U jednom od naših prethodnih članaka o tome kako „prijateljski spojiti“ Zimbru i MS Active Directory, koja se koristi u većini hrvatskih poduzeća za upravljanje korisničkim računima. U njemu smo predložili korisnicima Zimbre da iskoriste najjednostavniji i naj sigurniji način za kreiranje poštanskih kutija u Zimbri na temelju podataka iz AD-a pod nazivom LAZY Mode. Ovaj način rada omogućava automatsko stvaranje novog korisnika Zimbre s imenom i lozinkom iz AD-a u trenutku kada se prvi put prijavi u web-klijent Zimbre. Međutim, zahvaljujući raspravi koja se razvila u komentarima, postalo je jasno da takav način automatske postavke korisnika Zimbre iz AD-a nije prikladan za sve administratore. Stoga ćemo vam sada predstaviti alternativni način automatizacije kreiranja korisničkih računa na temelju podataka iz AD-a pod nazivom EAGER Mode.
LAZY i EAGER Mode razlikuju se po pristupu stvaranju novih računa. Dok u slučaju LAZY sustav čeka da se korisnik sam prijavi u web-klijent Zimbre da bi stvorio novog korisnika, u slučaju EAGER sustav periodično provjerava poslužitelj s AD-om zbog pojave novih korisnika i, u slučaju pozitivnog odgovora, samostalno stvara novi korisnički račun na temelju podataka koje pruža Active Directory. Naizgled mala razlika može učiniti korištenje LAZY Mode-a potpuno neprihvatljivim za određene IT menadžere.
Jedan od takvih slučajeva može biti izravna zabrana korištenja web-klijenta Zimbre. Razlog tome može biti ušteda računalne snage poslužitelja (pri korištenju web-klijenta poslužitelj s Zimbru može osigurati kvalitetnu uslugu za 2500 korisnika, dok pri korištenju desktop i mobilnih klijenata do 5-6 tisuća korisnika), ili politika sigurnosti poduzeća koja izričito zabranjuje korištenje web-klijenta za rad s poštom. Nedostatak web-klijenta onemogućava korištenje LAZY Mode-a, koji radi samo u njemu, što znači da IT menadžeri takvih poduzeća nemaju izbora osim koristiti EAGER Mode.
Prvo što trebamo učiniti je povezati AD kao vanjski LDAP s Zimbra. Za to se treba prijaviti u administracijski konzolu koja se nalazi na adresi mail.company.ru:7071/zimbraAdmin/, nakon čega u lijevom bočnom izborniku treba odabrati stavku Konfigurirati, a zatim i podstavku Domene. Na popisu domena . Sada je potrebno odabrati onaj koji ćemo koristiti u kombinaciji s AD i, kliknuvši desnom tipkom miša na odabranu domenu, odabrati stavku «Konfiguriraj Autentifikaciju». Nakon toga će se na ekranu pojaviti dijalog za postavljanje vanjskog LDAP-a, u kojem ćemo unijeti sve potrebne podatke za integraciju Zimbre s AD-om.
Nakon unosa svih potrebnih podataka, potrebno je stvoriti konfiguracijski datoteku, na primjer touch ~/Documents/autoprov.cfg, u koju ćemo unijeti niz komandi potrebnih za aktiviranje automatske konfiguracije računa iz AD-a u načinu EAGER. Za razliku od načina LAZY, gdje je postupak postavljanja izuzetno jednostavan i sve postavke se mogu unijeti kao komande u CLI, u slučaju EAGER načina bolje je biti oprezan i sve postavke čuvati u zasebnoj datoteci. Tako će biti lakše unijeti promjene u slučaju da nešto krene naopako.
Dakle, nakon što ste stvorili datoteku ~/Documents/autoprov.cfg, u nju treba unijeti sljedeće retke, prethodno ih prilagodivši svojoj infrastrukturi:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Vaš račun je automatski stvoren. Vaša e-mail adresa je ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Novi račun je automatski stvoren"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Zahvaljujući ovim postavkama, prisiljavamo Zimbra server da svake minute komunicira s AD-om i dobiva informacije o novim korisnicima u bazi podataka. U slučaju njihovog otkrivanja, stvorit će se korisnički račun i poslati pozdravna poruka.
Nakon što se sve promjene u datoteci sačuvaju, potrebno je primijeniti u njemu navedene postavke pomoću naredbe zmprov < ~/Documents/autoprov.cfg. Sve unesene izmjene odmah će stupiti na snagu, a nije potrebna ponovna pokretanja servera.
U slučaju da automatsko podešavanje računa iz AD-a u EAGER modu uspije, u datoteci /opt/zimbra/log/mailbox.log bit će prikazan tijek automatskog podešavanja računa na sljedeći način:
[AutoProvision] [] autoprov - Automatsko podešavanje računa na domeni company.ru
[AutoProvision] [] autoprov - 1 vanjski LDAP zapis vraćen kao rezultat pretraživanja
[AutoProvision] [] autoprov - automatsko stvaranje računa u EAGER modu: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Ako automatsko podešavanje računa ne radi, problem je vjerojatno na strani AD servera. U tom slučaju potrebno je pregledati kod greške koja se pojavila. Navodimo najčešće slučajeve:
525 — Korisnik nije pronađen
52e — Neispravni pristupni podaci
530 — Trenutno nema ovlasti za prijavu
531 — Nema ovlasti za prijavu s ovog računala
532 — Isteklo je vrijeme trajanja lozinke
533 — Aktivnost računa je obustavljena
534 — Korisniku nedostaju ovlasti za prijavu s ovog računala
701 — Isteklo je vrijeme trajanja računa
773 — Korisnik mora resetirati lozinku
775 — Aktivnost računa je privremeno ograničena
8350 — Neispravan format Distinguished Name
Izvor: habr.com
