KKeine Bearbeitungszusammenfassung |
K (Textersetzung - „#WEITERLEITUNG(.*)Preview1270\n“ durch „<span id=1270></span>“) Markierung: Weiterleitung entfernt |
||
(6 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt) | |||
Zeile 1: | Zeile 1: | ||
<span id=1270></span>{{Set_lang}} | |||
{{Set_lang}} | |||
{{#vardefine:headerIcon|spicon-utm}} | {{#vardefine:headerIcon|spicon-utm}} | ||
{{:UTM/AUTH/AD Anbindung.lang}} | |||
{{var | | {{var | neu--Entra ID | ||
| Umbenennung Azure AD in Entra ID | |||
| }} | |||
}} | |||
</div><div class="new_design"></div>{{Select_lang}}{{TOC2|limit=2}} | |||
{{Header|12.7.0| | |||
* {{#var:neu--Entra ID}} | |||
|[[UTM/AUTH/AD_Anbindung_v12.6.1 | 12.6.1]] | |||
[[UTM/AUTH/AD_Anbindung_v12.5.4 | 12.5.4]] | |||
[[UTM/AUTH/AD_Anbindung_v12.4 |'''12.4''']] | |||
{{ | |||
{{ | |||
* | |||
{{var | |||
[ | |||
[[UTM/AUTH/AD_Anbindung_v11.8.10 |'''11.8.10''']] | [[UTM/AUTH/AD_Anbindung_v11.8.10 |'''11.8.10''']] | ||
[[UTM/AUTH/AD_Anbindung_11.8 |'''11.8''']] | [[UTM/AUTH/AD_Anbindung_11.8 |'''11.8''']] | ||
[[UTM/AUTH/AD_Anbindung_11.7 |'''11.7''']] | [[UTM/AUTH/AD_Anbindung_11.7 |'''11.7''']] | ||
[[UTM/AUTH/AD_Anbindung-v11.4 |'''11.5''']] | [[UTM/AUTH/AD_Anbindung-v11.4 |'''11.5''']] | ||
|{{Menu| | | {{Menu-UTM|Authentifizierung|AD/LDAP Authentifizierung}} | ||
}} | |||
---- | ---- | ||
Zeile 539: | Zeile 25: | ||
=== {{#var:Einführung}} === | === {{#var:Einführung}} === | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var: | {{#var:Einführung--desc}} | ||
<br clear=all></div> | |||
---- | |||
<br clear=all> | |||
</div> | |||
=== {{#var:Voraussetzung}} === | === {{#var:Voraussetzung}} === | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:Voraussetzung--desc}} | {{#var:Voraussetzung--desc}} | ||
<br> | |||
{{Einblenden3| {{#var:vorbereitung-ad}} | {{#var:hide}} |true|dezent}} | |||
==== {{#var: | ==== {{#var:Benutzergruppen im AD anlegen}} ==== | ||
{{pt3| WIN2012_AD_Sgrpcvpn1.png | {{#var:security-groups--ad}} }} | {{pt3| WIN2012_AD_Sgrpcvpn1.png |{{#var:security-groups--ad}} }} | ||
{{pt3| WIN2012 AD Sgrpcvpn2.png | {{#var:security-groups--added}} }} | {{pt3| WIN2012 AD Sgrpcvpn2.png |{{#var:security-groups--added}} }} | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:groups--permissions}} | {{#var:groups--permissions}} | ||
{{#var:user-groups--added--text}} | {{#var:user-groups--added--text}} | ||
<br clear=all></div> | <br clear=all></div> | ||
==== {{#var:Benutzer hinzufügen}} ==== | ==== {{#var:Benutzer hinzufügen}} ==== | ||
{{pt3| WIN2012_AD_EgrpM.png | {{#var:Benutzer hinzufügen}} }} | {{pt3| WIN2012_AD_EgrpM.png |{{#var:Benutzer hinzufügen}} }} | ||
{{pt3| WIN2012_AD_EuserMv.png | {{#var:Benutzer-ist-mitglied}} }} | {{pt3| WIN2012_AD_EuserMv.png |{{#var:Benutzer-ist-mitglied}} }} | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:Benutzer hinzufügen--desc}} | {{#var:Benutzer hinzufügen--desc}} | ||
<br clear=all></div> | <br clear=all></div> | ||
</div></div></div> | </div></div></div> | ||
---- | |||
=== {{#var:DNS-Konfiguration}} === | |||
<div class="einrücken"> | |||
{{#var:DNS-Konfiguration--desc}} | |||
</div> | |||
---- | ---- | ||
=== {{#var: | |||
=== {{#var:UTM in die Domäne einbinden}} === | |||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{Hinweis-box||g}} {{#var:UTM in die Domäne einbinden--desc}} | |||
</div> | |||
</div> | |||
==== {{#var: | ==== {{#var:AD Verbindung herstellen}} ==== | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:AD Verbindung herstellen--desc}} | |||
</div> | |||
</div | |||
{| class="sptable2 pd5 zh1 Einrücken" | {| class="sptable2 pd5 zh1 Einrücken" | ||
Zeile 589: | Zeile 80: | ||
|- | |- | ||
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ||
| class="Bild" rowspan="4" | {{Bild| {{#var:schritt-1--bild}} |{{#var:Schritt}} 1}} | | class="Bild" rowspan="4" | {{Bild| {{#var:schritt-1--bild}} |{{#var:Schritt}} 1||{{#var:AD/LDAP Authentifizierungs Assistent}}|{{#var:Authentifizierung}}|{{#var:AD/LDAP Authentifizierung}} }} | ||
|- | |- | ||
