Интеграция с LDAP-каталогами

В документе описано как настроить интеграцию с LDAP-каталогами, какие данные могут быть перенесены, какие есть ограничения.

• Работа со службами каталогов и с инструментами диагностики LDAP запросов.
• Чтение и анализ системных журналов.
• Знание bash/awk/sed/vim.
• Опыт работы с одной из технологий оркестрации и контейнеризации (docker compose/podman/kubernetes).

За синхронизацию со службами каталогов отвечает сервис AD Loader. Несмотря на название, он работает с любыми LDAP-каталогами, не только с Microsoft Active Directory.

Ключевые функции:

• Синхронизация аккаунтов, алиасов (синонимов), контактов, статических групп рассылок и общих ящиков.
• Провайдер авторизации.
• Коннектор к LDAP для других сервисов почтовой системы.

Если при распределении контейнеров вы следовали документации, то контейнеры adloader* находятся на машинах с типом Фронт. На главной странице веб-интерфейса установщика вы можете найти контейнеры adloader* и узнать на каких машинах они находятся. Чтобы посмотреть логи сервиса используйте команду:

 
sudo journalctl -fu onpremise-container-adloaderN

где N – номер AD Loader’a.

1. Авторизуйтесь в панели администратора https://biz.<ваш домен>.

2. Перейдите в раздел Конфигурация → Настройки. По умолчанию синхронизация отключена.

3. Чтобы включить синхронизацию, нажмите на Active Directory. Вы попадете на страницу настройки подключения.

4. Снимите галку с пункта Не использовать AD, чтобы поля в форме стали доступными для редактирования.

   

5. Заполните основные поля:

   Поле	Значение	Формат	Комментарии
   Адрес AD	IP-адрес каталога	IPv4
   Каталоги пользователей	Значение поля distinguishedName из списка атрибутов каталога	OU=<>,DC=<>,DC=<>
   Логин администратора	Distinguished Name (DN) пользователя Active Directory с правами на чтение каталога	CN=<>,OU=<>,DC=<>	Пользователю необходимы права на чтение каталога, пользователь не обязан быть администратором
   Пароль администратора	Пароль пользователя, от имени которого происходит подключение к каталогу		Пароль пользователя, указанного в поле Логин администратора
   Поле свойства «Отчество»	Отметьте, если хотите синхронизировать отчество. Опционально.		Если используется отчество, указать из какого атрибута в каталоге забирать значение

6. Если вы хотите использовать LDAP over SSL (LDAPS), вам необходимо будет настроить LDAPS на контроллере домена и отметить чекбокс Использовать шифрованное соединение (LDAPS). При необходимости вы можете добавить LDAPS сертификат, нажав на соответствующую кнопку. Если CA не корневой, а собственный (не публичный), дополнительно отметьте чекбокс Игнорировать ошибки сертификата.

7. Заполните чекбоксы для дополнительных настроек:

   Чекбокс	Описание
   Сбрасывать сессии пользователей	Если чекбокс отмечен, при изменении пароля пользователя в Active Directory будет сбрасываться сессия в Почте.
   Использовать в качестве логина email вместо username	В текущей версии поле не используется
   Загружать общие почтовые ящики	Отметьте этот чекбокс, чтобы синхронизировать общие ящики с AD
   Загружать синонимы почты как в AD	Отметьте этот чекбокс, чтобы синхронизировать почтовые адреса для аккаунта (синонимы) с AD. Перед интеграцией с AD Exchange нужно предварительно завести все домены из Exchange в Почте VK WorkSpace. Иначе часть синонимов не будет создана.

Расширенная настройка производится в панели администратора по адресу biz.<mail_domain>/admin/misc/configurations/adloaderclient/. Чтобы выполнить расширенную настройку нужно предварительно авторизуйтесь в панели администратора https://biz.<ваш домен> под пользователем admin@admin.qdit.

Ниже вы найдете описание структуры файла конфигурации, которое задается в поле options.

