UCS-Handbuch - Univention

7 UCS Verzeichnisdienst
7.4.5 Definition der Verarbeitung weiterer Regeln bei angewendeten Regeln
Es gibt zu jeder by-Direktive drei Möglichkeiten die Abarbeitung weiterer Regeln zu steuern:
• Standardmässig wird die Verarbeitung weiterer access-Regeln gestoppt, wenn eine Regel zutrifft.
Dies kann auch noch einmal explizit durch eine stop-Direktive festgelegt werden.
• Durch continue werden weitere Berechtigten-Regeln innerhalb der Zugriffsregel abgearbeitet.
• Durch break werden weitere Zugriffsregeln geprüft, ob sie zutreffen.
7.4.6 Delegation des Zurücksetzens von Benutzerpasswörtern
Um einer Teilgruppe von Administratoren mit eingeschränkten Rechten, einem Helpdesk, das Zu-
rücksetzen von Benutzerpasswörtern zu ermöglichen, kann das Paket univention-admingrp-user-
passwordreset installiert werden. Es legt über ein Joinskript die Benutzergruppe User Password Ad-
mins an, sofern diese noch nicht existiert.
Mitglieder dieser Gruppe erhalten über zusätzliche LDAP-ACLs die Berechtigung, Passwörter von an-
deren Benutzern zurückzusetzen. Diese LDAP-ACLs werden bei der Paketinstallation automatisch ak-
tiviert. Um eine andere ggf. schon existierende Gruppe statt der Gruppe User Password Admins zu
verwenden, kann der DN der zu verwendenden Gruppe in die Univention Configuration Registry-Variable
ldap/acl/user/passwordreset/accesslist/groups/dn eingetragen werden.
Das Zurücksetzen der Passwörter kann über den Univention Directory Manager erfolgen. In der Standar-
deinstellung bietet Univention Directory Manager nur dem Benutzer Administrator den Benutzer-Assis-
tenten an, über den neue Passwörter gesetzt werden können. Während der Installation wird automatisch
eine neue Richtlinie default-user-password-admins erstellt, die mit den Mitgliedern der Gruppe User
Password Admins bzw. mit einem entsprechenden Container im LDAP-Verzeichnis verknüpft werden
kann.
Die Richtlinie ermöglicht dabei die Suche nach Benutzern sowie die Ansicht aller Attribute eines Benutze-
robjektes. Wird versucht, neben dem Passwort weitere Attribute zu modifizieren, für die keine ausreichen-
den Zugriffsrechte auf das LDAP-Verzeichnis existieren, wird der Schreibzugriff vom Univention Directory
Manager mit der Meldung Zugriff verweigert abgelehnt.
Achtung:
Das Paket ist auf dem Domaincontroller Master- sowie den Domaincontroller Backup-Systemen zu instal-
lieren. Während der Installation wird der LDAP-Server neugestartet und ist kurzzeitig nicht erreichbar.
Um das Zurücksetzen von Passwörtern für bestimmte Benutzer (z.B. Domänen-Administratoren) zu
verhindern, können die UIDs der zu schützenden Benutzer in der Univention Configuration Registry-
Variable ldap/acl/user/passwordreset/protected/uid kommasepariert angegeben werden.
Nach einer Änderung der Variable ist es erforderlich, den LDAP-Verzeichnisdienst über den Befehl
/etc/init.d/slapd restart neu zu starten, damit die geänderten LDAP-ACLs wirksam werden.
In der Standardeinstellung wird der Benutzer Administrator vor Passwortänderungen durch die Gruppe
User Password Admins geschützt.
Sollte für die Änderung des Passworts der Zugriff auf zusätzliche LDAP-Attribute not-
wendig sein, können die Attributnamen in der Univention Configuration Registry-Variable
200