UCS 4.3 Release Notes

Release Notes für die Inbetriebnahme und Aktualisierung von Univention Corporate Server (UCS) 4.3-4


Inhaltsverzeichnis

1. Release-Highlights
2. Hinweise zum Update
2.1. Empfohlene Update-Reihenfolge
2.2. UCS-Installations-DVDs nur noch als 64-Bit-Variante
3. Vorbereitung des Updates
4. Nachbereitung des Updates
5. Hinweise zum Einsatz einzelner Pakete
5.1. Erfassung von Nutzungsstatistiken
5.2. Umfang des Sicherheits-Supports von WebKit, Konqueror und QtWebKit
5.3. Empfohlene Browser für den Zugriff auf Univention Management Console
6. Changelog
6.1. General
6.2. Basic system services
6.2.1. Linux kernel and firmware packages
6.2.2. Univention Configuration Registry
6.2.2.1. Changes to templates and modules
6.3. Domain services
6.3.1. OpenLDAP
6.3.1.1. Listener/Notifier domain replication
6.4. Univention Management Console
6.4.1. Univention Management Console web interface
6.4.2. Univention Management Console server
6.4.3. Univention Directory Manager UMC modules and command line interface
6.4.4. Modules for system settings / setup wizard
6.4.5. Domain join module
6.4.6. System diagnostic module
6.4.7. Filesystem quota module
6.4.8. Other modules
6.5. Univention base libraries
6.6. Software deployment
6.7. System services
6.7.1. SAML
6.7.2. Dovecot
6.7.3. Printing services
6.7.4. Nagios
6.7.5. PAM / Local group cache
6.8. Virtualization
6.8.1. UCS Virtual Machine Manager (UVMM)
6.9. Services for Windows
6.9.1. Samba
6.9.2. Univention S4 Connector

§Kapitel 1. Release-Highlights

Mit Univention Corporate Server 4.3-4 steht das vierte Point-Release für Univention Corporate Server (UCS) 4.3 zur Verfügung. Es umfasst Funktionserweiterungen und Verbesserungen, neue Eigenschaften sowie diverse Detailverbesserungen und Fehlerkorrekturen. Die wichtigsten Änderungen im Überblick:

  • Der Univention Directory Notifier unterstützt eine neue Protokollversion. Metadaten der Verzeichnisreplikation werden jetzt zusätzlich in der LDAP Datenbank cn=translog gespeichert.

  • Die Unterstützung der Konfiguration mehrerer Zertifikate für Server Name Indication (SNI) wurde dem Paket univention-mail-dovecot hinzugefügt.

  • Der UCS Virtual Machine Manager (UVMM) wurde in mehreren Punkten verbessert: Die CPU und RAM Auslastung der Virtualisierungsserver wird nun dargestellt. Für virtuelle Maschinen die Windows ausführen wird jetzt Hyper-V Enlightenment konfiguriert. Es ist nun möglich einen Schutz vor der Überbelegung des RAM (RAM overcommitment) mit der Univention Configuration Registry-Variable uvmm/overcommit/reserved zu konfigurieren.

  • Die Eintrag der LDAP Wurzel kann nun wieder modifiziert werden, um beispielsweise Referenzen auf Richtlinien zu ändern.

  • Diverse Security Updates wurden in UCS 4.3-4 integriert, bspw. für den Linux Kernel, Samba und Apache2. Eine vollständige Liste ist in Kapitel 6 zu finden.

§Kapitel 2. Hinweise zum Update

Während der Aktualisierung kann es zu temporären Ausfällen von Diensten innerhalb der Domäne kommen. Aus diesem Grund sollte das Update innerhalb eines Wartungsfensters erfolgen. Grundsätzlich wird empfohlen, das Update zunächst in einer Testumgebung einzuspielen und zu testen. Die Testumgebung sollte dabei identisch zur Produktivumgebung sein. Je nach Systemgeschwindigkeit, Netzwerkanbindung und installierter Software kann das Update zwischen 20 Minuten und mehreren Stunden dauern.

