Sa isa sa aming mga nakaraang artikulo tungkol sa kung paano ka "makipagkaibigan" sa pagitan ng Zimbra at MS Active Directory, na ginagamit ng karamihan sa mga negosyong Ruso upang pamahalaan ang mga user account. Dito, iminungkahi namin na gamitin ng mga user ng Zimbra ang pinakamadali at pinakaligtas na paraan upang lumikha ng mga mailbox sa Zimbra batay sa data mula sa AD na tinatawag na LAZY Mode. Binibigyang-daan ka ng mode ng operasyon na ito na awtomatikong lumikha ng bagong user ng Zimbra na may username at password mula sa AD sa sandaling mag-log in ka sa Zimbra web client sa unang pagkakataon. Gayunpaman, salamat sa talakayan na lumabas sa mga komento, naging malinaw na hindi lahat ng mga administrator ay angkop para sa pamamaraang ito ng awtomatikong pag-configure ng mga user ng Zimbra mula sa AD. Samakatuwid, ngayon ay pag-uusapan natin ang tungkol sa isang alternatibong paraan upang i-automate ang paglikha ng mga user account batay sa data mula sa AD na tinatawag na EAGER Mode.
Ang LAZY at EAGER Mode ay naiiba sa kanilang mga diskarte sa paggawa ng mga bagong account. Kung sa kaso ng LAZY, hinihintay ng system ang user na mag-log in sa Zimbra web client para makalikha ng bagong user, sa kaso ng EAGER, pana-panahong ipo-poll ng system ang server gamit ang AD para sa paglitaw ng mga bagong user, at, kung sang-ayon ang sagot, hiwalay itong gumagawa ng bagong account batay sa data na ibinigay ng Active Directory. Ang isang tila hindi gaanong makabuluhang pagkakaiba ay maaaring gawing ganap na hindi katanggap-tanggap ang paggamit ng LAZY Mode para sa isang bilang ng mga tagapamahala ng IT.
Ang isang ganoong kaso ay maaaring direktang pagbabawal sa paggamit ng Zimbra web client. Ang dahilan nito ay maaaring makatipid ng kapangyarihan sa pag-compute ng server (kapag gumagamit ng isang web client, ang isang server na may Zimbra ay maaaring magbigay ng mataas na kalidad na serbisyo para sa 2500 mga gumagamit, at kapag gumagamit ng mga desktop at mobile na kliyente hanggang sa 5-6 na libong mga gumagamit), o isang negosyo. patakaran sa seguridad na direktang nagbabawal sa paggamit ng web - isang kliyente para sa pagtatrabaho sa mail. Ang kawalan ng isang web client ay ginagawang imposible na gumamit ng LAZY Mode, na gumagana lamang dito, na nangangahulugan na ang mga IT manager ng naturang mga negosyo ay walang pagpipilian kundi gamitin ang EAGER Mode.
Una sa lahat, kakailanganin naming ikonekta ang AD bilang isang panlabas na LDAP sa Zimbra. Upang gawin ito, pumunta sa administration console, na matatagpuan sa mail.company.ru:7071/zimbraAdmin/, pagkatapos ay piliin ang item sa kaliwang sidebar I-configure ang, at pagkatapos ay ang subparagraph Domains. Nakalista mga domain Ngayon kailangan nating piliin ang isa na gagamitin natin kasabay ng AD at, sa pamamagitan ng pag-right click sa napiling domain, piliin ang item "I-configure ang Authentication". Pagkatapos nito, lalabas sa screen ang isang panlabas na dialog ng configuration ng LDAP, kung saan ilalagay namin ang lahat ng kinakailangang data upang maisama ang Zimbra sa AD.
Pagkatapos ipasok ang lahat ng kinakailangang data, dapat kang lumikha ng isang configuration file, halimbawa pindutin ang ~/Documents/autoprov.cfg, kung saan maglalagay kami ng isang serye ng mga utos na dapat ilagay upang i-activate ang awtomatikong pagsasaayos ng mga account mula sa AD sa EAGER Mode. Hindi tulad ng LAZY Mode, kung saan ang proseso ng pag-setup ay napaka-simple at lahat ng mga setting ay maaaring ipasok bilang mga utos sa CLI, sa kaso ng EAGER Mode mas mahusay na i-play ito nang ligtas at iimbak ang lahat ng mga setting sa isang hiwalay na file. Mapapadali nito ang paggawa ng mga pagbabago sa kanila kung may biglang magkamali.
Kaya pagkatapos gumawa ng file ~/Documents/autoprov.cfg, dapat mong ipasok ang mga sumusunod na linya dito, na dati nang inangkop ang mga ito sa iyong imprastraktura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "ΠΠ°ΡΠ° ΡΡΠ΅ΡΠ½Π°Ρ Π·Π°ΠΏΠΈΡΡ Π±ΡΠ»Π° ΡΠΎΠ·Π΄Π°Π½Π° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ΅ΡΠΊΠΈ. ΠΠ΄ΡΠ΅Ρ Π²Π°ΡΠ΅ΠΉ ΡΠ»Π΅ΠΊΡΡΠΎΠ½Π½ΠΎΠΉ ΠΏΠΎΡΡΡ ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "ΠΠΎΠ²Π°Ρ ΡΡΠ΅ΡΠ½Π°Ρ Π·Π°ΠΏΠΈΡΡ Π±ΡΠ»Π° ΡΠΎΠ·Π΄Π°Π½Π° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ΅ΡΠΊΠΈ"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Salamat sa mga setting na ito, pinipilit namin ang server ng Zimbra na makipag-ugnayan sa AD bawat minuto at makatanggap ng impormasyon tungkol sa hitsura ng mga bagong user sa database, at kung sila ay nakita, lumikha ng isang account para sa kanila at magpadala ng isang welcome message.
Matapos ma-save ang lahat ng mga pagbabago sa file, kakailanganin mong ilapat ang mga setting na tinukoy dito gamit ang command zmprov < ~/Documents/autoprov.cfg. Ang lahat ng mga pagbabagong ginawa ay gagana kaagad; hindi na kailangang i-restart ang server.
Kung gumagana ang auto-configuration ng mga account mula sa AD sa EAGER Mode, sa file /opt/zimbra/log/mailbox.log Ang pag-usad ng account auto-configuration ay ipapakita sa sumusunod na form:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Kung ang auto-configuration ng mga account ay hindi gumagana, kung gayon ang problema ay malamang sa panig ng AD server. Sa kasong ito, kailangan mong tingnan ang error code na nangyayari. Ipinakita namin ang pinakakaraniwan sa kanila:
525 - Hindi nahanap ang user
52e - Di-wastong mga kredensyal
530 - Walang pahintulot na pumasok sa oras na ito
531 - Wala kang pahintulot na mag-log on mula sa computer na ito
532 β Nag-expire na ang password
533 - Nasuspinde ang account
534 - Walang sapat na karapatan ang user para mag-log on sa computer na ito
701 - Nag-expire na ang account
773 - Dapat i-reset ng user ang password
775 β Pansamantalang limitado ang bisa ng account
8350 - di-wastong format ng Distinguished Name
Pinagmulan: www.habr.com
