Handbuch - Univention

3 Domänendienste / LDAP-Verzeichnisdienst
tenten an, über den neue Passwörter gesetzt werden können. Während der Installation wird automatisch
eine neue Richtlinie default-user-password-admins erstellt, die mit den Mitgliedern der Gruppe User
Password Admins bzw. mit einem entsprechenden Container im LDAP-Verzeichnis verknüpft werden
kann.
Die Richtlinie ermöglicht dabei die Suche nach Benutzern sowie die Ansicht aller Attribute eines Benutze-
robjektes. Wird versucht, neben dem Passwort weitere Attribute zu modifizieren, für die keine ausreichen-
den Zugriffsrechte auf das LDAP-Verzeichnis existieren, wird der Schreibzugriff vom Univention Directory
Manager mit der Meldung Zugriff verweigert abgelehnt.
Achtung:
Das Paket ist auf dem Domaincontroller Master- sowie den Domaincontroller Backup-Systemen zu instal-
lieren. Während der Installation wird der LDAP-Server neu gestartet und ist kurzzeitig nicht erreichbar.
Um das Zurücksetzen von Passwörtern für bestimmte Benutzer (z.B. Domänen-Administratoren) zu
verhindern, können die UIDs der zu schützenden Benutzer in der Univention Configuration Registry-
Variable ldap/acl/user/passwordreset/protected/uid kommasepariert angegeben werden.
Nach einer Änderung der Variable ist es erforderlich, den LDAP-Verzeichnisdienst über den Befehl
/etc/init.d/slapd restart neu zu starten, damit die geänderten LDAP-ACLs wirksam werden.
In der Standardeinstellung wird der Benutzer Administrator vor Passwortänderungen durch die Gruppe
User Password Admins geschützt.
Sollte für die Änderung des Passworts der Zugriff auf zusätzliche LDAP-Attribute not-
wendig sein, können die Attributnamen in der Univention Configuration Registry-Variable
ldap/acl/user/passwordreset/attributes ergänzt werden. Nach der Änderung ist zur Übernah-
me ein Neustart des LDAP-Verzeichnisdienstes notwendig. Für eine UCS-Standard-Installation ist diese
Variable bereits passend gesetzt.
3.4.5 Name Service Switch / LDAP-NSS-Modul
Die in Univention Corporate Server verwendete GNU C-Standardbibliothek (glibc) bietet eine modula-
re Schnittstelle zur Auflösung von Namen von Benutzern, Gruppen und Rechnern, den Name Service
Switch.
Das LDAP-NSS-Modul wird auf UCS-Systemen standardmässig für den Zugriff auf die Domänen-
Daten (z.B. Benutzer) verwendet. Das Modul greift dabei auf den in der Univention Configurati-
on Registry-Variable ldap/server/name (und ggf. zusätzlich der Univention Configuration Registry-
Variable ldap/server/addition) festgelegten LDAP-Server zu.
Das Verhalten bei nicht erreichbarem LDAP-Server kann durch die Univention Configuration Registry-
Variable nssldap/bindpolicy festgelegt werden. Standardmässig wird bei nicht erreichbarem Server
eine erneute Verbindung aufgebaut. Wird die Variable auf soft gesetzt, wird kein erneuter Verbindungs-
aufbau durchgeführt. Dies kann den Boot eines Systems mit nicht erreichbarem LDAP-Server - z.B. in
einer abgeschottenen Testumgebung - deutlich beschleunigen.
3.4.6 Syncrepl zur Anbindung von Nicht-UCS OpenLDAP-Servern
Für die Anbindung von nicht auf UCS-Systemen installierten OpenLDAP-Servern an das UCS-
Managementsystem kann parallel zum Notifier-Dienst der Syncrepl-Replikations-Dienst aktiviert werden.
44