| {{b|{{#var:Verzeichnistyp}}: }} || {{Button| AD - Active Directory|dr|class=available}} || | | {{b|{{#var:Verzeichnistyp}}: }} || {{Button|AD - Active Directory|dr|class=available}} || {{Hinweis-box|{{#var:Verzeichnistyp--Hinweis}}|g|fs__icon=em2}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| {{Button|{{#var:Weiter}} }} | | colspan="3" | {{Button|{{#var:Weiter}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
Zeile 600: | Zeile 91: | ||
===== {{#var:Schritt}} 2: {{#var:Einstellungen}} ===== | ===== {{#var:Schritt}} 2: {{#var:Einstellungen}} ===== | ||
|- | |- | ||
| {{b|{{#var: | | {{b|{{#var:IP oder Hostname}}:}} || {{ic| {{cb|192.168.145.1}} |cb|class=available}} || {{#var:IP oder Hostname--desc}} | ||
| class="Bild" rowspan="6" | {{Bild| {{#var:schritt-2--bild}} |{{#var:Schritt}} 2}} | | class="Bild" rowspan="6" | {{Bild| {{#var:schritt-2--bild}} |{{#var:Schritt}} 2}} | ||
|- | |- | ||
| {{b|Domain:}} || | | {{b|Domain:}} || {{ic|ttt-point.local|class=available}} || Domainname | ||
|- | |- | ||
| {{b|{{#var:Arbeitsgruppe}} }} || {{ic|ttt-point|class=available}} || {{#var: | | {{b|{{#var:Arbeitsgruppe}}:}} || {{ic|ttt-point|class=available}} || {{#var:Arbeitsgruppe--desc}} | ||
|- | |- | ||
| {{b|Appliance Account:}} || {{ic|sp-utml|class=available}} || {{#var: | | {{b|Appliance Account:}} || {{ic|sp-utml|class=available}} || {{#var:Appliance Account--desc}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| {{Button|{{#var:Weiter}} }} | | colspan="3" | {{Button|{{#var:Weiter}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
Zeile 617: | Zeile 108: | ||
| class="Bild" rowspan="6" | {{Bild| {{#var:schritt-3--bild}} |{{#var:Schritt}} 3: Nameserver}} | | class="Bild" rowspan="6" | {{Bild| {{#var:schritt-3--bild}} |{{#var:Schritt}} 3: Nameserver}} | ||
|- class="noborder" | |- class="noborder" | ||
| colspan="3" | {{#var:schritt-3--text | | colspan="3" | {{#var:schritt-3--text}} | ||
|- | |- | ||
| {{b|{{#var: | | {{b|{{#var:IP-Adresse}}:}} || {{ic|192.168.145.1|class=available}} || {{#var:IP-Adresse--desc}} | ||
|- | |- | ||
| {{Button|{{#var:Speichern}} }} || colspan="2" | | | {{Button|{{#var:Speichern}} }} || colspan="2" | {{#var:Speichern--desc}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| {{Button|{{#var:Weiter}} }} | | colspan="3" | {{Button|{{#var:Weiter}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
Zeile 630: | Zeile 121: | ||
===== {{#var:Schritt}} 4: {{#var:Beitreten}} ===== | ===== {{#var:Schritt}} 4: {{#var:Beitreten}} ===== | ||
|- | |- | ||
| {{b|{{#var:Administratorname}} }} || {{ic|Administrator|class=available}} || | | {{b|{{#var:Administratorname}}:}} || {{ic|Administrator|class=available}} || {{#var:Administratorname--desc}} | ||
| class="Bild" rowspan="4" | {{Bild| {{#var:schritt-4--bild}} }} | | class="Bild" rowspan="4" | {{Bild|{{#var:schritt-4--bild}} }} | ||
|- | |- | ||
| {{b|{{#var:Passwort}} }} || {{ic| <nowiki>••••••••</nowiki>|class=available}} || {{einblenden3| {{#var: | | {{b|{{#var:Passwort}}:}} || {{ic| <nowiki>••••••••</nowiki>|class=available}} || {{einblenden3| {{#var:Hinweis beim Clusterbetrieb}} | {{#var:hide}} |true|dezent|icon={{spc|io|o|-|c=g}} }} {{#var:Hinweis beim Clusterbetrieb}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| {{Button|{{#var: | | colspan="3" | {{Button|{{#var:Fertig}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- class="noborder" | |- class="noborder" | ||
| colspan="3" | | | colspan="3" | | ||
==== {{#var: | ==== {{#var:Ergebnis AD-Anbindung}} ==== | ||
|- class="noborder" | |- class="noborder" | ||
| colspan="3" | {{#var: | | colspan="3" | {{#var:Ergebnis AD-Anbindung--desc}} | ||
|- | |- | ||
| {{b|{{#var:aktiviert}}: }} || {{ButtonAn|{{#var:ein}} }} || {{#var:ad-aktiviert--text}} | | {{b|{{#var:aktiviert}}:}} || {{ButtonAn|{{#var:ein}} }} || {{#var:ad-aktiviert--text}} | ||
| class="Bild" rowspan="3" | {{Bild|{{#var:ergebnis--bild}} }} | | class="Bild" rowspan="3" | {{Bild| {{#var:ergebnis--bild}} |||{{#var:AD/LDAP Authentifizierung}}|{{#var:Authentifizierung}}|icon=fa-wand-magic-sparkles|icon-text={{#var:Assistent}}|icon2=fa-save}} | ||
|- | |- | ||
| {{b|{{#var:Verbindungsstatus}} }} || {{ | | {{b|{{#var:Verbindungsstatus}} }} || {{spc|fa|o|-|class=fas fa-check-circle|icon-c=green}} || {{#var:Verbindungsstatus--text}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="3" | | | colspan="3" | | ||
