SOLUTIONS.connect_LDAP
Warum eine zweite Benutzerliste zum Sicherheitsproblem wird
In fast jedem Unternehmen gibt es ein zentrales Verzeichnis, in dem alle Mitarbeiter geführt werden, meistens ein Microsoft Active Directory, manchmal ein anderer LDAP-Server. Dort steht, wer dazugehört, wo er sitzt und wann er wieder geht. Es ist der einzige Ort, an dem das verlässlich stimmt.
Jede Fachanwendung mit eigener Benutzerliste erzeugt daneben eine zweite Wahrheit. Es beginnt harmlos, mit ein paar Konten, damit die Abteilung starten kann. Ein Jahr später weiß niemand mehr, welche davon noch zu aktiven Mitarbeitern gehören: Der Austritt wird im Verzeichnis vollzogen, die Fachanwendung erfährt nichts.
Eine zweite Benutzerliste ist damit ein Sicherheitsproblem und nicht bloß eine Frage der Ordnung. Die Anbindung an Active Directory oder LDAP sorgt dafür, dass ein Zugang nur an einer Stelle entsteht und dort auch wieder endet. Dass sich jemand ein zweites Passwort spart, ist die angenehme Nebenwirkung.
Freitagnachmittag verlässt jemand das Unternehmen
Derselbe Vorgang, einmal mit eigener Benutzerliste und einmal mit Anbindung an das Verzeichnis. Der Unterschied zeigt sich in den Wochen danach.
Eigene Liste
Angebunden
Verbindungen legt ein Administrator selbst an
Die Anbindung übernimmt ein eigener Dienst mit eigener Oberfläche. Dort legt ein Administrator die Verbindungen zu den Verzeichnisservern an, testet sie und sieht sie in der Vorschau, ohne dass ein Entwickler eingreifen muss. Jede Verbindung trägt einen Namen, unter dem sie später angesprochen wird.
Zu ihr gehören der Ländercode, eine Liste von Servern, eine Liste von Domänen, das Dienstkonto samt Kennwort und der Basispfad, ab dem gesucht wird. Server und Domänen sind bewusst Listen: Der erste erreichbare Eintrag wird verwendet, die übrigen dienen als Ausweichziel, wenn ein Domänencontroller nicht antwortet. Das Kennwort wird verschlüsselt gespeichert und ist danach auch für Administratoren nicht mehr im Klartext einsehbar.
Alle Parameter in einem Dialog
Serverliste, Domäne, Dienstkonto, Basispfad und die Strenge der Zertifikatsprüfung stehen in einer Maske. Das Feld für die Server nimmt mehrere auf, weil ein Verzeichnis selten auf einem einzigen Rechner liegt.
Zwei Schaltflächen darunter nehmen die Unsicherheit heraus: Der Verbindungstest sagt sofort, ob der Server antwortet, und die Vorschau zeigt, wen die Suche finden würde. Ein Tippfehler im Basispfad fällt damit nicht erst beim ersten Anmeldeversuch auf.
Mehrere Verzeichnisse, eine Sicht
Wer mehr als ein Verzeichnis betreibt, und das sind die meisten Häuser spätestens nach der zweiten Übernahme, hat sonst mehrere Namensräume nebeneinander. Der Dienst führt sie zusammen: Jede Verbindung liefert ihre Benutzer in einen gemeinsamen Bestand, aus dem die Anwendung liest. Eine Suche nach einem Namen läuft damit gegen eine Ablage statt gegen fünf Server, und sie ist schnell genug für ein Eingabefeld, das bei jedem Tastendruck sucht.
Beim Anmelden merkt sich der Dienst außerdem, an welchem Server jemand zuletzt durchgekommen ist, und fragt beim nächsten Mal dort zuerst. Ohne das würde jede Anmeldung reihum alle Verzeichnisse durchprobieren, und die, an denen der Benutzer gar nicht geführt ist, verbuchten jedes Mal einen Fehlversuch.
Erst die Vorschau, dann der Ernstfall
Vom Verzeichnis in die Anwendung
Der Weg von der ersten Verbindung bis zur Anmeldung. Eingerichtet wird alles im Browser, ohne eine Änderung am Programmcode.
Server, Domänen, Dienstkonto und der Basispfad, ab dem gesucht wird. Das Kennwort des Dienstkontos wird verschlüsselt abgelegt und ist danach nicht mehr lesbar.
Minuten, nicht Tage
Noch vor dem ersten Abgleich lässt sich prüfen, ob der Server antwortet. Auch die Strenge der Zertifikatsprüfung ist eine Einstellung. Bei internen Servern wird daraus eine bewusste Entscheidung und keine stille Ausnahme.
Die gefundenen Benutzer erscheinen mit Filtern und Suchfeldern, bevor irgendetwas übernommen wird. Hier merkt man, dass die Suche zu weit gefasst war.
Eine Gruppe der Anwendung verweist auf eine oder mehrere Verzeichnisgruppen; jeder Benutzer daraus wird automatisch Mitglied. Rechte hängen an der Gruppe, nicht am einzelnen Benutzer.
hier steckt die Arbeit
Der Abgleich selbst ist ein Lauf im SOLUTIONS.transformer, angestoßen von einem Zeitplan: nächtlich, stündlich oder auf Zuruf. Jeder Lauf hält fest, welche Konten angelegt, geändert und gesperrt wurden.
