Der Einsatz von UCS beginnt entweder mit einer klassischen Betriebssysteminstallation auf einem physikalischen Server oder als virtuelle Instanz. Weiterführende Informationen finden sich in Kapitel 2.

In einer mit UCS verwalteten IT-Infrastruktur können sich alle Server, Clients und Benutzer in einem einheitlichen Sicherheits- und Vertrauenskontext, der UCS-Domäne, befinden. Jedem UCS-System wird dazu bei seiner Installation eine so genannte Systemrolle zugewiesen. Mögliche Systemrollen sind Domänencontroller, Memberserver und Client.

§

Abbildung 1.1. UCS-Domänenkonzept

Abhängig von der Systemrolle werden neben dem Betriebssystem grundlegende Dienste wie Kerberos, OpenLDAP, Samba, Module für den Domänenreplikationsmechanismus oder eine Root-CA (Zertifizierungsstelle) auf dem Rechner installiert und automatisch für die gewählte Systemrolle konfiguriert. Eine manuelle Einrichtung jedes einzelnen Dienstes oder Anwendung ist deswegen normalerweise nicht notwendig. Durch den modularen Aufbau und umfangreiche Konfigurationsschnittstellen lassen sich dennoch auf individuelle Bedürfnisse zugeschnittene Lösungen umsetzen.

Durch die Integration von Samba, das den Domänendienst für mit Microsoft Windows betriebene Clients und Server bereit stellt, ist Univention Corporate Server kompatibel zu Microsoft Active Directory (AD), so dass sich das System gegenüber Windows-basierten Systemen wie ein Active Directory Server verhält. Deswegen können beispielsweise Gruppenrichtlinien für Microsoft Windows-Systeme auf die gewohnte Art und Weise verwaltet werden.

Zusätzlich kann UCS auch als Teil einer vorhanden Microsoft Active Directory Domäne betrieben werden. Benutzer und Gruppen aus der Active Directory Domäne können dadurch auf Applikationen des Univention App Centers zugreifen.

Ubuntu- oder Mac OS X-Clients können ebenfalls in eine UCS-Umgebung integriert werden (siehe Abschnitt 8.1.1).

Das Univention App Center bietet weitere UCS-Komponenten und Erweiterungen sowie eine umfangreiche Auswahl von Softwarelösungen für Business IT-Bereiche wie Groupware, Datenaustausch, CRM oder Backup. Die Anwendungen lassen sich mit wenigen Klicks in bestehende Umgebungen installieren und sind in der Regel einsatzbereit vorkonfiguriert. Sie werden in vielen Fällen direkt in das UCS-Managementsystem integriert und stehen anschließend in der Univention Management Console zur Verfügung. Damit ist eine zentrale Verwaltung von Daten auf Domänenebene gegeben und eine separate Verwaltung, z.B. von Nutzerdaten für unterschiedliche Dienste an unterschiedlichen Orten, entfällt.

Mit dem UCS-Managementsystem können alle Bestandteile der UCS-Domäne über Rechner-, Betriebssystem- und Standortgrenzen hinweg zentral verwaltet werden. Es steht somit ein echter Single-Point-of-Administration für die Domäne zur Verfügung. Ein tragendes Element des UCS-Managementsystems ist ein LDAP-Verzeichnis, in dem die domänenweit benötigten, verwaltungsrelevanten Daten vorgehalten werden. Dort wird neben Benutzerkonten und ähnlichem auch die Datenbasis von Diensten wie DHCP gespeichert. Die zentrale Datenhaltung im LDAP-Verzeichnis erspart nicht nur die wiederholte Eingabe derselben Daten, sondern verringert auch die Wahrscheinlichkeit von Fehlern und Inkonsistenzen.

Ein LDAP-Verzeichnis besitzt eine baumartige Struktur, deren Wurzel die so genannte Basis der UCS-Domäne bildet. Die UCS-Domäne realisiert den gemeinsamen Sicherheits- und Vertrauenskontext für ihre Mitglieder. Bei Benutzern begründet ein Konto im LDAP-Verzeichnis die Mitgliedschaft in der UCS-Domäne. Rechner erhalten bei Beitritt in die Domäne ein Rechnerkonto. Auch Microsoft Windows-Systeme können in die Domäne aufgenommen werden, so dass sich Benutzer dort mit ihrem Domänenpasswort anmelden können.

UCS setzt als Verzeichnisdienstserver OpenLDAP ein. Das Verzeichnis wird vom Domänencontroller Master bereitgestellt und auf alle anderen Domänencontroller (DCs) in der Domäne repliziert. Weil ein DC Backup im Notfall den DC Master ersetzen können soll, wird auf diesen immer das komplette LDAP-Verzeichnis repliziert. Die Replikation auf DC Slaves kann dagegen mithilfe von ACLs (Access Control Lists) auf beliebige Bereiche des LDAP-Verzeichnisses beschränkt werden, um eine selektive Replikation zu ermöglichen. Dies kann z.B. dann gewünscht sein, wenn Daten aus Sicherheitsgründen auf möglichst wenigen Servern gespeichert werden sollen. Zur sicheren Kommunikation der Systeme innerhalb der Domäne ist in UCS eine Root-CA (Zertifizierungsstelle) integriert.

Weiterführende Informationen finden sich in Abschnitt 3.4.

§

Abbildung 1.2. Univention Management Console

Der Zugang zum LDAP-Verzeichnis erfolgt über die webbasierte Benutzerschnittstelle Univention Management Console (UMC). Daneben ermöglicht Univention Directory Manager auch die Umsetzung aller domänenweiten administrativen Aufgaben über eine Kommandozeilen-Schnittstelle. Dies eignet sich besonders für die Integration in Skripte oder automatisierte administrative Schritte.

Mit Univention Management Console können Daten des LDAP-Verzeichnisses angezeigt, bearbeitet, gelöscht sowie über eine Suche nach unterschiedlichen Kriterien gefiltert werden. Die Web-Oberfläche stellt Assistenten bereit u.a. zur Verwaltung von Benutzern, Gruppen, Netzwerken, Rechnern, Verzeichnisfreigaben und Druckern zur Verfügung. Die Rechnerverwaltung umfasst auch umfangreiche Funktionen zur Verteilung und Aktualisierung von Software. Über den integrierten LDAP-Verzeichnis-Browser können weitergehende Einstellungen vorgenommen sowie kundenspezifische Objektklassen und Attribute hinzugefügt werden.

Weiterführende Informationen finden sich in Kapitel 4.

Univention Management Console ermöglicht nicht nur den Zugriff auf das LDAP-Verzeichnis, sondern auch die webbasierte Konfiguration und Administration einzelner Rechner. Dazu gehören die Anpassung von Konfigurationsdaten, die Installation von Software sowie die Überwachung und Steuerung von Diensten und dem Betriebssystem an sich. Mit dem UCS-Managementsystem ist die Domänenverwaltung sowie die Rechner-, bzw. Serverkonfiguration von jedem beliebigen Ort aus über eine komfortable, graphische Web-Oberfläche möglich.

Die baumartige Struktur von LDAP-Verzeichnissen ist ähnlich der eines Dateisystems. Sie stellt sicher, dass Objekte (wie z.B. Benutzer, Rechner etc.) sich in einem Container befinden, der wieder in anderen Containern enthalten sein kann. Der Wurzelcontainer wird auch als LDAP-Basis-Objekt bezeichnet.

Richtlinien beschreiben bestimmte administrative Einstellungen, die auf mehr als ein Objekt angewendet werden können. Sie erleichtern die Administration, weil sie an Container gebunden werden können und dann für alle in dem betreffenden Container befindlichen Objekte, sowie die in Unterordnern befindlichen Objekte gelten.

Beispielsweise können Benutzer nach Abteilungszugehörigkeit in unterschiedliche Container oder Organisationseinheiten (die eine besondere Form von Containern darstellen) organisiert werden. Einstellungen wie Bildschirmhintergrund oder aufrufbare Programme können dann mit Hilfe von Richtlinien an diese Organisationseinheiten gebunden werden und gelten dann für alle unterhalb der betreffenden Organisationseinheit befindlichen Benutzer.

Weiterführende Informationen finden sich in Abschnitt 4.5.

Ein wichtiger technischer Bestandteil des UCS-Managementsystems stellt der so genannte "Listener/Notifier-Mechanismus" dar. Mit ihm lösen das Anlegen, Verändern oder Löschen von Einträgen im LDAP-Verzeichnis definierte Aktionen auf betroffenen Rechnern aus. So führt zum Beispiel das Anlegen einer Verzeichnisfreigabe mit Univention Management Console dazu, das die Freigabe zunächst in das LDAP-Verzeichnis eingetragen wird. Der Listener/Notifier-Mechanismus stellt dann sicher, dass die Konfigurationsdateien auf dem gewählten Server entsprechend erweitert werden und das Verzeichnis im Dateisystem des gewählten Servers erstellt wird, falls es noch nicht existiert.

Der Listener/Notifier-Mechanismus kann leicht um Module für weitere – auch kundenspezifische – Vorgänge ergänzt werden und wird zum Beispiel von zahlreichen Technologiepartnern für die Integration ihrer Produkte in den LDAP-Verzeichnisdienst und das UCS-Managementsystem verwendet.

Weiterführende Informationen finden sich in Abschnitt 3.5.

Mit dem UMC-Modul UCS Virtual Machine Manager (UVMM) verfügt UCS über ein umfangreiches und mächtiges Werkzeug zur Verwaltung hybrider Cloud-Umgebungen. In der UCS-Domäne registrierte Virtualisierungsserver und darauf betriebene virtuelle Maschinen können zentral überwacht und administriert werden. Zusätzlich bietet UVMM die Möglichkeit virtuelle Maschinen in OpenStack- oder EC2-Umgebungen zu administrieren.

Weiterführende Informationen finden sich in Kapitel 15.

Nach der Auswahl des Modus Erstellen einer neuen UCS-Domäne wird in den folgenden zwei Schritten ein Organisationsname, eine E-Mail-Adresse, ein vollständiger Rechnername sowie eine LDAP-Basis abgefragt.

Die Angabe eines Organisationsnamens ist optional und wird im zweiten Schritt für die automatische Generierung eines Domänennamens sowie der LDAP-Basis verwendet.

Wird eine gültige E-Mail-Adresse angegeben, wird diese verwendet, um eine personalisierte Lizenz zu aktivieren, die für die Verwendung des Univention App Centers notwendig ist. Die Lizenz wird automatisch generiert und umgehend an die angegeben E-Mail-Adresse zugeschickt. Die Lizenz kann dann über den Lizenzdialog von Univention Management Console eingespielt werden.

Aus dem hier eingetragenen vollständigen Rechnernamen (ein Rechnername inkl. Domänenname) wird automatisch der Name des zu konfigurierenden UCS-Systems sowie der Name der DNS-Domäne ermittelt. Aus dem im vorigen Schritt angegebenen Organisationsnamen wird automatisch ein Vorschlag generiert. Es wird empfohlen, keine öffentlich verfügbare DNS-Domäne zu verwenden, da dies zu Problemen in der Namensauflösung führen kann.