§2.1. Empfohlene Update-Reihenfolge

In Umgebungen mit mehr als einem UCS-System muss die Update-Reihenfolge der UCS-Systeme beachtet werden:

Auf dem Domänencontroller Master wird die maßgebliche (authoritative) Version des LDAP-Verzeichnisdienstes vorgehalten, die an alle übrigen LDAP-Server der UCS-Domäne repliziert wird. Da bei Release-Updates Veränderungen an den LDAP-Schemata auftreten können, muss der Domänencontroller Master bei einem Release-Update immer als erstes System aktualisiert werden.

§2.2. UCS-Installations-DVDs nur noch als 64-Bit-Variante

UCS-Installations-DVDs werden ab UCS 4 nur noch für 64-Bit-Architekturen bereitgestellt. Vorhandene 32-Bit UCS 3 Systeme können weiterhin über das Online Repository oder über Update DVDs auf UCS 4 aktualisiert werden. Die 32-Bit-Architektur wird für die gesamte UCS 4 Maintenance noch unterstützt.

§Kapitel 3. Vorbereitung des Updates

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 10 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation ungefähr 4 GB zusätzlichen Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der lokalen Konsole des Systems mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools screen oder at eingesetzt werden, die auf allen UCS Systemrollen installiert sind.

§Kapitel 4. Nachbereitung des Updates

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen: Entweder über das UMC-Modul Domänenbeitritt oder durch Aufruf des Befehls univention-run-join-scripts als Benutzer root.

Anschließend muss das UCS-System neu gestartet werden.

§Kapitel 5. Hinweise zum Einsatz einzelner Pakete

§5.1. Erfassung von Nutzungsstatistiken

Bei Verwendung der UCS Core Edition werden anonyme Nutzungsstatistiken zur Verwendung von Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung von Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der UCS Core Edition. Der Lizenzstatus kann überprüft werden durch den Eintrag Lizenz -> Lizenzinformation des Benutzermenüs in der rechten, oberen Ecke von Univention Management Console. Steht hier unter Lizenztyp der Eintrag UCS Core Edition wird eine solche Edition verwendet. Bei Einsatz einer regulären UCS-Lizenz erfolgt keine Teilnahme an der Nutzungsstatistik.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry-Variable umc/web/piwik auf false deaktiviert werden.

§5.2. Umfang des Sicherheits-Supports von WebKit, Konqueror und QtWebKit

WebKit, Konqueror und QtWebKit werden in UCS im maintained-Zweig des Repositorys mitgeliefert, aber nicht durch Sicherheits-Updates unterstützt. WebKit wird vor allem für die Darstellung von HTML-Hilfeseiten u.ä. verwendet. Als Web-Browser sollte Firefox eingesetzt werden.

§5.3. Empfohlene Browser für den Zugriff auf Univention Management Console

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche JavaScript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden empfohlen:

  • Chrome ab Version 37

  • Firefox ab Version 38

  • Internet Explorer ab Version 11

  • Safari und Safari Mobile ab Version 9

Mit älteren Browsern können Darstellungs- oder Performanceprobleme auftreten.

§Kapitel 6. Changelog

Die Changelogs mit den detaillierten Änderungsinformationen werden nur in Englisch gepflegt. Aufgeführt sind die Änderungen seit UCS 4.3-3:

§6.1. General

§6.2. Basic system services

§6.2.1. Linux kernel and firmware packages

  • Always set Univention Configuration Registry variable update/reboot/required when a new kernel is installed (Bug 48349).

§6.2.2. Univention Configuration Registry

§6.2.2.1. Changes to templates and modules

  • The script univention-policy-update-config-registry now has a new option to specify the LDAP server from which to get the policies (Bug 49044).

