Attachment 9313 Details for Bug 45608 – idm-cloud-de.xml

idm-cloud-de.xml

idm-cloud-de.xml (text/xml), 8.61 KB, created by Stefan Gohmann on 2017-12-08 16:31:51 CET

(hide)

Description:

Filename:

MIME Type:

Creator: Stefan Gohmann

Created: 2017-12-08 16:31:51 CET

Size: 8.61 KB

patch

obsolete

><?xml version="1.0" encoding="UTF-8" standalone="no"?>
><!DOCTYPE chapter [
>	<!ENTITY % extensions SYSTEM "../stylesheets/macros.ent" >
>	<!ENTITY % DocBookDTD PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
>	"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd">
>	<!ENTITY % entities SYSTEM "../stylesheets/macros-de.ent" >
>	%extensions;
>	%DocBookDTD;
>	%entities;
>]>
><chapter id="idmcloud">
>  <title>Identity Management Anbindung an Cloud-Dienste</title>
>  <section id="idmcloud:general">
>	<title>EinfÃ¼hrung</title>
>	<para>
>		UCS bietet ein integriertes Identity Management System. Ãber Univention Management Console kÃ¶nnen u.a. Benutzer
>		oder Gruppen sehr einfach administriert werden. AbhÃ¤ngig von den installierten Diensten stehen diese
>		IdentitÃ¤ten Ã¼ber unterschiedliche Schnittstellen bereit, bspw. via LDAP.
>	</para>
>	<para>
>		Mit Hilfe von bereitgestellten Erweiterungen, sogenannten Apps, kann das Managementsystem so erweitert werden, dass
>		Benutzer oder Gruppen auch direkt in Cloud-Dienste repliziert werden. Im App Center sind u.a. Erweiterung fÃ¼r
>		Microsoft Office 365 oder G Suite vorhanden.
>	</para>
>	<para>
>		Dank Single Sign-on (SSO) kÃ¶nnen sich die Benutzer mit ihrem gewohnten Passwort anmelden und anschlieÃend sofort online
>		in der Cloud arbeiten. Dabei bleibt das Passwort im Unternehmensnetzwerk und wird nicht zum Cloud Dienst Ã¼bertragen.
>	</para>
>	<para>
>		Im folgenden Kapitel ist die Einrichtung des Microsoft Office 365 Connector beschrieben.
>	</para>
>  </section>
>
>  <section id="idmcloud:o365">
>	<title>Microsoft Office 365 Connector</title>
>	<para>
>		Der Microsoft Office 365 Connector ermÃ¶glicht die Synchronisation der Benutzer und Gruppen zu einer Azure Active
>		Directory DomÃ¤ne, welche von Office 365 verwendet wird. Dabei lÃ¤sst sich steuern, welche der in UCS angelegten
>		Benutzer Office 365 verwenden dÃ¼rfen. Die so ausgewÃ¤hlten Benutzer werden entsprechend von UCS in die Azure Active
>		Directory DomÃ¤ne provisioniert. Es kann dabei konfiguriert werden, welche Attribute synchronisiert werden und Attribute
>		kÃ¶nnen dabei anonymisiert werden.
>	</para>
>
>	<para>
>		Die Single Sign-on Anmeldung an Office 365 erfolgt Ã¼ber die in UCS integrierte SAML-Implementierung, d.h. die Authentifizierung erfolgt dabei gegen den
>		UCS-Server und es werden keine Passwort-Hashes zu Microsofts Azure Cloud Ã¼bertragen. Die Authentifikation des Benutzers erfolgt ausschlieÃlich Ã¼ber den
>		Webbrowser des Clients. Dieser sollte aber die DNS-Namen der UCS-DomÃ¤ne auflÃ¶sen kÃ¶nnen, das ist insbesondere
>		fÃ¼r MobilgerÃ¤te wichtig zu beachten.
>	</para>
>
>	<section id="idmcloud:o365:setup">
>		<title>Einrichtung</title>
>		<para>
>			FÃ¼r den Einsatz des Microsoft Office 365 Connectors wird ein Microsoft Office 365 Administrator Konto, ein entsprechendes