Für die Initialisierung des Verzeichnisdienstes wird die Angabe einer LDAP-Basis benötigt. Auch hier wird ein Vorschlag automatisch aus dem vollständigen Rechnernamen abgeleitet. In der Regel kann dieser Wert unverändert übernommen werden.

§

Abbildung 2.12. Angabe des Rechnernamens und der LDAP-Basis

Wurde während der Netzwerkkonfiguration der DNS-Server einer Active-Directory-Domäne angegeben, wird im Schritt Active Directory-Kontoinformationen automatisch der Name des Active Directory-Domänencontrollers vorgeschlagen. Falls dieser Vorschlag nicht stimmen sollte, kann hier der Name eines anderen Active Directory-Domänencontrollers bzw. einer anderen Active Directory-Domäne angegeben werden.

Für den Beitritt in die Active Directory-Domäne ist die Angabe eines Active Directory-Kontos sowie des zugehörigen Passworts notwendig. Das Benutzerkonto muss die Berechtigung besitzen, neue Systeme in die Active Directory-Domäne aufzunehmen.

Zusätzlich muss ein Rechnername für das zu konfigurierende UCS-System angegeben werden. Dabei kann der vorgeschlagene Rechnername übernommen oder ein eigener Rechnername eingetragen werden. Der Domänenname des Rechners wird automatisch aus dem Domänen-DNS-Server abgeleitet. In einigen Szenarien (z.B. ein öffentlicher Mailserver) kann es notwendig sein, einen bestimmten vollständigen Rechnernamen zu verwenden. Das UCS-System wird mit dem hier angegebenen Rechnernamen der Active Directory-Domäne beitreten. Der eingerichtete Domänenname kann nach Abschluss der Konfiguration nicht mehr verändert werden.

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Das erste UCS-System, das einer Active Directory-Domäne beitritt, wird automatisch mit der Systemrolle Domänencontroller Master konfiguriert. Wird dieser Modus während der Installation eines weiteren UCS-Systems ausgewählt, wird der Dialog zur Auswahl einer Systemrolle angezeigt. Die einzelnen Systemrollen werden im folgenden Abschnitt genauer beschrieben.

§

Abbildung 2.13. Informationen zum Active Directory-Domänenbeitritt

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Das erste System einer UCS-Domäne wird immer mit der Systemrolle Domänencontroller Master installiert. Zusätzliche UCS-Systeme können der Domäne später beitreten und mit einer der folgenden Systemrollen konfiguriert werden:

Nach der Auswahl der UCS-Systemrolle werden einige Informationen zum Domänenbeitritt abgefragt. Soll der Domänenbeitritt nicht automatisch während der Installation stattfinden, kann die Option Domänenbeitritt am Ende der Installation starten deaktiviert werden. Wurde während der Netzwerkkonfiguration der richtige DNS-Server ausgewählt, kann Univention Installer den Namen des Domänencontroller Master-Systems automatisch bestimmen. Falls doch in eine andere UCS-Domäne gejoined werden soll, kann die Option Domänencontroller Master im DNS suchen deaktiviert und der vollständige Rechnername des gewünschten Domänencontroller Master im Eingabefeld darunter eingetragen werden. Die für den Domänenbeitritt notwendigen Zugangsinformationen müssen in die beiden Eingabefelder Administrator-Kontoinformationen und Administrator-Passwort

§

Abbildung 2.14. Informationen zum Domänenbeitritt

Im nächsten Schritt muss zusätzlich ein Rechnername für das zu konfigurierende UCS-System angegeben werden. Dabei kann der vorgeschlagene Rechnername übernommen oder ein eigener Rechnername eingetragen werden. Der Domänenname des Rechners wird automatisch aus dem Domänen-DNS-Server abgeleitet. In einigen Szenarien (z.B. ein öffentlicher Mailserver) kann es notwendig sein, einen bestimmten vollständigen Rechnernamen zu verwenden. Der eingerichtete Domänenname kann nach Abschluss der Konfiguration nicht mehr verändert werden.

Die Konfiguration des Modus Keine Domäne benutzen erfordert die Angabe eines Rechnernamens für das zu konfigurierende UCS-System. Dabei kann der vorgeschlagene Rechnername übernommen oder ein eigener Rechnername eingetragen werden. Der Domänenname des Rechners wird automatisch aus dem Domänen-DNS-Server abgeleitet.

Es gibt drei Möglichkeiten ein UCS-System einer bestehenden Domäne beitreten zu lassen; direkt am Ende der Installation im Univention Installer (siehe Abschnitt 2.9.3) oder nachträglich durch den Befehl univention-join bzw. mit Univention Management Console.

Der Domänencontroller Master sollte immer auf dem aktuellsten Release-Stand der Domäne installiert sein, da beim Join eines Systems in aktuellerer Version gegen einen älteren DC Master Probleme auftreten können.

Beim Beitritt eines Rechners wird für diesen ein Rechnerkonto angelegt, die SSL-Zertifikate synchronisiert und ggf. eine LDAP-Replikation angestoßen. Außerdem werden am Ende des Join-Vorgangs Join-Skripte ausgeführt. Diese registrieren anhand der auf dem System installierten Software-Pakete z.B. weitere Objekte im Verzeichnisdienst (siehe Abschnitt 3.2.1.3).

Der Domänenbeitritt wird auf Client-Seite in der Logdatei /var/log/univention/join.log aufgezeichnet, die zur Fehleranalyse herangezogen werden kann. Auf dem Domänencontroller Master ausgeführte Aktionen werden in der Logdatei /home/Join-Account/.univention-server-join.log abgelegt.

Der Join-Vorgang kann jederzeit wiederholt werden. Nach bestimmten administrativen Schritten (etwa nach Änderungen wichtiger Systemeigenschaften auf dem Domänencontroller Master) kann ein erneuter Beitritt der Systeme sogar zwingend erforderlich sein.

Der Domänenbeitritt von Microsoft Windows-Systemen zu einer durch Samba bereitgestellten UCS-Domäne wird nachfolgend für Windows 7/8/10 und Windows 2012 beschrieben. Bei anderen Windows-Versionen funktioniert der Beitritt ähnlich. Neben den Client-Versionen können auch Windows Server-Systeme der Domäne beitreten. Windows-Server treten der Domäne als Memberserver bei, ein Beitritt eines Windows-Systems als Domänencontroller wird nicht unterstützt.

Nur domänenfähige Windows-Versionen können der UCS-Domäne beitreten, d.h. ein Domänenbeitritt mit den Home-Versionen von Windows ist nicht möglich.

Unter UCS können zwei verschiedene Versionen von Samba zum Einsatz kommen: Samba 3 implementiert eine Windows-Domäne auf Basis von NT-Domänentechnologie, während Samba 4 ein Active Directory-Verzeichnis nachbildet. Weitere Hinweise finden sich in Abschnitt 9.1.

Beim Domänenbeitritt wird automatisch ein Rechnerkonto für den Windows-Client erstellt (siehe Abschnitt 8.1). Angaben zu MAC- und IP-Adresse, Netzwerk, DHCP oder DNS können vor oder nach dem Domänenbeitritt in Univention Management Console ergänzt werden.

Der Domänenbeitritt wird in der Regel mit dem lokalen Administrator-Konto des Windows-Systems durchgeführt.

§

Abbildung 3.1. Domänenbeitritt eines Windows 7-Systems

Der Domänenbeitritt dauert einige Zeit und sollte nicht vorzeitig abgebrochen werden. Nach einem erfolgreichen Beitritt erscheint ein kleines Fenster mit der Nachricht Willkommen in der Domäne Domänenname, die mit [OK] bestätigt werden muss. Abschließend muss der Rechner neu gestartet werden, um die Änderungen in Kraft zu setzen.

Domänennamen sollten auf 13 Zeichen beschränkt werden, da diese auf Seite der Windows-Clients ansonsten verkürzt dargestellt werden, was zu Anmeldefehlern führen kann.

Bei einem Domänenbeitritt gegen einen Domänencontroller auf Basis von Samba 3 muss sichergestellt werden, dass der NetBIOS-Name der Domäne auflösbar ist. Dazu ist unter Umständen ein WINS-Server zu konfigurieren (siehe [ext-doc-windows-nt]).

Bei einem Domänenbeitritt gegen einen Domänencontroller auf Basis von Samba 4 muss die DNS-Konfiguration des Clients so eingerichtet sein, dass DNS-Einträge aus der DNS-Zone der UCS-Domäne aufgelöst werden können. Außerdem muss die Zeit auf dem Client-System mit der Zeit auf dem Domänencontroller synchronisiert sein.

Die Integration von Ubuntu-Clients in eine UCS-Domäne ist in Abschnitt 8.1.1 beschrieben.

UCS unterstützt den Domänenbeitritt von Mac OS X-Clients in eine UCS-Umgebung mit Samba 4. Diese Anleitung bezieht sich auf Mac OS X 10.8.2.

Der Domänenbeitritt kann über das Systemeinstellungsmenü oder den Kommandozeilenbefehl dsconfigad erfolgen.

Nach erfolgtem Domänenbeitritt besteht die Möglichkeit CIFS-Freigaben zu definieren, die bei der Anmeldung eines Benutzers unterhalb von /Volumes automatisch eingehängt werden. Um dies zu erreichen, muss die folgende Zeile in die Datei /etc/auto_master eingefügt werden:

/Volumes    auto_custom

Außerdem muss die Datei /etc/auto_custom angelegt werden und die einzubindenden Freigaben dort in der folgenden Form aufgeführt werden:

subfolder name    -fstype=smbfs    ://fqdn/sharename

Die eingebundenen Freigaben werden nicht in der Seitenleiste des Finders angezeigt.

§3.2.4.1. Domänenbeitritt über das Systemeinstellungen-Menü

In den Systemeinstellungen kann über Benutzer das Menü Anmeldeoptionen ausgewählt werden. Die Anmeldung erfolgt durch einen Klick auf das Schloss in der linken unteren Ecke, dort muss das lokale Administrator-Konto und dessen Passwort angegeben und Netzwerk-Account-Server: Verbinden angeklickt werden.

§

Abbildung 3.2. Domänenbeitritt eines Mac OS X-Systems

In den erweiterten Einstellungen sollte die Option Mobilen Account bei Anmeldung erstellen aktiviert werden. Sie bietet den Vorteil, das auch ohne Verbindung zur Domäne eine Anmeldung mit der Domänenbenutzerkennung erfolgen kann

Der Domänenname muss nun im Feld Active Directory Domain und der Rechnername des Mac OS X-Clients in das Feld Computer-ID eingetragen werden. Der Domänenbeitritt erfolgt nach einem Klick auf OK. Für den Domänenbeitritt muss ein Konto aus der Gruppen Domain Admins verwendet werden, z.B. Administrator.

dsconfigad -a mac hostname -domain fqdn -ou "CN=Computers,ldap_base" \
  -u Domain Administrator -mobile enable

Ein System mit der Rolle Domänencontroller Master (kurz DC Master) ist der primäre Domänencontroller einer UCS-Domäne und wird immer als erstes System installiert. Auf dem DC Master werden die Domänendaten (wie z.B. Benutzer, Gruppen, Drucker) und die SSL-Sicherheitszertifikate gespeichert. Kopien dieser Daten werden automatisch auf Server mit der Rolle Domänencontroller Backup übertragen.