==== {{Reiter|{{#var:Erweitert}} }} ==== | |||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="3" | | colspan="3" | {{#var:Erweitert--desc}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="3"| {{Einblenden2|{{#var:AD-Attribute Flag confidential anzeigen}}|{{#var:hide}}|dezent|true|{{#var:AD-Attribute Flag confidential--desc}} }} | | colspan="3"| {{Einblenden2| {{#var:AD-Attribute Flag confidential anzeigen}} | {{#var:hide}} |dezent|true|{{#var:AD-Attribute Flag confidential--desc}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="3"| {{Hinweis-box|{{#var:AD-Attribute Flag confidential machineAccount}}|g}} | | colspan="3"| {{Hinweis-box|{{#var:AD-Attribute Flag confidential machineAccount}}|g|fs__icon=em2}} | ||
|- | |- | ||
| rowspan="2" | {{b|SSL:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:ssl--text}} | | rowspan="2" | {{b|SSL:}} || {{ButtonAus|{{#var:aus}} }} || {{#var:ssl--text}} | ||
| class="Bild" rowspan="6" | {{Bild| {{#var:erweitert--bild}} | {{#var:erweitert--cap}} }} | | class="Bild" rowspan="6" | {{Bild| {{#var:erweitert--bild}} |{{#var:erweitert--cap}} }} | ||
|- | |- | ||
| colspan="2" | | | colspan="2" | | ||
<li class="list--element__alert list--element__hint">{{#var:ldap--hinweis}}:</li> | <li class="list--element__alert list--element__hint">{{#var:ldap--hinweis}}:</li> | ||
<li class="list--element__bullet Einrücken">{{#var:ldap-verschlüsselung--automatisch--separat}}</li> | <li class="list--element__bullet Einrücken">{{#var:ldap-verschlüsselung--automatisch--separat}}</li> | ||
Zeile 672: | Zeile 163: | ||
| {{b|LDAP-Filter:}} || {{ic| <nowiki>(|(sAMAccountType=268435456)(sAMAccountType=268435457)(sAMAccountType=805306368))</nowiki></code>|class=available}} || ''[https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-drsr/cc44dc4c-fb88-4ffb-9a29-148fb39002d4 sAMAccountType]=''{{#var:LDAP-Filter--desc}} | | {{b|LDAP-Filter:}} || {{ic| <nowiki>(|(sAMAccountType=268435456)(sAMAccountType=268435457)(sAMAccountType=805306368))</nowiki></code>|class=available}} || ''[https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-drsr/cc44dc4c-fb88-4ffb-9a29-148fb39002d4 sAMAccountType]=''{{#var:LDAP-Filter--desc}} | ||
|- | |- | ||
| {{b| | | {{b|User-Attribute:}} || {{ic|sAMAccountName|class=available}} || {{#var:User-Attribute--text}} | ||
|- | |- | ||
| {{b| | | {{b|Mail-Attribute:}} || {{ic| {{cb|proxyAddresses}} |cb|class=available}} || | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | {{#var:Mail-Attribute--text}} {{Einblenden2| {{#var:Konfiguration WireGuard AD--show}} | {{#var:hide}} |true|dezent| {{#var:WireGuard AD Verknüpfung}} }} | |||
| class="Bild" rowspan="12"| <br>{{Bild | {{#var:WG-Attribute im AD--Bild}}|{{#var:WG-Attribute im AD--cap}} }}<br>{{Bild|{{#var:erweitert2--bild}} | {{#var:erweitert2--cap}} }} | | class="Bild" rowspan="12" | <br>{{Bild| {{#var:WG-Attribute im AD--Bild}} |{{#var:WG-Attribute im AD--cap}} }}<br> {{Bild|{{#var:erweitert2--bild}} |{{#var:erweitert2--cap}} }} | ||
|- | |- | ||
| {{b|OTP-Attribute:}} || {{ic|sPOTPSecret|class=available}} || | | {{b|OTP-Attribute:}} || {{ic|sPOTPSecret|class=available}} || | ||
Zeile 683: | Zeile 174: | ||
| {{b|L2TP-Attribute:}} || {{ic|sPL2TPAddress|class=available}} || | | {{b|L2TP-Attribute:}} || {{ic|sPL2TPAddress|class=available}} || | ||
|- | |- | ||
| {{b|WireGuard-Attribute (IPv4):}} || {{ic|sPWireguardIP4Address|class=available}} || {{#var:WireGuard-Attribute (IPv4)--desc}}{{Einblenden2| |{{#var:hide}}|true|info|{{#var:WireGuard-Attribute (IPv4)--info}} }} {{c|❶|r}} | | {{b|WireGuard-Attribute (IPv4):}} || {{ic|sPWireguardIP4Address|class=available}} || {{#var:WireGuard-Attribute (IPv4)--desc}} {{Einblenden2| |{{#var:hide}} |true|info|{{#var:WireGuard-Attribute (IPv4)--info}} }} {{c|❶|r}} | ||
|- | |- | ||
| class=mw16 | {{b|WireGuard-Attribute (IPv6):}} || {{ic|sPWireguardIP6Address|class=available}} || {{#var:WireGuard-Attribute (IPv6)--desc}}{{Einblenden2| |{{#var:hide}}|true|info|{{#var:WireGuard-Attribute (IPv6)--info}} }} {{c|❷|r}} | | class=mw16 | {{b|WireGuard-Attribute (IPv6):}} || {{ic|sPWireguardIP6Address|class=available}} || {{#var:WireGuard-Attribute (IPv6)--desc}}{{Einblenden2| | {{#var:hide}} |true|info| {{#var:WireGuard-Attribute (IPv6)--info}} }} {{c|❷|r}} | ||
