ანგარიშის ავტომატური შექმნა AD-დან Zimbra Collaboration Suite-ში

ჩვენს ერთ-ერთ წინა სტატიაში ვუთხარით იმის შესახებ, თუ როგორ შეგიძლიათ „დამეგობრდეთ“ Zimbra-სა და MS Active Directory-ს შორის, რომელსაც რუსული საწარმოების უმეტესობა იყენებს მომხმარებლის ანგარიშების სამართავად. მასში ჩვენ შევთავაზეთ, რომ Zimbra მომხმარებლებს გამოეყენებინათ ყველაზე მარტივი და უსაფრთხო გზა Zimbra-ში საფოსტო ყუთების შესაქმნელად, AD-ის მონაცემების საფუძველზე, სახელწოდებით LAZY Mode. მოქმედების ეს რეჟიმი საშუალებას გაძლევთ ავტომატურად შექმნათ ახალი Zimbra მომხმარებელი მომხმარებლის სახელით და პაროლით AD-დან იმ მომენტიდან, როდესაც პირველად შეხვალთ Zimbra ვებ კლიენტში. ამასთან, კომენტარებში გამართული დისკუსიის წყალობით, ცხადი გახდა, რომ ყველა ადმინისტრატორი არ არის შესაფერისი AD–დან Zimbra–ს მომხმარებლების ავტომატური კონფიგურაციის ამ მეთოდისთვის. ამიტომ, ახლა ჩვენ ვისაუბრებთ მომხმარებლის ანგარიშების შექმნის ავტომატიზაციის ალტერნატიულ გზაზე AD-ის მონაცემებზე დაყრდნობით, სახელწოდებით EAGER Mode.

LAZY და EAGER რეჟიმი განსხვავდება ახალი ანგარიშების შექმნის მიდგომებით. თუ LAZY-ის შემთხვევაში სისტემა ელოდება მომხმარებლის შესვლას Zimbra ვებ კლიენტში ახალი მომხმარებლის შესაქმნელად, მაშინ EAGER-ის შემთხვევაში სისტემა პერიოდულად გამოკითხავს სერვერს AD-ით ახალი მომხმარებლების გამოჩენისთვის და, თუ პასუხი დადებითია, ის დამოუკიდებლად ქმნის ახალ ანგარიშს Active Directory-ის მიერ მოწოდებული მონაცემების საფუძველზე. ერთი შეხედვით უმნიშვნელო განსხვავებამ შესაძლოა LAZY რეჟიმის გამოყენება სრულიად მიუღებელი გახადოს მთელი რიგი IT მენეჯერებისთვის.

ერთ-ერთი ასეთი შემთხვევა შეიძლება იყოს Zimbra ვებ კლიენტის გამოყენების პირდაპირი აკრძალვა. ამის მიზეზი შეიძლება იყოს სერვერის გამოთვლითი სიმძლავრის დაზოგვა (ვებ კლიენტის გამოყენებისას, Zimbra სერვერს შეუძლია უზრუნველყოს მაღალი ხარისხის სერვისი 2500 მომხმარებლისთვის, ხოლო დესკტოპის და მობილური კლიენტების გამოყენებისას 5-6 ათასამდე მომხმარებლისთვის) ან საწარმო. უსაფრთხოების პოლიტიკა, რომელიც პირდაპირ კრძალავს ვებ – კლიენტის გამოყენებას ფოსტასთან მუშაობისთვის. ვებ კლიენტის არარსებობა შეუძლებელს ხდის LAZY რეჟიმის გამოყენებას, რომელიც მხოლოდ მასში მუშაობს, რაც იმას ნიშნავს, რომ ასეთი საწარმოების IT მენეჯერებს სხვა გზა არ აქვთ, გარდა EAGER რეჟიმის გამოყენებისა.

