UCS 3.2-5 Release Notes

Release Notes für die Inbetriebnahme und Aktualisierung von Univention Corporate Server (UCS) 3.2-5


Inhaltsverzeichnis

1. Univention Corporate Server (UCS) 3.2-5
2. Empfohlene Update-Reihenfolge für Umgebungen mit mehr als einem UCS-Server
3. Vorbereitung des Updates
4. Nachbereitung des Updates
4.1. Betrieb eines lokalen Repository-Servers / Preup- und Postup-Skripte
5. Hinweise zum Einsatz einzelner Pakete
5.1. Erfassung von Nutzungsstatistiken bei Verwendung der Free-For-Personal-Use-Version
5.2. UEFI-Installations-DVD
5.3. Umfang des Sicherheits-Supports von Webkit, Konqueror und QtWebKit
5.4. Empfohlene Browser für den Zugriff auf die Univention Management Console
5.5. Einschränkungen im Samba 4-Betrieb
5.6. Installation in VirtualBox
5.7. Installation in Citrix XenServer
5.8. Migration einer Samba 3-Umgebung auf Samba 4
5.9. Xen
6. Changelog
6.1. General
6.2. Basic system services
6.2.1. Linux kernel and firmware packages
6.2.2. Univention Configuration Registry
6.3. Domain services
6.3.1. OpenLDAP
6.3.1.1. LDAP schema changes
6.3.1.2. Listener/Notifier domain replication
6.4. Univention Management Console
6.4.1. Univention Management Console web interface
6.4.2. Univention Management Console server
6.4.3. Univention App Center
6.4.4. Basic settings / Appliance mode
6.4.5. Users module
6.4.6. Online update module
6.4.7. Policies
6.4.8. Printers module
6.4.9. Other modules
6.4.10. Univention Directory Manager command line interface and related tools
6.5. Software deployment
6.5.1. Software deployment command line tools
6.6. Univention Library
6.7. Virtualisation
6.7.1. Univention Virtual Machine Manager (UVMM)
6.7.2. Xen
6.7.3. Libvirt
6.8. Services for Windows
6.8.1. Samba
6.8.2. Univention S4 Connector
6.9. Other changes
Literaturverzeichnis

Kapitel 1. Univention Corporate Server (UCS) 3.2-5

Mit Univention Corporate Server 3.2-5 steht das fünfte Point-Release für Univention Corporate Server (UCS) zur Verfügung. Vorhandene UCS-Systeme können über das von Univention bereitgestellte Online-Repository aktualisiert werden. Alternativ können Updates über eine Update-DVD eingespielt werden. Für Neuinstallationen stehen UCS 3.2-5 ISO-Images zur Verfügung. UCS 3.2-5 beinhaltet alle für UCS 3.2-4 veröffentlichten Errata-Updates. Die wichtigsten Änderungen im Überblick:

  • Verbesserung der Stabilität des Managementsystems in bestimmten Situationen

  • Vereinfachung des Update-Prozesses von UCS 3.2 auf 4.0

  • Zahlreiche Verbesserungen in der Samba 4/Active Directory-Integration von UCS, bspw. bei der Verwendung von Microsoft SharePoint

Kapitel 2. Empfohlene Update-Reihenfolge für Umgebungen mit mehr als einem UCS-Server

In Umgebungen mit mehr als einem UCS-System muss die Update-Reihenfolge der UCS-Systeme beachtet werden:

Auf dem Domänencontroller Master wird die maßgebliche (authoritative) Version des LDAP-Verzeichnisdienstes vorgehalten, die an alle übrigen LDAP-Server der UCS-Domäne repliziert wird. Da bei Release-Updates Veränderungen an den LDAP-Schemata auftreten können, muss der Domänencontroller Master bei einem Release-Update immer als erstes System aktualisiert werden.

Generell ist es empfehlenswert, alle UCS-Systeme möglichst in einem Wartungsfenster zu aktualisieren.

Kapitel 3. Vorbereitung des Updates

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 6 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation mindestens 1 GB weiteren Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der Console mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über die Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools screen oder at eingesetzt werden, die standardmäßig installiert sind.

Kapitel 4. Nachbereitung des Updates

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen: Entweder über das UMC-Modul Domänenbeitritt oder durch Aufruf des folgenden Befehls als Benutzer root:

univention-run-join-scripts

Anschließend sollte das UCS-System neu gestartet werden.

