Eine Alternative für das Active Directory Univention Corporate Server: Start ins AD ohne Microsoft

Anbieter zum Thema

Univention GmbH

Fsas Technologies GmbH

netfiles GmbH

Wenn es um die Verwaltung von Benutzern, Geräten, Software und Domänen geht, greifen Administratoren typischerweise zu einem Microsoft-Server und etablieren ein Active Directory. Es gäbe auch eine Alternative: Entwickelt in Deutschland, basierend auf Linux: der Univention Corporate Server (UCS).

Der Kern des 2004 erstmals vorgestellten Univention Corporate Servers (UCS) ist Debian und Samba 4. Die Geschichte der Univention geht auf das Jahr 2002 zurück und dem seinerzeit fehlenden Standard Linux-Server Betriebssystem. In den folgenden Jahren entwickelte sich hieraus eine Alternative für den Betrieb als AD-Domänencontroller mit integriertem Identity- und Infrastrukturmanagement zur Verwaltung von Anwendungen, Benutzerinnen und Benutzern und Ressourcen. Server- und Desktop-Systeme können damit zentral, standort- und plattformübergreifend über eine intuitiv bedienbare Weboberfläche verwaltet werden.

UCS lässt sich weiter, so der Hersteller, dank standardisierter Schnittstellen leicht in vorhandene Umgebungen integrieren. Das integrierte App Center bietet eine große Zahl von Enterprise-Lösungen, die mit einigen Klicks in Betrieb genommen oder virtuell betrieben werden können. Umfassende Active-Directory-Funktionen ermöglichen sowohl die Integration mit Microsoft Windows-Umgebungen als auch deren Ablösung.

Neben dem Verzeichnisdienst als grundlegende Verwaltungsstruktur bietet der UCS Server-Dienste wie einen CIFS/SMB-kompatiblen Datei- und Druck-Service. Die Grundvariante des UCS, in der Core-Edition sogar komplett kostenlos, ist somit in der Lage, einen Microsoft Domänencontroller gänzlich zu ersetzen. Eine ganze Reihe von Zusatzfunktionen wie Mailserver, Container, KVM-Virtualisierung oder Ausbau zum Cloud-Service bietet der Hersteller kostenpflichtig an. Für den Bildungsbereich existiert eine Sondervariante, die „UCS@school“, optimiert für den Einsatz im Bildungssektor: Zentral und datenschutzkonform Benutzer-Identitäten verwalten, die Authentifizierung an Diensten ermöglichen und Lösungen für digitales Lernen über eigene Schulportale bereitstellen. Wer sich auf die Schnelle einen Blick von der Software machen möchte, kann dies über die Webseite des Herstellers durch einen Klick auf „Jetzt UCS Online Demo starten“ jederzeit tun.

Lieferung per Image

Ob kostenpflichtige Subskription oder kostenfreie Core-Edition, die Firma Univention verlangt eine Anmeldung mit Kontaktdaten und übermittelt die passende Lizenzdatei sofort nach Beendigung des Anforderungsvorgangs per E-Mail. Die Software selbst wird als virtuelle Appliance für VMware, KVM, Virtualbox, im Hyper-V-Format oder als ISO-Installations-Image bereitgestellt.

Direkt nach der Installation oder der Aktivierung des Images auf dem Hypervisor startet das Betriebssystem und es gilt für den Administrator festzulegen, in welcher Rolle der Domänencontroller seinen Dienst verrichten soll: Als Mitglied einer bestehenden UCS- oder Microsoft-Domäne oder als eigenständiger DC.

Bei Auswahl der zu erstellenden Domäne folgt die Festlegung des Domänennamens und die Hinterlegung eines Administratorpassworts sowie verpflichtend die Angabe einer E-Mail-Adresse, die beim Empfang eines Lizenzschlüssels zum Einsatz kommt. Nach der Festlegung des FQDN-Servernamens und der – glücklicherweise vorgeblendeten – LDAP-Basis beginnt die automatische Einrichtung.

Anschließend geht die Konfiguration ausschließlich im Browser weiter und innerhalb weniger Minuten steht dem Administrator eine Windows-artige Domänenstruktur zur Verfügung. Wenn die DNS-Einstellungen durch den Administrator korrekt sind, verläuft der Domain Join für den Client-Computer über dieselbe Vorgehensweise wie bei einer Domäne mit einem Microsoft Server. Alle Dialoge wie die Benutzer- oder Berechtigungsverwaltung sind weitgehend selbsterklärend. Verschachtelte Berechtigungsgruppen, Freigaben, Quotas oder CUPS-Druckservices finden sich auch in der kostenfreien Version „Core“.

