Handbuch - Univention

5 Benutzerverwaltung
Wenn dieses Auswahlkästchen nicht markiert ist, erhält der Benutzer die Objektklasse sambaSa-
mAccount nicht.
POSIX-Konto
Wenn dieses Auswahlkästchen nicht markiert ist, erhält der Benutzer die Objektklassen posixAc-
count und shadowAccount nicht.
Persönliche Informationen
Wenn dieses Auswahlkästchen nicht markiert ist, erhält der Benutzer die Objektklassen organizatio-
nalPerson und inetOrgPerson nicht.
Public Key Infrastruktur-Konto
Wenn dieses Auswahlkästchen nicht markiert ist, erhält der Benutzer die Objektklasse pkiUser nicht.
Einfaches Authentisierungskonto
Diese Option kann verwendet werden, um Benutzer-Objekte anzulegen die ausschließlich einen Be-
nutzernamen und ein Passwort haben. Mit diesen Benutzern ist ausschließlich eine Authentisie-
rung gegen den LDAP-Verzeichnisdienst möglich, aber keine Anmeldung an UCS- oder Windows-
Systemen. Wird diese Option gesetzt, dann werden die Objektklassen uidObject und simpleSecu-
rityObject verwendet.
5.2 Richtlinienbasiertes Passwort-Management
Schwer zu erratende Passwörter und regelmässige Passwortwechsel sind ein wichtiger Baustein der Sys-
temsicherheit einer UCS-Domäne. Folgende Eigenschaften lassen sich für Benutzer über eine Passwort-
Richtlinie konfigurieren:
76
• Die Passwort-Historie speichert die letzten Passwortänderungen in Form von Hashes. Diese Pass-
wörter können dann vom Benutzer bei einer Änderung nicht als neues Kennwort verwendet werden.
Mit einer Passwort-Historie von z.B. fünf müssten fünf neue Passwörter verwendet werden, bis ein
Kennwort erneut verwendet werden kann.
Die Passwörter werden nicht rückwirkend gespeichert. Wenn beispielsweise ursprünglich zehn Pass-
wörter gespeichert wurden und der Wert auf drei herabgesetzt wird, werden die älteren sieben Pass-
wörter bei der nächsten Passwort-Änderung aus der Historie entfernt. Wird danach die Historien-
Länge wieder erhöht, müssen erst wieder Passwörter ’angesammelt’ werden.
• Die Passwort-Länge ist die Mindestlänge an Zeichen, die ein Nutzer-Passwort mindestens enthal-
ten muss. Wird nichts eintragen, beträgt die Mindestlänge acht Zeichen. Der Vorgabewert von acht
Zeichen für die Passwort-Länge ist fest vorgegeben. Er gilt deswegen immer, wenn keine Richtli-
nie gesetzt ist und das Auswahlkästchen Passwort-Länge ignorieren nicht markiert ist, also auch,
wenn die Passwort-Richtlinie default-settings gelöscht wurde.
• Ein Passwort-Ablaufintervall forciert regelmässige Passwortänderungen. Bei der Anmeldung an
Kerberos, an Windows-Clients und an UCS-Systemen wird nach Ablauf des Intervalls in Tagen ein
Passwortwechsel erzwungen. Die verbleibende Gültigkeit des Kennworts wird in der Benutzerver-
waltung unter Passwort-Ablaufdatum im Reiter Konto angezeigt.