Zimbra Collaboration Suite 5.0 no Debian 4 autenticando no Active directory

Transcrição

1 1 de 15 20/08/ :53 Zimbra Collaboration Suite 5.0 no Debian 4 autenticando no Active directory Autor: Humberto Luiz Lino Bomfim <hlbomfim at gmail.com> Data: 16/06/2008 Ambiente Foi escolhido o Debian pela facilidade de atualização da distro e pelo Zimbra já ter um arquivo.tgz com os pacotes necessários do Debian para sua instalação. Por se tratar de um servidor de público com acesso à rede interna com o servidor Windows 2003, resolvi que o servidor teria 2 placas de rede com ips públicos e privados. Para quem quiser trabalhar com DMZ e firewall, libere a porta 389 /tcp e udp para acesso do Linux público ao AD. Os ips aqui são fictícios. Win2003: Ip: /24 Domínio: exemplo.com.br Nome: dc Debian 4.0/Zimbra: eth0: /24 eth1: /24 Domínio: exemplo.com.br Nome: debian2 Instalação Não vou fazer aqui uma descrição de instalação nem do Windows 2003 nem do Debian 4. Isso tem aos montes na Internet como fazer. Basta apenas dizer que para a instalação do Debian, o ambiente básico já é o suficiente. Depois de instalado o Debian, é necessário instalar outros pacotes para o Zimbra e retirar o pacote exim4. Caso contrário, este dará conflito com o Postfix, que já vem no Zimbra. # apt-get remove exim4

2 2 de 15 20/08/ :53 # apt-get install sudo fetchmail openssl libxml2 libexpat1 libgmp3c2 libltdl3 Obtendo e instalando o Zimbra O Zimbra é um pacote de serviços de s já pré-definidos, distribuído pela Zimbra Inc., que é da Yahoo. A edição instalada é a Open Source (claro!) e pode ser adquirida pelo endereço: No meu caso baixei o "Zimbra Collaboration Suite 5.0 (5.0.6) GA Release" para o Debian 4 pelo comando: # wget zcs-5.0.6_ga_2313.debian tgz e descompactei: # tar xvzf zcs-5.0.6_ga_2313.debia tgz Configuração básica do Zimbra Para finalizar a instalação e iniciar a configuração, são necessários pelo menos 5GB de espaço livre no /opt. Uma coisa muito importante na hora de instalar o Zimbra é o DNS. O DNS deve estar configurado com o A ou CNAME e o MX diretamente para o servidor. No nosso caso: debian2.exemplo.com.br. Ele faz todas essas verificações antes de instalar conforme abaixo. Caso ele encontre erro de DNS, ele não o impedirá de instalar, mas é aconselhável acertar. Instalando e configurando: # cd zcs-5.0.6_ga_2313.debian #./install.sh Operations logged to /tmp/install.log.2537 Checking for existing installation... zimbra-ldap...not FOUND zimbra-logger...not FOUND zimbra-mta...not FOUND zimbra-snmp...not FOUND zimbra-store...not FOUND zimbra-apache...not FOUND zimbra-spell...not FOUND zimbra-proxy...not FOUND zimbra-archiving...not FOUND zimbra-cluster...not FOUND zimbra-core...not FOUND

