Handbuch - Univention

3 Domänendienste / LDAP-Verzeichnisdienst
Alle UCS- und Windowssysteme innerhalb einer UCS-Domäne verfügen über ein Domänenkonto, sobald
sie der UCS-Domäne beigetreten sind. Der Domänenbeitritt wird in Kapitel 3.2 beschrieben.
Jedes Rechnersystem, das Mitglied einer UCS-Domäne ist, besitzt eine Systemrolle. Aus dieser System-
rolle ergeben sich verschiedene Berechtigungen und Einschränkungen, die in Kapitel 3.3 beschrieben
sind.
Auf dem Domänencontroller Master wird die Certificate Authority (CA) der UCS-Domäne betrieben. Dort
wird für jedes der Domäne beigetretene System ein SSL-Zertifikat generiert. Weitere Informationen finden
sich in Kapitel 3.6.
Alle domänenweiten Einstellungen werden in einem Verzeichnisdienst auf Basis von OpenLDAP vorgehal-
ten. In Kapitel 3.4 wird beschrieben wie der Speicherumfang durch LDAP-Schema-Erweiterungen ergänzt
werden kann, wie eine revisionssichere LDAP-Protokollierung eingerichtet werden kann und wie Zugriffs-
berechtigungen auf das LDAP-Verzeichnis definiert werden können.
Die Replikation der Verzeichnisdaten innerhalb einer UCS-Domäne erfolgt über den Listener-/Notifier-
Mechanismus. Weitere Informationen finden sich in Kapitel 3.5.
Kerberos ist ein Authentikationsverfahren um in verteilten Netzen über potentiell unsichere Verbindungen
eine sichere Identifikation zu erlauben. Jede UCS-Domäne betreibt einen eigenen Kerberosvertrauens-
kontext (Realm). Weitere Informationen finden sich in Kapitel 3.7
3.2 Domänenbeitritt
Ein UCS- oder Windows-System muss nach der Installation der Domäne beitreten. Im Folgenden werden
die verschiedenen Möglichkeiten hierzu vorgestellt:
3.2.1 Domänenbeitritt von UCS-Systemen
Es gibt drei Möglichkeiten ein UCS-System einer bestehenden Domäne beitreten zu lassen; direkt am
Ende der Installation im Univention Installer (siehe Kapitel 2.11) oder nachträglich durch den Befehl
univention-join bzw. mit der Univention Management Console.
Der Domänencontroller Master sollte immer auf dem aktuellsten Release-Stand der Domäne installiert
sein, da beim Join eines Systems in aktuellerer Version gegen einen älteren DC Master Probleme auftreten
können.
Beim Beitritt eines Rechners wird für diesen ein Rechnerkonto angelegt, die SSL-Zertifikate synchronisiert
und ggf. eine LDAP-Replikation angestoßen. Außerdem werden am Ende des Join-Vorgangs Join-Skripte
ausgeführt. Diese registrieren anhand der auf dem System installierten Software-Pakete z.B. weitere Ob-
jekte im Verzeichnisdienst.
Der Domänenbeitritt wird auf Client-Seite in der Logdatei /var/log/univention/join.log aufge-
zeichnet, die zur Fehleranalyse herangezogen werden kann. Auf dem Domänencontroller Master ausge-
führte Aktionen werden in der Logdatei /home//.univention-server-join.log
abgelegt.
Der Join-Vorgang kann jederzeit wiederholt werden. Nach bestimmten administrativen Schritten (etwa
nach Änderungen wichtiger Systemeigenschaften auf dem Domänencontroller Master kann ein erneuter
Beitritt der Systeme sogar zwingend erforderlich sein.
36