Univention Support Database

Problem:

Der UCS-Verzeichnisdienst beantwortet per Voreinstellung unauthentifizierte Leseanfragen aus dem Netz.

Lösung:

Für UCS 2.3 steht jetzt als Komponente restrictedbind eine angepasste ACL-Konfiguration für den UCS-Verzeichnisdienst bereit. Mit der neuen Komponente wird ein angepasstes Quellpaket univention-ldap bereitgestellt, zusammen mit den Binärpaketen, die daraus gebaut werden, unter anderem univention-ldap-config und univention-ldap-acls-master bzw. univention-ldap-acls-slave. Die neuen ACL-Vorlagen erlauben es, den anonymen Lesezugriff soweit einzuschränken, dass nur Anfragen vom lokalen System beantwortet werden. Folgende zwei neuen UCR-Variablen werden dazu ausgewertet:

• ldap/acl/read/anonymous
• ldap/acl/read/ips

Bei der Installation des neuen univention-ldap-config Pakets werden in ldap/acl/read/ips alle aktuell gesetzten interfaces/.*/address Werte eingetragen, falls diese Variable noch nicht gesetzt ist. Dadurch haben alle Anfragen, die von einem lokalen Netzwerk-Interface kommen, Leseberechtigung auf Verzeichnisdaten, die nicht durch andere LDAP-ACLs reglementiert sind.

Das alte Verhalten kann dadurch wiederherstellt werden, indem ldap/acl/read/anonymous auf 'yes' setzt und der slapd neu gestartet wird. Die Komponente kann durch Setzen von

ucr set repository/online/component/restrictedbind=yes

als apt-Quelle eingebunden werden und dann per univention-actualise installiert werden.