3 3 de 15 20/08/ :53 PLEASE READ THIS AGREEMENT CAREFULLY BEFORE USING THE SOFTWARE. ZIMBRA, INC. ("ZIMBRA") WILL ONLY LICENSE THIS SOFTWARE TO YOU IF YOU FIRST ACCEPT THE TERMS OF THIS AGREEMENT. BY DOWNLOADING OR INSTALLING THE SOFTWARE, OR USING THE PRODUCT, YOU ARE CONSENTING TO BE BOUND BY THIS AGREEMENT. IF YOU DO NOT AGREE TO ALL OF THE TERMS OF THIS AGREEMENT, THEN DO NOT DOWNLOAD, INSTALL OR USE THE PRODUCT. License Terms for the Zimbra Collaboration Suite: Press Return to continue Checking for prerequisites... NPTL...FOUND sudo...found sudo-1.6.8p12-4 libidn11...found libidn fetchmail...found fetchmail etch1 libpcre3...found libpcre libgmp3c2...found libgmp3c2-2:4.2.1+dfsg-4 libexpat1...found libexpat libxml2...found libxml dfsg-2 libstdc++6...found libstdc openssl...found openssl-0.9.8c-4etch3 libltdl3...found libltdl Prerequisite check complete. Checking for standard system perl... perl found standard system perl Checking for installable packages Found zimbra-core Found zimbra-ldap Found zimbra-logger Found zimbra-mta Found zimbra-snmp Found zimbra-store Found zimbra-apache Found zimbra-spell Found zimbra-proxy Select the packages to install Install zimbra-ldap [Y] Install zimbra-logger [Y] Install zimbra-mta [Y] Install zimbra-snmp [Y]

4 4 de 15 20/08/ :53 Install zimbra-store [Y] Install zimbra-apache [Y] Install zimbra-spell [Y] Install zimbra-proxy [N] Checking required space for zimbra-core checking space for zimbra-store Installing: zimbra-core zimbra-ldap zimbra-logger zimbra-mta zimbra-snmp zimbra-store zimbra-apache zimbra-spell The system will be modified. Continue? [N] Y Removing /opt/zimbra Installing packages zimbra-core...zimbra-core_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-ldap...zimbra-ldap_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-logger...zimbra-logger_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-mta...zimbra-mta_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-snmp...zimbra-snmp_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-store...zimbra-store_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-apache...zimbra-apache_5.0.6_ga_2313.debian4.0_i386.deb...done zimbra-spell...zimbra-spell_5.0.6_ga_2313.debian4.0_i386.deb...done Operations logged to /tmp/zmsetup log Setting defaults...no results returned for A lookup of debian22.exemplo.com.br Checked nameservers: DNS ERROR resolving debian2.exemplo.com.br It is suggested that the hostname be resolveable via DNS Change hostname [Yes] o DNS ERROR resolving MX for debian2.exemplo.com.br It is suggested that the domain name have an MX record configured in DNS Change domain name? [Yes] o done.

5 5 de 15 20/08/ :53 Checking for port conflicts Main menu 1) Common Configuration: 2) zimbra-ldap: Enabled 3) zimbra-store: Enabled +Create Admin User: yes +Admin user to create: ******* +Admin Password UNSET +Enable automated spam training: yes +Spam training user: +Non-spam(Ham) training user: +Global Documents Account: +SMTP host: debian2.exemplo.com.br +Web server HTTP port: 80 +Web server HTTPS port: 443 +Web server mode: http +IMAP server port: 143 +IMAP server SSL port: 993 +POP server port: 110 +POP server SSL port: 995 +Use spell check server: yes +Spell server URL: 4) zimbra-mta: Enabled 5) zimbra-snmp: Enabled 6) zimbra-logger: Enabled 7) zimbra-spell: Enabled 8) Default Class of Service Configuration: r) Start servers after configuration yes s) Save config to file x) Expand menu q) Quit Address unconfigured (**) items (? - help) Nessa parte é necessário definir a senha do usuário administrador do Zimbra. Tecle 3 <enter> e 4 <enter>. Digite a senha e em seguida digite r <enter> a <enter> <enter> <enter> Yes <enter> e está terminada a configuração básica. Deixa ele trabalhar na instalação de tudo. Testando o básico e fazendo a configuração avançada Testando o Webmail:

6 6 de 15 20/08/ :53 No teste aqui utilizado, como o Debian foi instalado com a linguagem padrão pt_br (português - Brasil), o Zimbra já selecionou essa linguagem como padrão. O logon pode ser feito utilizando o usuário/senha de administração definido na etapa anterior. Visto como está o webmail, agora será feita a configuração avançada do Zimbra para buscar do Windows Para isso será utilizado a interface de administração do Zimbra: (note que é https) Com o usuário/senha testado anteriormente, será feito o logon aqui e será mostrado a tela principal com os

