В одній із наших минулих статей про те, як можна «подружити» Zimbra та MS Active Directory, яка використовується на більшості російських підприємств для менеджменту облікових записів користувачів. У ній ми пропонували користувачам Zimbra скористатися найпростішим і найбезпечнішим способом створення поштових скриньок у Zimbra на підставі даних з AD під назвою LAZY Mode. Цей режим роботи дозволяє автоматично створювати нового користувача Zimbra з ім'ям та паролем з AD прямо в момент першого входу в веб-клієнт Zimbra. Втім, завдяки дискусії, що розгорнулася в коментарях, стало зрозуміло, що далеко не всім адміністраторам підходить такий спосіб автоналаштування користувачів Zimbra з AD. Тому зараз ми розповімо про альтернативний спосіб автоматизації створення облікових записів користувачів на підставі даних AD під назвою EAGER Mode.
LAZY та EAGER Mode відрізняються підходами до створення нових облікових записів. Якщо у випадку з LAZY система чекає, коли користувач сам зайде до веб-клієнта Zimbra, щоб створити нового користувача, то у випадку c EAGER система періодично опитує сервер з AD на предмет появи нових користувачів, і, у разі ствердної відповіді, самостійно створює нову обліковий запис на основі даних, наданих Active Directory. Незначна, на перший погляд відмінність, може зробити неприйнятним використання LAZY Mode для низки ІТ-менеджерів.
Одним з таких кейсів може стати пряма заборона використання веб-клієнта Zimbra. Причиною цього може бути економія обчислювальних потужностей сервера (при використанні веб-клієнта сервер із Zimbra може забезпечити якісний сервіс для 2500 користувачів, а при використанні десктопних та мобільних клієнтів до 5-6 тисяч користувачів) або політика безпеки підприємства, яка прямо забороняє використання веб -Клієнта для роботи з поштою. Відсутність веб-клієнта призводить до неможливості використання режиму LAZY Mode, який працює тільки в ньому, а отже, у ІТ-менеджерів таких підприємств не залишається вибору, крім використання режиму EAGER Mode.
Насамперед нам потрібно буде підключити AD як зовнішній LDAP до Zimbra. Для цього слід зайти до консолі адміністрування, яка знаходиться за адресою mail.company.ru:7071/zimbraAdmin/, після чого у лівій бічній панелі вибрати пункт Конфігурувати, а потім і підпункт Сфери життя. У списку доменів тепер треба вибрати той, який ми будемо використовувати у зв'язці з AD і, натиснувши на вибраному домені праву кнопку миші, вибрати пункт "Configure Authentification". Після цього на екрані з'явиться діалог настроювання зовнішнього LDAP, в якому ми введемо всі необхідні дані для інтеграції Zimbra з AD.
Після введення всіх необхідних даних слід створити конфігураційний файл, наприклад touch ~/Documents/autoprov.cfg, в який ми введемо серію команд, які необхідно ввести для активації автоналаштування облікових записів з AD в режимі EAGER Mode. На відміну від LAZY Mode, де процес налаштування гранично простий і всі налаштування можна ввести в якості команд у CLI, у разі EAGER Mode краще перестрахуватися і всі налаштування зберігати саме в окремому файлі. Так буде простіше вносити до них зміни, якщо щось раптом піде не так.
Отже, після створення файлу ~/Documents/autoprov.cfg, в нього слід вписати наступні рядки, попередньо адаптувавши їх під вашу інфраструктуру:
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"Завдяки цим налаштуванням, ми змушуємо сервер Zimbra щохвилини звертатися до AD та отримувати інформацію про появу в базі даних нових користувачів, а у разі їх виявлення створювати для них обліковий запис та надсилати вітальне повідомлення.
Після того, як усі зміни у файлі будуть збережені, необхідно буде застосувати прописані в ньому налаштування за допомогою команди zmprov < ~/Documents/autoprov.cfg. Усі внесені зміни запрацюють відразу, необхідності у перезавантаженні сервера виникнути не повинно.
У тому випадку, якщо автоналаштування облікових записів з AD в EAGER Mode запрацює, у файлі /opt/zimbra/log/mailbox.log буде відображатися хід автоналаштування облікових записів у наступному вигляді:
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"Якщо ж автоналаштування облікових записів не працює, то проблема, швидше за все, на стороні сервера AD. У цьому випадку необхідно дивитися на код помилки, що виникає. Ми наводимо найпоширеніші з них:
525 - Користувач не знайдений
52e — Неправильні облікові дані
530 - Немає дозволу на вхід в даний час
531 — Немає дозволу на вхід з цього комп'ютера
532 - Строк життя пароля минув
533 — Дія облікового запису зупинено
534 — Користувач недостатньо прав для входу з комп'ютера.
701 - Строк життя облікового запису минув
773 - Користувач повинен скинути пароль
775 - Дія облікового запису тимчасово обмежена
8350 - неправильний формат Distinguished Name
Джерело: habr.com
