UCS 4.3 Release Notes

Release Notes für die Inbetriebnahme und Aktualisierung von Univention Corporate Server (UCS) 4.3-1

Inhaltsverzeichnis

1. Release-Highlights
2. Hinweise zum Update
2.1. Empfohlene Update-Reihenfolge
2.2. UCS-Installations-DVDs nur noch als 64-Bit-Variante
3. Vorbereitung des Updates
4. Nachbereitung des Updates
5. Hinweise zum Einsatz einzelner Pakete
5.1. Erfassung von Nutzungsstatistiken
5.2. Umfang des Sicherheits-Supports von WebKit, Konqueror und QtWebKit
5.3. Empfohlene Browser für den Zugriff auf Univention Management Console
6. Changelog
6.1. General
6.2. Basic system services
6.2.1. Univention Configuration Registry
6.2.1.1. Changes to templates and modules
6.3. Domain services
6.3.1. OpenLDAP
6.3.1.1. Listener/Notifier domain replication
6.3.2. DNS server
6.4. Univention Management Console
6.4.1. Univention Portal
6.4.2. Univention Management Console server
6.4.3. Univention App Center
6.4.4. Univention Directory Manager UMC modules and command line interface
6.4.5. Modules for system settings / setup wizard
6.4.6. Domain join module
6.4.7. License module
6.4.8. System diagnostic module
6.4.9. Other modules
6.5. Univention base libraries
6.6. Software deployment
6.7. System services
6.7.1. SAML
6.7.2. Dovecot
6.7.3. Postfix
6.7.4. Printing services
6.7.5. Nagios
6.7.6. Apache
6.7.7. Proxy services
6.7.8. Kerberos
6.7.9. SSL
6.7.10. DHCP server
6.7.11. NFS
6.8. Desktop
6.9. Container Technologies
6.10. Services for Windows
6.10.1. Samba
6.10.2. Univention S4 Connector
6.10.3. Univention Active Directory Connection
6.11. Other changes

§Kapitel 1. Release-Highlights

Mit Univention Corporate Server 4.3-1 steht das erste Point-Release für Univention Corporate Server (UCS) 4.3 zur Verfügung. Es umfasst Funktionserweiterungen und Verbesserungen, neue Eigenschaften sowie diverse Detailverbesserungen und Fehlerkorrekturen. Die wichtigsten Änderungen im Überblick:

  • Für das UMC Diagnosemodul wurde eine große Zahl zusätzlicher Funktionstests hinzugefügt, die den Administrator dabei unterstützen den Gesundheitszustand des Servers und der gesamten Domäne zu prüfen.

  • Die Usability und Konfigurierbarkeit des Managementsystems wurde weiter ausgebaut. So wurde an vielen Stellen das erwartete Verhalten des Managementsystems verbessert, etwa bei der Konfiguration von E-Mailadressen oder DNS Einstellungen.

  • Zur Erhöhung der Browser Sicherheit wurde eine Content-Security-Policy in die UCS Weboberfläche definiert, die von UCS gesetzte HTTP-Cookies schützt.

  • Diverse Security Updates wurden in UCS 4.3-1 integriert, bspw. für den Linux Kernel, Samba und Apache2. Eine vollständige Liste ist in Kapitel 6 zu finden.

§Kapitel 2. Hinweise zum Update

Während der Aktualisierung kann es zu temporären Ausfällen von Diensten innerhalb der Domäne kommen. Aus diesem Grund sollte das Update innerhalb eines Wartungsfensters erfolgen. Grundsätzlich wird empfohlen, das Update zunächst in einer Testumgebung einzuspielen und zu testen. Die Testumgebung sollte dabei identisch zur Produktivumgebung sein. Je nach Systemgeschwindigkeit, Netzwerkanbindung und installierter Software kann das Update zwischen 20 Minuten und mehreren Stunden dauern.