Auf Servern mit der Rolle Domänencontroller Backup (kurz DC Backup) werden alle Domänendaten und SSL-Sicherheitszertifikate als Nur-Lese-Kopie gespeichert.

Der Domänencontroller Backup dient als Fallback-System des DC Master. Sollte dieser ausfallen, kann ein DC Backup die Rolle des DC Master dauerhaft übernehmen (siehe Abschnitt 3.9).

Auf Servern mit der Rolle Domänencontroller Slave (kurz DC Slave) werden die Domänendaten als Nur-Lese-Kopie gespeichert. Im Gegensatz zum Domänencontroller Backup werden jedoch nicht alle SSL-Sicherheitszertifikate gespeichert. Da die Zugriffe der auf einem Domänencontroller Slave laufenden Dienste gegen den lokalen LDAP-Datenbestand erfolgen, bieten sich DC Slave-System für Standortserver und für die Verteilung lastintensiver Dienste an.

Ein DC Slave-System kann nicht zum DC Master hochgestuft werden.

Memberserver sind Server-Systeme ohne lokalen LDAP-Server. Der Zugriff auf Domänendaten erfolgt hierbei über andere Server der Domäne.

Ein Basissystem ist ein eigenständiges System, das aber nicht Mitglied der Domäne ist. Es ist mit keinem LDAP-Server verbunden. Der UCS Update-Mechanismus und Univention Configuration Registry als Möglichkeit der Konfiguration sind Bestandteil, aber die grafische Oberfläche Univention Management Console zur Administration ist es nicht.

Ein Basissystem bietet sich somit für Dienste an, die außerhalb des Vertrauenskontextes der Domäne betrieben werden, etwa als Web-Server oder Firewall.

Ubuntu-Clients können mit einer eigenen Systemrolle verwaltet werden, siehe Abschnitt 8.1.1.

Diese Systemrolle wird für die Integration von anderen Linux-Systemen als UCS und Ubuntu verwendet, z.B. für Debian- oder CentOS-Systeme. Die Integration wird in [ext-doc-domain] beschrieben.

Ein Univention Corporate Client ist ein Desktop- oder Thin Client-System auf Basis von Univention Corporate Client.

Mac OS X-Systeme können einer UCS-Domäne mit Samba 4 beitreten. Weitere Hinweise finden sich in Abschnitt 3.2.4.

Ein Domain Trust Account wird für Vertrauensstellungen zwischen Windows und UCS Domänen eingerichtet.

Ein IP-Managed-Client ermöglicht die Integration von Nicht-UCS-Systemen in das IP-Management (DNS/DHCP), z.B. für Netzwerkdrucker oder Router.

Windows-Domänencontroller in einer Samba 4-Umgebung werden mit dieser Systemrolle betrieben.

Windows-Clients und Windows-Memberserver werden mit dieser Systemrolle verwaltet.

In Schema-Definitionen wird festgelegt, welche Objektklassen existieren und welche Attribute darin enthalten sind - mit anderen Worten, welche Daten in einem Verzeichnisdienst gespeichert werden können. Schema-Definitionen liegen als Text-Dateien vor und werden über die Konfigurationsdatei des OpenLDAP-Servers eingebunden.

UCS verwendet nach Möglichkeit Standard-Schemata, so dass eine Interoperabilität mit anderen LDAP-Applikationen in der Regel gegeben ist. Für Univention-spezifische Attribute - etwa für den Richtlinien-Mechanismus - werden Schema-Erweiterungen mitgeliefert.

Das Paket univention-directory-logger ermöglicht die Protokollierung von Änderungen im LDAP-Verzeichnisdienst. Da jeder Datensatz den Hash-Wert des vorhergehenden Datensatzes enthält, können Manipulationen an der Logdatei - etwa entfernte Einträge - aufgedeckt werden.

Einzelne Teilbereiche des Verzeichnisdienstes können von der Protokollierung ausgenommen werden. Diese Zweige können durch die Univention Configuration Registry-Variablen ldap/logging/exclude1, ldap/logging/exclude2 etc. konfiguriert werden. Standardmässig ist der Container exkludiert, in dem die temporären Objekte gespeichert werden (cn=temporary,cn=univention). Die Protokollierung der LDAP-Änderungen erfolgt durch ein Univention Directory Listener-Modul, nach Univention Configuration Registry-Änderungen muss der Univention Directory Listener-Dienst neu gestartet werden.

Die Protokollierung erfolgt in die Datei /var/log/univention/directory-logger.log im folgenden Format:

START
Old Hash: Hashsumme des vorhergehenden Datensatzes
DN: DN des LDAP-Objekts
ID: Listener/Notifer-Transaktions-ID
Modifier: DN des ändernden Kontos
Timestamp: Zeitstempel im Format dd.mm.yyyy hh:mm:ss
Action: add, modify oder delete

Old Values:
 Liste der alten Attribute, ist leer wenn ein Objekt hinzugefügt wird
New Values:
 Liste der neuen Attribute, ist leer wenn ein Objekt gelöscht wird
END

Für jeden protokollierten Datensatz wird eine Hashsumme berechnet und zusätzlich in die Sektion daemon.info des Syslog-Dienstes protokolliert.

Mit der Univention Configuration Registry-Variable ldap/idletimeout kann ein Zeitraum in Sekunden konfiguriert werden, nach dessen Ablauf eine LDAP-Verbindung serverseitig geschlossen wird. Wenn der Wert auf 0 gesetzt wird, wird kein Ablaufzeitraum angewendet. Der Ablaufzeitraum beträgt standardmäßig sechs Minuten.

Neben dem UMC-Webinterface gibt es auch eine Reihe von Programmen, mit denen auf der Kommandozeile auf das LDAP-Verzeichnis zugegriffen werden kann.

Das Tool univention-ldapsearch vereinfacht die authentifizierte Suche im LDAP-Verzeichnis. Als Argument muss ein Suchfilter übergeben werden, im folgenden Beispiel wird der Administrator anhand der User-ID gesucht:

univention-ldapsearch uid=Administrator

Der Befehl slapcat ermöglicht die Speicherung der aktuellen LDAP-Daten in einer Textdatei im LDIF-Format, z.B.:

slapcat > ldapdaten.txt

Der Zugriff auf die Informationen im LDAP-Verzeichnis wird serverseitig durch Access Control Lists (ACLs) geregelt. Die ACLs werden in der zentralen Konfigurationsdatei /etc/ldap/slapd.conf definiert und über Univention Configuration Registry verwaltet. Die slapd.conf wird dabei durch ein Multifile-Template verwaltet; weitere ACL-Elemente können unterhalb von /etc/univention/templates/files/etc/ldap/slapd.conf.d/ zwischen den Dateien 60univention-ldap-server_acl-master und 70univention-ldap-server_acl-master-end eingefügt werden oder die bestehenden Templates erweitert werden.

Wenn LDAP-ACL-Erweiterungen als Teil von Softwarepaketen ausgeliefert werden sollen, besteht auch die Möglichkeit diese zu paketieren und durch ein Univention Directory Listener-Modul an alle LDAP-Server der Domäne zu verteilen. Weitere Hinweise finden sich in [packaging-acl-extensions].

Die Grundeinstellung des LDAP-Servers bei Neuinstallationen mit UCS erlaubt keinen anonymen Zugriff auf das LDAP-Verzeichnis. Dieses Verhalten kann mit der Univention Configuration Registry-Variable ldap/acl/read/anonymous konfiguriert werden. Einzelne IP-Adressen können über die Univention Configuration Registry-Variable ldap/acl/read/ips für den anonymen Lesezugriff freigeschaltet werden.

Nach erfolgreicher Authentifizierung am LDAP-Server können alle Attribute eines Benutzerkontos von diesem Benutzer ausgelesen werden.

Ein zusätzlicher, interner Account, der Root-DN, besitzt darüber hinaus auch schreibenden Vollzugriff.

Unter UCS gibt es außerdem einige standardmäßig installierte ACLs, die den Zugriff auf sensitive Daten unterbinden (z.B. auf das Benutzerpasswort) und für den Betrieb notwendige Regeln setzen (etwa nötige Zugriffe auf Rechnerkonten für Anmeldungen). Der lesende und schreibende Zugriff auf diese sensitiven Daten ist nur für die Mitglieder der Gruppe Domain Admins vorgesehen. Dabei werden auch enthaltene Gruppen unterstützt. Mit der Univention Configuration Registry-Variable ldap/acl/nestedgroups kann diese Gruppen-in-Gruppen-Funktionalität für die LDAP-ACLs deaktiviert werden, wodurch eine Geschwindigkeitssteigerung bei den Verzeichnisdienstanfragen zu erwarten ist.

Die in Univention Corporate Server verwendete GNU C-Standardbibliothek (glibc) bietet eine modulare Schnittstelle zur Auflösung von Namen von Benutzern, Gruppen und Rechnern, den Name Service Switch.

Das LDAP-NSS-Modul wird auf UCS-Systemen standardmäßig für den Zugriff auf die Domänen-Daten (z.B. Benutzer) verwendet. Das Modul greift dabei auf den in der Univention Configuration Registry-Variable ldap/server/name (und ggf. zusätzlich der ldap/server/addition) festgelegten LDAP-Server zu.

Das Verhalten bei nicht erreichbarem LDAP-Server kann durch die Univention Configuration Registry-Variable nssldap/bindpolicy festgelegt werden. Standardmäßig wird bei nicht erreichbarem Server eine erneute Verbindung aufgebaut. Wird die Variable auf soft gesetzt, wird kein erneuter Verbindungsaufbau durchgeführt. Dies kann den Boot eines Systems mit nicht erreichbarem LDAP-Server - z.B. in einer abgeschottenen Testumgebung - deutlich beschleunigen.

Für die Anbindung von nicht auf UCS-Systemen installierten OpenLDAP-Servern an das UCS-Managementsystem kann parallel zum Notifier-Dienst der Syncrepl-Replikations-Dienst aktiviert werden. Dieser ist Bestandteil von OpenLDAP, registriert Veränderungen im lokalen Verzeichnisdienst und überträgt diese auf weitere OpenLDAP-Server.

Standardmäßig ist der OpenLDAP-Server so konfiguriert, dass er zusätzlich zu den Standard-Ports 389 und 636 auch auf den Ports 7389 und 7636 Anfragen entgegennimmt.

Wird Samba 4 eingesetzt, belegt der Samba-Domänencontroller-Dienst die Ports 389 und 636. In diesem Fall wird OpenLDAP automatisch umkonfiguriert, so dass nur noch die Ports 7389 und 7636 eingesetzt werden. Dies ist insbesondere bei der Konfiguration von syncrepl zu beachten (siehe Abschnitt 3.4.7). univention-ldapsearch verwendet automatisch den Standard-Port.

Auf dem Domänencontroller Master und allen Domänencontroller Backup-Systemen wird der Inhalt des LDAP-Verzeichnisses durch einen Cron-Job täglich gesichert.

