Release Notes für die Inbetriebnahme und Aktualisierung von Univention Corporate Server (UCS) 5.0-2#

Veröffentlichungsdatum von UCS 5.0-2: 30. Juni 2022

Release-Highlights#

Mit Univention Corporate Server 5.0-2 steht das zweite Point-Release für Univention Corporate Server (UCS) 5.0 zur Verfügung. Es umfasst Funktionserweiterungen und Verbesserungen, neue Eigenschaften sowie diverse Detailverbesserungen und Fehlerkorrekturen. Die wichtigsten Änderungen im Überblick:

  • Der User Self-Service wurde in das UCS Portal integriert. Darüber hinaus wurde unter anderem die Unterstützung für zusätzliche Platzhalter wie Vorname und Nachname in der E-Mail-Vorlage zum Zurücksetzen des Passworts erweitert.

  • Für RADIUS können Benutzer ein sogenanntes Service spezifisches Passwort vergeben. Und Administratoren können Benutzergruppen dedizierte VLANs zuweisen und damit die Netzwerksicherheit erhöhen.

  • SameSite Cookies können jetzt für UMC und SAML konfiguriert werden.

  • Die AD-Übernahme wurde robuster gestaltet.

  • Zahlreiche Leistungsverbesserungen bezüglich DNS, LDAP und bei der Anmeldung an der UMC wurden vorgenommen.

  • Die französischen Übersetzung für das UCS-Managementsystem wurde aktualisiert.

  • Die UMC System-Diagnose wurde ausgebaut: Mehrere neue Checks wurden hinzugefügt und einige ältere verbessert.

  • Die meisten Pakete wurden auf Python 3 migriert. Deren Python 2 Varianten werden nicht länger standardmäßig installiert und werden entfernt.

  • Dieses Univention Corporate Server Release basiert auf Debian 10.12 Buster.

  • Diverse Security Updates wurden in UCS 5.0-2 integriert, bspw. für Samba4, OpenLDAP, OpenSSL, und den Linux Kernel.

Hinweise zum Update#

Während der Aktualisierung kann es zu temporären Ausfällen von Diensten innerhalb der Domäne kommen. Aus diesem Grund sollte das Update innerhalb eines Wartungsfensters erfolgen. Grundsätzlich wird empfohlen, das Update zunächst in einer Testumgebung einzuspielen und zu testen. Die Testumgebung sollte dabei identisch zur Produktivumgebung sein. Je nach Systemgeschwindigkeit, Netzwerkanbindung und installierter Software kann das Update zwischen 20 Minuten und mehreren Stunden dauern. In großen Umgebungen kann es sinnvoll sein, den UCS performance guide [1] zu berücksichtigen.

UCS nur noch als 64-Bit-Variante#

UCS 5 wird nur noch für 64-Bit-Architekturen bereitgestellt. Vorhandene 32-Bit UCS Systeme können nicht auf UCS 5 aktualisiert werden.

Gleichzeitiger Betrieb von UCS und Debian auf UEFI Systemen#

Beginnend mit UCS 5.0 wird ein gleichzeitiger Betrieb von UCS und Debian auf einem UEFI System nicht unterstützt.

Ursache hierfür ist der Bootloader GRUB von Univention Corporate Server, der teilweise die gleichen Konfigurationsdateien wie Debian verwendet. Ein bereits installiertes Debian führt dazu, dass UCS nach der Installation von bzw. einem Update auf UCS 5.0 nicht (mehr) gebootet werden kann. Eine nachträgliche Installation von Debian wird ebenfalls dazu führen, dass UCS 5.0 nicht mehr gebootet werden kann.

An folgendem Artikel werden weitere Hinweise zu diesem Thema gesammelt: KB 17768.

Lokales Paket Repository#

Dieser Abschnitt ist für Umgebungen relevant, in denen ein lokales Repository eingerichtet ist. Die installierte (Major-)Version von UCS bestimmt welche Pakete ein lokales Repository bereitstellt. Ein Repository das auf einem UCS Server in Version 4.x betrieben wird stellt nur Pakete bis zur Version UCS 4.x bereit, ein Repository auf einem UCS 5 Server stellt nur Pakete für UCS 5 und neuere Versionen bereit. Um in einer Umgebung mit lokalem Repository Systeme auf UCS 5 zu aktualisieren, bestehen unter anderem die folgenden Möglichkeiten. Zunächst muss ein lokaler UCS 5 Repository Server aufgesetzt werden.

