Univention Corporate Server (UCS) ist ein Linux-basiertes Serverbetriebssystem für den Betrieb und die Verwaltung von IT-Infrastruktur in Unternehmen und Behörden. UCS setzt ein durchgängiges Gesamtkonzept mit einheitlicher, zentraler Administration um und kann den Betrieb aller Komponenten in einem zusammenhängenden Sicherheits- und Vertrauenskontext, der so genannten UCS-Domäne, gewährleisten. Gleichzeitig unterstützt UCS viele offene Standards und besitzt umfangreiche Schnittstellen zu Infrastrukturkomponenten und Managementwerkzeugen anderer Hersteller, so dass es sich leicht in vorhandene Umgebungen integrieren lässt.

UCS besteht aus zuverlässiger, in Organisationen unterschiedlicher Größe erprobter Open Source Software. Diese Software wird durch das UCS-Managementsystem zu einem einheitlichen Gesamtsystem integriert. Damit ist das System nicht nur in einfachen, sondern auch in anspruchsvollen, verteilten oder virtualisierten Umgebungen einfach einsetz- und administrierbar.

Dies sind die zentralen Funktionen von UCS:

Diese Funktionen werden von unterschiedlichen Softwarepaketen in Univention Corporate Server bereit gestellt und im Verlauf dieses Handbuchs ausführlich behandelt. Im Wesentlichen lassen sich die in UCS enthaltenen Softwarepakete den folgenden drei Hauptbestandteilen zuordnen:

Das Basissystem umfasst das Betriebssystem der auf der Debian GNU/Linux basierenden und von Univention gepflegten UCS-Linux-Distribution. Es beinhaltet weitgehend die selbe Software-Auswahl wie Debian GNU/Linux sowie zusätzliche Werkzeuge zur Installation, zur Aktualisierung und zur Konfiguration von Clients und Servern.

Das UCS-Managementsystem realisiert einen Single-Point-of-Administration, über den die Konten aller Domänenmitglieder (Benutzer, Gruppen und Rechner) und Dienste wie DNS und DHCP in einem Verzeichnisdienst verwaltet werden. Kernkomponenten des Managementsystems sind die Dienste OpenLDAP (Verzeichnisdienst), Samba (Bereitstellung von Domänen-, Datei- und Druckdiensten für Microsoft Windows), Kerberos (Authentifizierung und Single-Sign-On), DNS (Namensauflösung im Netzwerk) und SSL/TLS (sichere Datenübertragung zwischen Systemen). Es lässt sich sowohl über eine Webanwendung (Univention Management Console) als auch an der Kommandozeile und in eigenen Skripten verwenden. Das UCS-Managementsystem ist über APIs (Application Programming Interfaces) erweiterbar und besitzt eine flexible Client-Server-Architektur, durch die Änderungen auf die davon betroffenen Systeme übertragen und dort aktiviert werden.

Zusätzliche Komponenten von Univention und anderen Herstellern lassen sich bequem über das App Center installieren und erweitern das System um zahlreiche Funktionen wie Groupware, Dokumentenmanagement oder Services für Microsoft Windows, so dass sie ebenfalls von einem UCS-System ausgeführt und über das UCS-Managementsystem verwaltet werden können.

Linux ist ein Betriebssystem, bei dessen Entwicklung stets Wert auf Stabilität, Sicherheit und die Kompatibilität zu anderen Betriebssystemen gelegt wurde. Dadurch ist es prädestiniert für den Einsatz als stabiles, sicheres und jederzeit verfügbares Serverbetriebssystem.

UCS ist ein auf dieser Basis aufbauendes Serverbetriebssystem, das besonders für den einfachen und sicheren Betrieb sowie die Verwaltung von Anwendungen und Infrastrukturdiensten in Unternehmen und Behörden optimiert wurde. Zur effizienten und sicheren Verwaltung brauchen solche Anwendungen die mit dem UCS-Managementsystem realisierte enge Integration mit der Benutzer- und Rechteverwaltung.

UCS kann als die Basis für die IT-Infrastruktur von Unternehmen und Behörden eingesetzt werden und dafür die zentrale Steuerung übernehmen. So leistet es einen wichtigen Beitrag für den sicheren, effizienten und wirtschaftlichen IT-Betrieb. Unternehmenskritische Anwendungen sind in ein einheitliches Konzept integriert, aufeinander abgestimmt und für den professionellen Einsatz vorkonfiguriert. Alternativ lässt es sich auch als Bestandteil vorhandener Microsoft-Domänen betreiben.

§1.2.2. Domänenkonzept

In einer mit UCS verwalteten IT-Infrastruktur können sich alle Server, Clients und Benutzer in einem einheitlichen Sicherheits- und Vertrauenskontext, der UCS-Domäne, befinden. Jedem UCS-System wird dazu bei seiner Installation eine so genannte Systemrolle zugewiesen. Mögliche Systemrollen sind Domänencontroller, Memberserver und Client.

§

Abbildung 1.1. UCS-Domänenkonzept

Abhängig von der Systemrolle werden neben dem Betriebssystem grundlegende Dienste wie Kerberos, OpenLDAP, Samba, Module für den Domänenreplikationsmechanismus oder eine Root-CA (Zertifizierungsstelle) auf dem Rechner installiert und automatisch für die gewählte Systemrolle konfiguriert. Eine manuelle Einrichtung jedes einzelnen Dienstes oder Anwendung ist deswegen normalerweise nicht notwendig. Durch den modularen Aufbau und umfangreiche Konfigurationsschnittstellen lassen sich dennoch auf individuelle Bedürfnisse zugeschnittene Lösungen umsetzen.

Durch die Integration von Samba, das den Domänendienst für mit Microsoft Windows betriebene Clients und Server bereit stellt, ist Univention Corporate Server kompatibel zu Microsoft Active Directory (AD), so dass sich das System gegenüber Windows-basierten Systemen wie ein Active Directory Server verhält. Deswegen können beispielsweise Gruppenrichtlinien für Microsoft Windows-Systeme auf die gewohnte Art und Weise verwaltet werden.

Zusätzlich kann UCS auch als Teil einer vorhanden Microsoft Active Directory Domäne betrieben werden. Benutzer und Gruppen aus der Active Directory Domäne können dadurch auf Applikationen des Univention App Centers zugreifen.

Ubuntu- oder Mac OS X-Clients können ebenfalls in eine UCS-Umgebung integriert werden (siehe Abschnitt 8.1.1).

§1.2.5. Domänenadministration

§

Abbildung 1.2. Univention Management Console

Der Zugang zum LDAP-Verzeichnis erfolgt über die webbasierte Benutzerschnittstelle Univention Management Console (UMC). Daneben ermöglicht Univention Directory Manager auch die Umsetzung aller domänenweiten administrativen Aufgaben über eine Kommandozeilen-Schnittstelle. Dies eignet sich besonders für die Integration in Skripte oder automatisierte administrative Schritte.

Mit Univention Management Console können Daten des LDAP-Verzeichnisses angezeigt, bearbeitet, gelöscht sowie über eine Suche nach unterschiedlichen Kriterien gefiltert werden. Die Web-Oberfläche stellt Assistenten bereit u.a. zur Verwaltung von Benutzern, Gruppen, Netzwerken, Rechnern, Verzeichnisfreigaben und Druckern zur Verfügung. Die Rechnerverwaltung umfasst auch umfangreiche Funktionen zur Verteilung und Aktualisierung von Software. Über den integrierten LDAP-Verzeichnis-Browser können weitergehende Einstellungen vorgenommen sowie kundenspezifische Objektklassen und Attribute hinzugefügt werden.

Weiterführende Informationen finden sich in Kapitel 4.

Dieses Handbuch behandelt nur einen kleinen Ausschnitt der Möglichkeiten von UCS. UCS und auf UCS aufbauende Lösungen bieten unter anderem:

Unter [ucs-dokumentationen] und im Univention Wiki unter https://wiki.univention.de/ sind weitere Dokumentationen zu UCS veröffentlicht, die weiterführende Themen behandeln.

Im Handbuch werden folgende Symbole verwendet:

Diese Felder beschreiben den Funktionsumfang eines UMC-Moduls:

Menüeinträge, Schaltflächenbeschriftungen und ähnliches sind fett gesetzt. [Schaltflächenbeschriftungen] sind zusätzlich durch eckige Klammern gekennzeichnet.

Eigennamen sind hervorgehoben.

Computernamen, LDAP-DNs, Programmnamen, Dateinamen und -pfade, Internetadressen und Optionen werden ebenfalls optisch hervorgehoben.

Abschnitte aus Konfigurationsdateien, Bildschirmausgaben usw. sind grau
hinterlegt.

Ein Backslash (\) am Ende einer Zeile weist darauf hin, dass der folgende Zeilenumbruch nicht die Bedeutung eines End-of-Line hat. Das kommt z.B. bei Befehlen vor, die nicht in einer Zeile des Handbuches dargestellt werden können, an der Kommandozeile aber entweder ohne den Backslash in einem Stück oder mit dem Backslash und einem anschließenden Enter eingegeben werden müssen.

Der Weg zu einer Funktion wird ähnlich wie ein Dateipfad dargestellt. Benutzer -> Hinzufügen bedeutet beispielsweise, dass im Hauptmenü auf Benutzer und im erscheinenden Untermenü auf Hinzufügen zu klicken ist.

Die folgende Dokumentation beschreibt die Installation von Univention Corporate Server (UCS). Als Installationsmedium wird eine DVD bereitgestellt. Die Installation erfolgt interaktiv und fragt alle notwendigen System-Einstellungen in einer graphischen Oberfläche ab.

Die Installations-DVD wird für die Rechnerarchitektur amd64 (64 Bit) bereitgestellt. Die DVD bringt neben einer Unterstützung für die weit verbreiteten BIOS-Systeme auch eine Unterstützung für den Unified Extensible Firmware Interface-Standard (UEFI) mit. Die UEFI-Unterstützung auf der DVD ist auch in der Lage, auf Systemen mit aktiviertem SecureBoot zu starten und UCS dort zu installieren.

Neben einer Installation auf Hardware oder in einer Virtualisierungslösung kann UCS auch über ein AMI-Image in der Amazon EC2-Cloud installiert werden. Hinweise dazu finden sich in Abschnitt 2.14.

Die Eingabemasken des Installers können mit der Maus oder über die Tastatur bedient werden:

Nach dem Starten des Systems vom Installationsmedium erscheint der folgende Bootprompt:

§

Abbildung 2.1. Bootprompt der Installation

Hier kann zwischen verschiedenen Installationsverfahren gewählt werden.

Nach der Auswahl einer der Installationsoptionen wird der Kernel vom Installationsmedium geladen. Die eigentliche Installation gliedert sich in einzelne Module, die bei Bedarf vom Installationsmedium nachgeladen werden. In einem Modul werden inhaltlich zusammenhängende Einstellungen getroffen, es gibt beispielsweise Module für die Netzkonfiguration oder die Auswahl der zu installierenden Software.

Im ersten Schritt wird die Systemsprache ausgewählt, die verwendet werden soll. Die Auswahl beeinflusst die Verwendung von sprachspezifischen Schriftzeichen und ermöglicht die Darstellung von Programmausgaben in den ausgewählten Sprachen im installierten UCS-System.

§

Abbildung 2.2. Auswahl der Installationssprache

Sofern der Univention Installer die ausgewählte Sprache unterstützt, wird diese als Installationssprache verwendet, andernfalls wird Englisch verwendet. Derzeit sind Deutsch und Englisch vom Univention Installer unterstützt.

Nach der Auswahl der Systemsprache wird basierend auf der zuvor ausgewählten Sprache eine kleine Liste mit Standorten angezeigt. Wählen Sie aus der Liste einen passenden Standort aus. Der ausgewählte Standort wird verwendet, um z.B. die Zeitzone zu setzen oder den korrekten Sprachdialekt zu ermitteln. Falls kein angezeigter Standort passend sein sollte, kann über den Menüeintrag weitere eine umfangreichere Liste angezeigt werden.

§

Abbildung 2.3. Auswahl des Standorts

Unabhängig von der Systemsprache kann ein Tastaturlayout ausgewählt werden. Die hier ausgewählte Sprache sollte zur verwendeten Tastatur passen, das es sonst zu Bedienproblemen kommen kann.

§

Abbildung 2.4. Auswahl der Tastaturbelegung

Initial versucht der Univention Installer eine automatische Konfiguration der Netzwerkschnittstellen vorzunehmen. Dies kann durch die Auswahl des Menüeintrags Start with manual network settings im Menü des Bootloaders deaktiviert werden. Dabei wird zunächst versucht, eine IPv6-Adresse über die Stateless Address Autoconfiguration (SLAAC) zu ermitteln. Sollte dies nicht erfolgreich sein, versucht der Univention Installer eine IPv4-Adresse über das Dynamic Host Configuration Protocol (DHCP) zu erfragen. Ist dies erfolgreich, wird die manuelle Netzwerkkonfiguration von Univention Installer übersprungen.

§

Abbildung 2.5. Automatische Netzwerkkonfiguration

Sollte kein DHCP-Server im lokalen Netz vorhanden sein oder es soll eine statische Konfiguration der Netzwerkschnittstelle stattfinden, kann die Schaltfläche Abbrechen ausgewählt werden. Der Univention Installer bietet dann an, die automatische Konfiguration zu wiederholen oder die Schnittstelle manuell zu konfigurieren.

§

Abbildung 2.6. Auswahl der manuellen Netzwerkkonfiguration

Bei der manuellen Konfiguration kann für das System wahlweise eine statische IPv4- oder eine IPv6-Adresse angegeben werden. IPv4-Adressen haben 32 Bit Länge und werden in der Regel in vier Blöcken in Dezimalschreibweise dargestellt (z.B. 192.0.2.10), während IPv6-Adressen vier Mal so lang sind und typischerweise hexadezimal dargestellt werden (z.B. 2001:0DB8:FE29:DE27:0000:0000:0000:000A). Neben der Angabe einer statischen IP-Adresse werden auch Werte für Netzmaske, Gateway und DNS-Server abgefragt.

§

Abbildung 2.7. Angabe einer IP-Adresse

Bei der manuellen Angabe eines DNS-Server sind die folgenden Punkte zu beachten. Sie sind abhängig von späteren Verwendungszweck des UCS-Systems.

Für die Anmeldung am installierten System ist die Angabe eines Passworts für den Benutzer root notwendig. Wird ein Domänencontroller Master installiert, wird dieses Passwort auch für den Benutzer Administrator eingetragen. Im späteren Betrieb können die Passworte der Benutzer root und Administrator unabhängig voneinander verwaltet werden. Das Passwort muss im zweiten Feld erneut eingetragen werden.

Das Passwort muss aus Sicherheitsgründen mindestens acht Zeichen umfassen.

§

Abbildung 2.8. root-Passwort einrichten

Der Univention Installer unterstützt die Partitionierung von Festplatten und die Erstellung von unterschiedlichen Dateisystemen (u.a. ext4 und XFS). Darüber hinaus können auch Mechanismen wie der Logical Volume Manager (LVM), RAID oder mit LUKS verschlüsselte Partitionen eingerichtet werden.

