Zusammenarbeit mit Verzeichnisdienst (opsi-directory-connector)

Für eine kleine Umgebung mit bis zu 500 opsi-Clients benötigen Sie:

Den Directory Connector können Sie nur unter Linux installieren und betreiben. Eine Unterstützung für Windows-Systeme ist nicht geplant.

Da die Erweiterung Standard-Protokolle zur Kommunikation übers Netzwerk benutzt, benötigen Sie keine zusätzlichen opsi- oder Verzeichnisdienst-spezifischen Komponenten.

Im Abschnitt directory konfigurieren Sie die Verbindung zum Verzeichnisdienst. Außerdem grenzen Sie hier den Suchbereich auf bestimmte Umgebungen und Objekte ein:

Hinter address geben Sie die Adresse des LDAP-Servers an. Wird das Protokoll ldaps oder der Port 636 verwendet, dann findet die Kommunikation SSL-verschlüsselt statt:

Tragen Sie außerdem den Benutzernamen (user) und das Kennwort (password) für die Authentifizierung am Verzeichnisdienst ein.

Anstelle des Passwortes können Sie hinter passwordFile den Pfad zu einer Datei angeben, die das Passwort enthält. Das hat den Vorteil, dass das Passwort nicht im Klartext in der Konfigurationsdatei steht. Ein aus passwordFile ausgelesenes Passwort überschreibt eventuell gesetzte Werte für password.

Hinter search_base geben Sie an, ab welchem Punkt nach passenden Elementen gesucht wird. Hinter search_query_computers konfigurieren Sie für die Suche nach Clients verwendete Filter.

Der optionale Schlüssel identifying_attribute legt ab Version 23 fest, welche Attribute Clients eindeutig identifizieren. Die Standardeinstellung ist dn. Eine oft genutzte Alternative ist distinguishedName, die vor allem im Microsoft-Verzeichnisdienst Active Directory zum Einsatz kommt.

Der Schlüssel connection_options definiert zusätzliche Optionen für die Verbindung. Hier bestimmen Sie beispielsweise über verify, ob bei einer SSL-Verbindung das Zertifikat überprüft werden soll oder nicht. Zusätzlich können Sie den Pfad zu einer Certificate Authority (CA) angeben; notieren Sie hier den Namen der Datei, die Sie zur Verifizierung verwenden wollen. Wenn die Verbindung über den unverschlüsselten Port 389 gestartet wird, dann steuert start_tls, ob nach der Anmeldung eine gesicherte Verbindung gestartet wird. In der Voreinstellung ist start_tls für den Port 389 aktiviert, aber eine Zertifikat-Prüfung findet nicht statt.

Sollen während des Auslesens der Elemente aus dem Verzeichnis mehrere Abfragen stattfinden, dann definieren Sie die Anzahl hinter dem optionalen Schlüssel paged_search_limit. Der Wert muss eine Ganzzahl sein. Das Feature wird seit Version 20 unterstützt.

Für eine Verbindung zu Univention Corporate Server (UCS) geben Sie als Benutzernamen den Distinguished Name (DN) an. Dieser hat die folgende Form:

Unter UCS ist LDAP über die Ports 7389 (ungesichert) bzw. 7636 (SSL-gesichert) erreichbar. Ist auf dem Server ebenfalls Samba installiert und als AD-kompatibler Domänen-Controller eingerichtet, so lauscht dieser auf den Ports 389 (ungesichert) bzw. 636 (SSL-gesichert). Für die Verwendung der SSL-gesicherten Ports setzen Sie die Verbindungseinstellung start_tls auf true.

Die beiden möglichen Verbindungen unterscheiden sich auch, was die Anmeldung betrifft:

In der Regel findet im Container computers eine Suche nach Rechner-Objekten statt. Der folgende Befehl gibt den dazu passenden Wert für search_base aus:

Um nach Windows-Clients zu suchen, geben Sie (objectClass=univentionWindows) als Wert für search_query_computers an.

Diese Einstellungen steuern das Verhalten des Directory Connector:

Wenn Sie write_changes_to_opsi auf false setzen, werden keine Daten nach opsi geschrieben. Das ist beispielsweise dann sinnvoll, wenn Sie die Verbindungseinstellungen überprüfen möchten.

root_dir_in_opsi gibt an, welche Gruppe in opsi als Wurzelgruppe verwendet werden soll. Stellen Sie sicher, dass diese Gruppe existiert.

Wenn Sie update_existing_clients auf false setzen, dann werden bereits in opsi existierende Clients nicht verändert. Steht dieser Wert hingegen auf true, so werden möglicherweise manuell gesetzte Daten mit den Werten aus dem Verzeichnisdienst überschrieben.

Falls prefer_location_from_directory auf true gesetzt ist, werden Clients in opsi an die Position verschoben, die sie auch im Verzeichnisdienst haben. Setzen Sie den Wert auf false, um das Verhalten zu deaktivieren.

