Registerkarte Server

Auf der Registerkarte Server müssen Sie mindestens Eintragungen in den Feldern Host , Port Benutzer-DN , Passwort und Basis-DN vornehmen. Die Bedeutung der Felder wird nachfolgend erläutert:

• Host : Hier tragen Sie ein, unter welcher Adresse die Firewall von außen erreichbar ist. Die Adresse besteht aus zwei Teilen: Protokoll + Adresse. Das Protokoll lautet ldaps . Als Adresse trägt man den Namen, unter dem die Firewall Octogate von außen erreichbar ist. Für die Firewall Octogate, die bei den meisten paedML Windows Lösungen im Einsatz ist, besteht diese Adresse aus dem Namen der Octogate Instanz und dem Suffix ozone.octogate.de . Lautet der Name der Octogate abcdefgh ergibt sich daraus die Adresse abcdefgh.ozone.octogate.de . ¹ In diesem Fall ist unter Host einzutragen: ldaps://abcdefgh.ozone.octogate.de .
• Port : Für das Protokoll ldaps wird standardmäßig Port 636 verwendet. Sie können bei der Nextcloud von diesem Port abweichen und einen anderen Port verwenden, um die Sicherheit zu erhöhen. Ein abweichender Port muss in der Portweiterleitung der Firewall berücksichtigt werden.
• Benutzer-DN : Hier wird der Benutzer benötigt, unter dessen Account für die LDAP Anfrage ausgeführt wird. Hierfür richtet man einen speziellen Benutzer ein. Ein solcher Benutzer wird als LDAP Bild User bezeichnet. DN steht für Distinguished Name . Einfach gesagt ist das der Name des Benutzers und dessen Position im Active Directory – in einer ganz speziellen Schreibweise. Geben Sie ein: CN=ldapbinduser,OU=_ServiceAccounts,DC=musterschule,DC=schule,DC=paedml
• Passwort : Passwort des LDAP Bild Users eingeben.
• Base-DN : Dies ist die Position im Actice Directory, unterhalb der sich die Benutzenden im Active Directory befinden – wieder in einer speziellen Schreibweise. Setzen Sie einen Haken bei LDAP-Filter manuell eingeben (empfohlen für große Verzeichnisse). Geben Sie hier ein: DC=musterschule,DC=schule,DC=paedml .

Zum Test der Einstellungen klicken Sie (eigentlich) auf die Schaltfläche Base DN testen . Doch auch wenn alle Eingaben richtig vorgenommen wurden, erscheint unten im Fenster noch die Meldung „Konfiguration nicht korrekt“. Grund hierfür ist eine Zertifikatsproblematik, deren Erklärung den Rahmen dieser Anleitung sprengen würde. Zur Behebung des Problems, wählen Sie rechts oben im Fenster Fortgeschritten .

Unter Verbindungseinstellungen setzen Sie einen Haken bei „Schalten Sie die SSL Zertifikatsprüfung aus“.

Kehren Sie zurück zur Registerkarte Server und klicken Sie erneut auf die Schaltfläche Base DN testen . Nun sollte die Verbindung hergestellt werden können. Sie erkennen es unten im Fenster an der Meldung „Konfiguration OK“.

Beachten Sie beim Testen, dass es immer wieder zu falschen Fehlermeldungen kommt. Probieren Sie es mehrfach. Klicken Sie auf Fortsetzen , um zur Registerkarte Benutzer zu kommen.

Optionale Anpassung der Base-DN

Bisher ist als Base-DN eigetragen: DC=musterschule,DC=schule,DC=paedml.

Dies bewirkt, dass das gesamte Active Directory durchsucht wird. Optional können Sie nur die Orte angeben, in denen tatsächlich die Benutzenden und die Gruppen gefunden werden.

Der LDAP Bind User befindet sich hier:

ou=_serviceaccounts,dc=musterschule,dc=schule,dc=paedml

Alle Lehrkräfte:

ou=lehrer,ou=benutzer,dc=musterschule,dc=schule,dc=paedml

Alle Schülerinnen und Schüler:

ou=schueler,ou=benutzer,dc=musterschule,dc=schule,dc=paedml

Alle Gruppen wie Projektgruppen, Lehrkräfte einer Schulart, Schülerinnen und Schüler einer Schulart oder einer Klasse:

ou=fileshare,ou=sicherheitsgruppen,dc=musterschule,dc=schule,dc=paedml

Die Gruppen aller Lehrkräfte G_Lehrer und die aller Schülerinnen und Schüler G_Schueler:

ou=Active Directory,ou=sicherheitsgruppen,dc=musterschule,dc=schule,dc=paedml

Tragen Sie im Feld Base-DN nur die Zeilen ein, die tatsächlich benötigt werden.

---

¹ Die tatsächliche Überprüfung der Anmeldeinformationen erfolgt nicht durch die Firewall, sondern durch den Server, auf dem das Active Directory läuft. Dies ist bei einer paedML Windows der Server DC01. Durch eine Portweiterleitung in der Firewall wird die LDAPS Anfrage an den Server DC01 weitergeleitet.