Active Directory anbinden

Im Active Directory ist nichts einzurichten, was über Leserechte hinausgeht. Der Agent findet den Domänencontroller über DNS und meldet sich mit dem Konto an, unter dem sein Dienst läuft.

Anmeldung

Die Verbindung läuft über LDAPS auf Port 636, die Anmeldung über Kerberos. Auf einem Mitgliedsserver liegt das Zertifikat der Unternehmens-CA im Maschinenspeicher, das Vertrauen besteht damit ohne Zutun. Ein Kennwort wird nirgends hinterlegt, weder auf dem Server noch in Conbool.

Als Dienstkonto eignet sich ein gruppenverwaltetes Dienstkonto oder ein gewöhnliches Dienstkonto mit Leserecht. Läuft der Dienst als lokales Systemkonto, meldet er sich mit dem Computerkonto des Servers an, dann müssen die Rechte dort liegen.

Leserechte

Gelesen werden Benutzerobjekte in den Bereichen, die der Zuschnitt nennt. Ein gewöhnliches Leserecht genügt. Kennwörter, Kennworthashes und vertrauliche Attribute werden nicht gelesen.

Zwei optionale Replikationsrechte

Für den Änderungsabgleich nutzt der Agent DirSync. Damit liest er nach dem ersten vollständigen Durchlauf nur noch, was sich seither geändert hat, und erfährt dabei auch von Löschungen. Dafür braucht das Konto am Domänenkopf zwei Rechte:

DS-Replication-Get-Changes DS-Replication-Get-Changes-In-Filtered-Set

Nicht nötig ist DS-Replication-Get-Changes-All. Das ist das Recht, mit dem sich Kennwortdaten aus dem Verzeichnis lesen lassen, und genau deshalb steht es hier nicht.

Fehlen die beiden Rechte, ist das kein Fehler. Der Agent läuft dann ohne DirSync und gleicht bei jedem Lauf den vollständigen Bestand ab. Änderungen und Neuzugänge kommen weiterhin an, Löschungen fallen beim Vollabgleich auf statt sofort.

Papierkorb

Mit Leserecht auf CN=Deleted Objects erkennt der Agent gelöschte Konten unmittelbar im Änderungsabgleich. Ohne dieses Recht bleiben Löschungen bis zum nächsten vollständigen Abgleich unsichtbar.

Vorprüfung

Vor der Installation prüft preflight die Punkte einzeln und meldet je Punkt, was fehlt: Erreichbarkeit des Domänencontrollers, Verschlüsselung, Anmeldung, Leserecht, Replikationsrechte und Papierkorb. Fehlende Replikationsrechte erscheinen dabei als Hinweis, nicht als Fehler.

Welche Konten übernommen werden

Übernommen werden Benutzerobjekte mit einer E-Mail-Adresse. Konten ohne Adresse fallen weg, weil Conbool Personen über ihre Adresse führt. Deaktivierte Konten werden erkannt und bleiben als deaktiviert verzeichnet, damit sie in Archivsuche und Nachweisen auffindbar bleiben.

Weitere Adressen einer Person kommen aus proxyAddresses mit. Signaturen, Lizenzen und Richtlinien greifen dadurch auch dann, wenn jemand unter seiner Zweitadresse sendet.

Ob ein Postfach ein Funktionspostfach ist, entscheidet die im Zuschnitt gewählte Regel. Mit lokalem Exchange lässt sich dafür das entsprechende Merkmal des Verzeichnisses auswerten. Ohne lokales Exchange führt das Verzeichnis kein solches Merkmal, dann gehört eine der anderen Regeln gewählt, sonst belegt jedes Funktionspostfach einen Platz.