|- | |- | ||
| {{b|WireGuard-Public-Key-Attribute:}} || {{ic|sPWireguardPubkeyVal|class=available}} || {{#var:WireGuard-Public-Key-Attribute--desc}} | | {{b|WireGuard-Public-Key-Attribute:}} || {{ic|sPWireguardPubkeyVal|class=available}} || {{#var:WireGuard-Public-Key-Attribute--desc}} | ||
{{Einblenden2| |{{#var:hide}}|true|info|{{#var:WireGuard-Public-Key-Attribute--info}} }} {{c|❸|r}} | {{Einblenden2| | {{#var:hide}} |true|info|{{#var:WireGuard-Public-Key-Attribute--info}} }} {{c|❸|r}} | ||
|- | |- | ||
| {{b|SSL-VPN-Attribute (IPv4):}} || {{ic|sPOVPNAddress|class=available}} || | | {{b|SSL-VPN-Attribute (IPv4):}} || {{ic|sPOVPNAddress|class=available}} || | ||
Zeile 696: | Zeile 187: | ||
| {{b|SSL-Bump-Attribute:}} || {{ic|sPSSLBumpMode|class=available}} || | | {{b|SSL-Bump-Attribute:}} || {{ic|sPSSLBumpMode|class=available}} || | ||
|- | |- | ||
| {{b|Cert-Attribute:}} || {{ic| sPCertificate|class=available}} || | | {{b|Cert-Attribute:}} || {{ic|sPCertificate|class=available}} || | ||
|- | |- | ||
| {{b|Page Size:}} || {{ic|500   |c|class=available}} || {{#var:page-size--desc}} | | {{b|Page Size:}} || {{ic|500   |c|class=available}} || {{#var:page-size--desc}} | ||
Zeile 702: | Zeile 193: | ||
| | | | ||
|} | |} | ||
---- | |||
=== {{#var:UTM | === {{#var:UTM mit Entra ID anbinden}} === | ||
<div class="einrücken"> | <div class="einrücken"> | ||
{{#var:UTM | {{#var:UTM mit Entra ID anbinden--desc}} | ||
{{Einblenden2|{{#var:Konfiguration Azure Apps anzeigen}}|{{#var:hide}}|bigdezent|true|{{:UTM/APP/Azure-AD|collapsed=true}} }} | {{Einblenden2| {{#var:Konfiguration Azure Apps anzeigen}} | {{#var:hide}} |bigdezent|true|{{:UTM/APP/Azure-AD|collapsed=true}} }} | ||
</div> | |||
{| class="sptable2 pd5 zh1 einrücken" | {| class="sptable2 pd5 zh1 einrücken" | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | | |||
==== {{#var: | ==== {{#var:Entra ID Verbindung herstellen}} ==== | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | {{#var:Entra ID Verbindung herstellen--desc}} | |||
|- | |- class="Leerzeile" | ||
| colspan="3" | | |||
===== {{#var:Schritt}} 1: {{#var:Verzeichnistyp}} ===== | ===== {{#var:Schritt}} 1: {{#var:Verzeichnistyp}} ===== | ||
|- | |- | ||
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ||
| class="Bild" rowspan="4"| {{Bild|{{#var:Azure AD Schritt 1--Bild}} }} | | class="Bild" rowspan="4" | {{Bild| {{#var:Azure AD Schritt 1--Bild}} |{{#var:Azure AD Schritt 1--cap}}||{{#var:AD/LDAP Authentifizierungs Assistent}}|{{#var:Authentifizierung}}|{{#var:AD/LDAP Authentifizierung}} }} | ||
|- | |- | ||
| {{b|{{#var:Verzeichnistyp}}: }} || {{Button| | | {{b|{{#var:Verzeichnistyp}}:}} || {{Button|Entra ID - Microsoft Entra ID|dr|class=available}} || {{#var:Verzeichnistyp--desc}} | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | {{Button|{{#var:Weiter}} }} | |||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | | |||
===== {{#var:Schritt}} 2: {{#var:Einstellungen}} ===== | ===== {{#var:Schritt}} 2: {{#var:Einstellungen}} ===== | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Verzeichnis-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Verzeichnis-ID--desc}} | | rowspan="2"| {{b|{{#var:Verzeichnis-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Verzeichnis-ID--desc}} | ||
| class="Bild" rowspan="8"| {{Bild|{{#var:Azure AD Schritt 2--Bild}} }} | | class="Bild" rowspan="8"| {{Bild|{{#var:Azure AD Schritt 2--Bild}}|{{#var:Azure AD Schritt 2--cap}} }} | ||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Anwendungs-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Anwendungs-ID--desc}} | | rowspan="2" | {{b|{{#var:Anwendungs-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Anwendungs-ID--desc}} | ||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Geheimer Wert}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Geheimer Wert--desc}} | | rowspan="2" | {{b|{{#var:Geheimer Wert}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Geheimer Wert--desc}} | ||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | {{Button|{{#var:Fertig}} }} | |||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | | |||
==== {{#var:Ergebnis | ==== {{#var:Ergebnis Entra ID-Anbindung}} ==== | ||
|- | |- class="Leerzeile" | ||