Ab UCS 4.0 wählt der Univention Installer automatisch einen passenden Partitionstyp (MBR oder GPT) in Abhängigkeit von der Größe der gewählten Festplatte aus. Auf Systemen mit Unified Extensible Firmware Interface (UEFI) wird automatisch die GUID Partition Table (GPT) verwendet.

Zur einfacheren Installation bietet der Univention Installer geführte Installationen an. Bei der geführten Installation werden Standardschemata bzgl. Partitionierung und Formatierung auf die ausgewählte Festplatte angewendet. Darüber hinaus kann auch eine manuelle Partitionierung vorgenommen werden.

Es stehen drei Schemata für eine geführte Partitionierung zur Auswahl:

§

Abbildung 2.9. Auswahl des Partitionierungsschemas

Im Anschluss muss aus der Liste der erkannten Festplatte eine ausgewählt werden, auf die die Partitionierungsvariante angewendet werden soll.

Für jede Partitionierungsvariante gibt es drei Untervarianten, die sich in der Anzahl der erstellten Dateisysteme unterscheiden:

Vor jeder aktiven Änderung auf der Festplatte wird diese noch einmal in einem zusätzlichen Dialog angezeigt und mit explizit bestätigt werden.

§

Abbildung 2.10. Bestätigung von Änderungen auf der Festplatte

Nach Abschluss der Partitionierung wird automatisch das UCS-Grundsystem sowie weitere Software installiert. Dies kann je nach Geschwindigkeit der verwendeten Hardware einige Zeit beanspruchen. Nachfolgend wird das System durch die Installation des GRUB-Bootloaders bootfähig gemacht.

Die abschließende Konfiguration des UCS-Systems beginnt mit der Auswahl eines Domänenmodus. Es stehen vier Modi zur Verfügung, die Einfluss auf die nächsten Konfigurationsschritte haben:

§

Abbildung 2.11. Domäneneinstellungen

§2.9.1. Modus "Erstellen einer neuen UCS-Domäne"

Nach der Auswahl des Modus Erstellen einer neuen UCS-Domäne wird in den folgenden zwei Schritten ein Organisationsname, eine E-Mail-Adresse, ein vollständiger Rechnername sowie eine LDAP-Basis abgefragt.

Die Angabe eines Organisationsnamens ist optional und wird im zweiten Schritt für die automatische Generierung eines Domänennamens sowie der LDAP-Basis verwendet.

Wird eine gültige E-Mail-Adresse angegeben, wird diese verwendet, um eine personalisierte Lizenz zu aktivieren, die für die Verwendung des Univention App Centers notwendig ist. Die Lizenz wird automatisch generiert und umgehend an die angegeben E-Mail-Adresse zugeschickt. Die Lizenz kann dann über den Lizenzdialog von Univention Management Console eingespielt werden.

Aus dem hier eingetragenen vollständigen Rechnernamen (ein Rechnername inkl. Domänenname) wird automatisch der Name des zu konfigurierenden UCS-Systems sowie der Name der DNS-Domäne ermittelt. Aus dem im vorigen Schritt angegebenen Organisationsnamen wird automatisch ein Vorschlag generiert. Es wird empfohlen, keine öffentlich verfügbare DNS-Domäne zu verwenden, da dies zu Problemen in der Namensauflösung führen kann.

Für die Initialisierung des Verzeichnisdienstes wird die Angabe einer LDAP-Basis benötigt. Auch hier wird ein Vorschlag automatisch aus dem vollständigen Rechnernamen abgeleitet. In der Regel kann dieser Wert unverändert übernommen werden.

§

Abbildung 2.12. Angabe des Rechnernamens und der LDAP-Basis

§2.9.2. Modus "Einer bestehenden Active-Directory-Domäne beitreten"

Wurde während der Netzwerkkonfiguration der DNS-Server einer Active-Directory-Domäne angegeben, wird im Schritt Active Directory-Kontoinformationen automatisch der Name des Active Directory-Domänencontrollers vorgeschlagen. Falls dieser Vorschlag nicht stimmen sollte, kann hier der Name eines anderen Active Directory-Domänencontrollers bzw. einer anderen Active Directory-Domäne angegeben werden.

Für den Beitritt in die Active Directory-Domäne ist die Angabe eines Active Directory-Kontos sowie des zugehörigen Passworts notwendig. Das Benutzerkonto muss die Berechtigung besitzen, neue Systeme in die Active Directory-Domäne aufzunehmen.

Zusätzlich muss ein Rechnername für das zu konfigurierende UCS-System angegeben werden. Dabei kann der vorgeschlagene Rechnername übernommen oder ein eigener Rechnername eingetragen werden. Der Domänenname des Rechners wird automatisch aus dem Domänen-DNS-Server abgeleitet. In einigen Szenarien (z.B. ein öffentlicher Mailserver) kann es notwendig sein, einen bestimmten vollständigen Rechnernamen zu verwenden. Das UCS-System wird mit dem hier angegebenen Rechnernamen der Active Directory-Domäne beitreten. Der eingerichtete Domänenname kann nach Abschluss der Konfiguration nicht mehr verändert werden.

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Das erste UCS-System, das einer Active Directory-Domäne beitritt, wird automatisch mit der Systemrolle Domänencontroller Master konfiguriert. Wird dieser Modus während der Installation eines weiteren UCS-Systems ausgewählt, wird der Dialog zur Auswahl einer Systemrolle angezeigt. Die einzelnen Systemrollen werden im folgenden Abschnitt genauer beschrieben.

§

Abbildung 2.13. Informationen zum Active Directory-Domänenbeitritt

§2.9.3. Modus "Einer bestehenden UCS-Domäne beitreten"

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Das erste System einer UCS-Domäne wird immer mit der Systemrolle Domänencontroller Master installiert. Zusätzliche UCS-Systeme können der Domäne später beitreten und mit einer der folgenden Systemrollen konfiguriert werden:

• Domänencontroller Backup

  Der Domänencontroller Backup dient als Fallback-System des DC Master. Sollte dieser ausfallen, kann ein DC Backup die Rolle des DC Master dauerhaft übernehmen. Auf Servern mit der Rolle Domänencontroller Backup werden alle Domänendaten und SSL-Sicherheitszertifikate als Nur-Lese-Kopie gespeichert.

• Domänencontroller Slave

  Auf Servern mit der Rolle Domänencontroller Slave werden die Domänendaten als Nur-Lese-Kopie gespeichert. Im Gegensatz zum Domänencontroller Backup werden jedoch nicht alle SSL-Sicherheitszertifikate gespeichert. Da die Zugriffe der auf einem Domänencontroller Slave laufenden Dienste gegen den lokalen LDAP-Verzeichnisdienst erfolgen, bieten sich DC Slave-System für Standortserver und für die Verteilung lastintensiver Dienste an.

• Memberserver

  Memberserver sind Server-Systeme ohne lokalen LDAP-Verzeichnisdienst. Der Zugriff auf Domänendaten erfolgt hierbei über andere Server der Domäne. Sie eignen sich daher für Dienste, die keine lokale Datenbank für z.B. die Authentifizierung benötigen, beispielsweise Druck- und Dateiserver.

Nach der Auswahl der UCS-Systemrolle werden einige Informationen zum Domänenbeitritt abgefragt. Soll der Domänenbeitritt nicht automatisch während der Installation stattfinden, kann die Option Domänenbeitritt am Ende der Installation starten deaktiviert werden. Wurde während der Netzwerkkonfiguration der richtige DNS-Server ausgewählt, kann Univention Installer den Namen des Domänencontroller Master-Systems automatisch bestimmen. Falls doch in eine andere UCS-Domäne gejoined werden soll, kann die Option Domänencontroller Master im DNS suchen deaktiviert und der vollständige Rechnername des gewünschten Domänencontroller Master im Eingabefeld darunter eingetragen werden. Die für den Domänenbeitritt notwendigen Zugangsinformationen müssen in die beiden Eingabefelder Administrator-Kontoinformationen und Administrator-Passwort

§

Abbildung 2.14. Informationen zum Domänenbeitritt

Im nächsten Schritt muss zusätzlich ein Rechnername für das zu konfigurierende UCS-System angegeben werden. Dabei kann der vorgeschlagene Rechnername übernommen oder ein eigener Rechnername eingetragen werden. Der Domänenname des Rechners wird automatisch aus dem Domänen-DNS-Server abgeleitet. In einigen Szenarien (z.B. ein öffentlicher Mailserver) kann es notwendig sein, einen bestimmten vollständigen Rechnernamen zu verwenden. Der eingerichtete Domänenname kann nach Abschluss der Konfiguration nicht mehr verändert werden.

Der Schritt Software-Konfiguration bietet die Möglichkeit bereits während der Installation zusätzliche UCS-Komponenten zu installieren. Diese stehen auch nach der Installation über das Univention App Center in der Kategorie UCS-Komponenten zur Verfügung und können dort nachträglich installiert und deinstalliert werden.

§

Abbildung 2.15. Auswahl von UCS-Software-Komponenten

In diesem Dialog werden die wichtigsten vorgenommenen Einstellungen angezeigt. Sind alle Einstellungen korrekt, kann über die Schaltfläche System konfigurieren die Konfiguration des UCS-Systems veranlasst werden, siehe Abbildung 2.16.

Mit der Option System nach der Installation aktualisieren werden verfügbare Errata-Updates automatisch installiert. Zusätzlich werden auf einem Domänencontroller Master alle verfügbaren Patch-Level-Updates und Errata-Updates installiert. Auf allen übrigen Systemrollen werden alle Patch-Level-Updates bis zum Installationsstand des Domänencontroller Master eingerichtet. (Um den Installationsstand zu prüfen, muss ein Login auf dem Domänencontroller Master erfolgen. Dazu werden die in den Join-Optionen angegebenen Anmeldedaten verwendet).

§

Abbildung 2.16. Installationsüberblick

Während der Konfiguration zeigt ein Fortschrittsbalken den Verlauf der Installation an.

Das Installationsprotokoll des Univention Installers wird in den folgenden Dateien abgelegt:

Der Abschluss der Konfiguration muss über die Schaltfläche Fertigstellen bestätigt werden. Das UCS-System wird anschließend auf den ersten Bootvorgang vorbereitet und neugestartet.

Das System startet nun von Festplatte. Nach dem Bootvorgang können sich die Benutzer root und Administrator beim Web-Frontend Univention Management Console anmelden (siehe Kapitel 4), welche unter der während der Installation gesetzten IP-Adresse bzw. unter dem Rechnernamen erreichbar ist.

Wenn der Rechner als erstes System der UCS-Domäne (Domänencontroller Master) installiert wurde, kann nun die Lizenz eingespielt werden (siehe Abschnitt 4.4.2).

Hinweise zu eventuellen Installationsproblemen finden sich in der Univention Support Datenbank unter http://sdb.univention.de im Unterpunkt Installation.

Auf Systemen, die Probleme mit der graphischen Variante des Installers zeigen, kann der Installer auch im Textmodus gestartet werden. Im DVD-Bootmenu Advanced options muss dafür der Eintrag Install in text mode ausgewählt werden.

Während der Installation im Textmodus werden die gleichen Informationen wie im graphischen Installer angezeigt bzw. abgefragt. Jedoch wird nach der Partitionierung der Festplatten das System auf den ersten Neustart vorbereitet und schließlich neu gestartet.

Nach Abschluss des Neustarts kann die Konfiguration im Webbrowser fortgesetzt werden. Dafür muss im Browser die URL https://SERVER-IP-ADRESSE oder http://SERVER-IP-ADRESSE aufgerufen werden (HTTPS wird empfohlen). Nach dem Aufruf der Seite ist die Anmeldung mit dem Benutzer root erforderlich.

Die Konfiguration im Browser erfragt den Standort sowie die Netzwerkeinstellungen und fährt dann (wie in der graphischen Installation) mit dem Punkt Domäneneinstellungen fort.

Univention stellt für UCS ein Amazon Machine Image (AMI) für die Amazon EC2 Cloud bereit. Aus diesem generischen Image für alle UCS-Systemrollen wird eine eigene Instanz abgeleitet, die über Univention Management Console konfiguriert wird (Domänenname, Softwareauswahl etc.).

Die Einrichtung einer UCS-Instanz auf Basis von Amazon EC2 ist im Univention Wiki dokumentiert [ec2-quickstart].

Wird UCS als Gast in VMware installiert muss als Gastbetriebssystem die Option Linux -> Anderes Linux-System ausgewählt werden (UCS basiert zwar auf Debian, die Vorlagen für Debian können aber nicht verwendet werden).

Der in UCS verwendete Linux-Kernel bringt alle nötigen Unterstützungstreiber für den Betrieb in VMware direkt mit (vmw_balloon, vmw_pvsci, vmw_vmci, vmwgfx und vmxnet3).

Die Open-Source-Variante der VMware Tools (Open VM Tools) wird mit UCS ausgeliefert. Die Tools können über das Paket open-vm-tools installiert werden (sie sind nicht zwingend notwendig, erlauben aber z.B. die Synchronisation der Zeit auf dem Gastsystem mit dem Virtualisierungsserver).

Univention stellt UCS als Docker Images im Docker Hub bereit https://hub.docker.com/r/univention/. In der Beschreibung der jeweiligen Docker Images ist erklärt, wie diese in Betrieb genommen werden können.

Die Docker Images werden bei einer Standardinstallation in einem Netzwerk betrieben, welches von außerhalb des Servers nicht direkt erreicht werden kann. Sofern mehrere Docker Images eingesetzt werden und diese auf unterschiedlichen Docker Servern betrieben werden, sollte entsprechend ein Software Defined Network oder eine VPN Lösung eingesetzt werden.

Die Einrichtung einer UCS-Instanz in Citrix XenServer ist im Univention Wiki dokumentiert [xenserver-installation].

Univention Corporate Server bietet ein plattformübergreifendes Domänenkonzept mit einem gemeinsamen Vertrauenskontext zwischen Linux- und Windows-Systemen. Innerhalb dieser Domäne ist ein Benutzer mit seinem im UCS-Managementsystem hinterlegten Benutzernamen und Passwort auf allen Systemen bekannt, und kann für ihn freigeschaltete Dienste nutzen. Das Konto wird über das Managementsystem sowohl für die Windows-Anmeldung als auch für Linux/POSIX-Systeme und Kerberos synchron gehalten. Die Verwaltung von Benutzerkonten ist in Kapitel 6 beschrieben.

Alle UCS- und Windowssysteme innerhalb einer UCS-Domäne verfügen über ein Domänenkonto, sobald sie der UCS-Domäne beigetreten sind. Der Domänenbeitritt wird in Abschnitt 3.2 beschrieben.

Jedes Rechnersystem, das Mitglied einer UCS-Domäne ist, besitzt eine Systemrolle. Aus dieser Systemrolle ergeben sich verschiedene Berechtigungen und Einschränkungen, die in Abschnitt 3.3 beschrieben sind.

Auf dem Domänencontroller Master wird die Certificate Authority (CA) der UCS-Domäne betrieben. Dort wird für jedes der Domäne beigetretene System ein SSL-Zertifikat generiert. Weitere Informationen finden sich in Abschnitt 3.6.

Alle domänenweiten Einstellungen werden in einem Verzeichnisdienst auf Basis von OpenLDAP vorgehalten. In Abschnitt 3.4 wird beschrieben wie der Speicherumfang durch LDAP-Schema-Erweiterungen ergänzt werden kann, wie eine revisionssichere LDAP-Protokollierung eingerichtet werden kann und wie Zugriffsberechtigungen auf das LDAP-Verzeichnis definiert werden können.

