LDAP-Replikation: Server-Ausfälle verhindern und Performance verbessern

Server im Betrieb

Es ist ein altbekanntes Problem unter IT-Fachleuten: die einzelne Verwaltung von Benutzeraccounts für diverse Anwendungen und zugehörige Zugriffsrechte gestaltet sich schon mit wenigen Angestellten sehr zeitaufwändig. Ändern sich Zuständigkeiten oder kommen neue Mitarbeiter*innen hinzu, besteht die Gefahr, dass schnell Wildwuchs in der IT-Infrastruktur entsteht. Diese Prozedur ist nicht nur ein echter Zeitfresser; vielmehr leidet die Sicherheit auf Dauer immens darunter. Oftmals werden in der Konsequenz die Verwaltung der Benutzer und deren Berechtigungen vernachlässigt. Dieses Problem wächst parallel zur Größe des Unternehmens und kann irgendwann bedenkliche Ausmaße annehmen. Um wieder Herr der Lage zu werden, empfiehlt sich das Anlegen einer zentralen Benutzerverwaltung in Form eines Identity-Management-Systems.

Nicht selten stellt ein LDAP-Verzeichnisdienst, den wir übrigens auch in unserem Univention Corporate Server verwenden, den Kern eines Identity Management Systems dar. Die Abkürzung „LDAP“ steht für engl. Lightweight Directory Access Protocol. Wie dieser Name schon vermuten lässt, wird damit zunächst lediglich das Protokoll beschrieben. Allgemein sprechen wir aber gern von „dem LDAP“, obwohl wir eigentlich den LDAP-Verzeichnisdienst im Sinn haben.

LDAP: Last Logon Timestamp protokollieren

In relativ vielen UCS-Umgebungen haben die Systemverwalter noch keine konsistenten Prozesse zum Aufspüren, Deaktivieren oder Löschen ungenutzter Benutzerkonten entwickelt. So sammeln sich über die Jahre Accounts im LDAP-Verzeichnisdienst an, die schon lange nicht mehr genutzt werden. Wir bei Univention haben im Kundenauftrag eine neue UCS-Erweiterung entwickelt, die dabei hilft, solche ungenutzten Zugänge aufzuspüren. Das Lastbind-Overlay-Modul und ein neues Python-Skript ermitteln inaktive Konten auf LDAP-Servern, auch in großen Umgebungen mit mehreren LDAP-Instanzen und verteilten Systemrollen.

UCS Samba/AD: Trust mit nativen Microsoft Active Directory Domänen etablieren

Logos von UCS und Windows mit verbindenden Pfeilen

Eine Vertrauensstellung einzurichten bedeutet, Benutzern einer Domäne Zugriff auf die Ressourcen einer anderen zu geben. Dies kann in manchen Situationen den Handlungsspielraum erweitern. In dem nun beschriebenen Beispiel werde ich mich konkret auf das Zusammenspiel zwischen Samba in UCS und Microsoft Windows beziehen und dabei im Einzelnen erklären, wie eine sogenannte Vertrauensstellung dafür konfiguriert werden kann und wie der aktuelle Stand der Implementierung ist.

Reporting für Profis: Aktivitäten im UCS-LDAP-Verzeichnisdienst protokollieren

Viele Dienste und Prozesse, die in einer Domäne laufen, dokumentieren im Hintergrund vollautomatisch ihre Aktivitäten. In den Logfiles sind unter anderem Informationen zu den Anmeldungen der Benutzer*innen am System, zur Installation und Deinstallation von Software, Zugriffe auf Webseiten, Fehlermeldungen und andere Hinweise enthalten. Auch Univention Corporate Server (UCS) erstellt solche Berichte – entweder hinter den Kulissen in Form von Logfiles oder mit dem UCS Admin Diary. Fertige Reports als CSV- oder PDF-Datei erhalten Sie außerdem über die Univention Management Console oder die Shell.

In diesem Artikel möchte ich Ihnen zeigen, wie Sie mit dem Univention Directory Logger revisionssichere Logfiles des LDAP-Verzeichnisdienstes erzeugen, mit dem Admin Diary einen Gesamtüberblick der Ereignisse in einer UCS-Domäne erhalten und wie Sie mit Univention Directory Reports Daten aus dem Verzeichnisdienst auswerten.

How To: Videokonferenz-Lösung BigBlueButton für UCS konfigurieren und einfach nutzen

Schulträger und andere Bildungseinrichtungen stehen seit dem Frühjahr vor der Herausforderung, ihre Lehre ohne oder mit eingeschränktem Präsenzunterricht bzw. Präsenzveranstaltungen fortzuführen. Dieser Artikel stellt Ihnen das Web-Konferenz-System BigBlueButton vor, das eine mögliche Lösung für diese Herausforderung sein kann. Im ersten Teil des Artikels möchte ich Ihnen einen Überblick über die wichtigsten Funktionen von BigBlueButton geben und kurz darauf eingehen, worauf Sie beim Sizing der Server achten müssen und wie Sie mit Problemen durch NAT und Firewall der Nutzer*innen umgehen. Im zweiten Teil erkläre ich Ihnen, wie Sie Schritt für Schritt BigBlueButton so in Ihre UCS-Umgebung integrieren, dass die Nutzer*innen es mit Ihren gewohnten Anmeldedaten nutzen können.