| colspan="3" | {{b|{{Kasten|Status}} }} | |||
|- | |- | ||
| {{b|{{#var:aktiviert}}: }} || {{ButtonAn|{{#var:ja}} }} || {{#var:aktiviert Azure--desc}} | | {{b|{{#var:aktiviert}}: }} || {{ButtonAn|{{#var:ja}} }} || {{#var:aktiviert Azure--desc}} | ||
| class="Bild" rowspan="13"| {{Bild|{{#var:Status Azure AD--Bild}} }} | | class="Bild" rowspan="13" | {{Bild| {{#var:Status Azure AD--Bild}} |{{#var:Status Azure AD--cap}}||{{#var:AD/LDAP Authentifizierung}}|{{#var:Authentifizierung}}|icon=fa-wand-magic-sparkles|icon-text={{#var:Assistent}}|icon2=fa-save }} | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Verbindungsstatus}} }} || {{spc|fa|o|-|class=fas fa-check-circle|icon-c=green}} || {{#var:Verbindungsstatus Azure--desc}} | | rowspan="2" | {{b|{{#var:Verbindungsstatus}} }} || {{spc|fa|o|-|class=fas fa-check-circle|icon-c=green}} || {{#var:Verbindungsstatus Azure--desc}} | ||
|- | |- | ||
| {{Button|{{spc|sync|o|-|class=fas}} }} || {{#var:Refresh--desc}} | | {{Button|{{spc|sync|o|-|class=fas}} }} || {{#var:Refresh--desc}} | ||
|- | |- | ||
| {{b|{{#var:Verzeichnistyp}}: }} || {{Button| | | {{b|{{#var:Verzeichnistyp}}: }} || {{Button|Entra ID|dr|class=available}} || {{#var:Verzeichnistyp Status--desc}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- class="Leerzeile" | |||
| colspan="3" | {{Reiter|{{#var:Einstellungen}} }} | |||
|- | |- | ||
| rowspan="2" | {{b|{{#var:Verzeichnis-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Verzeichnis-ID--desc}} | |||
| rowspan="2"| {{b|{{#var:Verzeichnis-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Verzeichnis-ID--desc}} | |||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Anwendungs-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Anwendungs-ID--desc}} | | rowspan="2" | {{b|{{#var:Anwendungs-ID}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Anwendungs-ID--desc}} | ||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
|- | |- | ||
| rowspan="2"| {{b|{{#var:Geheimer Wert}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Geheimer Wert--desc}} | | rowspan="2" | {{b|{{#var:Geheimer Wert}} }} || {{ic|••••••••••••••••••••|class=available}} || {{#var:Geheimer Wert--desc}} | ||
|- | |- | ||
| {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | | {{Button|{{spc|auge|o|-|class=fas}} }} || {{#var:Passwort anzeigen}} | ||
Zeile 781: | Zeile 273: | ||
| | | | ||
|} | |} | ||
---- | |||
=== {{#var: | === {{#var:AD Benutzergruppen Berechtigungen erteilen}} === | ||
{{ | {{Bild| {{#var:ad-benutzergruppen-berechtigungen--bild}} |{{#var:ad-benutzergruppen-berechtigungen--bild--cap}}||{{#var:Gruppe hinzufügen}}|{{#var:Authentifizierung}}|{{#var:Benutzer}}|class=Bild-t|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}} | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:ad-benutzergruppen-berechtigungen--desc}} | {{#var:ad-benutzergruppen-berechtigungen--desc}} | ||
</div> | </div> | ||
{| class="sptable2 pd5 Einrücken" | {| class="sptable2 pd5 zh1 Einrücken" | ||
! {{#var:Aktiv}} !! {{#var:Berechtigung}} !! {{#var:Hinweis}} | ! {{#var:Aktiv}} !! {{#var:Berechtigung}} !! {{#var:Hinweis}} | ||
|- | |- | ||
Zeile 798: | Zeile 289: | ||
| {{ButtonAn|{{#var:ein}} }} || {{ic|Clientless VPN|class=available}} || Gewünschte Berechtigung | | {{ButtonAn|{{#var:ein}} }} || {{ic|Clientless VPN|class=available}} || Gewünschte Berechtigung | ||
|} | |} | ||
<br clear=all> | <br clear=all> | ||
{{ | {{Bild| {{#var:benutzergruppe-auswählen}} |{{#var:benutzergruppe-auswählen--cap}}|class=Bild-t}} | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:benutzergruppe-auswählen--text}} | {{#var:benutzergruppe-auswählen--text}} | ||
<br clear=all></div> | <br clear=all></div> | ||
---- | |||
=== {{#var:Ergebnis}} === | === {{#var:Ergebnis}} === | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:Ergebnis--desc}} | |||
</div> | |||
---- | |||
=== {{#var: | === {{#var:Überprüfen der AD Anbindung mit CLI}} === | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var: | {{#var:Überprüfen der AD Anbindung mit CLI--desc}} | ||
<br clear=all | </div><br clear=all> | ||
==== {{#var:ad-beitreten}} ==== | ==== {{#var:ad-beitreten}} ==== | ||
Zeile 850: | Zeile 340: | ||
<br clear=all></div> | <br clear=all></div> | ||
