Index: windows-de.xml =================================================================== --- windows-de.xml (Revision 75940) +++ windows-de.xml (Arbeitskopie) @@ -920,12 +920,12 @@ - Per Voreinstellung überträgt die so eingerichtete Active Directory-Verbindung keine Passwortdaten aus AD in den UCS-Verzeichnisdienst. Einige Apps aus dem App Center benötigen verschlüsselte Passwortdaten. Sofern eine App diese benötigt, wird ein entsprechender Hinweis im App Center angezeigt. Zu diesem Zweck kann der Passwortdienst auf dem AD-Server installiert werden (siehe ). + Per Voreinstellung überträgt die so eingerichtete Active Directory-Verbindung keine Passwortdaten aus AD in den UCS-Verzeichnisdienst. Einige Apps aus dem App Center benötigen verschlüsselte Passwortdaten. Sofern eine App diese benötigt, wird ein entsprechender Hinweis im App Center angezeigt. Im AD member-Modus liest der UCS AD-Connector Objektdaten per Voreinstellung mit den Berechtigungen des Maschinenkontos des &ucsMaster;s aus dem AD. Für das Auslesen von verschlüsselten Passwortdaten sind dessen Berechtigungen nicht ausreichend. - Daher muss für die Einrichtung des Passwortdienstes zusätzlich manuell die LDAP-DN eines privilegierten Replikationsbenutzers in die &ucsUCRV; connector/ad/ldap/binddn eingetragen werden. + Daher muss in diesem Fall zusätzlich manuell die LDAP-DN eines privilegierten Replikationsbenutzers in die &ucsUCRV; connector/ad/ldap/binddn eingetragen werden. Dieser muss im AD Mitglied der Gruppe Domänen-Admins sein. Das entsprechende Kennwort muss auf dem &ucsMaster; in eine Datei gespeichert werden und ihr Dateiname muss in die &ucsUCRV; connector/ad/ldap/bindpw eingetragen werden. Falls zu einem späteren Zeitpunkt das Zugriffspasswort geändert wurde, muss das neue Passwort in diese Datei eingetragen werden. @@ -952,15 +952,12 @@ Einrichtung des UCS AD-Connectors - Als Alternative zur Mitgliedschaft in einer AD-Domäne, die im vorherigen Abschnitt beschrieben ist, kann der UCS Active Directory-Connector dazu verwendet werden, Benutzer- und Gruppenobjekte zwischen einer UCS-Domäne und einer AD-Domäne zu synchronisieren. Diese Betriebsart erlaubt über die unidirektionale Synchronisation hinaus auch die bidirektionale Synchronisation. In dieser Betriebsart bestehen beide Domänen parallel und ihre Authentifikationssysteme funktionieren unabhängig. Voraussetzung dafür ist die Synchronisation der verschlüsselten Passwortdaten. Dafür ist die Installation eines speziellen Passwortdienstes auf dem AD-Domänencontroller notwendig. + Als Alternative zur Mitgliedschaft in einer AD-Domäne, die im vorherigen Abschnitt beschrieben ist, kann der UCS Active Directory-Connector dazu verwendet werden, Benutzer- und Gruppenobjekte zwischen einer UCS-Domäne und einer AD-Domäne zu synchronisieren. Diese Betriebsart erlaubt über die unidirektionale Synchronisation hinaus auch die bidirektionale Synchronisation. In dieser Betriebsart bestehen beide Domänen parallel und ihre Authentifikationssysteme funktionieren unabhängig. In diesem Betriebsmodus werden per Voreinstellung auch verschlüsselten Passwortdaten synchronisiert. In der Standardeinstellung werden Container, Organisationseinheiten, Benutzer und Gruppen - synchronisiert. Die Benutzer nehmen eine Sonderstellung ein, da das Passwort in Active - Directory nicht über das LDAP-Protokoll abgefragt werden kann. Hierfür wird ein zusätzlicher - Dienst auf dem Windows-Server installiert, der diese Passwortsynchronisation ermöglicht (siehe - ). + synchronisiert. @@ -1116,10 +1113,6 @@ - Im letzten Dialog werden alle zur Installation des Passwortdienstes notwendigen Dateien zum Download auf den Windows-Server angeboten. Weitere Details dazu sind in beschrieben. - - - Nach einem Klick auf Weiter wird die Konfiguration übernommen und der UCS AD-Connector wird gestartet. Der abschließende Dialog muss dann durch Klick auf Fertigstellen geschlossen werden. @@ -1156,9 +1149,7 @@ Die verschlüsselte Verbindung zwischen UCS-System und Active Directory kann auch deaktiviert werden, indem die &ucsUCRV; connector/ad/ldap/ssl auf no gesetzt wird. Diese - Einstellung betrifft nicht die Kommunikation mit dem - Passwort-Dienst (siehe ); - diese ist immer verschlüsselt. + Einstellung betrifft nicht die Synchronisation der verschlüsselten Passwortdaten.