4.1. Betrieb eines lokalen Repository-Servers / Preup- und Postup-SkripteFeedback

Preup- und Postup-Skripte sind Skripte, die vor und nach Release-Updates aufgerufen werden (z.B. zur Nachbereitung des Updates, etwa die Deinstallation nicht mehr benötigter Pakete). Ab UCS 3.2 werden diese Skripte kryptographisch signiert, um eine unerlaubte Modifikation zu verhindern. Beim Update und Spiegeln des Repositories werden diese Signaturen überprüft. Sind diese ungültig oder fehlen, so wird die Aktion abgebrochen.

Wird ein Repository-Server mit UCS 3.1-x betrieben, muß dieser auf UCS 3.2 aktualisiert werden, bevor weitere Systeme auf UCS 3.2-1 oder neuer aktualisiert werden können.

Wenn ein Update des Repository-Servers nicht möglich ist, müssen die Signaturdateien manuell heruntergeladen werden:

LOCAL_DIR="/var/lib/univention-repository/mirror"
SERVER="http://updates.software-univention.de"
for release in 3.2-0 3.2-1 3.2-2 3.2-3 3.2-4 3.2-4; do
	for script in preup postup; do
		file="3.2/maintained/$release/all/$script.sh.gpg"
		wget -O "$LOCAL_DIR/$file" "$SERVER/$file"
	done
done

Alternativ kann die Prüfung der Signaturen auch deaktiviert werden, was ein Sicherheitsrisiko darstellen kann. Für den Repository-Server kann dazu die Univention Configuration Registry-Variable repository/mirror/verify auf false gesetzt werden. Für das Update muß auf allen Systemen die Univention Configuration Registry-Variable repository/online/verify auf false gesetzt werden.

Kapitel 5. Hinweise zum Einsatz einzelner Pakete

5.1. Erfassung von Nutzungsstatistiken bei Verwendung der Free-For-Personal-Use-VersionFeedback

Bei Verwendung der Free for personal use-Version von UCS (die in der Regel für Evaluationen von UCS herangezogen wird) werden anonyme Nutzungsstatistiken zur Verwendung der Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung der Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der Free-for-Personal-Use-Lizenz. Der Lizenzstatus kann durch einen Klick auf das Zahnrad-Symbol in der rechten, oberen Ecke der Univention Management Console und die Auswahl von Lizenzinformationen geprüft werden. Steht hier unter Lizenztyp Free for personal use edition wird eine solche Version verwendet. Bei Einsatz einer regulären UCS-Lizenz wird keine Nutzungsstatistik gesammelt.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry-Variable umc/web/piwik auf false deaktiviert werden.

5.2. UEFI-Installations-DVDFeedback

Für die Architektur amd64 steht neben der Standard-Installations-DVD auch ein Medium mit Unterstützung für den Unified Extensible Firmware Interface-Standard (UEFI) bereit.

Auf Systemen, die nur einen UEFI-Start unterstützen, muss die UEFI-Installations-DVD anstelle der Standard-DVD verwendet werden.

5.3. Umfang des Sicherheits-Supports von Webkit, Konqueror und QtWebKitFeedback

Webkit, Konqueror und QtWebkit werden in UCS im maintained-Zweig des Repositorys mitgeliefert, aber nicht durch Sicherheits-Updates unterstützt. Webkit wird vor allem für die Darstellung von HTML-Hilfeseiten u.ä. verwendet. Als Web-Browser sollte Firefox eingesetzt werden.

5.4. Empfohlene Browser für den Zugriff auf die Univention Management ConsoleFeedback

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche JavaScript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden empfohlen:

  • Chrome ab Version 14

  • Firefox ab Version 10

  • Internet Explorer ab Version 9

  • Safari (auf dem iPad 2)

Auf älteren Browsern können Darstellungs- oder Performanceprobleme auftreten.

5.5. Einschränkungen im Samba 4-BetriebFeedback

In Samba 4 stehen einige Active-Directory-Funktionen noch nicht vollständig zur Verfügung:

  • Microsoft Windows Domänencontroller dürfen nicht einer Samba 4-Domäne beitreten und umgekehrt.

  • Eine selektive Replikation ist mit Samba 4 nicht möglich, da diese durch Active Directory prinzipiell nicht unterstützt wird (in UCS@school basiert die selektive Replikation auf der Listener/Notifier-Replikation).

  • Samba 4 unterstützt keine Forest-Domänen.

  • Samba 4 unterstützt keine Vertrauensstellungen.

Weitere Hinweise finden sich in Kapitel 8 des [ucs-handbuch].