>			Konto im Azure Active Directory, sowie eine von Microsoft
>			<ulink url="https://azure.microsoft.com/de-de/documentation/articles/active-directory-add-domain/">verifizierte
>			DomÃ¤ne</ulink> benÃ¶tigt. Die ersten beiden werden zu Testzwecken kostenlos von Microsoft bereitgestellt. FÃ¼r das
>			Konfigurieren des SSO wird jedoch eine eigene Internet-DomÃ¤ne benÃ¶tigt, in der TXTâRecords erstellt werden kÃ¶nnen.
>		</para>
>
>		<para>
>			Falls noch keine Microsoft Office 365 Subskription vorhanden ist, so kann diese via <ulink url="http://www.office.com"/>
>			im Bereich <guimenu>kostenlos testen fÃ¼r Unternehmen</guimenu> konfiguriert werden. Mit einem privaten Microsoft Konto
>			ist eine Verbindung nicht mÃ¶glich.
>		</para>
>
>		<para>
>			AnschlieÃend sollte eine Anmeldung mit einem <guimenu>Office 365 Administratorkonto</guimenu> im <guimenu>Office 365 Admin Center</guimenu> erfolgen. In
>			der linken Navigationsleiste ganz unten ist <guimenu>Azure AD</guimenu> auszuwÃ¤hlen, welches in einem neuen Fenster das
>			<guimenu>Azure Management Portal</guimenu> Ã¶ffnet.
>		</para>
>
>		<para>
>			Unter dem MenÃ¼punkt <guimenu>DomÃ¤nen</guimenu> kann nun die eigene DomÃ¤ne hinzugefÃ¼gt und verifiziert werden. DafÃ¼r ist
>			es notwendig, einen TXT-Record im DNS der eigenen DomÃ¤ne zu erzeugen. Dieser Vorgang kann einige Minuten in
>			Anspruch nehmen. AnschlieÃend sollte der <guimenu>Status</guimenu> der konfigurierten DomÃ¤ne als
>			<guimenu>Ã¼berprÃ¼ft</guimenu> angezeigt werden.
>		</para>
>
>		<para>
>			Nun kann die Microsoft Office 365 App aus dem App Center auf dem UCS System installiert werden. Die Installation dauert
>			nur wenige Minuten. AnschlieÃend steht ein Einrichtungsassistent (Wizard) fÃ¼r die Einrichtung zur VerfÃ¼gung.
>			Mit Abschluss des Einrichtungsassistenten ist die Installation abgeschlossen und der Connector ist einsatzbereit.
>		</para>
>
>		<figure id="idmcloud:o365:wizard">
>			<title>Office 365 Einrichtungsassistent</title>
>		<graphic scalefit="1" width="100%" fileref="illustrations42/office_wizard1_de.png"/>
>    </figure>
>
>	</section>
>
>	<section id="idmcloud:o365:config">
>		<title>Konfiguration</title>
>		<para>
>			Nach der Einrichtung Ã¼ber den Einrichtungsassistenten kann Ã¼ber das Benutzermodul an jedem Benutzerobjekt auf dem Reiter <guimenu>Office 365</guimenu>
>			konfiguriert werden, dass dieser Benutzer ins Office 365 provisioniert wird. Der Verbrauch und die Zuweisung von
>			Lizenzen ist im <guimenu>Office 365 Admin Center</guimenu> zu erkennen.
>		</para>
>
>		<para>
>			Wird eine Ãnderung am Benutzer durchgefÃ¼hrt, so werden die Ãnderungen auch in die Azure Active Directory DomÃ¤ne repliziert. Es erfolgt
>			keine Synchronisation aus dem Azure Active Directory in das UCS System. Das bedeutet Ãnderungen, die im Azure Active
>			Directory oder Office Portal vorgenommen, kÃ¶nnen durch Ãnderungen an den gleichen Attributen in UCS unter UmstÃ¤nden
>			wieder Ã¼berschrieben werden.
>		</para>
>
>		<para>