Die Anmeldemaske reicht Name und Kennwort an das Verzeichnis weiter und wartet auf dessen Urteil. Die Anwendung speichert kein Kennwort, das erbeutet werden könnte.
Von der Verzeichnisgruppe zur Rolle
Die Anmeldung sagt, wer jemand ist. Was er sehen und ändern darf, entscheidet die Anwendung. Die Brücke sind Gruppen: Eine Gruppe der Anwendung hinterlegt die Verzeichnisgruppen, aus denen sich ihre Mitglieder ergeben, und trägt die Rollen, die deren Rechte beschreiben. Wer im Verzeichnis in die Gruppe „Einkauf“ aufgenommen wird, ist am nächsten Morgen in der Anwendung Einkäufer.
Daneben gibt es zwei Wege ohne Verzeichnisgruppen: eine Auffanggruppe für alle, die sonst nirgends zugeordnet sind, und Gruppen, deren Mitgliedschaft sich aus Benutzermerkmalen ergibt, etwa aus dem Standort eines Benutzers. Gruppen lassen sich zu einer Organisationshierarchie stapeln, von Land über Gesellschaft bis zur Niederlassung. Welche Rechte eine Rolle hat, steht in SOLUTIONS.user, aufgeschlüsselt bis auf einzelne Felder und Datensätze.
Anmeldung gegen das Verzeichnis und was daneben möglich ist
Name und Kennwort gehen an das Verzeichnis, das Urteil kommt von dort. Auf Wunsch wird ein im Verzeichnis gültiger, in der Anwendung unbekannter Benutzer beim ersten Anmelden automatisch angelegt.
Auf Domänenrechnern übernimmt der Windows-Server die Anmeldung und übergibt den Benutzernamen; geprüft wird gegen die freigegebenen Domänen. An fest installierten Terminals entfällt die Anmeldemaske ganz.
LDAP, Windows-SSO, Google- oder Microsoft-Konto und klassische Anmeldung lassen sich gleichzeitig aktivieren und in ihrer Reihenfolge auf der Anmeldeseite festlegen. Externe Partner brauchen deshalb kein Verzeichniskonto.
Ergänzend: Einmalcodes aus einer Authenticator-App samt Ersatzcodes, passwortlose Anmeldung per Passkey und eine Geräteübersicht, aus der ein verlorenes Gerät einzeln gesperrt wird.
Wo es Arbeit macht und wann Sie das alles nicht brauchen
Die technische Verbindung ist der einfache Teil, die Zuordnung der schwierige. Gruppenstrukturen in gewachsenen Verzeichnissen sind selten nach Fachrollen geschnitten, sondern nach Dateifreigaben, Druckern, Standorten und längst beendeten Projekten. Eine Gruppe, die „darf Bestellungen freigeben“ bedeutet, existiert dann nicht, und niemand kann sie erraten. Das ist echte Vorarbeit und gehört in die Projektplanung statt in eine Fußnote.
Der zweite Punkt ist der Abgleich. Ein Verzeichnis liefert bereitwillig, wer da ist, aber nicht immer, wer gegangen ist. Ein Abgleich, der nur neue Sätze einliest, hinterlässt die Karteileichen, die Sie loswerden wollten. Er muss bestehende Konten zurückprüfen und deaktivierte sperren. Auch das ist eine Einstellung, aber eine, die jemand bewusst treffen muss.
Und die einfachste Grenze: Wer kein Verzeichnis betreibt, braucht keins. Die Benutzerverwaltung funktioniert eigenständig, und eine Bauvariante kommt ganz ohne Verzeichnisanbindung aus. Nachrüsten lässt sich die Anbindung jederzeit.
Weiterlesen
Ja. Die Anwendung liest Benutzer und Gruppen über LDAP aus Ihrem Verzeichnis. Angelegt und deaktiviert wird weiterhin nur dort; was in der Anwendung steht, entsteht beim Abgleich und wird nicht von Hand nachgepflegt.
Die Anmeldung schlägt sofort fehl, weil das Passwort gegen das Verzeichnis geprüft wird und die Anwendung keins gespeichert hat. Das Konto in der Anwendung wird beim nächsten Abgleich gesperrt. Der Abgleich muss dafür auch Abgänge erkennen und nicht nur Neuzugänge.
Nein. Die Benutzerverwaltung funktioniert eigenständig, mit eigenen Konten, Gruppen und Rollen. Es gibt sogar eine Bauvariante ganz ohne Verzeichnisanbindung. Wer kein Verzeichnis hat, braucht keins.
Ja, über die Kerberos-Anmeldung: Der Windows-Server authentifiziert den Domänenbenutzer, die Anwendung übernimmt den Namen und prüft ihn gegen die freigegebenen Domänen. An fest installierten Terminals entfällt die Anmeldemaske damit ganz.
Ja. Es lassen sich beliebig viele Verbindungen nebeneinander betreiben, jede mit eigenem Ländercode, eigener Serverliste und eigenem Basispfad. Innerhalb einer Verbindung dienen weitere Server und Domänen als Ausweichziel.
Die technische Verbindung ist eine Sache von Minuten, weil sie konfiguriert und nicht programmiert wird. Der Aufwand steckt in der Zuordnung gewachsener Verzeichnisgruppen auf die Fachrollen der Anwendung. Diese Zuordnung kann niemand automatisch abnehmen.
Sprechen Sie mit uns.