Handbuch - Univention

8 Services für Windows
8.5 UCS Active Directory Connector
8.5.1 Einführung
Der UCS Active Directory Connector (kurz AD Connector) ermöglicht eine Synchronisation von Ver-
zeichnisdienstobjekten zwischen einem Windows 2003/2008 Server mit Active Directory (AD) und dem
OpenLDAP-Verzeichnis aus Univention Corporate Server.
In der Standardeinstellung werden Container, Organisationseinheiten, Benutzer und Gruppen synchro-
nisiert. Die Benutzer nehmen eine Sonderstellung ein, da das Passwort in Active Directory nicht über
das LDAP-Protokoll abgefragt werden kann. Hierfür wird ein zusätzlicher Dienst auf dem Windows-Server
installiert, der diese Passwortsynchronisation ermöglicht (siehe Kapitel 8.5.2.3).
Hinweise zu den in der Grundeinstellung konfigurierten Attributen und zu beachtende Besonderheiten
finden sich in Abschnitt 8.5.4.
Die Rechnerkonten werden nicht synchronisiert, da Windows-Rechner nur in eine Domäne eingebunden
sein können.
Durch die in beiden Domänen gleichen Benutzereinstellungen, können Benutzer transparent auf Dienste
beider Umgebungen zugreifen. Nachdem eine Domänenanmeldung an einer UCS-Domäne durchgeführt
wurde, ist anschließend eine Verbindung zu einer Dateifreigabe oder einem Exchange-Server mit Active
Directory ohne erneute Passwortabfrage möglich. Auf den Ressourcen der anderen Domäne finden Be-
nutzer und Administratoren gleichnamige Benutzer und Gruppen vor und können so mit den gewohnten
Rechtestrukturen arbeiten.
Nach dem erstmaligen Start des Connectors wird die Initialisierung vorgenommen. Dabei werden alle
Einträge aus dem UCS gelesen und entsprechend dem eingestellten Mapping in AD-Objekte umgewandelt
und auf AD-Seite hinzugefügt, bzw., falls bereits vorhanden, modifiziert. Anschließend werden alle Objekte
aus dem AD gelesen und in UCS-Objekte umgewandelt und entsprechend auf UCS-Seite hinzugefügt bzw.
modifiziert. Solange noch Änderungen vorliegen, werden die Verzeichnisdienst-Server weiter abgefragt.
Der AD-Connector kann auch in einem unidirektionalen Modus betrieben werden.
Nach dem initialen Sync werden weitere Änderungen in einem festen Intervall abfragt. Dieser Wert auf
fünf Sekunden eingestellt und kann über das Univention Management Console-Konfigurationsmodul an-
gepasst werden.
Sollte ein Objekt nicht synchronisiert werden können, so wird dieses Objekt „rejected“. Bei jedem Start
des UCS AD Connectors wird versucht, diese Objekte wieder einzuspielen. Zusätzlich wird nach ei-
nigen Durchläufen erneut versucht, diese Objekte wieder einzuspielen. Der Intervall kann im UMC-
Konfigurationsmodul konfiguriert werden. In der Voreinstellung werden zehn Zyklen benötigt, bevor erneut
versucht wird, die Objekte zu synchonisieren.
8.5.2 Einrichtung des UCS AD Connectors
Die Installation erfolgt durch Installation des Pakets univention-ad-connector.
Der UCS AD Connector kann nur auf einem Domänencontroller Master oder Domänencontroller Backup
installiert werden.
Trotz intensiver Tests kann aufgrund der Vielfalt der Konfigurations- und Betriebsvarianten einer Active
Directory-Domäne nicht ausgeschlossen werden, dass die Ergebnisse des Synchronisationsvorgangs den
130