§6.3. Domain services

§6.3.1. OpenLDAP

§6.3.1.1. Listener/Notifier domain replication

  • Add univention-translog check --fix command to check (and fix) inconsistency between the files /var/lib/univention-ldap/notify/transaction, /var/lib/univention-ldap/notify/transaction.index, /var/lib/univention-ldap/listener/listener, and /var/lib/univention-ldap/last_id (Bug 49202).
  • Since Erratum 427 the Univention Directory Notifier (UDN) writes transactions both to the file /var/lib/univention-ldap/notify/transaction and the cn=translog database in OpenLDAP. A failed write to the later can make UDN abort, in which case UDN is restarted automatically and writes the pending transactions to said file again. This leads to inconsistency. The order has been swapped to prevent this issue from happening again. The transaction file might require manual corrections if UDN fails to start up properly. Details of this procedure will be provided by a future update (Bug 49199).
  • Implement new Univention Directory Notifier Protocol Version 3, which does not transmit Distinguished Names over an unencrypted and unauthenticated channel (Bug 48427).
  • The new script univention-replicate-many can be used to re-replicate multiple objects at once (Bug 41262).

§6.4. Univention Management Console

§6.4.1. Univention Management Console web interface

  • The UMC for UCS Core Editions shows a dialog that informs about the Univention Summit 2019 (Bug 48372).

§6.4.2. Univention Management Console server

  • The LDAP connections are reestablished in the UMC web server after a server password change. This causes that the correct portal entries for authenticated users are shown again (Bug 48990).
  • The SAML identity provider is not configured in the UMC web server anymore if it is disabled via the Univention Configuration Registry variable umc/web/sso/enabled (Bug 48985).
  • The errors from pam_cracklib were evaluated again when changing the password via Univention Management Console. The old behavior has been restored later on. Therefore password changes do not require strong passwords anymore if no password policy is defined in the domain (Bug 48684, Bug 49039).
  • The design of the Univention Summit 2019 dialog has been slightly adjusted (Bug 48470).
  • The Univention Management Console for UCS Core Editions shows a dialog that informs about the Univention Summit 2019 (Bug 48372).

§6.4.3. Univention Directory Manager UMC modules and command line interface

  • It is now possible again to modify the LDAP base, for example modify references to policies. This was broken since UCS 4.3-0 (Bug 49018).

§6.4.4. Modules for system settings / setup wizard

  • Fixed a special case for the initial domain join, the master domain controller hostname may now differ from the value read from the DNS server (Bug 48986).
  • Make the software components for Univention Corporate Server available during installation when it is run in French (Bug 44162).

§6.4.5. Domain join module

  • Having multiple (virtual) network interfaces with the same MAC address caused the domain join to fail (Bug 48475).
  • Copy cn=translog database for transaction log to backup domain controller while joining (Bug 48427).

§6.4.6. System diagnostic module

  • Use new Univention Directory Notifier Protocol Version 3 for check (Bug 48427).
  • Fixed error in Check well known SIDs system diagnostic test (Bug 48477).
  • Added command line tool univention-run-diagnostic-checks which can be used to execute the diagnostic checks (Bug 47650).
  • A typo has been fixed in the error output of the Kerberos DDNS update check (Bug 48385).
  • The proxy server test has been fixed (Bug 48385).

§6.4.7. Filesystem quota module

  • Quotas on XFS file systems are shown again on the Univention Management Console (Bug 48315).

§6.4.8. Other modules

  • A crash in the Univention Management Console module is prevented if widget definitions are configured via Univention Configuration Registry variables (Bug 48494).

§6.5. Univention base libraries

  • Fix regression in cn=translog setup, which reset the LDAP index. If an UCS-4.3 system was updated to Erratum 426 before this erratum was made available, the list of indexed LDAP attributes was reset to the default on master and backup systems. This may lead to slow LDAP searches. If other attributes were added manually to the Univention Configuration Registry variables ldap/index/eq, ldap/index/sub, ldap/index/pres, they must be restored manually. The old values might be recovered from the log file /var/log/univention/config-registry.replog. After a manual change of these Univention Configuration Registry variables, the LDAP server index need to be updated by stopping the slapd service, then running the script /usr/share/univention-ldap/ldap_setup_index and starting the slapd service again (Bug 48970).
  • Support activation of the cn=monitor backend for statistical information. To activate this, set the Univention Configuration Registry variable ldap/monitor=true and restart the LDAP server service (slapd) (Bug 41213).
  • Add cn=translog database for transaction log (Bug 48427).
  • During the update, a resynchronization of the listener module ldap_extension is performed on backup domain controller and slave domain controller systems to correct possible inconsistencies in LDAP ACLs (Bug 48530).
  • Enabled cn=config backend, accessible via LDAPI only (Bug 43515).
  • Add univention-lib implementation of die() function to ldap.sh (Bug 47424).
  • Due to a logic error it could happen that not all LDAP ACL registered in LDAP were active on newly installed backup domain controller systems. This could lead to information disclosure or replication errors. The error is now fixed and when updating the univention-ldap-server package, missing LDAP ACLs are automatically activated (Bug 48530).
  • Do not send cron mails for a successful ldap-backup cron job (Bug 48014).