>			Aufgrund von Sicherheitsrichtlinien des Azure Active Directory kÃ¶nnen Benutzer oder Gruppen im Azure AD
>			wÃ¤hrend der Synchronisation nicht gelÃ¶scht werden. Sie werden lediglich deaktiviert und umbenannt. Die Lizenzen werden im Azure
>			Active Directory entzogen, so dass diese fÃ¼r andere Benutzer zur VerfÃ¼gung stehen. Benutzer und Gruppen, deren Namen
>			mit <guimenu>ZZZ_deleted</guimenu> anfangen, kÃ¶nnen im <guimenu>Office 365 Admin Center</guimenu> gelÃ¶scht werden.
>		</para>
>
>		<para>
>			Es ist notwendig in Office 365 ein Land fÃ¼r den Benutzer zu konfigurieren. Der Connector nutzt dafÃ¼r die Angabe des
>			Landes aus den Kontaktdaten des Benutzers oder, wenn nicht gesetzt, die Einstellung des Servers. Mit Hilfe der &ucsUCRV;
>			<envar>office365/attributes/usageLocation</envar> kann ein 2-Zeichen-KÃ¼rzel, bspw. DE vorgegeben werden.
>		</para>
>
>		<para>
>			Ãber die &ucsUCRV; <envar>office365/attributes/sync</envar> wird konfiguriert, welche LDAP Attribute (z. B. Vorname, Nachname, etc.)
>			eines Benutzerkontos synchronisiert werden. Es handelt sich um eine kommaseparierte Liste von LDAP Attributen. Somit ist eine
>			Anpassung an die eigenen BedÃ¼rfnisse einfach mÃ¶glich.
>		</para>
>
>		<para>
>			Mit der &ucsUCRV; <envar>office365/attributes/anonymize</envar> kÃ¶nnen kommasepariert LDAP Attribute angegeben werden,
>			die zwar im Azure Active Directory angelegt, jedoch mit Zufallswerten gefÃ¼llt werden. Die Univention Configuration Registry Variablen
>			<envar>office365/attributes/static/.*</envar> erlauben das FÃ¼llen von Attributen auf Microsoft Seite mit einem
>			vordefinierten Wert.
>		</para>
>
>		<para>
>			Mit der &ucsUCRV; <envar>office365/attributes/never</envar> kÃ¶nnen kommasepariert LDAP Attribute angegeben werden, die
>			nicht synchronisiert werden sollen, selbst wenn diese in <envar>office365/attributes/sync</envar> oder
>			<envar>office365/attributes/anonymize</envar> auftauchen.
>		</para>
>
>		<para>
>			Die Univention Configuration Registry Variablen <envar>office365/attributes/mapping/.*</envar> definieren eine Abbildung der UCS LDAP Attribute zu Azure
>			Attributen. Diese Variablen mÃ¼ssen normalerweise nicht verÃ¤ndert werden. Die Synchronisation der Gruppen der
>Office 365 Benutzer kann mit der &ucsUCRV; <envar>office365/groups/sync</envar> aktiviert werden.
>		</para>
>
>		<para>
>			Ãnderungen an UCR Variablen werden erst nach dem Neustart des Univention Directory Listener umgesetzt.
>		</para>
>
>
>	</section>
>
>	<section id="idmcloud:o365:debug">
>		<title>Fehlersuche</title>
>		<para>
>			Meldungen wÃ¤hrend der Einrichtung werden in der folgenden Logdatei
>			<filename>/var/log/univention/management-console-module-office365.log</filename> protokolliert.
>		</para>
>
>		<para>
>			Bei Synchronisationsproblemen sollte die Logdatei des Univention Directory Listener geprÃ¼ft werden:
>			<filename>/var/log/univention/listener.log</filename>. Mit Hilfe der &ucsUCRV; <envar>office365/debug/werror</envar>
>			kÃ¶nnen mehr Debugausgaben aktiviert werden.
>		</para>
>
>	</section>
>  </section>
>
></chapter>

Actions: View

Attachments on bug 45608: 9313 | 9328