Tek oturum (SAML)

Kullanıcılar webmail'e ADFS, MonoSign veya başka bir SAML 2.0 kimlik sağlayıcısıyla girer; Zimbra parolası sorulmaz. Kurulum, test ve yayına alma yönetici konsolundan yapılır; SSH gerekmez.

Global yönetici; kendi domaini için yetkili delege yöneticiYönetici konsolu › Araçlar ve Geçiş › Tek Oturum (SAML)

Bağlantılar ekranı

Araçlar ve Geçiş › Tek Oturum (SAML) açıldığında üstte yayındaki bağlantı sayısı ve son 24 saatin başarılı / başarısız girişleri, altında bağlantı kartları görünür. Kartta kimlik sağlayıcı türü, domainler, IdP imza sertifikasının bitiş tarihi ve son giriş durumu yer alır.

Tek Oturum (SAML): bağlantı kartı ve özet

1. Yeni bir kimlik sağlayıcı için Yeni bağlantı.
2. Var olan bağlantıyı değiştirmek için kartta Düzenle; test için Test et.
3. Giriş kayıtları için Oturum olayları sekmesi.

Bağlantı kurmak (sihirbaz, 6 adım)

1. IdP türü

Yeni bağlantı'ya basın ve kimlik sağlayıcınızı seçin: Microsoft ADFS, MonoSign veya Genel SAML 2.0. Türe uygun ön ayarlar dolu gelir.

Adım 1: kimlik sağlayıcı türü

2. IdP bilgileri

1. Metadata adresi sekmesinde kimlik sağlayıcının metadata adresini yazın (MonoSign'da uygulamanın SAML Metadata bağlantısı).
2. Metadata'yı oku'ya basın. Adres yerine XML dosyası yükleyebilir ya da Elle giriş ile değerleri yazabilirsiniz.
3. Doğrulandı kutusunda Entity ID, giriş (SSO) ve çıkış (SLO) adresleri ile imza sertifikası görünür.

Adım 2: metadata okunduktan sonra IdP bilgileri

3. Zimbra tarafı

1. Bağlantı adı: listede görünecek ad (ör. MonoSign).
2. Genel adres: kullanıcıların tarayıcıda açtığı posta adresi (ör. https://posta.zpe.profelis.net).
3. Domainler: SSO kullanacak domainleri işaretleyin.
4. Sağdaki MonoSign tarafına girilecek değerler kutusundan ACS, Entity ID, SP metadata ve SLO adreslerini Kopyala ile alıp kimlik sağlayıcıya girin.
5. MonoSign kullanıyorsanız uygulama, SAML anahtarı, ayar değerleri ve atamalar için MonoSign hazırlığı sayfasındaki adımları izleyin.

Adım 3: Zimbra tarafı ve kimlik sağlayıcıya verilecek adresler

4. Hesap eşleme

Kimlik sağlayıcıdan gelen kimliğin hangi Zimbra hesabına karşılık geleceğini seçin. ADFS ve MonoSign için NameID ve E-posta adresi biçimi önerilir. Kurum kullanıcı adları farklı bir domain içeriyorsa Domain dönüştürme kuralı ekleyin. Sağdaki Canlı önizlemeye örnek bir kimlik yazarak sonucu görebilirsiniz.

Adım 4: hesap eşleme ve canlı önizleme

5. Güvenlik

İmza, audience denetimi, tek çıkış ve saat toleransı ayarları güvenli varsayılanlarla gelir. Değiştirmek için Ayarları göster. MonoSign için önerilen değerler:

Ayar	Önerilen	Not
Signature policy	Signed assertion	MonoSign assertion'ı imzalar.
Sign the AuthnRequest	Açık	Pilot kurulumda açık olarak çalıştı.
Allow IdP-initiated sign-in	Açık	MonoSign portalındaki kutucuktan giriş için gerekir (MonoSign ön ayarı açar). Portal kullanılmayacaksa kapatın: giriş-CSRF riskini azaltır.
Require re-authentication	Kapalı	Açılırsa her Zimbra girişinde kimlik sağlayıcı parola veya MFA sorar.
Allowed clock skew	120 sn	Sunucu saatleri arasındaki izin verilen fark.
Maximum IdP session age	28800 sn	8 saat.
Skip the audience check	Kapalı	Açmak güvenliği zayıflatır.
Single logout (SLO)	Açık	Zimbra'dan çıkınca kimlik sağlayıcı oturumu da kapanır; kapalıyken çıkıştan sonra parola sorulmadan yeniden girilir.

