In uno dei nostri articoli precedenti di come "mettere insieme" Zimbra e MS Active Directory, che viene utilizzato nella maggior parte delle aziende russe per la gestione degli account utente. In esso, abbiamo proposto agli utenti di Zimbra di utilizzare il modo più semplice e sicuro per creare caselle di posta in Zimbra basato su dati provenienti da AD chiamato LAZY Mode. Questa modalità di funzionamento consente di creare automaticamente un nuovo utente Zimbra con nome e password da AD al momento del suo primo accesso al client web Zimbra. Tuttavia, grazie alla discussione emersa nei commenti, è diventato evidente che non tutti gli amministratori trovano adatta questa modalità di auto-configurazione degli utenti Zimbra da AD. Pertanto, ora parleremo di un modo alternativo per automatizzare la creazione degli account utente basato su dati AD chiamato EAGER Mode.
LAZY e EAGER Mode differiscono negli approcci per la creazione di nuovi account. Nel caso di LAZY, il sistema aspetta che l'utente acceda al client web Zimbra per creare un nuovo utente, mentre nel caso di EAGER, il sistema interroga periodicamente il server AD per rilevare la presenza di nuovi utenti, e, in caso di risposta positiva, crea autonomamente un nuovo account sulla base dei dati forniti dall'Active Directory. Una differenza apparentemente minima, può rendere completamente inaccettabile l'uso della modalità LAZY per diversi IT manager.
Uno di questi casi potrebbe essere il divieto diretto di utilizzare il client web Zimbra. Le ragioni possono essere il risparmio delle risorse computazionali del server (con l'uso del client web, il server con Zimbra può garantire un servizio di qualità per 2500 utenti, mentre con client desktop e mobili fino a 5-6 mila utenti), oppure la politica di sicurezza dell'azienda che proibisce esplicitamente l'uso del client web per la gestione della posta. L'assenza del client web rende impossibile l'uso della modalità LAZY, che funziona solo in esso, e significa che gli IT manager di tali aziende non hanno altra scelta che usare la modalità EAGER.
Innanzitutto, è necessario collegare AD come LDAP esterno a Zimbra. Per fare ciò, accedere alla console di amministrazione, che si trova all'indirizzo mail.company.ru:7071/zimbraAdmin/, dopodiché, nel pannello laterale sinistro, selezionare la voce Configura, e poi la sottovoce Domini. Nella lista dei domini ora occorre selezionare quello che utilizzeremo in combinazione con AD e, cliccando con il tasto destro sul dominio selezionato, scegliere la voce «Configura autenticazione». Dopo di che, sullo schermo apparirà una finestra di dialogo per la configurazione dell'LDAP esterno, in cui inseriremo tutti i dati necessari per l'integrazione di Zimbra con AD.
Dopo aver inserito tutti i dati necessari, occorre creare un file di configurazione, ad esempio touch ~/Documents/autoprov.cfg, in cui inseriremo una serie di comandi che devono essere inseriti per attivare la configurazione automatica degli account da AD in modalità EAGER. A differenza della modalità LAZY, dove il processo di configurazione è estremamente semplice e tutte le impostazioni possono essere fornite come comandi nel CLI, nel caso della modalità EAGER è meglio tutelarsi e conservare tutte le impostazioni in un file separato. Sarà più facile apportare modifiche nel caso in cui qualcosa vada storto.
Quindi, dopo aver creato il file ~/Documents/autoprov.cfg, dovremo scrivere le seguenti righe, adattandole preventivamente alla tua infrastruttura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Il tuo account è stato creato automaticamente. L'indirizzo email è ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Nuovo account creato automaticamente"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Grazie a queste impostazioni, costringiamo il server Zimbra a contattare costantemente l'AD per ottenere informazioni sull'arrivo di nuovi utenti nel database e, in caso di rilevamento, creare un account per loro e inviare un messaggio di benvenuto.
Una volta salvate tutte le modifiche nel file, sarà necessario applicare le impostazioni scritte al suo interno tramite il comando zmprov < ~/Documents/autoprov.cfg. Tutte le modifiche apportate diventeranno operative immediatamente, non dovrebbe essere necessaria una riavvio del server.
Nel caso in cui l'autoconfigurazione degli account dall'AD in modalità EAGER funzioni, nel file /opt/zimbra/log/mailbox.log verrà visualizzato il progresso dell'autoconfigurazione degli account nel seguente modo:
[AutoProvision] [] autoprov - Autoconfigurazione account sul dominio company.ru
[AutoProvision] [] autoprov - 1 voce LDAP esterna restituita come risultato della ricerca
[AutoProvision] [] autoprov - creazione automatica dell'account in modalità EAGER: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Se invece l'autoconfigurazione degli account non funziona, il problema è probabilmente lato server AD. In questo caso, è necessario controllare il codice dell'errore che si presenta. Elenchiamo i più comuni:
525 — Utente non trovato
52e — Credenziali non valide
530 — Permesso di accesso attualmente non disponibile
531 — Nessun permesso di accesso da questo computer
532 — La scadenza della password è scaduta
533 — L'operatività dell'account è stata sospesa
534 — L'utente non ha i diritti sufficienti per accedere da questo computer
701 — La scadenza dell'account è scaduta
773 — L'utente deve reimpostare la password
775 — L'operatività dell'account è temporaneamente limitata
8350 — formato Distinguished Name non valido
Fonte: habr.com