7 7 de 15 20/08/ :53 Status do Zimbra. Ao clicar na opção domínios, pode ser verificado que o Zimbra cria um domínio com o nome do servidor já incluso nele. Não se deve apagar esse domínio porque as contas de administração estão criadas dentro dele (clique na opção Contas que será verificado isso). Como esse domínio com o nome debian2 não interessa, cria-se outro domínio. Na opção de Domínio do lado esquerdo, cria-se um novo domínio exemplo.com.br:

8 8 de 15 20/08/ :53 A partir daqui é que será feita a autenticação no Win2003:

9 9 de 15 20/08/ :53 Nesta tela é necessário um login/senha para teste no Win2003: Agora clique no item Configurações Gerais do lado esquerdo e selecione o domínio padrão exemplo.com.br.

10 10 de 15 20/08/ :53 Criando as contas na base LDAP do Zimbra É importante elencar que o apesar de autenticar no Active Directory, é necessário criar as contas na base LDAP do Zimbra. Para isso foi garimpado na net um script em python que fizesse tal tarefa. Este foi encontrado na com alguns problemas. # apt-get install python-ldap Foi necessário criar uma conta no Active Directory para criar os usuários lá. zimbra_cs / activezimbra Corrigido, segue este abaixo: #!/usr/bin/python # This program is free software; you can redistribute it and/or modify # it under the terms of the GNU General Public License as published by # the Free Software Foundation; GPLv3 # # This program is distributed in the hope that it will be useful, # but WITHOUT ANY WARRANTY; without even the implied warranty of # MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the # GNU General Public License for more details. # # To obtain a copy of the GNU General Public License, write to the Free Software Foundation, # Inc., 51 Franklin St, Fifth Floor, Boston, MA USA # # Variables can be changed here: banned = 'CN=users,DC=exemplo,DC=com, DC=br' # an OU for banned users scope = 'CN=users,DC=exemplo,DC=com, DC=br' #the search scope domain = "exemplo.com.br" # "example.com" ldapserver="dc" #ldap server

11 11 de 15 20/08/ :53 port="389" #ldap port (389 default) domain="exemplo.com.br" #the domain ldapbinddomain="exemplo.com.br" #the domain of the ldap bind account ldapbind="zimbra_cs" #the account name of the account to bind to ldap ldappassword="activezimbra" #the ldap password pathtozmprov="/opt/zimbra/bin/zmprov" # import ldap, string, os, time, sys #output the list of all accounts from zmprov gaa (get all accounts) f = os.popen(pathtozmprov +' gaa') zmprovgaa= [] zmprovgaa = f.readlines() l=ldap.initialize("ldap://"+ldapserver+"."+domain+":"+port) l.simple_bind_s('cn=zimbra Suite,cn=Users,dc=campusi,dc=unig,dc=br',ldappassword) #bind to the ldap server using name/password try: res = l.search_s(scope, ldap.scope_subtree, "(&(ObjectCategory=user) (useraccountcontrol=512))", [ 'samaccountname','givenname','sn','memberof','displayname']) #useraccountcontrol 512 = normal, 514 = disabled account for (dn, vals) in res: accountname = vals['samaccountname'][0].lower() displayname = vals['displayname'][0] displayname = displayname.replace("'",'' ) displayname = displayname.replace('[','' ) displayname = displayname.replace(']','' ) try: sirname = vals['sn'][0].lower() except: sirname = vals['samaccountname'][0].lower() try: givenname = vals['givenname'][0] except: givenname = vals['samaccountname'][0].lower() try: groups = vals['memberof'] except: groups = 'none' initial = givenname[:1].upper() name = initial + "." + sirname accountname = accountname + "@" + domain password = " \'\' " sys.stdout.flush() # if the account doesn't exist in the output of zmprov gaa create the account