Samba 4 und OpenLDAP: SURF setzt auf UCS

SURF ist eine Kooperative niederländischer Bildungs- und Forschungseinrichtungen. Unsere Organisation will unter anderem die Forschung mit HPC (High Performance Computing) fördern. Wir betreiben nationale Super-Computer-Cluster und stellen Rechenleistung, Datentransport, Datenmanagement und -analyse für die niederländische akademische Gemeinschaft bereit, z. B. für Universitäten, Fachhochschulen, berufsbildende höhere Schulen (MBO), UMCs und Forschungseinrichtungen.

Mit (selbsterstellten und signierten) Zertifikaten Kommunikationsprozesse in UCS absichern

Zertifikate – warum und wozu

In diesem Artikel möchte ich Ihnen einen Einblick in das Thema „Absicherung des internetbasierten Austausches von Informationen durch Zertifikate“ geben. Dazu werfe ich einen kurzen Blick zurück auf die Anfänge des Internets und die Verwendung von Protokollen wie HTTP, SMTP, POP… und deren verschlüsselten Transport über SSL bzw. TLS. Vor allem möchte ich Ihnen aber erklären, wie Sie mit Univention Corporate Server öffentliche Zertifikate für die Absicherung Ihrer Datenübertragung nutzen können oder aber auch mit dem Tool Let‘s Encrypt selber vertrauenswürdige Zertifikate dafür erstellen können. Ganz sicher und auch noch kostenfrei.

Automatische Kontosperrung nach fehlgeschlagenen Anmeldeversuchen einrichten

In der Voreinstellung können UCS-Benutzer*innen ihr Kennwort beliebig oft falsch eingeben, ohne dass das System sie aussperrt. Um Brute-Force-Attacken zum Knacken der Kennwörter zu erschweren, können UCS-Administratoren eine automatische Sperre einrichten, die einen Account nach einer frei definierbaren Anzahl von Fehlversuchen am Zutritt hindert.
Univention Corporate Server bietet mehrere Methoden zum Authentifizieren und Autorisieren. In diesem Blogartikel zeige ich Ihnen, wie Sie über PAM-Stack, OpenLDAP und Samba jeweils fehlgeschlagene Anmeldeversuche im System protokollieren und wie Sie als Administrator die Anzahl der erfolglosen Logins einschränken.

How to integrate with LDAP – am Beispiel von Redmine

In diesem Blogartikel möchte ich Ihnen zeigen, wie das von UCS bereitgestellte LDAP erweitert werden kann und wie es mit anderen Diensten zusammenarbeitet.

Als erstes werde ich auf die typischen Konfigurationsoptionen von LDAP eingehen und zeigen, welche weiteren Informationen für eine erfolgreiche Benutzerauthentifizierung unter dem UCS LDAP benötigt werden. Wie sich das genaue Vorgehen gestaltet, werde ich an Hand der Projektmanagement Software Redmine erklären. Redmine ist eine Open Source Software, die plattformunabhängiges und webbasiertes Projektmanagement ermöglicht. Sie eignet sich besonders gut als Beispiel, da alle für die Konfigurationen typischen Informationen abgefragt werden.

Im zweiten Abschnitt werde ich auf nicht anonym durchsuchbare LDAPs und auf ihre Nutzungsmöglichkeiten eingehen .

Sichere Passwörter für die UCS-Domäne

Dass der eigene Vorname, der Name der Katze oder der Geburtstag der Schwiegermutter keine guten Passwörter darstellen, ist klar. Auch password oder 123456 (tatsächlich auf der Liste der am häufigsten gewählten Kennwörter zu finden!) scheiden aus. Als Administrator einer UCS-Domäne können Sie zwar nicht verhindern, dass die Anwender ihre Passwörter notieren oder unter der Tastatur aufbewahren, aber Sie können an anderen Stellschrauben drehen, um das System sicherer zu machen.
Mit Richtlinien (Policies) bestimmen Sie beispielsweise eine Mindestlänge oder legen fest, dass Benutzer die Kennwörter regelmäßig ändern müssen. Darüber hinaus bietet Univention Corporate Server eine Qualitätsprüfung, die das Verwenden einer bestimmten Anzahl von Zahlen, Sonderzeichen, Groß- und Kleinbuchstaben in den Kennwörtern erzwingt. Dieser Artikel stellt einige Tipps und Tricks für das Einrichten einer guten Passwort-Policy in einer UCS-Domäne vor. Wir zeigen außerdem, welche Variablen Sie in der Univention Configuration Registry setzen können, um das Ganze zu optimieren. Kommt in Ihrer Umgebung Samba zum Einsatz, dann erfahren Sie in diesem Artikel ebenfalls, wie Sie die Passwort-Anforderungen für das Samba-Domänenobjekt an die der neuen Richtlinie anpassen.