6.5. Papierkorb

Added in version 5.2-3-erratum-298: Seit UCS 5.2 erratum 298 unterstützt Univention Corporate Server (UCS) eine Papierkorb-Funktion für Benutzer- und Gruppenobjekte im Univention Directory Manager (UDM).

Der Papierkorb speichert gelöschte Verzeichnisobjekte vorübergehend in UDM. Administratoren, die UDM Objekte versehentlich entfernen, können sie mit den im Papierkorb gespeicherten Daten wiederherstellen.

Wenn Sie eine Papierkorb-Richtlinie aktivieren, verschiebt UDM gelöschte Objekte in den Papierkorb-Container, bevor sie aus dem LDAP-Verzeichnis entfernt werden. UDM bewahrt die ursprünglichen Objektdaten und Metadaten über die Löschung auf. Sie können vorhandene Papierkorb-Einträge in der Univention Management Console (UMC), in UDM und in der UDM HTTP REST API anzeigen. Sie können Einträge wiederherstellen, bevor UDM sie nach der konfigurierten Aufbewahrungszeit endgültig entfernt.

Dieser Abschnitt beschreibt, wie Sie den Papierkorb aktivieren, konfigurieren und verwalten. Er enthält außerdem Informationen zum automatischen endgültigen Entfernen von Einträgen, zur Konfiguration und zur Protokollierung.

6.5.1. Einschränkungen

Der Papierkorb hat die folgenden Einschränkungen:

• Der Papierkorb unterstützt nur die UDM Typen users/user und groups/group.

• Der Papierkorb ist nur in Nubus für UCS verfügbar.

6.5.2. Papierkorb aktivieren

Um den Papierkorb zu aktivieren, benötigen Sie Administratorrechte und Zugriff auf den Primary Directory Node und alle Backup Directory Nodes.

1. Setzen Sie auf dem Primary Directory Node und allen Backup Directory Nodes die UCR-Variable listener/module/recyclebin/deactivate auf false. Anweisungen zum Festlegen von UCR-Variablen finden Sie unter Das lokale System mit der Univention Configuration Registry konfigurieren.

2. Starten Sie den Univention Directory Listener auf dem Primary Directory Node mit dem Befehl in Listing 6.21 neu.

   Listing 6.21 Univention Directory Listener neu starten

   $ systemctl restart univention-directory-listener
   

   Wichtig

   Wenn Sie den Papierkorb erst nach dem Erstellen von Benutzer- oder Gruppenobjekten aktivieren, enthält der Papierkorb diese nicht, weil der Listener-Cache keine Zuordnung zu diesen Objekten hat. Das Löschen dieser Objekte fügt sie nicht dem Papierkorb hinzu.

3. Um Benutzer- und Gruppenobjekte einzubeziehen, die vor der Aktivierung des Papierkorbs vorhanden waren, führen Sie den Befehl in Listing 6.22 auf dem Primary Directory Node aus. Der Befehl startet den Univention Directory Listener neu und reinitialisiert nur den Papierkorb.

   Wichtig

   Die Reinitialisierung ändert keine Objekte und erstellt keine Einträge im Papierkorb. Während die Reinitialisierung läuft, verarbeitet der Univention Directory Listener keine anderen Verzeichnisänderungen auf dem Primary Directory Node. Nach der Reinitialisierung verarbeitet der Univention Directory Listener ausstehende Verzeichnisänderungen.

   Die Reinitialisierung kann gelöschte Objekte nicht wiederherstellen, die vor der Aktivierung des Papierkorbs vorhanden waren.

   Wichtig

   In großen Umgebungen kann die Reinitialisierung länger dauern. Planen Sie sie für einen Zeitraum mit geringer Auslastung oder ein Wartungsfenster.

   Listing 6.22 Univention Directory Listener neu starten, um nur den Papierkorb zu reinitialisieren

   $ univention-directory-listener-ctrl resync recyclebin
   

4. Um zu prüfen, ob die Reinitialisierung abgeschlossen ist, führen Sie den Befehl in Listing 6.23 aus. Vergewissern Sie sich, dass das Listener-Modul recyclebin den Status 3 hat. Der Status 3 zeigt an, dass das Modul vollständig initialisiert und bereit ist. Wenn das Modul einen anderen Status hat, prüfen Sie, ob listener/module/recyclebin/deactivate auf false gesetzt ist, und lesen Sie /var/log/univention/listener.log. Sie können den Univention Directory Listener mit dem Befehl in Listing 6.21 neu starten.

   Listing 6.23 Listener-Status prüfen

   $ univention-directory-listener-ctrl status
   

6.5.3. Papierkorb-Richtlinie

Administratoren können den Papierkorb mit einer oder mehreren Recycle Bin Richtlinien konfigurieren. Anweisungen zum Erstellen und Verknüpfen von Richtlinien finden Sie unter Richtlinien.

Nachdem Sie eine Papierkorb-Richtlinie erstellt und mit einem Containerobjekt im LDAP-Verzeichnis verknüpft haben, gilt die Papierkorb-Konfiguration für alle Objekte innerhalb des Containers. Vor dem Entfernen eines Objekts prüft UDM, ob eine Richtlinie gilt, und verschiebt das Objekt in den Papierkorb.