@@ -1291,54 +1282,6 @@
-
Einrichtung des Passwort-Dienstes auf dem AD-System - -Active Directory verbietet die Abfrage von Passwörtern über das -LDAP-Protokoll, was die Installation eines Paketes auf dem -Windows-Server erfordert. - - -Die Installations-Pakete werden ebenfalls über den -UMC-Einrichtungs-Assistenten bereitgestellt: - - - -ucs-ad-connector.msi (for 32bit Windows) -ucs-ad-connector-64bit.msi (for 64bit Windows) -Microsoft Visual C++ 2010 Redistributable Package (x86) -private.key -cert.pem - - -Auf 64 Bit-Varianten von Windows muss vor der Installation des AD -Connectors das Microsoft Visual C++ 2010 - Redistributable Package (x86) installiert werden. - - - Die MSI-Pakete sind die Installations-Dateien für den -Passwortdienst und können durch einen Doppelklick gestartet werden. - - -Das Paket wird automatisch in das Verzeichnis C:\Windows\UCS-AD-Connector\ installiert. Zusätzlich wird der -Passwort-Dienst als Systemdienst in die Windows-Umgebung integriert, -wodurch der Dienst automatisch oder manuell gestartet werden kann. -Nach der Installation ist der Passwort-Dienst für den automatischen -Start konfiguriert. - - -Die Dateien private.key und cert.pem beinhalten unter UCS erzeugte -SSL-Zertifikate für die gesicherte Kommunikation des Passwort-Dienstes. Sie müssen ebenfalls -in das Installationsverzeichnis des Passwort-Dienstes kopiert werden. -Anschließend muss der Passwort-Dienst neu gestartet werden. - - -In einer Standard-Installation unter Windows 2008 blockiert die -Windows-Firewall die Zugriffe auf den UCS AD-Connector. Diese muss entweder -in der Systemsteuerung deaktiviert werden oder Port -6670/TCP freigegeben werden. - -
-
Start/Stopp des Active Directory Connectors Abschließend kann der Connector über Active Directory-Verbindungsdienst starten @@ -1421,10 +1364,6 @@ /var/log/univention/connector.log /var/log/univention/connector-status.log - -Die Statusmeldungen des Passwort-Dienstes auf AD-Seite werden in die -Datei C:\Windows\UCS-AD-Connector\UCS-AD-Connector.log protokolliert. -
Index: windows-en.xml =================================================================== --- windows-en.xml (Revision 75940) +++ windows-en.xml (Arbeitskopie) @@ -864,13 +864,13 @@ - In the default setting, the Active Directory connection set up in this way does not transfer any password data from AD to the UCS directory service. Some apps from the Univention App Center require encrypted password data. If an app needs it, a note is shown in the App Center. For this purpose, the password service can be installed on the AD server (see ). + In the default setting, the Active Directory connection set up in this way does not transfer any password data from AD to the UCS directory service. Some apps from the Univention App Center require encrypted password data. If an app needs it, a note is shown in the App Center. In AD member mode, in the default setting, the UCS AD Connector exports object data from the AD with the authorizations of the &ucsMaster;'s machine account. These authorizations are not sufficient for exporting encrypted password data. - As such, the LDAP DN of a privileged replication user can also be manually entered in the &ucsUCRV; connector/ad/ldap/binddn for the setting up of the password service. + In this case, the LDAP DN of a privileged replication user can be adjusted manually in the &ucsUCRV; connector/ad/ldap/binddn. This must be a member of the Domain Admins group in the AD. The corresponding password must be saved in a file on the &ucsMaster; and the file name entered in the &ucsUCRV; connector/ad/ldap/bindpw. If the access password is changed at a later point in time, the new password must be entered in this file. @@ -898,11 +898,11 @@ Setup of the UCS AD connector - As an alternative to membership in an AD domain, as described in the previous section, the Active Directory Connection can be used to synchronize user and group objects between a UCS domain and an AD domain. In addition to unidirectional synchronization, this operating mode