Univention Corporate Server (UCS) ist eine Linux-basierte Unternehmensplattform für den Betrieb und die Verwaltung von IT-Infrastruktur für Unternehmen und Behörden. UCS setzt ein durchgängiges Gesamtkonzept mit einheitlicher, zentraler Administration um und kann den Betrieb aller Komponenten in einem zusammenhängenden Sicherheits- und Vertrauenskontext, der so genannten UCS-Domäne, gewährleisten. Gleichzeitig unterstützt UCS viele offene Standards und besitzt umfangreiche Schnittstellen zu Infrastrukturkomponenten und Managementwerkzeugen anderer Hersteller, so dass es sich leicht in vorhandene Umgebungen integrieren lässt.

UCS beinhaltet und basiert auf zuverlässiger, in Organisationen unterschiedlicher Größe erprobter Open Source Software. Diese Softwarekomponenten werden durch das UCS-Managementsystem miteinander integriert. Damit ist das System nicht nur in einfachen, sondern auch in komplexen, verteilten oder virtualisierten Umgebungen einfach einsetz- und administrierbar.

Dies sind die zentralen Funktionen von UCS:

Diese Funktionen werden von unterschiedlichen Softwarepaketen in Univention Corporate Server bereit gestellt und im Verlauf dieses Handbuchs ausführlich behandelt. Im Wesentlichen lassen sich die in UCS enthaltenen Softwarepakete den folgenden drei Hauptbestandteilen zuordnen:

Das Basissystem umfasst das Betriebssystem, die auf Debian GNU/Linux basierende und von Univention gepflegte UCS-Linux-Distribution und beinhaltet weitgehend die selbe Software-Auswahl wie Debian GNU/Linux sowie Werkzeuge zur Installation, zur Aktualisierung und zur Konfiguration von Clients und Servern.

Das UCS-Managementsystem realisiert einen Single-Point-of-Administration, über den die Konten aller Domänenmitglieder (Benutzer, Gruppen und Rechner) und Dienste wie DNS und DHCP in einem Verzeichnisdienst verwaltet werden. Kernkomponenten des Managementsystems sind die Dienste OpenLDAP (Verzeichnisdienst), Samba (Bereitstellung von Domänen-, Datei- und Druckdiensten für Microsoft Windows), Kerberos (Authentifizierung und Single-Sign-On), DNS (Namensauflösung im Netzwerk) und SSL/TLS (sichere Datenübertragung zwischen Systemen). Es lässt sich sowohl über eine Webanwendung als auch an der Kommandozeile und in eigenen Skripten verwenden. Das UCS-Managementsystem ist über APIs (Application Programmers Interfaces) erweiterbar und besitzt eine flexible Client-Server-Architektur, durch die Änderungen auf die davon betroffenen Systeme übertragen und dort aktiviert werden.

Zusätzliche UCS-Komponenten von Univention und anderen Herstellern erweitern das System um zahlreiche Funktionen wie Groupware, Dokumentenmanagement oder Services für Microsoft Windows, so das sie ebenfalls von einem UCS-System ausgeführt und über das UCS-Managementsystem verwaltet werden können.

Als Betriebssystem, das von Anfang an für den Multiuser- und Multitasking-Einsatz vorgesehen war und bei dessen Entwicklung stets Wert auf Stabilität, Sicherheit und die Kompatibilität zu anderen Betriebssystemen gelegt wurde, ist Linux prädestiniert für den Einsatz als stabiles, sicheres und jederzeit verfügbares Serverbetriebssystem. Ohne UCS ist jedoch die Administration von Linux-Systemen gerade in Einsatzszenarien, bei denen eng mit der Benutzer- und Rechteverwaltung verküpfte Infrastrukturdienste für Unternehmen oder Behörden bereit gestellt werden, oft aufwendig, komplex und wenig standardisiert. An diesem Punkt setzt UCS an.

UCS kann als die Basis für die IT-Infrastruktur von Unternehmen und Behörden eingesetzt werden und dafür die zentrale Steuerung bereitstellen. So leistet es einen wichtigen Beitrag für den sicheren, effizienten und wirtschaftlichen IT-Betrieb. Unternehmenskritische Anwendungen sind in ein einheitliches Konzept integriert, aufeinander abgestimmt und für den professionellen Einsatz vorkonfiguriert.

1.2.2. Domänenkonzept

Bei der Installation wird dem Rechner eine Systemrolle zugewiesen. Standardmäßig befinden sich bei UCS alle Server, Clients und Benutzer in einem Sicherheits- und Vertrauenskontext, der so genannten UCS-Domäne. Dementsprechend stehen als Systemrollen Domänencontroller, Memberserver und Clients zur Auswahl.

Abbildung 1.1. UCS-Domänenkonzept

Abhängig von der Systemrolle werden neben dem Betriebssystem grundlegende Dienste wie Kerberos, OpenLDAP, Samba, Module für den Domänenreplikationsmechanismus oder eine Root-CA (Zertifizierungsstelle) auf dem Rechner installiert und automatisch für die gewählte Systemrolle konfiguriert. Das manuelle Einrichten und Konfigurieren jedes einzelnen Dienstes und jeder einzelnen Anwendung erübrigt sich damit. Durch den modularen Aufbau und umfangreiche Konfigurationsschnittstellen lassen sich dennoch auf individuelle Bedürfnisse zugeschnittene Lösungen umsetzen.

Durch die Integration von Samba, das den Domänendienst für mit Microsoft Windows betriebene Clients und Server bereit stellt, ist Univention Corporate Server kompatibel zu Microsoft Active Directory (AD), so dass sich das System gegenüber Windows-basierten Systemen wie ein Active Directory Server verhält. Deswegen können beispielsweise Gruppenrichtlinien für Microsoft Windows-Systeme auf die gewohnte Art und Weise administriert werden und stehen durch UCS in der Samba 4-Domäne zur Verfügung.

Ubuntu-Clients können ebenfalls in eine UCS-Umgebung integriert werden (siehe Abschnitt 8.1.1).

1.2.5. Domänenadministration

Abbildung 1.2. Univention Management Console

Der Zugang zum LDAP-Verzeichnis erfolgt über die webbasierte und modulare Univention Management Console (UMC). Technisch wird der Zugang über das Univention Management Console-Modul Univention Directory Manager durchgeführt. In Univention Management Console werden sie unter „Domäne“ angezeigt.

Univention Directory Manager ermöglicht auch die Umsetzung aller domänenweiten administrativen Aufgaben über eine Kommandozeilen-Schnittstelle. Dies eignet sich besonders für die Integration in Skripte oder automatisierte administrative Schritte.

Mit Univention Management Console können Daten in das LDAP-Verzeichnis eingetragen und dort angezeigt, bearbeitet und gelöscht werden. Auch die Suche – gefiltert nach einer Vielzahl von Kriterien – ist möglich. In der Webanwendung stehen Assistenten zur Verwaltung von Benutzern, Gruppen, Netzwerken, Rechnern, Verzeichnisfreigaben und Druckern zur Verfügung. Die Rechnerverwaltung umfasst auch umfangreiche Funktionen zur Verteilung und Aktualisierung von Software.

Über den integrierten LDAP-Verzeichnis-Browser können weitergehende Einstellungen vorgenommen und kundenspezifische Objektklassen und Attribute hinzugefügt werden.

Weiterführende Informationen finden sich in Kapitel 4.

Dieses Handbuch behandelt nur einen kleinen Ausschnitt der Möglichkeiten von UCS. UCS und auf UCS aufbauende Lösungen bieten unter anderem:

Unter [ucs-dokumentationen] und im Univention Wiki unter http://wiki.univention.de/ sind weitere Dokumentationen zu UCS veröffentlicht, die weiterführende Themen behandeln.

Im Handbuch werden folgende Symbole verwendet:

Diese Felder beschreiben den Funktionsumfang eines UMC-Moduls:

Menüeinträge, Schaltflächenbeschriftungen und ähnliches sind fett gesetzt. [Schaltflächenbeschriftungen] sind zusätzlich durch eckige Klammern gekennzeichnet.

Eigennamen sind hervorgehoben.

Computernamen, LDAP-DNs, Programmnamen, Dateinamen und -pfade, Internetadressen und Optionen werden ebenfalls optisch hervorgehoben.

Abschnitte aus Konfigurationsdateien, Bildschirmausgaben usw. sind grau
hinterlegt.

Ein Backslash (\) am Ende einer Zeile weist darauf hin, dass der folgende Zeilenumbruch nicht die Bedeutung eines End-of-Line hat. Das kommt z.B. bei Befehlen vor, die nicht in einer Zeile des Handbuches dargestellt werden können, an der Kommandozeile aber entweder ohne den Backslash in einem Stück oder mit dem Backslash und einem anschließenden Enter eingegeben werden müssen.

Der Weg zu einer Funktion wird ähnlich wie ein Dateipfad dargestellt. Benutzer -> Hinzufügen bedeutet beispielsweise, dass im Hauptmenü auf Benutzer und im erscheinenden Untermenü auf Hinzufügen zu klicken ist.

Die folgende Dokumentation beschreibt die Installation von Univention Corporate Server. Mehrere Installationsvarianten werden unterstützt:

Installations-DVDs sind für die Rechnerarchitekturen amd64 (64 Bit) und i386 (32 Bit) verfügbar. Nahezu alle Serversysteme, die in den letzten Jahren verkauft wurden sind 64 Bit-Systeme. Die Verwendung der 64 Bit-Version wird empfohlen.

Für amd64 steht neben der Standard-Installations-DVD auch ein Medium mit Unterstützung für den Unified Extensible Firmware Interface-Standard (UEFI) bereit. Einige Systeme unterstützen nur einen Boot über UEFI, auf solchen Systemen muss diese UEFI-DVD verwendet werden.

Neben einer Installation auf Hardware oder in einer Virtualisierungslösung kann UCS auch über ein AMI-Image in der Amazon EC2-Cloud installiert werden. Hinweise dazu finden sich in Abschnitt 2.15.

Nach dem Starten des Systems vom Installationsmedium erscheint der folgende Bootprompt:

Abbildung 2.1. Bootprompt der Installation

Hier kann zwischen verschiedenen Installationsverfahren gewählt werden.

Nun wird der Kernel vom Installationsmedium geladen. Die eigentliche Installation gliedert sich in einzelne Module. In einem Modul werden inhaltlich zusammenhängende Einstellungen getroffen, es gibt beispielsweise Module für die Netzkonfiguration oder die Auswahl der zu installierenden Software.

In diesem Modul wird die Systemsprache ausgewählt, die verwendet werden soll. Die Auswahl beeinflusst die Verwendung von sprachspezifischen Schriftzeichen und ermöglicht die Darstellung von Programmausgaben in den ausgewählten Sprachen.

Abbildung 2.2. Auswahl der Installationssprache

Wenn Univention Installer in die ausgewählte Sprache übersetzt ist (momentan Deutsch und Englisch), wird die gewählte Sprache auch während der Installation verwendet, anderenfalls erfolgt die Installation in englischer Sprache.

Das aktuell verwendete Installationsmedium wird in der Regel automatisch ermittelt. Über die Funktionstaste F2 wird das zu verwendende Installationsmedium vorgegeben. Dieser Parameter kann verwendet werden, wenn Probleme mit einem von mehreren CD-Laufwerken festgestellt werden oder die netzwerkbasierte Installation von einem anderen Installationsserver ausgeführt werden soll. Mit der Funktionstaste F4 kann die Liste der Installationsmedien erneut eingelesen werden.

Wird das Installationsmedium automatisch erkannt, wechselt der Univention Installer selbstständig zum nächsten Modul. Über die Funktionstaste F11 kann später wieder auf dieses Modul zurückgewechselt werden.

Die gewünschte Zeitzone kann in diesem Modul ausgewählt werden. Je nach ausgewählter Systemsprache wird eine Auswahl von passenden Zeitzonen angeboten. Durch Aktivierung der Option Alle verfügbaren Zeitzonen anzeigen werden alle verfügbaren Zeitzonen aufgeführt.

Abbildung 2.3. Auswahl der Zeitzone

Hier wird die Tastaturbelegung der verwendeten Tastatur ausgewählt. Je nach ausgewählter Systemsprache wird eine Auswahl von passenden Tastaturlayouts angeboten. Durch Aktivierung der Option Alle verfügbaren Tastaturlayouts anzeigen werden zuvor ausgeblendete Tastaturvarianten zusätzlich angezeigt.

Abbildung 2.4. Auswahl der Tastaturbelegung

Hier wird die Systemrolle ausgewählt, als welche das spätere System installiert werden soll.

Abbildung 2.5. Auswahl der Systemrolle

Zur Auswahl stehen:

Das erste zu installierende System einer UCS-Domäne sollte immer ein Domain Controller Master sein. Die Installation weiterer UCS-Systeme benötigt während der Installation einen laufenden Domaincontroller Master. Die einzige Ausnahme bildet die Systemrolle Basissystem, dieses kann ohne erreichbaren Domänencontroller Master installiert werden.

Die Eigenschaften der Systemrollen sind in Abschnitt 3.3 beschrieben. Im Installationsdialog wird außerdem eine kurze Beschreibung angezeigt.