§2.1. Empfohlene Update-Reihenfolge

In Umgebungen mit mehr als einem UCS-System muss die Update-Reihenfolge der UCS-Systeme beachtet werden:

Auf dem Domänencontroller Master wird die maßgebliche (authoritative) Version des LDAP-Verzeichnisdienstes vorgehalten, die an alle übrigen LDAP-Server der UCS-Domäne repliziert wird. Da bei Release-Updates Veränderungen an den LDAP-Schemata auftreten können, muss der Domänencontroller Master bei einem Release-Update immer als erstes System aktualisiert werden.

§2.2. UCS-Installations-DVDs nur noch als 64-Bit-Variante

UCS-Installations-DVDs werden ab UCS 4 nur noch für 64-Bit-Architekturen bereitgestellt. Vorhandene 32-Bit UCS 3 Systeme können weiterhin über das Online Repository oder über Update DVDs auf UCS 4 aktualisiert werden. Die 32-Bit-Architektur wird für die gesamte UCS 4 Maintenance noch unterstützt.

§Kapitel 3. Vorbereitung des Updates

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 6 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation ungefähr 2 GB zusätzlichen Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der lokalen Konsole des Systems mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools screen oder at eingesetzt werden, die auf allen UCS Systemrollen installiert sind.

§Kapitel 4. Nachbereitung des Updates

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen: Entweder über das UMC-Modul Domänenbeitritt oder durch Aufruf des Befehls univention-run-join-scripts als Benutzer root.

Anschließend muss das UCS-System neu gestartet werden.

§Kapitel 5. Hinweise zum Einsatz einzelner Pakete

§5.1. Erfassung von Nutzungsstatistiken

Bei Verwendung der UCS Core Edition werden anonyme Nutzungsstatistiken zur Verwendung von Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung von Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der UCS Core Edition. Der Lizenzstatus kann überprüft werden durch den Eintrag Lizenz -> Lizenzinformation des Benutzermenüs in der rechten, oberen Ecke von Univention Management Console. Steht hier unter Lizenztyp der Eintrag UCS Core Edition wird eine solche Edition verwendet. Bei Einsatz einer regulären UCS-Lizenz erfolgt keine Teilnahme an der Nutzungsstatistik.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry-Variable umc/web/piwik auf false deaktiviert werden.

§5.2. Umfang des Sicherheits-Supports von WebKit, Konqueror und QtWebKit

WebKit, Konqueror und QtWebKit werden in UCS im maintained-Zweig des Repositorys mitgeliefert, aber nicht durch Sicherheits-Updates unterstützt. WebKit wird vor allem für die Darstellung von HTML-Hilfeseiten u.ä. verwendet. Als Web-Browser sollte Firefox eingesetzt werden.

§5.3. Empfohlene Browser für den Zugriff auf Univention Management Console

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche JavaScript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden empfohlen:

  • Chrome ab Version 37

  • Firefox ab Version 38

  • Internet Explorer ab Version 11

  • Safari und Safari Mobile ab Version 9

Mit älteren Browsern können Darstellungs- oder Performanceprobleme auftreten.

§Kapitel 6. Changelog

Die Changelogs mit den detaillierten Änderungsinformationen werden nur in Englisch gepflegt. Aufgeführt sind die Änderungen seit UCS 4.3-0:

§6.1. General

§6.2. Basic system services

§6.2.1. Univention Configuration Registry

§6.2.1.1. Changes to templates and modules

  • The SplitMode setting of systemd-journald can now be set with the Univention Configuration Registry variable systemd/journald/SplitMode (Bug 46279).
  • Fix the template for the Univention Configuration Registry variable update/secure_apt (Bug 45950).

§6.3. Domain services

§6.3.1. OpenLDAP

§6.3.1.1. Listener/Notifier domain replication

  • Very large LDAP schema definitions could prevent the LDAP server on backup and slave systems from starting. The fix ensures that such schemas are handled correctly (Bug 46747).

§6.3.2. DNS server

  • There was a traceback in the join.log file (Bug 46206).
  • The BIND9 service was sometimes not started by the join script (Bug 46206).

