V jednom z našich predchádzajúcich článkov o tom, ako je možné "spriateliť" Zimbu a MS Active Directory, ktorá sa používa vo väčšine ruských podnikov na manažment užívateľských účtov. V ňom sme navrhli užívateľom Zimbry využiť najjednoduchší a najbezpečnejší spôsob vytvárania poštových schránok v Zimbre na základe údajov z AD s názvom LAZY Mode. Tento režim umožňuje automaticky vytvoriť nového užívateľa Zimbry s menom a heslom z AD práve v momente jeho prvého prihlásenia do webového klienta Zimbry. Avšak vďaka rozpr hudnutej diskusii v komentároch sa ukázalo, že nie všetkým administrátorom tento spôsob auto-špecifikácie užívateľov Zimbry z AD vyhovuje. Preto teraz prerozprávame alternatívny spôsob automatizácie vytvárania užívateľských účtov na základe údajov z AD, ktorý sa nazýva EAGER Mode.
LAZY a EAGER Mode sa líšia prístupmi k vytváraniu nových účtov. V prípade LAZY systém čaká, kým sa užívateľ sám prihlási do webového klienta Zimbry, aby vytvoril nového užívateľa, zatiaľ čo v prípade EAGER systém periodicky vyhľadáva na serveri AD nových užívateľov a v prípade pozitívnej odpovede samočinne vytvára nový účet na základe údajov poskytnutých Active Directory. Na prvý pohľad drobný rozdiel môže spôsobovať, že použitie LAZY Mode je pre niektorých IT manažérov úplne neprijateľné.
Jedným z takýchto prípady môže byť priamy zákaz používania webového klienta Zimbry. Dôvodom môže byť úspora výpočtových výkonov servera (pri používaní webového klienta server s Zimbrou môže poskytnúť kvalitný servis pre 2500 užívateľov, zatiaľ čo pri používaní desktopových a mobilných klientov až pre 5-6 tisíc užívateľov) alebo bezpečnostná politika podniku, ktorá priamo zakazuje používanie webového klienta pre prácu s poštou. Absencia webového klienta vedie k nemožnosti použitia režimu LAZY Mode, ktorý funguje iba v ňom, a preto IT manažéri takýchto podnikov nemajú na výber, iba použiť režim EAGER Mode.
Na začiatok budeme musieť pridať AD ako externý LDAP do Zimbry. Na to je potrebné sa prihlásiť do administračnej konzoly, ktorá sa nachádza na adrese mail.company.ru:7071/zimbraAdmin/, potom zvolte v ľavom bočnom paneli položku Configure, a následne aj pod položku Domains. V zozname domén teraz treba vybrať ten, ktorý chceme použiť v kombinácii s AD a po kliknutí pravým tlačidlom myši na vybranú doménu zvoliť položku „Configure Authentification“. Na obrazovke sa potom zobrazí dialóg na nastavenie externého LDAP, do ktorého zadáme všetky potrebné údaje na integráciu Zimbry s AD.
Po zadaní všetkých potrebných údajov je potrebné vytvoriť konfiguračný súbor, napríklad touch ~/Documents/autoprov.cfg, do ktorého vložíme sériu príkazov, ktoré je potrebné zadať na aktiváciu automatizovaného nastavenia účtov z AD v režime EAGER Mode. Na rozdiel od LAZY Mode, kde je proces nastavenia mimoriadne jednoduchý a všetky nastavenia môžeme zadať ako príkazy v CLI, v prípade EAGER Mode je lepšie byť opatrný a uchovávať všetky nastavenia práve v osobitnom súbore. Tak bude jednoduchšie vykonávať úpravy v prípade, ak by niečo nefungovalo.
Takže, po vytvorení súboru ~/Documents/autoprov.cfg, je potrebné do neho zapísať nasledujúce riadky, predtým ich prispôsobiť vašej infraštruktúre:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Vaša účet bola automaticky vytvorená. Adresa vašej elektronickej pošty ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Nový účet bol automaticky vytvorený"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Vďaka týmto nastaveniam nútime server Zimbra, aby každú minútu komunikoval s AD a získaval informácie o nových používateľoch v databáze, a ak sú zistení, vytvorí pre nich účet a odošle uvítaciu správu.
Po tom, ako budú všetky zmeny v súbore uložené, bude potrebné aplikovať v ňom uvedené nastavenia pomocou príkazu zmprov < ~/Documents/autoprov.cfg. Všetky vykonané zmeny budú okamžite účinné, nie je potrebné reštartovať server.
V prípade, že autonastavenie účtov z AD v EAGER Mode bude fungovať, v súbore /opt/zimbra/log/mailbox.log bude zobrazený priebeh autonastavenia účtov v nasledujúcom formáte:
[AutoProvision] [] autoprov - Automatické nastavenie účtov na doméne company.ru
[AutoProvision] [] autoprov - 1 externý LDAP záznam vrátený ako výsledok vyhľadávania
[AutoProvision] [] autoprov - automatické vytváranie účtu v EAGER režime: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Ak autonastavenie účtov nefunguje, problém pravdepodobne spočíva na strane servera AD. V tomto prípade je potrebné skontrolovať kód vzniknutej chyby. Uvádzame najbežnejšie z nich:
525 — Používateľ nebol nájdený
52e — Neplatné prihlasovacie údaje
530 — Momentálne nie je povolený prístup
531 — Prístup z tohto počítača nie je povolený
532 — Platnosť hesla vypršala
533 — Účet je pozastavený
534 — Používateľ nemá dostatočné práva na prístup z tohto počítača
701 — Platnosť účtu vypršala
773 — Používateľ musí resetovať heslo
775 — Účet je dočasne obmedzený
8350 — neplatný formát Distinguished Name
Zdroj: habr.com