Unter Vollständiger Rechnername wird der vollqualifizierte Rechnername eingetragen, unter dem der Rechner im Netzwerk erreichbar sein soll. Wenn also beispielsweise das Rechnersystem mailserver in der DNS-Domäne firma.de in Betrieb genommen werden soll, ist als vollständiger Rechnername mailserver.firma.de einzutragen.

Für Rechnernamen dürfen ausschließlich die Buchstaben a-z in Kleinschreibung, die Ziffern 0-9 und Bindestriche verwendet werden. Der Rechnername muss mit einem Buchstaben beginnen und darf maximal 13 Zeichen lang sein.

Nachdem der Domänenname gesetzt wurde, werden die Felder LDAP-Basis und Windows-Domäne mit abgeleiteten Werten vorausgefüllt (die Eingabefelder werden nur bei der Installation des Domänencontroller Master angezeigt). Wenn die LDAP-Basis geändert werden soll, müssen die Konventionen für die Benennung von DNs beachtet werden. Die Basis-DN muss mit cn=, dc=, c=, l= oder o= beginnen. Basis-DNs, die diese Konventionen verletzen, werden abgewiesen. Der Name der Windows-Domäne darf maximal 13 Zeichen lang sein und nur aus Buchstaben, Zahlen und Bindestrichen bestehen.

Unter Root-Passwort wird das Passwort für den Benutzer root eingetragen. Wird ein Domänencontroller Master installiert, wird dieses Passwort auch für den Benutzer Administrator eingetragen. Im späteren Betrieb können die Passworte der Benutzer root und Administrator unabhängig voneinander verwaltet werden. Das Passwort wird im letzten Feld erneut eingetragen. Die doppelte Eingabe ist erforderlich, um Tippfehler zu vermeiden, da die eingegebenen Zeichen nicht angezeigt werden.

Das Root-Passwort muss aus Sicherheitsgründen mindestens acht Zeichen umfassen.

Abbildung 2.6. Domäneneinstellungen

In dieser Einstellungsmaske wird die Partitionierung der vorhandenen Festplatten vorgenommen.

Ab UCS 3.1 führt der Univention Installer eine Partitionierung nach dem GUID Partition Table-Standard (GPT) durch. Frühere UCS-Versionen verwendeten eine Partitionierung nach dem Master Boot Record-Standard, bei dem die Partitionierung im ersten Datenblock eines Speichermediums vorgehalten wurde.

Die GPT ist abwärtskompatibel zum MBR; der erste Datenblock wird weiterhin im MBR-Format gespeichert. Dieser Block wird als Protective MBR bezeichnet und enthält eine einzelne Schutzpartition. Sie verhindert beispielsweise, dass ältere Partitionierungstools die GPT-Daten oder Daten innerhalb der Partitionen beschädigen.

Es können bis zu 127 Partitionen angelegt werden, die Größen im Zetabyte-Bereich annehmen können.

Das Unified Extensible Firmware Interface (UEFI) ersetzt auf aktuelleren Systemen das PC-BIOS. UCS unterstützt ab Version 3.1 in der 64 Bit-Version (amd64) einen Boot über UEFI.

Auf Systemen mit einem BIOS - also Systemen ohne UEFI - wird bei Verwendung von GPT eine BIOS-Boot-Partition notwendig, in der der Grub-Bootloader den Großteil seiner Funktionalität ablegen kann.

Findet der Univention Installer auf dem zu installierenden System schon einen Master Boot Record vor, kann dieser ignoriert (die Platte wird dann in der GPT-Partitionierung nicht berücksichtigt) oder die MBR-Partitionen in GPT-Partitionen konvertiert werden.

Ab UCS 3.1 optimiert der Univention Installer die Ausrichtung der Datenblöcke auf der Festplatte, um eine optimale Performance auf Festplatten mit 4k-Sektoren oder Solid State Disks zu erreichen. Bei der Umwandlung eines bestehenden Master Boot Records in eine GPT findet keine Neuausrichtung der Datenblöcke statt, so dass diese möglicherweise nicht optimal platziert sind. Eine Neupartitionierung ist daher vorzuziehen.

Die Umwandlung in eine GPT kann Auswirkungen auf andere installierte Betriebsysteme haben, insbesondere dann, wenn diese oder deren Bootloader GPT nicht unterstützen (z.B. Windows 2000, die 32 Bit-Versionen von Windows XP oder ältere Linux-Versionen).

Nach dem ersten Wechsel auf diese Einstellungsmaske bietet der Installer die automatische Partitionierung des Systems an. Nach der Zustimmung zur automatischen Partitionierung zeigt der Installer einen Partitionierungsvorschlag an, der die erste Festplatte im System unter Verwendung des Logical Volume Managers (LVM) neu partitioniert und formatiert.

Wird die Auto-Partitionierung verwendet, werden auf Nicht-UEFI-Systemen folgende Partitionen angelegt:

Auf UEFI-Systemen werden von der Auto-Partitionierung folgende Partitionen angelegt:

Die Eigenschaften der gefundenen Laufwerke, vorhandener Partitionen und LVM-Medien (Name, Grenzen einer Partition, Typ, Formatierung, Verzeichnis, unter dem die Partition eingebunden werden soll, und Größe in MB) werden in einer Tabelle angezeigt.

Um eine neue Partition anzulegen, wird der Eintrag frei des gewünschten Laufwerks ausgewählt und die Schaltfläche [F2-Erstellen] betätigt (Funktionstaste F2). Im nächsten Dialog müssen das Verzeichnis, unter dem die Partition eingebunden werden soll (Mount-Point), die Größe der anzulegenden Partition in Megabyte, das Dateisystem, welches auf der Partition erzeugt werden soll, und die Art der Partition (BIOS Boot, EFI, Daten, Swap oder LVM) angegeben werden. Wenn eine Partition für den Swap-Bereich erzeugt werden soll, muss kein Verzeichnisname angegeben werden, unter dem die Partition eingebunden werden soll. Wenn alle Einstellungen getroffen sind, ist die Schaltfläche [Speichern] zum Sichern der Einstellungen zu betätigen.

Abbildung 2.7. Partitionierung der Festplatten

Um Partitionen aus vorherigen Installationen einzubinden oder beim Anlegen neuer Partitionen vorgenommene Einstellungen zu korrigieren, wird die gewünschte Partition markiert und die Schaltfläche [F3-Editieren] betätigt (Funktionstaste F3). Es kann das Verzeichnis angegeben werden, unter dem die Partition eingebunden werden soll, das Dateisystem ausgewählt und festgelegt werden, ob die Partition formatiert werden soll. Wenn die Option Formatieren aktiviert wird, werden alle Daten auf dieser Partition gelöscht. Die Größe der Partition kann nachträglich nicht verändert werden.

Um Partitionen aus vorherigen Installationen oder neu angelegte Partitionen zu löschen, müssen die gewünschten Partitionen markiert und die Schaltfläche [F4-Löschen] betätigt werden (Funktionstaste F4).

Die manuelle Partitionierung der Festplatten kann optional unter Verwendung des Logical Volume Managers stattfinden. Vom Installer wird hierbei nur eine einzelne LVM-Medien-Gruppe (Volume Group) unterstützt, die automatisch den Namen vg_ucs trägt. Die Möglichkeit zum Anlegen von physikalischen und logischen LVM-Medien (Physical/Logical Volume) steht nur dann zur Verfügung, wenn die LVM-Unterstützung zuvor manuell aktiviert wurde oder bereits ein physikalisches LVM-Medium auf einer der angeschlossenen Festplatten vorhanden ist.

Beim Löschen von physikalischen LVM-Medien (Physical Volume) ist zu beachten, dass der Installer diesen Vorgang nur dann unterstützt, wenn zuvor alle logischen LVM-Medien über den Installer gelöscht wurden. Anderenfalls muss der Inhalt des physikalischen LVM-Mediums manuell über den Befehl pvmove auf andere physikalische LVM-Medien verschoben und das physikalische LVM-Medium mittels vgreduce und pvremove aus der LVM-Medien-Gruppe entfernt und gelöscht werden.

Nachdem die Einstellungen für eine neue Partition vorgenommen wurden, werden diese nicht umgehend aktiviert. Um die ursprünglichen Einstellungen wiederherzustellen, kann die Schaltfläche [F5-Änderungen verwerfen] betätigt werden (Funktionstaste F5). Erst über die Schaltfläche [F6-Änderungen schreiben] (Funktionstaste F6) wird die neue Partitionstabelle auf die Festplatte geschrieben und die Partitionen ggf. formatiert.

Ist mehr als eine Festplatte vorhanden, wird ein Dialog angezeigt, in dem ausgewählt werden kann, in welches Gerät der Bootloader installiert werden soll. USB-Sticks werden dabei ausgeblendet. Um die Auswahl zu erleichtern wird der Hersteller der Speichermedien angezeigt (bei Verwendung des virtio-Treibers unter KVM wird '0x1af4: Unknown' angezeigt).

Im oberen Bereich der Netzwerkkonfiguration werden alle im System verfügbaren Netzwerkkarten in einem eigenen Reiter dargestellt (es werden nur Netzwerkinterfaces im Schema ethX dargestellt). Mit F2 und F3 kann zwischen den Netzwerkkarten gewechselt werden.

Sollte keine Netzwerkkarte erkannt werden, wird vom Installer eine virtuelle Netzwerkkarte angelegt, mit der die Installation fortgesetzt werden kann.

Netzwerkschnittstellen können für IPv4 und/oder IPv6 konfiguriert werden. IPv4-Adressen haben 32 Bit Länge und werden in der Regel in vier Blöcken in Dezimalschrebweise dargestellt (z.B. 192.168.0.10), während IPv6-Adressen vier Mal so lang sind und typischerweise hexadezimal dargestellt werden (z.B. 2001:0DB8:FE29:DE27:0000:0000:0000:0001).

Abbildung 2.8. Netzwerkkonfiguration

Ist die Option DHCP aktiviert, wird versucht die IP-Adresse - und je nach Konfiguration auch Nameserver und/oder Standard-Gateway - über das Dynamic Host Configuration Protocol (DHCP) zu beziehen und automatisch zu konfigurieren. Wenn die DHCP-Anfrage fehlschlägt, wird eine zufällige Adresse aus dem Link-Local Netzwerk 169.254.0.0/16 verwendet.

Wenn die Option DHCP nicht aktiviert wird, muss eine IPv4-Adresse eingegeben werden, die an die Netzwerkkarte gebunden werden soll. Zusätzlich zur IP-Adresse muss die Netzmaske angegeben werden.

Die IPv6-Adresse kann auf zwei Arten konfiguriert werden:

Unter Globale Netzwerk-Einstellungen können weitere netzwerkbezogene Einstellungen vorgenommen werden.

Unter IPv4-Gateway und IPv6-Gateway können die für die IP-Adresse im Subnetz eingesetzten Standard-Gateways für IPv4 und IPv6 eingegeben werden. Für IPv6 ist die Angabe eines Gateways bei statischer Konfiguration erforderlich; bei dynamischer Konfiguration ist diese optional, wird jedoch empfohlen. Ein hier konfiguriertes IPv6-Gateway hat Vorrang vor Router Advertisements, die ansonsten die Route ändern könnten.

Zwei Typen von DNS-Servern werden unterschieden:

Bei der Installation eines Domänencontroller Master wird nur ein externer DNS-Server abgefragt, da im Rahmen der Installation immer ein Domänen-DNS-Server eingerichtet wird. Dieser kann dann von den anderen Systemen der Domäne verwendet werden. Über die Schaltfläche [Mehr] können weitere Nameserver aufgenommen werden.

Auch auf den Systemrollen Domänencontroller Backup und Domänencontroller Slave wird jeweils ein lokaler DNS-Server eingerichtet. Hier kann durch Angabe von Domänen-DNS-Server konfiguriert werden, welcher Server primär für die Namensauflösung verwendet wird. Während der Installation muss hier der Domänen-DNS-Server eines bereits installierten Systems angegeben werden, z.B. den des Domänencontroller Master.

Auf Memberservern und Basissystemen kann nur ein Domänen-DNS-Server angegeben werden.

Sollte außer einer virtuellen Netzwerkkarte keine Netzwerkkarte existieren, so sollte kein Nameserver angegeben werden, um längere Wartezeiten während der Installation zu vermeiden. Wenn der Nameserver während der Installation nicht erreicht werden kann, sollte dieser nicht im Univention Installer angegeben, sondern erst nach erfolgter Installation konfiguriert werden. Dies vermeidet längere Timeouts während der Installation.

Wenn das UCS-System keinen unmittelbaren Zugang zum Internet besitzt, kann unter HTTP-Proxy die URL eines Proxy-Servers angegeben werden. Über diesen Proxy erfolgen die Downloads von weiteren Updates vom Univention-Repository-Server (siehe Abschnitt 2.13). Das Format der URL lautet http://<IP-Adresse-Proxy-Server>:<Port>.

Da die Auflösung von Hostnamen während der Installation in Abhängigkeit von den installierten Komponenten nicht zu jedem Zeitpunkt sichergestellt werden kann, sollte die IP-Adresse des Proxy-Servers eingetragen werden.