Die Replikation der Verzeichnisdaten innerhalb einer UCS-Domäne erfolgt über den Listener/Notifier-Mechanismus. Weitere Informationen finden sich in Abschnitt 3.5.

Kerberos ist ein Authentikationsverfahren um in verteilten Netzen über potentiell unsichere Verbindungen eine sichere Identifikation zu erlauben. Jede UCS-Domäne betreibt einen eigenen Kerberosvertrauenskontext (Realm). Weitere Informationen finden sich in Abschnitt 3.7

Ein UCS, Ubuntu- oder Windows-System muss nach der Installation der Domäne beitreten. Im Folgenden werden die verschiedenen Möglichkeiten hierzu vorgestellt.

Neben UCS, Ubuntu und Mac OS X können auch weitere Unix-Systeme in die Domäne integriert werden; dies ist in [ext-doc-domain] beschrieben.

§3.2.2. Windows-Domänenbeitritt

Der Domänenbeitritt von Microsoft Windows-Systemen zu einer durch Samba bereitgestellten UCS-Domäne wird nachfolgend für Windows 7/8/10 und Windows 2012 beispielhaft beschrieben. Bei anderen Windows-Versionen funktioniert der Beitritt ähnlich. Neben den Client-Versionen können auch Windows Server-Systeme der Domäne beitreten. Windows-Server treten der Domäne als Memberserver bei, ein Beitritt eines Windows-Systems als Domänencontroller wird nicht unterstützt. Weitere Hinweise finden sich in Abschnitt 9.1.

Nur domänenfähige Windows-Versionen können der UCS-Domäne beitreten, d.h. ein Domänenbeitritt mit den Home-Versionen von Windows ist nicht möglich.

Beim Domänenbeitritt wird automatisch ein Rechnerkonto für den Windows-Client erstellt (siehe Abschnitt 8.1). Angaben zu MAC- und IP-Adresse, Netzwerk, DHCP oder DNS können vor oder nach dem Domänenbeitritt in Univention Management Console ergänzt werden.

Der Domänenbeitritt wird in der Regel mit dem lokalen Administrator-Konto des Windows-Systems durchgeführt.

§

Abbildung 3.1. Domänenbeitritt eines Windows 7-Systems

Der Domänenbeitritt dauert einige Zeit und sollte nicht vorzeitig abgebrochen werden. Nach einem erfolgreichen Beitritt erscheint ein kleines Fenster mit der Nachricht Willkommen in der Domäne Domänenname, die mit [OK] bestätigt werden muss. Abschließend muss der Rechner neu gestartet werden, um die Änderungen in Kraft zu setzen.

Domänennamen sollten auf 13 Zeichen beschränkt werden, da diese auf Seite der Windows-Clients ansonsten verkürzt dargestellt werden, was zu Anmeldefehlern führen kann.

Bei einem Domänenbeitritt gegen einen Domänencontroller auf Basis von Samba 4 muss die DNS-Konfiguration des Clients so eingerichtet sein, dass DNS-Einträge aus der DNS-Zone der UCS-Domäne aufgelöst werden können. Außerdem muss die Zeit auf dem Client-System mit der Zeit auf dem Domänencontroller synchronisiert sein.

§3.2.2.1. Windows 10

Der Domänenbeitritt ist nur mit der Pro und Enterprise-Edition von Windows 10 möglich.

Die Systemsteuerung kann über das Suchfeld Web und Windows durchsuchen, welches in der Startleiste zu finden ist gesucht und geöffnet werden. Unter System und Sicherheit -> System muss auf Einstellungen ändern -> Ändern geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Domäne in das Eingabefeld eingetragen werden. Es sollte dabei der vollständige Domänenname verwendet werden, bspw. mydomain.intranet. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Benutzername der Benutzername eines Domänen Administrator, standardmäßig ist dies Administrator und in das Eingabefeld Kennwort das Passwort des Domänen Administrator eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

§3.2.2.2. Windows 8

Der Domänenbeitritt ist nur mit der Pro und Enterprise-Edition von Windows 8 möglich.

Die Systemsteuerung kann erreicht werden, indem der Mauszeiger in die rechte untere Bildschirmecke bewegt wird. Anschließend kann unter Suchen -> Apps nach der Systemsteuerung gesucht werden. Unter System und Sicherheit -> System muss auf Einstellungen ändern -> Netzwerk ID geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,Basis-DN eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

§3.2.2.3. Windows 7

Der Domänenbeitritt ist nur mit der Professional, Enterprise oder Ultimate-Edition von Windows 7 möglich.

Über Start -> Systemsteuerung -> System und Sicherheit -> Computernamen anzeigen kann der Basiskonfigurationsdialog erreicht werden. Unter Einstellungen für Computernamen, Domäne und Arbeitsgruppe muss Einstellungen ändern gewählt werden und auf Ändern geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,Basis-DN eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

§3.2.2.4. Windows Server 2012

Die Systemsteuerung kann erreicht werden, indem der Mauszeiger in die rechte untere Bildschirmecke bewegt wird. Anschließend kann unter Suchen -> Apps nach der Systemsteuerung gesucht werden. Unter System und Sicherheit -> System muss auf Einstellungen ändern -> Netzwerk ID geklickt werden.

Für den Domänenbeitritt muss das Optionsfeld Domäne markiert und der Name der Samba-Domäne in das Eingabefeld eingetragen werden. Nach einem Klick auf die Schaltfläche [OK] muss in das Eingabefeld Name der Name Administrator und in das Eingabefeld Kennwort das Passwort von uid=Administrator,cn=users,Basis-DN eingetragen werden. Abschließend kann der Domänenbeitritt mit einem Klick auf [OK] gestartet werden.

§3.2.4. Mac OS X-Domänenbeitritt

UCS unterstützt den Domänenbeitritt von Mac OS X-Clients in eine UCS-Umgebung mit Samba 4. Diese Anleitung bezieht sich auf Mac OS X 10.8.2.

Der Domänenbeitritt kann über das Systemeinstellungsmenü oder den Kommandozeilenbefehl dsconfigad erfolgen.

Nach erfolgtem Domänenbeitritt besteht die Möglichkeit CIFS-Freigaben zu definieren, die bei der Anmeldung eines Benutzers unterhalb von /Volumes automatisch eingehängt werden. Um dies zu erreichen, muss die folgende Zeile in die Datei /etc/auto_master eingefügt werden:

/Volumes    auto_custom

Außerdem muss die Datei /etc/auto_custom angelegt werden und die einzubindenden Freigaben dort in der folgenden Form aufgeführt werden:

subfolder name-fstype=smbfs    ://fqdn/sharename

Die eingebundenen Freigaben werden nicht in der Seitenleiste des Finders angezeigt.

§3.2.4.1. Domänenbeitritt über das Systemeinstellungen-Menü

In den Systemeinstellungen kann über Benutzer das Menü Anmeldeoptionen ausgewählt werden. Die Anmeldung erfolgt durch einen Klick auf das Schloss in der linken unteren Ecke, dort muss das lokale Administrator-Konto und dessen Passwort angegeben und Netzwerk-Account-Server: Verbinden angeklickt werden.

§

Abbildung 3.2. Domänenbeitritt eines Mac OS X-Systems

In den erweiterten Einstellungen sollte die Option Mobilen Account bei Anmeldung erstellen aktiviert werden. Sie bietet den Vorteil, das auch ohne Verbindung zur Domäne eine Anmeldung mit der Domänenbenutzerkennung erfolgen kann

Der Domänenname muss nun im Feld Active Directory Domain und der Rechnername des Mac OS X-Clients in das Feld Computer-ID eingetragen werden. Der Domänenbeitritt erfolgt nach einem Klick auf OK. Für den Domänenbeitritt muss ein Konto aus der Gruppen Domain Admins verwendet werden, z.B. Administrator.

§3.2.4.2. Domänenbeitritt auf den Kommandozeile

Der Domänenbeitritt kann auch auf der Kommandozeile mit dem Befehl dsconfigad erfolgen:

dsconfigad -amac hostname-domainfqdn-ou "CN=Computers,ldap_base" \
  -uDomain Administrator-mobile enable

Weitere Optionen werden mit dsconfigad -help angezeigt.

In einer UCS-Domäne können Systeme in unterschiedlichen Systemrollen installiert werden. Im Folgenden werden die verschiedenen Systemrollen kurz charakterisiert:

Univention Corporate Server speichert domänenweit vorgehaltene Daten in einem LDAP-Verzeichnisdienst auf Basis von OpenLDAP. Dieses Kapitel beschreibt die weitergehende Konfiguration und Anpassung von OpenLDAP.

In einer UCS-Domäne werden oft mehrere LDAP-Server betrieben. Die Konfiguration des/der verwendeten Server(s) wird in Abschnitt 8.4.5 beschrieben.

START
Old Hash: Hashsumme des vorhergehenden Datensatzes
DN: DN des LDAP-Objekts
ID: Listener/Notifer-Transaktions-ID
Modifier: DN des ändernden Kontos
Timestamp: Zeitstempel im Format dd.mm.yyyy hh:mm:ss
Action: add, modify oder delete

Old Values:
 Liste der alten Attribute, ist leer wenn ein Objekt hinzugefügt wird
New Values:
 Liste der neuen Attribute, ist leer wenn ein Objekt gelöscht wird
END

ID 342: START
ID 342: Old Hash: 70069d51a7e2e168d7c7defd19349985
ID 342: DN: uid=Administrator,cn=users,dc=example,dc=com
ID 342: ID: 342
ID 342: Modifier: cn=admin,dc=example,dc=com
ID 342: Timestamp: 15.04.2020 09:20:40
ID 342: Action: modify
ID 342: 
ID 342: Old values:
ID 342: description: Dhis is a description test
ID 342: entryCSN: 20200415091936.317108Z#000000#000#000000
ID 342: modifyTimestamp: 20200415091936Z
ID 342: 
ID 342: New values:
ID 342: description: This is a description test
ID 342: entryCSN: 20200415092040.430976Z#000000#000#000000
ID 342: modifyTimestamp: 20200415092040Z
ID 342: END

univention-ldapsearch uid=Administrator

slapcat > ldapdaten.txt

Unter UCS werden sensitive Daten immer verschlüsselt über das Netzwerk übertragen, zum Beispiel durch die Verwendung von SSH für den Login auf Systeme oder durch Verwendung von Protokollen auf Basis von SSL/TLS. (Transport Layer Security (TLS) ist der aktuelle Protokollname, der Name des Vorgängerprotokolls Secure Socket Layer (SSL) ist jedoch weiterhin gebräuchlicher und wird auch in dieser Dokumentation verwendet).

SSL/TLS kommt beispielsweise bei der Listener/Notifier-Domänenreplikation oder beim HTTPS-Zugriff auf Univention Management Console zum Einsatz.

Für eine verschlüsselte Kommunikation zwischen zwei Rechnern müssen beide Kommunikationspartner die Authentizität des verwendeten Schlüssels prüfen können. Dafür besitzt jeder Rechner ein so genanntes Rechnerzertifikat, das von einer Zertifizierungsstelle (Certification Authority, CA) herausgegeben und signiert wird.

UCS bringt seine eigene CA mit, die bei der Installation des Domänencontroller Master automatisch eingerichtet wird und von der jedes UCS-System im Rahmen des Domänenbeitritts automatisch ein Zertifikat für sich selbst und das öffentliche Zertifikat der CA bezieht. Diese CA tritt als Root-CA auf, signiert ihr eigenes Zertifikat, und kann Zertifikate für andere Zertifizierungsstellen signieren.

Die Eigenschaften der CA werden bei der Installation basierend auf Systemeinstellungen wie der Locale automatisch festgelegt. Diese Einstellungen können auf dem Domänencontroller Master im UMC-Modul Zertifikats-Einstellungen nachträglich angepasst werden.

Die UCS-CA befindet sich immer auf dem Domänencontroller Master. Auf jedem Domänencontroller Backup wird eine Kopie der CA vorgehalten, die über einen Cronjob standardmäßig alle 20 Minuten mit der CA auf dem Domänencontroller Master synchronisiert wird.

Wird ein Domänencontroller Backup zum Domänencontroller Master hochgestuft (siehe Abschnitt 3.11), so kann die CA auf dem dann neuen Domänencontroller Master direkt verwendet werden.

Das UCS-Root-Zertifikat hat - ebenso wie die damit erstellten Rechnerzertifikate - einen bestimmten Gültigkeitszeitraum.

Die Erneuerung des Root-Zertifikats und der übrigen Rechnerzertifikate ist in SDB 1183 dokumentiert.

Auf UCS-Systemen überprüft ein Cronjob täglich die Gültigkeit des lokalen Rechnerzertifikats und des Root-Zertifikats und schreibt das Ablaufdatum in die Univention Configuration Registry-Variablen ssl/validity/host (Rechnerzertifikat) und ssl/validity/root (Root-Zertifikat). Die dort angegebenen Werte spiegeln die Anzahl der Tage seit dem 1.1.1970 wieder.

In Univention Management Console wird das effektive Ablaufdatum des Rechner- und Root-Zertifikats angezeigt über über das rechte, obere Benutzermenü und den Menüpunkt Lizenz -> Lizenzinformation.

Kerberos ist ein Authentikationsverfahren um in verteilten Netzen über potentiell unsichere Verbindungen eine sichere Identifikation zu erlauben. Alle Clients verwenden dabei eine gemeinsame Vertrauensbasis, das Key Distribution Centre (KDC). Ein Client authentifiziert sich bei diesem KDC und erhält ein Authentizierungs-Token, das sogenannte Ticket, das zur Authentizierung innerhalb einer Kerberos-Umgebung (der sogenannten Kerberos Realm) verwendet werden kann. Der Name der Kerberos Realm wird im Rahmen der Installation des Domänencontroller Master konfiguriert und in der Univention Configuration Registry-Variable kerberos/realm gespeichert. Der Name der Kerberos-Realm kann nachträglich nicht angepasst werden.

Tickets sind standardmäßig acht Stunden gültig; für eine Kerberos-Domäne ist deshalb eine synchrone Systemzeit zwischen den Systemen der Kerberos Realm essentiell.

In Univention Corporate Server wird die Kerberos-Implementierung Heimdal verwendet. Auf UCS-Domänencontroller-Systemen ohne Samba 4 wird ein eigenständiger Heimdal-Dienst gestartet, während auf Samba 4-DCs Kerberos durch eine in Samba integrierte Heimdal-Version bereitgestellt wird. Verwendet man eine gemischte Umgebung aus UCS-Domänencontrollern mit Samba 4 und UCS-Domänencontrollern ohne Samba 4, so basieren beide Kerberos-Umgebungen auf identischen Daten (diese werden zwischen Samba 4 und OpenLDAP durch den Univention S4 Connector synchronisiert (siehe Abschnitt 9.2.2.4)).

Standardmäßig wird der KDC über einen DNS-Servicerecord ausgewählt. Der von einem System verwendete KDC kann durch die Univention Configuration Registry-Variable kerberos/kdc umkonfiguriert werden. Wird Samba 4 auf einem System der Domäne installiert, wird der Servicerecord umkonfiguriert, so dass nur noch die KDCs auf Samba 4-Basis angeboten werden. In einer gemischten Umgebung ist es empfehlenswert nur noch die Samba 4-KDCs zu verwenden.