Текущее поведение актуально для версий Keycloak 20.0.2 и выше. Keycloak корректно обрабатывает недоступность и ошибки при обращении к AD/LDAP, при сбоях синхронизации не выполняет некорректных изменений статуса пользователей и фиксирует ошибку в журналах, продолжая попытки синхронизации согласно настройкам.

Блокировка учётной записи (УЗ) выполняется только при явном ответе каталога (AD/LDAP) о том, что УЗ должна быть заблокирована.

При недоступности каталога:

• статус УЗ не изменяется;
• факт недоступности фиксируется в логах;
• выполняются повторные попытки опроса с задержкой;
• при длительных сбоях должны срабатывать алерты/уведомления.

Если пользователь удалён в AD, то он последовательно удаляется:

1. Из Keycloak.
2. Затем из Teams.
3. Из чатов.

Конфигурация задается в JSON (JavaScript Object Notation). В основе конфигурационного файла — два крупных логических блока syncer и ad_client. В блоке syncer задаются параметры синхронизации данных, в блоке ad_client — параметры подключения к каталогу.

 
{    "syncer": {        "id": 1,        "sync_interval": "1h",        "common": {            "ldapType": "AD",            "use_custom_map": false,            "attr_map": {}        },        "users": {},        "mailing": {},        "group": {},        "contacts": {},        "shared": {}    },    "ad_client": {        "username": "",        "password": "",        "base_dn": [],        "address": "",        "addresses": [],        "page_size": 100,        "use_tls": false,        "tls_cert": "",        "skip_insecure": false,        "auth_timeout": "",        "fetch_timeout": "",        "connect_timeout": "",        "max_conn_per_server": "",        "max_rps": "",        "initial_backoff_interval": "",        "max_backoff_interval": "",        "authRestrictions": {}    }}

Параметры max_conn_per_server и max_rps ограничивают нагрузку, которую AD Loader создаёт на службу каталогов. Они нужны, чтобы не перегрузить AD запросами:

• max_conn_per_server — максимальное количество параллельных запросов к одному инстансу AD. Например, если задано ограничение 30 и все 30 запросов активны, то 31-й запрос будет ждать, пока не завершится любой из выполняющихся.
• max_rps — максимальное количество запросов в секунду, отправляемых в AD.

Если возникают проблемы с авторизацией пользователей или запросами к AD, значения этих параметров рекомендуется повышать.

Увеличивайте параметры по очереди, а не оба сразу:

1. Увеличьте один из параметров на один шаг:

   • max_rps — шаг 50;
   • max_conn_per_server — шаг 10.

2. Проверьте, ушла ли проблема, и оцените нагрузку на стороне AD.

3. Если проблема осталась — повторите шаг с тем же параметром.

Чередовать параметры не обязательно: можно сначала шагами подобрать max_rps, а затем перейти к max_conn_per_server. Размер шага можно менять в большую или меньшую сторону, но увеличивать значения лучше постепенно.

Блок ad_client может включать блок authRestrictions, отвечающий за ограничение SSO-авторизации. Ограничения действуют, только если выполнены два условия:

1. В веб-интерфейсе установщика на вкладке Настройки → Интеграции → Интеграция с Kerberos (SSO-авторизация) в качестве Системы авторизации по умолчанию выбрана Встроенная.

   

2. В веб-интерфейсе установщика на вкладке Настройки → Настройки компонентов → Авторизация активирован флаг Включить систему ограничения SSO-авторизации по IP/группе в LDAP.