5.6. Installation in VirtualBoxFeedback

Bei der Installation von UCS in der Virtualisierungslösung VirtualBox vor Version 4.2 kann folgender VirtualBox-Bug auftreten: Wenn von der Installations-DVD gebootet wird, bietet GRUB die Option Boot from first harddisk partition an. Wählt man diese Option aus, friert VirtualBox ein.

Als Workaround muß vor dem Neustart der UCS-VM entweder die Installations-DVD aus den Laufwerkseinstellungen der VirtualBox-VM entfernt werden oder beim Start der virtuellen Instanz F12 gedrückt und die Festplatte als Bootpartition ausgewählt werden. UCS startet danach dann problemlos.

5.7. Installation in Citrix XenServerFeedback

Bei der Installation von UCS in der Virtualisierungslösung Citrix XenServer 6.0 - 6.2 wird mit der standardmässig emulierten Cirrus-Grafikkarte das GRUB-Menü des Univention Installers nicht angezeigt. Der Univention Installer kann durch Drücken der ENTER-Taste direkt gestartet werden; alternativ startet die Installation automatisch nach sechzig Sekunden. Der dann gestartete Univention Installer wird normal dargestellt.

Um GRUB korrekt darzustellen, kann die von XenServer emulierte Grafikkarte umkonfiguriert werden. Dazu muss eine Anmeldung als Benutzer root auf dem XenServer-System folgen. Mit dem Befehl xe vm-list muss zuerst die UUID der virtuellen Maschine ermittelt werden. Mit dem folgenden Befehl wird dann die emulierte Grafikkarte auf VGA umkonfiguriert:

xe vm-param-set uuid=UUIDVM platform:vga=std

5.8. Migration einer Samba 3-Umgebung auf Samba 4Feedback

Es existieren zwei grundlegende Verfahren zur Migration von Samba 3 auf Samba 4:

  • Aufbau einer parallelen Samba 4-Domäne. Beide Domänen verwenden unterschiedliche NetBIOS-Namen und SIDs. Die Clients treten dann schrittweise der Samba 4-Domäne bei.

  • Migration aller Systeme innerhalb eines Wartungsfensters.

Beide Verfahren sind im Univention Wiki ausführlich dokumentiert: http://wiki.univention.de/index.php?title=Migration_from_Samba_3_to_Samba_4.

5.9. XenFeedback

Wenn der Xen Hypervisor benutzt wird und das Speicherlimit über die Univention Configuration Registry-Variable grub/xenhopt begrenzt wurde, sollte der Wert aktualisiert und um die ,max:-Angabe erweitert werden. Weitere Details finden sich unter http://wiki.univention.de/index.php?title=UVMM_Quickstart-3.1#Konfiguration_der_Dom0.

Kapitel 6. Changelog

Die Changelogs mit den detaillierten Änderungsinformationen werden nur in Englisch gepflegt. Aufgeführt sind die Änderungen seit UCS 3.2-4:

