Quelltext der Seite Generische LDAP-Integration

{{Verzeichnisdienste_Einleitung|LDAP-Server|LDAP}}

== Aufruf der Verzeichnisdienste-Integration ==
{{Verzeichnisdienste_Aufrufen|LDAP-Generic|Mldap_sync_01.png}}

== Einrichten der Synchronisierung ==
Für die Synchronisierung benötigt MailStore Informationen darüber, wie der LDAP-Verzeichnisdienst angesprochen werden kann und wie die benötigten Informationen ausgelesen werden können.

=== LDAP Verbindung ===
{| class="wikitable"
! width=250px | Name
! Beschreibung
|-
| Servername
| DNS-Rechnername oder IP-Adresse des LDAP-Servers
|-
| Protokoll
| Konfigurieren Sie, ob die Verbindung zum LDAP-Server unverschlüsselt über Port 389, LDAP-TLS verschlüsselt über Port 389, oder LDAP-SSL verschlüsselt über Port 636 erfolgen soll.
|-
| Alle Zertifikate akzeptieren (nur LDAP-TLS oder LDAP-SSL)
| {{Option_Alle_Zertifikate_akzeptieren}}
|-
| Administrativer DN
| Distinguished Name (DN) oder Benutzername mit entsprechenden Zugriffsrechten auf den LDAP-Server
|-
| Kennwort
| Kennwort des in ''Administrative DN'' angegebenen Bernutzers
|-
| Basis-DN
| Basis-DN des LDAP-Verzeichnis, falls nicht automatisch erkannt
|}

=== Benutzerfilter und -attribute ===

{| class="wikitable"
! width=250px | Name
! Beschreibung
|-
| Filter (optional)
| LDAP-Filter um ausschließlich LDAP-Objekte mit konfigurierter E-Mail-Adresse auszulesen
|-
| Benutzername
| Das LDAP-Attribut welches den Benutzernamen enthält der in MailStore verwendet werden soll
|-
| Nur lokaler Teil (E-Mail-Adressen / UPN)
| Besteht der ''Benutzername'' aus einer E-Mail-Adresse bzw. UPN (z.B. ''benutzer@example.com'') verwendet MailStore lediglich den lokalen Teil des Nutzernamens, wenn diese Option aktiviert ist (z.B. ''benutzer''). Andernfalls wird der vollständige Nutzername inklusive Domäne verwendet.
|-
| Vollständiger Name (optional)
| Der vollständige Name des Benutzers zur Anzeige in MailStore.
|-
| E-Mail-Adresse (optional)
| Das LDAP-Attribut welches die E-Mail-Adressen des Benutzers enthält, der in MailStore verwendet werden soll. Es können Kommasepariert mehrere Attribute angegeben werden.
|}

=== Gruppenfilter und -attribute ===
{| class="wikitable"
! width=250px | Name
! Description
|-
| Filter
| LDAP-Filter um ausschließlich Gruppen-Objekte auszulesen
|-
| Name
| LDAP-Attribut in welchem der Namen einer Gruppe gespeichert ist
|-
| Beschreibung (optional)
| LDAP-Attribut in welchem der aussagekräftigen Namen einer Gruppe gespeichert ist
|-
| Mitglieder
| LDAP-Attribut in welchem die Mitglieder einer Gruppe gespeichert sind
|-
| Suchfilter für Mitglieder 
| LDAP-Filter zum Auflösen von Gruppenmitgliedschaften falls kein Distinguished Name im ''Mitglieder''-Attribut verwendet wird. MailStore füllt den Platzhalter <tt>{member}</tt> mit dem jeweiligen Wert aus dem ''Mitglieder''-Attribut.
|-
| Gruppen
| Gruppen aus welchen MailStore Server die Benutzer synchronisiert
|}

=== Optionen ===
{|class="wikitable"
! width=250px | Name
! Beschreibung
|-
{{Verzeichnisdienste Optionen - Automatisch Benutzer löschen|LDAP-Verzeichnis}}
|}
{{Verzeichnisdienste_Standard-Berechtigungen_festlegen|LDAP-Verzeichnisdienst}}

== Beispielkonfigurationen ==

=== Active Directory ===
Mit Hilfe der generische LDAP-Integration ist es auch möglich Benutzer mit einem Active Directory zu synchronisieren. Dies bietet unter Umständen größere Flexibilität und mehr Kontrolle als die [[Active Directory-Integration]] in MailStore, erfordert jedoch detailliertes Wissen über den internen Aufbau des Active Directory. Die generische LDAP-Integration ermöglicht im Vergleich zur [[Active Directory-Integration]] das Akzeptieren aller Zertifikate bei der Verwendung von LDAP-SSL bzw. LDAP-TLS, benutzerdefinierte Filter oder die Verwendung andere LDAP-Attribute bei der Synchronisierung.