Die LDAP-Daten werden im LDIF-Format im Verzeichnis /var/univention-backup/ im Namensschema ldap-backup_DATUM.ldif.gz gespeichert. Sie sind nur für den Benutzer root lesbar.

Die Replikation der Verzeichnisdaten innerhalb einer UCS-Domäne erfolgt über den Listener/Notifier-Mechanismus:

§

Abbildung 3.3. Listener/Notifier-Mechanismus

Die aktiven Univention Directory Listener-Instanzen der Domäne verbinden sich zu einem Univention Directory Notifier-Dienst. Wird auf dem Domänencontroller Master eine LDAP-Änderung durchgeführt (alle anderen LDAP-Server der Domäne sind nur lesend), wird diese durch den Univention Directory Notifier registriert und an die Listener-Instanzen gemeldet.

Jede Univention Directory Listener-Instanz verwendet eine Reihe von Univention Directory Listener-Modulen. Diese Module werden von den installierten Applikationen mitgeliefert, das Druckserver-Paket bringt z.B Listener-Module mit, die die CUPS-Konfiguration erzeugen.

Durch Univention Directory Listener-Module können Änderungen an der Domäne auch an Dienste übermittelt werden, die selbst nicht LDAP-fähig sind. Ein Beispiel ist der Druckserver CUPS: Die Druckerdefinitionen werden nicht aus dem LDAP ausgelesen, sondern aus der Datei /etc/cups/printers.conf. Wird nun in der UMC-Druckerverwaltung ein Drucker angelegt, wird dieser im LDAP registriert. Diese Änderung wird dann vom Univention Directory Listener-Modul cups-printers erkannt und basierend auf den Daten im LDAP ein Eintrag in /etc/cups/printers.conf hinzugefügt, modifiziert oder gelöscht.

Weitergehende Informationen zum Aufbau von Univention Directory Listener-Modulen und zur Entwicklung eigener Module finden sich in [developer-reference].

Die LDAP-Replikation erfolgt ebenfalls durch ein Listener-Modul. Ist der LDAP-Server zu dem repliziert werden soll nicht erreichbar, werden die LDAP-Änderungen in der Datei /var/lib/univention-directory-replication/failed.ldif zwischengespeichert. Der Inhalt dieser Datei wird beim späteren Start des LDAP-Servers automatisch in das LDAP übertragen.

Der Listener/Notifier-Mechanismus arbeitet transaktionsbasiert. Für jede Änderung im LDAP-Verzeichnis des Domänencontroller Master wird eine Transaktions-ID erhöht. Eine Univention Directory Listener-Instanz, die mehrere Transaktionen verpasst hat - weil zum Beispiel der Rechner ausgeschaltet war - fragt bei erneuter Verfügbarkeit der Verbindung automatisch alle fehlenden Transaktionen ab, bis seine lokale Transaktions-ID der des Domänencontroller Master entspricht.

Der Single Sign-On für Univention Management Console ist standardmäßig aktiviert und kann auf der UMC-Anmeldeseite oben rechts initiiert werden. Nach einem Klick auf den Link erscheint die Anmeldemaske des UCS Identity Providers. Hier werden die gleichen Anmeldedaten wie beim normalen Univention Management Console Login verwendet.

Andere Webdienste leiten ebenfalls auf die Anmeldeseite des UCS Identity Providers weiter, wenn ein Single Sign-On durchgeführt wird. Nach erfolgreicher Authentifizierung wird der Benutzer wieder auf die Seite des Webdienstes gesendet werden. Diese Dienste müssen wie in Abschnitt 3.8.2 beschrieben registriert werden.

Der Single Sign-On an einem Dienst kann auch vom UCS Identity Provider initiiert werden. Dies erspart den Umweg, zunächst den externen Dienst selbst aufzurufen und sich von dort zur Authentifizierung weiterleiten zu lassen. Dazu muss der Identity Provider mit einem Link der Form https://ucs-sso.domainname/simplesamlphp/saml2/idp/SSOService.php?spentityid=[Service provider identifier] aufgerufen werden.

§

Abbildung 3.5. Der Single Sign-On Link auf der Univention Management Console Anmeldeseite

Die am UCS Identity Provider registrierten Service Provider können über das UMC Domänen Modul SAML identity provider verwaltet werden. Benutzer müssen freigeschaltet werden, bevor sie sich am UCS Identity Provider für einen Dienst authentifizieren können. Auf dem Tab Konto eines Benutzers muss dazu unter SAML Einstellungen der Service Provider Eintrag hinzugefügt werden.

Um den UCS Identity Provider bei einem SAML Service Provider zu registrieren, wird der öffentliche Teil des SAML-Zertifikats auf dem Service Provider benötigt. Dieses kann über einen Download-Link im UMC Modul heruntergeladen werden. Andere Service Provider benötigen die XML-Metadaten des Identity Providers in Form eines Datei-Uploads. In der Standardkonfiguration kann die XML-Datei unter der URL https://ucs-sso.domainname/simplesamlphp/saml2/idp/metadata.php heruntergeladen werden.

Die folgenden Attribute können beim anlegen eines neuen Service Provider-Eintrags konfiguriert werden.

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche JavaScript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden unterstützt:

Auf älteren Browsern können Darstellungsprobleme auftreten.

Univention Management Console ist in Deutsch und Englisch verfügbar, die Darstellungssprache kann bei der Anmeldung über die Auswahlliste in der rechten, oberen Ecke ausgewählt werden.

Auf jedem UCS-System kann die Übersichtsseite über die URL https://servername/ aufgerufen werden, alternativ ist der Zugriff auch über die IP-Adresse des Servers möglich. Hier sind alle Web-Dienste verlinkt, die auf dem System angeboten werden. Im Reiter Administration kann dann Univention Management Console über den Link System- und Domäneneinstellungen, bzw. über den Link Systemeinstellungen aufgerufen werden. Sind auf dem System Dienste installiert, die einen eigenen Webdienst mitbringen (z.B. Horde-Webmail) sind diese im Reiter Installierte Web-Dienste verlinkt.

Unter besonderen Umständen kann es nötig sein über eine ungesicherte Verbindung auf Univention Management Console zuzugreifen (z.B. wenn für das System noch keine SSL-Zertifikate erstellt worden sind). In diesem Fall muss in der URL http statt https verwendet werden. Passwörter werden in diesem Fall im Klartext über das Netzwerk gesendet!

§

Abbildung 4.1. UMC-Anmeldemaske

Nach Aufruf der URL erscheint die Anmeldemaske, in der Benutzername und Passwort eingegeben werden müssen:

Bei der ersten Anmeldung wird ein Einführungsassistent angezeigt, der u.a. auf die Erfassung von Nutzungsstatistiken hinweist (siehe Abschnitt 4.3) und die Aktivierung der Lizenz anbietet (siehe Abschnitt 4.2.2).

Nach zehn Minuten Inaktivität wird die Browser-Sitzung automatisch geschlossen und eine Neuanmeldung ist notwendig. Dieses Intervall kann mit der Univention Configuration Registry-Variable umc/http/session/timeout in Sekunden angepasst werden.

Jeder angemeldete Benutzer kann ohne erneute Anmeldung weitere UMC-Instanzen der Domäne verwenden: Wird in der Titelleiste unter Host: ein Rechner ausgewählt, öffnet sich ein neues Fenster mit der Univention Management Console des Systems.

Es besteht die Möglichkeit durch die Installation von Drittanbietern Software, bspw. privacyIDEA, die Univention Management Console Anmeldung um eine Zwei-Faktor-Authentifizierung (2FA) zu ergänzen. Diese Erweiterungen können aus dem Univention App Center installiert werden.

Der momentane Lizenzierungszustand kann auf dem Domänencontroller Master einer Domäne über das Benutzermenü in der oberen, rechten Bildschirmzeile eingesehen werden. Unterhalb des Menüpunktes Lizenz kann der Punkt Lizenzinformation ausgewählt werden, um einen entsprechenden Informationsdialog zu öffnen.

§

Abbildung 4.2. Anzeige der UCS-Lizenz

Der Menüpunkt Neue Lizenz importieren öffnet einen Dialog, über den ein neuer UCS-Lizenzschlüssel aktiviert werden kann (ansonsten greift die standardmäßig installierte Core-Edition-Lizenz). Über die Schaltfläche Importieren aus Datei... kann eine Lizenz-Datei ausgewählt und importiert werden. Alternativ kann der Lizenz-Schlüssel auch in das darunter liegende Eingabefeld kopiert und dann über der Schaltfläche Importieren aus Textfeld eingespielt werden.

Die Installation der meisten Anwendungen aus dem Univention App Center erfordert einen individuell ausgestellten Lizenzschlüssel mit eindeutiger Schlüsselidentifikation. UCS-Core-Edition-Lizenzen können durch Klick auf die Schaltfläche Aktivierung von UCS aktualisiert werden. Der aktuelle Lizenzschlüssel wird dabei an Univention geschickt und der aktualisierte Schlüssel nach einigen Minuten an eine angegebene E-Mail-Adresse versendet. Der neue Schlüssel kann dann direkt eingespielt werden. Der Lizenzumfang bleibt durch die Konvertierung unverändert.

Ist die Anzahl der lizenzierten Benutzer- oder Rechner-Objekte überschritten, können keine weiteren Objekte in Univention Management Console angelegt oder bestehende editiert werden, solange keine erweiterte Lizenz eingespielt wird oder nicht mehr benötigte Benutzer oder Rechner entfernt werden. Auf der UMC-Startseite wird bei überschrittener Lizenz ein entsprechender Hinweis angezeigt.

Alle UMC-Module zur Verwaltung von LDAP-Objekten wie bspw. Benutzer-, Gruppen- und Rechnerkonten oder Einstellungen für Drucker, Freigaben, Mail, Nagios und Richtlinien werden strukturell identisch bedient. Die folgenden Beispiele werden anhand der Benutzerverwaltung dargestellt, gelten aber analog für alle Module. Die Bedienung der DNS- und DHCP-Module weicht etwas ab, weitere Hinweise finden sich in Abschnitt 10.2.2 und Abschnitt 10.3.2.

§

Abbildung 4.3. Modulübersicht

Die inhaltlichen Eigenschaften/Konfigurationsmöglichkeiten der Module ist in folgenden Kapiteln beschrieben:

Die Verwendung von Richtlinien (Abschnitt 4.5) und des direkten Durchsuchens des LDAP-Verzeichnisbaums (Abschnitt 4.4) wird separat beschrieben.

§4.2.3.1. Suche nach Objekten

In der Modul-Übersicht werden alle von diesem Modul verwalteten Objekte aufgeführt. Mit Suche erfolgt eine Suche über eine Auswahl wichtiger Attribute (z.B. für Benutzerobjekte nach Vor- und Nachname, primärer E-Mail-Adresse, Beschreibung, Mitarbeiternummer und Benutzername). Es kann auch mit Wildcards gesucht werden, z.B. m*.

