UCS-Handbuch - Univention

1.2 Überblick über UCS
dungen und Rechner, seinen Rechten entsprechend zugreifen, ohne sein Passwort erneut einzugeben,
weil ihn sein Kerberos-Ticket intern authentifiziert (Für einige Dienste steht die Implementierung dieses
Single-Sign-on noch aus).
UCS setzt als Verzeichnisdienst OpenLDAP ein. Das Verzeichnis wird vom Domänencontroller Master be-
reitgestellt und auf alle anderen Domänencontroller (DC) in der Domäne repliziert. Weil ein DC Backup
im Notfall den DC Master ersetzen soll, wird immer das komplette LDAP-Verzeichnis auf ihn repliziert. Die
Replikation auf DC Slaves kann dagegen mithilfe von ACLs (Access Control Lists) auf beliebige Berei-
che des LDAP-Verzeichnisses beschränkt werden, wodurch eine selektive Replikation erreicht wird. Dies
kann z.B. dann gewünscht sein, wenn Daten aus Sicherheitsgründen auf möglichst wenigen Servern ge-
speichert werden sollen. Damit diese und andere Daten verschlüsselt übertragen werden können, ist in
UCS eine Root-CA (Zertifizierungsstelle) integriert. Der Zugang zum LDAP-Verzeichnis erfolgt über das
Programm Univention Directory Manager, das über ein Web-Frontend und eine Kommandozeilen-Schnitt-
stelle verfügt. Letztere eignet sich besonders, um Administrationsaufgaben mit Skripten zu erledigen. Das
Web-Frontend ist eine graphische Oberfläche, die sich intuitiv bedienen lässt. Mit Univention Directory
Manager kann prinzipiell von jedem beliebigen Ort aus auf das LDAP-Verzeichnis zugegriffen werden.
Mit Univention Directory Manager können Daten in das LDAP-Verzeichnis eingetragen und die Daten be-
trachtet, bearbeitet und gelöscht werden. Auch die Suche — gefiltert nach einer Vielzahl von Kriterien
— ist möglich. Im Web-Frontend stehen Assistenten zur Verwaltung von Benutzern, Gruppen, Netzwer-
ken, Rechnern, Verzeichnisfreigaben und Druckern zur Verfügung. Die Rechnerverwaltung umfasst auch
umfangreiche Funktionen zur Verteilung und Aktualisierung von Software.
Fortgeschrittene Einstellungen wie DHCP, DNS, Richtlinien und die Einstellungen für Univention Directory
Manager selbst, sind über den Verzeichnis-Browser des Web-Frontends zugänglich. Auch hier können
problemlos kundenspezifische Objektklassen und Attribute hinzugefügt werden.
Richtlinien erleichtern die Administration, da eine Richtlinie die enthaltenen Einstellungen an alle mit ihr
verbundenen Objekte weiter gibt. Diese Objekte wiederum vererben die Einstellungen an die ihnen nach-
geordneten Objekte.
Werden zum Beispiel an verschiedenen Stellen im Unternehmen Rechner mit dem gleichen Bildschirm
verwendet, so müssen die Grafik-Einstellungen nur einmal in einer Richtlinie zusammengefasst und mit
den betroffenen Rechnern verbunden werden. Wenn die Einstellungen für alle Rechner eines Zweigs des
LDAP-Verzeichnisbaums gelten sollen, so wird die Richtlinie an den Zweig gebunden. Über den Verer-
bungsmechanismus gilt die Richtlinie dann für alle darunterliegenden Rechner.
Ein weiteres wesentliches Element des Univention Management Systems stellt der Listener-/Notifier-
Mechanismus dar. Dadurch lösen bestimmte Einträge im LDAP-Verzeichnis definierte Aktionen auf be-
troffenen Rechnern aus. Wenn zum Beispiel mit Univention Directory Manager ein Verzeichnis auf einem
bestimmten Server über NFS und Samba freigegeben wird, wird die Freigabe nicht nur in das LDAP-
Verzeichnis eingetragen, sondern auch die NFS- und Samba-Konfigurationsdateien auf dem gewählten
Server entsprechend erweitert. Außerdem wird das Verzeichnis im Dateisystem des gewählten Servers
erstellt, falls es noch nicht existiert. Das Univention Management System sorgt also auch auf entfernten
Rechnern automatisch für die Ausführung aller Schritte, die im Zusammenhang mit einem bestimmten
Vorgang nötig sind. Der Listener-/Notifier-Mechanismus kann leicht um Module für weitere - auch kunden-
spezifische - Vorgänge ergänzt werden.
Neben Univention Directory Manager als Zugang zum LDAP-Verzeichnis mit den Domänendaten steht mit
13