Auf dem Domänencontroller Master läuft der Kerberos-Adminserver, auf dem administrative Einstellungen der Domäne vorgenommen werden können. Die meisten Einstellungen werden in Univention Corporate Server aus dem LDAP-Verzeichnis bezogen, so dass die wichtigste verbleibende Funktion das Ändern von Passwörtern darstellt. Diese können durch das Tool kpasswd geändert werden und werden dann auch im LDAP verändert. Der Kerberos Adminserver kann auf einem System durch die Univention Configuration Registry-Variable kerberos/adminserver konfiguriert werden.

Passwort-Hashes von Benutzern werden u.a. im Attribut userPassword im Verzeichnisdienst gespeichert. Für die Generierung der Passwort-Hashes wird auf die crypt Bibliotheksfunktion zurückgegriffen. Die eigentliche Hash-Funktion kann über die Univention Configuration Registry-Variable password/hashing/method definiert werden, standardmäßig wird SHA-512 verwendet.

Alternativ dazu bietet Univention Corporate Server ab UCS 4.4-7 erratum 887 die Möglichkeit bcrypt als Hash-Funktion für Benutzerkonten zu verwenden. Dafür muss zunächst auf allen LDAP-Servern die Univention Configuration Registry-Variable ldap/pw-bcrypt=true gesetzt werden um das nötige Modul für OpenLDAP zu aktivieren. Andernfalls ist eine Anmeldung am LDAP-Server mit einem bcrypt Hash nicht möglich. Damit beim Ändern von Passwörtern nun bcrypt Hashes generiert werden, muss ebenfalls auf allen Servern die Univention Configuration Registry-Variable password/hashing/bcrypt=true gesetzt werden.

Zusätzlich können der bcrypt Cost Factor und die bcrypt Variante über die Univention Configuration Registry-Variablen password/hashing/bcrypt/cost_factor (12) und password/hashing/bcrypt/prefix (2b) angepasst werden.

SAML (Security Assertion Markup Language) ist ein XML-basierter Standard zum Austausch von Authentifizierungsinformationen, der Single Sign-On über Domänengrenzen hinweg erlaubt. UCS stellt auf dem Domänencontroller Master und den Domänencontroller Backup einen ausfallsicheren SAML Identity Provider bereit. Über ein kryptografisches Zertifikat wird der SAML Identity Provider bei einem externen Dienst fest registriert und vertraut diesem. Der Benutzer authentifiziert sich dann einmalig gegenüber UCS und kann den Dienst ohne erneute Authentifizierung nutzen.

§

Abbildung 3.4. Die Single Sign-On-Anmeldeseite

Der SAML 2.0 kompatible UCS Identity Provider wird durch die Integration von simplesamlphp bereitgestellt.

Der UCS Identity Provider ist eng in die UCS Domäne eingebunden. Daher müssen Rechner, von denen der UCS Identity Provider genutzt werden soll, DNS-Namen in der UCS-Domäne auflösen können. Die DNS-Server der Domäne sollten auf allen Clients eingetragen sein, um den zentralen DNS-Namen, im Normalfall ucs-sso.domainname, auflösen zu können.

Der UCS Identity Provider wird auf dem Domänencontroller Master und Domänencontroller Backup mit der Installation automatisch eingerichtet. Um die Ausfallsicherheit innerhalb der Domäne zu erhöhen, können weitere Systeme der Rolle Domänencontroller Backup verfügbar gemacht werden. Für den ausfallsicheren Zugriff auf den UCS Identity Provider wird standardmäßig der DNS-Eintrag ucs-sso.domainname registriert. Das für diesen Eintrag vorgesehene TLS Zertifikat wird auf allen beteiligten Systemen der Domäne vorgehalten. Es wird empfohlen, das Wurzelzertifikat der UCS Domäne auf allen Rechnern, die Single Sign-On nutzen, zu installieren.

Es besteht die Möglichkeit, die SAML-Authentifizierung mit der Kerberos Anmeldung zu verknüpfen. Das bedeutet, dass sich Nutzer mit einem gültigen Kerberos Ticket, bspw. nach einer Anmeldung an Windows oder Linux, ohne eine erneute manuelle Authentifizierung am Identity Provider anmelden können.

Um die Kerberos Authentifizierung am Identity Provider zuzulassen, muss die Univention Configuration Registry-Variable saml/idp/authsource von univention-ldap auf univention-negotiate gesetzt werden. Die Webbrowser müssen entsprechend so konfiguriert werden, so dass das Kerberos Ticket an den SAML Identity Provider übertragen wird. Im folgenden beispielhaft für Firefox und den Internet Explorer / Microsoft Edge:

Die Kerberos Authentifizierung kann auf bestimmte IP Subnetze beschränkt werden, indem die Univention Configuration Registry-Variable saml/idp/negotiate/filter-subnets beispielsweise auf 127.0.0.0/16,192.168.0.0/16 gesetzt wird. Dies ist besonders nützlich, um zu verhindern, dass für Clients, die nicht zur UCS-Domäne gehören, ein Dialog für den Login angezeigt wird.

UCS bietet die Möglichkeit, einen OpenID Connect Provider zu installieren, mit dessen Hilfe externe Web-Dienste die Benutzeranmeldung über das OpenID Connect (OIDC) Protokoll an das UCS Identity Management delegieren können. Die OpenID Connect Provider App kann über das App Center installiert werden. Der Dienst wird von der Software Kopano Konnect bereitgestellt.

Die App kann grundsätzlich auf allen Systemrollen installiert werden. Bei einer Installation auf einem UCS System der Rolle Domänencontroller Master oder Domänencontroller Backup wird der OpenID Connect Provider unter dem DNS Eintrag für den Single Sign-On verfügbar gemacht, im Normalfall ist dies ucs-sso.domain.name. Wird die App auf einer anderen Systemrolle installiert, kann der Provider statt dessen direkt über den Hostnamen erreicht werden. Es sollte sichergestellt werden, dass die App auf allen Servern installiert ist, die unter dem ucs-sso DNS CNAME erreichbar sind. Die Synchronisation von Session Informationen zwischen mehreren Instanzen des OIDC Providers ist nicht vorkonfiguriert. Wenn Login Probleme bei Apps in dieser Konfiguration auftreten, empfehlen wir den OIDC Provider nur auf einem System zu betreiben, und den ucs-sso DNS CNAME auf dieses System zu beschränken, oder den Univention Support zu kontaktieren.

Um externe Web-Dienste per OpenID Connect an UCS anzubinden, muss für diesen Dienst ein bestimmtes Objekt des Typs oidc/rpservice im UCS Verzeichnisdienst vorhanden sein. Dies kann in der Univention Management Console im LDAP Browser im Container cn=oidc angelegt werden, der sich unterhalb des Containers cn=univention befindet. Hier kann über den Punkt Hinzufügen und die Auswahl OpenID Connect Relying Party Service ein neuer Dienst registriert werden.

Das gleiche ist auch über die Kommandozeile möglich:

udm oidc/rpservice create --set name=<UCS_interner_Bezeichner> \
  --position="cn=oidc,cn=univention,$(ucr get ldap/base)" \
  --set clientid=<ClientID> \
  --set clientsecret=<Ein_langes_Passwort> \
  --set trusted=yes \
  --set applicationtype=web \
  --set redirectURI=<URL_aus_Dokumentation_des_Dienstes>

Die Parameter des Aufrufs sind:

Der angebundene Web-Dienst braucht für seine Konfiguration noch Informationen über die OpenID Connect Endpunkte der Provider-App. Diese sind bei installierter Provider-App unter der URL https://ucs-sso.domain.name/.well-known/openid-configuration einsehbar. Wurde die Provider-App auf einem anderen System als Domänencontroller Master oder Domänencontroller Backup installiert, ist wie oben beschrieben statt ucs-sso.domain.name der FQDN des jeweiligen Servers zu verwenden.

Bei der Verwendung von OpenID Connect ist auf korrekte, auflösbare DNS Namen und verifizierbare Zertifikate zu achten. Zu beachten ist dies insbesondere bei Client-Rechnern von Endbenutzern, die sowohl auf die per DNS auflösbaren Hostnamen des Web-Dienst als auch auf den OpenID Connect Provider zugreifen müssen. Außerdem müssen die extern angebundenen Web-Dienste eine Verbindung zum OpenID Connect Provider herstellen können, um darüber die Benutzerattribute abrufen zu können.

Im speziellen Fall, wo der DNS Namen des OIDC-Providers geändert werden soll, muss zunächst der entsprechende Wert in den App Einstellungen der OpenID Connect Provider App angepasst werden. Da es diverse Szenarien für die Erreichbarkeit des Providers nach der Änderung des DNS Namens gibt, kann keine automatische Änderung der Webserverkonfiguration vorgenommen werden. Es muss so zum Beispiel je nach konfiguriertem DNS Namen noch die Apache Konfiguration unter UCS angepasst werden. Die Konfigurationsdatei /etc/apache2/conf-available/openid-connect-provider.conf muss unter dem gesetzten DNS Namen in einem Virtual Host verfügbar gemacht werden.

Mit Version 2 der OIDC-Provider App funktioniert die Authentifizierung an OpenID Connect über den SAML Identity Provider der UCS Domäne. Ist der SAML Identity Provider von der Standardkonfiguration abweichend nicht unter https://ucs-sso.domain.name erreichbar, muss in den App Einstellungen die URL korrekt eingetragen werden, unter der die SAML IdP Metadaten für die UCS Domäne abgerufen werden können. Bei inkorrekter Konfiguration dieser URL startet der OpenID Connect Provider nicht.

Mit der Authentifizierung per SAML ist die Autorisierung für die Nutzung des OpenID Connect Providers und damit zu allen per OIDC angebundenen Apps über SAML Berechtigungen steuerbar. Standardmäßig wird bei der Installation der App die Gruppe Domänenbenutzer für den Zugriff freigeschaltet. Wenn diese Berechtigung entfernt werden soll, muss zusätzlich in den App Einstellungen die entsprechende Option aktiviert werden, damit die Berechtigung nicht automatisch erneut hinzugefügt wird.

Der OpenID Connect Provider protokolliert Aktionen über den Docker Daemon. Die Ausgaben können beispielsweise über das Kommando univention-app logs openid-connect-provider eingesehen werden.

Eine UCS Domäne hat immer genau einen Domänencontroller Master, kann aber beliebig viele Domänencontroller Backup beinhalten. Ein Domänencontroller Backup speichert alle Domänendaten und alle SSL-Sicherheitszertifikate als Kopie, im Gegensatz zum Domänencontroller Master können jedoch keine schreibenden Änderungen vorgenommen werden.

Jeder Domänencontroller Backup kann zu einem Domänencontroller Master umgewandelt werden. Hierfür gibt es zwei typische Anwendungsfälle:

Die Umwandlung umfasst primär die Umstellung der für die Authentifizierung relevanten Dienste wie LDAP, DNS, Kerberos und Samba. Der Abgleich der installierten Software muss manuell erfolgen (über die UMC-Module App Center und Paket-Verwaltung). Wenn also z.B. auf dem vorherigen DC Master die Mailkomponente installiert war, ist diese nach der Umwandlung nicht automatisch auf dem neuen DC Master verfügbar. Um den Umfang der Nachbereitung möglichst gering zu halten, sollte im Vorfeld Abschnitt 3.12 beachtet werden.

Wurden auf dem Domänencontroller Master zusätzliche LDAP-Schema-Pakete installiert, so müssen diese vor der Umwandlung auch auf dem Domänencontroller Backup installiert werden. Die Paketliste des alten Domänencontroller Master sollte vor der Umstellung gesichert werden, um einen Abgleich der installierten Pakete zu erlauben. Die Paketliste kann mit dem folgenden Befehl erstellt werden:

dpkg --get-selections \* > dpkg.selection

Die so auf dem Domänencontroller Master erstellte Datei sollte mit einer ebenso erstellten Datei des Domänencontroller Backup verglichen und benötigte Pakete auf dem Domänencontroller Backup nachinstalliert werden. Insbesondere alle Pakete, die ein LDAP-Schema installieren sind zwingend erforderlich. Eine Auflistung dieser LDAP-Schema-Pakete lässt sich wie folgt erstellen:

ls -1 /etc/ldap/schema/*.schema /usr/share/univention-ldap/schema/*.schema | xargs dpkg -S

Um einfach alle installierten Pakete des Domänencontroller Master auch auf dem Domänencontroller Backup zu installieren, kann die zuvor auf dem Domänencontroller Master erstellte Datei dpkg.selection mit folgenden Befehlen verwendet werden:

dpkg --set-selections < dpkg.selection
apt-get dselect-upgrade

Darüber hinaus sollte der Univention Configuration Registry-Datenbestand gesichert werden, um Konfigurationsanpassungen auch auf dem neuen Domänencontroller Master abgleichen zu können. Folgende Dateien des Domänencontroller Master sind dazu mit denen auf dem Domänencontroller Backup zu vergleichen:

/etc/univention/base.conf
/etc/univention/base-forced.conf

Eine nächtliche Sicherung dieser Dateien findet sich auch in /var/univention-backup/ucr-backup_%Y%m%d.tgz

Die Umwandlung eines Domänencontroller Backup zum neuen Domänencontroller Master erfolgt dann durch Aufruf des Befehls /usr/lib/univention-ldap/univention-backup2master auf dem Domänencontroller Backup. Das System muss anschließend neu gestartet werden. Die Umstellung wird in der Logdatei /var/log/univention/backup2master.log protokolliert.

Folgende Schritte führt der Befehl univention-backup2master der Reihe nach aus:

Im Anschluss sollte sowohl Univention Configuration Registry auf allen UCS-Systemen der Domäne als auch das LDAP auf dem jetzt neuen Domänencontroller Master hinsichtlich Verweisen auf den Namen und die IP-Adresse des alten Domänencontroller Master überprüft und diese ggf. angepasst werden.

Einige Dienste in einer Domäne sind zentral für das Funktionieren von deren Mitgliedern. Redundanz ist ein Mittel um diesen potenziellen Bruchstellen (single points of failure) zu entfernen. Ein Artikel in der Univention Support Datenbank erklärt das Vorgehen um die Dienste LDAP, Kerberos, DNS, DHCP und Active Directory-kompatible Domain Controller abzusichern: SDB 1349.

Über die Admin Diary-App besteht die Möglichkeit, wichtige Ereignisse in der Domäne zu protokollieren. Dazu gehören unter anderem:

§

Abbildung 3.5. Ansicht der Ereignisse im Admin Diary

Abbildung 3.5 zeigt, wie die Ereignisse in der Univention Management Console dargestellt werden. Die angezeigten Einträge werden standardmäßig wochenweise gruppiert und können über das Suchfeld weiter eingegrenzt werden. Durch das Auswählen eines Eintrags gelangt man zu einer Detailansicht, wie sie in Abbildung 3.6 zu sehen ist. Dieser kann man weitere Details zum Wo und Wann entnehmen. Zudem besteht die Möglichkeit, das Ereignis zu kommentieren.

