Korábbi cikkünkben miként lehet "összehozni" a Zimbra-t és a MS Active Directory-t, amelyet a legtöbb orosz vállalat használ a felhasználói fiókok kezelésére. Javasoltuk a Zimbra felhasználóknak a legegyszerűbb és legbiztonságosabb módszert az e-mail fiókok Zimbrába történő létrehozására az AD-ból, ezt LAZY módnak neveztük. Ez a működési mód lehetővé teszi, hogy egy új Zimbra felhasználót automatikusan létrehozzanak az AD-ból származó névvel és jelszóval éppen akkor, amikor az első alkalommal bejelentkezik a web kliensbe. Ugyanakkor a kommentekben zajló vitából kiderült, hogy nem minden adminisztrátornak megfelelő ez a módszer a Zimbra felhasználók AD-ból való automatikus beállítására. Ezért most egy alternatív megoldásról beszélünk, amely az AD-ból származó adatok alapján történő felhasználói fiókok automatizált létrehozását jelenti, ezt EAGER módnak hívják.
A LAZY és az EAGER mód eltérő megközelítéseket alkalmaz az új fiókok létrehozásában. Míg a LAZY esetén a rendszer vár a felhasználóra, hogy ő maga belépjen a Zimbra web kliensbe az új felhasználó létrehozásához, addig az EAGER esetén a rendszer időszakosan lekérdezi az AD szervert az új felhasználók megjelenéséről, és ha pozitív választ kap, automatikusan létrehoz egy új fiókot az Active Directory által megadott adatok alapján. Az első ránézésre jelentéktelen eltérés teljes mértékben elfogadhatatlanná teheti a LAZY mód használatát egyes IT-menedzserek számára.
Egy ilyen eset lehet például a Zimbra web kliens használatának egyenes megtiltása. Ennek oka lehet a szerver számítási kapacitásának megtakarítása (a Zimbra web kliens használatával a szerver 2500 felhasználónak tud minőségi szolgáltatást nyújtani, míg asztali és mobil kliensek használata esetén akár 5-6 ezer felhasználót is kezelni tud), vagy a vállalat biztonsági politikája, amely kifejezetten megtiltja a web kliens használatát a levelezés kezelésére. A web kliens hiánya megakadályozza a LAZY mód használatát, amely csak ebben működik, és így az ilyen vállalatok IT-menedzserei számára nem marad más választás, mint az EAGER mód használata.
Először is, szükségünk van az AD csatlakoztatására külső LDAP-ként a Zimbrához. Ehhez lépjen be az adminisztrációs konzolba, amely az alábbi címen található mail.company.ru:7071/zimbraAdmin/, majd a bal oldali panelen válassza a Configurepontot, és ezután a Domainekalpontot. A listában domainok most ki kell választanunk azt, amelyet az AD-val együtt fogunk használni, majd a kiválasztott domainek jobb gombjával kattintva válasszuk a „Configure Authentification”opciót. Ezt követően megjelenik egy párbeszédpanel a külső LDAP beállításához, ahol megadjuk az összes szükséges adatot a Zimbra és az AD integrálásához.
Minden szükséges adat megadása után létre kell hozni egy konfigurációs fájlt, például touch ~/Documents/autoprov.cfg, amelybe beírunk egy sor parancsot, amelyet az AD-fiókok auto-beállításának aktiválásához kell megadni EAGER Módban. A LAZY Móddal ellentétben, ahol a beállítás folyamata rendkívül egyszerű, és az összes beállítást parancsként lehet megadni a CLI-ben, az EAGER Mód esetében érdemes biztosra menni, és az összes beállítást egy külön fájlban tárolni. Így egyszerűbb lesz módosítani őket, ha valami váratlanul nem úgy történik.
Tehát, a fájl létrehozása után ~/Documents/autoprov.cfg, a következő sorokat kell beírni, előkészítve azokat az Ön infrastruktúrájához:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "A fiókod automatikusan létrejött. Email címed ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Új fiók automatikusan létrejött"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Ezekkel a beállításokkal arra kényszerítjük a Zimbra szervert, hogy minden percben lekérdezze az AD-t, és információt kapjon az új felhasználók megjelenéséről az adatbázisban. Ha új felhasználókat talál, fiókot hoz létre számukra, és üdvözlő üzenetet küld.
Miután az összes változtatást elmentettük a fájlban, alkalmazni kell a benne meghatározott beállításokat a következő parancs segítségével: zmprov < ~/Documents/autoprov.cfg. Az elvégzett változtatások azonnal életbe lépnek, a szerver újraindítására nincs szükség.
Ha az fiókauto-beállítás az AD-ból EAGER módban működik, a fájlban /opt/zimbra/log/mailbox.log a fiókauto-beállítás folyamatát a következő formában láthatjuk:
[AutoProvision] [] autoprov - Fiókautomatikus beállítás a company.ru domaineken
[AutoProvision] [] autoprov - 1 külső LDAP bejegyzés érkezett keresési eredményként
[AutoProvision] [] autoprov - fiók automatikus létrehozása EAGER módban: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Ha azonban az fiókauto-beállítás nem működik, akkor a probléma valószínűleg az AD-szerveren van. Ebben az esetben figyelni kell a keletkező hiba kódjára. A leggyakoribb hibák a következők:
525 — Felhasználó nem található
52e — Érvénytelen hitelesítési adatok
530 — Jelenleg nincs engedély a bejelentkezésre
531 — Nincs engedély a bejelentkezésre erről a számítógépről
532 — A jelszó érvényességi ideje lejárt
533 — A fiók inaktív
534 — A felhasználónak nincsenek megfelelő jogai a bejelentkezéshez erről a számítógépről
701 — A fiók érvényességi ideje lejárt
773 — A felhasználónak jelszót kell visszaállítania
775 — A fiók ideiglenesen korlátozva van
8350 — érvénytelen Distinguished Name formátum
Forrás: habr.com