Dieses Modul erscheint nicht bei den Systemrollen Domänencontroller Master und Basissystem.

Standardmäßig wird der Beitritt zu einer UCS-Domäne am Ende der Installation vorgenommenen. Durch Deaktivierung der Option Starte den Join-Vorgang am Ende der Installation kann der Beitritt unterbunden werden. Das System muss dann später über das Kommando univention-join beitreten.

Wenn ein UCS-Server-System als Nameserver in der entsprechenden Einstellungsmaske eingetragen wurde, kann der Name des Domänencontroller Master über eine DNS-Anfrage bestimmt werden. Anderenfalls muss die Option DNS nach Domain Controller Master durchsuchen deaktiviert und der vollständige Name (FQDN) des Domaincontroller Master in das Feld Systemname des DC Master eingetragen werden.

Als Join-Account wird ein Benutzerkonto bezeichnet, das berechtigt ist, Systeme der UCS-Domäne hinzuzufügen. In der Standardeinstellung ist dies der Benutzer Administrator, der bei der Installation des Domaincontroller Master angelegt wurde. Unter Passwort muss das entsprechende Passwort des Benutzerkontos angegeben werden.

Weitere Informationen zum Domänenbeitritt finden sich in Abschnitt 3.2.1.

Der Funktionsumfang eines Serversystems kann durch die Auswahl verschiedener Komponenten festgelegt werden. Folgende Komponenten sind verfügbar:

Abbildung 2.9. Softwareauswahl

Einige Software-Komponenten können nicht konfiguriert werden und werden auf allen Systemrollen vorinstalliert, z.B. die Univention Management Console, ein SSH-Server und verschiedene Kommandozeilen-Tools und Editoren.

UCS basiert auf der im professionellen Umfeld am häufigsten eingesetzten Linux-Distribution Debian. Zu den Vorzügen von Debian - und damit auch von UCS - gehört ein äußerst flexibles und durchdachtes Paket-Management. Die Installation weiterer Softwarepakete wird in Abschnitt 5.6 ausführlich beschrieben.

In diesem Dialog werden die wichtigsten vorgenommenen Einstellungen angezeigt. Sind alle Einstellungen korrekt, kann über die Schaltfläche [Installation starten] die Installation der Software veranlasst werden, siehe Abbildung Abbildung 2.10.

Mit der Option System nach der Installation aktualisieren werden verfügbare Errata-Updates automatisch installiert. Zusätzlich werden auf einem Domänencontroller Master alle verfügbaren Patch-Level-Updates und Errata-Updates installiert. Auf allen übrigen Systemrollen werden alle Patch-Level-Updates bis zum Installationsstand des Domänencontroller Master eingerichtet. (Um den Installationsstand zu prüfen, muss ein Login auf dem Domänencontroller Master erfolgen. Dazu werden die in den Join-Optionen angegebenen Anmeldedaten verwendet).

Abbildung 2.10. Installationsüberblick

Während der Installation zeigt ein Fortschrittsbalken den Verlauf der Installation an. Im unteren Bildschirmbereich finden sich Links zu weiterführenden Informationsquellen und Dokumentationen.

Abbildung 2.11. Installationsfortschritt

Das System bindet die Partitionen in den Verzeichnisbaum ein und installiert zuerst die UCS-Kernkomponenten und danach gegebenenfalls die zusätzlichen Komponenten und Pakete.

Vorausgesetzt die Option Starte den Join Vorgang am Ende der Installation wurde nicht deaktiviert, versuchen alle Rechner außer Basissysteme und Domaincontroller Master, der UCS-Domäne beizutreten, Konfigurationseinstellungen für ihre Dienste aus dem LDAP-Verzeichnis zu lesen und die Dienste entsprechend zu konfigurieren. In Abschnitt 3.2 wird beschrieben, wie der Domänenbeitritt erneut veranlasst werden kann, falls der Beitritt während der Installation fehlschlägt.

Das Installationsprotokoll des Univention Installers wird als installer.log.gz und das Protokoll der Paketinstallation als installation.log.gz im Verzeichnis /var/log/univention/ abgelegt.

Zum Abschluss der Installation muss die Eingabetaste gedrückt werden, um das System neu zu starten. Die DVD sollte vor dem Neustarts entnommen werden, damit nicht erneut von der Installations-DVD gebootet wird. Alternativ kann das BIOS des Rechners so eingestellt werden, dass erst von Festplatte und danach von DVD gebootet wird.

Das System startet nun von Festplatte. Nach dem Bootvorgang können sich der Benutzer root und Administrator auf der Kommandozeile und der Benutzer Administrator am GDM-Anmeldebildschirm mit dem während der Installation angegebenen Passwort anmelden.

Wenn der Rechner als Domänencontroller Master installiert wurde, kann nun die Lizenz eingespielt werden (siehe Abschnitt 4.2.2).

Zur Verwaltung des Systems steht unter anderem das Web-Frontend Univention Management Console (siehe Kapitel 4) zur Verfügung.

Hinweise zu eventuellen Installationsproblemen finden sich in der Univention Support Datenbank unter http://sdb.univention.de im Unterpunkt Installation.

Univention stellt für UCS ein Amazon Machine Image (AMI) für die Amazon EC2 Cloud bereit. Aus diesem generischen Image für alle UCS-Systemrollen wird eine eigene Instanz abgeleitet, die über die Univention Management Console konfiguriert wird (Domänenname, Softwareauswahl etc.).

Die Einrichtung einer UCS-Instanz auf Basis von Amazon EC2 ist im Univention Wiki dokumentiert [ec2-quickstart].

Wird UCS als Gast in VMware installiert muss als Gastbetriebssystem die Option Linux -> Anderes Linux-System ausgewählt werden (UCS basiert zwar auf Debian, die Vorlagen für Debian können aber nicht verwendet werden).

Der in UCS verwendete Linux-Kernel bringt alle nötigen Unterstützungstreiber für den Betrieb in VMware direkt mit (vmw_balloon, vmw_pvsci, vmw_vmci, vmwgfx und vmxnet3).

Die Open-Source-Variante der VMware Tools (Open VM Tools) wird mit UCS ausgeliefert. Die Tools können über das Paket open-vm-tools installiert werden (sie sind nicht zwingend notwendig, erlauben aber z.B. die Synchronisation der Zeit auf dem Virtualisierungsserver mit dem Gastsystem).

Die Einrichtung einer UCS-Instanz in Citrix XenServer ist im Univention Wiki dokumentiert [xenserver-installation].

Um das Grub-Menü korrekt darzustellen ist eine Anpassung an der XenServer-Konfiguration nötig; diese ist in [release-notes] beschrieben.

Univention Corporate Server bietet ein plattformübergreifendes Domänenkonzept mit einem gemeinsamen Vertrauenskontext zwischen Linux- und Windows-Systemen. Innerhalb dieser Domäne ist ein Benutzer mit seinem im UCS-Managementsystem hinterlegten Benutzernamen und Passwort auf allen Systemen bekannt, und kann für ihn freigeschaltete Dienste nutzen. Das Konto wird über das Managementsystem sowohl für die Windows-Anmeldung als auch für Linux/Posix-Systeme und Kerberos synchron gehalten. Die Verwaltung von Benutzerkonten ist in Kapitel 6 beschrieben.

Alle UCS- und Windowssysteme innerhalb einer UCS-Domäne verfügen über ein Domänenkonto, sobald sie der UCS-Domäne beigetreten sind. Der Domänenbeitritt wird in Abschnitt 3.2 beschrieben.

Jedes Rechnersystem, das Mitglied einer UCS-Domäne ist, besitzt eine Systemrolle. Aus dieser Systemrolle ergeben sich verschiedene Berechtigungen und Einschränkungen, die in Abschnitt 3.3 beschrieben sind.

Auf dem Domänencontroller Master wird die Certificate Authority (CA) der UCS-Domäne betrieben. Dort wird für jedes der Domäne beigetretene System ein SSL-Zertifikat generiert. Weitere Informationen finden sich in Abschnitt 3.6.

Alle domänenweiten Einstellungen werden in einem Verzeichnisdienst auf Basis von OpenLDAP vorgehalten. In Abschnitt 3.4 wird beschrieben wie der Speicherumfang durch LDAP-Schema-Erweiterungen ergänzt werden kann, wie eine revisionssichere LDAP-Protokollierung eingerichtet werden kann und wie Zugriffsberechtigungen auf das LDAP-Verzeichnis definiert werden können.

Die Replikation der Verzeichnisdaten innerhalb einer UCS-Domäne erfolgt über den Listener/Notifier-Mechanismus. Weitere Informationen finden sich in Abschnitt 3.5.

Kerberos ist ein Authentikationsverfahren um in verteilten Netzen über potentiell unsichere Verbindungen eine sichere Identifikation zu erlauben. Jede UCS-Domäne betreibt einen eigenen Kerberosvertrauenskontext (Realm). Weitere Informationen finden sich in Abschnitt 3.7

Ein UCS, Ubuntu- oder Windows-System muss nach der Installation der Domäne beitreten. Im Folgenden werden die verschiedenen Möglichkeiten hierzu vorgestellt.

Neben UCS, Ubuntu und Mac OS X können auch weitere Unix-Systeme in die Domäne integriert werden; dies ist in [ext-doc-domain] beschrieben.

3.2.2. Windows-Domänenbeitritt

Der Domänenbeitritt von Microsoft Windows-Systemen zu einer durch Samba bereitgestellten UCS-Domäne wird nachfolgend für Windows 7/8, Windows 2012 und Windows XP Professional beschrieben. Bei anderen Windows-Versionen funktioniert der Beitritt ähnlich. Neben den Client-Versionen können auch Windows Server-Systeme der Domäne beitreten. Windows-Server treten der Domäne als Memberserver bei, ein Beitritt eines Windows-Systems als Domänencontroller wird nicht unterstützt.

Nur domänenfähige Windows-Versionen können der UCS-Domäne beitreten, d.h. ein Domänenbeitritt mit den Home-Versionen von Windows ist nicht möglich.

Unter UCS können zwei verschiedene Versionen von Samba zum Einsatz kommen: Samba 3 implementiert eine Windows-Domäne auf Basis von NT-Domänentechnologie, während Samba 4 ein Active Directory-Verzeichnis nachbildet. Weitere Hinweise finden sich in Abschnitt 9.1.

Beim Domänenbeitritt wird automatisch ein Rechnerkonto für den Windows-Client erstellt (siehe Abschnitt 8.1). Angaben zu MAC- und IP-Adresse, Netzwerk, DHCP oder DNS können vor oder nach dem Domänenbeitritt in der Univention Management Console ergänzt werden.

Der Domänenbeitritt wird in der Regel mit dem lokalen Administrator-Konto des Windows-Systems durchgeführt.

Abbildung 3.1. Domänenbeitritt eines Windows 7-Systems

Der Domänenbeitritt dauert einige Zeit und sollte nicht vorzeitig abgebrochen werden. Nach einem erfolgreichen Beitritt erscheint ein kleines Fenster mit der Nachricht Willkommen in der Domäne <Domänenname>, die mit [OK] bestätigt werden muss. Abschließend muss der Rechner neu gestartet werden, um die Änderungen in Kraft zu setzen.

Domänennamen sollten auf 13 Zeichen beschränkt werden, da diese auf Seite der Windows-Clients ansonsten verkürzt dargestellt werden, was zu Anmeldefehlern führen kann.

Bei einem Domänenbeitritt gegen einen Domänencontroller auf Basis von Samba 3 muss sichergestellt werden, dass der NetBIOS-Name der Domäne auflösbar ist. Dazu ist unter Umständen ein WINS-Server zu konfigurieren (siehe Abschnitt 9.3.3.5).

Bei einem Domänenbeitritt gegen einen Domänencontroller auf Basis von Samba 4 muss die DNS-Konfiguration des Clients so eingerichtet sein, dass DNS-Einträge aus der DNS-Zone der UCS-Domäne aufgelöst werden können. Außerdem muss die Zeit auf dem Client-System mit der Zeit auf dem Domänencontroller synchronisiert sein.

3.2.2.1. Windows 8

Der Domänenbeitritt ist nur mit der Pro und Enterprise-Edition von Windows 8 möglich.

Tritt der Client einer Domäne auf Basis von Samba 3 bei, müssen vor dem Domänenbeitritt einige Einstellungen in der Windows-Registry vorgenommen werden. Eine entsprechende REG-Datei kann unter http://sdb.univention.de/1102 heruntergeladen werden. Anschließend muss das System neu gestartet werden. Dieser Schritt ist unter Samba 4 nicht nötig.

Die Systemsteuerung kann erreicht werden, indem der Mauszeiger in die rechte untere Bildschirmecke bewegt wird. Anschließend kann unter Suchen -> Apps nach der Systemsteuerung gesucht werden. Unter System und Sicherheit -> System muss auf Einstellungen ändern -> Netzwerk ID geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,<Basis-DN> eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

3.2.2.2. Windows 7

Der Domänenbeitritt ist nur mit der Professional, Enterprise oder Ultimate-Edition von Windows 7 möglich.