§

Abbildung 3.6. Detailansicht im Admin Diary

Die App besteht aus zwei Komponenten:

§

Abbildung 4.1. UCS Portalseite

Die UCS Web-Oberfläche ist das zentrale Werkzeug zur Verwaltung der UCS-Domäne sowie für den Zugriff auf installierte Applikationen derselben.

Die UCS Web-Oberfläche untergliedert sich in mehrere Unterseiten, die alle eine ähnlich gestaltete Kopfzeile besitzen. Über die Symbole oben rechts kann eine Suche auf der aktuellen Seite durchgeführt (Lupe), sich angemeldet/abgemeldet (Schloss) oder das Benutzermenü (drei Balken) geöffnet werden. Die Anmeldung an der Oberfläche geschieht über eine zentrale Seite für alle Unterseiten von UCS sowie Drittherstellern, sofern diese einen webbasierten Single Sign-on unterstützen (Abschnitt 4.2).

Zentraler Ausgangspunkt für Benutzer sowie Administratoren für alle weiteren Operationen ist die UCS-Portalseite (siehe Abbildung 4.1). Die Portalseite ist standardmäßig auf dem Domänencontroller Master verfügbar und erlaubt einen Überblick über alle in der UCS-Domäne installierten Apps und weiteren Dienste. Alle anderen Systemrollen zeigen standardmäßig zum einen die jeweils lokal auf dem System verfügbaren Apps und zum anderen einen Verweis zurück auf die Portalseite des Domänencontroller Master an. Alle Aspekte der Portalseite können umfangreich an die eigenen Bedürfnisse angepasst werden (Abschnitt 4.3).

Für Umgebungen mit mehr als einem Server ist auf der Portalseite ein Verweis auf eine Serverübersichtseite zu sehen. Diese Unterseite gibt einen Überblick über alle in der Domäne verfügbaren UCS-Systeme. Sie erlaubt die schnelle Navigation hin zu anderen Systemen, um dort bspw. über Univention Management Console Anpassungen an lokalen Einstellungen vorzunehmen.

Univention Management Console (UMC) ist das zentrale Werkzeug zur webbasierten Administration der UCS-Domäne, dessen generelle Funktionsweise in Abschnitt 4.4 beschrieben wird. Für die Administration der unterschiedlichen Aspekte einer Domäne werden verschiedene Module bereit gestellt. Diese sind je nach Systemrolle verfügbar und werden bei Installation weiterer Software-Komponenten durch neue UMC-Module ergänzt.

Die anschließenden Abschnitte vertiefen die Benutzung einzelner Aspekte der Domänenverwaltung. Abschnitt 4.5 gibt einen Überblick über den LDAP-Verzeichnis-Browser. Die Anwendung von administrativen Einstellungen über Richtlinien wird in Abschnitt 4.6 besprochen. Wie genau der Funktionsumfangs der Domänenverwaltung erweitert werden kann ist in Abschnitt 4.7 beschrieben. Abschnitt 4.8 vertieft, wie Container und Organisationseinheiten (OU) zur Strukturierung des LDAP-Verzeichnisses genutzt werden können. Abschnitt 4.9 erläutert das Delegieren von Administrationsrechten an weitere Benutzergruppen.

Abschließend wird die Kommandozeilenschnittstelle der Domänenverwaltung dargestellt (Abschnitt 4.10) und das Auswerten von Domänendaten über die UCS-Reporting-Funktionalität erläutert (Abschnitt 4.12).

UCS stellt eine zentral Anmeldeseite zur Verfügung. Die Anmeldung an der UCS Web-Oberfläche geschieht zentral mit den Anmeldedaten des jeweiligen Domänenkontos. Auf der Portalseite kann der Anmeldevorgang entweder über das Benutzermenü und dann Anmelden (letzter Eintrag) oder über einen Klick auf das Schlosssymbol in der Kopfzeile oben rechts angestoßen werden. Setzt eine Seite (wie bspw. Univention Management Console) eine Anmeldung voraus, so wird automatisch auf die zentrale Anmeldeseite weitergeleitet. Zum Abmelden kann analog entweder auf das (geöffnete) Schlosssymbol in der Kopfzeile geklickt oder der Eintrag Abmelden im Benutzermenü (letzter Eintrag) ausgewählt werden.

§

Abbildung 4.2. UCS Anmeldeseite

Standardmäßig wird ein Single Sign-On (SSO) mittels SAML (siehe auch Abschnitt 3.9) durchgeführt, sofern ucs-sso.domainname erreicht werden kann. Nach erfolgter Anmeldung ist eine Sitzung gültig für alle UCS-Systeme der Domäne sowie Apps von Drittherstellern, wenn diese einen webbasierten SSO unterstützen. Kann ucs-sso.domainname nicht erreicht werden, geschieht die Anmeldung an dem lokalen UCS-System. Die Sitzung ist dann nur gültig für die UCS Webseiten auf dem selben System. Es ist möglich die Anmeldung am lokalen System über den Link Ohne Single Sign-On anmelden zu erzwingen.

In der Anmeldemaske werden Benutzername und Passwort des gewünschten Domänenkontos angegeben:

Die Dauer einer Browser-Sitzung beträgt 8 Stunden bei Anmeldung über SSO, danach ist eine erneute Anmeldung erforderlich. Bei Anmeldung am lokalen UCS-System wird die Browser-Sitzung nach 8 Stunden Inaktivität automatisch geschlossen.

Es besteht die Möglichkeit durch die Installation von Drittanbietern Software, bspw. privacyIDEA, die Univention Management Console Anmeldung um eine Zwei-Faktor-Authentifizierung (2FA) zu ergänzen. Diese Erweiterungen können aus dem Univention App Center installiert werden.

Die Portalseiten dienen der zentralen Darstellung aller verfügbaren Dienste in einer UCS-Domäne. Da sich die Anforderung von kleinen bis hin zu großen Umgebungen in Organisationen, Behörden oder auch im Schulbetrieb stark voneinander unterscheiden, bringt UCS ein sehr flexibles und individuell anpassbares Konzept für Portalseiten mit.

Wie in Abbildung 4.3 dargestellt, können Portaleinträge (also Verweise auf Applikationen/Apps/Dienste; UDM-Objekttyp settings/portal_entry) keinem, einem oder mehreren Portalen zugeordnet sein. Ein Portal selbst (UDM-Objekttyp settings/portal) stellt alle Einträge dar, die mit ihm verknüpft sind. Ein Portal kann keinem, einem oder mehreren Rechnerobjekten zugewiesen sein (dies geschieht direkt am Rechnerobjekt selber).

Standardmäßig ist UCS so voreingestellt, dass es zwei Portale gibt. Das Portal domain ist mit den Domänencontroller Master und Backup Systemen der Domäne verknüpft. Neben allen installierten Applikationen in der Domäne werden hier auch Verweise zu Univention Management Console sowie zur Serverübersicht angezeigt. Das Portal local ist allen anderen Rechnerrollen in der Domäne zugewiesen. Hier wird neben den lokal installierten Apps ein Verweis auf die lokal verfügbare Univention Management Console Instanz sowie ein Verweis zurück auf den Domänencontroller Master der Domäne dargestellt.

Eigene Portale und Portaleinträge können entweder über das UMC-Modul Portaleinstellungen oder direkt auf der Portalseite angelegt und verwaltet werden.

Mitglieder der Gruppe Domain Admins können nach der Anmeldung am Portal auf dem DC Master oder DC Backup nach einem Klick auf das gelbe Bearbeitungs-Icon neue Einträge auf dem Portal erstellen, vorhandene Einträge modifizieren, sowie die Reihenfolge oder das Design modifizieren. Es ist darüber hinaus möglich, diese Rechte auf ausgewählte Gruppen oder Benutzer zu übertragen. Hierzu gibt es eine Anleitung unter Abschnitt 4.3.1

Weiterführende Einstellungen, wie das Hinzufügen neuer Portale oder die Einstellung, welche Gruppenmitglieder welche Portaleinträge sehen dürfen, können über das UMC-Modul Portaleinstellungen durchgeführt werden.

Standardmäßig werden alle Portaleinträge für jeden angezeigt. Im UMC-Modul Portaleinstellungen kann pro Portal auf dem Reiter Anonyme Besucher verwalten konfiguriert werden, ob anonyme Besucher sich erst anmelden müssen bevor sie Einträge sehen können. Es ist auch möglich bestimmte Einträge für bestimmte Gruppen zu limitieren. Dies erfordert das LDAP-Attribut memberOf. Eine Auswertung von verschachtelten Gruppenmitgliedsschaften (also Gruppen in Gruppen) findet nicht statt.

Weiterführende Design Anpassungen können in der Datei /usr/share/univention-portal/custom.css vorgenommen werden. Dieses Datei wird während eines Updates nicht überschrieben.

§

Abbildung 4.3. Schema des Portal-Konzepts in UCS: Portale können frei definiert und UCS-Systemen als Startseite zugewiesen werden; ein Verweis kann auf mehreren Portalen angezeigt werden.

/opt/62my-portal-acl.acl

access to dn="cn=portal,cn=univention,@%@ldap/base@%@" attrs=children
  by group/univentionGroup/uniqueMember="cn=Portal Admins,cn=groups,@%@ldap/base@%@" write
  by * +0 break

access to dn.children="cn=portal,cn=univention,@%@ldap/base@%@" attrs=entry,@univentionObject,@univentionPortalEntry,
@univentionPortal,@univentionPortalCategory,children
  by group/univentionGroup/uniqueMember="cn=Portal Admins,cn=groups,@%@ldap/base@%@" write
  by * +0 break

udm settings/ldapacl create \
	--position "cn=ldapacl,cn=univention,$(ucr get ldap/base)" \
	--set name=62my-portal-acl \
	--set filename=62my-portal-acl \
	--set data="$(bzip2 -c /opt/62my-portal-acl.acl | base64)" \
	--set package="62my-portal-acl" \
	--set packageversion=1

udm settings/ldapacl remove \
	--dn "cn=62my-portal-acl,cn=ldapacl,cn=univention,$(ucr get ldap/base)"

Über das UMC-Modul LDAP-Verzeichnis kann durch das LDAP-Verzeichnis navigiert werden. Dabei können auch Objekte im LDAP-Verzeichnis erzeugt, modifiziert oder gelöscht werden.

§

Abbildung 4.7. Navigation im LDAP-Verzeichnis

In der linken Bildschirmhälfte ist das LDAP-Verzeichnis in einer Baumstruktur dargestellt, deren Unterelemente durch die Symbole mit dem Plus- und Minuszeichen ein- und ausgeblendet werden können.

Durch Klick auf ein Element der Baumstruktur wird an diese LDAP-Position gewechselt und in der Übersichtsliste auf der linken Bildschirmhälfte, die an dieser LDAP-Position befindlichen Objekte angezeigt. Über die Auswahlliste LDAP-Objekttyp kann die Anzeige auf ausgewählte Attribute eingeschränkt werden.

Mit der Option Hinzufügen können hier auch neue Objekte eingefügt werden. Analog zu den in Abschnitt 4.4 beschriebenen Bedienelementen können hier auch bestehende Objekte editiert, gelöscht oder verschoben werden.

§

Abbildung 4.8. Bearbeiten von LDAP-Container-Einstellungen

Durch Rechtsklick auf ein Element der Baumstruktur können über Bearbeiten die Eigenschaften des Containers oder der LDAP-Basis bearbeitet werden.

Richtlinien beschreiben administrative Einstellungen, die sinnvoll auf mehr als ein Objekt angewendet werden können. Sie erleichtern die Administration, in dem sie an Container gebunden werden und dann für alle in dem betreffenden Container befindlichen Objekte, sowie die in Unterordnern befindlichen Objekte gelten. Die Einstellungen werden nach dem Prinzip der Vererbung angewendet. Auf ein Objekt wird immer der Wert angewandt, der dem Objekt am nächsten liegt.

Soll z.B. für alle Benutzer eines Standorts das gleiche Passwortablaufintervall definiert werden, kann für diese Benutzer ein eigener Container angelegt werden. Nachdem die Benutzer-Objekte in den Container verschoben wurden, kann eine Passwort-Richtlinie mit dem Container verknüpft werden. Diese Richtlinie gilt für alle enthaltenen Benutzer-Objekte.

Eine Ausnahme bilden Werte, die in einer Richtlinie als festgelegte Attribute gesetzt wurden. Diese können von nachgeordneten Richtlinien nicht überschrieben werden.

Mit dem Kommandozeilenprogramm univention-policy-result kann detailliert angezeigt werden, welche Richtlinie auf ein Verzeichnisdienst-Objekt greift.

Jede Richtlinie gilt für einen bestimmten UMC-Domänen-Objekt-Typ, also z.B. für Benutzer oder DHCP-Subnetze.

Eine Richtlinie muss zuerst angelegt werden, bevor sie einem Container oder einem LDAP-Objekt zugewiesen werden kann.

Die Domänenverwaltung von Univention Management Console ermöglicht die umfassende Verwaltung der Daten einer Domäne. Erweiterte Attribute bieten eine Möglichkeit, neue Attribute in die Domänenverwaltung zu integrieren, die durch den UCS-Standardumfang nicht abgedeckt sind. Erweiterte Attribute werden auch von Drittanbietern für die Integration von Lösungen in UCS eingesetzt.

Erweiterte Attribute werden über das Modul LDAP-Verzeichnis verwaltet. Sie befinden sich im Container univention und dessen Untercontainer custom attributes. Hier können bestehende Attribute bearbeitet werden oder mit Hinzufügen ein Objekt vom Typ Einstellungen: Erweitertes Attribut angelegt werden.

§

Abbildung 4.9. Erweitertes Attribut zur Verwaltung von KFZ-Kennzeichen

Erweiterte Attribute können internationalisiert werden. In diesem Fall sollten Namen und Beschreibungen in Englisch verfasst werden, da dies der Standardsprache des Univention Management Console entspricht.

Container und Organisationseinheiten (OU) dienen der Strukturierung der Daten im LDAP-Verzeichnis. Technisch unterscheiden sich beide Typen nicht, sondern eher in der Anwendung:

Container und Organisationseinheiten werden im Modul LDAP-Verzeichnis von Univention Management Console verwaltet und werden mit Hinzufügen und den Objekt-Typen Container: Container und Container: Organisationseinheit angelegt.

Container und OUs dürfen prinzipiell an jeder beliebigen Position im LDAP eingefügt werden, OUs können aber nicht unterhalb von Containern angelegt werden.

In der Grundeinstellung können nur die Mitglieder der Gruppe Domain Admins alle UMC-Module aufrufen. Über Richtlinien kann für Gruppen oder einzelne Benutzer der Zugriff auf UMC-Module konfiguriert werden. Dies kann beispielsweise verwendet werden, um einem Helpdesk-Team die Berechtigung zu erteilen Drucker zu verwalten ohne ihnen Vollzugriff auf die Administration der Domäne zu erteilen.

Die Zuweisung von UMC-Modulen erfolgt über eine UMC-Richtlinie (siehe auch Abschnitt 4.6), die Benutzer- und Gruppenobjekten zugewiesen werden kann. Die Auswertung erfolgt dabei additiv, d.h. man kann allgemeine Zugriffsrechte durch ACLs auf Gruppenmitgliedschaften erteilen und durch ACLs auf Benutzer ergänzen.

