Dovecot autentikáció Authentik-kel

Az egyetlen jó tanács, hogy mielőtt levelezés kiszolgálásba fogsz ismerd meg a szoftver előtte amennyire ezt lehetséges. A "mi a config" jellegű kérdések pedig csak tőled függnek. Érteni kell mit szeretnél és az adott lehetőség mit ad. 

A releváns kérdésekre vonatkozó segítséget itt találod:

https://doc.dovecot.org/configuration_manual/authentication/ldap/

https://doc.dovecot.org/configuration_manual/mail_location/

De erősen javasolt teljesen megismerni és development környezetbe kipróbálni. 

nekem slapd van (openldap server), es ez kell hozza:

# apt-show-versions | grep ldapd
libnss-ldapd:amd64/bullseye 0.9.11-1 uptodate
libpam-ldapd:amd64/bullseye 0.9.11-1 uptodate

/etc/nsswitch.conf:

passwd:         compat ldap systemd                                                                                                                                                                        
group:          compat ldap systemd                                                                                                                                                                        
shadow:         compat ldap                   

/etc/pam.d/dovecot:

#%PAM-1.0

auth            required        pam_ldap.so minimum_uid=10000
account         required        pam_ldap.so minimum_uid=10000
session         required        pam_ldap.so minimum_uid=10000

- szükség van ehhez sssd-re Dovecot oldalon, vagy tud direktben kapcsolódni az LDAP outpost-hoz?

Tud. Nálam pl. nincs sssd, nem is léteznek a mailbox felhasználók az OS szintjén.

- ha utóbbi (nem kell sssd), akkor hogyan, mi a konfig?

Lásd dovecot wiki.

- ha sikerül létrehozni a kapcsolatot, és egy új user (akit Authentik-ben hozok létre) először csatlakozik Dovecot-hoz, létrejön automatikusan a maildir-je (user mailbox provisioning), vagy ezt külön konfiguráni kell?

Létrejön.

- ha utóbbi, akkor hogyan, mi a konfig? auto = subscribe a mappákra elég? Inbox is létrejön így?

Attól függ. Ha normál user home-ot használsz (minden usernek más UID), akkor az lesz a gond, hogy a user nevében létre kéne tudnod hozni a hiányzó könyvtárakat (erre létezik persze PAM modul) - ha a home könyvtár amúgy már létezik a user tulajdonában, akkor a mail alkönyvtár menni fog automatikusan. Egyébként sajnos 777-tel kéne léteznie a home könyvtárak parentjének, ami egészen kevéssé secure, ha amúgy a felhasználók is bejelentkezhetnek a gépre. Ha viszont nem jelentkezhetnek, akkor meg sokkal több értelme van konstans UID/GID használatának, így pedig teljesen automatikusan létre tud jönni komplett az új user. Ez egyúttal megoldást ad arra is, hogy ne tudják a felhasználók taperolni a dovecot alatt a fájlokat.

Az a helyzet a konfiggal, hogy nem csak egyetlen adatbázis sémával oldható meg a feladat (és funkcionális különbség is tud lenni), így valójában a sémához és kívánt business logichoz kell illeszteni a konfigot. Ergó nincs egyetlen kanonikus konfig (one size fits all).

Egy mintapéldát be tudok rakni, aztán ebből lehet tanulni. A használt séma (sima OpenLDAP-ot használunk szervernek):

- LDAP binddal authentikálunk, clear text jelszót kell adnia az IMAP kliensnek - erre csak SSL felett hajlandóak a kliensek, ezt kötelezően mi is előírjuk, cserébe az LDAP oldalán bármilyen módon hashelt jelszóval fog menni; az LDAP fában bind nélkül keresünk (lásd pass_filter), a megtalált objektumra nyomunk LDAP bindot (lehetne ez másképp is, pl. külön read-only bind usert adni a dovecotnak, ha nem lehet bind nélkül keresni az LDAP-ban, vagy template-ből generálni az objektum DN-t külön keresés nélkül, olyat is lehet, hogy kiolvassuk a hashelt vagy clear text jelszót valamelyik LDAP mezőből, és az IMAP szerver végzi el az összehasonlítást, nem pedig az LDAP szerver)

- a mailbox felhasználó nem létezik UNIX userként sehol, fixen 8:12 a UID/GID, ami nálam mail:mail, így csak a dovecot tudja, hogy melyik fájl kié, és ez a mailbox felhasználó homeDirectory mezőjéből derül ki (lehetne ez másképp is: pl. lehet séma szerint generálni mondjuk a mailbox nevéből)

- a mailbox a felhasználó home-ja alatt (ez jön az LDAP-ból) egy Maildir nevű könyvtárban lakik (ezt meg a mail_location mondja meg); ez lehetne akár a home is közvetlenül, hiszen úgysem tudja rendes felhasználóként elérni ezt a könyvtárat a delikvens

- az LDAP objektumból látszik, hogy ez tényleg egy mailbox user, semmi másra nem használatos, de lehetne ez másképp is