Bildergalerie

Domäneneinrichtung per Assistent

Der UCS macht es dem Administrator glücklicherweise bei einer Entscheidung recht einfach: Soll der neue Server als primäre DC, als mitwirkender Member-Server oder als untergeordneter Domänencontroller in einer von einem Microsoft Windows Server betriebenen Domäne zum Einsatz kommen, findet man in der Dokumentation hierzu ein eigenes Kapitel mit dem Titel „Active Directory Takeover“. Hierbei handelt es sich um einen Migrationsassistenten aus dem Univention App Center, der als eigenständige Anwendung in der Univention Management Console seinen Dienst zur Migration von ADs zum UCS anbietet. Letztendlich haben die Entwickler des Univention Corporate Servers ein System bereitgestellt, dass es dem IT-Administrator einfach macht, sich einem Linux-basierten Domänensystem zu nähern, ohne die bisher erworbenen Fähigkeiten und Erfahrungen aus der reinen Microsoft-Umgebung zu verlieren.

Weiter im Sinne der Übernahme: Der Assistent erkennt nach Eingabe der Adresse des bestehenden Active-Directory-Domänencontrollers alle in der Domäne vorhandenen Benutzer, Computer und Gruppen. Diese kopiert der Assistent automatisch, inklusive der dazugehörigen Richtlinien, in eine neue Domäne. Das Ziel des Vorgangs ist die vollständige Übernahme und die anschließende Abschaltung des Microsoft Servers. Praktischerweise tappt der Administrator dabei nicht im Dunkeln. Vor der eigentlichen Übernahme, nach Eingabe der Credentials und einer kurzen Analyse erscheint eine Zusammenfassung der vorgefundenen Objekte.

Zunächst einmal tritt der UCS der Domäne bei und fungiert als weiterer Domänencontroller. Im dritten Schritt des Assistenten wird ein Befehl zur Übernahme der Gruppenrichtlinien angezeigt, der in die Eingabeaufforderung des Windows-DCs einzugeben ist. Läuft das Kommando anstandslos durch, wechselt der Administrator wieder in den Assistentendialog, klickt auf weiter und fährt den Windows-DC herunter. Nach einem weiteren Klick im Assistenten schließt dieser seine Arbeit ab und fungiert von nun an als Domänencontroller. Von dem einen Kommandozeilenbefehl einmal abgesehen, ist der Vorgang mit einigen Mausklicks durch den Administrator zu erledigen.

Verwaltung à la Microsoft

Stellt sich die Frage: Wird eine UCS-Domäne nun ausschließlich per Browser verwaltet? Das klingt zwar ganz nach dem, was Azure & Co auch im Schilde führen, ist jedoch im administrativen Tagesgeschäft nicht immer die beste Wahl. Viele klassischen Arbeitsschritte gelingen im Browser ohne Probleme, bei der Gruppenrichtlinien-Steuerung gibt es jedoch eine Grenze.

Der UCS unterstützt über die Samba-AD-Domänen die Funktionalität von Gruppenrichtlinien. Im Gegensatz zu den UCS-Richtlinien, die Administratoren über die Univention Management Console bearbeiten, erfordert die GPO-Verwaltung den Aufruf über die Remote Server Administration Tools (RSAT) von Microsoft. Alle bekannten Funktionen und Grundwerte, beispielsweise die Richtlinienauswertungen in einem Zeitfenster zwischen 90 und 120 Minuten, GPOs, die beim Systemstart oder bei der Anmeldung zur Ausführungen kommen oder ihr manueller Aufruf über „gpupdate /force“ auf dem Windows-Client-Computer gelten auch für die UCS-basierte AD-Variante.

In der Gesamtbetrachtung

Letztendlich ist der UCS eine vollständige Alternative zu einer Microsoft-basierten Domäne und hat folglich auch nicht seinen ausschließlichen Fokus darauf, möglichst alles, ohne Wenn und Aber, in Richtung Cloud verschieben zu wollen. Im Kern stehen ein LDAP-Verzeichnisdienst, basierend auf OpenLDAP, und das UCS-Managementsystem, über das alle Bestandteile über Rechner-, Betriebssystems- und Standortgrenzen hinweg verwaltet werden. Das App Center erlaubt eine Erweiterung der Funktionalitäten gemäß den Wünschen des Administrators – wie gesagt, ohne dass dieser sich im Detail mit dem Linux-Unterbau tatsächlich auskennen muss.

(ID:50002499)