Univention Corporate Server protokolliert alle diese Ereignisse und mehr. Wer sich einen schnellen Überblick über die Vorgänge in der UCS-Domäne verschaffen möchte, kann das Admin Diary installieren. In diesem Artikel zeige ich, wie Sie unser Tagebuch für Sysadmins einrichten und welche Informationen Sie dort finden.
Single Sign-on (SSO), also die Einmalanmeldung, macht es möglich: Nutzer*innen melden sich einmal mit ihren Zugangsdaten an und erhalten automatisch Zugriff auf alle Programme und Dienste, die für sie freigegeben sind. Sie authentifizieren sich also einmalig gegenüber einem Server, danach übernimmt der SSO-Mechanismus die Authentifizierung gegenüber weiteren Diensten.
Eine Online-Veranstaltung mit selbstgehosteten Open-Source-Tools und Self-Service: schwer vorstellbar? In diesem Artikel beschreibe ich, wie wir mit UCS, Cloudron und BigBlueButton die Anforderungen erfüllt haben.
Es ist ein altbekanntes Problem unter IT-Fachleuten: die einzelne Verwaltung von Benutzeraccounts für diverse Anwendungen und zugehörige Zugriffsrechte gestaltet sich schon mit wenigen Angestellten sehr zeitaufwändig. Ändern sich Zuständigkeiten oder kommen neue Mitarbeiter*innen hinzu, besteht die Gefahr, dass schnell Wildwuchs in der IT-Infrastruktur entsteht. Diese Prozedur ist nicht nur ein echter Zeitfresser; vielmehr leidet die Sicherheit auf Dauer immens darunter. Oftmals werden in der Konsequenz die Verwaltung der Benutzer und deren Berechtigungen vernachlässigt. Dieses Problem wächst parallel zur Größe des Unternehmens und kann irgendwann bedenkliche Ausmaße annehmen. Um wieder Herr der Lage zu werden, empfiehlt sich das Anlegen einer zentralen Benutzerverwaltung in Form eines Identity-Management-Systems.
Nicht selten stellt ein LDAP-Verzeichnisdienst, den wir übrigens auch in unserem Univention Corporate Server verwenden, den Kern eines Identity Management Systems dar. Die Abkürzung „LDAP“ steht für engl. Lightweight Directory Access Protocol. Wie dieser Name schon vermuten lässt, wird damit zunächst lediglich das Protokoll beschrieben. Allgemein sprechen wir aber gern von „dem LDAP“, obwohl wir eigentlich den LDAP-Verzeichnisdienst im Sinn haben.
In relativ vielen UCS-Umgebungen haben die Systemverwalter noch keine konsistenten Prozesse zum Aufspüren, Deaktivieren oder Löschen ungenutzter Benutzerkonten entwickelt. So sammeln sich über die Jahre Accounts im LDAP-Verzeichnisdienst an, die schon lange nicht mehr genutzt werden. Wir bei Univention haben im Kundenauftrag eine neue UCS-Erweiterung entwickelt, die dabei hilft, solche ungenutzten Zugänge aufzuspüren. Das Lastbind-Overlay-Modul und ein neues Python-Skript ermitteln inaktive Konten auf LDAP-Servern, auch in großen Umgebungen mit mehreren LDAP-Instanzen und verteilten Systemrollen.