   

Структура блока authRestrictions:

 
"authRestrictions": {             "web": { // Приложение для ограничения: web (почта в браузере), imap (подключение по протоколу IMAP), smtp (подключение по протоколу SMTP). Отсутствие блока, означает отсутствие ограничений на web авторизацию                "allowByDefault": false, // Поведение по умолчанию разрешено. Т.е. при значении true всем пользователям, подходящим под перечисленные ниже политики, авторизация запрещена, остальным разрешена. При false соответственно всем пользователям авторизация запрещена, а подходящим под критерии разрешена. Далее при описании политик будем считать, что здесь значение по-умолчанию, т.е. false                "policies": [                    { // Разрешить авторизацию пользователям из перечисленных групп с указанных ip                        "nets": ["192.168.1.1","172.168.1.0/24","172.20.70.190/31"],                        "groups": ["CN=adgrouptest,OU=exch,DC=ad,DC=on-premise,DC=ru","CN=adgrouptest2,OU=exch,DC=ad,DC=on-premise,DC=ru","CN=adgrouptest3,OU=exch,DC=ad,DC=on-premise,DC=ru"]                    },                    { // Разрешить авторизацию всем пользователям (любых групп) при подключении с IP 192.168.2                        "nets": ["192.168.2"]                    },                    { // Разрешить авторизацию с любых IP пользователям из группы "CN=adgrouptest4,OU=exch,DC=ad,DC=on-premise,DC=ru"                        "groups": ["CN=adgrouptest4,OU=exch,DC=ad,DC=on-premise,DC=ru"]                    }                 ]            },            "imap": {...}, // Блок, аналогичный web, но для IMAP клиентов. Отсутствие блока означает отсутствие ограничений на imap авторизацию            "smtp": {...} // Блок, аналогичный web, но для SMTP клиентов. Отсутствие блока означает отсутствие ограничений на smtp авторизацию         }

sync_interval — очень важный параметр. На сегодняшний день AD Loader’ы не умеют договариваться между собой о том, какой из них будет синхронизировать, кроме как в момент запуска. Если у вас будет достаточно маленький sync_interval, то несколько AD Loader’ов запустятся одновременно и создадут нагрузку, которая может привести к деградации панели администратора. Поэтому интервал лучше сразу задать побольше. Затем после первой и самой долгой синхронизации вы уже будете знать, сколько времени системе необходимо на синхронизацию, и сможете уменьшить этот интервал.

В этом блоке собраны все настройки для всех задач синхронизации, в том числе общие настройки маппинга полей.

Маппинг — это сопоставление данных между Почтой и LDAP-каталогом. Разберем на примере привычного, «человеческого» имени пользователя. В Почте предусмотрено поле first_name. В LDAP это имя может находиться в разных полях в зависимости от конфигурации. Чтобы данные передавались правильно, мы настраиваем маппинг: указываем, что поле first_name в нашей системе должно заполняться значением из определенного поля в LDAP. По умолчанию все настроено на Microsoft Active Directory, и в поле first_name в нашей системе будет взято значение из поля givenName.

Маппинг полей задается в логическом блоке attr_map. Структура attr_map следующая: слева поле из Почты VK WorkSpace, справа поле из LDAP-каталога. Набор полей Почты VK WorkSpace зафиксирован, нельзя добавить новое поле в левую часть. Некоторые поля, например, middle_name (отчество), можно не синхронизировать.

Пример заполнения для Microsoft Active Directory

 
"common": {     "ldapType": "AD",    "use_custom_map": false,    "attr_map": {              "account_state":          "userAccountControl",              "address":                "streetAddress",              "avatar":                 "thumbnailPhoto",              "boss":                   "manager",              "comment":                "description",              "company":                "company",              "department":             "department",              "display_name":           "displayName",              "dn":                     "distinguishedName",              "fax_number":             "facsimileTelephoneNumber",             "first_name":             "givenName",              "fullAccMembers":         "msExchMailboxSecurityDescriptor",              "gssapi_mail":            undefined,              "gssapi_proxy_addresses": undefined,              "gssapi_unique_name":     undefined,              "home_number":            "homePhone",              "initials":               "initials",              "last_name":              "sn",              "mail":                   "mail",              "member":                 "member",             "member_of":              "memberOf",              "middle_name":            "",              "mobile_number":          "mobile",              "office":                 "physicalDeliveryOfficeName",              "position":               "title",              "proxy_addresses":        "proxyAddresses",             "pwd_last_set":           "pwdLastSet",              "sendAsMembers":          "nTSecurityDescriptor",              "sid":                    "objectSid",              "unique_name":            "userPrincipalName",              "work_number":            "telephoneNumber"            }        },

Для удобства разобьем поля на условные группы.