§6.4. Univention Management Console

§6.4.1. Univention Portal

  • A Content-Security-Policy has been added to the portal and server overview sites (Bug 45423).

§6.4.2. Univention Management Console server

  • The link in the welcome dialog for sending feedback pointed to a wrong location in the French translation (Bug 45874).
  • The description of the Univention Configuration Registry variable umc/web/piwik has been adjusted to better reflect the actual behavior (Bug 46791).
  • Enhance logging for disabled memberof overlay (Bug 46476).
  • The password dialog that is shown upfront some functions in UMC when using a Single Sign On (SAML) session can now be submitted by pressing Enter (Bug 46735).
  • Fix umc-server executable permissions when updating the package during system setup (Bug 46847).
  • A link pointing to the Univention Privacy Policy has been added to the UCS activation process (Bug 46742).
  • The deprecated child-src directive has been removed from the Content-Security-Policy (Bug 45599).

§6.4.3. Univention App Center

  • Fixed permissions of cache directory (Bug 47094).
  • Categories were not translated (Bug 47072).
  • The deprecated AppManager class is not used anymore in the code (Bug 44542).
  • univention-app update now accepts --cache-dir to use a different directory for downloaded meta files (Bug 47021).
  • When changing the App Center server, update all installed Apps, too (Bug 43434).
  • Join script now uses --bindpwdfile options (Bug 47051).
  • Added update-certificates command to univention-appcenter (Bug 46789).
  • File permissions for /etc/machine.secret in app containers have been fixed (Bug 46823).
  • The Univention Configuration Registry variables ldap/base and ldap/server/* are passed to Docker Apps (Bug 46779).
  • The data directory is no longer moved to the backup directory during the uninstallation of an App (Bug 45670).
  • When the meta data of an App pointed to a setup script but it was missing, an error occurred (Bug 46752).
  • A text referring to the activation of UCS has been updated (Bug 46742).
  • Calling univention-upgrade non-interactively may have caused an error while upgrading Apps when run on a master domain controller (Bug 46684).
  • While updating from UCS 4.2 to UCS 4.3, some Apps changed their version. This requires a re-registration of the Apps (Bug 46440).
  • The development tools did not prepend http:// to the call for zsyncmake (Bug 45830).
  • The App Center cache is now updated locally when the package univention-management-console-appcenter is installed during system setup. (Bug 46813).

§6.4.4. Univention Directory Manager UMC modules and command line interface

  • Whether the simple or advanced search is shown upon opening a Univention Directory Manager module can now be defined via the Univention Configuration Registry variable directory/manager/web/modules/search/advanced_on_open (Bug 46910).
  • Fixed a typo in the German translation of the Release Policy (Bug 46348).
  • Prevent the removal of groups that are mentioned in the settings/default object. These groups are used for new objects and therefore must exist (Bug 44685).
  • Join script uses --bindpwdfile option, added --bindpwdfile support in univention-dnsedit (Bug 47052).
  • Properties that have been set to default values are no longer ignored when saving from the UDM detail page (Bug 46529).
  • Every installation of a Docker Apps adds one machine account. These do not count against the license anymore (Bug 41372).
  • The App opsi does add system users during the installation. These do not count against the license anymore (Bug 46334).
  • DNS entries on Computers are no longer allowed to have an empty forward or reverse zone. Setting it empty led to tracebacks (Bug 44389).
  • The email field in the Contacts tab of a user no longer has its value pre-filled with the value of the mailPrimaryAddress field. As the pre-filled value was not saved to LDAP, this led to undesired inconsistencies in the display of the actual data (Bug 45581).

§6.4.5. Modules for system settings / setup wizard

  • Ignore link local addresses in the Univention Management Console IP change module (Bug 41052).
  • The privacy statement is now displayed directly in the Univention System Setup wizard (Bug 46852).
  • The syntax check for the Hostname of the master domain controller field on the Domain join information page in the Univention System Setup has been changed to FQDN (IP addresses are no longer valid) (Bug 43276).
  • A link pointing to the Univention Privacy Policy has been added to the UCS activation process (Bug 46742).

