执行doveadm dsync-server的用户权限及Dovecot邮件同步配置咨询

一、doveadm dsync-server所需的具体用户权限 #

要让doveadm dsync-server无需root权限正常运行，执行用户（如mailuser）需要以下权限：

• 邮件存储目录访问权：对目标用户（username@example.com）的邮件存储路径（如Maildir目录）拥有读写执行权限。如果是虚拟用户目录（如/var/mail/vhosts/example.com/username/），需确保mailuser能遍历目录、读写邮件文件。
• 用户数据库访问权：能读取Dovecot的用户认证/信息数据源：
  • 若使用本地密码文件（如/etc/dovecot/users），文件权限需设为640，且mailuser需属于dovecot用户组；
  • 若使用LDAP/MySQL，需给mailuser配置对应的数据库查询权限，允许其读取用户的邮件存储路径等信息。
• Dovecot服务套接字访问权：属于dovecot或mail用户组，以访问Dovecot的认证套接字（如/var/run/dovecot/auth-userdb），用于查询用户元数据。
• 受限sudo权限（可选替代方案）：如果无法直接赋予上述权限，可在sudoers中配置mailuser仅能执行指定的doveadm dsync-server命令，避免全root权限：

  echo "mailuser ALL=(ALL) NOPASSWD: /usr/bin/doveadm dsync-server -u username@example.com" | sudo tee -a /etc/sudoers.d/dovecot-sync
  

二、Dovecot跨服务器邮件同步详细配置指南 #

1. 源服务器（mail1）准备 #

（1）创建同步专用用户

useradd -m -s /bin/bash mailuser

（2）配置SSH公钥认证

• 在目标服务器（mail2）生成密钥对：

  ssh-keygen -t ed25519 -f id_dsa.dovecot
  

• 将公钥复制到mail1的mailuser目录：

  ssh-copy-id -i id_dsa.dovecot.pub mailuser@mail1.example.com
  

• 确保权限正确：

  ssh mailuser@mail1.example.com "chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys"
  

• 验证无密码登录：

  ssh -i id_dsa.dovecot mailuser@mail1.example.com
  

（3）调整Dovecot相关权限

• 将mailuser加入对应用户组：

  usermod -aG dovecot,mail mailuser
  

• 赋予邮件存储目录权限（以虚拟用户为例）：

  chown -R mailuser:mail /var/mail/vhosts/example.com/username/
  # 或用ACL更精细控制：
  setfacl -R -m u:mailuser:rwx /var/mail/vhosts/example.com/username/
  

2. 目标服务器（mail2）准备 #

• 确保目标用户username@example.com已在Dovecot中创建，且邮件存储目录权限正常（如属于mail组，权限700）。

3. 执行同步命令 #

（1）无sudo权限（已配置好mailuser权限）

doveadm sync -v -u username@example.com ssh -i id_dsa.dovecot mailuser@mail1.example.com doveadm dsync-server -u username@example.com

（2）使用受限sudo权限

doveadm sync -v -u username@example.com ssh -i id_dsa.dovecot mailuser@mail1.example.com sudo doveadm dsync-server -u username@example.com

• -v参数用于输出详细日志，便于排查问题。

4. 验证同步结果 #

登录mail2的username@example.com邮箱，检查以下内容：

• 所有邮件（包括收件箱、自定义文件夹）是否完整同步；
• 邮件的已读/未读、星标等状态是否一致；
• 邮件附件是否完整。

内容的提问来源于stack exchange，提问作者Георги Костов