Durch Klick auf Erweiterte Optionen werden weitere Suchoptionen angezeigt:

• Mit dem Auswahlfeld Suche in kann bestimmt werden, ob bei der Suche nach LDAP-Objekten das komplette LDAP-Verzeichnis oder nur einzelne LDAP-Container/OUs durchsucht werden. Weitere Informationen zur Strukturierung des LDAP-Verzeichnisdienstes finden sich in Abschnitt 4.7.
• Über das Auswahlfeld Eigenschaft kann gezielt nach einem bestimmten Attribut gesucht werden.
• Die meisten Module verwalten mehrere verschiedene Arten von LDAP-Objekten; die Rechnerverwaltung z.B. verwaltet verschiedene Objekte für die einzelnen Systemrollen. Die Suche kann auf eine Art von LDAP-Objekt beschränkt werden.
• Einige nur intern verwendete Benutzer und Gruppen (z.B. für den Domänenbeitritt) werden standardmäßig ausgeblendet. Wird die Option Versteckte Objekte anzeigen aktiviert, werden diese Objekte ebenfalls angezeigt.

§

Abbildung 4.4. Suche nach Benutzern

Häufig benutzte UMC-Module werden in der Kategorie Favoriten angezeigt. Über einen Klick mit der rechten Maustaste auf ein UMC-Modul wird ein Kontextmenü angezeigt. Mit Zu Favoriten hinzufügen, bzw. Aus Favoriten entfernen kann ein UMC-Modul als Favorit markiert oder wieder entfernt werden.

Durch die Auswahl des Eintrages Hilfe -> Feedback in dem oberen, rechten Benutzermenü von Univention Management Console kann über ein Webformular Feedback zu UCS und Univention Management Console gegeben werden.

UMC-Module können den Benutzer durch Systembenachrichtigungen auf potentielle Fehler - z.B. nicht ausgeführte Join-Skripte - oder nötige Aktionen wie verfügbare Aktualisierungen hinweisen. Die Benachrichtigungen werden an der rechten Seite eingeblendet und können durch einen Mausklick ausgeblendet werden.

Richtlinien können über das Richtlinien-Modul der Univention Management Console verwaltet werden. Die Bedienung erfolgt analog zu den in Abschnitt 4.2 beschriebenen Funktionen.

Die Attribute und Eigenschaften der Richtlinien sind in den entsprechenden Kapiteln beschrieben, also die DHCP-Richtlinien beispielsweise im Netzwerk-Kapitel.

Die Namen von Richtlinien dürfen keine Umlaute enthalten.

Unter Referenzierende Objekte findet sich eine Aufstellung aller Container oder LDAP-Objekte, mit denen diese Richtlinie aktuell verknüpft ist.

In den erweiterten Einstellungen einer Richtlinie können einige allgemeine Richtlinien-Optionen gesetzt werden, die in der Regel nur für Sonderfälle nötig sind:

Richtlinien werden auf zwei unterschiedlichen Arten Objekten zugewiesen:

Der Richtlinien-Konfigurationsdialog ist funktional identisch; allerdings werden bei der Zuweisung von Richtlinien an einem LDAP-Container alle Richtlinien-Typen angeboten, während bei der Zuweisung an einem LDAP-Objekt nur die für diesen Objekt-Type gültigen Richtlinien angeboten werden.

Unter Richtlinien-Konfiguration kann dem LDAP-Objekt oder dem Container eine Richtlinie zugewiesen werden. Die aus dieser Richtlinie resultierenden Werte werden direkt angezeigt. Die Einstellung Ererbt bedeutet, dass die Einstellungen wieder aus einer übergeordneten Richtlinie - sofern vorhanden - übernommen werden.

Wenn ein Objekt mit einer Richtlinie verbunden ist oder Richtlinien-Einstellungen erbt, die auf das Objekt nicht angewandt werden können, bleiben die Einstellungen ohne Auswirkung für das Objekt. Dadurch ist es z.B. möglich, eine Richtlinie mit der Wurzel des LDAP-Verzeichnisses zu verbinden, die dann für alle Objekte der Domäne, die diese Richtlinie anwenden können, gültig ist. Objekte, die diese Richtlinie nicht anwenden können, werden nicht beeinflusst.

Richtlinien können im UMC-Modul Richtlinien bearbeitet und gelöscht werden. Die Bedienung ist in Abschnitt 4.2 beschrieben.

Im Richtlinien-Reiter der einzelnen LDAP-Objekte findet sich außerdem die Schaltfläche Bearbeiten, mit der die aktuell für dieses Objekt gültige Richtlinie bearbeitet werden kann.

Eine komplette Liste der verfügbaren Module wird angezeigt, wenn udm mit dem Parameter modules aufgerufen wird:

# univention-directory-manager modules
Available Modules are:
  computers/managedclient
  computers/computer
  computers/domaincontroller_backup
  computers/domaincontroller_master
  computers/domaincontroller_slave
 [...]

Für jedes Modul existieren bis zu fünf Operationen:

Die mögliche Optionen eines UDM-Moduls und den darauf anwendbaren Operationen können durch Angabe des Operationsnamens ausgegeben werden, z.B.

univention-directory-manager users/user move
[...]
create options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]
modify options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Edit object with DN
[...]
remove options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Remove object with DN
  --arg                            Remove object with ARG
[...]
list options:
  --filter                         Lookup filter
[...]
move options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]

Nähere Informationen, Operationen und Optionen zu jedem Modul gibt der folgende Befehl aus:

univention-directory-manager Kategorie/Modulname

Dabei werden auch die Attribute des Moduls angezeigt. Bei der Operation create werden mit (*) die Attribute markiert, die beim Anlegen eines neuen Objektes zwingend angegeben werden müssen.

Einigen Attributen können mehrere Werte zugewiesen werden (z.B. Mailadressen an Benutzerobjekten). Diese Multivalue-Felder sind mit [] hinter dem Attributnamen markiert. Einige Attribute können nur gesetzt werden, wenn für das Objekt bestimmte Optionen gesetzt werden. Dies ist bei den einzelnen Attributen durch Angabe des Optionsnamens aufgeführt:

users/user variables:
  General:
    username (*)                             Username
[...]
  Contact:
    e-mail (person,[])                       E-Mail Address

Hier bezeichnet username (*), dass dieses Attribut beim Anlegen von Benutzerobjekten immer gesetzt werden muss. Wird für das Benutzerkonto die Option person gesetzt (dies ist standardmäßig der Fall), können eine oder mehrere E-Mail-Adressen zu den Kontaktinformationen hinzugefügt werden.

Eine Reihe von Standard-Parametern sind für jedes Modul definiert:

Die folgenden Beispielaufrufe des Kommandozeilen-Frontend von Univention Directory Manager können als Vorlagen für eigene Skripte verwendet werden:

univention-directory-manager users/user create \
    --position "cn=users,dc=example,dc=com" \
    --set username="user01" \
    --set firstname="Random" \
    --set lastname="User" \
    --set organisation="Example company LLC" \
    --set mailPrimaryAddress="mail@example.com" \
    --set password="secretpassword"

univention-directory-manager users/user modify \
    --dn "uid=user01,cn=users,dc=example,dc=com" \
    --set street="Exemplary Road 42" \
    --set postcode="28239" \
    --set city="Bremen"

univention-directory-manager users/user list \
    --filter uid=user*

univention-directory-manager users/user list \
    --filter uid="user*" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager users/user remove \
    --dn "uid=user04,cn=users,dc=example,dc=com"

univention-directory-manager users/user move \
    --dn "uid=user03,cn=hamburg,cn=users,dc=example,dc=com" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager groups/group create \
    --position "cn=groups,dc=example,dc=com" \
    --set name="Example Users" \
    --set users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --append users="uid=user02,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --remove users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager container/cn create \
    --position "cn=computers,dc=example,dc=com" \
    --set name="bremen" \
    --set computerPath=1

univention-directory-manager policies/mailquota create \
    --position "cn=policies,dc=example,dc=com" \
    --set name="Default quota" \
    --set MailQuota=1024

univention-directory-manager container/cn modify \
    --dn "cn=users,dc=example,dc=com" \
    --policy-reference "cn=Default quota,cn=policies,dc=example,dc=com"

univention-directory-manager policies/registry create \
    --position "cn=config-registry,cn=policies,dc=example,dc=com" \
    --set name="default UCR settings" \
    --set registry="logrotate/rotate/count 52"

univention-directory-manager policies/registry modify \
    --dn "cn=default UCR settings,cn=config-registry,"\
"cn=policies,dc=example,dc=com" \
    --append registry='"logrotate/compress" "no"'

univention-directory-manager computers/windows create \
    --position "cn=computers,dc=example,dc=com" \
    --set name=WinClient01 \
    --set mac=aa:bb:cc:aa:bb:cc \
    --set ip=192.168.0.10

univention-directory-manager shares/share create \
    --position "cn=shares,dc=example,dc=com" \
    --set name="Documentation" \
    --set host="fileserver.example.com" \
    --set path="/var/shares/documentation"

univention-directory-manager shares/printer create \
    --position "cn=printers,dc=example,dc=com" \
    --set name="LaserPrinter01"  \
    --set spoolHost="printserver.example.com" \
    --set uri="ipp:// 192.168.0.100" \
    --set model="foomatic-rip/HP-Color_LaserJet_9500-Postscript.ppd" \
    --set location="Head office" \
    --set producer="producer: "\
"cn=HP,cn=cups,cn=univention,dc=example,dc=com"

univention-directory-manager shares/printergroup create \
    --set name=LaserPrinters \
    --set spoolHost="printserver.example.com" \
    --append groupMember=LaserPrinter01 \
    --append groupMember=LaserPrinter02

univention-directory-manager dhcp/host create \
    --superordinate "cn=example.com,cn=dhcp,dc=example,dc=com" \
    --set host="Client222" \
    --set fixedaddress="192.168.0.110" \
    --set hwaddress="ethernet 00:11:22:33:44:55"

univention-directory-manager dns/host_record create \
    --superordinate "zoneName=example.com,cn=dns,dc=example,dc=com" \
    --set name="Client222" \
    --set a="192.168.0.110"

univention-directory-manager dns/ptr_record create \
    --superordinate "zoneName=0.168.192.in-addr.arpa,cn=dns,"\
"dc=example,dc=com" \
    --set address="110" \
    --set ptr_record="Client222.example.com."

univention-directory-manager settings/extended_attribute create \
    --position "cn=custom attributes,cn=univention,dc=example,dc=com" \
    --set name="CarLicense" \
    --set module="users/user" \
    --set ldapMapping="univentionFreeAttribute1" \
    --set objectClass="univentionFreeAttributes" \
    --set longDescription="License plate number of the company car" \
    --set tabName="Company car" \
    --set multivalue=0 \
    --set syntax="string" \
    --set shortDescription="Car license"

Um einen Report zu erstellen, muss in die UMC-Module für Benutzer, Gruppen oder Rechner gewechselt werden. Anschließend müssen alle vom Report erfassten Objekte ausgewählt werden (durch einen Klick auf den Button links von Name können alle Objekte selektiert werden). Ein Klick auf Mehr -> Report erstellen ermöglicht die Auswahl zwischen dem Standard-Report im PDF-Format und dem CSV-Report im CSV-Format.