Tritt der Client einer Domäne auf Basis von Samba 3 bei, müssen vor dem Domänenbeitritt einige Einstellungen in der Windows-Registry vorgenommen werden. Eine entsprechende REG-Datei kann unter http://sdb.univention.de/1102 heruntergeladen werden. Anschließend muss das System neu gestartet werden. Dieser Schritt ist unter Samba 4 nicht nötig.

Über Start -> Systemsteuerung -> System und Sicherheit -> Computernamen anzeigen kann der Basiskonfigurationsdialog erreicht werden. Unter Einstellungen für Computernamen, Domäne und Arbeitsgruppe muss Einstellungen ändern gewählt werden und auf Ändern geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,<Basis-DN> eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

3.2.2.3. Windows Server 2012

Tritt der Server einer Domäne auf Basis von Samba 3 bei, müssen vor dem Domänenbeitritt einige Einstellungen in der Windows-Registry vorgenommen werden. Eine entsprechende REG-Datei kann unter http://sdb.univention.de/1102 heruntergeladen werden. Anschließend muss das System neu gestartet werden. Dieser Schritt ist unter Samba 4 nicht nötig.

Die Systemsteuerung kann erreicht werden, indem der Mauszeiger in die rechte untere Bildschirmecke bewegt wird. Anschließend kann unter Suchen -> Apps nach der Systemsteuerung gesucht werden. Unter System und Sicherheit -> System muss auf Einstellungen ändern -> Netzwerk ID geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,<Basis-DN> eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

3.2.2.4. Windows XP Professional

Über einen Rechtsklick auf den Eintrag Arbeitsplatz im Startmenü kann der Dialog zum Domänenbeitritt erreicht werden. Dort muss Eigenschaften -> Computername -> Ändern ausgewählt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,<Basis-DN> eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

3.2.4. Mac OS X-Domänenbeitritt

UCS unterstützt den Domänenbeitritt von Mac OS X-Clients in eine UCS-Umgebung mit Samba 4. Diese Anleitung bezieht sich auf Mac OS X 10.8.2.

Der Domänenbeitritt kann über das Systemeinstellungsmenü oder den Kommandozeilenbefehl dsconfigad erfolgen.

Nach erfolgtem Domänenbeitritt besteht die Möglichkeit CIFS-Freigaben zu definieren, die bei der Anmeldung eines Benutzers unterhalb von /Volumes automatisch eingehängt werden. Um dies zu erreichen, muss die folgende Zeile in die Datei /etc/auto_master eingefügt werden:

/Volumes    auto_custom

Außerdem muss die Datei /etc/auto_custom angelegt werden und die einzubindenden Freigaben dort in der folgenden Form aufgeführt werden:

<subfolder name>    -fstype=smbfs    ://<fqdn>/<sharename>

Die eingebundenen Freigaben werden nicht in der Seitenleiste des Finders angezeigt.

3.2.4.1. Domänenbeitritt über das Systemeinstellungen-Menü

In den Systemeinstellungen kann über Benutzer das Menü Anmeldeoptionen ausgewählt werden. Die Anmeldung erfolgt durch einen Klick auf das Schloss in der linken unteren Ecke, dort muss das lokale Administrator-Konto und dessen Passwort angegeben und Netzwerk-Account-Server: Verbinden angeklickt werden.

Abbildung 3.2. Domänenbeitritt eines Mac OS X-Systems

In den erweiterten Einstellungen sollte die Option Mobilen Account bei Anmeldung erstellen aktiviert werden. Sie bietet den Vorteil, das auch ohne Verbindung zur Domäne eine Anmeldung mit der Domänenbenutzerkennung erfolgen kann

Der Domänenname muss nun im Feld Active Directory Domain und der Rechnername des Mac OS X-Clients in das Feld Computer-ID eingetragen werden. Der Domänenbeitritt erfolgt nach einem Klick auf OK. Für den Domänenbeitritt muss ein Konto aus der Gruppen Domain Admins verwendet werden, z.B. Administrator.

3.2.4.2. Domänenbeitritt auf den Kommandozeile

Der Domänenbeitritt kann auch auf der Kommandozeile mit dem Befehl dsconfigad erfolgen:

dsconfigad -a <mac hostname> -domain <fqdn> -ou "CN=Computers,<ldap_base>" \
  -u <Domain Administrator> -mobile enable

Weitere Optionen werden mit dsconfigad -help angezeigt.

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Im Folgenden werden die verschiedenen Systemrollen kurz charakterisiert:

Univention Corporate Server speichert domänenweit vorgehaltene Daten in einem LDAP-Verzeichnisdienst auf Basis von OpenLDAP. Dieses Kapitel beschreibt die weitergehende Konfiguration und Anpassung von OpenLDAP.

In einer UCS-Domäne werden oft mehrere LDAP-Server betrieben. Die Konfiguration des/der verwendeten Server(s) wird in Abschnitt 8.4.5 beschrieben.

START
Old Hash: Hashsumme des vorhergehenden Datensatzes
DN: DN des LDAP-Objekts
ID: Listener/Notifer-Transaktions-ID
Modifier: DN des ändernden Kontos
Timestamp: Zeitstempel im Format dd.mm.yyyy hh:mm:ss
Action: add, modify oder delete

Old Values:
 Liste der alten Attribute, ist leer wenn ein Objekt hinzugefügt wird
New Values:
 Liste der neuen Attribute, ist leer wenn ein Objekt gelöscht wird
END

univention-ldapsearch uid=Administrator

slapcat > ldapdaten.txt

Unter UCS werden sensitive Daten immer verschlüsselt über das Netzwerk übertragen, zum Beispiel durch die Verwendung von SSH für den Login auf Systeme oder durch Verwendung von Protokollen auf Basis von SSL/TLS. (Transport Layer Security (TLS) ist der aktuelle Protokollname, der Name des Vorgängerprotokolls Secure Socket Layer (SSL) ist jedoch weiterhin gebräuchlicher und wird auch in dieser Dokumentation verwendet).

SSL/TLS kommt beispielsweise bei der Listener/Notifier-Domänenreplikation oder beim HTTPS-Zugriff auf die Univention Management Console zum Einsatz.

Für eine verschlüsselte Kommunikation zwischen zwei Rechnern müssen beide Kommunikationspartner die Authentizität des verwendeten Schlüssels prüfen können. Dafür besitzt jeder Rechner ein so genanntes Rechnerzertifikat, das von einer Zertifizierungsstelle (Certification Authority, CA) herausgegeben und signiert wird.

UCS bringt seine eigene CA mit, die bei der Installation des Domänencontroller Master automatisch eingerichtet wird und von der jedes UCS-System im Rahmen des Domänenbeitritts automatisch ein Zertifikat für sich selbst und das öffentliche Zertifikat der CA bezieht. Diese CA tritt als Root-CA auf, signiert ihr eigenes Zertifikat, und kann Zertifikate für andere Zertifizierungsstellen signieren.

Die Eigenschaften der CA werden bei der Installation basierend auf Systemeinstellungen wie der Locale automatisch festgelegt. Diese Einstellungen können auf dem Domänencontroller Master im UMC-Modul Basis-Einstellungen unter dem Reiter Zertifikat nachträglich angepasst werden.

Die UCS-CA befindet sich immer auf dem Domänencontroller Master. Auf jedem Domänencontroller Backup wird eine Kopie der CA vorgehalten, die über einen Cronjob standardmäßig alle 20 Minuten mit der CA auf dem Domänencontroller Master synchronisiert wird.

Wird ein Domänencontroller Backup zum Domänencontroller Master hochgestuft (siehe Abschnitt 3.9), so kann die CA auf dem dann neuen Domänencontroller Master direkt verwendet werden.

Das UCS-Root-Zertifikat hat - ebenso wie die damit erstellten Rechnerzertifikate - einen bestimmten Gültigkeitszeitraum.

Die Erneuerung des Root-Zertifikats und der übrigen Rechnerzertifikate ist in [sdb-sslchange] dokumentiert.

Auf UCS-Systemen überprüft ein Cronjob täglich die Gültigkeit des lokalen Rechnerzertifikats und des Root-Zertifikats und schreibt das Ablaufdatum in die Univention Configuration Registry-Variablen ssl/validity/host (Rechnerzertifikat) und ssl/validity/root (Root-Zertifikat). Die dort angegebenen Werte spiegeln die Anzahl der Tage seit dem 1.1.1970 wieder.

In der Übersichtsseite der Univention Management Console - erreichbar durch einen Klick auf das Fragezeichen in der oberen Bildleiste - wird unter Über UMC auch das effektive Ablaufdatum des Rechner- und Root-Zertifikats angezeigt.

Kerberos ist ein Authentikationsverfahren um in verteilten Netzen über potentiell unsichere Verbindungen eine sichere Identifikation zu erlauben. Alle Clients verwenden dabei eine gemeinsame Vertrauensbasis, das Key Distribution Centre (KDC). Ein Client authentifiziert sich bei diesem KDC und erhält ein Authentizierungs-Token, das sogenannte Ticket, das zur Authentizierung innerhalb einer Kerberos-Umgebung (der sogenannten Kerberos Realm) verwendet werden kann. Der Name der Kerberos Realm wird im Rahmen der Installation des Domänencontroller Master konfiguriert und in der Univention Configuration Registry-Variable kerberos/realm gespeichert. Der Name der Kerberos-Realm kann nachträglich nicht angepasst werden.

Tickets sind standardmäßig acht Stunden gültig; für eine Kerberos-Domäne ist deshalb eine synchrone Systemzeit zwischen den Systemen der Kerberos Realm essentiell.

In Univention Corporate Server wird die Kerberos-Implementierung Heimdal verwendet. Auf UCS-Domänencontroller-Systemen ohne Samba 4 wird ein eigenständiger Heimdal-Dienst gestartet, während auf Samba 4-DCs Kerberos durch eine in Samba integrierte Heimdal-Version bereitgestellt wird. Verwendet man eine gemischte Umgebung aus UCS-Domänencontrollern mit Samba 4 und UCS-Domänencontrollern ohne Samba 4, so basieren beide Kerberos-Umgebungen auf identischen Daten (diese werden zwischen Samba 4 und OpenLDAP durch den Univention S4 Connector synchronisiert (siehe Abschnitt 9.2.2.4)).

Standardmäßig wird der KDC über einen DNS-Servicerecord ausgewählt. Der von einem System verwendete KDC kann durch die Univention Configuration Registry-Variable kerberos/kdc umkonfiguriert werden. Wird Samba 4 auf einem System der Domäne installiert, wird der Servicerecord umkonfiguriert, so dass nur noch die KDCs auf Samba 4-Basis angeboten werden. In einer gemischten Umgebung ist es empfehlenswert nur noch die Samba 4-KDCs zu verwenden.

Auf dem Domänencontroller Master läuft der Kerberos-Adminserver, auf dem administrative Einstellungen der Domäne vorgenommen werden können. Die meisten Einstellungen werden in Univention Corporate Server aus dem LDAP-Verzeichnis bezogen, so dass die wichtigste verbleibende Funktion das Ändern von Passwörtern darstellt. Diese können durch das Tool kpasswd geändert werden und werden dann auch im LDAP verändert. Der Kerberos Adminserver kann auf einem System durch die Univention Configuration Registry-Variable kerberos/adminserver konfiguriert werden.

SAML (Security Assertion Markup Language) ist ein XML-basierter Standard zum Austausch von Authentifizierungsinformationen, der u.a. Single-Sign-On über Domänengrenzen hinweg erlaubt. UCS stellt einen SAML Identity Provider bereit: Der externe Dienst (z.B. Salesforce) wird dabei über ein kryptografisches Zertifikat fest registriert und vertraut dann dem Identity Provider. Der Benutzer authentifiziert sich dann nur noch in UCS und kann den eingebundenen Dienst ohne erneute Authentifizierung nutzen.

Der SAML Identity Provider kann über das Univention App Center installiert werden (siehe Abschnitt 5.3). Die Registrierung von Diensten und die Freigabe von Diensten für einzelne Benutzer wird unter [wiki-saml] beschrieben.

Ein Domänencontroller Backup speichert alle Domänendaten und alle SSL-Sicherheitszertifikate als Kopie, im Gegensatz zum Domänencontroller Master können jedoch keine schreibenden Änderungen vorgenommen werden.

Jeder Domänencontroller Backup kann zu einem Domänencontroller Master umgewandelt werden. Hierfür gibt es zwei typische Anwendungsfälle:

Die Umwandlung umfasst primär die Umstellung der für die Authentifizierung relevanten Dienste wie LDAP, Kerberos oder Samba. Der Abgleich der installierten Software muss manuell erfolgen (z.B. mit dem Univention Management Console-Modul Basis-Einstellungen). Wenn also z.B. auf dem vorherigen DC Master die Mailkomponente installiert war, ist diese nach der Umwandlung nicht automatisch auf dem neuen DC Master verfügbar.

