En uno de nuestros art铆culos anteriores,
hablamos sobre c贸mo puede "hacer amigos" con Zimbra y MS Active Directory, que es utilizado por la mayor铆a de las empresas rusas para administrar cuentas de usuario. En 茅l, sugerimos que los usuarios de Zimbra utilicen la forma m谩s simple y segura de crear buzones en Zimbra en funci贸n de los datos de AD llamados LAZY Mode. Este modo de operaci贸n le permite crear autom谩ticamente un nuevo usuario de Zimbra con un nombre de usuario y contrase帽a de AD justo en el momento de su primer inicio de sesi贸n en el cliente web de Zimbra. Sin embargo, gracias a la discusi贸n que se desarroll贸 en los comentarios, qued贸 claro que no todos los administradores usar铆an este m茅todo de autoajuste de usuarios de Zimbra desde AD. Por lo tanto, ahora hablaremos de una forma alternativa de automatizar la creaci贸n de cuentas de usuario basadas en datos de AD llamada EAGER Mode.
Los modos LAZY y EAGER difieren en sus enfoques para crear nuevas cuentas. Si en el caso de LAZY, el sistema espera a que el usuario inicie sesi贸n en el cliente web de Zimbra para crear un nuevo usuario, en el caso de c EAGER, el sistema sondea peri贸dicamente el servidor con AD para nuevos usuarios y, en el caso de una respuesta afirmativa, crea uno nuevo por su cuenta cuenta basada en datos proporcionados por Active Directory. Una diferencia insignificante, a primera vista, puede hacer que el uso del modo LAZY sea completamente inaceptable para varios gerentes de TI.
Uno de estos casos podr铆a ser una prohibici贸n directa del uso del cliente web de Zimbra. La raz贸n de esto puede ser una reducci贸n en la potencia inform谩tica del servidor (cuando se usa un cliente web, un servidor con Zimbra puede proporcionar un servicio de alta calidad para 2500 usuarios, y cuando se usan clientes de escritorio y m贸viles de hasta 5-6 mil usuarios), o una pol铆tica de seguridad empresarial que proh铆be directamente el uso de la web -cliente para trabajar con correo. La falta de un cliente web hace que sea imposible usar el modo LAZY, que solo funciona en 茅l, lo que significa que los gerentes de TI de tales empresas no tienen m谩s remedio que usar el modo EAGER.
En primer lugar, necesitamos conectar AD como un LDAP externo a Zimbra. Para hacer esto, vaya a la consola de administraci贸n, que se encuentra en
mail.company.ru:7071/zimbraAdmin/ , y luego seleccione
Configurar en el panel lateral izquierdo y luego el subelemento
Dominios . En la lista de dominios ahora debe seleccionar el que usaremos junto con AD y, al hacer clic con el bot贸n derecho en el dominio seleccionado, seleccione
"Configurar autenticaci贸n" . Despu茅s de eso, aparecer谩 el cuadro de di谩logo de configuraci贸n de LDAP externo en la pantalla, en el que ingresaremos todos los datos necesarios para integrar Zimbra con AD.
Despu茅s de ingresar todos los datos necesarios, debe crear un archivo de configuraci贸n, por ejemplo,
toque ~ / Documents / autoprov.cfg , en el que ingresaremos una serie de comandos que deben ingresarse para activar la configuraci贸n autom谩tica de cuentas de AD en modo EAGER. A diferencia del modo LAZY, donde el proceso de configuraci贸n es extremadamente simple y todas las configuraciones se pueden ingresar como comandos en la CLI, en el caso del modo EAGER es mejor ir a lo seguro y almacenar todas las configuraciones en un archivo separado. Por lo tanto, ser谩 m谩s f谩cil hacer cambios en ellos si algo sale mal de repente.