უპირველეს ყოვლისა, ჩვენ დაგვჭირდება AD-ის, როგორც გარე LDAP-ის დაკავშირება Zimbra-სთან. ამისათვის გადადით ადმინისტრაციის კონსოლზე, რომელიც მდებარეობს mail.company.ru:7071/zimbraAdmin/, შემდეგ აირჩიეთ ელემენტი მარცხენა გვერდითა ზოლში უცნობიადა შემდეგ ქვეპუნქტი დომენები. სიაში დომენები ახლა ჩვენ უნდა ავირჩიოთ ის, რომელსაც AD-სთან ერთად გამოვიყენებთ და არჩეულ დომენზე მარჯვენა ღილაკით დაწკაპუნებით, აირჩიეთ ელემენტი "Authentication Configuration". ამის შემდეგ ეკრანზე გამოჩნდება გარე LDAP კონფიგურაციის დიალოგი, რომელშიც ჩვენ შევიყვანთ ყველა საჭირო მონაცემს ზიმბრას AD-თან ინტეგრირებისთვის.

ყველა საჭირო მონაცემის შეყვანის შემდეგ, თქვენ უნდა შექმნათ კონფიგურაციის ფაილი, მაგალითად შეეხეთ ~/Documents/autoprov.cfg, რომელშიც შევიყვანთ ბრძანებების სერიას, რომელიც უნდა შევიდეს AD-დან EAGER რეჟიმში ანგარიშების ავტომატური კონფიგურაციის გასააქტიურებლად. LAZY რეჟიმისგან განსხვავებით, სადაც დაყენების პროცესი ძალიან მარტივია და ყველა პარამეტრი შეიძლება შევიდეს ბრძანებების სახით CLI-ში, EAGER რეჟიმის შემთხვევაში უმჯობესია ის უსაფრთხოდ ითამაშოთ და ყველა პარამეტრი ცალკე ფაილში შეინახოთ. ეს გააადვილებს მათში ცვლილებების შეტანას, თუ რამე მოულოდნელად არასწორედ მოხდება.

ასე რომ, ფაილის შექმნის შემდეგ ~/Documents/autoprov.cfg, თქვენ უნდა შეიყვანოთ მასში შემდეგი სტრიქონები, წინასწარ რომ მოარგოთ ისინი თქვენს ინფრასტრუქტურას:

md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"

ამ პარამეტრების წყალობით, ჩვენ ვაიძულებთ Zimbra სერვერს, ყოველ წუთს დაუკავშირდეს AD-ს და მიიღოს ინფორმაცია მონაცემთა ბაზაში ახალი მომხმარებლების გამოჩენის შესახებ, ხოლო მათი აღმოჩენის შემთხვევაში, შევქმნათ ანგარიში მათთვის და გაუგზავნოთ მისასალმებელი შეტყობინება.

მას შემდეგ, რაც ფაილში ყველა ცვლილება შეინახება, თქვენ უნდა გამოიყენოთ მასში მითითებული პარამეტრები ბრძანების გამოყენებით zmprov < ~/Documents/autoprov.cfg. შეტანილი ყველა ცვლილება დაუყოვნებლივ იმუშავებს; არ უნდა იყოს საჭირო სერვერის გადატვირთვა.

თუ ანგარიშების ავტომატური კონფიგურაცია AD-დან EAGER რეჟიმში მუშაობს, ფაილში /opt/zimbra/log/mailbox.log ანგარიშის ავტომატური კონფიგურაციის პროგრესი ნაჩვენები იქნება შემდეგი ფორმით:

[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"

თუ ანგარიშების ავტომატური კონფიგურაცია არ მუშაობს, მაშინ პრობლემა სავარაუდოდ AD სერვერის მხარესაა. ამ შემთხვევაში, თქვენ უნდა ნახოთ შეცდომის კოდი, რომელიც ხდება. წარმოგიდგენთ მათგან ყველაზე გავრცელებულს:

525 - მომხმარებელი ვერ მოიძებნა
52e - არასწორი სერთიფიკატები
530 - ამ დროს შესვლის ნებართვა არ არის
531 - თქვენ არ გაქვთ ამ კომპიუტერიდან შესვლის უფლება
532 - პაროლი ამოიწურა
533 - ანგარიში შეჩერებულია
534 - მომხმარებელს არ აქვს საკმარისი უფლებები ამ კომპიუტერში შესვლისთვის
701 - ანგარიშს ვადა გაუვიდა
773 - მომხმარებელმა უნდა აღადგინოს პაროლი
775 — ანგარიშის მოქმედება დროებით შეზღუდულია
8350 - გამორჩეული სახელის არასწორი ფორმატი

წყარო: www.habr.com