है। ऑपरेशन का यह तरीका आपको स्वचालित रूप से एडी से उपयोगकर्ता नाम और पासवर्ड के साथ एक नया जिम्ब्रा उपयोगकर्ता बनाने की अनुमति देता है, जैसे ही आप पहली बार जिम्ब्रा वेब क्लाइंट में लॉग इन करते हैं। हालाँकि, टिप्पणियों में सामने आई चर्चा के लिए धन्यवाद, यह स्पष्ट हो गया कि सभी प्रशासक AD से ज़िम्ब्रा उपयोगकर्ताओं को ऑटो-कॉन्फ़िगर करने की इस पद्धति के लिए उपयुक्त नहीं हैं। इसलिए, अब हम AD के डेटा के आधार पर उपयोगकर्ता खातों के निर्माण को स्वचालित करने के एक वैकल्पिक तरीके के बारे में बात करेंगे जिसे EAGER मोड कहा जाता है।

LAZY और EAGER मोड नए खाते बनाने के अपने दृष्टिकोण में भिन्न हैं। यदि LAZY के मामले में सिस्टम एक नया उपयोगकर्ता बनाने के लिए उपयोगकर्ता द्वारा ज़िम्ब्रा वेब क्लाइंट में लॉग इन करने की प्रतीक्षा करता है, तो EAGER के मामले में सिस्टम समय-समय पर नए उपयोगकर्ताओं की उपस्थिति के लिए AD के साथ सर्वर का सर्वेक्षण करता है, और, यदि उत्तर सकारात्मक है, तो यह सक्रिय निर्देशिका द्वारा उपलब्ध कराए गए डेटा के आधार पर स्वतंत्र रूप से एक नया खाता बनाता है। एक प्रतीत होने वाला महत्वहीन अंतर कई आईटी प्रबंधकों के लिए LAZY मोड के उपयोग को पूरी तरह से अस्वीकार्य बना सकता है।

ऐसा ही एक मामला ज़िम्ब्रा वेब क्लाइंट के उपयोग पर सीधा प्रतिबंध हो सकता है। इसका कारण सर्वर कंप्यूटिंग पावर की बचत हो सकती है (वेब ​​क्लाइंट का उपयोग करते समय, ज़िम्ब्रा वाला सर्वर 2500 उपयोगकर्ताओं के लिए उच्च गुणवत्ता वाली सेवा प्रदान कर सकता है, और डेस्कटॉप और मोबाइल क्लाइंट का उपयोग करते समय 5-6 हजार उपयोगकर्ताओं तक), या एक उद्यम सुरक्षा नीति जो सीधे तौर पर मेल के साथ काम करने के लिए वेब - क्लाइंट के उपयोग पर रोक लगाती है। वेब क्लाइंट की अनुपस्थिति से LAZY मोड का उपयोग करना असंभव हो जाता है, जो केवल इसमें काम करता है, जिसका अर्थ है कि ऐसे उद्यमों के आईटी प्रबंधकों के पास EAGER मोड का उपयोग करने के अलावा कोई विकल्प नहीं है।

सबसे पहले, हमें AD को बाहरी LDAP के रूप में ज़िम्ब्रा से कनेक्ट करना होगा। ऐसा करने के लिए, प्रशासन कंसोल पर जाएँ, जो स्थित है mail.company.ru:7071/zimbraAdmin/, फिर बाएं साइडबार में आइटम का चयन करें कॉन्फ़िगर, और फिर उप पैराग्राफ डोमेन. सूचीबद्ध डोमेन अब हमें वह डोमेन चुनना होगा जिसका उपयोग हम AD के साथ करेंगे, और चुने हुए डोमेन पर राइट-क्लिक करके आइटम का चयन करें। "प्रमाणीकरण कॉन्फ़िगर करें". इसके बाद, स्क्रीन पर एक बाहरी एलडीएपी कॉन्फ़िगरेशन संवाद दिखाई देगा, जिसमें हम जिम्ब्रा को एडी के साथ एकीकृत करने के लिए सभी आवश्यक डेटा दर्ज करेंगे।

उदाहरण के लिए, सभी आवश्यक डेटा दर्ज करने के बाद, आपको एक कॉन्फ़िगरेशन फ़ाइल बनानी चाहिए ~/Documents/autoprov.cfg स्पर्श करें, जिसमें हम आदेशों की एक श्रृंखला दर्ज करेंगे जिन्हें ईएजीईआर मोड में एडी से खातों के ऑटो-कॉन्फ़िगरेशन को सक्रिय करने के लिए दर्ज किया जाना चाहिए। LAZY मोड के विपरीत, जहां सेटअप प्रक्रिया बेहद सरल है और सभी सेटिंग्स को CLI में कमांड के रूप में दर्ज किया जा सकता है, EAGER मोड के मामले में इसे सुरक्षित रखना और सभी सेटिंग्स को एक अलग फ़ाइल में संग्रहीत करना बेहतर है। इससे अचानक कुछ गलत होने पर उनमें बदलाव करना आसान हो जाएगा।

तो फ़ाइल बनाने के बाद ~/Documents/autoprov.cfg, आपको पहले से ही उन्हें अपने बुनियादी ढांचे में अनुकूलित करने के बाद, इसमें निम्नलिखित पंक्तियाँ दर्ज करनी चाहिए:

md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"

इन सेटिंग्स के लिए धन्यवाद, हम जिम्ब्रा सर्वर को हर मिनट AD से संपर्क करने और डेटाबेस में नए उपयोगकर्ताओं की उपस्थिति के बारे में जानकारी प्राप्त करने के लिए बाध्य करते हैं, और यदि उनका पता चलता है, तो उनके लिए एक खाता बनाएं और एक स्वागत संदेश भेजें।

फ़ाइल में सभी परिवर्तन सहेजे जाने के बाद, आपको कमांड का उपयोग करके इसमें निर्दिष्ट सेटिंग्स लागू करने की आवश्यकता होगी zmprov <~/Documents/autoprov.cfg. किए गए सभी परिवर्तन तुरंत काम करेंगे; सर्वर को पुनरारंभ करने की कोई आवश्यकता नहीं होनी चाहिए।

यदि ईएजीईआर मोड में एडी से खातों का ऑटो-कॉन्फ़िगरेशन काम करता है, तो फ़ाइल में /opt/zimbra/log/mailbox.log खाता स्वतः कॉन्फ़िगरेशन की प्रगति निम्नलिखित रूप में प्रदर्शित की जाएगी:

[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"

यदि खातों का ऑटो-कॉन्फ़िगरेशन काम नहीं करता है, तो समस्या सबसे अधिक संभावना AD सर्वर साइड पर है। इस मामले में, आपको होने वाले त्रुटि कोड को देखना होगा। हम उनमें से सबसे आम प्रस्तुत करते हैं:

525 - उपयोगकर्ता नहीं मिला
52e - अमान्य क्रेडेंशियल
530 - इस समय प्रवेश की अनुमति नहीं है
531 - आपको इस कंप्यूटर से लॉग ऑन करने की अनुमति नहीं है
532 - पासवर्ड समाप्त हो गया है
533 - खाता निलंबित कर दिया गया है
534 - उपयोगकर्ता के पास इस कंप्यूटर पर लॉग ऑन करने के पर्याप्त अधिकार नहीं हैं
701 - खाता समाप्त हो गया है
773 - उपयोगकर्ता को पासवर्ड रीसेट करना होगा
775 — खाते की वैधता अस्थायी रूप से सीमित है
8350 - अमान्य विशिष्ट नाम प्रारूप

स्रोत: www.habr.com