Das vierte Point Release ist da: Neben Bugfixes und Korrekturen haben wir einige neue Features implementiert und zahlreiche Apps verbessert. So führt UCS 4.4-4 eine Protokollierung der Anmeldungen am LDAP-Server ein, was vorher nur über Samba 4 möglich war. Außerdem haben wir die Sicherheit, Performance und Kompatibilität des AD Connectors, das Univention App Center und die Portal-Anmeldung verbessert. Dieser Artikel wirft einen Blick hinter die Kulissen und stellt die wichtigsten Neuerungen vor.
LDAP-Anmeldungen protokollieren
Gibt es in Ihrer UCS-Umgebung Accounts, die nicht mehr genutzt werden und daher deaktiviert werden können? Oder gab es in der Vergangenheit (unschöne) Vorfälle und Sie wollten nachschauen, welche Anwender*innen sich zu einem bestimmten Zeitpunkt authentifiziert haben? Dann haben wir gute Neuigkeiten für Sie: UCS 4.4-4 kann jetzt die LDAP-Anmeldung (technisch: LDAP BIND) protokollieren und anzeigen, wann die letzte Authentifizierung eines Benutzers stattgefunden hat.
Um etwa herauszufinden, wann sich jemand zuletzt am SAML-IdP angemeldet hat, muss das Lastbind-Overlay-Modul in den LDAP-Servern aktiviert werden. Ein mitgeliefertes Skript, das sich z. B. für den Einsatz in Cronjobs eignet, sammelt dann die verschiedenen Zeitstempel ein und speichert jeweils den jüngsten davon am Benutzer-Objekt auf dem DC Master ab. Administratoren können die Information in Skripten auswerten oder die Anzeige in der Univention Management Console aktivieren.
Das neue Feature ist in der Voreinstellung deaktiviert, und Admins müssen das Protokollieren aktiv einschalten. Dabei gilt es zu beachten, dass Endanwender*innen in der Regel über die Datenerhebung informiert werden und dieser zustimmen müssen. Was die technische Seite betrifft, gibt es zwei Punkte zu berücksichtigen:
- Alle LDAP-Server einer UCS-Umgebung müssen vorher auf UCS 4.4-4 aktualisiert werden.
- Die Last auf den LDAP-Servern steigt, denn Authentifizierungen sind nicht mehr nur lesende Operationen, sondern wegen der Einträge in die Datenbank auch schreibende.
Beachten Sie, dass sich Samba 4 nach wie vor um alle Anmeldungen aus dem Windows-/Kerberos-Umfeld kümmert und das Anmelden getrennt von der LDAP-Authentifizierung protokolliert.
AD-Verbindung: Windows Server 2019 und Unterstützung von Kerberos Hashes
Die UCS App Active Directory-Verbindung, die Sie aus dem App Center installieren können, führt ein bestehendes AD und eine UCS-Domäne zusammen und gleicht damit automatisch Daten zwischen Microsoft Windows Active Directory und Univention Corporate Server ab. Die neue Version, die wir mit UCS 4.4-4 ausliefern, unterstützt nun auch offiziell Windows Server 2019. Da der Connector Standard-Schnittstellen verwendet, musste unser Entwicklungsteam den Connector selbst nicht verändern, hat aber zusätzliche automatische Tests eingefügt und die UCS-Dokumentation entsprechend angepasst.
Das Synchronisieren von Änderungen an Gruppen mit vielen Mitgliedern läuft nun deutlich schneller als unter 4.4-3, da nicht länger die vollständige Liste der Gruppenmitglieder übertragen wird. Stattdessen findet ein Abgleich der Änderungen statt, das heißt, der AD Connector übermittelt nur Informationen über neue oder entfernte Mitglieder. In dem Zusammenhang haben unsere Entwickler auch einen Fehler in der Speicherverwaltung (ein Memory Leak) beseitigt.
Die wichtigste Neuerung betrifft allerdings das Synchronisieren von Passwort-Hashes von einer Microsoft Active Directory-Domäne mit einer UCS-Domäne, was deutlich sicherer geworden ist. Während die Vorgängerversion ausschließlich NTLM-Hashes abgleichen konnte, liest der AD Connector von UCS 4.4-4 nun auch neuere Hashes aus, die Kerberos Keys. Die Umsetzung des neuen Feature war recht komplex, da UCS ganz unterschiedlich gehashte Kennwörter an mehreren Stellen speichert. Der LDAP-Verzeichnisdienst muss diese auslesen können, und auch Samba 4 haben unsere Entwickler*innen gepatcht, damit die Synchronisation gelingt.
Auch dieses neue Feature ist in der Voreinstellung deaktiviert; Admins müssen es explizit einschalten. Dazu ist es unbedingt erforderlich, alle Systeme in der UCS-Umgebung auf UCS 4.4-4 zu aktualisieren. Andernfalls gelingt die Synchronisierung nicht, oder Benutzer*innen können sich nicht mehr anmelden.