Die Papierkorb-Richtlinie hat die folgenden Konfigurationseigenschaften:

Papierkorb aktiviert

Legt fest, ob der Papierkorb für Objekte aktiv ist. Auch wenn ein Container eine verknüpfte Papierkorb-Richtlinie hat, können Sie ihn deaktivieren.

UDM Module für Papierkorb

Legt eine Liste von UDM Modultypen fest, für die die Papierkorb-Richtlinie gilt, beispielsweise users/user oder groups/group.

Ignorierte Objektklassen

Legt eine Liste von LDAP-Objektklassen fest, die Ausnahmen für den Papierkorb darstellen. Wenn ein Administrator ein Objekt löscht und das Objekt einer dieser Objektklassen entspricht, verschiebt UDM das Objekt nicht in den Papierkorb-Container.

Aufbewahrungszeit in Tagen

Legt die Aufbewahrungszeit in Tagen fest, für die UDM Objekte im Papierkorb behält, bevor sie endgültig entfernt werden. Setzen Sie die Aufbewahrungszeit auf einen Wert zwischen den Werten der UCR-Variablen ldap/database/internal/overlay/dds/min-ttl und ldap/database/internal/overlay/dds/max-ttl.

6.5.4. Objekte im Papierkorb verwalten

Administratoren können Einträge im Papierkorb mit dem Papierkorb Verwaltungsmodul oder mit dem Befehlszeilenwerkzeug udm und dem UDM Modul recyclebin/removedobject verwalten. Anweisungen zu UDM Operationen finden Sie unter Befehlszeilenschnittstelle für die Domänenverwaltung.

Die folgenden Aktionen sind verfügbar:

• Alle vorhandenen Einträge im Papierkorb auflisten.

• Einträge dauerhaft löschen.

• Einträge wiederherstellen.

Das Wiederherstellen eines Eintrags aus dem Papierkorb fügt ihn mit den im Papierkorb gespeicherten Daten zur LDAP-Datenbank hinzu. Bei Benutzerobjekten umfassen diese Daten Passwörter und Gruppenmitgliedschaften.

6.5.5. Einträge im Papierkorb automatisch endgültig entfernen

UDM erstellt Einträge im Papierkorb, wenn ein Administrator ein UDM Objekt entfernt und die Papierkorb-Richtlinie dafür gilt.

Die Richtlinie legt die Aufbewahrungszeit fest. Der Papierkorb-Eintrag übernimmt diesen Wert als Eigenschaft time-to-live. Der Wert muss im Bereich liegen, den ldap/database/internal/overlay/dds/min-ttl und ldap/database/internal/overlay/dds/max-ttl festlegen. UDM entfernt Papierkorb-Einträge endgültig, wenn ihr time-to-live Wert abläuft. Sie können endgültig entfernte Einträge nicht wiederherstellen.

In Nubus für UCS entfernt das Dynamic-Directory-Services-(DDS)-Overlay des OpenLDAP-Servers abgelaufene Einträge endgültig.

6.5.6. Konfiguration über UCR

Konfigurieren Sie den Papierkorb mit den folgenden UCR-Variablen auf dem Primary Directory Node:

• listener/module/recyclebin/deactivate

• ldap/database/internal/overlay/dds/min-ttl

• ldap/database/internal/overlay/dds/max-ttl

Die Variablenreferenz und Standardwerte finden Sie unter UCR-Variablen Referenz.

Wichtig

Führen Sie die folgenden Schritte aus, um den LDAP-Dienst neu zu starten:

1. Prüfen Sie, ob die UCS-Domäne die folgenden Bedingungen erfüllt:

   • Es wird kein Massenimport von Benutzerdaten durchgeführt, beispielsweise über UCS@school, und es findet keine Initialisierung der Konnektoren mit Active Directory Verbindung oder dem S4 Connector statt.

   • Kein UCS-System tritt der Domäne bei.

   • Es werden keine System- oder App-Upgrades durchgeführt.

   • Listener und Konnektoren sind inaktiv.

2. Starten Sie den LDAP-Server auf dem Primary Directory Node mit dem Befehl in Listing 6.24 neu.

   Listing 6.24 LDAP-Server neu starten

   $ systemctl restart slapd.service
   

3. Prüfen Sie mit dem Befehl in Listing 6.25, ob der LDAP-Server aktiv ist.

   Listing 6.25 Prüfen, ob der LDAP-Server aktiv ist

   $ systemctl is-active slapd.service
   

6.5.7. Informationen zur Protokollierung

Die folgenden Protokolldateien enthalten Einträge über das Erstellen von Papierkorb-Einträgen und das Wiederherstellen von Objekten:

/var/log/univention/listener.log auf dem Primary Directory Node

Enthält Einträge über das Erstellen von Papierkorb-Einträgen.

/var/log/univention/management-console-module-udm.log

Enthält Einträge über das Wiederherstellen von Objekten mit UMC.

/var/log/univention/directory-manager-rest.log

Enthält Einträge über das Wiederherstellen von Objekten mit der UDM HTTP REST API.