באחד מהמאמרים הקודמים שלנו על איך אתה יכול "להכיר חברים" Zimbra ו-MS Active Directory, המשמשת ברוב הארגונים הרוסיים לניהול חשבונות משתמשים. בו, הצענו למשתמשי זימברה לנצל את הדרך הפשוטה והמאובטחת ביותר ליצור תיבות דואר בזימברה על בסיס נתונים מ-AD הנקראים LAZY Mode. אופן פעולה זה מאפשר ליצור באופן אוטומטי משתמש חדש של Zimbra עם שם משתמש וסיסמה מ-AD ממש בזמן הכניסה הראשונה שלו ל-Zimbra Web Client. עם זאת, הודות לדיון שהתגלגל בתגובות, התברר שלא כל המנהלים מתאימים לשיטה זו של הגדרה אוטומטית של משתמשי Zimbra מ-AD. לכן, כעת נדבר על דרך חלופית להפוך את יצירת חשבונות המשתמש לאוטומטיים על בסיס נתונים מ-AD הנקראת EAGER Mode.
מצב LAZY ו-EAGER נבדלים בגישותיהם ליצירת חשבונות חדשים. אם במקרה של LAZY המערכת מחכה שהמשתמש יכנס ללקוח האינטרנט של Zimbra כדי ליצור משתמש חדש, אז במקרה של EAGER המערכת מעת לעת סוקרת את השרת עם AD עבור משתמשים חדשים, ואם התשובה היא כן, הוא יוצר אחד חדש בחשבונו על סמך נתונים המסופקים על ידי Active Directory. הבדל חסר משמעות לכאורה יכול להפוך את השימוש במצב LAZY לבלתי מקובל לחלוטין עבור מספר מנהלי IT.
אחד מהמקרים הללו עשוי להיות איסור ישיר על השימוש בלקוח האינטרנט Zimbra. הסיבה לכך עשויה להיות חיסכון בצריכת חשמל בשרת (בשימוש בלקוח אינטרנט, שרת עם זימברה יכול לספק שירות איכותי ל-2500 משתמשים, ובשימוש בלקוחות שולחניים וסלולריים עד 5-6 אלף משתמשים), או אבטחה ארגונית. מדיניות האוסרת ישירות על השימוש ב-web client לעבודה עם דואר. היעדר לקוח אינטרנט מביא לחוסר יכולת להשתמש במצב LAZY, שפועל רק בו, מה שאומר שלמנהלי IT של ארגונים כאלה אין ברירה אלא להשתמש במצב EAGER.
קודם כל, עלינו לחבר את AD כ-LDAP חיצוני ל-Zimbra. כדי לעשות זאת, עבור אל מסוף הניהול, שנמצא בכתובת mail.company.ru:7071/zimbraAdmin/, ולאחר מכן בחר את הפריט בסרגל הצד השמאלי גדר, ולאחר מכן סעיף משנה תחומים. ברשימה דומיינים כעת עלינו לבחור את זה בו נשתמש בשילוב עם AD, ובלחיצה ימנית על הדומיין שנבחר, לבחור את הפריט. "הגדר אימות". לאחר מכן יופיע על המסך תיבת הגדרות ה-LDAP החיצונית, בה נזין את כל הנתונים הדרושים לשילוב Zimbra עם AD.
לאחר הזנת כל הנתונים הדרושים, עליך ליצור קובץ תצורה, למשל גע ב-~/Documents/autoprover.cfg, בו נזין סדרה של פקודות שיש להזין כדי להפעיל הגדרה אוטומטית של חשבונות מ-AD במצב EAGER. בניגוד ל-LAZY Mode, שבו תהליך ההגדרה פשוט ביותר וניתן להזין את כל ההגדרות כפקודות ב-CLI, במקרה של EAGER Mode עדיף לשחק בו בטוח ולאחסן את כל ההגדרות בקובץ נפרד. זה יקל על ביצוע שינויים בהם למקרה שמשהו ישתבש פתאום.
אז לאחר יצירת הקובץ ~/Documents/autoprover.cfg, עליך להזין בו את השורות הבאות, לאחר שהתאמתם בעבר לתשתית שלך:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"הודות להגדרות אלו אנו מאלצים את שרת זימברה ליצור קשר עם AD בכל דקה ולקבל מידע על הופעת משתמשים חדשים במאגר, ובמידה והם נמצאו ליצור עבורם חשבון ולשלוח הודעת קבלת פנים.
לאחר שמירת כל השינויים בקובץ, יהיה צורך להחיל את ההגדרות שצוינו בו באמצעות הפקודה zmprov < ~/Documents/autoprov.cfg. כל השינויים שבוצעו יפעלו באופן מיידי, לא אמור להיות צורך להפעיל מחדש את השרת.
במקרה שהגדרה אוטומטית של חשבונות מ- AD למצב EAGER עובדת, בקובץ /opt/zimbra/log/mailbox.log התקדמות ההגדרה האוטומטית של החשבון תוצג בטופס הבא:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"אם תצורה אוטומטית של חשבונות לא עובדת, כנראה שהבעיה היא בצד של שרת AD. במקרה זה, עליך להסתכל על קוד השגיאה שמתרחש. אנו מציגים את הנפוצים שבהם:
525 - המשתמש לא נמצא
52ה - אישורים לא חוקיים
530 - אין הרשאה להיכנס בשלב זה
531 - אין הרשאה להתחבר מהמחשב הזה
532 - פג תוקף הסיסמה
533 - החשבון הופסק
534 - למשתמש אין מספיק זכויות להיכנס ממחשב זה
701 - פג תוקף החשבון
773 - על המשתמש לאפס את הסיסמה
775 - החשבון מוגבל באופן זמני
8350 - פורמט שם מובחן לא חוקי
מקור: www.habr.com
