Disclaimer · Active Directory und LDAP

Die Daten stehenim eigenen Haus.Die Signatur auch.

Name, Titel, Abteilung und Durchwahl stehen im Active Directory. Damit sie in jeder Signatur landen, verlangen die meisten Anbieter einen Verzeichnisabgleich in die Cloud. Conbool nicht: ein Agent auf einem Mitgliedsserver liest das Verzeichnis und meldet die Personen ausgehend. Kein Entra ID, keine eingehende Freigabe.

Warum die Signatur am Verzeichnis scheitert

Vier Punkte, an denen es im Bestand hängt.

Kein Entra ID, trotzdem Voraussetzung

Wer Postfächer im Haus betreibt oder sein Verzeichnis bewusst nicht an die Microsoft-Cloud koppelt, findet in fast jedem Datenblatt denselben Satz: die Personendaten kommen aus Entra ID. Damit wird ein Verzeichnisabgleich zur Bedingung für eine Signatur.

Ein Weg von außen ins Verzeichnis

Die Alternative ist ein Zugang von außen auf den Domänencontroller, über eine Firewallfreigabe oder einen veröffentlichten LDAP-Zugang. Das ist der Weg, den niemand haben will, und für den in der Prüfung jedes Mal die Begründung fehlt.

Transportregeln kennen keine Attribute

Eine Regel im Exchange hängt einen festen Text an. Sie setzt keinen Titel, keine Abteilung und keine Durchwahl ein, sie landet unter zitierten Antworten, und mit mehreren Sprachen und Ausnahmen wird die Regelmenge unübersichtlich.

Gepflegt wird zweimal

Wo die Signatur ihre eigene Personenliste führt, driften beide auseinander. Ein Wechsel der Abteilung steht im Verzeichnis, in der Signatur steht die alte, und es fällt erst dem Empfänger auf.

Wie der Weg stattdessen läuft

Drei Schritte, danach pflegt das Verzeichnis die Signatur.

1. Agent auf einem Mitgliedsserver

Der Verzeichnis-Agent läuft als Dienst auf einem gewöhnlichen Mitgliedsserver der Domäne, nicht auf dem Domänencontroller. Er meldet sich mit dem Konto an, unter dem er läuft, ein Kennwort wird nirgends hinterlegt.

2. Ausgehend melden, nie eingehend

Der Agent ruft Conbool, Conbool ruft nie den Agenten. Nach außen offen ist nichts: keine Firewallfreigabe nach innen, kein veröffentlichter Domänencontroller, kein Zugang von außen ins Verzeichnis.

3. Signatur am Gateway

Ausgehende Nachrichten laufen über das Gateway, dort entsteht die Signatur serverseitig mit den Feldern der Person. Auf jedem Gerät gleich, ohne Installation an einem Client, ohne Änderung am MX.

Was diesen Weg ausmacht

Sechs Punkte, die im Alltag zählen.

Vierzehn Felder je Person

Anzeigename, Vorname, Nachname, Titel, Abteilung, Telefon, Mobil, Büro, Straße, Ort, Bundesland, Postleitzahl, Land und Fax, dazu die Zweitadressen und der Zustand des Kontos. Welches Attribut welches Feld füllt, lässt sich je Feld ändern.

Ohne das Recht auf Kennwortdaten

Gelesen wird mit gewöhnlichen Leserechten. Für den Änderungsabgleich kommen zwei Rechte am Domänenkopf dazu. Das Recht, mit dem sich Kennwortdaten aus dem Verzeichnis lesen ließen, gehört ausdrücklich nicht dazu und wird nicht verlangt.

Zweitadressen zählen als dieselbe Person

Weitere Adressen kommen als Aliase mit. Das entscheidet darüber, ob eine unter der Zweitadresse gesendete Nachricht ihre Signatur bekommt, und verhindert, dass ein Mensch zweimal als Sitz gezählt wird.

Gruppen mit ihrer Verschachtelung

Gruppen des Verzeichnisses dienen als Zielgruppe für Vorlagen und Richtlinien. Verschachtelte Gruppen werden vollständig aufgelöst, eine Gruppe mit drei Einträgen kann so sieben Personen ergeben.