Die Gruppenbehandlung steuert seit Version 31 der optionale Schlüssel group_handling. Die Voreinstellung ist dn. Dabei werden Gruppen aus dem DN (Distinguished Name) eines Computers abgeleitet und entsprechend als Teil des opsi-Verzeichnisdienstes angelegt. Ein Client ist dabei nur Mitglied einer Gruppe.

Wenn Sie delete_empty_groups aktivieren, dann werden Gruppen, die nach dem Synchronisieren leer sind, auch aus dem opsi-Verzeichnisdienst gelöscht. Es werden dann nur Gruppen unterhalb von root_dir_in_opsi berücksichtigt.

Mit skip_adding_clients überspringen Sie das Anlegen von Clients in opsi komplett. Diese Option können Sie z. B. in Verbindung mit prefer_location_from_directory verwenden, sodass nur bestehende Clients verschoben werden.

Da ein Verzeichnisdienst ein äußerst flexibles System ist, benötigt der Directory Connector genaue Informationen über die Attribute und welche davon auf die Attribute in opsi selbst anzuwenden sind. Aus diesem Grund gibt es ein Mapping für Client-Attribute.

Der Schlüssel ist jeweils das Attribut in opsi, und der Wert ist das Attribut aus dem Verzeichnisdienst. Ist der Wert leer, so findet keine Zuordnung statt.

Im Abschnitt opsi definieren Sie, wie sich der Directory Connector zu opsi verbindet.

Hinter address steht die opsi-Server-Adresse — vergessen Sie nicht die Angabe des Ports!

Die beiden Schlüssel username und password enthalten die Zugangsdaten zur Authentifizierung am opsi-Server. Anstelle des Passwortes können Sie hinter passwordFile den Pfad zu einer Datei angeben, die das Passwort enthält. Das hat den Vorteil, dass das Passwort nicht im Klartext in der Konfigurationsdatei steht. Ein aus passwordFile ausgelesenes Passwort überschreibt eventuell gesetzte Werte für password.

Enthält der Schlüssel exit_on_error den Wert true, dann führen Probleme bei der Aktualisierung der Daten in opsi zum Verbindungsabbruch. Das passiert beispielsweise beim Übermitteln ungültiger Werte für opsi. Steht hier hingegen false, so werden Fehler protokolliert, die Verbindung bleibt aber bestehen.

Unter connection_options legen Sie Optionen für die Verbindung zum opsi-Server fest. Dabei steuert verify_certificate die Überprüfung des Server-Zertifikats. Setzen Sie selbstsignierte Zertifikate ein, dann können Sie den Wert auf false setzen, um die Verifizierung zu unterbinden.

Wir empfehlen die Einrichtung von systemd-Units, da systemd im Gegensatz zu Cronjobs überlappende Läufe verhindert. Das hier gezeigte Beispiel führt den Directory Connector fünf Minuten nach dem Start eines Rechners aus. Danach läuft er regelmäßig jede Stunde.

Dazu richten Sie zwei benutzerdefinierte systemd-Units im Verzeichnis /etc/systemd/system/ ein, eine Timer-Unit und eine Service-Unit.

Alternativ zu den beiden systemd-Units können Sie den regelmäßigen Abgleich mit dem Directory Connector über einen Cronjob automatisieren.

Rufen Sie den Befehl crontab -e auf, um eine neue Crontab zu erstellen oder eine vorhandene zu bearbeiten. In der Crontab stehen Informationen zum ausführbaren Programm. Außerdem definieren Sie hier, wann und wie oft ein Cronjob laufen soll. In unserem Beispiel fügen wir die folgende Zeile hinzu:

In diesem Fall findet die Synchronisation immer zur vollen Stunde statt. Das erste Feld definiert dazu Minute 0; alle anderen Felder (Stunde, Tag, Monat und Wochentag) enthalten * als Platzhalter.

Der Directory Connector kennt die folgenden Parameter und Optionen:

Ab Version 39 benutzt der Directory Connector den opsi-Logger (Loglevel 0 bis 9). In der Voreinstellung protokolliert die Anwendung nach /var/log/opsi-directory-connector bzw. schreibt Fehler nach stderr. Um den Loglevel für die beiden Protokolle zu beeinflussen, verwenden Sie die Parameter --log-level-stderr bzw. --log-level-file. Der Schalter --log-file definiert ein anderes Logfile.

In der Voreinstellung wird das Logfile rotiert, wenn es 5 MByte groß ist, und jeweils eines der rotierten Protokolle wird aufgehoben. Die beiden Schalter --max-log-size und --keep-rotated-logs überschreiben diese Standardwerte.

Beispielkonfiguration:

Sie können opsi-directory-connector mit dem Parameter --dry-run starten, um einen Testlauf zu starten. Dabei sehen Sie in der Ausgabe die einzelnen Schritte; Änderungen in opsi werden dabei nicht durchgeführt:

Anders als bei der Einstellung "write_changes_to_opsi": false, die keine Daten nach opsi schreibt, passt der Schalter --dry-run die Ausgabe an. Das gibt eine bessere Übersicht über die Aktionen.