6.1. GeneralFeedback

All security updates issued for UCS 3.2-4 are included:
  • Package bsd-mailx: CVE-2014-7844 (Bug 37369)
  • Package eglibc: CVE-2012-6656 CVE-2014-0475 CVE-2014-5119 CVE-2014-6040 CVE-2014-7817 CVE-2014-9402 CVE-2015-0235 (Bug 33271).
  • Package firefox-de: CVE-2014-1587 CVE-2014-1589 CVE-2014-1590 CVE-2014-1592 CVE-2014-1593 CVE-2014-1594 CVE-2014-8634 CVE-2014-8638 CVE-2014-8639 CVE-2014-8641 (Bug 37140, Bug 37535)
  • Package firefox-en: CVE-2014-1587 CVE-2014-1589 CVE-2014-1590 CVE-2014-1592 CVE-2014-1593 CVE-2014-1594 CVE-2014-8634 CVE-2014-8638 CVE-2014-8639 CVE-2014-8641 (Bug 37140, Bug 37535)
  • Package libksba: CVE-2014-9087 (Bug 37034).
  • Package libtasn1-3: CVE-2014-3467 CVE-2014-3468 CVE-2014-3469 (Bug 35017)
  • Package libxml2: CVE-2014-0191 CVE-2014-3660 (Bug 35073)
  • Package linux: CVE-2014-0131 CVE-2014-2568 CVE-2014-4171 CVE-2014-4667 CVE-2014-5471 CVE-2014-5472 CVE-2014-3601 CVE-2014-5077 CVE-2014-6416 CVE-2014-6417 CVE-2014-6418 CVE-2014-3181 CVE-2014-3182 CVE-2014-3183 CVE-2014-3184 CVE-2014-3185 CVE-2014-3186 CVE-2014-7145 CVE-2014-7283 CVE-2014-6410 CVE-2014-7970 CVE-2014-7975 CVE-2014-3673 CVE-2014-3687 CVE-2014-3688 CVE-2014-3611 CVE-2014-3610 CVE-2014-7825 CVE-2014-7826 CVE-2014-7841 CVE-2014-8884 CVE-2014-9090 CVE-2014-9322 (Bug 35397, Bug 37143).
  • Package ntp: CVE-2014-9293 CVE-2014-9294 CVE-2014-9295 CVE-2014-9296 (Bug 37407).
  • Package openjdk-6: CVE-2014-2490 CVE-2014-4219 CVE-2014-4216 CVE-2014-4262 CVE-2014-4209 CVE-2014-4218 CVE-2014-4252 CVE-2014-4268 CVE-2014-4244 CVE-2014-4263 CVE-2014-4266 CVE-2014-6457 CVE-2014-6502 CVE-2014-6504 CVE-2014-6506 CVE-2014-6511 CVE-2014-6512 CVE-2014-6517 CVE-2014-6519 CVE-2014-6531 CVE-2014-6558 (Bug 35381).
  • Package openssl: CVE-2014-3570 CVE-2014-3571 CVE-2014-3572 CVE-2014-8275 CVE-2015-0204 CVE-2014-3566 CVE-2014-3567 CVE-2014-3568 (Bug 37493, Bug 36170)
  • Package openvpn: CVE-2014-8104 (Bug 37138).
  • Package php5: CVE-2014-1943 CVE-2014-2270 CVE-2014-0237 CVE-2014-0238 CVE-2014-3480 CVE-2014-0207 CVE-2014-4721 CVE-2014-4049 CVE-2014-3597 CVE-2014-3587 CVE-2014-3670 CVE-2014-3669 CVE-2014-3668 CVE-2014-8626 CVE-2014-3710 (Bug 34256).
  • Package samba: CVE-2014-8143 CVE-2015-0240 (Bug 37497, Bug 37731)
  • Package unzip: CVE-2014-8139 CVE-2014-8140 CVE-2014-8141 (Bug 37411)
  • Package xen-4.1: CVE-2014-8595 CVE-2014-8594 CVE-2014-9030 CVE-2014-8867 CVE-2014-8866 (Bug 36872).
  • Package xorg-server: CVE-2014-8091 CVE-2014-8092 CVE-2014-8093 CVE-2014-8094 CVE-2014-8095 CVE-2014-8096 CVE-2014-8097 CVE-2014-8098 CVE-2014-8099 CVE-2014-8100 CVE-2014-8101 CVE-2014-8102 (Bug 37272).

6.2. Basic system servicesFeedback

6.2.1. Linux kernel and firmware packagesFeedback

  • The Linux kernel has been updated to 3.10.62. This provides many bugfixes (Bug 35397, Bug 37143).
  • A regression in filesystem quota on ext2 filesystems has been fixed (Bug 37250).
  • A bug in ACL handling when using NFS file shares has been fixed (Bug 36990).

6.2.2. Univention Configuration RegistryFeedback

  • The file name for temporary files created by ucr commit now start with a dot to hide them by default (Bug 35954).

6.3. Domain servicesFeedback

6.3.1. OpenLDAPFeedback

6.3.1.1. LDAP schema changesFeedback

  • The object class msGPOContainer has been extended to support the new attribute msNTSecurityDescriptor (Bug 36978).

6.3.1.2. Listener/Notifier domain replicationFeedback

  • Fix shutdown of univention-directory-listener if failed.ldif exists (Bug 34761).

6.4. Univention Management ConsoleFeedback

6.4.1. Univention Management Console web interfaceFeedback

  • A display bug was resolved which showed scrollbars in the search input field in the user module when using the Chrome browser (Bug 35838).
  • A display but was resolved which caused the login button to be displaced when using the Firefox browser (Bug 34071).
  • Open the Software Update UMC module upon startup during release updates and show a information dialog about the current update process (Bug 37255).