==== {{#var: | |||
==== {{#var:AD Gruppen anzeigen}} ==== | |||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var: | {{#var:AD Gruppen anzeigen--desc}} | ||
cli> '''system activedirectory lsgroups''' | cli> '''system activedirectory lsgroups''' | ||
member | member | ||
Zeile 871: | Zeile 362: | ||
cli> | cli> | ||
<br clear=all></div> | <br clear=all></div> | ||
==== {{#var:ad-zugehörigkeit}} ==== | ==== {{#var:ad-zugehörigkeit}} ==== | ||
Zeile 889: | Zeile 381: | ||
m.meier|grp_ClientlessVPN|WEB_USER,VPN_CLIENTLESS | m.meier|grp_ClientlessVPN|WEB_USER,VPN_CLIENTLESS | ||
cli> | cli> | ||
<br clear=all></div> | <br clear=all></div></div> | ||
---- | |||
=== {{#var:dc-hinters2s}} === | |||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var:dc-hinters2s--text}} <br> | {{#var:dc-hinters2s--text}}<br> | ||
{{#var:dc-hinters2s--Link}} | {{#var:dc-hinters2s--Link}} | ||
<p>{{Hinweis-box|{{#var:dc-hinters2s--hinweis}}|g|fs__icon=em2}}</p> | <p>{{Hinweis-box|{{#var:dc-hinters2s--hinweis}}|g|fs__icon=em2}}</p> | ||
<br clear=all></div> | <br clear=all></div> | ||
Aktuelle Version vom 23. Mai 2024, 13:00 Uhr
- Umbenennung Azure AD in Entra ID
Einführung
Die AD/LDAP-Anbindung ermöglicht es, bestehende Verzeichnisdienste wie das Microsoft Active Directory® oder andere auf dem LDAProtocol basierende Systeme für die Authentifizierung, Verwaltung von Gruppen und Speichern von Attributen zu nutzen.
Zentral verwaltete Benutzer aus dem Verzeichnis können so einfach für die Authentifizierung oder Nutzung von Diensten auf der UTM verwendet werden.
Dies erleichtert die Administration komplexer Unternehmensnetzwerke und vereinheitlicht die Benutzer-Verwaltung.
Für die Anbindung an das Directory wird unter anderem das Light Directory Access Protocol (LDAP) verwendet.
Mittels LDAP können die Informationen über Benutzer, Gruppen und weitere Objekte aus dem Directory ausgelesen werden.
Das Protokoll selbst sieht dabei im Standard keine Verschlüsselung oder Authentifizierung der Nachrichten vor.
In ADV190023 (Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing) wird auf diesen Umstand hingewiesen und eine Anpassung der Sicherheitseinstellungen bekannt gegeben.
Zukünftig ist eine Signierung und Verschlüsselung des LDAP-Verkehrs erforderlich (seal).
notempty
Alternativ kann das die gesamte Verbindung mit SSL abgesichert werden.
Ab Version 11.8.10 wird nicht nur der PDC, sondern sämtliche DCs für LDAP Anfragen verwendet. Somit steht die Authentifizierung für Benutzer aus dem AD auch zu Verfügung, wenn der PDC nicht erreichbar ist.
Voraussetzung
Um ein AD / LDAP zur Authentisierung nutzen zu können, müssen dort Benutzer angelegt und in Gruppen organisiert sein.
Benutzergruppen im AD anlegen
Die Berechtigungen zu den in der UTM enthaltenen Diensten können in Gruppen verwaltet werden. Die Benutzer, die diesen Gruppen zugeordnet werden sollen, müssen zunächst entsprechenden Benutzergruppen im AD zugeordnet werden.
In diesem Beispiel sollen die Benutzer für Clientless VPN über den Active Directory Service Authentifiziert werden.
Es muss also zunächst eine Gruppe vom Typ Sicherheitsgruppe auf dem AD hinzugefügt werden, die hier den Namen ClientlessVPN bekommt.
Benutzer im AD hinzufügen
Anschließend werden die Benutzer, die für Clientless VPN freigeschaltet werden sollen, zu dieser Gruppe hinzugefügt.
DNS-Konfiguration
Damit der Authentifizierungsvorgang der AD/LDAP-Anbindung problemlos funktioniert, muss der Nameserver der UTM entsprechend eingerichtet werden.
Dafür müssen folgende Konfigurationen getätigt werden:
- Bei DNS-Server muss bei Primärer Nameserver: 127.0.0.1 stehen
- notemptyDer Eintrag bei Sekundärer Nameserver: muss leer sein!
Bereich - notempty
- Bei Zonen wird eine Forward Zone mit einem A und PTR Eintrag angelegt
- Dabei wird der Firewallname der UTM verwendet
Bereich - Bei DNS Forwarding wird ein DNS Forwarding angelegt mit einem externen DNS wie 8.8.8.8 Bereich
UTM in die Domäne einbinden
Im Menü wird die Authentifizierung konfiguriert.
AD Verbindung herstellen
Besteht noch keine AD/LDAP-Authentifizierung öffnet sich automatisch der AD/LDAP Authentifizierungs Assistent.
Andernfalls kann der Assistent mit der Schaltfläche gestartet werden.