Wurden auf dem Domänencontroller Master zusätzliche LDAP-Schema-Pakete installiert, so müssen diese vor der Umwandlung auch auf dem Domänencontroller Backup installiert werden. Die Paketliste des alten Domänencontroller Master sollte vor der Umstellung gesichert werden, um einen Abgleich der installierten Pakete zu erlauben. Die Paketliste kann mit dem folgenden Befehl erstellt werden:

COLUMNS=200 dpkg --list > dateiliste.txt

Darüberhinaus sollte der Univention Configuration Registry-Datenbestand gespeichert werden, um Konfigurationsanpassungen auch auf dem neuen Domänencontroller Master abgleichen zu können. Dies kann mit dem folgenden Befehl erfolgen:

ucr dump > ucr.txt

Die Umwandlung eines DC Backup zum neuen DC Master erfolgt durch Aufruf des Befehls /usr/lib/univention-ldap/univention-backup2master. Das System muss anschließend neu gestartet werden. Die Umstellung wird in der Logdatei /var/log/univention/backup2master.log protokolliert.

Der Rechnername und/oder die IP-Adresse des Domänencontroller Master wird im Rahmen der Umwandlung in allen aus dem UCS-LDAP oder durch Univention Configuration Registry verwalteten Konfigurationen automatisch auf den neuen Namen angepasst. Wird der Name in Konfigurationsdateien oder auf Systemen referenziert, die nicht durch Univention Configuration Registry verwaltet werden, muss er nach der Umwandlung angepasst werden.

Univention Management Console (UMC) ist das zentrale Werkzeug zur webbasierten Administration der UCS-Domäne. UMC unterstützt zwei grundlegende Arten von Modulen:

Abschnitt 4.2 beschreibt die Bedienung der Univention Management Console. In Abschnitt 4.6 wird beschrieben, wie der Funktionsumfang der Domänenverwaltung durch erweiterte Attribute ergänzt werden kann.

Die Domänendaten können durch Univention Directory Reports exportiert und ausgewertet werden, siehe Abschnitt 4.10.

Der Univention Directory Manager - die Kommandozeilenschnittstelle der Domänenverwaltung - wird in Abschnitt 4.9 beschrieben.

Bei Verwendung der Free for personal use-Version von UCS (die in der Regel für Evaluationen von UCS herangezogen wird) werden anonyme Nutzungsstatistiken zur Verwendung der Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung der Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der Free-for-Personal-Use-Lizenz. Der Lizenzstatus kann durch einen Klick auf das Zahnrad-Symbol in der rechten, oberen Ecke der Univention Management Console und die Auswahl von Lizenz geprüft werden. Steht hier unter LDAP-Basis Free for personal use edition wird eine solche Version verwendet. Bei Einsatz einer regulären UCS-Lizenz erfolgt keine Teilnahme an der Nutzungsstatistik.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry-Variable umc/web/piwik auf false deaktiviert werden.

Über das Domänen-Modul LDAP-Verzeichnis kann durch das LDAP-Verzeichnis navigiert werden. Dabei können auch Objekte im LDAP-Verzeichnis erzeugt, modifiziert oder gelöscht werden.

Abbildung 4.5. Navigation im LDAP-Verzeichnis

In der linken Bildschirmhälfte ist das LDAP-Verzeichnis in einer Baumstruktur dargestellt, deren Unterelemente durch die Symbole mit dem Plus- und Minuszeichen ein- und ausgeblendet werden können.

Durch Klick auf ein Element der Baumstruktur wird an diese LDAP-Position gewechselt und in der Übersichtsliste auf der linken Bildschirmhälfte, die an dieser LDAP-Position befindlichen Objekte angezeigt. Über die Auswahlliste LDAP-Objekttyp kann die Anzeige auf ausgewählte Attribute eingeschränkt werden.

Mit der Option Hinzufügen können hier auch neue Objekte eingefügt werden. Analog zu den in Abschnitt 4.2 beschriebenen Bedienelementen können hier auch bestehende Objekte editiert, gelöscht oder verschoben werden.

Abbildung 4.6. Bearbeiten von LDAP-Container-Einstellungen

Durch Rechtsklick auf ein Element der Baumstruktur können über Bearbeiten die Eigenschaften des Containers oder der LDAP-Basis bearbeitet werden.

Richtlinien beschreiben administrative Einstellungen, die sinnvoll auf mehr als ein Objekt angewendet werden können. Sie erleichtern die Administration, in dem sie an Container gebunden werden und dann für alle in dem betreffenden Container befindlichen Objekte, sowie die in Unterordnern befindlichen Objekte gelten. Die Einstellungen werden nach dem Prinzip der Vererbung angewendet. Auf ein Objekt wird immer der Wert angewandt, der dem Objekt am nächsten liegt.

Soll z.B. für alle Benutzer eines Standorts das gleiche Passwortablaufintervall definiert werden, kann für diese Benutzer ein eigener Container angelegt werden. Nachdem die Benutzer-Objekte in den Container verschoben wurden, kann eine Passwort-Richtlinie mit dem Container verknüpft werden. Diese Richtlinie gilt für alle enthaltenen Benutzer-Objekte.

Eine Ausnahme bilden Werte, die in einer Richtlinie als festgelegte Attribute gesetzt wurden. Diese können von nachgeordneten Richtlinien nicht überschrieben werden.

Mit dem Kommandozeilenprogramm univention-policy-result kann detailliert angezeigt werden, welche Richtlinie auf ein Verzeichnisdienst-Objekt greift.

Jede Richtlinie gilt für einen bestimmten UMC-Domänen-Objekt-Typ, also z.B. für Benutzer oder DHCP-Subnetze.

Eine Richtlinie muss zuerst angelegt werden, bevor sie einem Container oder einem LDAP-Objekt zugewiesen werden kann.

Die Domänenverwaltung der Univention Management Console ermöglicht die umfassende Verwaltung der Daten einer Domäne. Erweiterte Attribute bieten eine Möglichkeit, neue Attribute in die Domänenverwaltung zu integrieren, die durch den UCS-Standardumfang nicht abgedeckt sind. Erweiterte Attribute werden auch von Drittanbietern für die Integration von Lösungen in UCS eingesetzt.

Erweiterte Attribute werden im Modul LDAP-Verzeichnis der Univention Management Console verwaltet. Sie befinden sich im Container univention und dessen Untercontainer custom attributes. Hier können bestehende Attribute bearbeitet werden oder mit Hinzufügen ein Objekt vom Typ Einstellungen: Erweitertes Attribut angelegt werden.

Abbildung 4.7. Erweitertes Attribut zur Verwaltung von KFZ-Kennzeichen

Erweiterte Attribute können internationalisiert werden. In diesem Fall sollten Namen und Beschreibungen in Englisch verfasst werden, da dies der Standardsprache des Univention Management Console entspricht.

Container und Organisationseinheiten (OU) dienen der Strukturierung der Daten im LDAP-Verzeichnis. Technisch unterscheiden sich beide Typen nicht, sondern eher in der Anwendung:

Container und Organisationseinheiten werden im Modul LDAP-Verzeichnis der Univention Management Console verwaltet und werden mit Hinzufügen und den Objekt-Typen Container: Container und Container: Organisationseinheit angelegt.

Container und OUs dürfen prinzipiell an jeder beliebigen Position im LDAP eingefügt werden, OUs können aber nicht unterhalb von Containern angelegt werden.

In der Grundeinstellung können nur die Mitglieder der Gruppe Domain Admins alle UMC-Module aufrufen. Über Richtlinien kann für Gruppen oder einzelne Benutzer konfiguriert werden, welche Module angezeigt werden. Dies kann beispielsweise verwendet werden, um einem Helpdesk-Team die Berechtigung zu erteilen Drucker zu verwalten ohne ihnen Vollzugriff auf die Administration der Domäne zu erteilen.

UMC unterstützt zwei grundlegende Arten von Modulen:

Die Zuweisung von UMC-Modulen erfolgt über eine UMC-Richtlinie, die Benutzer- und Gruppenobjekten zugewiesen werden kann. Die Auswertung erfolgt dabei additiv, d.h. man kann allgemeine Zugriffsrechte durch ACLs auf Gruppenmitgliedschaften erteilen und durch ACLs auf Benutzer ergänzen.

Allgemeine Hinweise zur Richtlinienverwaltung finden sich in Abschnitt 4.5.

Der Univention Directory Manager ist die Kommandozeilenschnittstelle der Domänenverwaltungsfunktionalität von Univention Management Console. Er ergänzt die webbasierte Schnittstelle der Univention Management Console und dient als mächtiges Werkzeug für die Automatisierung administrativer Vorgängen in Skripten und zur Integration in andere Programme.

Univention Directory Manager wird als Benutzer root auf dem Domänencontroller Master mit dem Befehl univention-directory-manager (Kurzform udm) aufgerufen

Univention Management Console und Univention Directory Manager verwenden dieselben Domänen-Verwaltungsmodule, d.h. alle Funktionen der Webschnittstelle stehen auch im Kommandozeilen-Interface zur Verfügung.

# univention-directory-manager modules
Available Modules are:
  computers/managedclient
  computers/computer
  computers/domaincontroller_backup
  computers/domaincontroller_master
  computers/domaincontroller_slave
 [...]

univention-directory-manager users/user move
[...]
create options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]
modify options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Edit object with DN
[...]
remove options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Remove object with DN
  --arg                            Remove object with ARG
[...]
list options:
  --filter                         Lookup filter
[...]
move options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]

univention-directory-manager <Kategorie/Modulname>

users/user variables:
  General:
    username (*)                             Username
[...]
  Contact:
    e-mail (person,[])                       E-Mail Address

univention-directory-manager users/user create \
    --position "cn=users,dc=example,dc=com" \
    --set username="user01" \
    --set firstname="Random" \
    --set lastname="User" \
    --set organisation="Example company LLC" \
    --set mailPrimaryAddress="mail@example.com" \
    --set password="secretpassword"

univention-directory-manager users/user modify \
    --dn "uid=user01,cn=users,dc=example,dc=com" \
    --set street="Exemplary Road 42" \
    --set postcode="28239" \
    --set city="Bremen"

univention-directory-manager users/user list \
    --filter uid=user*

univention-directory-manager users/user list \
    --filter uid="user*" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager users/user remove \
    --dn "uid=user04,cn=users,dc=example,dc=com"

univention-directory-manager users/user move \
    --dn "uid=user03,cn=hamburg,cn=users,dc=example,dc=com" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager groups/group create \
    --position "cn=groups,dc=example,dc=com" \
    --set name="Example Users" \
    --set users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --append users="uid=user02,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --remove users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager container/cn create \
    --position "cn=computers,dc=example,dc=com" \
    --set name="bremen" \
    --set computerPath=1

univention-directory-manager policies/mailquota create \
    --position "cn=policies,dc=example,dc=com" \
    --set name="Default quota" \
    --set MailQuota=1024

univention-directory-manager container/cn modify \
    --dn "cn=users,dc=example,dc=com" \
    --policy-reference "cn=Default quota,cn=policies,dc=example,dc=com"

univention-directory-manager policies/registry create \
    --position "cn=config-registry,cn=policies,dc=example,dc=com" \
    --set name="default UCR settings" \
    --set registry="logrotate/rotate/count 52"

univention-directory-manager policies/registry modify \
    --dn "cn=default UCR settings,cn=config-registry,"\
"cn=policies,dc=example,dc=com" \
    --append registry='"logrotate/compress" "no"'

univention-directory-manager computers/windows create \
    --position "cn=computers,dc=example,dc=com" \
    --set name=WinClient01 \
    --set mac=aa:bb:cc:aa:bb:cc \
    --set ip=192.168.0.10

univention-directory-manager shares/share create \
    --position "cn=shares,dc=example,dc=com" \
    --set name="Documentation" \
    --set host="fileserver.example.com" \
    --set path="/var/shares/documentation"

univention-directory-manager shares/printer create \
    --position "cn=printers,dc=example,dc=com" \
    --set name="LaserPrinter01"  \
    --set spoolHost="printserver.example.com" \
    --set uri="ipp:// 192.168.0.100" \
    --set model="foomatic-rip/HP-Color_LaserJet_9500-Postscript.ppd" \
    --set location="Head office" \
    --set producer="producer: "\
"cn=HP,cn=cups,cn=univention,dc=example,dc=com"

univention-directory-manager shares/printergroup create \
    --set name=LaserPrinters \
    --set spoolHost="printserver.example.com" \
    --append groupMember=LaserPrinter01 \
    --append groupMember=LaserPrinter02

univention-directory-manager dhcp/host create \
    --superordinate "cn=example.com,cn=dhcp,dc=example,dc=com" \
    --set host="Client222" \
    --set fixedaddress="192.168.0.110" \
    --set hwaddress="ethernet 00:11:22:33:44:55"

univention-directory-manager dns/host_record create \
    --superordinate "zoneName=example.com,cn=dns,dc=example,dc=com" \
    --set name="Client222" \
    --set a="192.168.0.110"

univention-directory-manager dns/ptr_record create \
    --superordinate "zoneName=0.168.192.in-addr.arpa,cn=dns,"\
"dc=example,dc=com" \
    --set address="110" \
    --set ptr_record="Client222.example.com."

univention-directory-manager settings/extended_attribute create \
    --position "cn=custom attributes,cn=univention,dc=example,dc=com" \
    --set name="CarLicense" \
    --set module="users/user" \
    --set ldapMapping="univentionFreeAttribute1" \
    --set objectClass="univentionFreeAttributes" \
    --set longDescription="License plate number of the company car" \
    --set tabName="Company car" \
    --set multivalue=0 \
    --set syntax="string" \
    --set shortDescription="Car license"

Univention Directory Reports bietet die Möglichkeit vordefinierte Reports zu beliebigen im Verzeichnisdienst verwalteten Objekten zu erstellen.

