在我们之前的一篇文章中 关于如何“交朋友”Zimbra 和 MS Active Directory，大多数俄罗斯企业都使用 MS Active Directory 来管理用户帐户。 在其中，我们建议 Zimbra 用户利用最简单、最安全的方式基于 AD 中的数据在 Zimbra 中创建邮箱，称为 LAZY 模式。 这种操作模式允许您在首次登录 Zimbra Web 客户端时使用 AD 中的用户名和密码自动创建新的 Zimbra 用户。 然而，由于评论中展开的讨论，很明显并非所有管理员都适合这种从 AD 自动配置 Zimbra 用户的方法。 因此，现在我们将讨论另一种基于 AD 数据自动创建用户帐户的方法，称为 EAGER 模式。
LAZY 和 EAGER 模式的不同之处在于创建新帐户的方法。 如果在 LAZY 的情况下，系统等待用户进入 Zimbra Web 客户端来创建新用户，那么在 EAGER 的情况下，系统会定期使用 AD 轮询服务器以查找新用户，如果答案是肯定的，它根据 Active Directory 提供的数据在自己的帐户上创建一个新帐户。 看似微不足道的差异可能会让许多 IT 经理完全无法接受 LAZY 模式的使用。
其中一种情况可能是直接禁止使用 Zimbra 网络客户端。 这样做的原因可能是服务器计算能力的节省（使用 Web 客户端时，带有 Zimbra 的服务器可以为 2500 个用户提供优质服务，而使用桌面和移动客户端时最多可以为 5-6 千个用户提供优质服务），或者企业安全直接禁止使用网络客户端处理邮件的策略。 缺少Web客户端导致无法使用LAZY模式，而LAZY模式只能在其中起作用，这意味着此类企业的IT经理别无选择，只能使用EAGER模式。
首先，我们需要将 AD 作为外部 LDAP 连接到 Zimbra。 为此，请转到管理控制台，该控制台位于 mail.company.ru:7071/zimbraAdmin/，然后选择左侧边栏中的项目 配置，然后分段 域名. 上市 域名 现在我们需要选择要与 AD 配合使用的域，然后右键单击所选域，选择该项。 “配置身份验证”。 之后，屏幕上将出现外部 LDAP 配置对话框，我们将在其中输入将 Zimbra 与 AD 集成所需的所有数据。
输入所有必要的数据后，您应该创建一个配置文件，例如 触摸〜/文档/autoprover.cfg，我们将在其中输入一系列命令，必须输入这些命令才能在 EAGER 模式下从 AD 激活帐户自动配置。 与 LAZY 模式不同，LAZY 模式的设置过程非常简单，所有设置都可以在 CLI 中作为命令输入，而在 EAGER 模式下，最好谨慎行事，并将所有设置存储在单独的文件中。 这将使在突然出现问题时更容易对它们进行更改。
所以创建文件后 〜/文档/autoprover.cfg，您应该在其中输入以下行，并且之前已将它们调整为适合您的基础设施：
md company.ru zimbraAutoProvAccountNameMap "samAccountName"
md company.ru +zimbraAutoProvAttrMap description=description
md company.ru +zimbraAutoProvAttrMap displayName=displayName
md company.ru +zimbraAutoProvAttrMap givenName=givenName
md company.ru +zimbraAutoProvAttrMap cn=cn
md company.ru +zimbraAutoProvAttrMap sn=sn
md company.ru zimbraAutoProvAuthMech LDAP
md company.ru zimbraAutoProvBatchSize 40
md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru"
md company.ru zimbraAutoProvLdapAdminBindPassword *********
md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru"
md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru"
md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)"
md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389"
md company.ru zimbraAutoProvMode EAGER
md company.ru zimbraAutoProvNotificationBody "Ваша учетная запись была создана автоматически. Адрес вашей электронной почты ${ACCOUNT_ADDRESS}."
md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru
md company.ru zimbraAutoProvNotificationSubject "Новая учетная запись была создана автоматически"
ms mail.company.ru zimbraAutoProvPollingInterval "1m"
ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"由于这些设置，我们强制 Zimbra 服务器每分钟联系 AD 并接收有关数据库中新用户出现的信息，如果找到新用户，则为他们创建一个帐户并发送欢迎消息。
保存文件中的所有更改后，需要使用以下命令应用其中指定的设置 zmprov < ~/Documents/autoprov.cfg。 所做的所有更改将立即生效，无需重新启动服务器。
如果帐户自动配置从 AD 到 EAGER 模式有效，则在文件中 /opt/zimbra/log/mailbox.log 账户自动配置的进度将以如下形式显示：
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru
[AutoProvision] [] autoprov - 1 external LDAP entries returned as search result
[AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"如果帐户自动配置不起作用，则问题很可能出在 AD 服务器一侧。 在这种情况下，您需要查看出现的错误代码。 我们介绍其中最常见的：
525 - 未找到用户
52e - 无效凭据
530 - 此时无权进入
531 - 无权从此计算机登录
532 - 密码已过期
533 - 帐户已停止
534 - 用户没有足够的权限从这台计算机登录
701 - 帐户已过期
773 - 用户必须重置密码
775 - 帐户暂时受限
8350 - 无效的专有名称格式
来源： habr.com
