UCS 5.2-7 veröffentlicht

Das aktuelle Patch-Level-Release von Univention Corporate Server (UCS) bündelt alle neuen Funktionen und Verbesserungen der vergangenen Monate auf neuen Installationsmedien: ein neues Autorisierungs-Backend für Nubus Guardian, mehr Kontrolle über die Sicherheit von Passwort-Hashes, tiefere Einblicke in Keycloak sowie eine vereinfachte Microsoft-365-Klassenverwaltung für Schulen – begleitet von weiteren Vorarbeiten für das kommende UCS 5.3. Neu in UCS 5.2-7 ist außerdem eine deutliche Leistungssteigerung bei der WLAN-Authentifizierung im großen Maßstab.

Die WLAN-Authentifizierung mit Benutzername und Passwort gegen den Nubus-RADIUS-Dienst nutzt intern ein Authentifizierungs-Helper-Plugin. In sehr großen Umgebungen mit einem hohen Aufkommen an Authentifizierungsanfragen war dieser Helper zu einer messbaren Quelle von CPU-Last geworden und begrenzte, wie viele Authentifizierungen eine Installation realistisch verarbeiten konnte.

Mit UCS 5.2-7 wurde dieses Helper-Modul in Rust neu geschrieben. Das Ergebnis ist eine erhebliche Reduzierung des CPU-Verbrauchs pro Authentifizierungsanfrage, die sich unmittelbar in einem höheren Durchsatz auf derselben Hardware niederschlägt. Für Organisationen, die große WLAN-Infrastrukturen betreiben – zum Beispiel in größeren Schulnetzwerken –, bedeutet das weniger Engpässe bei der Authentifizierung und mehr Spielraum, bevor zusätzliche Infrastruktur nötig wird.

Administrator*innen müssen keine Konfiguration ändern, um von dieser Verbesserung zu profitieren; sie steht nach dem Update automatisch zur Verfügung. Weitere technische Hintergründe finden Sie im zugehörigen Bugzilla-Eintrag.

Guardian, der Autorisierungsdienst für Nubus, nutzt jetzt das Open-Source-Projekt Cerbos als Backend für Autorisierungsentscheidungen und ersetzt damit die bisherige, auf OPA basierende Implementierung. Cerbos wurde gezielt ausgewählt, weil es Funktionen bietet, die gut zu jener Art von Autorisierungsentscheidungen passen, die Guardian treffen muss. Univention wird in Kürze einen eigenen Blogbeitrag veröffentlichen, der die Gründe für diese Entscheidung ausführlicher erläutert.

Zusätzlich zum neuen Backend hat sich die Art der Auslieferung des Guardian-Autorisierungsdienstes geändert: Er wird nun als native UCS-„Komponente“ ausgeliefert, aufgebaut als Debian-Paket, das einen Docker-Container enthält, statt als App-Center-App auf Basis von Docker Compose. Einrichtung und Upgrades von Guardian folgen damit dem Lebenszyklus von UCS-Komponenten wie anderen Nubus-Diensten – etwa OpenLDAP oder Samba –, auch wenn Cerbos in einem Docker-Container läuft. Dieser neue Ansatz reduziert die Komplexität beim Docker-Compose-Handling im App Center und erleichtert es, Installationen mit Werkzeugen zur Software-Bereitstellung zu automatisieren.

Als Teil der laufenden Vorbereitung, schwächere Passwort-Hashes künftig aus Nubus zu entfernen, bringt dieses Release mehrere Verbesserungen, die Administrator:innen schon heute mehr direkte Kontrolle geben.

Der Univention Directory Manager (UDM) bietet nun zusätzliche Konfigurationsoptionen, um festzulegen, welche Hash-Algorithmen beim Speichern von Passwörtern verwendet werden – einschließlich der Möglichkeit, schwächere Hashes zu entfernen, die aus Gründen historischer Kompatibilität möglicherweise noch vorhanden sind. Administrator*innen können wählen, welche Hashes in ihren Diensten benötigt werden und welche entfernt werden können. Unsere Dokumentation informiert darüber, welche Funktionalität verloren geht, wenn schwächere Hashes entfernt werden.

Darüber hinaus wurde der Active Directory Connector angepasst, um Umgebungen besser zu unterstützen, in denen Active Directory mit reduzierten Verschlüsselungstypen konfiguriert ist – und deckt damit mehr reale Konfigurationen ab als zuvor.

Die Keycloak-App ermöglicht es Administrator:innen nun, den in Keycloak integrierten Metrics-Endpoint direkt aus der App heraus zu aktivieren. Nach der Aktivierung stehen detaillierte Informationen über die Keycloak-Nutzung und -Ereignisse zur Verfügung, die von Prometheus erfasst und in Grafana visualisiert werden können – zusammen mit weiteren Nubus- und UCS-Metriken, die Administrator:innen möglicherweise bereits erheben.

Das verschafft IT-Teams eine bessere Sicht auf Authentifizierungslast, Login-Verhalten und potenzielle Probleme in ihrer Identitätsinfrastruktur – ganz ohne manuelle Instrumentierung. Details zur Aktivierung und Nutzung des Metrics-Endpoints finden Sie in der Dokumentation der Keycloak-App.

Schulen und Bildungseinrichtungen, die Nubus oder UCS@school parallel zu Microsoft 365 betreiben, können den MS365-Connector nun so einsetzen, dass er die Microsoft-365-„Klassen“ (education classes) für ausgewählte Gruppen automatisch aktiviert. Administrator:innen entscheiden, welche Gruppen als Klassen behandelt werden sollen, und der Connector übernimmt die entsprechende Aktivierung der Funktion in Microsoft 365.

Damit entfällt ein manueller, fehleranfälliger Verwaltungsschritt auf der Microsoft-365-Seite, und Bildungsfunktionen bleiben konsistent mit der Art und Weise, wie Klassen und Gruppen im Identitätssystem bereits verwaltet werden. Weitere Informationen finden Sie im Microsoft-365-Integrationshandbuch.

Wie immer fasst dieses Patch-Level-Release die Sicherheits- und Bugfix-Updates der vergangenen Monate auf einem neuen Installationsmedium zusammen. Wie bei den meisten Open-Source-Lösungen steigt die Zahl der gemeldeten und behobenen Sicherheitsprobleme weiter an – teilweise getrieben durch den zunehmenden Einsatz KI-gestützter Code-Reviews.

Zusätzliche Paket-Updates, die nicht als neue Funktion sichtbar sind, dienen der Verbesserung oder der Kompatibilität mit dem kommenden UCS 5.3. Das betrifft insbesondere zwei Szenarien – Domänen, in denen UCS-5.2- und UCS-5.3-Systeme während eines Übergangszeitraums beim Upgrade nebeneinander betrieben werden müssen, sowie die Kompatibilität mit der aktualisierten Debian-Basis, auf der UCS 5.3 aufbauen wird.

UCS 5.2-7 steht wie gewohnt im Download-Bereich zur Verfügung. Weitere Informationen zu den enthaltenen Änderungen finden Sie in den Release Notes und im Hilfe-Artikel.