§

Abbildung 4.8. Erstellen eines Reports

Die über Univention Directory Manager erzeugten Reports werden für 12 Stunden aufbewahrt und danach durch einen Cron-Job entfernt. Die Einstellungen, wann dieser Cron-Job laufen soll und wie lange diese Reports aufbewahrt werden sollen, kann über zwei Univention Configuration Registry-Variablen definiert werden:

Reports können auch über die Kommandozeile mit dem Programm univention-directory-reports erstellt werden. Informationen zur Verwendung des Programm können über die Option --help abgefragt werden.

Mit dem folgenden Befehl können beispielsweise die verfügbaren Reportvorlagen für Benutzer aufgelistet werden:

univention-directory-reports -m users/user -l

Schon vorhandene Reports können direkt mit den Voreinstellungen erstellt werden. Einige Voreinstellungen können mittels Univention Configuration Registry angepasst werden. Beispielsweise ist es möglich, das Logo, dass in der Kopfzeile jeder Seite eines PDF-Reports angezeigt wird, zu ersetzen. Dafür kann der Wert der Univention Configuration Registry-Variable directory/reports/logo den Namen einer Bilddatei enthalten. Dabei können gängigen Bildformate wie JPEG, PNG oder GIF verwendet werden. Das Bild wird automatisch auf eine feste Breite von 5.0 cm angepasst.

Neben dem Logo kann auch der Inhalt der Reports angepasst werden, indem neue Reportvorlagen definiert werden.

In Umgebungen mit mehr als einem UCS-System muss die Update-Reihenfolge der UCS-Systeme beachtet werden:

Auf dem Domänencontroller Master wird die authoritative Version des LDAP-Verzeichnisdienstes vorgehalten, die an alle übrigen LDAP-Server der UCS-Domäne repliziert wird. Da bei Release-Updates Veränderungen an den LDAP-Schemata auftreten können (siehe Abschnitt 3.4.1) muss der Domänencontroller Master bei einem Release-Update immer als erstes System aktualisiert werden.

Generell ist es empfehlenswert, alle UCS-Systeme möglichst in einem Wartungsfenster zu aktualisieren. Wo dies nicht möglich ist, sollten die nicht-aktualisierten UCS-Systeme gegenüber dem Domänencontroller Master nur eine Release-Version älter sein.

Mit dem UMC-Modul Software-Aktualisierung können Versions- und Errata-Updates installiert werden.

In Abbildung 5.4 ist die Übersichtsseite des Moduls dargestellt. Im oberen Teil des Dialogs wird unter Release-Aktualisierungen der aktuelle Installationsstand angezeigt.

§

Abbildung 5.4. Aktualisierung eines UCS-Systems über UMC

Sollte eine neuere UCS-Version vorhanden sein, wird eine Auswahlliste präsentiert. Durch einen Klick auf Release-Aktualisierungen installieren werden nach Bestätigung alle Updates bis zur jeweiligen Version eingespielt. Zuvor wird ein Hinweis auf mögliche Einschränkungen der Serverdienste während des Updates angezeigt. Eventuelle Zwischenversionen werden automatisch mitinstalliert.

Durch einen Klick auf Errata-Aktualisierungen installieren werden alle für das aktuelle Release und die eingebundenen Komponenten verfügbaren Errata-Updates eingerichtet.

Mit Paket-Aktualisierungen prüfen wird eine Aktualisierung der momentan eingetragenen Paketquellen aktiviert. Dies kann etwa verwendet werden, wenn für eine Komponente eine aktualisierte Version bereitgestellt wurde.

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

Die folgenden Schritte müssen mit root-Rechten durchgeführt werden.

Ein einzelnes UCS-System kann auf der Kommandozeile mit dem Befehl univention-upgrade aktualisiert werden. Es wird geprüft, ob neue Release oder Applikations-Updates vorliegen, die dann nach Bestätigung einer Nachfrage installiert werden. Außerdem werden Paket-Aktualisierungen durchgeführt (z.B. im Rahmen eines Errata-Updates).

In der Grundeinstellung werden die zu aktualisierenden Pakete über das Netz aus einem Repository geladen. Wird ein lokales Repository eingesetzt (siehe Abschnitt 5.5.4), können Release-Updates alternativ auch über Update-DVD-Images installiert werden, die entweder als ISO-Datei oder von einem Laufwerk eingelesen werden. Dazu muss univention-upgrade mit den Parametern --iso=ISOIMAGEDATEI oder --cdrom=LAUFWERK aufgerufen werden.

Von einer Remote-Aktualisierung über SSH wird abgeraten, da dies zum Abbruch des Update-Vorgangs führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools screen oder at eingesetzt werden, die auf allen Systemrollen installiert sind.

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

Mit einer Automatische Updates-Richtlinien in den UMC-Modulen zur Rechner- und Domänenverwaltung lässt sich ein Update für mehrere Rechner konfigurieren (siehe auch Abschnitt 4.5).

§

Abbildung 5.5. Aktualisierung eines UCS-Systems über eine Update-Richtlinie

Nur wenn das Auswahlfeld Aktiviere Release-Updates aktiviert ist, wird eine Release-Aktualisierung durchgeführt.

Das Eingabefeld Bis zu dieser UCS-Version aktualisieren enthält die Versionsnummer, bis zu der das System aktualisiert werden soll, z.B. 4.2-1. Wird keine Angabe gemacht, aktualisiert sich das System bis zur höchsten verfügbaren Versionsnummer.

Der Zeitpunkt, zu dem die Aktualisierung durchgeführt wird, wird über eine Paketpflege-Richtlinie konfiguriert (siehe Abschnitt 5.7).

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

Nach erfolgreicher Durchführung eines Release-Updates sollte geprüft werden, ob neue oder aktualisierte Join-Skripte ausgeführt werden müssen. Zur Überprüfung und zum Starten der Join-Skripte kann entweder das UMC-Modul Domänenbeitritt verwendet werden oder das Kommandozeilenprogramm univention-run-join-scripts (siehe Abschnitt 3.2.1).

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben, die zur weiteren Fehleranalyse herangezogen werden kann.

Der Stand der Univention Configuration Registry-Variablen vor der Release-Aktualisierung wird in dem Verzeichnis /var/univention-backup/update-to-ZIELRELEASEVERSION/ gesichert. Damit kann geprüft werden, ob und welche Variablen im Rahmen des Updates verändert wurden.

Im UMC-Modul Repository-Einstellungen kann der Repository-Server und die Verwendung der Maintained- und Unmaintained-Sektionen festgelegt werden.

Der zu verwendende Repository-Server wird in die Univention Configuration Registry-Variable repository/online/server eingetragen und ist bei einer Neuinstallation auf updates.software-univention.de voreingestellt.

Das unmaintained-Repository kann durch Setzen der Univention Configuration Registry-Variable repository/online/unmaintained auf yes integriert werden.

Der zu verwendende Repository-Server kann auch über die Richtlinie Repository-Server in der UMC-Rechnerverwaltung festgelegt werden. In dem Auswahlfeld werden UCS-Server-Systeme angezeigt, für die ein DNS-Eintrag hinterlegt ist (siehe auch Abschnitt 4.5).

Paketinstallationen und Updates können entweder vom Univention-Update-Server oder von einem lokal gepflegten Repository durchgeführt werden. Ein lokales Repository ist sinnvoll wenn viele UCS-Systeme zu aktualisieren sind, da Updates in diesem Fall nur einmalig heruntergeladen werden müssen. Da Repositorys auch offline aktualisiert werden können, ermöglicht ein lokales Repository auch die Aktualisierung von UCS-Umgebungen ohne Internetanbindung.

Es besteht auch die Möglichkeit lokale Repositorys zu synchronisieren, so dass beispielsweise in der Firmenzentrale ein Haupt-Repository gepflegt wird, das dann in lokale Repositorys der einzelnen Standorte synchronisiert wird. Um ein Repository einzurichten, muss der Befehl univention-repository-create als Benutzer root aufgerufen werden. Der initiale Paketbestand wird von einer Installations-DVD eingelesen, mit dem Parameter --iso kann hier auch ein ISO-Image übergeben werden. UCS ist nur als 64 Bit-DVD verfügbar. Das Repository wird von univention-repository-create mit der Architektur des angegebenen Installationsmediums erzeugt. Wird eine Umgebung betrieben, in der sowohl 32-, als auch 64 Bit-Pakete bereitgestellt werden sollen, sind die folgenden Befehle auf dem Repository-Server nötig:

ucr set repository/online/architectures="i386 amd64"
univention-repository-update net

Der Zugriff auf das Univention Online-Repository wird durch Verwendung von Secure APT über Signaturen kryptografisch gesichert. Für lokale Repositorys besteht diese Möglichkeit aktuell noch nicht, so dass beim Erstellen eines Repositorys ein Hinweis ausgegeben wird, wie Secure APT mit der Univention Configuration Registry-Variable update/secure_apt deaktiviert werden kann. Diese Einstellung muss auf allen UCS-Systemen gesetzt werden, die auf das Repository zugreifen.

Mit dem Tool univention-repository-update werden die Pakete im Repository aktualisiert. Es unterstützt zwei Modi:

Eine Übersicht über die möglichen Optionen kann mit folgendem Befehl aufgerufen werden:

univention-repository-update -h

Das Repository wird im Verzeichnis /var/lib/univention-repository/mirror/ vorgehalten.

Durch die Univention Configuration Registry-Variable local/repository kann das lokale Repository aktiviert/deaktiviert werden.

Alle Softwarekomponenten, die im Univention Installer angeboten werden, können auch über das Univention App Center nachträglich installiert und entfernt werden. Dazu muss die Paket-Kategorie UCS-Komponenten ausgewählt werden. Weitere Hinweise zum Univention App Center finden sich in Abschnitt 5.3.

§

Abbildung 5.6. Auswahl von UCS-Komponenten im App Center

Mit dem Univention Management Console-Modul Paket Verwaltung können einzelne Softwarepakete installiert und deinstalliert werden.

§

Abbildung 5.7. Installation des Pakets univention-squid in Univention Management Console

Auf der Startseite wird eine Suchmaske angezeigt in der die Paketkategorie und ein Suchfilter (Name oder Beschreibung) zur Auswahl stehen. Die Ergebnisliste besteht aus einer Tabelle mit den folgenden Spalten:

Durch einen Klick auf eine Zeile in der Ergebnisliste wird eine detaillierte Informationsseite zu dem Softwarepaket angezeigt, u.a. eine ausführliche Beschreibung und die Versionsnummer.

Zusätzlich werden ein oder mehrere Buttons angezeigt: Installieren wird angezeigt, falls das Softwarepaket noch nicht installiert ist, Deinstallieren, falls das Paket installiert ist und Aktualisieren falls das Softwarepaket bereits installiert, aber nicht aktuell ist. Durch Schließen kann zu der vorherigen Suchabfrage zurückgekehrt werden.

Die folgenden Schritte müssen mit root-Rechten durchgeführt werden.

