UCS-Handbuch - Univention

7 UCS Verzeichnisdienst
Wenn Fehler bei der ACL-Verarbeitung untersucht werden sollen, empfieht es sich den Loglevel des LDAP-
Servers durch die Univention Configuration Registry-Variable ldap/debug/level auf 129 zu setzen und
den LDAP-Server neu zu starten. In /var/log/syslog finden sich dann die Debug-Ausgaben.
ACL-Erweiterungen sollten nach Möglichkeit im Debian-Paketformat paketiert werden, damit die ange-
passten ACLs einfach auf Domänencontroller Backup-Systemen bereitgestellt werden können.
Werden ACL-Einstellungen nachträglich gelockert, kann es zu Replikationsproblemen kommen, wenn Än-
derungstransaktionen für ein Objekt eintreffen, das vorher durch die strikteren ACLs unterbunden wurden.
Es wird empfohlen in diesem Fall auf Domänencontroller Slave und Backup-Systemen mit dem Befehl
univention-directory-listener-ctrl resync replication eine Neureplikation zu starten.
7.4.2 Definition der Objekte, auf die eine Regel gilt (access to)
Zugriffsregeln werden durch access to-Zugriffs-Direktiven eingeleitet. Regeln können auf drei verschie-
dene Klassen von Objekten definiert werden. Diese lassen sich beliebig kombinieren:
• Die Direktive kann auf eine DN, also eine eindeutige Position im LDAP zugewiesen werden. Bei-
spielsweise würde der identifizierende Teil der Direktive, der den Zugriff auf einen Datenbank-
Administrations-Account ermöglicht, folgendermassen aussehen:
access to dn="uid=databaseadmin,cn=users,dc=firma,dc=de"
Die DNs können auch durch einen regulären Ausdruck definiert werden. Die regulären Ausdrücke
werden hier im POSIX-Standard angegeben:
access to dn.regex="cn=.*,cn=dc,cn=computers,dc=firma,dc=de"
• Die Direktive kann anhand eines LDAP-Filters spezifiziert werden. So kann beispielsweise der Zugriff
anhand einer Objektklasse auf MAC-Adressen eingeschränkt werden:
access to filter="(objectClass=macAddress)"
• Die von der Direktive betroffenen Attribute können durch attrs definiert werden, hier beispielsweise
auf die Benutzer- und Gruppen-IDs:
access to attrs=uidNumber,gidNumber
7.4.3 Definition der Zugriffsberechtigten auf die Objekte
Jede Berechtigungsdirektive wird mit dem by-Statement eingeleitet. Sie legt fest, welche Benutzer auf
das in der access-Direktive festgelegte Objekt zugreifen dürfen: Hierbei stehen verschiedene Syntax-
Möglichkeiten zur Verfügung:
Auf jede Definition von Zugriffsberechtigten folgt die vergebene Berechtigung und optional ein Option, die
die weitere Regelabarbeitung kontrolliert, siehe dazu die folgenden Abschnitte.
198
• Durch * gilt die Regel für alle Benutzer.