Поля mail и proxy_addresses унифицированы. В поле mail ожидаем просто email, а в поле proxy_addresses — набор вида ["smtp:alisa@domain.ru", "smtp:alisa1@domain.ru"]. Строка в поле proxy_addresses тоже допустима, если у нее есть префикс smtp.

В качестве основного email в приоритете пробуем забрать значение из поля mail. Если в поле mail ничего не нашли, или по каким-то причинам найденное значение не подходит, то в качестве основного email заберем email с префиксом SMTP (именно заглавными буквами) из поля proxy_addresses.

Так сделано, потому что каждый домен для синхронизации использует свой файл конфигурации. При кроссдоменных алиасах может возникнуть ситуация, когда в двух доменах будет создан один и тот же пользователь. Чтобы этого не происходило, мы создаем только того пользователя, у которого указан префикс SMTP большими буквами (стандарт Microsoft Exchange).

unique_name – поле, в котором лежит логин. К значению из этого поля добавляем пароль, который передает пользователь, и проверяем валидность. Если AD Loader получит пустой unique_name, пользователь не будет синхронизирован. Это сделано специально, чтобы избежать ситуации: «пользователь создался, но не может авторизоваться». Если используется не Microsoft Active Directory, а другой LDAP-каталог, настройки маппинга для этого поля нужно будет поменять.

dn, member и member_of нужны, чтобы найти взаимосвязи между объектами в LDAP. Например, бывают пользователи, которые включены в общие ящики, которые в свою очередь включены в группу рассылки. Важно не потерять эти связи при синхронизации.

Как устроена работа с группами рассылок?

До релиза 1.24 использовался следующий подход: сначала найти пользователя, затем определить группы рассылки, в которые он входит по полю member_of.

Начиная с релиза 1.24, появилась возможность действовать наоборот: сначала найти группу рассылки, затем по полю member объекта группы рассылки получить список всех пользователей.

По умолчанию этот способ отключен, использовать его рекомендуется аккуратно. Регулируется через syncByMember: true в логическом блоке malings, отвечающем за синхронизацию групп рассылок.

Как устроена работа с общими ящиками?

Для общих ящиков не предусмотрена синхронизация по списку пользователей: AD Loader не может просмотреть, к каким общим ящикам есть доступ у каждого пользователя, и автоматически перенести этот доступ.

Работает следующий механизм: найти общий ящик и идентифицировать всех его пользователей. У общего ящика есть атрибуты, в которых прописано, кто из пользователей и с какими правами имеет доступ к ящику.

В Microsoft Active Directory, это атрибуты msExchMailboxSecurityDescriptor и nTSecurityDescriptor. Соответственно, маппинг выглядит так:

 
"fullAccMembers": "msExchMailboxSecurityDescriptor", //список пользователей общего ящика с ролью “владелец”"sendAsMembers": "nTSecurityDescriptor", // список пользователей общего ящика с ролью “участник”

Отдельно рассмотрим группу полей c префиксом gssapi. Эти поля используются в случае Kerberos-авторизации.