§6.4.6. Domain join module

  • Added support for --bindpwdfile during join (Bug 47064).
  • Added a link to the knowledge base article about join problems in the join error message (Bug 45514).
  • An error when joining a backup domain controller via the Univention Management Console has been resolved (Bug 42986).
  • New join script keywords have been added to influence the parameters a join script is called with (Bug 46842).
  • The join tools now check if the join status file is a proper text file (Bug 46731).
  • The binddn of the master domain controller Account is determined in a more robust way (Bug 36097).

§6.4.7. License module

  • A link pointing to the Univention Privacy Policy has been added to the UCS activation process (Bug 46742).

§6.4.8. System diagnostic module

  • A new diagnostic plugin has been added to check whether the remote and the local version of the SAML identity and service certificates match (Bug 45515).
  • The ssh test does not fail anymore for computer objects that are not (Bug 43403).
  • Links to knowledge base articles now point to the correct addresses (Bug 46166).
  • Avoid paramiko log messages winding up in connector-s4.log (Bug 46708).
  • Only use FQDNs for the SSH connection checks (Bug 45370).
  • The output of actions is logged (Bug 46039).
  • Run nsupdate check only on Samba or Samba4 systems (Bug 45904).
  • The German name of the module was adjusted (Bug 46034).
  • Sometimes the 01_ssh_connection check was hanging (Bug 45343).
  • nsupdate checks in UCS@school did not use the Slave PDCs (Bug 45584).
  • Check of the file system permissions of local mail directory has been added (Bug 46677).

§6.4.9. Other modules

  • Whether the simple or advanced search is shown upon opening a UDM module can now be defined via the Univention Configuration Registry variable directory/manager/web/modules/search/advanced_on_open (Bug 46910).
  • The server count is no longer shown in the license information dialog because of confusion with the number of physical and virtual servers (Bug 45944).
  • Properties that have been set to default values are no longer ignored when saving from the UDM detail page (Bug 46529).
  • Fixed referencing objects not always being shown in the policies module (Bug 38674).
  • The type and position of an UDM object are displayed again on the detail page (Bug 46371).

§6.5. Univention base libraries

  • The LDAP syntax for userPrimaryGroupPreset has been changed to DirectoryString (Bug 46288).
  • Added support for --bindpwdfile during join (Bug 47066).
  • Improve error logging and retry AD LDAP bind in case of ldap.OPERATIONS_ERROR during first LDAP search (Bug 41733).
  • A problem when simultaneously registering LDAP ACL and schema extension has been fixed (Bug 45033).
  • Improve debug output in lib.admember.lookup_adds_dc() (Bug 44478).
  • An error message when joining an AD domain was not printed correctly because a variable was used before its assignment (Bug 45967).

§6.6. Software deployment

  • Fixed a typo when warning about an outdated UCS version (Bug 47097).
  • Make sure all services that are disabled while installing package updates are running at the end of the update by starting them explicitly (Bug 47029).
  • The update from 4.2 to 4.3 is now stopped if a failed.ldif is found (Bug 46850).
  • Fix the path to the dpkg-statoverride tool which is called during system setup (Bug 46847).
  • Links to knowledge base articles now point to the correct addresses (Bug 46166).

§6.7. System services

§6.7.1. SAML

§6.7.2. Dovecot

  • When moving a user's mailbox to a different filesystem, set owner and group for all files on the target filesystem (Bug 46892).

§6.7.3. Postfix

  • When upgrading from a system that previously used Cyrus, the now deprecated mail quota policies can be removed using the script /usr/share/univention-mail-postfix/remove_mail_quota_policy (Bug 46454).

§6.7.4. Printing services

  • Added support for --bindpwdfile during join (Bug 47062).

§6.7.5. Nagios

  • Fixed permissions for Nagios log file (Bug 47015).

§6.7.6. Apache

  • Added headers X-Forwarded-Proto and X-Forwarded-SSL so that certain Apps work correctly behind a proxy (Bug 44921).

