In uno dei nostri articoli precedenti riguardo a come "mettere d'accordo" Zimbra e MS Active Directory, utilizzato nella maggior parte delle aziende russe per la gestione degli account utente. In esso, suggerivamo agli utenti di Zimbra di approfittare del metodo più semplice e sicuro per creare caselle di posta in Zimbra basato sui dati AD, chiamato LAZY Mode. Questa modalità consente di creare automaticamente un nuovo utente Zimbra con nome e password da AD nel momento stesso in cui accede per la prima volta al client web di Zimbra. Tuttavia, grazie alla vivace discussione nei commenti, è emerso che non tutti gli amministratori trovano adatta questa modalità di autoconfigurazione degli utenti Zimbra da AD. Pertanto, ora parleremo di un modo alternativo per automatizzare la creazione degli account basato sui dati AD, chiamato EAGER Mode.
LAZY e EAGER Mode si differenziano nei loro approcci alla creazione di nuovi account. Nel caso di LAZY, il sistema attende che l'utente acceda al client web Zimbra per creare un nuovo utente; nel caso di EAGER, il sistema interroga periodicamente il server AD per la presenza di nuovi utenti e, in caso di risposta affermativa, crea autonomamente un nuovo account sulla base dei dati forniti da Active Directory. Una differenza che può sembrare trascurabile a prima vista, potrebbe rendere l'uso della modalità LAZY completamente inaccettabile per un certo numero di IT manager.
Uno di questi casi potrebbe essere il divieto di utilizzare il client web Zimbra. Questo può essere dovuto a un risparmio delle risorse computazionali del server (utilizzando il client web, il server con Zimbra può garantire un servizio di qualità per 2500 utenti, mentre con i client desktop e mobili fino a 5-6 mila utenti), oppure alla politica di sicurezza dell'azienda che vieta esplicitamente l'uso del client web per la gestione della posta. L'assenza del client web comporta l'impossibilità di utilizzare la modalità LAZY Mode, che funziona solo con questo, e quindi ai manager IT di tali aziende non resta che utilizzare la modalità EAGER Mode.
In primo luogo, è necessario collegare l'AD come LDAP esterno a Zimbra. Per fare ciò, accedere alla console di amministrazione, disponibile all'indirizzo mail.company.ru:7071/zimbraAdmin/, dopodiché nel pannello laterale sinistro selezionare l'opzione Configure, e poi il sottopunto Domains. Dall'elenco domini è ora necessario selezionare quello da utilizzare insieme all'AD e, cliccando con il tasto destro sul dominio selezionato, scegliere l'opzione «Configure Authentification». Dopo di che, apparirà sullo schermo una finestra di configurazione LDAP esterno, in cui inseriremo tutti i dati necessari per integrare Zimbra con AD.
Dopo aver inserito tutti i dati necessari, dobbiamo creare un file di configurazione, ad esempio touch ~/Documents/autoprov.cfg, nel quale inseriremo una serie di comandi necessari per attivare la configurazione automatica degli account da AD in modalità EAGER. A differenza della modalità LAZY, dove il processo di configurazione è molto semplice e tutte le impostazioni possono essere inserite come comandi nella CLI, nel caso di EAGER Mode è meglio essere prudenti e mantenere tutte le impostazioni in un file separato. Sarà più facile apportare modifiche nel caso in cui qualcosa dovesse andare storto.
Quindi, dopo aver creato il file ~/Documents/autoprov.cfg, dobbiamo inserire le seguenti righe, adattandole alla vostra infrastruttura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "La tua account è stata creata automaticamente. Il tuo indirizzo e-mail è ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Nuovo account è stato creato automaticamente"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Grazie a queste impostazioni, costringiamo il server Zimbra a contattare l'AD ogni minuto per ricevere informazioni sull'aggiunta di nuovi utenti nel database e, nel caso in cui venga rilevato, creare un account per loro e inviare un messaggio di benvenuto.
Dopo che tutte le modifiche al file sono state salvate, sarà necessario applicare le impostazioni in esso definite utilizzando il comando zmprov < ~/Documents/autoprov.cfg. Tutte le modifiche apportate entreranno in vigore immediatamente, non è necessaria una riavviamento del server.
Nel caso in cui l'autoprovisionamento degli account da AD in modalità EAGER funzioni, nel file /opt/zimbra/log/mailbox.log verrà visualizzato il progresso dell'autoprovisionamento degli account nel seguente formato:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Se l'autoprovisionamento degli account non funziona, il problema è probabilmente lato server AD. In questo caso, è necessario controllare il codice dell'errore che si verifica. Ecco i più comuni:
525 — Utente non trovato
52e — Credenziali non valide
530 — Nessun permesso per accedere attualmente
531 — Nessun permesso per accedere da questo computer
532 — La durata della password è scaduta
533 — L'account è stato disabilitato
534 — L'utente non ha i diritti sufficienti per accedere da questo computer
701 — La durata dell'account è scaduta
773 — L'utente deve reimpostare la password
775 — L'azione dell'account è temporaneamente limitata
8350 — formato Distinto Nome non valido
Fonte: habr.com