Schritt 1: Verzeichnistyp | |||
Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnAuthentifizierungAD/LDAP Authentifizierung |
---|---|---|---|
Verzeichnistyp: | notempty Es sollte auf alle Fälle der Verzeichnistyp »AD« gewählt werden, wenn es sich um eine Active Directory Umgebung handelt.
| ||
Schritt 2: Einstellungen | |||
IP oder Hostname: | »192.168.145.1 | (Beispiel-Adresse!) | |
Domain: | ttt-point.local | Domainname | |
Arbeitsgruppe: | ttt-point | Der NETBIOS-Name des AD Sollte dieser von der Base Domain abweichen, muss hier der korrekte NETBIOS-Name eingetragen werden. | |
Appliance Account: | sp-utml | Der Name, unter dem die UTM im AD in der Gruppe Computers eingetragen wird. Ein eindeutiger Name, der nicht doppelt vergeben werden darf! Bei Betrieb der UTM im Cluster muss der Name im Master und Spare unterschiedlich sein. Der Name wird nicht synchronisiert!
| |
Schritt 3: Nameserver |
|||
Ist der AD-Server noch nicht als Name-Server eingetragen, wird das in diesem Schritt vorgenommen: | |||
IP-Adresse: | 192.168.145.1 | notempty Beispieladresse! IP-Adresse eines AD-Servers der Domäne, ggf. zusätzlich der Port. | |
Der AD-Server wird damit als Relay-Zone im Nameserver der UTM hinzugefügt. Der Eintrag ist im Menü Bereich Zonen zu finden. | |||
Schritt 4: Beitreten | |||
Administratorname: | Administrator | Um der Domäne beizutreten ist ein Benutzer-Konto mit Domain-Administrator-Rechten erforderlich. | |
Passwort: | •••••••• | Hinweis beim Clusterbetrieb
| |
Ergebnis AD-Anbindung | |||
Ergebnis im Abschnitt Status :
| |||
Aktiviert: | Ein | Die AD/LDAP Authentifizierung ist aktiviert. | UTMbenutzer@firewall.name.fqdnAuthentifizierung |
Verbindungsstatus: | Zur Bestätigung wechselt die Anzeige von grau auf grün. Aktualisieren mit | ||
Erweitert | |||
AD-Attribute können bestimmte Berechtigungen gegeben werden. So kann konfiguriert werden, wer diese einsehen kann. Beispielsweise können diese dann nicht durch einen LDAP-Search ausgelesen werden. Diese AD-Attribute werden mit dem Flag "confidential" markiert. | |||
Um ein AD-Attribute diese Berechtigungen zu geben, sind folgende Schritte notwendig:
| |||
notempty Dadurch kann es vorkommen, dass der Maschine Account der UTM dieses Attribut nicht mehr auslesen kann. Dann benötigt der Maschine Account weitere Rechte.
| |||
SSL: | Aus | Die Verbindung zum Active Directory Server kann SSL-Verschlüsselt hergestellt werden. | |
| |||
Root-Zertifikat: | Zertifikat | Es kann ein Root-Zertifikat hinterlegt werden. | |
LDAP-Filter: | (|(sAMAccountType=268435456)(sAMAccountType=268435457)(sAMAccountType=805306368)) | sAMAccountType=Schränkt die Authentisierung auf Mitglieder der folgenden Gruppen ein: Weitere Filter sind möglich
| |
User-Attribute: | sAMAccountName | Es können Attribute definiert werden, unter denen die AD Verwaltung die Informationen zum Benutzer speichert und die dann von der UTM abgefragt werden können: | |
Mail-Attribute: | »proxyAddresses | ||
Die Attribute von OTP bis Cert-Attribute, die hier eingetragen sind, existieren in der Regel nicht im AD. Um zum Beispiel den OTP-Geheimcode auf dem AD zu hinterlegen, kann ein ungenutztes Attribut des AD Schemas verwendet werden, der diesen Geheimcode des Benutzers enthält. Eine entsprechende Anleitung befindet sich im Artikel Einbinden der OTP Funktion in das Active Directory.
|
|||
OTP-Attribute: | sPOTPSecret | ||
L2TP-Attribute: | sPL2TPAddress | ||
WireGuard-Attribute (IPv4): | sPWireguardIP4Address | Das AD Attribut der IPv4-Adresse der WireGuard-Verbindung Die IPv4-Adresse kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird die IPv4-Adresse in extensionAttribute1 hinterlegt, wird extensionAttribute1 hier eingetragen. | |
WireGuard-Attribute (IPv6): | sPWireguardIP6Address | Das AD Attribut der IPv6-Adresse der WireGuard-Verbindung Die IPv6-Adresse kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird die IPv6-Adresse in extensionAttribute2 hinterlegt, wird extensionAttribute2 hier eingetragen. | |
WireGuard-Public-Key-Attribute: | sPWireguardPubkeyVal | Das AD Attribut des Public Key der WireGuard-Verbindung
Der Public Key kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird der Public Key in extensionAttribute3 hinterlegt, wird extensionAttribute3 hier eingetragen. | |
SSL-VPN-Attribute (IPv4): | sPOVPNAddress | ||
SSL-VPN-Attribute (IPv6): | sPOVPNIP6Address | ||
SSL-Bump-Attribute: | sPSSLBumpMode | ||
Cert-Attribute: | sPCertificate | ||
Page Size: | 500 | In größeren Umgebungen kann es vorkommen, dass bei LDAP-Anfragen die serverseitig festgelegte, maximale Anzahl von Datensätzen (im AD sind es 1000) überschritten wird. Mit Page Size kann eingestellt werden das die LDAP-Abfrage stückweise ausgeführt wird. Eine Page Size von 500 bedeutet 500 Datensätze pro Abfrage. Die Page Size von 0 deaktiviert eine schrittweise LDAP-Abfrage. | |
UTM mit Entra ID anbinden
Um Entra ID (ehemals Azure AD) nutzen zu können, sind konfigurierte Azure Apps notwendig.
