Em um de nossos artigos anteriores sobre como 'integrar' Zimbra e o MS Active Directory, que é utilizado na maioria das empresas russas para o gerenciamento de contas de usuários. Nesse artigo, sugerimos aos usuários do Zimbra que aproveitassem o método mais simples e seguro de criar caixas de e-mail no Zimbra a partir dos dados do AD, chamado LAZY Mode. Esse modo permite criar automaticamente um novo usuário do Zimbra com o nome e a senha do AD no momento em que ele faz seu primeiro login no cliente web do Zimbra. No entanto, devido à discussão que se desenrolou nos comentários, ficou claro que nem todos os administradores estão satisfeitos com esse método de configuração automática de usuários do Zimbra a partir do AD. Portanto, agora vamos falar sobre uma alternativa para a automação da criação de contas de usuários a partir dos dados do AD, chamada EAGER Mode.
LAZY e EAGER Mode diferem nas abordagens para a criação de novas contas. No caso do LAZY, o sistema espera que o usuário entre no cliente web do Zimbra para criar um novo usuário, enquanto no caso do EAGER, o sistema periodicamente consulta o servidor do AD sobre o surgimento de novos usuários e, caso haja uma resposta afirmativa, cria automaticamente uma nova conta com base nos dados fornecidos pelo Active Directory. Essa diferença, que à primeira vista pode parecer insignificante, pode tornar o uso do LAZY Mode completamente inaceitável para vários gerentes de TI.
Um desses casos pode ser a proibição direta de usar o cliente web do Zimbra. Isso pode ser motivado pela economia de recursos do servidor (ao usar o cliente web, o servidor com Zimbra pode fornecer um serviço de qualidade para 2500 usuários, enquanto com clientes de desktop e móveis esse número pode chegar a 5-6 mil usuários), ou por políticas de segurança da empresa que proíbem explicitamente o uso do cliente web para gerenciamento de e-mails. A falta do cliente web inviabiliza o uso do LAZY Mode, que funciona somente nele, e, portanto, os gerentes de TI dessas empresas não têm outra escolha a não ser usar o EAGER Mode.
Primeiro, precisamos conectar o AD como um LDAP externo ao Zimbra. Para isso, devemos acessar o console de administração, que está localizado no endereço mail.company.ru:7071/zimbraAdmin/, e depois, no painel lateral esquerdo, selecionar a opção Configurar, e, em seguida, o subtópico Domínios. Na lista domínios , agora precisamos escolher aquele que iremos usar em conjunto com o AD e, clicando com o botão direito sobre o domínio selecionado, escolher a opção «Configurar Autenticação». Após isso, aparecerá na tela uma caixa de diálogo para configurar o LDAP externo, onde inseriremos todos os dados necessários para integrar o Zimbra com o AD.
Depois de inserir todos os dados necessários, devemos criar um arquivo de configuração, por exemplo, touch ~/Documents/autoprov.cfg, no qual vamos inserir uma série de comandos que precisam ser digitados para ativar a autoconfiguração de contas do AD em modo EAGER. Ao contrário do modo LAZY, onde o processo de configuração é extremamente simples e todas as configurações podem ser inseridas como comandos no CLI, no caso do modo EAGER, é melhor garantir que todas as configurações sejam armazenadas em um arquivo separado. Isso facilitará a realização de alterações caso algo não funcione como esperado.
Assim, após a criação do arquivo ~/Documents/autoprov.cfg, devem ser escritas as seguintes linhas, adaptando-as à sua infraestrutura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Sua conta foi criada automaticamente. O endereço do seu e-mail é ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Nova conta criada automaticamente"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Com essas configurações, forçamos o servidor Zimbra a consultar o AD a cada minuto e obter informações sobre o surgimento de novos usuários na base de dados, e, ao detectá-los, criar uma conta para eles e enviar uma mensagem de boas-vindas.
Depois que todas as alterações no arquivo forem salvas, será necessário aplicar as configurações nele contidas usando o comando zmprov < ~/Documents/autoprov.cfg. Todas as alterações feitas entrarão em vigor imediatamente; não deve haver necessidade de reiniciar o servidor.
Caso a auto-configuração de contas a partir do AD em Modo EAGER funcione, o arquivo /opt/zimbra/log/mailbox.log mostrarão o progresso da auto-configuração das contas da seguinte forma:
[AutoProvision] [] autoprov - Auto provisionando contas no domínio company.ru
[AutoProvision] [] autoprov - 1 entrada externa LDAP retornada como resultado da pesquisa
[AutoProvision] [] autoprov - criando conta automaticamente em modo EAGER: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Se a auto-configuração das contas não funcionar, o problema provavelmente está no servidor AD. Neste caso, é necessário observar o código do erro que aparece. Apresentamos os mais comuns:
525 — Usuário não encontrado
52e — Credenciais inválidas
530 — Não há permissão para acessar no momento
531 — Não há permissão para acessar a partir deste computador
532 — O tempo de vida da senha expirou
533 — A conta foi desativada
534 — O usuário não tem direitos suficientes para acessar a partir deste computador
701 — O tempo de vida da conta expirou
773 — O usuário deve redefinir a senha
775 — A conta está temporariamente restrita
8350 — formato inválido de Distinguished Name
Fonte: habr.com
