1.2. Mise en place d'un serveur Dovecot avec authentification LDAP

Procédure

1. Définir des autorisations sécurisées pour le fichier de la clé privée :

   # chown root:root /etc/pki/dovecot/private/server.example.com.key
   # chmod 600 /etc/pki/dovecot/private/server.example.com.key

2. Générer un fichier avec les paramètres Diffie-Hellman :

   # openssl dhparam -out /etc/dovecot/dh.pem 4096

   En fonction du matériel et de l'entropie du serveur, la génération de paramètres Diffie-Hellman avec 4096 bits peut prendre plusieurs minutes.

3. Définissez les chemins d'accès aux fichiers de certificats et de clés privées dans le fichier /etc/dovecot/conf.d/10-ssl.conf:

   1. Mettez à jour les paramètres ssl_cert et ssl_key et définissez-les de manière à utiliser les chemins d'accès au certificat et à la clé privée du serveur :

      ssl_cert = </etc/pki/dovecot/certs/server.example.com.crt
      ssl_key = </etc/pki/dovecot/private/server.example.com.key

   2. Décommentez le paramètre ssl_ca et définissez-le de manière à utiliser le chemin d'accès au certificat d'autorité de certification :

      ssl_ca = </etc/pki/dovecot/certs/ca.crt

   3. Décommentez le paramètre ssl_dh et indiquez-lui le chemin d'accès au fichier des paramètres Diffie-Hellman :

      ssl_dh = </etc/dovecot/dh.pem

   Important

   Pour s'assurer que Dovecot lit la valeur d'un paramètre à partir d'un fichier, le chemin d'accès doit commencer par le caractère <.

Procédure

1. Créez l'utilisateur vmail:

   # useradd --home-dir /var/mail/ --shell /usr/sbin/nologin vmail

   Dovecot utilisera par la suite cet utilisateur pour gérer les boîtes aux lettres. Pour des raisons de sécurité, n'utilisez pas les utilisateurs du système dovecot ou dovenull à cette fin.

2. Si vous utilisez un chemin différent de celui de /var/mail/, définissez le contexte SELinux de mail_spool_t, par exemple :

   # semanage fcontext -a -t mail_spool_t "<path>(/.*)?"
   # restorecon -Rv <path>

3. Accordez les droits d'écriture sur /var/mail/ uniquement à l'utilisateur vmail:

   # chown vmail:vmail /var/mail/
   # chmod 700 /var/mail/

4. Décommentez le paramètre mail_location dans le fichier /etc/dovecot/conf.d/10-mail.conf et attribuez-lui le format et l'emplacement de la boîte aux lettres :

   mail_location = sdbox:/var/mail/%n/

   Avec ce réglage :

   • Dovecot utilise le format de boîte aux lettres dbox en mode single. Dans ce mode, le service stocke chaque courrier dans un fichier séparé, comme dans le format maildir.
   • Dovecot résout la variable %n dans le chemin du nom d'utilisateur. Ceci est nécessaire pour s'assurer que chaque utilisateur dispose d'un répertoire séparé pour sa boîte aux lettres.

Procédure

1. Configurer les backends d'authentification dans le fichier /etc/dovecot/conf.d/10-auth.conf:

   1. Commentez les déclarations include pour les fichiers de configuration du backend d'authentification auth-*.conf.ext dont vous n'avez pas besoin, par exemple :

      #!include auth-system.conf.ext

   2. Activez l'authentification LDAP en décommentant la ligne suivante :

      !include auth-ldap.conf.ext

2. Modifiez le fichier /etc/dovecot/conf.d/auth-ldap.conf.ext et ajoutez le paramètre override_fields comme suit à la section userdb:

   userdb {
     driver = ldap
     args = /etc/dovecot/dovecot-ldap.conf.ext
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   En raison des valeurs fixes, Dovecot ne demande pas ces paramètres au serveur LDAP. Par conséquent, ces attributs n'ont pas non plus besoin d'être présents.