Die Struktur der Reports wird dabei durch Vorlagen definiert. Die dafür entwickelte Beschreibungssprache ermöglicht die Verwendung von Platzhaltern, die durch die Werte aus dem LDAP-Verzeichnis ersetzt werden. Es können dabei beliebig viele Reportvorlagen vorgegeben werden. So können beispielsweise für Benutzer wahlweise sehr detaillierte Reports oder nur einfache Adresslisten erstellt werden.

Die Erstellung von Reports ist direkt in die Weboberfläche der Univention Management Console integriert. Alternativ kann das Kommandozeilenprogramm univention-directory-reports verwendet werden.

Im Auslieferungszustand werden sechs Reportvorlagen von Univention Directory Reports bereitgestellt, die für Benutzer, Gruppen und Rechner verwendet werden können. Drei Vorlagen erzeugen PDF-Dokumente und drei Vorlagen CSV-Dateien, die als Import-Quelle für andere Programme verwendet werden können. Weitere Vorlagen können erstellt und registriert werden.

Reports können über ein Kommandozeilenprogramm oder über das Web-Interface der Univention Management Console erstellt werden.

4.10.1. Erstellen von Reports in der Univention Management Console

Um einen Report zu erstellen, muss in die Domänen-Module für Benutzer, Gruppen oder Rechner gewechselt werden. Anschließend müssen alle vom Report erfassten Objekte ausgewählt werden (durch einen Klick auf den Button links von Name können alle Objekte selektiert werden). Ein Klick auf Mehr -> Report erstellen ermöglicht die Auswahl zwischen dem Standard-Report im PDF-Format und dem CSV-Report im CSV-Format.

Abbildung 4.8. Erstellen eines Reports

Die über Univention Directory Manager erzeugten Reports werden für 12 Stunden aufbewahrt und danach durch einen Cron-Job entfernt. Die Einstellungen, wann dieser Cron-Job laufen soll und wie lange diese Reports aufbewahrt werden sollen, kann über zwei Univention Configuration Registry-Variablen definiert werden:

• directory/reports/cleanup/cron definiert den Zeitpunkt zu dem der Cron-Job ausgeführt werden soll.
• directory/reports/cleanup/age bestimmt das maximale Alter eines Report-Dokumentes in Sekunden bevor es gelöscht wird.

univention-directory-reports -m users/user -l

Die in UCS integrierte Softwareverteilung bietet umfangreiche Möglichkeiten für den Rollout und die Aktualisierung von UCS-Installationen. Sicherheits- und Versionsupdates können dabei über ein Online-Update installiert werden.

Für größere Installationen besteht die Möglichkeit, einen lokalen Repository-Server einzurichten, von dem dann alle weiteren Aktualisierungen durchgeführt werden. Dieser Repository-Server bezieht seine Pakete entweder vom Univention-Online-Repository oder in Umgebungen ohne Internetzugriff auch durch Offline-Updates in Form von ISO-Images (siehe Abschnitt 5.4).

UCS-Systeme können über die Univention Management Console, über ein Kommandozeilen-Tool und richtliniengesteuert aktualisiert werden. Dies wird in Abschnitt 5.5 beschrieben. Die UCS-Softwareverteilung unterstützt nicht die Aktualisierung von Microsoft Windows-Systemen. Hierfür ist eine zusätzliche Windows-Softwareverteilung nötig.

Die Erstinstallation von UCS-Systemen ist nicht Bestandteil dieses Kapitels und wird stattdessen in Kapitel 2 beschrieben.

Der Funktionsumfang einer UCS-Installation kann durch die Einbindung weiterer Repository-Komponenten erweitert werden, siehe Abschnitt 5.8. Solche Komponenten werden sowohl von Univention (z.B. für das auf UCS aufbauende UCS DVS), wie auch von Drittanbietern bereitgestellt.

Die UCS-Softwareverteilung basiert auf den unterliegenden Debian-Paketmanagement-Tools, wird aber durch UCS-spezifische Werkzeuge ergänzt. Die verschiedenen Werkzeuge zur Installation von Software werden in Abschnitt 5.6 vorgestellt.

Die Installation von Versions- und Sicherheitsupdates kann über Richtlinien automatisiert werden, siehe Abschnitt 5.7

Mit dem Software-Monitor steht ein Werkzeug zur Verfügung, mit dem alle Paketinstallationsstände zentral in einer Datenbank erfasst werden, siehe Abschnitt 5.9.

Vier Arten von UCS-Updates werden unterschieden:

Jede ausgelieferte UCS-Version besitzt eine eindeutige Versionsbezeichnung; sie besteht aus einer Zahl (der Majorversion), einem Punkt, einer zweiten Zahl (der Minorversion) einem Bindestrich und einer dritten Zahl (der Patchlevelversion). Mit der Version UCS 3.2-1 wird also das erste Patchlevel-Update für das zweite Minor Update für das Major-Release UCS 3 bezeichnet.

Vor jedem Release-Update wird das Pre-update-Skript preup.sh aufgerufen. Dieses prüft z.B. ob Probleme bestehen und bricht das Update dann kontrolliert ab. Nach dem Update wird das Post-Update-Skript postup.sh aufgerufen, das ggf. weitere Aufräumarbeiten durchführt.

Errata-Updates beziehen sich immer auf bestimmte Minor-Releases, also beispielsweise für UCS 3.0. Errata-Updates können in der Regel für alle Patchlevelversionen eines Minor Releases installiert werden.

Wenn neue Release- oder Errata-Updates verfügbar sind, wird bei der Anmeldung an der Univention Management Console ein entsprechender Hinweis ausgegeben.

Die Verfügbarkeit neuer Updates wird außerdem per E-Mail angekündigt, entsprechende Newsletter - getrennt nach Release- und Errata-Updates - können auf der Univention-Webseite abonniert werden.

Unter http://errata.univention.de/ wird zusätzlich eine Übersicht aller Errata-Updates bereitgestellt.

Zu jedem Release-Update wird ein Release-Notes-Dokument veröffentlicht, in dem die aktualisierten Pakete, Hinweise zu Fehlerkorrekturen und neuen Funktionen aufgeführt sind.

Das Univention App Center erlaubt die einfache Einbindung von Softwarekomponenten in eine UCS-Installation. Die Applikationen werden sowohl von Drittanbietern wie auch von Univention selbst (z.B. UCS@school) bereitgestellt. Die Maintenance und der Support für die Applikationen erfolgt durch den jeweiligen Hersteller.

Abbildung 5.1. Überblick der verfügbaren Applikationen im App Center

Das Univention App Center kann über das UMC-Modul App Center aufgerufen werden. Unter Applikationen werden die verfügbaren Softwarekomponenten aufgeführt. Mit Suchbegriff kann die Liste der angezeigten Applikationen eingeschränkt werden, außerdem können die Applikationen anhand der Kategorien geordnet werden.

Klickt man auf eine der angezeigten Applikationen, werden weitergehende Details zu der Komponente angezeigt (u.a. Beschreibung, Hersteller, Ansprechpartner und ein Screenshot). Im Feld Benachrichtigung wird angezeigt, ob der Hersteller der Softwarekomponente bei der Installation/Deinstallation benachrichtigt wird. Informationen zur Lizenzierung können bei einigen Applikationen direkt über einen Kaufen Button in der unteren Bildleiste bezogen werden. Für alle anderen Applikationen muss der Hersteller der Applikation über die unter Kontakt angezeigt E-Mail-Adresse kontaktiert werden.

Abbildung 5.2. Details einer Applikation im App Center

Einige Applikationen sind möglicherweise inkompatibel mit anderen Softwarepaketen aus UCS. So setzen beispielsweise die meisten Groupwarepakete voraus, dass der UCS-Mailstack deinstalliert ist. Jede Applikation prüft, ob inkompatible Versionen installiert sind und gibt einen Hinweis, welche Konflikte bestehen und wie sie beseitigt werden können. Die Installation dieser Pakete wird dann zurückgehalten, bis die Konflikte beseitigt sind.

Viele Komponenten integrieren Pakete, die auf dem Domänencontroller Master installiert werden müssen (in der Regel LDAP-Schema-Erweiterungen oder Erweiterungen für das UCS-Managementsystem). Diese Pakete werden automatisch auf dem Domänencontroller Master installiert. Ist dieser nicht erreichbar, wird die Installation abgebrochen. Außerdem werden die Pakete auf allen erreichbaren Domänencontroller Backup-Systemen eingerichtet.

Nach der Installation einer Applikation werden nach einem Klick auf das Icon einer Applikation eine oder mehrere neue Optionen angezeigt: Deinstallieren entfernt eine Applikation. Öffnen verweist auf eine Webseite oder ein UMC-Modul, mit dem die installierte Applikation weitergehend konfiguriert oder verwendet werden kann. Installiert man beispielsweise die Horde-Applikation, führt dieser Link auf den Login-Dialog. Bei Applikationen ohne Webinterface oder UMC-Modul wird die Option nicht angezeigt.

Aktualisierungen für Applikationen erfolgen unabhängig von den Release-Zyklen für Univention Corporate Server. Ist eine neue Version einer Applikation verfügbar, wird der Menüpunkt Aktualisieren angezeigt, der die Installation der neuen Version startet. Wenn Aktualisierungen verfügbar sind, wird außerdem im UMC-Modul Software-Aktualisierung Univention Management Console ein entsprechender Hinweis ausgegeben.

Eine Übersicht über die vorhandenen Applikationen kann in der UMC-Startseite unter Installierte Applikationen abgerufen werden.

Installationen und das Entfernen von Paketen werden in der Logdatei /var/log/univention/management-console-module-appcenter.log protokolliert.

Paketinstallationen und Updates können entweder vom Univention-Update-Server oder von einem lokal gepflegten Repository durchgeführt werden. Ein lokales Repository ist sinnvoll, wenn viele UCS-Systeme zu aktualisieren sind, da Updates in diesem Fall nur einmalig heruntergeladen werden müssen. Da Repositorys auch offline aktualisiert werden können, ermöglicht ein lokales Repository auch die Aktualisierung von UCS-Umgebungen ohne Internetanbindung.

Anhand der registrierten Einstellungen werden apt-Paketquellen für Release- und Errata-Updates und Addon-Komponenten im Verzeichnis /etc/apt/sources.list.d automatisch generiert. Sollten auf einem System weitere Repositorys benötigt werden, können diese in die Datei /etc/apt/sources.list eingetragen werden.

Bei einer Neuinstallation wird in der Grundeinstellung das Univention-Repository updates.software-univention.de verwendet.

Das Univention-Repository und andere Repository-Komponenten unterscheiden zwischen zwei Bestandteilen:

Ein lokales Repository kann - gerade bei Einbindung des unmaintained-Zweiges - viel Plattenplatz in Anspruch nehmen.

ucr set repository/online/architectures="i386 amd64"
univention-repository-update net

univention-repository-update -h

UCS-Systeme können auf zwei Wegen aktualisiert werden; entweder pro einzelnem System (über die Univention Management Console oder auf der Kommandozeile) oder für größere Gruppen von UCS-Systemen automatisiert über eine Rechner-Richtlinie der Univention Management Console.

5.5.2. Aktualisierung eines einzelnen Systems in der Univention Management Console

Mit dem Software-Aktualisierung-Modul der Univention Management Console können Versions- und Errata-Updates installiert werden.

In Abbildung 5.3 ist die Übersichtsseite des Moduls dargestellt. Im oberen Teil des Dialogs wird unter Release-Aktualisierungen der aktuelle Installationsstand angezeigt.

Abbildung 5.3. Aktualisierung eines UCS-Systems über UMC

Sollte eine neuere UCS-Version vorhanden sein, wird eine Auswahlliste präsentiert. Durch einen Klick auf Release-Aktualisierungen installieren werden nach Bestätigung alle Updates bis zur jeweiligen Version eingespielt. Zuvor wird ein Hinweis auf mögliche Einschränkungen der Serverdienste während des Updates angezeigt. Eventuelle Zwischenversionen werden automatisch mitinstalliert.

Durch einen Klick auf Errata-Aktualisierungen installieren werden alle für das aktuelle Release und die eingebundenen Komponenten verfügbaren Errata-Updates eingerichtet.

Mit Paket-Aktualisierungen prüfen wird eine Aktualisierung der momentan eingetragenen Paketquellen aktiviert. Dies kann etwa verwendet werden, wenn für eine Komponente eine aktualisierte Version bereitgestellt wurde.

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

5.5.4. Aktualisierung von Systemen über eine Rechner-Richtlinie

Mit einer Release-Richtlinie in der Rechner-/Domänenverwaltung der Univention Management Console lässt sich ein Update für mehrere Rechner konfigurieren.

Allgemeine Hinweise zur Richtlinienverwaltung finden sich in Abschnitt 4.5.