Пример заполнения для Microsoft Active Directory

 
"users": {             "enable":            true,            "remove":            true,             "filter":            "&(objectclass=user)(objectCategory=person)",             "logout_users":      false,            "block_removed":     true,            "remove_blocked":    false,            "create_blocked":    true,            "cloud_enabled":     false,            "cloud_size":        1024,            "aliasSync":         false,            "aliasRemove":       false,            "aliasAsUserRemove": false,            "aliasAsUserCreate": false,            "skip_aliases": [],            "time_type":         "AD",            "loginFilter":       "",            "useAliasLogin":     false,            "gssapiFilter":      "",            "use_custom_map":    false,            "attr_map": {                "account_state":          "userAccountControl",                "avatar":                 "thumbnailPhoto",                "boss":                   "manager",                "comment":                "description",                "company":                "company",                "department":             "department",                "dn":                     "distinguishedName",                "fax_number":             "facsimileTelephoneNumber",                "first_name":             "givenName",                "gssapi_mail":            undefined,                "gssapi_proxy_addresses": undefined,                "gssapi_unique_name":     undefined,                "home_number":            "homePhone",                "initials":               "initials",                "last_name":              "sn",                "mail":                   "mail",                "member_of":              "memberOf",                "middle_name":            "",                "mobile_number":          "mobile",                "office":                 "physicalDeliveryOfficeName",                "position":               "title",                "proxy_addresses":        "proxyAddresses",                "pwd_last_set":           "pwdLastSet",                "sid":                    "objectSid",                "unique_name":            "userPrincipalName",                "work_number":            "telephoneNumber"            },            "custom_map": {}        },

Механизм синхронизации алиасов изменился, начиная с версии 1.24. Независимо от того, синхронизируете вы алиасы или нет, они больше не создаются как обычные пользователи.

Алиасы, которые ранее были созданы как пользователи, регулируются полем aliasAsUserRemove:

• "aliasAsUserRemove": true — такие пользователи будут удалены.
• "aliasAsUserRemove": false — пользователи обновляться не будут, а в логе AD Loader'a появится ошибка вида we are not syncing aliases.

attr_map по составу аналогичен attr_map блока common. Напоминаем, что индивидуальный маппинг в конкретном блоке приоритетнее общего в common.

Блок group позволяет создавать группы пользователей (групп безопасности) из AD.

Пример для Microsoft Active Directory

 
"group": {    "enable": true,    "group_prefix": "AD",    "use_custom_map": false,    "attr_map": {        "comment": "description",        "member":  "member",        "cn":      "cn",        "dn":      "distinguishedName"    },    "custom_map": {}}

Описание блока attr_map:

Пример заполнения для Microsoft Active Directory

 
"contacts": {            "enable": true,            "remove": false,            "filter": "(&(|(mail=*)(proxyAddresses=*))(|(objectclass=contact)(&(objectclass=user)(objectCategory=person))(&(objectCategory=group)(!groupType:1.2.840.113556.1.4.803:=2147483648))))",            "base_dn": [                 "dn1",                "dn2",                "dn3"            ],            "white_list_domains": [                "mail.ru",                "ya.ru",                "my-domain.ru"            ],            "black_list_domains": [                "outlook.com",                "dev.local",                "ad.on-premise.ru"            ],            "skip_aliases": [],            "use_custom_map": false,            "attr_map": {                "address":         "streetAddress",                "boss":            "manager",                "comment":         "description",                "company":         "company",                "department":      "department",                "display_name":    "name",                "dn":              "distinguishedName",                 "fax_number":      "facsimileTelephoneNumber",                "first_name":      "givenName",                "home_number":     "homePhone",                "initials":        "initials",                "last_name":       "sn",                "mail":            "mail",                "middle_name":     "",                "mobile_number":   "mobile",                "office":          "physicalDeliveryOfficeName",                "position":        "title",                "proxy_addresses": "proxyAddresses",                "work_number":     "telephoneNumber",                "userSMIMECertificate": "userSMIMECertificate"            },            "custom_map": {}        },

Контакты и пользователи связаны, то есть если для блока contacts enable=false, контакты будут синхронизироваться вместе с пользователями. Это значит, что контакты синхронизируются вместе с пользователями и в контакты попадают только пользователи из вашего домена, контакты из внешних доменов не попадут.

Если в вашем случае список контактов отличается от списка пользователей:

1. Включите блок синхронизации контактов.
2. Задайте фильтр.
3. При необходимости переопределите базовый набор каталогов.
4. Задайте blacklist и whitelist, чтобы домены вида dev.local не попадали в список email’ов.