3. Créez le fichier /etc/dovecot/dovecot-ldap.conf.ext avec les paramètres suivants :

   1. En fonction de la structure LDAP, configurez l'un des éléments suivants :

      • Si les utilisateurs sont stockés dans différentes arborescences de l'annuaire LDAP, configurez des recherches dynamiques de DN :

        dn = cn=dovecot_LDAP,dc=example,dc=com
        dnpass = password
        pass_filter = (&(objectClass=posixAccount)(uid=%n))

        Dovecot utilise le DN, le mot de passe et le filtre spécifiés pour rechercher le DN de l'utilisateur s'authentifiant dans l'annuaire. Dans cette recherche, Dovecot remplace %n dans le filtre par le nom d'utilisateur. Notez que la recherche LDAP ne doit retourner qu'un seul résultat.

      • Si tous les utilisateurs sont enregistrés sous une entrée spécifique, configurez un modèle DN :

        auth_bind_userdn = cn=%n,ou=People,dc=example,dc=com

   2. Activer l'authentification se lie au serveur LDAP pour vérifier les utilisateurs de Dovecot :

      auth_bind = yes

   3. Définir l'URL du serveur LDAP :

      uris = ldaps://LDAP-srv.example.com

      Pour des raisons de sécurité, n'utilisez que des connexions cryptées utilisant LDAPS ou la commande STARTTLS sur le protocole LDAP. Dans ce dernier cas, ajoutez tls = yes aux paramètres.

      Pour que la validation du certificat fonctionne, le nom d'hôte du serveur LDAP doit correspondre au nom d'hôte utilisé dans son certificat TLS.

   4. Activer la vérification du certificat TLS du serveur LDAP :

      tls_require_cert = hard

   5. Définissez le DN de base sur le DN où commencer la recherche d'utilisateurs :

      base = ou=People,dc=example,dc=com

   6. Définir l'étendue de la recherche :

      scope = onelevel

      Dovecot recherche avec la portée onelevel uniquement dans le DN de base spécifié et avec la portée subtree également dans les sous-arbres.

4. Définir des autorisations sécurisées sur le fichier /etc/dovecot/dovecot-ldap.conf.ext:

   # chown root:root /etc/dovecot/dovecot-ldap.conf.ext
   # chmod 600 /etc/dovecot/dovecot-ldap.conf.ext

Procédure

1. Si vous souhaitez fournir uniquement un service IMAP ou POP3 aux utilisateurs, décommentez le paramètre protocols dans le fichier /etc/dovecot/dovecot.conf et définissez-le en fonction des protocoles requis. Par exemple, si vous n'avez pas besoin de POP3, définissez :

   protocols = imap lmtp

   Par défaut, les protocoles imap, pop3 et lmtp sont activés.

2. Ouvrez les ports dans le pare-feu local. Par exemple, pour ouvrir les ports des protocoles IMAPS, IMAP, POP3S et POP3, entrez :

   # firewall-cmd --permanent --add-service=imaps --add-service=imap --add-service=pop3s --add-service=pop3
   # firewall-cmd --reload

3. Activez et démarrez le service dovecot:

   # systemctl enable --now dovecot

Vérification

1. Utilisez un client de messagerie, tel que Mozilla Thunderbird, pour vous connecter à Dovecot et lire les courriels. Les paramètres du client de messagerie dépendent du protocole que vous souhaitez utiliser :

   Tableau 1.2. Paramètres de connexion au serveur Dovecot

   Protocol	Port	Sécurité des connexions	Méthode d'authentification
   IMAP	143	STARTTLS	PLAIN[a]
   IMAPS	993	SSL/TLS	PLAIN[a]
   POP3	110	STARTTLS	PLAIN[a]
   POP3S	995	SSL/TLS	PLAIN[a]
   [a] Le client transmet des données cryptées via la connexion TLS. Par conséquent, les informations d'identification ne sont pas divulguées.

   Notez que ce tableau ne liste pas les paramètres pour les connexions non chiffrées car, par défaut, Dovecot n'accepte pas l'authentification en texte clair sur les connexions sans TLS.

2. Afficher les paramètres de configuration avec des valeurs autres que celles par défaut :

   # doveconf -n