Zusätzlich zu der Zuweisung von UMC-Richtlinien, müssen für UMC-Module, die Daten des LDAP-Verzeichnisses verwalten, ebenfalls LDAP-Zugriffsrechte berücksichtigt werden. Alle im LDAP vorgenommenen Änderungen gelten für die gesamte UCS-Domäne. Daher haben in der Grundeinstellung nur Mitglieder der Gruppe Domain Admins sowie einige intern genutzte Konten Vollzugriff auf das UCS-LDAP. Wird ein Modul über eine UMC-Richtlinie freigegeben, muss für den Benutzer/die Gruppe zusätzlich der Zugriff in den LDAP-ACLs freigegeben werden. Weitere Hinweis zu LDAP-ACLs finden sich in Kapitel Abschnitt 3.4.5.

Der Univention Directory Manager ist die Kommandozeilenschnittstelle der Domänenverwaltungsfunktionalität von Univention Management Console. Er ergänzt die webbasierte Schnittstelle von Univention Management Console und dient als mächtiges Werkzeug für die Automatisierung administrativer Vorgängen in Skripten und zur Integration in andere Programme.

Univention Directory Manager wird als Benutzer root auf dem Domänencontroller Master mit dem Befehl univention-directory-manager (Kurzform udm) aufgerufen

Univention Management Console und Univention Directory Manager verwenden dieselben Domänen-Verwaltungsmodule, d.h. alle Funktionen der Webschnittstelle stehen auch im Kommandozeilen-Interface zur Verfügung.

# univention-directory-manager modules
Available Modules are:
  computers/managedclient
  computers/computer
  computers/domaincontroller_backup
  computers/domaincontroller_master
  computers/domaincontroller_slave
 [...]

univention-directory-manager users/user move
[...]
create options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]
modify options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Edit object with DN
[...]
remove options:
  --binddn                         bind DN
  --bindpwd                        bind password
  --dn                             Remove object with DN
  --arg                            Remove object with ARG
[...]
list options:
  --filter                         Lookup filter
[...]
move options:
  --binddn                         bind DN
  --bindpwd                        bind password
[...]

univention-directory-managerKategorie/Modulname

users/user variables:
  General:
    username (*)                             Username
[...]
  Contact:
    e-mail (person,[])                       E-Mail Address

univention-directory-manager users/user create \
    --position "cn=users,dc=example,dc=com" \
    --set username="user01" \
    --set firstname="Random" \
    --set lastname="User" \
    --set organisation="Example company LLC" \
    --set mailPrimaryAddress="mail@example.com" \
    --set password="secretpassword"

univention-directory-manager users/user modify \
    --dn "uid=user01,cn=users,dc=example,dc=com" \
    --set street="Exemplary Road 42" \
    --set postcode="28239" \
    --set city="Bremen"

univention-directory-manager users/user list \
    --filter uid=user*

univention-directory-manager users/user list \
    --filter uid="user*" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager users/user remove \
    --dn "uid=user04,cn=users,dc=example,dc=com"

univention-directory-manager users/user move \
    --dn "uid=user03,cn=hamburg,cn=users,dc=example,dc=com" \
    --position "cn=bremen,cn=users,dc=example,dc=com"

univention-directory-manager groups/group create \
    --position "cn=groups,dc=example,dc=com" \
    --set name="Example Users" \
    --set users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --append users="uid=user02,cn=users,dc=example,dc=com"

univention-directory-manager groups/group modify \
    --dn "cn=Example Users,cn=groups,dc=example,dc=com" \
    --remove users="uid=user01,cn=users,dc=example,dc=com"

univention-directory-manager container/cn create \
    --position "cn=computers,dc=example,dc=com" \
    --set name="bremen" \
    --set computerPath=1

univention-directory-manager policies/share_userquota create \
    --position "cn=policies,dc=example,dc=com" \
    --set name="Default quota" \
    --set softLimitSpace=5GB \
    --set hardLimitSpace=10GB

univention-directory-manager container/cn modify \
    --dn "cn=users,dc=example,dc=com" \
    --policy-reference "cn=Default quota,cn=policies,dc=example,dc=com"

univention-directory-manager policies/registry create \
    --position "cn=config-registry,cn=policies,dc=example,dc=com" \
    --set name="default UCR settings" \
    --set registry="logrotate/rotate/count 52"

univention-directory-manager policies/registry modify \
    --dn "cn=default UCR settings,cn=config-registry,"\
"cn=policies,dc=example,dc=com" \
    --append registry='"logrotate/compress" "no"'

univention-directory-manager computers/windows create \
    --position "cn=computers,dc=example,dc=com" \
    --set name=WinClient01 \
    --set mac=aa:bb:cc:aa:bb:cc \
    --set ip=192.0.2.10

univention-directory-manager shares/share create \
    --position "cn=shares,dc=example,dc=com" \
    --set name="Documentation" \
    --set host="fileserver.example.com" \
    --set path="/var/shares/documentation"

univention-directory-manager shares/printer create \
    --position "cn=printers,dc=example,dc=com" \
    --set name="LaserPrinter01"  \
    --set spoolHost="printserver.example.com" \
    --set uri="ipp:// 192.0.2.100" \
    --set model="foomatic-rip/HP-Color_LaserJet_9500-Postscript.ppd" \
    --set location="Head office" \
    --set producer="producer: "\
"cn=HP,cn=cups,cn=univention,dc=example,dc=com"

univention-directory-manager shares/printergroup create \
    --set name=LaserPrinters \
    --set spoolHost="printserver.example.com" \
    --append groupMember=LaserPrinter01 \
    --append groupMember=LaserPrinter02

univention-directory-manager dhcp/host create \
    --superordinate "cn=example.com,cn=dhcp,dc=example,dc=com" \
    --set host="Client222" \
    --set fixedaddress="192.0.2.110" \
    --set hwaddress="ethernet 00:11:22:33:44:55"

univention-directory-manager dns/host_record create \
    --superordinate "zoneName=example.com,cn=dns,dc=example,dc=com" \
    --set name="Client222" \
    --set a="192.0.2.110"

univention-directory-manager dns/ptr_record create \
    --superordinate "zoneName=0.168.192.in-addr.arpa,cn=dns,"\
"dc=example,dc=com" \
    --set address="110" \
    --set ptr_record="Client222.example.com."

univention-directory-manager settings/extended_attribute create \
    --position "cn=custom attributes,cn=univention,dc=example,dc=com" \
    --set name="CarLicense" \
    --set module="users/user" \
    --set ldapMapping="univentionFreeAttribute1" \
    --set objectClass="univentionFreeAttributes" \
    --set longDescription="License plate number of the company car" \
    --set tabName="Company car" \
    --set multivalue=0 \
    --set syntax="string" \
    --set shortDescription="Car license"

UCS stellt eine HTTP API für UDM zur Verfügung, mit der UDM Objekte über HTTP-Anfragen überprüft, geändert, erstellt und gelöscht werden können.

Weitere Informationen zur API finden Sie unter [developer-reference].

Univention Directory Reports bietet die Möglichkeit vordefinierte Reports zu beliebigen im Verzeichnisdienst verwalteten Objekten zu erstellen.

Die Struktur der Reports wird dabei durch Vorlagen definiert. Die dafür entwickelte Beschreibungssprache ermöglicht die Verwendung von Platzhaltern, die durch die Werte aus dem LDAP-Verzeichnis ersetzt werden. Es können dabei beliebig viele Reportvorlagen vorgegeben werden. So können beispielsweise für Benutzer wahlweise sehr detaillierte Reports oder nur einfache Adresslisten erstellt werden.

Die Erstellung von Reports ist direkt in die Weboberfläche der Univention Management Console integriert. Alternativ kann das Kommandozeilenprogramm univention-directory-reports verwendet werden.

Im Auslieferungszustand werden sechs Reportvorlagen von Univention Directory Reports bereitgestellt, die für Benutzer, Gruppen und Rechner verwendet werden können. Drei Vorlagen erzeugen PDF-Dokumente und drei Vorlagen CSV-Dateien, die als Import-Quelle für andere Programme verwendet werden können. Weitere Vorlagen können erstellt und registriert werden.

Reports können über ein Kommandozeilenprogramm oder über das Web-Interface von Univention Management Console erstellt werden.

§4.12.1. Erstellen von Reports in Univention Management Console

Um einen Report zu erstellen, muss in die UMC-Module für Benutzer, Gruppen oder Rechner gewechselt werden. Anschließend müssen alle vom Report erfassten Objekte ausgewählt werden (durch einen Klick auf den Button links von Name können alle Objekte selektiert werden). Ein Klick auf Mehr -> Report erstellen ermöglicht die Auswahl zwischen dem Standard-Report im PDF-Format und dem CSV-Report im CSV-Format.

§

Abbildung 4.10. Erstellen eines Reports

Die über Univention Directory Manager erzeugten Reports werden für 12 Stunden aufbewahrt und danach durch einen Cron-Job entfernt. Die Einstellungen, wann dieser Cron-Job laufen soll und wie lange diese Reports aufbewahrt werden sollen, kann über zwei Univention Configuration Registry-Variablen definiert werden:

• directory/reports/cleanup/cron definiert den Zeitpunkt zu dem der Cron-Job ausgeführt werden soll.
• directory/reports/cleanup/age bestimmt das maximale Alter eines Report-Dokumentes in Sekunden bevor es gelöscht wird.

univention-directory-reports -m users/user -l

Die in UCS integrierte Softwareverteilung bietet umfangreiche Möglichkeiten für den Rollout und die Aktualisierung von UCS-Installationen. Sicherheits- und Versionsupdates können über Univention Management Console, über ein Kommandozeilen-Tool und richtliniengesteuert installiert werden. Dies wird in Abschnitt 5.4 beschrieben. Die UCS-Softwareverteilung unterstützt nicht die Aktualisierung von Microsoft Windows-Systemen. Hierfür ist eine zusätzliche Windows-Softwareverteilung nötig.

Für größere Installationen besteht die Möglichkeit, einen lokalen Repository-Server einzurichten, von dem aus alle weiteren Aktualisierungen durchgeführt werden (siehe Abschnitt 5.5). Dieser Repository-Server bezieht seine Pakete entweder vom Univention-Online-Repository oder in Umgebungen ohne Internetzugriff auch durch Offline-Updates in Form von ISO-Images.

Die UCS-Softwareverteilung basiert auf den unterliegenden Debian-Paketmanagement-Tools, wird aber durch UCS-spezifische Werkzeuge ergänzt. Die verschiedenen Werkzeuge zur Installation von Software werden in Abschnitt 5.6 vorgestellt. Die Installation von Versions- und Sicherheitsupdates kann über Richtlinien automatisiert werden, siehe Abschnitt 5.7

Mit dem Software-Monitor steht ein Werkzeug zur Verfügung, mit dem alle Paketinstallationsstände zentral in einer Datenbank erfasst werden, siehe Abschnitt 5.8.

Die Erstinstallation von UCS-Systemen ist nicht Bestandteil dieses Kapitels, sie wird stattdessen in Kapitel 2 beschrieben.

Vier Arten von UCS-Updates werden unterschieden:

Jede ausgelieferte UCS-Version besitzt eine eindeutige Versionsbezeichnung; sie besteht aus einer Zahl (der Majorversion), einem Punkt, einer zweiten Zahl (der Minorversion) einem Bindestrich und einer dritten Zahl (der Patchlevelversion). Mit der Version UCS 4.2-1 wird also das erste Patchlevel-Update für das zweite Minor Update für das Major-Release UCS 4 bezeichnet.

Vor jedem Release-Update wird das Pre-update-Skript preup.sh aufgerufen. Dieses prüft z.B. ob Probleme bestehen und bricht das Update dann kontrolliert ab. Nach dem Update wird das Post-Update-Skript postup.sh aufgerufen, das ggf. weitere Aufräumarbeiten durchführt.

Errata-Updates beziehen sich immer auf bestimmte Minor-Releases, also beispielsweise für UCS 4.4. Errata-Updates können in der Regel für alle Patchlevelversionen eines Minor Releases installiert werden.

Wenn neue Release- oder Errata-Updates verfügbar sind, wird bei der Anmeldung an Univention Management Console ein entsprechender Hinweis ausgegeben. Die Verfügbarkeit neuer Updates wird außerdem per E-Mail angekündigt, entsprechende Newsletter - getrennt nach Release- und Errata-Updates - können auf der Univention-Webseite abonniert werden. Zu jedem Release-Update wird ein Release-Notes-Dokument veröffentlicht, in dem die aktualisierten Pakete, Hinweise zu Fehlerkorrekturen und neuen Funktionen aufgeführt sind.

Das Univention App Center erlaubt die einfache Einbindung von Softwarekomponenten in eine UCS-Domäne. Die Applikationen werden sowohl von Drittanbietern wie auch von Univention selbst (z.B. UCS@school) bereitgestellt. Die Maintenance und der Support für die Applikationen erfolgt durch den jeweiligen Hersteller.

§

Abbildung 5.1. Überblick der verfügbaren Applikationen im App Center

Das Univention App Center kann über das UMC-Modul App Center aufgerufen werden. Es zeigt standardmäßig alle installierten sowie verfügbare Softwarekomponenten an. Mit Suche Applikationen... kann die Liste der angezeigten Applikationen auf Suchbegriffe eingeschränkt werden. Außerdem können die Applikationen anhand der Kategorien gefiltert werden. Weitere Filterkriterien sind die App Badges und die App Lizenz. So ist auch eine Kombination der Filter möglich. So kann die Ansicht beispielsweise auf Applikationen aus den Kategorien Bildung oder Office eingeschränkt werden. Um hieraus dann die Recommended Apps anzuzeigen, genügt die Aktivierung des entsprechenden Filters.

Klickt man auf eine der angezeigten Applikationen, werden weitergehende Details zu der Komponente angezeigt (u.a. Beschreibung, Hersteller, Ansprechpartner und Screenshots oder Videos). Im Feld Benachrichtigung wird angezeigt, ob der Hersteller der Softwarekomponente bei der Installation/Deinstallation benachrichtigt wird. Ein grobe Einordnung der Lizenzierung kann unter Lizenz entnommen werden. Detaillierte Informationen zur Lizenzierung können bei einigen Applikationen direkt über einen Kaufen Button bezogen werden. Für alle anderen Applikationen wird die Kontaktaufnahme mit dem Hersteller der Applikation über die unter Kontakt angezeigte E-Mail-Adresse empfohlen.

§

Abbildung 5.2. Details einer Applikation im App Center

Mit Vote Apps gibt es eine spezielle Form von Apps im App Center, die nichts auf dem UCS System installieren. Hierbei handelt es sich um Apps, für die im App Center abgestimmt werden kann. Die Abstimmungen helfen Univention und dem potentiellen App Anbieter dabei, das Interesse für diese App festzustellen. Vote Apps werden in der Regel nur für einen begrenzten Abstimmungszeitraum angezeigt. Dass Vote Apps verfügbar sind, kann an der angezeigten Filteroption Vote Apps in der App Center Übersicht erkannt werden.