Описание блока attr_map:

Пример для Microsoft Active Directory

 
"mailing": {            "enable":        true,            "remove":        false,            "filter":        "(&(objectCategory=group)(!(groupType:1.2.840.113556.1.4.803:=2147483648)))",             "syncByMember":  false,            "membersFilter": "|(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=2147483648))(&(objectclass=user)(objectCategory=person)(!(msExchRecipientDisplayType=0)))",            "name_is_email": false,            "remove_users":  false,            "skip_aliases": [],            "use_custom_map": false,            "attr_map": {                "display_name":    "name",                "dynamic_filter": "msExchDynamicDLFilter",                "dn":              "distinguishedName",                "mail":            "mail",                "member":          "member",                "proxy_addresses": "proxyAddresses"            },            "custom_map": {}        },

Описание блока attr_map:

Пример для Microsoft Active Directory

 
"shared": {            "enable": false,            "remove": false,            "filter": "&(objectclass=user)(objectCategory=person)(msExchRecipientDisplayType=0)",            "membersRemove": false,             "membersFilter": "|(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=2147483648))(&(objectclass=user)(objectCategory=person)(!(msExchRecipientDisplayType=0)))",            "membersEncode": "AD",            "skip_aliases": [],            "base_dn": [                 "dn2",                "dn3"            ],            "use_custom_map": false,            "attr_map": {                 "display_name": "displayName",                "dn": "distinguishedName",                "fullAccMembers": "msExchMailboxSecurityDescriptor",                "mail": "mail",                "member": "member",                "proxy_addresses": "proxyAddresses",                "sendAsMembers": "nTSecurityDescriptor",                "sid": "objectSid"            },            "custom_map": {}        }

Описание блока attr_map:

Скорость синхронизации зависит от трех взаимосвязанных настроек, эти параметры работают только вместе. Если вы измените один или два из них, оставив остальные без изменений, то это может привести к деградации тех или иных компонентов системы.

Параметры задаются в переменных окружения сервисов adloader, mpop и bizf. Чтобы задать переменные окружения:

1. В веб-интерфейсе установщика, перейдите в раздел Настройки → Переменные окружения.
2. В левом боковом меню найдите необходимый сервис.
3. Нажмите кнопку редактировать .
4. Нажмите на кнопку + Добавить.
5. Заполните поля Название переменной и Значение переменной.
6. Нажмите Сохранить.

Названия переменных и значения, которые нужно установить, приведены на скриншотах ниже.

1. Перейдите в административную панель по адресу biz.<mail_domain> и далее в раздел ActiveDirectory.

2. Заполните все необходимые поля для интеграции с AD:

   

3. Перейдите по адресу biz.<mail_domain>/admin/misc/configurations/adloaderclient/.

4. Кликните по домену, для которого необходимо настроить интеграцию.

5. Внесите изменения в конфигурацию в поле options:

   • В модели объекта attr_map в поле unique_name указать значение entryDN.

   • В модели объекта users в поле filter прописать значение rbtadp. rbtadp — это аналог организационных единиц (OU). Если организационных единиц много, то нужно перечислить их с помощью логического «или».

      
     "filter":"(&(mail=*@aldpro.company.ru)(rbtadp=ou=vk2.ou=aldpro.company.ru,cn=orgunits,cn=account,dc=aldpro,dc=company,dc=ru))"

   • В модели объекта mailing в поле name_is_email указать значение true, если именем группы рассылки является email. По умолчанию принимает значение false.