- az IMAP szervernek identitása van (mail1.example.com), az adott LDAP-ban megtalálható felhasználók nem feltétlenül ezen a szerveren laknak, erre való a mailHost mező - amúgy van az egész előtt egy frontent reverse proxy, ami ugyaninnen authentikál, és a mailHost szerinti backendre továbbítja az IMAP usereket

- a Local Delivery Agent is a dovecot, mégpedig LMTP-n kapja a levelet a hasonlóan előtte lakó eximtől, ami szintén ugyanezen LDAP adatbázisból (meg a mailHost mezőből) tudja, hogy hova kell küldeni a befele jövő leveleket

- a ManageSieve a leírt konfiggal működik

- a mail quota még nincs teljesen felkonfigurálva, hiányzik pl. az attribútum kiolvasása is az ldap.conf-ból, ezzel a konfiggal így még nem csinál semmit

mailbox objektum az LDAP-ban:

dn: mailLocalAddress=mancika@example.com,ou=Mailboxes,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: inetMailRecipient
objectClass: inetMailbox
objectClass: posixAccount
uid: mancika@example.com
cn: mancika@example.com
sn: mancika@example.com
uidNumber: 8
gidNumber: 12
homeDirectory: /home/vmail/example.com/m/ma/mancika
userPassword: xxxxxx
mail: mancika@example.com
mailLocalAddress: mancika@example.com
mailHost: mail1.example.com

ldap.conf:

hosts = 127.0.0.1
base = ou=Mailboxes,dc=example,dc=com
auth_bind = yes
pass_attrs = =user=%{ldap:mailLocalAddress}
pass_filter = (&(objectClass=inetMailbox)(mailLocalAddress=%u)(mailHost=mail1.example.com))
user_attrs = =home=%{ldap:homeDirectory}
user_filter = (&(objectClass=inetMailbox)(mailLocalAddress=%u)(mailHost=mail1.example.com))
iterate_attrs = mailLocalAddress=user
iterate_filter = (&(objectClass=inetMailbox)(mailHost=mail1.example.com))

dovecot.conf:

instance_name = mail1
base_dir = /run/dovecot/
state_dir = /var/lib/dovecot
protocols = lmtp imap sieve
syslog_facility = mail
ssl_cipher_list = ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES128-SHA256:AES256-SHA:AES256-SHA256:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!PSK:!EXPORT:!RC4:!MD5:!DES:!ADK:!CAMELLIA
ssl_cert = </etc/dovecot/mail.example.com.fullchain.crt
ssl_key = </etc/dovecot/mail.example.com.key
ssl_dh = </etc/dovecot/dh.pem
ssl_min_protocol = TLSv1
ssl_prefer_server_ciphers = yes
ssl_options = no_compression
ssl = required
disable_plaintext_auth = yes
auth_username_format = %Lu
auth_mechanisms = plain login
login_greeting = Mail server ready
mail_uid = 8
mail_gid = 12
first_valid_uid = 8
last_valid_uid = 8
first_valid_gid = 12
last_valid_gid = 12
mail_location = maildir:~/Maildir
managesieve_notify_capability = mailto
managesieve_sieve_capability = fileinto envelope encoded-character copy body variables vacation vacation-seconds relational imap4flags subaddress reject enotify mailbox environment date regex editheader ihave spamtest virustest include 
passdb ldap {
  driver = ldap
  args = /etc/dovecot/ldap.conf
}
userdb ldap {
  driver = ldap
  args = /etc/dovecot/ldap.conf
}
service auth {
  unix_listener auth-userdb {
    mode = 0777
  }
  user = mail
}
service auth-worker {
  unix_listener auth-worker {
    mode = 0666
    user = mail
  }
  user = dovecot
}
service managesieve {
  executable = /usr/libexec/dovecot/managesieve
}
service managesieve-login {
  inet_listener sieve {
    address = 172.16.1.1
    port = 4190
  }
  executable = /usr/libexec/dovecot/managesieve-login
  process_limit = 200
  process_min_avail = 8
}
service imap-login {
  inet_listener imap {
    address = 172.16.1.1
    port = 143
  }
  inet_listener imaps {
    address = 172.16.1.1
    port = 993
    ssl = yes
  }
  process_limit = 200
  process_min_avail = 8
}
service lmtp {
  inet_listener lmtp {
    address = 172.16.1.1
    port = 24
  }
  process_limit = 200
  process_min_avail = 8
  user = mail
}
protocol sieve {
  managesieve_max_line_length = 65536
}
protocol imap {
  mail_plugins = quota imap_quota
  mail_max_userip_connections = 30
}
protocol lmtp {
  postmaster_address = discard@example.com
  hostname = mail1.example.com
  submission_host = 172.26.0.15:587
  mail_plugins = quota sieve
  lda_mailbox_autocreate = yes
  lda_mailbox_autosubscribe = no
  lmtp_save_to_detail_mailbox = yes
  lmtp_rcpt_check_quota = yes
  recipient_delimiter = +
}
plugin {
  quota = maildir:User quota
  quota_rule = Trash:ignore
  sieve = ~/.sieve
}