§

Abbildung 5.3. Beispiel Vote Apps in App Center Übersicht und Detailansicht

Einige Applikationen sind möglicherweise inkompatibel mit anderen Softwarepaketen aus UCS. So setzen beispielsweise die meisten Groupwarepakete voraus, dass der UCS-Mailstack deinstalliert ist. Jede Applikation prüft, ob inkompatible Versionen installiert sind und gibt einen Hinweis, welche Konflikte bestehen und wie sie beseitigt werden können. Die Installation dieser Pakete wird dann zurückgehalten, bis die Konflikte beseitigt sind.

Einige Komponenten integrieren Pakete, die auf dem Domänencontroller Master installiert werden müssen (in der Regel LDAP-Schema-Erweiterungen oder Erweiterungen für das UCS-Managementsystem). Diese Pakete werden automatisch auf dem Domänencontroller Master installiert. Ist dieser nicht erreichbar, wird die Installation abgebrochen. Außerdem werden die Pakete auf allen erreichbaren Domänencontroller Backup-Systemen eingerichtet. Sofern mehrere UCS Systeme in der Domäne vorhanden sind, kann ausgewählt werden, auf welchem der Systeme die Applikation installiert werden soll.

Einige Applikationen nutzen die Container-Technologie Docker. Dadurch wird die Applikation (und ihre unmittelbare Umgebung) vom Rest gekapselt und die Sicherheit sowie die Kompatibilität von Applikationen untereinander erhöht.

Technisch wird die App als Docker Container gestartet und als Memberserver in die UCS Domäne gejoint. Für den Memberserver wird im LDAP ein zugehöriges Rechner-Objekt angelegt.

Der Container ist per Netzwerk nur von dem Rechner aus zu erreichen, auf dem die App installiert ist. Die App kann aber bestimmte Ports öffnen, die dann vom eigentlichen Rechner in den Container weitergeleitet werden. Die Firewall von UCS wird entsprechend automatisch konfiguriert, damit der Zugriff auf die Ports möglich ist.

Wird eine Kommandozeile in der Umgebung der App benötigt, muss zunächst in den Container gewechselt werden. Dazu kann folgender Befehl ausgeführt werden (hier am Beispiel der fiktiven App demo-docker-app):

univention-app shell demo-docker-app

Docker Apps lassen sich über das UMC-Modul weiter konfigurieren. Die App kann gestartet und gestoppt, sowie die Autostart-Option gesetzt werden:

Darüber hinaus können Apps ggf. über weitere Parameter angepasst werden. Das Menü dafür ist über den Button App-Einstellungen einer installierten App zu erreichen.

§

Abbildung 5.4. Einstellungen einer Applikation im App Center

Nach der Installation einer Applikation werden beim Klick auf das Icon einer Applikation eine oder mehrere neue Optionen angezeigt: Deinstallieren entfernt eine Applikation. Öffnen verweist auf eine Webseite oder ein UMC-Modul, mit dem die installierte Applikation weitergehend konfiguriert oder verwendet werden kann. Installiert man beispielsweise die Horde-Applikation, führt dieser Link auf den Login-Dialog. Bei Applikationen ohne Webinterface oder UMC-Modul wird die Option nicht angezeigt.

Aktualisierungen für Applikationen erfolgen unabhängig von den Release-Zyklen für Univention Corporate Server. Ist eine neue Version einer Applikation verfügbar, wird der Menüpunkt Aktualisieren angezeigt, der die Installation der neuen Version startet. Wenn Aktualisierungen verfügbar sind, wird außerdem im UMC-Modul Software-Aktualisierung Univention Management Console ein entsprechender Hinweis ausgegeben.

Eine Übersicht über die installierten Applikationen in der Domäne kann auf der UMC-Startseite unter Installierte Applikationen abgerufen werden. Installationen und das Entfernen von Paketen werden in der Logdatei /var/log/univention/management-console-module-appcenter.log protokolliert.

UCS-Systeme können auf zwei Wegen aktualisiert werden; entweder pro einzelnem System (über Univention Management Console oder auf der Kommandozeile) oder für größere Gruppen von UCS-Systemen automatisiert über eine UMC-Rechner-Richtlinie.

§5.4.2. Aktualisierung eines einzelnen Systems in Univention Management Console

Mit dem UMC-Modul Software-Aktualisierung können Versions- und Errata-Updates installiert werden.

In Abbildung 5.5 ist die Übersichtsseite des Moduls dargestellt. Im oberen Teil des Dialogs wird unter Release-Aktualisierungen der aktuelle Installationsstand angezeigt.

§

Abbildung 5.5. Aktualisierung eines UCS-Systems über UMC

Sollte eine neuere UCS-Version vorhanden sein, wird eine Auswahlliste präsentiert. Durch einen Klick auf Release-Aktualisierungen installieren werden nach Bestätigung alle Updates bis zur jeweiligen Version eingespielt. Zuvor wird ein Hinweis auf mögliche Einschränkungen der Serverdienste während des Updates angezeigt. Eventuelle Zwischenversionen werden automatisch mitinstalliert.

Durch einen Klick auf Errata-Aktualisierungen installieren werden alle für das aktuelle Release und die eingebundenen Komponenten verfügbaren Errata-Updates eingerichtet.

Mit Paket-Aktualisierungen prüfen wird eine Aktualisierung der momentan eingetragenen Paketquellen aktiviert. Dies kann etwa verwendet werden, wenn für eine Komponente eine aktualisierte Version bereitgestellt wurde.

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

§5.4.4. Aktualisierung von Systemen über eine Rechner-Richtlinie

Mit einer Automatische Updates-Richtlinien in den UMC-Modulen zur Rechner- und Domänenverwaltung lässt sich ein Update für mehrere Rechner konfigurieren (siehe auch Abschnitt 4.6).

§

Abbildung 5.6. Aktualisierung eines UCS-Systems über eine Update-Richtlinie

Nur wenn das Auswahlfeld Aktiviere Release-Updates aktiviert ist, wird eine Release-Aktualisierung durchgeführt.

Das Eingabefeld Bis zu dieser UCS-Version aktualisieren enthält die Versionsnummer, bis zu der das System aktualisiert werden soll, z.B. 4.4-0. Wird keine Angabe gemacht, aktualisiert sich das System bis zur höchsten verfügbaren Versionsnummer.

Der Zeitpunkt, zu dem die Aktualisierung durchgeführt wird, wird über eine Paketpflege-Richtlinie konfiguriert (siehe Abschnitt 5.7).

Die während der Aktualisierung erzeugten Meldungen werden in die Datei /var/log/univention/updater.log geschrieben.

Paketinstallationen und Updates können entweder vom Univention-Update-Server oder von einem lokal gepflegten Repository durchgeführt werden. Ein lokales Repository ist sinnvoll, wenn viele UCS-Systeme zu aktualisieren sind, da Updates in diesem Fall nur einmalig heruntergeladen werden müssen. Da Repositorys auch offline aktualisiert werden können, ermöglicht ein lokales Repository auch die Aktualisierung von UCS-Umgebungen ohne Internetanbindung.

Anhand der registrierten Einstellungen werden APT-Paketquellen für Release- und Errata-Updates sowie Addon-Komponenten im Verzeichnis /etc/apt/sources.list.d/ automatisch generiert. Sollten auf einem System weitere Repositorys benötigt werden, können diese in die Datei /etc/apt/sources.list eingetragen werden.

Bei einer Neuinstallation wird in der Grundeinstellung das Univention-Repository updates.software-univention.de verwendet.

Das Univention-Repository und andere Repository-Komponenten unterscheiden zwischen zwei Bestandteilen:

Ein lokales Repository kann - gerade bei Einbindung des unmaintained-Zweiges - viel Plattenplatz in Anspruch nehmen.

ucr set repository/online/architectures="i386 amd64"
univention-repository-update net

univention-repository-update -h

Die Erstauswahl der Softwarekomponenten eines UCS-Systems erfolgt im Rahmen der Installation. Die Auswahl der Softwarekomponenten erfolgt dabei funktionsbezogen, indem etwa die Komponente Proxy-Server ausgewählt wird, die dann über ein Meta-Paket die eigentlichen Software-Pakete nachzieht. Der Administrator muss dazu die eigentlichen Paketnamen nicht kennen. Für weitergehende Aufgaben können aber auch einzelne Pakete gezielt installiert und entfernt werden. Bei der Installation eines Pakets werden unter Umständen Pakete mitinstalliert, die für die Funktion des angegebenen Pakets erforderlich sind, die sogenannten Paketabhängigkeiten. Alle Softwarekomponenten werden aus einem Repository geladen (siehe Abschnitt 5.5).

Fremdsoftware, die nicht im Debian-Paketformat vorliegt, sollte in die Verzeichnisse /opt/ oder /usr/local/ installiert werden. UCS-Pakete nutzen diese Verzeichnisse nicht, so dass eine saubere Trennung von UCS- und Fremdsoftware gewährleistet ist.

Um auf einem bereits installierten System nachträglich weitere Pakete zu installieren, stehen mehrere Möglichkeiten zur Verfügung:

§5.6.1. Installation/Deinstallation von UCS-Komponenten im Univention App Center

Alle Softwarekomponenten, die im Univention Installer angeboten werden, können auch über das Univention App Center nachträglich installiert und entfernt werden. Dazu muss die Paket-Kategorie UCS-Komponenten ausgewählt werden. Weitere Hinweise zum Univention App Center finden sich in Abschnitt 5.3.

§

Abbildung 5.7. Auswahl von UCS-Komponenten im App Center

§5.6.2. Installation/Deinstallation von einzelnen Paketen in Univention Management Console

Mit dem Univention Management Console-Modul Paket Verwaltung können einzelne Softwarepakete installiert und deinstalliert werden.

§

Abbildung 5.8. Installation des Pakets univention-squid in Univention Management Console

Auf der Startseite wird eine Suchmaske angezeigt in der die Paketkategorie und ein Suchfilter (Name oder Beschreibung) zur Auswahl stehen. Die Ergebnisliste besteht aus einer Tabelle mit den folgenden Spalten:

• Paketname
• Paketbeschreibung
• Paketstatus

Durch einen Klick auf eine Zeile in der Ergebnisliste wird eine detaillierte Informationsseite zu dem Softwarepaket angezeigt, u.a. eine ausführliche Beschreibung und die Versionsnummer.

Zusätzlich werden ein oder mehrere Buttons angezeigt: Installieren wird angezeigt, falls das Softwarepaket noch nicht installiert ist, Deinstallieren, falls das Paket installiert ist und Aktualisieren falls das Softwarepaket bereits installiert, aber nicht aktuell ist. Durch Schließen kann zu der vorherigen Suchabfrage zurückgekehrt werden.

univention-install PAKETNAME

univention-remove PAKETNAME

apt-cache search fax

/var/lib/univention-appcenter/apps/{appid}/local/hooks/post-install.d/
/var/lib/univention-appcenter/apps/{appid}/local/hooks/post-upgrade.d/
/var/lib/univention-appcenter/apps/{appid}/local/hooks/post-remove.d/

Mit einer Paketpflege-Richtlinie (siehe auch Abschnitt 4.6) in den UMC-Modulen zur Rechner und Domänenverwaltung kann ein Zeitpunkt vorgegeben werden, an dem die folgenden Schritte durchgeführt werden:

Alternativ können die Aktualisierungen auch beim Systemstart oder beim Herunterfahren des Systems erfolgen.

Der Software-Monitor ist eine Datenbank, in der Informationen über die auf UCS-Systemen installierten Softwarepakete aufgezeichnet werden. Durch diese Datenbank kann sich ein Administrator einen Überblick verschaffen, welche Release- und Paketversionen auf den Systemen der Domäne installiert sind und diese Informationen bei der schrittweisen Aktualisierung einer UCS-Domäne nutzen und Installations-Probleme erkennen.

Der Software-Monitor kann mit der Applikation Software-Installationsmonitor aus dem Univention App Center installiert werden. Alternativ kann das Softwarepaket univention-pkgdb installiert werden. Weitere Informationen finden sich in Abschnitt 5.6.

UCS-Systeme aktualisieren ihre Einträge bei der Installation, Entfernung und Aktualisierung von Software automatisch. Das System, auf dem der Software-Monitor betrieben wird, wird dabei durch den DNS-Service-Record _pkgdb._tcp lokalisiert.

Die webbasierte Abfrageschnittstelle des Software-Monitors integriert sich in die Univention Management Console und kann über das Modul Software-Monitor erreicht werden. Folgende Funktionen stehen zur Verfügung:

§

Abbildung 5.9. Suche nach Paketen im Software-Monitor

Wenn verhindert werden soll, dass UCS-Systeme Installations-Vorgänge im Software-Monitor aufzeichnen (etwa weil keine Netzwerkverbindung zur Datenbank besteht), kann dies durch Setzen der Univention Configuration Registry-Variable pkgdb/scan auf no abgeschaltet werden. Wenn die Aufzeichnungen danach wieder aktiviert werden, muss das Kommando univention-pkgdb-scan ausgeführt werden, damit die in der Zwischenzeit installierten Paketversionen in die Datenbank übernommen werden.

Mit dem folgenden Befehl kann der Programmbestand eines Systems wieder aus der Datenbank entfernt werden:

univention-pkgdb-scan --remove-system RECHNERNAME

Benutzer werden im UMC-Modul Benutzer verwaltet (siehe auch Abschnitt 4.4).

§

Abbildung 6.1. Anlegen eines Benutzers in UMC

Über Weiter in Abbildung 6.1 gelangt man auf die zweite Seite Abbildung 6.2, auf der dann das initiale Passwort gesetzt werden kann.

§

Abbildung 6.2. Passwortvergabe für einen neuen Benutzer

Alternativ besteht bei installierter Self Service-App die Möglichkeit, das Setzen des Passworts dem Benutzer selbst zu überlassen. Dafür ist dann eine externe E-Mail-Adresse anzugeben, die als Kontakt-E-Mail-Adresse registriert wird. An diese erhält dann der Benutzer eine E-Mail mit einer Web-Adresse und einem Token, mit dem er sein Passwort setzen und seinen Zugang freischalten kann. Siehe dazu auch Abschnitt 6.5.2.

§

Abbildung 6.3. Initiales Benutzerpasswort

In der Grundeinstellung wird zum Anlegen eines Benutzers ein vereinfachter Assistent angezeigt, der nur die wichtigsten Einstellungen abfragt. Durch einen Klick auf Erweitert in Abbildung 6.1 werden alle Attribute angezeigt. Der vereinfachte Assistent kann deaktiviert werden, indem die Univention Configuration Registry-Variable directory/manager/web/modules/users/user/wizard/disabled auf true gesetzt wird.

§

Abbildung 6.4. Erweiterte Benutzeransicht

Viele Apps aus dem App Center sind mit dem zentralen Identity Management in UCS verknüpft. Dadurch können Systemadministratoren die Benutzer für Apps aktivieren. In manchen Fällen können noch weitere App spezifische Einstellungen für den Benutzer vorgenommen werden. Das ist abhängig von der App und wie diese das Identity Management nutzt.

§

Abbildung 6.5. Benutzeraktivierung für installierte Apps

Sobald eine App in der UCS-Umgebung installiert ist, die die Benutzeraktivierung verwendet, erscheint sie mit Logo im Reiter Apps des Benutzers im UMC Modul Benutzer. Mit einem Haken in der Checkbox wird der Benutzer für die App aktiviert. Wenn noch weitere Einstellungen für die Berechtigung gemacht werden können, erscheint ein zusätzlicher Reiter mit dem Namen der App, um diese Parameter zu setzen. Die App Aktivierung und die Parameter werden am Benutzerobjekt im LDAP-Verzeichnisdienst von UCS gespeichert.