Für das folgende Beispiel wird vorausgesetzt, dass der Active Directory LDAP-Dienst vom MailStore Server auf TCP Port 389 (LDAP, LDAP-TLS) oder 636 (LDAP-SSL) erreichbar ist. Da sich die meisten Active Directory-Konfigurationen ähneln, ist es möglich einen Großteil des folgenden Beispiels durch Kopieren und Einfügen zu übernehmen.

==== LDAP-Verbindung ====
{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
| Servername
| <tt>dc001.example.com</tt>
| DNS-Hostname oder IP-Adresse eines Active Directory Domain Controllers
|-
|rowspan = 3 | Protokoll
| <tt>LDAP</tt>
| Verwende keine Transportverschlüsselung
|-
| <tt>LDAP-TLS</tt>
| Verwende TLS als Transportverschlüsselung
|-
| <tt>LDAP-SSL</tt>
| Verwende SSL als Transportverschlüsselung
|-
|rowspan = 2 | Alle Zertifikate akzeptieren
| ''Aktiviert''
| Stelle eine TLS-/SSL-verschlüsselte Verbindung her, auch wenn Fehler bei der Zertifikatsprüfung auftreten.
|-
| ''Nicht aktiviert''
| Stelle keine TLS-/SSL-verschlüsselte Verbindung her, wenn Fehler bei der Zertifikatsprüfung auftreten.
|-
| Administrativer DN
| <tt>mailstore@example.com</tt>
| Active Directory Benutzer, den MailStore zum Zugriff verwenden soll
|-
| Kennwort
| <tt>MySecretPassword</tt>
| Kennwort des unter ''Administrativer DN'' angegebenen Benutzers
|-
| Basis-DN
| ''Leer''
| Die Basis-DN wird bei einem Active Directory automatisch erkannt
|}

==== Benutzerfilter und -attribute ====

{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
|rowspan = 4 | Filter (optional)
|<tt>(objectCategory=User)</tt>
|Alle Benutzer
|-
|<tt>(&(objectCategory=User)(mail=*))</tt>
|Alle Benutzer mit Active Directory E-Mail-Adressen
|-
|<tt>(&(objectCategory=User)(proxyAddresses=*))</tt>
|Alle Benutzer mit Exchange E-Mail-Adressen
|-
|<tt>(&(objectCategory=User)(proxyAddresses=*)(mail=*))</tt>
|Alle Benutzer mit Exchange E-Mail-Adressen, welche globalen Adressbuch gelistet sind
|-
|rowspan = 2 |Benutzername
|<tt>userPrincipalName</tt>
|Active Directory Benutzername als MailStore Benutzername
|-
|<tt>sAMAccountName</tt>
|Pre-Windows 2000 Benutzername als MailStore Benutzername
|-
|rowspan = 2 |Nur lokaler Teil (E-Mail-Adressen / UPN)
|''Aktiviert''
|Verwende nur den lokalen Teil des ''Active Directory Benutzernamens'' im UPN-Format
|-
|''Nicht aktiviert''
|MailStore Benutzername entspricht ''Active Directory Benutzername'' im UPN-Format
|-
|Vollständiger Name (optional)
|<tt>displayName</tt>
|Der angezeigte Name des Benutzers im Active Directory
|-
|rowspan = 2 |E-Mail-Adressen (opt.)
|<tt>proxyAddresses</tt>
|Exchange Umgebungen
|-
|<tt>mail</tt>
|Nicht-Exchange Umgebungen
|}

==== Gruppenfilter und -attribute ====
{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
|Filter
|<tt>(objectCategory=Group)</tt>
|Alle Objekte der Kategorie ''Group'', i.d.R. alle Gruppen
|-
|Name
|<tt>cn</tt>
| Verwende den Wert des LDAP-Attributs ''CN'' als Gruppenname
|-
|Beschreibung (optional)
|<tt>description</tt>
|Verwende den Wert des LDAP-Attributs ''description'' als Beschreibung der Gruppe
|-
|Mitglieder
|<tt>member</tt>
|Verwende den Wert des LDAP-Attributs ''member'' für die Gruppenmitglieder
|-
|Suchfilter für Mitglieder
|''leer''
| Mitglieder in ''member'' sind als Distinguished Name angegeben
|-
|Gruppen
|<tt>MailStore Benutzer</tt>
| Synchronisiere nur Benutzer der Gruppe ''MailStore Benutzer''
|}

=== OpenLDAP ===
OpenLDAP ist ein weit verbreiteter Open Source LDAP-Server. Dessen Konfiguration und Struktur wird in der Regel durch die darunterliegende Linux-Distribution oder durch die Anwendungen, welche den LDAP-Server verwendet, vorgegeben. 
 
Für das folgende Beispiel wird vorausgesetzt, dass der Active Directory LDAP-Dienst vom MailStore Server auf TCP Port 389 oder 636 erreichbar ist.