12 12 de 15 20/08/ :53 if accountname +"\n" not in zmprovgaa: print accountname," exists in active directory but not in zimbra, the account is being created ", displayname, "\n" os.system(pathtozmprov +' ca %s %s displayname \"%s \"' % (accountname,password,displayname)) # if the account is in the group 'banned' check to see if account already locked if banned in groups: zmprovga = os.popen(pathtozmprov + ' ga %s' % (accountname)) ga= [] ga = zmprovga.readlines() locked = "zimbraaccountstatus: locked\n" if locked not in ga: #if account not locked then lock it print accountname, " has been BANNED from the internet. The account has been locked " os.system(pathtozmprov + ' ma %s zimbraaccountstatus locked' % (accountname)) # time.sleep(1) else: print accountname, " has a locked account because they are in the 'banned' group" #set any accounts to 'active' if they are not in the banned group and the account is currently locked else: zmprovga = os.popen(pathtozmprov + ' ga %s' % (accountname)) ga= [] ga = zmprovga.readlines() locked = "zimbraaccountstatus: locked\n" if locked in ga: os.system(pathtozmprov + ' ma %s zimbraaccountstatus active' % (accountname)) time.sleep(1) print accountname, " is no longer in the 'banned' group, therefore the account has been activated" except ldap.ldaperror, error_message: print error_message l.unbind_s() Eu o gravei com o nome de /usr/local/sbin/zimbra.py e o coloquei no crontab para ser executado a cada hora. Terminado de rodar o script, verifique na opção de Contas do Console de Administração se as contas estão criadas corretamente. Testando o Webmail Agora pode ser testado o webmail com alguma conta do Active Directory. No browser digite:

13 13 de 15 20/08/ :53 Caso na tela de Configurações Gerais tenha colocado o domínio padrão, o que autentica no AD, basta apenas colocar o usuário e a senha. Senão é necessário colocar o usuário@dominio /senha para logon. Se funcionou é correr pra galera, senão verifique os passos novamente. Conclusão e observações finais Não necessariamente o domínio do Zimbra tem de ser o mesmo do Active Directory. No caso, de utilizar um domínio diferente, tem fazer as alterações na hora de criar o domínio e no script de criação de contas do zimbra. Exemplo: Domínio do ad: tabajara.com.br Domínio do Zimbra: exemplo.com.br 1. Na hora que está criando o domínio, quando se coloca o endereço do servidor externo, é necessário colocar o domínio correto do servidor:

14 14 de 15 20/08/ :53 No caso acima, deve-se mudar de exemplo.com.br para tabajara.com.br. As outras instruções permanecem. 2. No script zimbra.py altere as linhas: banned = 'CN=users,DC=tabajara,DC=com, DC=br' scope = 'CN=users,DC=tabajara,DC=com, DC=br' domain = 'tabajara.com.br' ldapbinddomain="tabajara.com.br" 3. Com essas alterações, todos os serão validados no Existe uma maneira de autocompletar os endereços com os usuários do AD quando utilizado o webmail. Para isso é utilizada a opção "Lista Global de Endereços" na configuração do domínio. Quando criando o domínio, na tela "Modo de Lista Global de Endereços", selecione "Externo" ou "Ambos". Tendo selecionado ambos, tem uma configuração conforme a figura abaixo:

15 15 de 15 20/08/ :53 Mas a partir do próximo passo, tem uma configuração de GAL que eu não consegui acertar como fazer. Se alguém se aventurar, posta aí que será bem-vindo. ** Nota importante ** Caso tenha definido o domínio padrão diferente do domínio de instalação (no nosso caso exemplo.com.br é diferente de debian2.exemplo.com.br), quando for usar a suíte de configuração deve-se usar o nome de usuário com o domínio de instalação (admin@debian2.exemplo.com.br - no nosso caso), porque senão ele vai procurar o usuário no domínio corrente. Obrigado a todos. Voltar para o site