Hallo zusammen,

Seit ca. einem halben Jahr nutzen wir jetzt DXUnion für die PC-Administration. Sehr gerne möchten wir die Benutzer(verwaltung) aber auch in anderen Systemen verwenden.

Im Hintergrund von DXUnion läuft ja immer der LDAP-Dienst. Ist es möglich, diesen auch für externe Logins zu verwenden? Falls ja, wie? Meine Kenntnisse zu LDAP sind leider (noch) recht begrenzt, aber soweit ich das sehe müsste es doch möglich sein, den LDAP-Dienst von DXUnion für externe Authentifizierungen zu verwenden.

Beispiel: Wir betreiben unter anderem eine Website auf Basis von Typo3. Wünschenswert wäre, dass wir die Benutzer nicht extra über Typo3 pflegen müssen, sondern dass Typo3 beim Einloggen den DXUnion-Server fragt, ob der Benutzer existiert und ob das Kennwort stimmt. (Noch schöner wäre natürlich, wenn direkt der Windows-Account genutzt wird und gar keine Kennworteingabe nötig ist, aber alles der Reihe nach.) Typo3 besitzt bereits eine LDAP-Schnittstelle. Müsste es da nicht relativ einfach sein, Typo3 an den DXUnion-LDAP anzuschließen? Wenn ja, was für Daten muss ich bei Typo3 angeben?

Alternativ wäre es natürlich auch möglich, die Benutzer durch einen automatischen Export / Import zu synchronisieren. Ein Import-Script für DXUnion habe ich bereits gefunden, es wäre mir jedoch deutlich lieber, die Benutzer von DXUnion aus zu exportieren. Gibt es da auch eine Schnittstelle oder sogar ein fertiges Script?

Vielen Dank für die schnelle Antwort! Nach testweisem Deaktivieren der Verschlüsselung kann ich mich bereits mit dem Programm "LDAP Admin" verbinden.

Was ändert sich genau, wenn die LDAP-Verschlüsselung deaktiviert wird? Ist die DXUnion-interne Kommunikation dann immer noch verschlüsselt oder wird komplett alles inklusive Kennwörter im Klartext übertragen? Wenn dadurch nur die Verbindung mit externen Systemen unverschlüsselt ist ließe es sich gut verschmerzen (die Server stehen quasi nebeneinander). Auf LDAPS freue ich mich trotzdem.

Ein Active Directory kommt für uns nicht in Frage. Im Gegenteil, ein Punkt, der uns an DXUnion sehr gut gefallen hat, ist der mögliche Verzicht auf ein AD. Die Benutzerverwaltung deckt bereits viele unserer Bedürfnisse, und an den ungedeckten Bedürfnissen arbeite ich gerade. SingleSignOn ist wirklich nur optional. Was noch ok wäre ist ein externer OpenLDAP, der von DXUnion gefüttert wird und gegen den sich externe Dienste authentifizieren können. Da DXUnion jedoch scheinbar selber diese Möglichkeiten mitbringt würde ich den OpenLDAP gerne nach Möglichkeit einsparen.

Mit dxldapread.exe hatte ich leider noch keinen Erfolg, ich erhalte immer nur "Objekt nicht vorhanden". Irgendwas mache ich da noch falsch. Über ein kurzes Beispiel würde ich mich freuen.

Hallo Andreas,

Die Verschlüsselung komplett ausschalten kommt nicht in Frage. Die DXUinion-Clients sollen auf jeden Fall weterhin verschlüsselt mit dem Server kommunizieren. Damit bleibt also nur ein externer LDAP-Server für die externe Authentifizierung oder warten auf LDAPS. Für wann ist die Freigabe der Version 7.3.3 angedacht?

Danke auch für das kurze Beispiel. Hatte alle möglichen komplexen Suchbegriffe ausprobiert, dass so eine einfache Abfrage reicht hatte ich nicht erwartet. :o

Eine Frage bleibt allerdings noch: wie sind die Passwörter in DXUnion abgespeichert? SHA384-Hash mit Salz? Falls ja, wo finde ich das Salz?

Nachtrag:

bist Du Dir sicher, dass die Verschlüsselung bei LDAPSecurityLevel 2 komplett ausgeschaltet ist?

dxconf ldapsecuritylevel
 
Soll der DX-Union LDAP-Konverter ausschliesslich verschluesselte
Anmeldungen akzeptieren <1>, oder auch unverschluesselte
Anmeldungen zulassen <2>? Um das Programm ohne Aenderung zu verlassen,
geben Sie ein beliebiges anderes Zeichen ein: 
 

Das hört sich für mich so an, als wenn die DXUnion-internen Dienste auch bei Level 2 immer noch verschlüsselt kommunizieren. Auch bei einer Wireshark-Stichprobe sieht es bei Level 2 immer noch in etwa genauso aus wie bei Level 1, wenn man die Softwareverteilung startet und dxadm sich dadurch intern einloggt. (Nach umschalten des Levels habe ich immer noch "dxsetevent dxldapd_reset" ausgeführt, den Server jedoch nicht komplett neugestartet.)