§6.7.7. Proxy services

  • Added support for --bindpwdfile during join (Bug 47058).
  • Fix warning during squid configuration reload (Bug 46565).
  • Remove obsolete hierarchy_stoplist directive (Bug 46567).
  • A wrapper is added to support non ASCII characters in passwords with basic authentication. Previously non ASCII characters did not work with IE (Bug 34154).

§6.7.8. Kerberos

  • Added support for --bindpwdfile during join (Bug 47070).
  • Join script does not need credentials and added --bindpwdfile parameter to salt_krb5Keys (Bug 46842).

§6.7.9. SSL

  • Fixed handling of expired certificates (Bug 45472).
  • Renewed certificates were not readable by backup domain controller (Bug 46203).

§6.7.10. DHCP server

  • Added support for --bindpwdfile during join (Bug 47065).

§6.7.11. NFS

  • Mask the service rpc-svcgssd for handling Kerberos tickets for NFS (Bug 46587).

§6.8. Desktop

  • Help the user decide which user to log in as at the KDE login screen (Bug 47026).

§6.9. Container Technologies

  • univention-system-setup has been removed from the list of packages to be installed along with univention-container-role-common. This role is used for Docker Apps and does not need univention-system-setup (Bug 45909).

§6.10. Services for Windows

§6.10.1. Samba

  • Added support for --bindpwdfile during join (Bug 47060, Bug 47059).
  • Adjust firewall to Samba 4.7 dynamic port range (Bug 46809).
  • Added a more detailed error message for the domain join (Bug 43223).
  • Locking in the sysvol-sync.sh has been fixed (Bug 46486).
  • A dependency to UCS@school in the univention-samba join script has been removed (Bug 46006).

§6.10.2. Univention S4 Connector

  • When objects are deleted or moved remove the their DN from both group member mapping caches. This affected UCS@school (Bug 46682).
  • Added support for option --bindpwdfile during join (Bug 47061).
  • The Univention Directory Listener module now restarts the connector if extended attributes are modified (Bug 46972).
  • Rejects for non-ASCII Samba/AD accounts are not handled properly due to sqlite encoding problem (Bug 47013).
  • In case Univention Configuration Registry variable connector/s4/mapping/group/syncmode is set to write, the S4-Connector would still modify groups in OpenLDAP when a user was modified. This affected UCS@school (Bug 46682).
  • Preserve case in DN during move sync from ucs to samba (Bug 46741).
  • connector-tracebacks.log is not written any longer (Bug 46798).
  • A mismatch between the samba and OpenLDAP SID for the host object after the connector initialization in UCS@school has been fixed (Bug 40419).

§6.10.3. Univention Active Directory Connection

  • Added support for --bindpwdfile during join (Bug 47096).
  • Improve error feedback for connectionFailed and failedADConnect exceptions (Bug 47091).
  • Some encoding in the context of rejects have been fixed (Bug 45779).
  • Update shadowMax, shadowLastChange and krb5PasswordEnd during password sync from AD to UCS, too (Bug 45760).
  • Output exception details in check_domain and admember_join (Bug 44478).

§6.11. Other changes

  • Fixed a typo when warning about an outdated UCS version (Bug 47097).
  • The link in the welcome dialog for sending feedback pointed to a wrong location in the French translation (Bug 45874).
  • Properly transition system jobs to system_cronjob_t SELinux context and stop relying on refpolicy specific identifiers (Bug 46629).
  • Ignore loop-back network interfaces lo and docker0 in univention-register-network-address (Bug 41052).
  • If more than one hard disk drive is detected during UCS installation, the target disk for the grub installer can be selected. (Bug 44595).
  • The univention-updater preup and postup scripts have been adapted for UCS 4.3-1. (Bug 47121).
  • The following packages were moved to the maintained repository: gunicorn python-backports-abc python-django python-django-celery python-django-common python-djangorestframework python-djangorestframework-doc python-gunicorn python-pampy. (Bug 46585).