Die Installation einzelner Pakete erfolgt mit dem Kommando

univention-install PAKETNAME

Pakete können mit dem folgenden Befehl entfernt werden:

univention-remove PAKETNAME

Wenn der Name eines Pakets nicht bekannt ist, kann mit dem Kommando apt-cache search nach Paketen gesucht werden. Als Aufrufparameter können Teile des Namens oder Wörter, die in der Beschreibung eines Paketes vorkommen angegeben werden, z.B.

apt-cache search fax

Mit Paketlisten kann richtlinienbasiert Software installiert und entfernt werden. Dadurch lassen sich auch große Stückzahlen an Rechnersystemen zentral mit neuer Software versehen.

Jede Systemrolle verfügt über eine eigenen Paket-Richtlinien-Typ.

Paketrichtlinien werden im UMC-Modul Richtlinien mit dem Objekttyp Richtlinie: Pakete + Systemrolle verwaltet.

Die in einer Paketliste definierten Softwarepakete werden zu dem in der Paketpflege-Richtlinie definierten Zeitpunkt (zur Konfiguration siehe Abschnitt 5.7) installiert, bzw. deinstalliert.

Die in den Pakete-Richtlinien zuordbaren Softwarepakete werden ebenfalls im LDAP registriert.

In Univention Management Console kann jeder Benutzer sein Passwort über das Modul Passwort ändern neu setzen. Dieses wird auch bei Auswahl des Eintrages Einstellungen -> Passwort ändern im oberen, rechten Benutzermenü aufgerufen. Damit das Passwort geändert werden kann, muss zunächst das aktuelle angegeben werden. Die Änderung wird dann direkt über den PAM-Stack (siehe Abschnitt 8.4.4) durchgeführt und ist danach zentral für alle Dienste verfügbar.

Durch die Installation der UCS-Komponente Self Service über das App Center werden Benutzer dazu befähigt, ihr Passwort ohne die Interaktion mit einem Administrator zu verwalten.

Die Self Service-App registriert zwei Web-Dienste auf der UCS-Startseite, auf die über eine eigene Webseite zugegriffen werden kann: Passwort ändern und Passwort zurücksetzen. Sie erlauben es Benutzern, unter Angabe ihres alten Passwortes ein neues Passwort zu setzen, oder aber ihr vergessenes Passwort zurückzusetzen. Für das Zurücksetzen des Passworts wird ein Token an eine vorher dafür registrierte Kontakt-E-Mail-Adresse gesendet, das dann auf der Webseite vom Benutzer einzugeben ist.

Ubuntu-Clients können mit einer eigenen Rechnerrolle in Univention Management Console verwaltet werden. Die Netzwerkeigenschaften für DNS/DHCP können dabei ebenfalls mit Univention Management Console verwaltet werden.

Die Anwendung von Richtlinien wird nicht unterstützt.

Auf den Ubuntu-Systemen müssen einige Konfigurationsanpassungen vorgenommen werden, die in der erweiterten Dokumentation beschrieben sind [ext-doc-domain].

Der Standard-Kernel in UCS 4.1 basiert auf dem Linux-Kernel 4.1. Prinzipiell sind drei verschiedene Arten von Kernel-Paketen zu unterscheiden:

Im Regelfall ist für den Betrieb eines UCS-Systems nur die Installation eines Kernel-Image-Paketes notwendig.

Der Standard-Kernel in UCS für i386-basierte Systeme ist der sogenannte bigmem-Kernel für Prozessoren mit PAE-Unterstützung, der 64 GB RAM unterstützt. Für ältere i386-basierte Systeme wird ein zweiter Kernel ohne PAE-Unterstützung bereitgestellt, der maximal 4 GB Arbeitsspeicher unterstützt. Der Standard-Kernel für amd64-Systeme besitzt keine solchen Einschränkungen.

Mehrere Kernel-Varianten können parallel installiert sein. Dies stellt sicher, dass im Fehlerfall immer auf eine ältere Variante zurückgegriffen werden kann. Um ein System trotzdem immer auf dem jeweils aktuellen Stand halten zu können, werden sogenannte Meta-Pakete bereitgestellt, die immer auf die aktuell für UCS empfohlene Kernel-Version verweisen und diese im Update-Fall jeweils nachinstallieren.

Die folgenden Meta-Pakete stehen unter i386 / 32 Bit zur Verfügung:

Die folgenden Meta-Pakete stehen unter amd64 / 64 Bit zur Verfügung:

Der Boot-Prozess erfolgt zweistufig unter Verwendung einer Initial RAM Disk (kurz initrd). Diese besteht aus einem Archiv mit weiteren Treibern und Programmen. Der Boot-Manager GRUB (siehe Abschnitt 8.2.3) lädt den Kernel und die initrd in den Arbeitsspeicher, wo das initrd-Archiv entpackt und als temporäres Root-Dateisystem gemountet wird. Aus diesem wird dann das tatsächliche Root-Dateisystem eingebunden, woraufhin abschließend das temporäre Archiv wieder entfernt und der Systemstart eingeleitet wird.

Die zu verwendenden Treiber werden beim Systemstart automatisch erkannt und durch den Device Manager udev geladen. Dabei werden außerdem die notwendigen System-Verknüpfungen unter /dev/ angelegt. Wenn Treiber nicht erkannt werden (was vorkommen kann, wenn keine entsprechenden Hardware-IDs registriert sind oder Hardware verwendet wird, die nicht automatisch erkannt werden kann, etwa ISA-Steckkarten), so können zu ladende Kernel-Module durch die Univention Configuration Registry-Variable kernel/modules hinzugefügt werden. Soll mehr als ein Kernel-Modul geladen werden, so müssen diese durch ein Semikolon voneinander getrennt werden. Mit der Univention Configuration Registry-Variable kernel/blacklist kann eine Liste von einem oder mehreren Kernel-Modulen konfiguriert werden, für die das automatische Laden verhindert wird. Mehrere Einträge müssen ebenfalls durch ein Semikolon getrennt werden.

Im Gegensatz zu anderen Betriebssystemen liefert der Linux-Kernel (von wenigen Ausnahmen abgesehen) alle Treiber für Komponenten aus einer Hand. Im Regelfall ist es deshalb nicht notwendig Treiber aus externen Quellen nachzuinstallieren.

Wenn doch externe Treiber oder Kernelmodule benötigt werden, können diese über Dynamic Kernel Module Support (DKMS) eingebunden werden. Es stellt eine standardisierte Schnittstelle für Kernelquellen bereit und erlaubt es, Module automatisch für jeden installierten Kernel zu übersetzen. Dazu müssen neben dem Paket dkms auch die Kernel-Header-Pakete univention-kernel-headers für die gewünschten Kernel installiert werden. Zu beachten ist, dass nicht alle externen Kernelmodule mit allen Kernel kompatibel sind.

Als Boot-Manager wird in Univention Corporate Server GNU GRUB 2 verwendet. GRUB stellt ein Auswahlmenü bereit, aus dem eine zu bootende Linux-Kernel-Variante oder ein weiteres Betriebssystem ausgewählt werden kann. GRUB kann auch direkt auf Dateisysteme zugreifen, so dass im Fehlerfall etwa ein abweichender Kernel geladen werden kann.

§

Abbildung 8.3. GRUB-Auswahlmenü

GRUB wird in einem zweistufigen Verfahren geladen: in den Master Boot Record der Festplatte wird der Stage 1-Loader geschrieben, der auf die Daten der Stage 2 verweist, welche den Großteil des übrigen Boot-Vorgangs übernimmt.

Die Auswahl der zu startenden Kernel im Boot-Menü wird in der Datei /boot/grub/grub.cfg abgelegt. Diese Datei wird automatisch generiert, es stehen alle installierten Kernel-Pakete zur Auswahl. Durch Auswahl der Option Memory test kann das Speicher-Testprogramm Memtest86+ gestartet werden, das Konsistenzprüfungen auf dem Arbeitsspeicher durchführt.

Standardmäßig wird fünf Sekunden auf die Auswahl des zu bootenden Kernels gewartet. Durch die Univention Configuration Registry-Variable grub/timeout kann ein abweichender Wert in Sekunden konfiguriert werden.

In der Grundeinstellung wird in einen 800x600 Pixel großen Bildschirm unter 16 Bit Farbtiefe gewechselt. Durch die Univention Configuration Registry-Variable grub/gfxmode kann ein anderer Modus ausgewählt werden. Es werden nur Auflösungen unterstützt, die über VESA BIOS Extentions gesetzte werden können. Eine Liste der verfügbaren Modi findet sich unter https://en.wikipedia.org/wiki/VESA_BIOS_Extensions. Die Eingabe erfolgt im Format HORIZONTALxVERTIKAL@FARBTIEFEBIT, also z.B. 1024x768@16.

Kernel-Optionen für die gestarteten Linux-Kernel können mit der Univention Configuration Registry-Variable grub/append übergeben werden. Mit der grub/xenhopt können Optionen an den Xen-Hypervisor übergeben werden.

Die grafische Darstellung während des Bootvorgangs - der sogenannte Splash-Screen - kann durch Setzen der Univention Configuration Registry-Variable grub/bootsplash auf nosplash deaktiviert werden.

In älteren Xen-Umgebungen wird zum Booten paravirtualisierter Systeme noch eine Version von PyGrub verwendet, die auf die ältere GRUB 1-Konfigurationsdatei /boot/grub/menu.lst angewiesen ist. Diese wird automatisch erzeugt, sofern sie noch nicht existiert. Dieses Verhalten kann durch Setzen der Univention Configuration Registry-Variable grub/generate-menu-lst auf no deaktiviert werden.

Die Konfiguration der Grafikauflösungen und Monitor-Parameter erfolgt in der Grundeinstellung über eine automatische Erkennung der Grafikkarte und des Monitors. Dabei wird automatisch der beste für die Grafikkarte verfügbare Treiber ausgewählt und die Monitorauflösung auf den höchsten vom Monitor unterstützten Wert gesetzt.

Die Einstellungen können auch über eine Univention Configuration Registry-Richtlinie gesetzt werden. Die manuelle Konfiguration ist auch nötig, wenn ein Dual-Monitor-Betrieb verwendet werden soll. Im folgenden eine Auswahl der wichtigen Einstellungen und die dazugehörigen UCR-Variablen in Klammern:

Mit der Richtlinie NFS-Freigaben der Rechnerverwaltung in Univention Management Console können NFS-Freigaben konfiguriert werden, die auf dem System gemountet werden. Zur Auswahl steht eine NFS-Freigabe, die unter dem in Mount point angegebenen Dateipfad eingehängt wird.

§

Abbildung 8.5. Einbinden einer NFS-Freigabe

Univention pflegt eine Übersicht von Hardware [hardwarelist], die mit UCS kompatibel ist und bei Kunden im Einsatz ist. Die hierbei verarbeiteten Informationen werden über das UMC-Modul Systeminformationen erfasst.

Alle Daten werden dabei anonymisiert an Univention weitergeleitet und erst nach Benutzereinwilligung übermittelt.

Im Start-Dialog finden sich die Eingabefelder Hersteller und Modell, die mit aus den DMI-Informationen der Hardware ermittelten Werten vorausgefüllt sind. Die Felder können auch angepasst und ein zusätzlicher Kommentar angegeben werden.