Entonces, despu茅s de crear el
archivo ~ / Documents / autoprov.cfg , debe ingresar las siguientes l铆neas, luego de adaptarlas a su infraestructura:
md company.ru zimbraAutoProvAccountNameMap "samAccountName" md company.ru +zimbraAutoProvAttrMap description=description md company.ru +zimbraAutoProvAttrMap displayName=displayName md company.ru +zimbraAutoProvAttrMap givenName=givenName md company.ru +zimbraAutoProvAttrMap cn=cn md company.ru +zimbraAutoProvAttrMap sn=sn md company.ru zimbraAutoProvAuthMech LDAP md company.ru zimbraAutoProvBatchSize 40 md company.ru zimbraAutoProvLdapAdminBindDn "CN=Administrator,CN=Users,DC=company,DC=ru" md company.ru zimbraAutoProvLdapAdminBindPassword ********* md company.ru zimbraAutoProvLdapBindDn "Administrator@company.ru" md company.ru zimbraAutoProvLdapSearchBase "CN=Users,dc=company,dc=ru" md company.ru zimbraAutoProvLdapSearchFilter "(cn=%u)" md company.ru zimbraAutoProvLdapURL "ldap://192.168.0.1:389" md company.ru zimbraAutoProvMode EAGER md company.ru zimbraAutoProvNotificationBody " . ${ACCOUNT_ADDRESS}." md company.ru zimbraAutoProvNotificationFromAddress Administrator@company.ru md company.ru zimbraAutoProvNotificationSubject " " ms mail.company.ru zimbraAutoProvPollingInterval "1m" ms mail.company.ru +zimbraAutoProvScheduledDomains "company.ru"
Gracias a esta configuraci贸n, forzamos al servidor Zimbra a acceder a AD cada minuto y recibir informaci贸n sobre la aparici贸n de nuevos usuarios en la base de datos, y si se encuentran, cree una cuenta para ellos y env铆e un mensaje de bienvenida.
Como se帽al贸 nuestro lector, al configurar, es muy importante prestar atenci贸n a los siguientes matices:
- L铆neas del formulario "md company.ru": realice cambios en el dominio, que se encuentra dentro del servidor de correo. Puede haber varios dominios en un servidor de correo.
- L铆neas del formulario "ms mail.company.ru": realice cambios en el servidor de correo.
- Dos m茅todos para configurar autom谩ticamente cuentas desde AD pueden coexistir en un dominio. Es decir, puede ejecutar + zimbraAutoProvMode LAZY y + zimbraAutoProvMode EAGER uno tras otro. Debido a esto, puede aumentar el intervalo de acceso al servidor hasta una hora o m谩s.
Despu茅s de guardar todos los cambios en el archivo, ser谩 necesario aplicar la configuraci贸n especificada en 茅l utilizando el comando
zmprov <~ / Documents / autoprov.cfg . Todos los cambios realizados funcionar谩n de inmediato, no debe surgir la necesidad de reiniciar el servidor.
En el caso de que funcione la configuraci贸n autom谩tica de cuentas de AD a EAGER Mode, el progreso de la
configuraci贸n autom谩tica de cuentas en el siguiente formulario se mostrar谩 en el archivo
/opt/zimbra/log/mailbox.log :
[AutoProvision] [] autoprov - Auto provisioning accounts on domain company.ru [AutoProvision] [] autoprov - 1 external LDAP entries returned as search result [AutoProvision] [] autoprov - auto creating account in EAGER mode: example@company.ru, dn="CN=example,OU=zimbrausers,DC=company,DC=ru"
Si el ajuste autom谩tico de la cuenta no funciona, entonces el problema es m谩s probable en el lado del servidor AD. En este caso, debe mirar el c贸digo de error que aparece. Damos los m谩s comunes de ellos:
525 - Usuario no encontrado
52e - Credenciales inv谩lidas
530 - Sin permiso de entrada en este momento
531 - Sin permiso para iniciar sesi贸n desde esta computadora
532 - La contrase帽a ha expirado
533 - Acci贸n de cuenta detenida
534 - El usuario no tiene privilegios suficientes para iniciar sesi贸n desde esta computadora
701 - La cuenta ha expirado
773 - El usuario debe restablecer la contrase帽a
775 - La cuenta est谩 temporalmente limitada
8350 - Formato de nombre distinguido no v谩lido
Para todas las preguntas relacionadas con Zextras Suite, puede contactar al representante de Zextras Katerina Triandafilidi por correo electr贸nico katerina@zextras.com