Abbildung 5.4. Aktualisierung eines UCS-Systems über eine Release-Richtlinie

Nur wenn das Auswahlfeld Aktiviere die Richtlinie aktiviert ist, wird eine Release-Aktualisierung durchgeführt.

Das Eingabefeld Release-Version enthält die Versionsnummer, bis zu der das System aktualisiert werden soll, z.B. 3.2-1. Wird keine Angabe gemacht, aktualisiert sich das System bis zur höchsten verfügbaren Versionsnummer.

Der Zeitpunkt, zu dem die Aktualisierung durchgeführt wird, wird über eine Paketpflege-Richtlinie konfiguriert (siehe Abschnitt 5.7).

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

Die Erstauswahl der Softwarekomponenten eines UCS-Systems erfolgt im Rahmen der Installation. Die Auswahl der Softwarekomponenten erfolgt dabei funktionsbezogen, indem etwa die Komponente Proxy-Server ausgewählt wird, die dann über ein Meta-Paket die eigentlichen Software-Pakete nachzieht. Der Administrator muss dazu die eigentlichen Paketnamen nicht kennen. Für weitergehende Aufgaben können aber auch einzelne Pakete gezielt installiert und entfernt werden.

Bei der Installation eines Pakets werden unter Umständen Pakete mitinstalliert, die für die Funktion des angegebenen Pakets erforderlich sind, die sogenannten Paketabhängigkeiten.

Alle Softwarekomponenten werden aus einem Repository geladen (siehe Abschnitt 5.4).

Fremdsoftware, die nicht im Debian-Paketformat vorliegt, sollte in die Verzeichnisse /opt oder /usr/local installiert werden. UCS-Pakete nutzen diese Verzeichnisse nicht, so dass eine saubere Trennung von UCS- und Fremdsoftware gewährleistet ist.

Um auf einem bereits installierten System nachträglich weitere Pakete zu installieren, stehen mehrere Möglichkeiten zur Verfügung:

5.6.1. Installation/Deinstallation von UCS-Komponenten im Univention App Center

Alle Softwarekomponenten, die im Univention Installer angeboten werden, können auch über das Univention App Center nachträglich installiert und entfernt werden. Dazu muss die Paket-Kategorie UCS-Komponenten ausgewählt werden. Weitere Hinweise zum Univention App Center finden sich in Abschnitt 5.3.

Abbildung 5.5. Auswahl von UCS-Komponenten im App Center

5.6.2. Installation/Deinstallation von einzelnen Paketen in der Univention Management Console

Mit dem Univention Management Console-Modul App Center (Reiter: Erweiterte Software-Verwaltung) können einzelne Softwarepakete installiert und deinstalliert werden.

Abbildung 5.6. Installation des Pakets univention-squid in der Univention Management Console

Auf der Startseite wird eine Suchmaske angezeigt in der die Paketkategorie und ein Suchfilter (Name oder Beschreibung) zur Auswahl stehen. Die Ergebnisliste besteht aus einer Tabelle mit den folgenden Spalten:

• Paketname
• Paketbeschreibung
• Paketstatus

Durch einen Klick auf eine Zeile in der Ergebnisliste wird eine detaillierte Informationsseite zu dem Softwarepaket angezeigt, u.a. eine ausführliche Beschreibung und die Versionsnummer.

Zusätzlich werden ein oder mehrere Buttons angezeigt: Installieren wird angezeigt, falls das Softwarepaket noch nicht installiert ist, Deinstallieren, falls das Paket installiert ist und Aktualisieren falls das Softwarepaket bereits installiert, aber nicht aktuell ist. Durch Schließen kann zu der vorherigen Suchabfrage zurückgekehrt werden.

univention-install PAKETNAME

univention-remove PAKETNAME

apt-cache search fax

Mit einer Paketpflege-Richtlinie in der Rechner-/Domänenverwaltung der Univention Management Console kann ein Zeitpunkt vorgegeben werden, an dem die folgenden Schritte durchgeführt werden:

Alternativ können die Aktualisierungen auch beim Systemstart oder beim Herunterfahren des Systems erfolgen.

Allgemeine Hinweise zur Richtlinienverwaltung finden sich in Abschnitt 4.5.

Ein Repository enthält in der Grundeinstellung nur die Pakete des Standard-UCS-Umfangs. Weitere Komponenten können eingebunden werden, sowohl von Univention - etwa die Komponente UCS@school - oder von Drittanbietern wie Groupware-Herstellern. Zusätzliche Komponenten werden in der Regel über das Univention App Center integriert (siehe Abschnitt 5.3). Die folgenden Schritte sind nur notwendig für Komponenten, die nicht über das Univention App Center bereitgestellt werden.

Weitere Komponenten können über die Univention Management Console oder in der Univention Configuration Registry registriert werden.

Komponenten können versioniert werden. Dies stellt sicher, dass nur zu einer UCS-Version kompatible Komponenten installiert werden. Bei der Installation über das Univention App Center wird die Versionskompatibilität automatisch sichergestellt.

5.8.1. Integration von Repository-Komponenten über die Univention Management Console

Im App Center-Modul der Univention Management Console findet sich im Reiter Repository-Einstellungen eine Aufstellung der eingebundenen Repository-Komponenten. Applikationen, die über das Univention App Center eingebunden wurden, werden hier weiterhin aufgeführt, sollten aber über den Reiter App-Verwaltung verwaltet werden.

Mit Neu kann eine weitere Komponente eingerichtet werden. Der Name der Komponente identifiziert die Komponente auf dem Repository-Server. Unter Beschreibung kann ein frei wählbarer Text angegeben werden, der z.B. detaillierter auf die Funktion der Komponente eingeht.

Abbildung 5.7. Konfiguration einer Repository-Komponente in UMC

Der Rechnername des Download-Servers ist im Eingabefeld Repository-Server anzugeben und, sofern notwendig, unter Repository-Präfix ein eventueller zusätzlicher Dateipfad.

Für Repository-Server, die eine Authentifizierung erfordern, können Benutzername und Passwort konfiguriert werden.

Eine Software-Komponente ist erst verfügbar, wenn sie mit Diese Komponenten aktivieren aktiviert wurde.

Auch für Komponenten wird zwischen maintained und unmaintained-Komponenten unterschieden, siehe Abschnitt 5.4.

ucr set repository/online/component/ucsschool/description="UCS@school-Pakete" \
 repository/online/component/ucsschool/server=updates.software-univention.de \
 repository/online/component/ucsschool=yes

Der Software-Monitor ist eine Datenbank, in der Informationen über die auf UCS-Systemen installierten Softwarepakete aufgezeichnet werden. Durch diese Datenbank kann sich ein Administrator einen Überblick verschaffen, welche Release- und Paketversionen auf den Systemen der Domäne installiert sind und diese Informationen bei der schrittweisen Aktualisierung einer UCS-Domäne nutzen und Installations-Probleme erkennen.

Der Software-Monitor kann mit der Applikation Software-Installationsmonitor aus dem Univention App Center installiert werden. Alternativ kann das Softwarepaket univention-pkgdb installiert werden. Weitere Informationen finden sich in Abschnitt 5.6.

UCS-Systeme aktualisieren ihre Einträge bei der Installation, Entfernung und Aktualisierung von Software selbsttätig. Das System, auf dem der Software-Monitor betrieben wird, wird dabei durch den DNS-Service-Record _pkgdb._tcp lokalisiert.

Die webbasierte Abfrageschnittstelle des Software-Monitors integriert sich in die Univention Management Console und kann über das Modul Software-Monitor erreicht werden. Folgende Funktionen stehen zur Verfügung:

Abbildung 5.8. Suche nach Paketen im Software-Monitor

Wenn verhindert werden soll, dass UCS-Systeme Installations-Vorgänge im Software-Monitor aufzeichnen (etwa weil keine Netzwerkverbindung zur Datenbank besteht), kann dies durch Setzen der Univention Configuration Registry-Variable pkgdb/scan auf no abgeschaltet werden. Wenn die Aufzeichnungen danach wieder aktiviert werden, muss das Kommando univention-pkgdb-scan ausgeführt werden, damit die in der Zwischenzeit installierten Paketversionen in die Datenbank übernommen werden.

Mit dem folgenden Befehl kann der Programmbestand eines Systems wieder aus der Datenbank entfernt werden:

univention-pkgdb-scan --remove-system RECHNERNAME

Benutzer werden im Modul Benutzer der Univention Management Console verwaltet.

Abbildung 6.1. Anlegen eines Benutzers in UMC

In der Grundeinstellung wird zum Anlegen eines Benutzers ein vereinfachter Assistent angezeigt, der nur die wichtigsten Einstellungen abfragt. Durch einen Klick auf Erweitert werden alle Attribute angezeigt. Der vereinfachte Assistent kann deaktiviert werden, indem die Univention Configuration Registry-Variable directory/manager/web/modules/users/user/wizard/disabled auf true gesetzt wird.

Allgemeine Hinweise zur Bedienung der Domänen-Management-Module der Univention Management Console und zum Hinzufügen, Bearbeiten, Suchen und Löschen von Objekten finden sich in Abschnitt 4.2.

Die folgende Karteikarte konfiguriert Einstellungen für Anmeldungen an Windows-Terminalservern.

Schwer zu erratende Passwörter und regelmäßige Passwortwechsel sind ein wichtiger Baustein der Systemsicherheit einer UCS-Domäne. Folgende Eigenschaften lassen sich für Benutzer über eine Passwort-Richtlinie konfigurieren. Wird Samba eingesetzt, greifen für Anmeldungen an Windows-Clients die Einstellungen des Samba-Domänenobjekts (siehe Abschnitt 6.3). Die Einstellungen des Samba-Domänenobjekts und der Richtlinie sollten identisch gesetzt werden, sonst greifen für Anmeldungen an Windows- und UCS-Systemen unterschiedliche Passwortanforderungen.

Für jeden im Managementsystem gespeicherten Benutzer wird das Passwort in verschiedenen Attributen gespeichert:

Passwortänderungen werden in der UCS-PAM-Konfiguration immer über Kerberos initiiert.

Abbildung 6.2. Konfiguration einer Passwort-Richtlinie

Mit dem Samba-Domänenobjekt können die Passwortanforderungen bei der Anmeldung an Windows-Clients in einer Samba-Domäne festgelegt werden.

Das Samba-Domänenobjekt wird über das Modul LDAP-Verzeichnis der Univention Management Console verwaltet. Es befindet sich im Container samba unterhalb der LDAP-Basis und trägt den NetBIOS-Namen der Domäne.

Die Einstellungen des Samba-Domänenobjekts und der Richtlinie (siehe Abschnitt 6.2) sollten identisch gesetzt werden, sonst greifen für Anmeldungen für Anmeldungen an Windows- und UCS-Systemen unterschiedliche Passwortanforderungen.

Standardmäßig können Benutzer ihr Passwort nicht über die Univention Management Console ändern. Um benutzerinitiierte Passwortwechsel zu erlauben, muss die Änderung in den LDAP-ACLs und in der Univention Management Console erlaubt werden.

Zur Anpassung der LDAP-ACLs muss auf dem Domänencontroller Master die Univention Configuration Registry-Variable ldap/acl/user/password/change auf yes gesetzt werden und der LDAP-Server neu gestartet werden.

Zur einfachen Freigabe in der UMC kann die Richtlinie default-udm-self mit einem LDAP-Objekt verknüpft werden (z.B. mit der LDAP-Basis oder der Gruppe Domain Users (siehe Abschnitt 4.5.2)).

Standardmäßig kann ein Benutzer sein Passwort beliebig oft falsch eingeben. Um Brute Force-Angriffe auf Passwörter zu erschweren, kann eine automatische Sperre von Benutzerkonten nach einer konfigurierbaren Anzahl von fehlerhaften Anmeldungen aktiviert werden. Die Sperre ist standardmäßig lokal pro Rechnersystem aktiviert. Wenn ein Benutzer also auf einem System zu oft sein Passwort falsch eingegeben hat, kann er sich auf einem anderen System weiterhin anmelden. Durch Setzen der Univention Configuration Registry-Variable auth/faillog/lock_global kann die Sperre auch global erfolgen und wird im LDAP registriert. Die globale Sperrung kann nur auf Domänencontroller Master/Backup-Systemen eingesetzt werden, da andere Systemrollen nicht über die nötigen Berechtigungen im LDAP-Verzeichnis verfügen. Auf diesen Systemrollen wird der Benutzer aber lokal gesperrt, bzw. über das verwendete Listener-Modul auch wieder entsperrt.

Das automatische Sperren von Benutzern nach fehlgeschlagenen Anmeldungen kann durch Setzen der Univention Configuration Registry-Variable auth/faillog auf yes aktiviert werden. Die Obergrenze an fehlerhaften Passworteingaben, bei der eine Kontosperre aktiviert wird, wird in der Univention Configuration Registry-Variable auth/faillog/limit konfiguriert. Nach einer korrekten Passworteingabe wird der Zähler jedesmal wieder zurückgesetzt.

Der root-Benutzer ist standardmäßig von der Passwort-Sperre ausgenommen, kann aber durch Setzen der Univention Configuration Registry-Variable auth/faillog/root auf yes ebenfalls aufgenommen werden.