also allows bidirectional synchronization. In this operating mode, both domains exist in parallel and their authentication systems function independently. The prerequisite for this is the synchronization of the encrypted password data. This requires the installation of a special password service on the AD domain controller. + As an alternative to membership in an AD domain, as described in the previous section, the Active Directory Connection can be used to synchronize user and group objects between a UCS domain and an AD domain. In addition to unidirectional synchronization, this operating mode also allows bidirectional synchronization. In this operating mode, both domains exist in parallel and their authentication systems function independently. The prerequisite for this is the synchronization of the encrypted password data. - In the default setting, containers, organizational units, users and groups are synchronized. Users have an exceptional position since the password cannot be queried via the LDAP protocol in Active Directory. A special service is installed on the Windows server for this purpose, which enables password synchronization (see ). + In the default setting, containers, organizational units, users and groups are synchronized. Users have an exceptional position since the password cannot be queried via the LDAP protocol in Active Directory. @@ -1027,10 +1027,6 @@ - In the last dialogue window, all the files required for the Installation of password service are offered for download to the Windows server. Further information on this topic can be found in . - - - Once Next is clicked, the configuration is taken over and the UCS AD Connector started. The subsequent dialogue window needs to be closed by clicking on Finish. @@ -1063,9 +1059,8 @@ The encrypted communication between the UCS system and Active Directory can also be deactivated by setting the &ucsUCRV; connector/ad/ldap/ssl - to no. This setting does not concern the communication with the - password service (see ); - this is always encrypted. + to no. This setting does not affect the replication of + encrypted password data.
@@ -1197,54 +1192,6 @@
-
Setting up the password service on the AD system - -Active Directory prohibits the request of passwords via the LDAP -protocol, which requires the installation of a package on the -Windows server. - - -The installation packages are also provided via the setup -wizard &ucsUMC;. - - - -ucs-ad-connector.msi (for 32bit Windows) -ucs-ad-connector-64bit.msi (for 64bit Windows) -Microsoft Visual C++ 2010 Redistributable Package (x86) -private.key -cert.pem - - -On 64-bit Windows versions, the Microsoft Visual C++ 2010 - Redistributable Package (x86) must be installed before the -installation of the AD connector. - - - The MSI files are the installation files for the -password service and can be started by double clicking on it. - - -The package is installed in the C:\Windows\UCS-AD-Connector\ directory automatically. -Additionally, the -password service is integrated into the Windows environment as a -system service, which means the service can be started automatically -or manually. After the installation the password service is configured -for automatic startup. - - -The private.key and cert.pem files contain the SSL -certificates created in UCS for secure communication with the password service. They must also -be copied into the installation directory of the password service. -The password service must then be restarted. - - -During a standard installation in Windows 2008 the Windows firewall -blocks the access to the UCS AD Connector. This must either be deactivated -in System settings or Port 6670/TCP authorized. - -
-
Starting/Stopping the Active Directory Connection The connector can be started using Start Active @@ -1336,10 +1283,6 @@ /var/log/univention/connector.log /var/log/univention/connector-status.log - -The status notifications of the password service on the AD side are -logged in the C:\Windows\UCS-AD-Connector\UCS-AD-Connector.log file. -