zimbra自动同步AD帐户

企业中使用 AD 作为计算管理中心的还是有蛮多的，我们的 zimbra 也支持用 AD 来验证，AD 验证设置请浏览 https://www.8win.net/2016/06/180.html，但是需要将用户添加到 zimbra ldap 中去，如果用户多的话导入还是有点麻烦的，使用 zimbra 的迁移工具会丢失一些用户，具体原因目前未知，可能是用户过多导致超时。看 zimbra 的 wiki 发现有 autoprov 这个工具可以解决，而且还能自动发现后续添加的帐号。

1. 建立一个批处理文件

$vi /tmp/autoprov.txt

md example.com zimbraAutoProvAccountNameMap “samAccountName” // 使用 samaccountname 作为导入帐号主键

md example.com +zimbraAutoProvAttrMap description=description // 描述变量

md example.com +zimbraAutoProvAttrMap displayName=displayName // 显示名称变量

md example.com +zimbraAutoProvAttrMap sn=sn // 姓变量

md example.com +zimbraAutoProvAttrMap givenName=givenName // 名变量

md example.com +zimbraAutoProvAttrMap company=company // 单位变量

md example.com +zimbraAutoProvAttrMap department=title // 部门变量 由于 zimbra 里没有部门这个属性，我把 AD 里的部门属性转换成 zimbra 里的工作职务了，后面的动态组会用到

md example.com +zimbraAutoProvAttrMap cn=cn // 帐户名变量

md example.com zimbraAutoProvAuthMech LDAP // 验证方式

md example.com zimbraAutoProvBatchSize 40 // 批量大小

md example.com zimbraAutoProvLdapAdminBindDn “CN=vmail,OU=Mail,DC=example,DC=com” // 验证用 AD 用户

md example.com zimbraAutoProvLdapAdminBindPassword secret //AD 用户密码

md example.com zimbraAutoProvLdapBindDn “sAMAccountName=%u,OU=mail,%D” //LDAP 搜索格式

md example.com zimbraAutoProvLdapSearchBase “OU=Mail,dc=example,dc=com” //LDAP 搜索范围

md example.com zimbraAutoProvLdapSearchFilter “(cn=%u)” // 搜索筛选

md example.com zimbraAutoProvLdapURL “ldap://192.168.100.253:389″ //LDAPURL, 也就是 AD 的 LDAP 服务地址

md example.com zimbraAutoProvMode EAGER // 自动配置模式 EAGER 为紧急模式

md example.com zimbraAutoProvNotificationBody “Your account has been auto provisioned. Your email address is ${ACCOUNT_ADDRESS}.” // 欢迎邮件内容 可使用中文

md example.com zimbraAutoProvNotificationFromAddress prov-admin@example.com // 欢迎邮件发件地址

md example.com zimbraAutoProvNotificationSubject “New account auto provisioned” // 欢迎邮件主题 可使用中文

ms server.example.com zimbraAutoProvPollingInterval “1m” // 循环执行时间间隔，这里为 1 分钟

ms server.example.com +zimbraAutoProvScheduledDomains “example.com” // 自动配置的邮件域

2. 执行批处理

$zmprov < /tmp/autoprov.txt

prov > md example.com zimbraAutoProvAccountNameMap “samAccountName”

prov > md example.com +zimbraAutoProvAttrMap description=description

prov > md example.com +zimbraAutoProvAttrMap displayName=displayName

prov > md example.com +zimbraAutoProvAttrMap sn=sn

prov > md example.com +zimbraAutoProvAttrMap givenName=givenName

prov > md example.com +zimbraAutoProvAttrMap company=company

prov > md example.com +zimbraAutoProvAttrMap department=title

prov > md example.com +zimbraAutoProvAttrMap cn=cn

prov > md example.com zimbraAutoProvAuthMech LDAP

prov > md example.com zimbraAutoProvBatchSize 40

prov > md example.com zimbraAutoProvLdapAdminBindDn “CN=vmail,OU=Mail,DC=example,DC=com”

prov > md example.com zimbraAutoProvLdapAdminBindPassword secret

prov > md example.com zimbraAutoProvLdapBindDn “sAMAccountName=%u,OU=mail,%D”

prov > md example.com zimbraAutoProvLdapSearchBase “OU=zimbrausers,dc=example,dc=com”

prov > md example.com zimbraAutoProvLdapSearchFilter “(cn=%u)”

prov > md example.com zimbraAutoProvLdapURL “ldap://192.168.100.253:389”

prov > md example.com zimbraAutoProvMode EAGER

prov > md example.com zimbraAutoProvNotificationBody “Your account has been auto provisioned. Your email address is ${ACCOUNT_ADDRESS}.”

prov > md example.com zimbraAutoProvNotificationFromAddress prov-admin@example.com

prov > md example.com zimbraAutoProvNotificationSubject “New account auto provisioned”

prov > ms server.example.com zimbraAutoProvPollingInterval “1m”

prov > ms server.example.com +zimbraAutoProvScheduledDomains “example.com” 配置完成后不需要重启，如果复制我的第一步内容请将描述内容删除。

3. 测试

1) 在 AD 上 Mail OU 中建立测试帐户 test.

2) 查看 zimbra 日志 /opt/zimbra/log/mailbox.log

2016-06-01 17:26:00,546 INFO [AutoProvision] [] autoprov – Auto provisioning accounts on domain example.com

2016-06-01 17:26:00,553 INFO [AutoProvision] [] autoprov – 1 external LDAP entries returned as search result

2016-06-01 17:26:00,553 INFO [AutoProvision] [] autoprov – auto creating account in EAGER mode: test@example.com, dn=”CN=test,OU=zimbrausers,DC=example,DC=com”

2016-06-01 17:26:00,558 INFO [AutoProvision] [] autoprov – Auto Provisioning has finished for now, setting last polled timestamp: 20160601092600.550Z

2016-06-01 16:26:00,565 INFO [AutoProvision] [] autoprov – Sleeping for 60000 milliseconds.

出现以上日志表示已经自动创建了 test 邮箱

3) 现在就可以登陆邮箱查看了。

4. 其它事项

1) 相关参数文件请查看 /opt/zimbra/docs/autoproc.txt

2) 如果使用的 zimbra8.08 以下版本只会第一次能自动创建，在之后在 AD 上创建的帐号将不能自动创建, 经查是因为时间戳的原因,8.08 以下的版本时间戳格式为 yyyyMMddHHmmssZ, 而 AD 的时间戳格式为 yyyyMMddHHmms.0Z. 这个要么禁用时间戳, 要么升级.

3) 大量用户创建时也会出现部分用户会创建不了, 可以修改时间戳来重新创建一次, 当然这次的创建不是重复创建之前已经创建的用户.

zmprov md example.com zimbraAutoProvLastPolledTimestamp “20100101010101.123Z”

将这个时间戳修改到 AD 建立之前, 基本上就可以创建所有的用户了.

5. 错误提示

525 用户未找到

52E 无效证件

530 不允许此时登录

531 不允许在该工作站登录

532 密码过期

533 帐户已禁用

534 用户尚未被授予请求的登录类型在这台机器

701 帐户过期

773 用户必须重新设置密码

775 用户帐户被锁定

8350 DN 格式不正确