   

Пример конфигурации:

 
{    "syncer": {        "id": 1,        "sync_interval": "5m",        "users": {            "enable": true,            "remove": false,            "filter":"(&(mail=*@aldpro.company.ru)(rbtadp=ou=vk2.ou=aldpro.company.ru,cn=orgunits,cn=account,dc=aldpro,dc=company,dc=ru))",            "attr_map": {                "unique_name": "entryDN",                "department": "rbtadp"            },            "remove_blocked": false,            "create_blocked": false,            "time_type": "FreeIPA",            "logout_users": false,            "pool_size": 50        },        "mailing": {            "enable": true,            "remove": false,            "name_is_email": true        }    },    "ad_client": {        "username": "uid=vkldap,cn=users,cn=accounts,dc=aldpro,dc=company,dc=ru",        "password": "",        "base_dn": [            "dc=aldpro,dc=company,dc=ru"        ],        "address": "10.1.100.100:389",        "page_size": 100,        "use_tls": false,        "tls_cert": "",        "skip_insecure": false    }}

1. Перейдите в административную панель по адресу biz.<mail_domain>.

2. Перейдите в раздел Конфигурация → Настройки → ActiveDirectory.

3. Заполните все необходимые поля для интеграции с AD:

   

4. Перейдите по адресу biz.<mail_domain>/admin/misc/configurations/adloaderclient/.

5. Кликните по домену, для которого необходимо настроить интеграцию.

6. Внесите изменения в конфигурацию в поле options в соответствии с примером ниже.

   

Пример конфигурации:

 
{    "syncer": {        "id": 1,        "sync_interval": "5m",        "users": {            "enable": true,            "remove": false,            "filter": "(&(objectClass=person)(mail=*@%[1]s))",            "attr_map": {                "unique_name": "dn",                 "mail": "mail",                "first_name": "givenName",                "second_name": "sn"            },            "remove_blocked": false,            "create_blocked": false,            "time_type": "FreeIPA",            "logout_users": false,            "pool_size": 50        },        "mailing": {            "enable": true,            "remove": false,            "name_is_email": false        }    },    "ad_client": {        "username": "uid=service-vkt,cn=users,cn=accounts,dc=abc123,dc=abc",        "password": "",        "login_field": "dn",        "base_dn": [            "cn=users,cn=accounts,dc=abc123,dc=abc"        ],        "address": "10.1.100.100:389",        "page_size": 100,        "use_tls": false,        "tls_cert": "",        "skip_insecure": false    }}

Чтобы настроить автоматическую блокировку пользователей в Почте при удалении из каталога:

1. Перейдите по адресу biz.<mail_domain>/admin/misc/configurations/adloaderclient/.

2. Кликните по домену, для которого необходимо настроить блокировку пользователей.

3. Для полей remove и block_removed в разделе users установите значение true:

 
{    "syncer": {        "id": 1,        "sync_interval": "5m",        "users": {            …,            "remove": true,            "remove_blocked": true,         },        …,    },    …}

Чтобы удалять пользователей, которые удалены в каталоге, установите следующие параметры:

 
{    "syncer": {        "id": 1,        "sync_interval": "5m",        "users": {            …,            "remove": true,            "remove_blocked": false,         },        …,    },    …}

Expr — в этом документе обозначает надстройку (expression language) над языком Go, которую можно использовать для динамического преобразования полей объектов при работе со службами каталогов. С синтаксимом expr можно познакомиться здесь: Синтаксис expr

Вы можете включить преобразование атрибутов для конкретной задачи, например для задачи синхронизации пользователей:

 
"users": {         ...        "use_custom_map": true,        "attr_map": {...},        "custom_map": {}    },

После включения ADLoader будет обрабатывать все полученные значения attr_map с помощью выражений expr из custom_map.

Структура custom_map следующая: слева поле из Почты VK WorkSpace, справа поле из LDAP-каталога. Набор полей Почты VK WorkSpace зафиксирован, нельзя добавить новое поле в левую часть.

Общий принцип работы:

1. ADLoader получает значения из attr_map.
2. Проверяет, включен ли custom_map.
3. Если custom_map включен, ADLoader проверяет нужно ли как-то преобразовывать конкретное поле.
4. Если необходимы какие-либо действия, ADLoader производит их, а результат можно будет увидеть в панели администратора VK WorkSpace.