  • Ein neues UCS 5 System wird als Primary Directory Node von der DVD oder aus einem virtualisiertem Basisimage installiert. Anschließend wird auf diesem System ein lokales Repository wie in UCS Handbuch [2] beschrieben eingerichtet.

  • Ein neues UCS 5 System wird als Systemrolle Backup Directory Node, Replica Directory Node oder Managed Node von der DVD oder aus einem virtualisiertem Basisimage installiert. Im System-Setup ist auszuwählen, dass das System keiner Domäne beitritt. Anschließend wird auf diesem System ein lokales Repository wie in UCS Handbuch [2] beschrieben eingerichtet. Nachdem der in der Domäne verwendet Primary Directory Node auf UCS 5 aktualisiert wurde, kann der UCS 5 Repository Server der Domäne über univention-join beitreten.

Um ein System in der Domäne auf UCS 5 zu aktualisieren, sollte der Server zunächst auf den aktuellsten Paketstand unter UCS 4.x aktualisiert werden. Anschließend wird der vom System verwendete Repository Server durch das Ändern der Univention Configuration Registry Variable repository/online/server auf das lokale UCS 5 Repository gesetzt. Das System kann nun über die Univention Management Console oder über die Kommandozeile auf UCS 5 aktualisiert werden.

Vorbereitung des Updates#

Manuell erstellter Python-Programmcode muss vor dem Update auf Kompatibilität mit Python 3.7 geprüft und entsprechend angepasst werden. Das betrifft auch Univention Configuration Registry Templates, die Python-Code enthalten. Angepasste Univention AD Connector Mapping Templates sind ein Beispiel. In der Univention Developer Reference [3] finden sich weitere Hinweise.

Wenn mehrere Instanzen des AD Connector betrieben werden, wie in Synchronization of several Active Directory domains with one UCS directory service beschrieben, ist eine Anpassung der Mapping-Konfiguration erforderlich. Außerdem muss die Kompatibilität mit Python 3.7 vor dem Update sichergestellt werden. KB 17754 beschreibt die Schritte.

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 6-10 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation ungefähr 1-2- GB zusätzlichen Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der lokalen Konsole des Systems mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools tmux, screen oder at eingesetzt werden, die auf allen UCS Systemrollen installiert sind.

Univention bietet ein Skript an, mit dem Probleme, die das Update des UCS Systems verhindern würden, schon vor dem Update erkannt werden können. Dieses Skript kann vor dem Update manuell auf das System geladen und ausgeführt werden:

# download
$ curl -OOf https://updates.software-univention.de/download/univention-update-checks/pre-update-checks-5.0-2{.gpg,}

# verify and run script
$ apt-key verify pre-update-checks-5.0-2{.gpg,} && bash pre-update-checks-5.0-2

...

Starting pre-update checks ...

Checking app_appliance ...                        OK
Checking block_update_of_NT_DC ...                OK
Checking cyrus_integration ...                    OK
Checking disk_space ...                           OK
Checking hold_packages ...                        OK
Checking ldap_connection ...                      OK
Checking ldap_schema ...                          OK
...

Nachbereitung des Updates#

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen: Entweder über das UMC-Modul Domänenbeitritt oder durch Aufruf des Befehls univention-run-join-scripts als Benutzer root.

Anschließend muss das UCS-System neu gestartet werden.

Hinweise zum Einsatz einzelner Pakete#

Erfassung von Nutzungsstatistiken#

Bei Verwendung der UCS Core Edition werden anonyme Nutzungsstatistiken zur Verwendung von Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung von Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der UCS Core Edition. Der Lizenzstatus kann überprüft werden durch den Eintrag Lizenz ‣ Lizenzinformation des Benutzermenüs in der rechten, oberen Ecke von Univention Management Console. Steht hier unter Lizenztyp der Eintrag UCS Core Edition wird eine solche Edition verwendet. Bei Einsatz einer regulären UCS-Lizenz erfolgt keine Teilnahme an der Nutzungsstatistik.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry Variable umc/web/piwik auf false deaktiviert werden.

Changelog#

Die Änderungen seit UCS 5.0-1 finden Sie in Changelog for Univention Corporate Server (UCS) 5.0-2.

Literaturverzeichnis#

1(1,2,3)

UCS performance guide. Univention GmbH, 2021. URL: https://docs.software-univention.de/ext-performance/5.0/en/index.html.

2(1,2,3,4,5,6)

UCS Handbuch. Univention GmbH, 2021. URL: https://docs.software-univention.de/manual/5.0/de/.

3(1,2,3)

Univention Developer Reference. Univention GmbH, 2021. URL: https://docs.software-univention.de/developer-reference/5.0/en/index.html.