6.4.2. Univention Management Console serverFeedback

  • Fix an error introduced in UCS 3.2-3 regarding the error handling of closed UMC module process sockets (Bug 36561).
  • Fixed a bug which prevented that UMC components could write into their logfiles (Bug 37159, Bug 37316).
  • Fix an error if the UMC server and the UMC module want to close the module process at the same time (Bug 37315).
  • Fixed handling of crashed UMC module processes (Bug 37379, Bug 37380).

6.4.3. Univention App CenterFeedback

  • A command to allow searching for multiple components at once has been added (Bug 37029).
  • The translation file for installed apps modules may have been corrupted during a release update. This has been fixed (Bug 36657).

6.4.4. Basic settings / Appliance modeFeedback

  • Fix the configuration of primary devices and MII monitoring in bonding network devices (Bug 36339, Bug 36341).

6.4.5. Users moduleFeedback

  • Simple authentication accounts can now be created much faster (the unnecessary UID locking is now omitted for these accounts) (Bug 34811).

6.4.6. Online update moduleFeedback

  • The hints and warning messages before or during the execution of a UCS update have been clarified (Bug 37254).
  • Extended the message shown in the UMC module if an app is blocking the update (Bug 37028).
  • List all blocking apps (or other components) in the UMC module (Bug 37029).

6.4.7. PoliciesFeedback

  • When executing a maintaince or release policy, a requested reboot is now only performed once all updates have been performed (Bug 37298).

6.4.8. Printers moduleFeedback

  • The Samba share option force printername was activated implictly during modifications of existing print shares. Now it only gets activated on new print shares and if the UCR variable samba/force_printername is not set to no or false (Bug 37475).

6.4.9. Other modulesFeedback

  • Fix killing and terminating of processes in the Process overview module if a backported python-psutil package is used (installed by some applications) (Bug 36439).
  • Remove references to the network object when deleting it (Bug 37377).

6.4.10. Univention Directory Manager command line interface and related toolsFeedback

  • Added support for the following operators in a UDM filter: <, <, <=, >=. (Bug 36970).

6.5. Software deploymentFeedback

6.5.1. Software deployment command line toolsFeedback

  • When using the command line tool univention-upgrade all components blocking an update are now displayed (Bug 37030).
  • Detect broken HTTP proxies like DansGuardian, which block downloading the Packages files and updater scripts while still signalling success (Bug 37031).
  • The update scripts have been adjusted to UCS 3.2-5 (Bug 37810).

6.6. Univention LibraryFeedback

  • Fix a bug introduced in UCS 3.2-3 in the atjobs library. It prevented e.g. the removal of room settings in the UCS@school computer room UMC module (Bug 36815).

6.7. VirtualisationFeedback

6.7.1. Univention Virtual Machine Manager (UVMM)Feedback

  • Handle failure to stop UVMMd during update more gracefully (Bug 37609).
  • Temporary files for noVNC token files are now created on the same partition to fix a problem with cross-device renaming (Bug 34725).
  • Paused VMs are now handled more similar to running VMs, which allows, for example, VNC to be used for paused VMs, too (Bug 35107).
  • Ignore errors reading UVMM profiles (Bug 37552).
  • The list of virtual machines now refreshes automatically in the UMC grid when leaving the detail page of a virtual machine (as actions taken there can influence the state of the machine). Also, the Univention Configuration Registry-Variable uvmm/umc/autosearch now only prevents the very first search on startup; manually clicking on the tree on the left refreshes the list even when autosearch is disabled. In addition, the grid is updated non-invasively at a configurable interval (Univention Configuration Registry-Variable uvmm/umc/autoupdate/interval) (Bug 35122).

6.7.2. XenFeedback

  • Fix decoding of hexadecimal escaped characters in description (Bug 36098).

6.7.3. LibvirtFeedback

  • Fix building the source package with newer Linux kernel headers (Bug 33974).

6.8. Services for WindowsFeedback

6.8.1. SambaFeedback

  • The Sharepoint document search showed no results due to failing group membership check. This has been fixed (Bug 37205).

6.8.2. Univention S4 ConnectorFeedback

  • GPO Security Descriptors can now be synchronised between OpenLDAP and the Samba directory service. By default this is not activated, an upcoming errata update for UCS@school 4.0 will make use of this feature (Bug 33768).
  • Ignore cn=Subschema and warn if the listener didn't pass entryUUID (Bug 35973).

6.9. Other changesFeedback

Literaturverzeichnis

[ucs-handbuch] Univention GmbH. 2014. Univention Corporate Server - Manual for users and administrators. http://docs.univention.de/manual-3.2.html.