Пример 1

В качестве рабочего номера телефона мы хотим использовать поле mobile из AD и при этом нам надо обрезать все пробелы в номере телефона. attr_map и custom_map будут выглядеть следующим образом:

 
"attr_map": {     "work_number": "mobile"}"custom_map": {     "work_number": "replace(mobile, ' ', '')"}

Пример 2

Если в службе каталогов ФИО пользователей записаны в поле displayName в формате "Иванов Иван Иванович", то привести их в данном виде в соответствующие поля панели администратора можно следующим преобразованием в секции users:

 
"custom_map": {    "last_name": "split(displayName, ' ')[0]",    "first_name": "split(displayName, ' ')[1]",    "middle_name": "split(displayName, ' ')[2]"}

Ниже представлено соответствие полей в панели администратора VK WorkSpace и ключей для выражений expr в Active Directory и FreeIPA.

1. В блоке синхронизации пользователей (users) в поле avatar укажите из какого поля в AD нужно забирать фотографии пользователей. По умолчанию фотографии забираются из атрибута thumbnailPhoto.
2. Запустите синхронизацию.
3. После синхронизации проверьте, что сервис filin отдает нужный аватар: https://filin.<domain.ru>/pic?email=.

В панель администратора аватары пользователей загрузятся через некоторое время, в сервисе filin вы сразу сможете понять работает ли загрузка аватаров.

Чтобы посмотреть логи сервиса AD Loader, выполните команду:

 
sudo journalctl -fu onpremise-container-adloader*.service

где * – номер AD Loader’a.

У сервиса AD Loader есть несколько уровней логирования, от выбранного уровня зависит детализация информации в логах. Значение по умолчанию — 2, WarnLevel. Для диагностики и исследования проблем рекомендуется установить 0 — DebugLevel.

1. В веб-интерфейсе установщика, перейдите в раздел Настройки → Переменные окружения.

2. В левом боковом меню найдите adloader.

3. Нажмите кнопку редактировать .

4. Нажмите на кнопку + Добавить.

5. В поле Название переменной введите ADLOADER_LOG_LEVEL, в поле Значение переменной введите 0

6. Нажмите Сохранить.

   

Также рекомендуем собрать логи контейнеров bizf и mpop:

• mpop — основное API почты VK WorkSpace:

   
  sudo journalctl -fu onpremise-container-mpopN.service

• bizf — API панели администратора VK WorkSpace:

   
  sudo journalctl -fu onpremise-container-bizfN.service

Если с синхронизацией что-то пошло не так, то воспользуйтесь утилитой ldapsearch. Попробуйте с помощью утилиты получить список пользователей с тем же фильтром и из того же каталога, из которого переносите их в Почту.

Например:

 
ldapsearch -v -x -D "login" -w 'pass' -b "OU=ou,DC=dev,DC=local" -H "ldap://ip" '(&(objectclass=user)(objectCategory=person)(mail=*@domain))’

1. Нет сетевой связанности.
2. Неверные логин и пароль у учетной записи, которая используется для доступа к каталогу.
3. Неверный фильтр или фильтры — проверяйте поле filter логических блоков users, contacts, mailing и shared в файле конфигурации.
4. Неверный маппинг атрибутов. Проверьте attr_map’ы логических блоков common, users, contacts, mailing, shared. Помните, что общий attr_map в блоке common имеет более низкий приоритет по сравнению с частными attr_map’ами.
5. Неверный base_dn — вы пытаетесь получить данные не из той директироии в LDAP-каталоге. Помните, что если в интерфейсе первичной настройки в панели администратора вы можете указать только один конкретный OU, то в файле конфигурации в блоках ad_client и shared объект base_dn — это массив, соответственно, можно передать несколько значений, если это необходимо.
6. У учетной записи пользователя в Microsoft Active Directory не заполнено поле email или proxyAddresses.