Probelauf vor jedem Schreiben

Nach jeder Änderung am Zuschnitt läuft der Agent zunächst trocken und zeigt, wie viele Personen entstehen, sich ändern oder entfallen würden. Entfielen mehr als zehn Prozent, hält er den Lauf an und schreibt nichts.

Auch für LDAP und für den eigenen Serverraum

Derselbe Agent liest OpenLDAP und verwandte Verzeichnisse. Und wer die Verarbeitung im Haus behalten muss, betreibt Conbool als Installation im eigenen Rechenzentrum, dann bleibt die ganze Kette unter eigener Kontrolle.

Zwei Wege zu denselben Feldern

Verzeichnisabgleich in die Cloud oder ausgehender Agent.

 
Mit Conbool
Üblicher Weg über die Cloud
Entra ID erforderlich
nein
ja, samt Verzeichnisabgleich
Eingehende Freigabe ins Verzeichnis
keine
keine, dafür der Abgleich
Attribute des lokalen Verzeichnisses in der Signatur
ja, direkt
erst nach dem Abgleich
Andere LDAP-Verzeichnisse
ja
selten
Betrieb im eigenen Rechenzentrum
möglich
nein

Angaben zum üblichen Weg nach den öffentlich dokumentierten Voraussetzungen verbreiteter Signaturdienste, die Personendaten aus Entra ID beziehen.

Häufige Fragen

Braucht es Entra ID für Signaturen aus dem Active Directory?
Nein. Der Verzeichnis-Agent liest das lokale Active Directory und meldet die Personen ausgehend an Conbool. Ein Verzeichnisabgleich mit der Microsoft-Cloud ist dafür nicht nötig. Wer Entra ID betreibt, kann es zusätzlich anbinden, beides nebeneinander ist zugelassen.
Welche Rechte braucht der Agent im Verzeichnis?
Leserechte auf die Benutzerobjekte in den Bereichen, die der Zuschnitt nennt. Für den Änderungsabgleich kommen am Domänenkopf DS-Replication-Get-Changes und DS-Replication-Get-Changes-In-Filtered-Set dazu. Nicht verlangt wird DS-Replication-Get-Changes-All, mit dem sich Kennwortdaten lesen ließen. Fehlen die beiden Rechte, läuft der Agent ohne Änderungsabgleich weiter und gleicht den vollständigen Bestand ab.
Muss ein Port in der Firewall geöffnet werden?
Nach innen nichts. Der Agent baut die Verbindung selbst auf, ausgehend über HTTPS. Zum Domänencontroller spricht er über LDAPS auf Port 636, und das bleibt im internen Netz.
Wo läuft der Agent?
Als Windows-Dienst auf einem Mitgliedsserver der Domäne, nicht auf dem Domänencontroller. Die Einrichtung fragt nach einem Beitrittsschlüssel, alles Weitere ermittelt der Assistent selbst. Mehrere Agenten je Mandant sind zugelassen, etwa für zwei Domänen oder zwei Standorte.
Was passiert, wenn der Zuschnitt falsch gesetzt ist?
Nach jeder Änderung läuft der Agent im Probelauf und schreibt nichts, bis die Freigabe erteilt ist. Zusätzlich hält er jeden Lauf an, in dem mehr als zehn Prozent der Personen entfallen würden. Ein zu eng gesetzter Bereich löscht damit nicht den halben Bestand.
Funktioniert das auch mit OpenLDAP?
Ja. Derselbe Agent liest OpenLDAP, 389 Directory Server und verwandte Verzeichnisse. Die Zugangsdaten liegen dabei neben dem Agenten auf der Maschine und nicht in Conbool, denn wer den Weg nach innen vermeidet, darf den Schlüssel dafür nicht nach außen geben.
Muss der MX-Eintrag umgestellt werden?
Nein. Der MX steuert den eingehenden Weg, die Signatur entsteht auf dem ausgehenden. Ein Sendeconnector im Exchange führt ausgehende Nachrichten über Conbool, der eingehende Weg bleibt unverändert.

Verwandte Lösungen

Am eigenen Verzeichnis ansehen

Wir richten den Agenten in einer Testumgebung ein und zeigen den ersten Probelauf mit echten Personen, bevor irgendetwas geschrieben wird.