Standardmäßig ist die Sperre unbegrenzt gültig und muss vom Administrator zurückgesetzt werden. Sie kann aber auch nach Ablauf eines Intervalls automatisch wieder aufgehoben werden. Hierzu ist in der Univention Configuration Registry-Variable auth/faillog/unlock_time ein Zeitraum in Sekunden anzugeben. Wird der Wert auf 0 gesetzt, wird die Sperre direkt wiederaufgehoben.

Werden Konten nur lokal gesperrt, kann der Administrator ein Benutzerkonto durch Eingabe des Befehls faillog -r USERNAME entsperren. Erfolgt die Sperrung global im LDAP, kann der Benutzer im Univention Directory Manager im Reiter Benutzerkonto in den Benutzer-Optionen zurückgesetzt werden.

Mit einer Benutzervorlage können beim Anlegen eines Benutzers Einstellungen vorgegeben werden.

Ist mindestens eine Benutzervorlage definiert, kann sie beim Anlegen eines Benutzer ausgewählt werden.

Abbildung 6.3. Auswahl einer Benutzervorlage

Benutzervorlagen werden im Modul LDAP-Verzeichnis der Univention Management Console verwaltet. Dort muss in den Container univention und dort in den Untercontainer templates gewechselt werden. Hier kann über Hinzufügen mit dem Objekt-Typ Einstellungen: Benutzervorlage eine neue Benutzervorlage angelegt werden.

In einer Benutzervorlage kann entweder ein fester Wert vorgegeben werden (z.B. für die Anschrift) oder ein Attribut der Benutzerverwaltung referenziert werden. Attribute werden dabei in spitzen Klammern referenziert.

Eine Liste möglicher Attribute kann mit dem Befehl:

univention-directory-manager users/user

im Abschnitt users/user variables der Ausgabe ermittelt werden.

Wird beim Hinzufügen eines Benutzers eine Benutzervorlage verwendet, überschreibt diese alle in der Vorlage vorkommenden Felder mit dem in der Vorlage gesetzten Wert. Dabei gilt ein leeres Feld ebenfalls als auf "" gesetzt.

Es können auch nur Teilwerte von Attributen übernommen werden und Werte in Groß-/Kleinschreibung konvertiert werden:

So kann beispielsweise das UNIX-Heimatverzeichnis unter /home/<title>.<lastname> angelegt werden oder die primäre E-Mail-Adresse mit <firstname>.<lastname>@firma.com vordefiniert werden. Ersetzungen sind grundsätzlich für beliebige Werte möglich, eine syntaktische oder semantische Überprüfung erfolgt jedoch nicht. Wird beispielsweise beim Anlegen des Benutzers kein Vorname angegeben, würde die obige E-Mail-Adresse mit einem Punkt beginnen und wäre somit nach dem E-Mail-Standard ungültig. Ähnliche Fehlerquellen können auch im Umgang mit Dateipfaden etc. auftreten. Nicht auflösbare Attribute (etwa durch Tippfehler in der Vorlage) werden gelöscht.

Wird nicht der komplette Attributwert, sondern nur ein einzelnes Zeichen des Attributs benötigt, kann in der Benutzervorlage nach dem Attributnamen der Index des benötigten Zeichens in eckigen Klammern angegeben werden. Die Zählung der Zeichen des Attributs beginnt bei 0, so dass z.B. der Index 1 dem zweiten Zeichen des Attributwertes entspricht. Mit <firstname>[0].<lastname>@firma.com wird beispielsweise eine E-Mail-Adresse aus dem ersten Buchstaben des Vornamens sowie dem Nachnamen gebildet.

Eine Teilzeichenkette des Attributwerts kann über die Angabe eines Bereichs in eckigen Klammern erreicht werden. Dabei ist der Index des ersten benötigten Zeichens sowie der Index des letzten benötigten Zeichnis plus 1 anzugeben. Die Angabe <firstname>[2:5] gibt z.B. das dritte bis fünfte Zeichen des Vornamens zurück.

Das Anhängen von <:lower> oder <:upper> an den Attributnamen führt dazu, dass der Attributwert in Klein- oder Großschreibung umgewandelt wird, z.B. <firstname:lower>. Wird ein Modifikator wie <:lower> an das Ende des Feldes angehängt, wird der komplette Wert umgewandelt, z.B. <lastname>@company.com<:lower>.

Durch die Option <:umlauts> werden Sonderzeichen wie è, ä oder ß in entsprechende ASCII-Zeichen umgewandelt.

Optionen können auch kombiniert werden, z.B: <:umlauts,upper>.

Gruppen werden im Modul Gruppen der Univention Management Console verwaltet.

Abbildung 7.1. Anlegen einer Gruppe in UMC

Allgemeine Hinweise zur Bedienung der Domänen-Management-Module der Univention Management Console und zum Hinzufügen, Bearbeiten, Suchen und Löschen von Objekten finden sich in Abschnitt 4.2.

UCS unterstützt die Verschachtelung von Gruppen (auch bekannt als "Gruppen in Gruppen"). Dies vereinfacht die Verwaltung der Gruppen: Werden in einer Domäne beispielsweise zwei Standorte verwaltet, können zwei Gruppen Techniker Standort A und Techniker Standort B gebildet werden, denen jeweils die Benutzerkonten der Standort-Techniker zugewiesen werden. Um eine standortübergreifende Techniker-Gruppe zu bilden, reicht es dann aus, die Gruppen Techniker Standort A und Techniker Standort B als Mitglieder dieser Gruppe zu definieren.

Zyklische Abhängigkeiten von Gruppen in Gruppen werden erkannt und abgewiesen. Diese Prüfung kann durch die Univention Configuration Registry-Variable directory/manager/web/modules/groups/group/checks/circular_dependency deaktiviert werden. Auch bei direkten Gruppenänderungen ohne das UCS-Managementsystem müssen zyklische Mitgliedschaften vermieden werden.

Die Auflösung der verschachtelten Gruppenmitgliedschaften erfolgt während der Expandierung des Gruppencaches (siehe Abschnitt 7.3) und ist somit für Applikationen transparent.

Aus dem LDAP aufgelöste Benutzer- und Rechnerinformationen werden durch den Name Server Cache Daemon zwischengespeichert, siehe Abschnitt 8.4.9.

Die Zwischenspeicherung der Gruppen erfolgt seit UCS 3.1 aus Performance- und Stabilitätsgründen nicht mehr über den NSCD, sondern durch das NSS-Modul libnss-extrausers. Die Gruppeninformationen werden automatisch durch das Skript /usr/lib/univention-pam/ldap-group-to-file.py in die Datei /var/lib/extrausers/group exportiert und dort von dem NSS-Modul ausgelesen.

Der Export erfolgt in der Grundeinstellung alle 15 Minuten durch einen Cron-Job und wird zusätzlich gestartet wenn der Univention Directory Listener 15 Sekunden inaktiv gewesen ist. Der Intervall für die Cron-Aktualisierung wird über die Univention Configuration Registry-Variable nss/group/cachefile/invalidate_interval in Cron-Syntax (siehe Abschnitt 8.4.8.2) festgelegt Das Listener-Modul kann über die Univention Configuration Registry-Variable nss/group/invalidate_cache_on_changes aktiviert/deaktiviert werden (true/false).

Während des Generierens der Gruppencache-Datei prüft das Skript, ob die Gruppenmitglieder weiterhin im LDAP-Verzeichnis vorhanden sind. Wird für die Verwaltung der Verzeichnisdaten ausschließlich die Univention Management Console eingesetzt ist, ist diese zusätzliche Prüfung nicht nötig und kann durch Setzen der Univention Configuration Registry-Variable nss/group/cachefile/check_member auf false deaktiviert werden.

Wird Samba 4 eingesetzt, werden die Gruppenmitgliedschaften zwischen dem Samba 4-Verzeichnisdienst und dem OpenLDAP-Verzeichnisdienst durch den Univention S4-Connector synchronisiert, d.h. jede Gruppe auf UCS-Seite ist einer Gruppe im Active Directory assoziiert. Allgemeine Hinweise zum Univention S4 Connector finden sich in Abschnitt 9.2.2.4.

Einzige Ausnahme sind die Pseudo-Gruppen (manchmal auch als Systemgruppen bezeichnet). Diese werden nur intern von Active Directory/Samba 4 verwaltet, z.B. enthält die Gruppe Authenticated Users eine Liste aller aktuell an einem System angemeldeten Benutzer. Pseudo-Gruppen sind im UCS-Verzeichnisdienst vorhanden; sie werden aber nicht durch den Univention S4 Connector synchronisiert und müssen normalerweise nicht bearbeitet werden. Dies betrifft die folgenden Gruppen:

Man unterscheidet in Samba 4/Active Directory zwischen den folgenden vier AD-Gruppentypen. Diese Gruppentypen können auf zwei Arten von Gruppen angewendet werden; Sicherheitsgruppen konfigurieren Berechtigungen (entsprechend den UCS-Gruppen), während Verteilungsgruppen für Mailverteiler genutzt werden:

Im UCS-Verzeichnisdienst werden Gruppenmitgliedschaften nur an den Gruppenobjekten und nicht am jeweiligen Benutzerobjekt gespeichert. Einige Applikationen erwarten jedoch die Gruppenmitgliedschaften an den Benutzerobjekten (z.B. im Attribut memberOf). Durch ein optionales Overlay-Modul im LDAP-Server können diese Attribute automatisch anhand der Gruppeninformationen angezeigt werden. Die zusätzlichen Attribute werden nicht in das LDAP geschrieben, sondern bei einer Anfrage durch das Overlay-Modul ermittelt und angezeigt.

Dazu muss auf allen LDAP-Servern das Paket univention-ldap-overlay-memberof installiert werden.

In der Grundeinstellung wird das Benutzerattribut memberOf dargestellt. Mit der Univention Configuration Registry-Variable ldap/overlay/memberof/memberof kann auch ein anderes Attribut konfiguriert werden.

Alle UCS-, Linux- und Windowssysteme innerhalb einer UCS-Domäne verfügen über ein Rechner-Domänenkonto, mit dem sich die Systeme untereinander authentifizieren und mit dem sie auf das LDAP-Verzeichnis zugreifen.

Das Rechnerkonto wird in der Regel automatisch beim Join des Systems zur UCS-Domäne angelegt (siehe Abschnitt 3.2), das Rechnerkonto kann jedoch auch vor dem Domänenbeitritt angelegt werden.

Das Passwort für das Rechnerkonto wird beim Domänenbeitritt automatisch erzeugt und in der Datei /etc/machine.secret gespeichert. Das Passwort umfasst in der Grundeinstellung 20 Zeichen (konfigurierbar über die Univention Configuration Registry-Variable machine/password/length). Das Passwort wird in festen Intervallen automatisch neu generiert (in der Grundeinstellung 21 Tage, konfigurierbar über die Univention Configuration Registry-Variable server/password/interval). Die Passwortrotation kann über die Variable server/password/change auch deaktiviert werden.

Für jede Systemrolle existiert ein eigenständiger Rechnerobjekttyp. Weitergehende Hinweise zu den einzelnen Systemrollen finden sich in Abschnitt 3.3.

Rechnerkonten werden im Modul Rechner der Univention Management Console verwaltet.

In der Grundeinstellung wird zum Anlegen eines Rechners ein vereinfachter Assistent angezeigt, der nur die wichtigsten Einstellungen abfragt. Durch einen Klick auf Erweitert werden alle Attribute angezeigt. Ist dem ausgewählten Netzwerk-Objekt (siehe Abschnitt 10.1) eine DNS-Forward-Zone und/oder eine DNS-Reverse-Zone zugeordnet (siehe Abschnitt 10.2), wird für den Rechner automatisch ein Host-Record und/oder Pointer-Record angelegt. Ist für das Netzwerk-Objekt ein DHCP-Service konfiguriert und wird eine MAC-Adresse konfiguriert, wird ein DHCP-Rechner-Eintrag angelegt (siehe Abschnitt 10.3)

Der vereinfachte Assistent kann für alle Systemrollen deaktiviert werden, indem die Univention Configuration Registry-Variable directory/manager/web/modules/computers/computer/wizard/disabled auf true gesetzt wird.

Dieser Abschnitt beschreibt grundlegende System-Dienste einer UCS-Installation, wie etwa die Konfiguration der Authentifizierungs-Schnittstelle PAM, des System-Loggings und des NSCD.

8.4.2. Konfiguration der Sprach- und Tastatur-Einstellungen

Unter Linux werden Lokalisierungseigenschaften für Software in Locales definiert. Konfiguriert werden u.a. Einstellungen wie Datums- sowie zu nutzende Währungsformate, verwendete Zeichensätze und die Sprachauswahl für internationalisierte Programme. Die installierten Locales können in der Univention Management Console unter Basis-Einstellungen -> Spracheinstellungen -> Verfügbare System-Lokalisierungen geändert werden. Unter Standard-System-Lokalisierung wird die Standard-Locale festgelegt.

Abbildung 8.5. Konfiguration der Spracheinstellungen

Das Tastaturlayout im Menüpunkt Zeitzonen- und Tastatureinstellungen greift bei lokalen Anmeldungen an dem Rechner.