1.2.4. 使用 LDAP 作为 Dovecot 身份验证后端

流程

1. 在 /etc/dovecot/conf.d/10-auth.conf 文件中配置身份验证后端：

   1. 注释掉您不需要的 auth-*.conf.ext 身份验证后端配置文件的 include 语句，例如：

      #!include auth-system.conf.ext

   2. 通过取消下列行的注释来启用 LDAP 身份验证：

      !include auth-ldap.conf.ext

2. 编辑 /etc/dovecot/conf.d/auth-ldap.conf.ext 文件，并按如下所示将 override_fields 参数添加到 userdb 部分：

   userdb {
     driver = ldap
     args = /etc/dovecot/dovecot-ldap.conf.ext
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   由于值固定，Dovecot 不会从 LDAP 服务器查询这些设置。因此，这些属性也不是必须出现。

3. 使用以下设置创建 /etc/dovecot/dovecot-ldap.conf.ext 文件：

   1. 根据 LDAP 结构，配置以下之一：

      • 如果用户存储在 LDAP 目录中的不同树中，请配置动态 DN 查找：

        dn = cn=dovecot_LDAP,dc=example,dc=com
        dnpass = <password>
        pass_filter = (&(objectClass=posixAccount)(uid=%n))

        Dovecot 使用指定的 DN、密码和过滤器在目录中搜索身份验证用户的 DN。在此搜索中，Dovecot 将过滤器中的 %n 替换为用户名。请注意，LDAP 搜索必须只返回一个结果。

      • 如果所有用户都存储在特定条目下，请配置 DN 模板：

        auth_bind_userdn = cn=%n,ou=People,dc=example,dc=com

   2. 启用绑定到 LDAP 服务器的身份验证以验证 Dovecot 用户：

      auth_bind = yes

   3. 将 URL 设置为 LDAP 服务器：

      uris = ldaps://LDAP-srv.example.com

      为安全起见，只能通过在 LDAP 协议上使用 LDAPS 或 STARTTLS 命令来使用加密连接。对于后者，在设置中额外添加 tls = yes。

      对于正常工作的证书验证，LDAP 服务器的主机名必须与其 TLS 证书中使用的主机名匹配。

   4. 启用 LDAP 服务器的 TLS 证书的验证：

      tls_require_cert = hard

   5. 将基本 DN 设置为要开始搜索用户的 DN：

      base = ou=People,dc=example,dc=com

   6. 设置搜索范围：

      scope = onelevel

      Dovecot 仅在指定的基本 DN 中使用 onelevel 范围搜索，并且也使用子树中的 subtree 范围搜索。

4. 对 /etc/dovecot/dovecot-ldap.conf.ext 文件设置安全权限：

   # chown root:root /etc/dovecot/dovecot-ldap.conf.ext
   # chmod 600 /etc/dovecot/dovecot-ldap.conf.ext