§6.6. Software deployment

  • The repository tools univention-repository-addpackage, univention-repository-delpackage and univention-repository-merge are deprecated and will be removed with UCS-4.4 (Bug 29505).
  • The packages index files under dists/ are now also mirrored. This is required for the PXE network installer (Bug 46600).
  • Added the Univention Configuration Registry variable update/debug/level for changing the debug level of the UCS updater (Bug 47913).
  • The error message complaining about the missing postmirror.sh file is no longer displayed (Bug 27761).
  • When mirroring distributions the default architecture was not detected correctly and URLs were scheduled for download multiple times (Bug 48424).

§6.7. System services

§6.7.1. SAML

  • The univention-saml Apache VirtualHost configuration can now be extended by placing .conf files in the directory /etc/apache2/sso-vhost.conf.d/ (Bug 48348).

§6.7.2. Dovecot

  • Add SNI Support to univention-mail-dovecot. Additional FQDNs and certificates can be configured with Univention Configuration Registry variables mail/dovecot/ssl/sni/$fqdn/certificate=$path_to_certificate and mail/dovecot/ssl/sni/$fqdn/key=$path_to_certificate_key (Bug 49064).
  • Prevent creation of empty mailboxes in /var/spool/dovecot/private/ by unsuccessful login attempts of users without a primary mail address (Bug 48628).

§6.7.3. Printing services

  • The CUPS configuration in /etc/cups/cupsd.local.conf is applied again. Since Erratum 149 the CUPS Include directive has been removed. Changes in the /etc/cups/cupsd.local.conf configuration require a ucr commit /etc/cups/cupsd.conf now (Bug 49197).
  • Allow switching to None or smb (raw) printer model (Bug 47843).
  • Ensure /usr/share/cups/model is a link to /usr/share/ppd (Bug 47435).

§6.7.4. Nagios

  • Fixed a local root exploit in the SUID wrapper for the Nagios check univention_ldap (Bug 48616).
  • Fixed an uncaught type error in the nagios-server listener (Bug 43426).

§6.7.5. PAM / Local group cache

  • An open SSH connection will now properly get closed when shutting down a system (Bug 49045).

§6.8. Virtualization

§6.8.1. UCS Virtual Machine Manager (UVMM)

  • Add RAM overcommitment protection through Univention Configuration Registry variable uvmm/overcommit/reserved (Bug 48098).
  • Normalize CPU utilization of host and update error and migration status atomically (Bug 48340).
  • Show CPU usage in tree of virtualization hosts (Bug 35196).
  • Fix tooltips preventing button clicks (Bug 45498).
  • Add Hyper-V Enlightenment for Windows VMs (Bug 48024).
  • The target hosts for live migration can now be configured even when the virtual machine is running (Bug 48199).
  • Fix parsing memory and disk capacity (Bug 36661).
  • Fix file permissions of backup directory (Bug 47741).
  • Add support for post-copy migration (Bug 47617).

§6.9. Services for Windows

§6.9.1. Samba

  • The samba-tool ntacl sysvolcheck didn't map owner LA to DA properly while checking, leading to irritating, unnecessary error messages (Bug 44282).

§6.9.2. Univention S4 Connector

  • Moving objects in UCS with a LDAP base different in UCS and Samba has been fixed (Bug 48362).