Dieser Artikel beinhaltet Beschreibungen der Software von Drittanbietern und basiert auf dem Stand zum Zeitpunkt der Erstellung dieser Seite.
Änderungen an der Benutzeroberfläche durch den Hersteller sind jederzeit möglich und müssen in der Durchführung entsprechend berücksichtigt werden.
Alle Angaben ohne Gewähr.
- Anwendungs ID
- Mandanten-ID
- Geheimer Clientschlüssel
- Azure Active Directory admin center starten
- Mandanten-ID im Menü Entra ID notieren/kopieren
- Neue App registrieren unter Menü App-Registrierung Schaltfläche Neue Registrierung
- Eindeutigen Namen vergeben und Schaltfläche Registrieren klicken
- Anwendungs-ID notieren, alternativ kann hier die Verzeichnis-ID (Mandanten-ID) gefunden werden
- Im Menü API-Berechtigungen die Schaltfläche Berechtigung hinzufügen klicken
- Berechtigung Group.Read.All im Reiter Anwendungsberechtigung wählen
- Berechtigung User.Read.All im Reiter Anwendungsberechtigung wählen
- Im Menü API-Berechtigungen den Eintrag Administratorzustimmung für [...] erteilen aktivieren
- Im Menü Zertifikate & Geheimnisse ein Geheimen Clientschlüssel erstellen
- Wert notieren, wird als Geheimer Wert eingetragen
- Damit ist die Konfiguration im Microsoft Azure abgeschlossen.
AD Benutzergruppen Berechtigungen erteilen
UTMbenutzer@firewall.name.fqdnAuthentifizierungBenutzer
Aktiv | Berechtigung | Hinweis |
---|---|---|
Ein | Userinterface | |
Ein | Clientless VPN | Gewünschte Berechtigung |
Weitere Informationen über Clientless VPN Berechtigungen befindet sich in dem Wiki zu Clientless VPN.
Ergebnis
Nach dem Speichern kann sich jeder Benutzer, der Mitglied in der AD Gruppe ClientlessVPN ist, mit seinen Windows Domänen Zugangsdaten für die Nutzung des Clientless VPN auf der UTM anmelden.
Überprüfen der AD Anbindung mit CLI
Bei den Zeilen darunter handelt es sich um die Ausgabe der UTM zu diesem Befehl.
Beitreten und Verlassen der Domäne
Um zu überprüfen ob die UTM schon der Domäne beigetreten ist:
cli> system activedirectory testjoin Join is OK cli>
Sollte das nicht der Fall sein, erfolgt die Ausgabe
cli> system activedirectory testjoin Not joined cli>
In diesem Fall kann der Domäne mit dem folgenden Kommando beigetreten werden
cli> system activedirectory join password Beispiel-Admin-Passwort Password for Administrator@TTT-POINT.LOCAL: Processing principals to add... Enter Administrator's password: Using short domain name -- TTT-POINT Joined 'SP-UTML' to dns domain 'ttt-point.local' cli>
Das Kommando um die Domäne zu verlassen lautet
cli> system activedirectory leave password Beispiel-Admin-Passwort Enter Administrator's password: Deleted account for 'SP-UTML' in realm 'TTT-POINT.LOCAL' cli>
Beim Beitreten bzw. Verlassen des Active Directories ist die Angabe des Administratorpasswortes notwendig. Das Passwort wird nicht gespeichert, die AD-Zugehörigkeit ist trotzdem Reboot fest.
AD Gruppen anzeigen
Mit dem folgenden Kommando können die Gruppen im Active Directory aufgelistet werden:
cli> system activedirectory lsgroups member ------ Abgelehnte RODC-Kennwortreplikationsgruppe Administratoren Benutzer Builtin ClientlessVPN Discovery Management Domänen-Admins Domänen-Benutzer Domänen-Gäste Exchange Servers ... Users Windows-Autorisierungszugriffsgruppe cli>
Überprüfen der Benutzer und Gruppenzugehörigkeit
Das folgende Kommando überprüft, ob ein AD-Benutzer einer UTM Gruppe zugeordnet ist:
cli> user check name "m.meier" groups grp_ClientlessVPN matched cli>
Sollte das nicht der Fall sein erfolgt die Ausgabe
not a member cli>
Befehl, um zu einem AD-Benutzer die Gruppenzugehörigkeit und Berechtigungen aus zugegeben:
cli> user get name m.meier name |groups |permission -------+-----------------+---------- m.meier|grp_ClientlessVPN|WEB_USER,VPN_CLIENTLESS cli>
Domain-Controller hinter Site-to-Site-VPN
In manchen Szenarien befindet sich der Domain-Controller hinter einem Site-to-Site-VPN-Tunnel.
Ist dies der Fall, muss eine entsprechende Zone und eine Regel konfiguriert werden.
Siehe auch DNS-Relay bei IPSec-S2S ‖ DNS-Relay bei SSL (OpenVPN) -S2S ‖ DNS-Relay bei WireGuard-S2S
notempty