Um einem Benutzer die Berechtigung zur Nutzung einer App wieder zu entziehen, genügt es, den Haken aus Checkbox zu entfernen.

Wenn die App deinstalliert wird, wird die Checkbox der Benutzeraktivierung für die App vom Reiter Apps des Benutzers im UMC Modul entfernt.

Schwer zu erratende Passwörter und regelmäßige Passwortwechsel sind ein wichtiger Baustein der Systemsicherheit einer UCS-Domäne. Folgende Eigenschaften lassen sich für Benutzer über eine Passwort-Richtlinie konfigurieren. Wird Samba eingesetzt, greifen für Anmeldungen an Windows-Clients die Einstellungen des Samba-Domänenobjekts (siehe Abschnitt 6.4). Die Einstellungen des Samba-Domänenobjekts und der Richtlinie sollten identisch gesetzt werden, sonst greifen für Anmeldungen an Windows- und UCS-Systemen unterschiedliche Passwortanforderungen.

Für jeden im Managementsystem gespeicherten Benutzer wird das Passwort in verschiedenen Attributen gespeichert:

Passwortänderungen werden immer über Kerberos initiiert, entweder über die UCS-PAM-Konfiguration oder über Samba.

§

Abbildung 6.6. Konfiguration einer Passwort-Richtlinie

Mit dem Samba-Domänenobjekt können die Passwortanforderungen bei der Anmeldung an Windows-Clients in einer Samba-Domäne festgelegt werden.

Das Samba-Domänenobjekt wird über das UMC-Modul LDAP-Verzeichnis verwaltet. Es befindet sich im Container samba unterhalb der LDAP-Basis und trägt den NetBIOS-Namen der Domäne.

Die Einstellungen des Samba-Domänenobjekts und der Richtlinie (siehe Abschnitt 6.3) sollten identisch gesetzt werden, sonst greifen für Anmeldungen für Anmeldungen an Windows- und UCS-Systemen unterschiedliche Passwortanforderungen.

Standardmäßig kann ein Benutzer sein Passwort beliebig oft falsch eingeben. Um Brute Force-Angriffe auf Passwörter zu erschweren, kann eine automatische Sperre von einem Benutzerkonto nach einer konfigurierbaren Anzahl von fehlerhaften Anmeldungen aktiviert werden.

UCS vereinheitlicht verschiedene Methoden zur Authentifizierung und Autorisierung von Benutzern. Abhängig von den installierten Softwarekomponenten kann es verschiedene Mechanismen geben, wie fehlgeschlagene Anmeldeversuche konfiguriert und gezählt werden.

Im folgenden werden die drei unterschiedlichen Methoden beschrieben.

ucr set ldap/ppolicy=yes ldap/ppolicy/enabled=yes
/etc/init.d/slapd restart

univention-ldapsearch objectclass=pwdPolicy

ldapmodify -x -D cn=admin,$(ucr get ldap/base) -y /etc/ldap.secret <<__EOT__
dn: cn=default,cn=ppolicy,cn=univention,$(ucr get ldap/base)
changetype: modify
replace: pwdMaxFailure
pwdMaxFailure: 10
__EOT__

Mit einer Benutzervorlage können beim Anlegen eines Benutzers Einstellungen vorgegeben werden. Ist mindestens eine Benutzervorlage definiert, kann sie beim Anlegen eines Benutzer ausgewählt werden.

§

Abbildung 6.12. Auswahl einer Benutzervorlage

Benutzervorlagen werden im UMC-Modul LDAP-Verzeichnis verwaltet. Dort muss in den Container univention und dort in den Untercontainer templates gewechselt werden. Hier kann über Hinzufügen mit dem Objekt-Typ Einstellungen: Benutzervorlage eine neue Benutzervorlage angelegt werden.

In einer Benutzervorlage kann entweder ein fester Wert vorgegeben werden (z.B. für die Anschrift) oder ein Attribut der Benutzerverwaltung referenziert werden. Attribute werden dabei in spitzen Klammern referenziert.

Eine Liste möglicher Attribute kann mit dem Befehl:

univention-directory-manager users/user

im Abschnitt users/user variables der Ausgabe ermittelt werden.

Wird beim Hinzufügen eines Benutzers eine Benutzervorlage verwendet, überschreibt diese alle in der Vorlage vorkommenden Felder mit dem in der Vorlage gesetzten Wert. Dabei gilt ein leeres Feld ebenfalls als auf "" gesetzt.

Es können auch nur Teilwerte von Attributen übernommen werden und Werte in Groß-/Kleinschreibung konvertiert werden:

So kann beispielsweise das UNIX-Heimatverzeichnis unter /home/<title>.<lastname> angelegt werden oder die primäre E-Mail-Adresse mit <firstname>.<lastname>@firma.com vordefiniert werden. Ersetzungen sind grundsätzlich für beliebige Werte möglich, eine syntaktische oder semantische Überprüfung erfolgt jedoch nicht. Wird beispielsweise beim Anlegen des Benutzers kein Vorname angegeben, würde die obige E-Mail-Adresse mit einem Punkt beginnen und wäre somit nach dem E-Mail-Standard ungültig. Ähnliche Fehlerquellen können auch im Umgang mit Dateipfaden etc. auftreten. Nicht auflösbare Attribute (etwa durch Tippfehler in der Vorlage) werden gelöscht.

Wird nicht der komplette Attributwert, sondern nur ein einzelnes Zeichen des Attributs benötigt, kann in der Benutzervorlage nach dem Attributnamen der Index des benötigten Zeichens in eckigen Klammern angegeben werden. Die Zählung der Zeichen des Attributs beginnt bei 0, so dass z.B. der Index 1 dem zweiten Zeichen des Attributwertes entspricht. Mit <firstname>[0].<lastname>@firma.com wird beispielsweise eine E-Mail-Adresse aus dem ersten Buchstaben des Vornamens sowie dem Nachnamen gebildet.

Eine Teilzeichenkette des Attributwerts kann über die Angabe eines Bereichs in eckigen Klammern erreicht werden. Dabei ist der Index des ersten benötigten Zeichens sowie der Index des letzten benötigten Zeichens plus 1 anzugeben. Die Angabe <firstname>[2:5] gibt z.B. das dritte bis fünfte Zeichen des Vornamens zurück.

Das Anhängen von :lower oder :upper an den Attributnamen führt dazu, dass der Attributwert in Klein- oder Großschreibung umgewandelt wird, z.B. <firstname:lower>. Wird ein Modifikator wie :lower an das Ende des Feldes angehängt, wird der komplette Wert umgewandelt, z.B. <lastname>@company.com<:lower>.

Durch die Option :umlauts werden Sonderzeichen wie è, ä oder ß in entsprechende ASCII-Zeichen umgewandelt.

Durch die Option :alphanum werden alle nicht alphanumerischen Zeichen, wie ` oder # entfernt. In der UCR Variable directory/manager/templates/alphanum/whitelist können Zeichen definiert werden, die von dieser Option ignoriert werden. Zu beachten ist, dass wenn diese Option auf das ganze Feld angewendet wird, auch manuell gesetzte Zeichen entfernt werden. Zum Beispiel das @-Zeichen in der E-Mail-Adresse. Daher sollte man diese Option nur auf einzelne Attribute anwenden oder die Whitelist anpassen.

Die Optionen :strip bzw. :trim entfernen alle Leerzeichen am Anfang und Ende der Zeichenkette.

Optionen können auch kombiniert werden, z.B: :umlauts,upper.

Das optionale lastbind Overlay-Modul für OpenLDAP ermöglicht die Aufzeichnung des Zeitstempels der letzten erfolgreichen LDAP-Anmeldung im authTimestamp Attribut und kann z.B. zur Erkennung nicht genutzter Konten verwendet werden.

Das lastbind Overlay-Modul kann aktiviert werden, indem die Univention Configuration Registry-Variable ldap/overlay/lastbind auf yes gesetzt und der OpenLDAP-Server neu gestartet wird. Wenn das Modul auf einem UCS-Server aktiviert ist, wird der Zeitstempel einer erfolgreichen LDAP-Anmeldung eines Kontos, in das authTimestamp Attribut jenes Kontos geschrieben. Die Univention Configuration Registry-Variable ldap/overlay/lastbind/precision kann verwendet werden, um die Zeit in Sekunden zu konfigurieren, die vergehen muss, bevor das authTimestamp Attribut aktualisiert wird. Dies verhindert eine große Anzahl von Schreiboperationen, die die Leistung beeinträchtigen können.

Das authTimestamp Attribut kann nur auf dem LDAP-Server abgefragt werden, auf dem das lastbind Overlay-Modul aktiviert ist. Es wird nicht auf andere LDAP-Server repliziert. Aus diesem Grund kann das Skript /usr/share/univention-ldap/univention_lastbind.py ausgeführt werden, um den jüngsten authTimestamp Wert von allen erreichbaren LDAP-Servern in der UCS-Domäne zu sammeln und in das erweiterte UDM Attribut lastbind eines Benutzers zu speichern. Das Skript kann aufgerufen werden, um das erweiterte Attribut lastbind eines oder aller Benutzer zu aktualisieren. Das erweiterte Attribut lastbind wird auf das LDAP-Attribut univentionAuthTimestamp abgebildet.

Eine Möglichkeit, das erweiterte Attribute lastbind aktuell zu halten, ist durch das Anlagen eines Cron-Jobs via UCR:

ucr set cron/update_lastbind_attribute/command='/usr/share/univention-ldap/univention_lastbind.py --allusers' \
        cron/update_lastbind_attribute/time='00 06 * * *'  # Täglich um 06:00 Uhr

Weitere Informationen über die Einstellung von Cron-Jobs über UCR können in Abschnitt 8.4.8.3 gefunden werden.

Gruppen werden im UMC-Modul Gruppen verwaltet (siehe auch Abschnitt 4.4).

§

Abbildung 7.1. Anlegen einer Gruppe in UMC

UCS unterstützt die Verschachtelung von Gruppen (auch bekannt als "Gruppen in Gruppen"). Dies vereinfacht die Verwaltung der Gruppen: Werden in einer Domäne beispielsweise zwei Standorte verwaltet, können zwei Gruppen Techniker Standort A und Techniker Standort B gebildet werden, denen jeweils die Benutzerkonten der Standort-Techniker zugewiesen werden. Um eine standortübergreifende Techniker-Gruppe zu bilden, reicht es dann aus, die Gruppen Techniker Standort A und Techniker Standort B als Mitglieder dieser Gruppe zu definieren.

Zyklische Abhängigkeiten von Gruppen in Gruppen werden erkannt und abgewiesen. Diese Prüfung kann durch die Univention Configuration Registry-Variable directory/manager/web/modules/groups/group/checks/circular_dependency deaktiviert werden. Auch bei direkten Gruppenänderungen ohne das UCS-Managementsystem müssen zyklische Mitgliedschaften vermieden werden.

Die Auflösung der verschachtelten Gruppenmitgliedschaften erfolgt während der Expandierung des Gruppencaches (siehe Abschnitt 7.3) und ist somit für Applikationen transparent.

Aus dem LDAP aufgelöste Benutzer- und Rechnerinformationen werden durch den Name Server Cache Daemon zwischengespeichert, siehe Abschnitt 8.4.9.

Die Zwischenspeicherung der Gruppen erfolgt seit UCS 3.1 aus Performance- und Stabilitätsgründen nicht mehr über den NSCD, sondern durch das NSS-Modul libnss-extrausers. Die Gruppeninformationen werden automatisch durch das Skript /usr/lib/univention-pam/ldap-group-to-file.py in die Datei /var/lib/extrausers/group exportiert und dort von dem NSS-Modul ausgelesen.

Der Export erfolgt in der Grundeinstellung alle 15 Minuten durch einen Cron-Job und wird zusätzlich gestartet wenn der Univention Directory Listener 15 Sekunden inaktiv gewesen ist. Der Intervall für die Cron-Aktualisierung wird über die Univention Configuration Registry-Variable nss/group/cachefile/invalidate_interval in Cron-Syntax (siehe Abschnitt 8.4.8.2) festgelegt Das Listener-Modul kann über die Univention Configuration Registry-Variable nss/group/invalidate_cache_on_changes aktiviert/deaktiviert werden (true/false).

Während des Generierens der Gruppencache-Datei kann das Skript prüfen, ob die Gruppenmitglieder weiterhin im LDAP-Verzeichnis vorhanden sind. Wird für die Verwaltung der Verzeichnisdaten nicht ausschließlich Univention Management Console eingesetzt, kann diese zusätzliche Prüfung durch Setzen der Univention Configuration Registry-Variable nss/group/cachefile/check_member auf true aktiviert werden.

Wird Samba 4 eingesetzt, werden die Gruppenmitgliedschaften zwischen dem Samba 4-Verzeichnisdienst und dem OpenLDAP-Verzeichnisdienst durch den Univention S4-Connector synchronisiert, d.h. jede Gruppe auf UCS-Seite ist einer Gruppe im Active Directory assoziiert. Allgemeine Hinweise zum Univention S4 Connector finden sich in Abschnitt 9.2.2.4.

Einzige Ausnahme sind die Pseudo-Gruppen (manchmal auch als Systemgruppen bezeichnet). Diese werden nur intern von Active Directory/Samba 4 verwaltet, z.B. enthält die Gruppe Authenticated Users eine Liste aller aktuell an einem System angemeldeten Benutzer. Pseudo-Gruppen sind im UCS-Verzeichnisdienst vorhanden; sie werden aber nicht durch den Univention S4 Connector synchronisiert und müssen normalerweise nicht bearbeitet werden. Dies betrifft die folgenden Gruppen:

Man unterscheidet in Samba 4/Active Directory zwischen den folgenden vier AD-Gruppentypen. Diese Gruppentypen können auf zwei Arten von Gruppen angewendet werden; Sicherheitsgruppen konfigurieren Berechtigungen (entsprechend den UCS-Gruppen), während Verteilungsgruppen für Mailverteiler genutzt werden:

Im UCS-Verzeichnisdienst werden Gruppenmitgliedschaften nur an den Gruppenobjekten und nicht am jeweiligen Benutzerobjekt gespeichert. Einige Applikationen erwarten jedoch die Gruppenmitgliedschaften an den Benutzerobjekten (z.B. im Attribut memberOf). Durch ein optionales Overlay-Modul im LDAP-Server können diese Attribute automatisch anhand der Gruppeninformationen angezeigt werden. Die zusätzlichen Attribute werden nicht in das LDAP geschrieben, sondern bei einer Anfrage durch das Overlay-Modul ermittelt und angezeigt.

Dazu muss auf allen LDAP-Servern das Paket univention-ldap-overlay-memberof installiert werden. Anschließend muss /usr/share/univention-ldap-overlay-memberof/univention-update-memberof auf allen Servern aufgerufen werden.

In der Grundeinstellung wird das Benutzerattribut memberOf dargestellt. Mit der Univention Configuration Registry-Variable ldap/overlay/memberof/memberof kann auch ein anderes Attribut konfiguriert werden.