Adım 5: güvenlik ayarları

6. Test ve yayın

1. Özet bölümünde her ayarın yanındaki Değiştir ilgili adıma döner.
2. Testi başlat: yeni pencerede kimlik sağlayıcıda oturum açılır; Zimbra'ya giriş yapılmaz, yalnız yanıt ve eşlenen hesap gösterilir. Bağlantı yayında değilken de çalışır.
3. Test başarılıysa Yayına al. Seçilen domainlerin giriş sayfası kimlik sağlayıcıya yönlenir. Yayından çıkarmak için Yayından geri al.
4. Bitti ile sihirbazı kapatın.

Adım 6: test ve yayın

Giriş sayfası ne zaman değişir?

Giriş sayfası domain bilgisini kısa süre önbellekte tutar. Profelis kurulumu SAML modülüyle bu süreyi 1 dakikaya indirir: yayın ve geri alma yaklaşık bir dakikada görünür, yeniden başlatma gerekmez. Yayın sonucu bunu "Giriş sayfası yaklaşık bir dakika içinde güncellenir" diye bildirir.

Sonuç bunun yerine yeniden başlatma komutu gösteriyorsa süre 60 dakikada kalmıştır (ör. bir Zimbra paket güncellemesinden sonra). Kurulumu yeniden çalıştırın ya da gösterilen komutu uygulayın: tek sunucuda zimbra kullanıcısıyla zmmailboxdctl restart, Always On kümesinde root olarak profelis-alwayson-companion rolling-restart (kesintisiz, bkz. Always On). Kurulum /usr/local/sbin altına bir bağlantı koyar; tam yol /opt/profelis-alwayson/bin/profelis-alwayson-companion.

Kullanıcı ne görür?

Yayındaki bir domainin posta adresi açıldığında kullanıcı doğrudan kimlik sağlayıcının giriş sayfasına gider (aşağıda MonoSign: QR kod veya parola ile giriş). Oturum açınca webmail açılır; Zimbra parolası sorulmaz.

MonoSign giriş sayfası

Oturum olayları

Oturum olayları sekmesinde her giriş, test ve çıkış kaydı vardır: zaman, sonuç, hesap, bağlantı, hata nedeni, IP ve tarayıcı. Bağlantı, Sonuç ve Hesap ile süzün. Bir kullanıcının açık oturumlarını kapatmak için satırdaki Oturumlarını sonlandır.

Oturum olayları: süzme ve oturum sonlandırma

ADFS tarafı

1. Sihirbazın Zimbra tarafı adımındaki SP metadata adresini kopyalayın.
2. ADFS'de güvenen taraf oluşturun: Add-AdfsRelyingPartyTrust -Name "Zimbra Posta" -MetadataUrl <adres> -AccessControlPolicyName "Permit everyone"
3. Talep kuralları: AD mail → E-Mail Address; E-Mail Address → Name ID (e-posta biçimi).
4. Set-AdfsRelyingPartyTrust -SignedSamlRequestsRequired $true -NotBeforeSkew 2
5. Zimbra'da Test et › Yayına al.

ADFS'nin şifreli assertion'ları (AES-256 + RSA-OAEP) otomatik çözülür.

MonoSign tarafı

• Uygulamada ACS ve Entity Id olarak https://zpe.profelis.net/service/extension/samlreceiver, Logout Url olarak .../service/extension/samlslo girin; NameId biçimi emailAddress.
• Zimbra sihirbazında SP Entity ID alanını boş bırakın; MonoSign'ın gösterdiği "Entity Id" buraya yazılmaz.

Tek çıkış

Zimbra'dan çıkışta kimlik sağlayıcıya imzalı çıkış isteği gönderilir; kimlik sağlayıcıdan başlayan çıkışta Zimbra oturumu kapanır. Çıkış mesajlarında imza zorunludur.

Network Edition'dan taşıma

NE'den içe aktar › Önizle: eski ayarlar Profelis bağlantısına eşlenir. Bağlantı kapalı oluşur ve sihirbaz test adımında açılır.

Sorun giderme

1. Kullanıcının hata sayfasındaki destek kodunu alın (imza, audience, süre, adres, hesap yok…).
2. Olaylar'da kullanıcıyı arayın: sonuç, neden, IP, tarayıcı.
3. Bağlantıda Test et; kırmızı aşama çözüm önerisiyle gelir.
4. Sunucuda: grep profelis-saml /opt/zimbra/log/mailbox.log.

Acil durumda parola ile giriş

Parola ile giriş her zaman https://<posta adresi>/?ignoreLoginURL=1 adresinde açıktır. SSO'yu kapatmak için bağlantı kartında Yayından geri al.

Kapsam

IMAP, POP, SMTP, ActiveSync ve CalDAV istemcileri SAML kullanmaz. Hesaplar Zimbra'da önceden bulunmalıdır. Yönetici konsolu girişi SAML'e bağlanmaz.