Wenn die Übermittlung der Systeminformationen im Rahmen einer Support-Anfrage erfolgt, sollte die Option Dies bezieht sich auf einen Supportfall aktiviert werden. Im folgenden Feld kann dann eine Ticketnummer angegeben werden, die die Zuordnung vereinfacht und eine schnellere Bearbeitung ermöglicht.

Nach einem Klick auf Weiter wird eine Übersicht der ermittelten Systeminformationen ausgegeben. Außerdem wird ein komprimiertes Tar-Archiv erstellt, das eine Liste mit den im System verwendeten Hardware-Komponenten enthält und über Archiv mit den Systeminformationen heruntergeladen werden kann.

Nach einem erneuten Klick auf Weiter kann der Übermittlungsweg der Daten an Univention ausgewählt werden. Hochladen überträgt die Daten per HTTPS, Mail senden führt zu einem Dialog, der die für den Versand nötigen Schritte aufführt.

Univention Configuration Registry ist das zentrale Werkzeug zur Verwaltung der lokalen Systemkonfiguration eines UCS-basierten Systems. Ein direktes Editieren der Konfigurationsdateien ist dabei in der Regel nicht nötig.

Einstellungen werden in einem Registrierungsmechanismus in einem einheitlichen Format festgelegt, den sogenannten Univention Configuration Registry-Variablen. Diese Variablen werden verwendet, um aus Konfigurationsdatei-Vorlagen (den sogenannten Univention Configuration Registry-Templates) die effektiv von den Diensten/Programmen verwendeten Konfigurationsdateien zu generieren.

Dieses Verfahren bietet eine Reihe von Vorteilen:

Univention Configuration Registry-Variablen können auf der Kommandozeile über den Befehl univention-config-registry (Kurzform: ucr) oder über das UMC-Modul Univention Config Registry konfiguriert werden.

Da die meisten Pakete ihre Konfiguration über Univention Configuration Registry durchführen und bei der Installation entsprechende Grundeinstellungen eingerichtet werden, sind nach der Installation eines UCS-Systems bereits einige Hundert Univention Configuration Registry-Variablen gesetzt.

UCR-Variablen können auch effizient in Shell-Skripten verwendet werden, um auf Systemeinstellungen wie den Rechnernamen zuzugreifen.

Die Benennung der Variablen folgt einer baumartigen Struktur, wobei ein Schrägstrich als Trennzeichen von Namensbestandteilen verwendet wird. Beispielsweise handelt es sich bei allen mit ldap beginnenden Univention Configuration Registry-Variablen um Einstellungen, die den lokalen Verzeichnisdienst betreffen.

Zu den meisten Variablen ist eine Beschreibung hinterlegt, die die Verwendung und Funktion erläutert.

Wenn eine Konfigurationsdatei durch ein UCR-Template verwaltet wird und die gewünschte Einstellung nicht bereits durch eine vorhandene Variable abgedeckt ist, muss statt der Konfigurationsdatei das UCR-Template erweitert werden. Würde die Konfigurationsdatei direkt angepasst, würde bei der nächsten Neugenerierung der Datei - z.B. beim Setzen einer registrierten UCR-Variable - die lokale Anpassung wieder überschrieben. Die Anpassung von UCR-Templates ist in Abschnitt 8.3.5 beschrieben.

Ein Teil der über Univention Configuration Registry konfigurierten Einstellungen sind systemspezifisch (z.B. der Rechnername), viele Eigenschaften können jedoch auch auf mehrere Rechner angewendet werden. Mithilfe der Univention Configuration Registry-Richtlinie in den UMC-Modulen zur Domänenverwaltung können Variablen zusammengefasst und auf mehr als einen Rechner angewendet werden.

Die Auswertung der Univention Configuration Registry-Variablen auf einem UCS-System erfolgt vierstufig:

Wird eine Variable gesetzt, die durch eine übergeordnete Richtlinie überschrieben wird, erscheint eine Warnmeldung.

Die Verwendung der Univention Configuration Registry-Richtlinie ist in Abschnitt 8.3.4 dokumentiert.

Über das Modul Univention Configuration Registry von Univention Management Console können die Variablen eines Systems angezeigt und verändert werden, außerdem besteht die Möglichkeit über Hinzufügen neue Variablen zu setzen.

Auf der Startseite wird eine Suchmaske angezeigt. Alle Variablen sind anhand einer Kategorie klassifiziert, etwa alle LDAP-bezogenen Einstellungen.

In der Suchmaske kann als Filter das Suchattribut angegeben werden, das sich auf den Variablennamen, den Wert oder die Beschreibung beziehen kann.

Nach erfolgter Suche werden die gefundenen Variablen in einer Tabelle angezeigt, dabei wird der Variablenname und der Wert angezeigt. Bewegt man den Mauszeiger auf den Variablennamen, wird eine weiterführende Beschreibung der Variable angezeigt.

Mit einem Klick auf das Icon mit dem stilisierten Stift wird die Einstellung einer Variable bearbeitet. Das Icon mit dem stilisierten Minuszeichen erlaubt das Löschen einer Variable.

Das Kommandozeileninterface von Univention Configuration Registry wird über den Befehl univention-config-registry aufgerufen. Alternativ kann auch die Kurzform ucr verwendet werden.

univention-config-registry get ldap/server/ip

univention-config-registry dump

univention-config-registry set VARIABLENNAME=WERT

univention-config-registry set \
    dns/forwarder1=192.168.0.2 \
    sshd/xforwarding="no" \
    sshd/port=2222

univention-config-registry set dns/forwarder1?192.168.0.2

univention-config-registry search nscd

univention-config-registry search --value master.example.com

univention-config-registry unset dns/forwarder2

univention-config-registry commit /etc/samba/smb.conf

univention-config-registry shell ldap/server/name

# eval "$(univention-config-registry shell ldap/server/name)"
# echo "$ldap_server_name"
master.firma.de

Ein Teil der über Univention Configuration Registry konfigurierten Einstellungen sind systemspezifisch (z.B. der Rechnername), viele Eigenschaften können jedoch auch auf mehrere Rechner angewendet werden. Mithilfe der im Richtlinien-Modul von Univention Management Console verwalteten Univention Configuration Registry-Richtlinie können Variablen zusammengefasst und auf mehr als einen Rechner angewendet werden.

§

Abbildung 8.6. Konfiguration der maximalen Mailgröße über eine Richtlinie

Zuerst muss für die anzulegende Richtlinie ein Name gesetzt werden, unter dem die Variablen später einzelnen Rechner-Objekten zugewiesen werden können.

Außerdem muss mindestens eine Variable konfiguriert und ein Wert zugewiesen werden.

Diese Richtlinie kann dann einem Rechner-Objekt oder einem Container/OU zugewiesen werden (siehe Abschnitt 4.5.2). Es ist zu beachten, dass die Auswertung der konfigurierten Werte gegenüber den übrigen Richtlinien abweicht: Die Werte werden nicht direkt auf die Rechner übertragen, sondern durch Univention Directory Policy auf den zugewiesenen Rechner geschrieben. Das dabei verwendete Zeitintervall wird durch die Univention Configuration Registry-Variable ldap/policy/cron konfiguriert und erfolgt standardmäßig stündlich.

Ein Univention Configuration Registry-Template ist im im einfachsten Fall eine Kopie der ursprünglichen Konfigurationsdatei, in der die Stellen, an denen der Wert einer Variable verwendet werden soll, eine Referenz auf den Variablennamen enthalten.

Für komplexere Szenarien kann auch Inline-Python-Code integriert werden, der dann auch komplexere Konstrukte wie etwa bedingte Abfragen erlaubt.

Die UCR-Templates werden im Verzeichnis /etc/univention/templates/files/ abgelegt. Der Pfad zu den Vorlagen entspricht dem absoluten Pfad zu der Konfigurationsdatei mit vorangestelltem Pfad zum Vorlagenverzeichnis. So findet sich zum Beispiel die Vorlage für die Konfigurationsdatei /etc/issue unter /etc/univention/templates/files/etc/issue.

Damit Konfigurationsdateien von Univention Configuration Registry korrekt verarbeitet werden können, müssen sie im UNIX-Format vorliegen. Werden Konfigurationsdateien z.B. unter DOS oder Windows bearbeitet, werden Steuerzeichen zur Kennzeichnung des Zeilenumbruchs eingefügt, die die Verwendung der Datei durch Univention Configuration Registry stören.

X11Forwarding @%@sshd/xforwarding@%@

@!@
if configRegistry.get('apache2/ssl/certificate'):
    print 'SSLCertificateFile %s' % \
        configRegistry['apache2/ssl/certificate']
@!@

@!@
if configRegistry.get('version/version') and \
        configRegistry.get('version/patchlevel'):
    print 'UCS %(version/version)s-%(version/patchlevel)s' % \
        configRegistry
@!@

Für den administrativen Vollzugriff existiert auf jedem UCS-System das root-Konto. Das Passwort wird beim Installieren des Systems festgelegt. Der root-Benutzer wird nicht im LDAP-Verzeichnis gespeichert, sondern in den lokalen Benutzerkonten.

Das Passwort für den lokalen root-Nutzer kann über die Kommandozeile mit den Befehl passwd geändert werden. Es ist zu beachten, dass hierbei keine Prüfungen hinsichtlich der Passwortlänge/-Stärke und bereits verwendeter Passwörter durchgeführt wird.

Unter Linux werden Lokalisierungseigenschaften für Software in Locales definiert. Konfiguriert werden u.a. Einstellungen wie Datums- sowie zu nutzende Währungsformate, verwendete Zeichensätze und die Sprachauswahl für internationalisierte Programme. Die installierten Locales können in Univention Management Console unter Sprach-Einstellungen -> Verfügbare Systemsprachen geändert werden. Unter Standard-System-Sprachdefinition wird die Standard-Locale festgelegt.

§

Abbildung 8.7. Konfiguration der Spracheinstellungen

Das Tastaturlayout im Menüpunkt Zeitzonen- und Tastatureinstellungen greift bei lokalen Anmeldungen an dem Rechner.

Mit dem UMC-Modul Systemdienste kann der aktuelle Status eines Systemdienstes geprüft und dieser ggf. gestartet oder gestoppt werden.

§

Abbildung 8.8. Übersicht der Systemdienste

In der Liste aller auf dem System installierten Dienste ist unter Status der aktuelle Laufzeitstatus und eine Beschreibung aufgeführt. Unter mehr kann der Dienst gestartet, gestoppt oder neu gestartet werden.

In der Grundeinstellung wird jeder Dienst automatisch beim Systemstart gestartet. In einigen Fällen kann es sinnvoll sein, den Dienst nicht direkt zu starten, sondern z.B. erst nach Konfiguration weiterer Einstellungen. Mit der Aktion Manuell starten wird der Dienst nicht beim Systemstart automatisch gestartet, kann aber nachträglich gestartet werden. Mit der Aktion Niemals starten wird auch der nachträgliche Start unterbunden.

Authentifizierungs-Dienste werden in Univention Corporate Server durch Pluggable Authentication Modules (PAM) realisiert. Dabei werden unterschiedliche Anmeldeverfahren auf eine gemeinsame Schnittstelle abgebildet, so dass eine neue Anmeldemethode keine Anpassungen an bestehenden Applikationen benötigt.