Für die Einrichtung der generischen LDAP-Integration ist genaues Wissen über die verwendete Struktur auf dem LDAP-Server notwendig, von welchem synchronisiert werden soll. Daher stellt das folgende Beispiel nur eine von vielen Möglichkeiten dar, Benutzer mit einem OpenLDAP-Server zu synchronisieren.

==== LDAP Connection ====

{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
| Servername
| <tt>directory.example.com</tt>
| DNS-Hostname oder IP-Adresse des OpenLDAP-Servers
|-
|rowspan = 3 | Protokoll
| <tt>LDAP</tt>
| Verwende keine Transportverschlüsselung
|-
| <tt>LDAP-TLS</tt>
| Verwende TLS als Transportverschlüsselung
|-
| <tt>LDAP-SSL</tt>
| Verwende SSL als Transportverschlüsselung
|-
|rowspan = 2 |  Alle Zertifikate akzeptieren
| ''Aktiviert''
| Stelle eine TLS-/SSL-verschlüsselte Verbindung her, auch wenn Fehler bei der Zertifikatsprüfung auftreten.
|-
| ''Nicht aktiviert''
| Stelle keine TLS-/SSL-verschlüsselte Verbindung her, wenn Fehler bei der Zertifikatsprüfung auftreten.
|-
| Administrativer DN
| <tt>cn=admin,dc=example,dc=com</tt>
| LDAP-Benutzername, den MailStore zum Zugriff verwenden soll
|-
| Kennwort
| <tt>MySecretPassword</tt>
| Kennwort des unter ''Administrativer DN'' angegebenen Benutzers
|-
| Basis-DN
| <tt>dc=example,dc=com</tt>
| Die Basis-DN des LDAP-Verzeichnisses
|}

==== Benutzerfilter und -attribute ====
{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
| rowspan = 2 |Filter (optional)
| <tt>(objectClass=posixAccount)</tt>
| Alle Objekte von Typ ''posixAccount'', i.d.R. alle Benutzer
|-
| <tt>(&(objectClass=posixAccount)(mail=*))</tt>
| Alle Benutzer mit konfigurierter E-Mail-Adresse
|-
| rowspan = 2 | Benutzer
| <tt>uid</tt>
| Verwende den Wert das LDAP-Attributs ''UID'' als MailStore Benutzernamen
|-
| <tt>cn</tt>
| Verwende den Wert das LDAP-Attributs ''CN'' als MailStore Benutzernamen
|-
|rowspan = 2 |Nur lokaler Teil (E-Mail-Adressen / UPN)
|''Aktiviert''
|Verwende nur den lokalen Teil des ''Active Directory Benutzernamens'' im UPN-Format
|-
|''Nicht aktiviert''
|MailStore Benutzername entspricht ''Active Directory Benutzername'' im UPN-Format
|-
| Vollständiger Name (optional)
| <tt>displayName</tt>
| Verwende den Wert das LDAP-Attributs ''displayName'' als vollständigen Namen des MailStore-Benutzers
|-
| E-Mail-Addressen (optional)
| <tt>mail</tt>
| Verwende die Werte das LDAP-Attributs ''mail'' für die E-Mail-Adressen MailStore-Benutzers
|}

==== Gruppenfilter und -attribute ====
{| class="wikitable"
! width=250px | Parameter
! Wert
! Beschreibung
|-
| Filter
| <tt>(objectClass=posixGroup)</tt>
| Alle Objekte von Typ posixGroup, i.d.R. alle Gruppen
|-
| Name
| <tt>cn</tt>
| Verwende den Wert des LDAP-Attributs ''CN'' als Gruppenname
|-
| Description (optional)
| <tt>description</tt>
| Verwende den Wert des LDAP-Attributs ''description'' als Beschreibung der Gruppe
|-
| Mitglieder
| <tt>memberUid</tt>
| Verwende den Wert des LDAP-Attributs ''memberUid'' für die Gruppenmitglieder
|-
| rowspan = 2 |Suchfilter für Mitglieder
| ''Leer''
| Mitglieder in ''memberUid'' sind als Distinguished Name angegeben
|-
| <tt><nowiki>(|(&(objectClass=posixAccount)(uid={member}))(&(objectClass=posixGroup)(cn={member})))</nowiki></tt>
| Mitglieder in ''memberUid'' sind nur als Nutzername oder Gruppenname angegeben 
|-
| Group
| <tt>MailStore Benutzer</tt>
| Synchronisiere nur Mitglieder aus der LDAP-Gruppe ''MailStore Benutzer''
|}

{{Verzeichnisdienste_Synchronisierung_durchfuehren|LDAP-Verzeichnisdienst}}
[[File:mads_sync_02.png|center|450px]]


{{Verzeichnisdienste Authentifizierung testen}}
{{Verzeichnisdienste_Anmeldung_mit_Verzeichnisdienst-Zugangsdaten|LDAP}}

[[de:Generische LDAP-Integration]]
[[en:Generic_LDAP_Integration]]