Wechseln zu:Navigation, Suche
Wiki

UTM/AUTH/AD Anbindung.lang: Unterschied zwischen den Versionen

Aus Securepoint Wiki
Keine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
 
(2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 3: Zeile 3:
{{#vardefine:headerIcon|spicon-utm}}
{{#vardefine:headerIcon|spicon-utm}}


{{var | display
{{var   | display
  | AD/LDAP-Anbindung
    | AD/LDAP-Anbindung
  | AD/LDAP Authentication }}
    | AD/LDAP Authentication }}
{{var | head
{{var   | head
  | Anbindung einer UTM an ein AD/LDAP
    | Anbindung einer UTM an ein AD/LDAP
  | Connection of a UTM to an AD/LDAP }}
    | Connection of a UTM to an AD/LDAP }}
{{var | Authentifizierung
{{var   | Authentifizierung
  | Authentifizierung
    | Authentifizierung
  | Authentication }}
    | Authentication }}
{{var | AD/LDAP Authentifizierung
{{var   | AD/LDAP Authentifizierung
  | AD/LDAP Authentifizierung
    | AD/LDAP Authentifizierung
  | AD/LDAP Authentication }}
    | AD/LDAP Authentication }}
{{var | Einführung
{{var   | Einführung
  | Einführung
    | Einführung
  | Introduction }}
    | Introduction }}
{{var | ladap--desc
{{var   | Einführung--desc
  | <p>Die AD/LDAP-Anbindung ermöglicht es, bestehende Verzeichnisdienste wie das Microsoft Active Directory® oder andere auf dem LDAProtocol basierende Systeme für die Authentifizierung, Verwaltung von Gruppen und Speichern von Attributen zu nutzen.</p>
    | <p>Die AD/LDAP-Anbindung ermöglicht es, bestehende Verzeichnisdienste wie das Microsoft Active Directory® oder andere auf dem LDAProtocol basierende Systeme für die Authentifizierung, Verwaltung von Gruppen und Speichern von Attributen zu nutzen.</p> <p>Zentral verwaltete Benutzer aus dem Verzeichnis können so einfach für die Authentifizierung oder Nutzung von Diensten auf der UTM verwendet werden.</p> <p>Dies erleichtert die Administration komplexer Unternehmensnetzwerke und vereinheitlicht die Benutzer-Verwaltung.</p> <p>Für die Anbindung an das Directory wird unter anderem das Light Directory Access Protocol (LDAP) verwendet.<br> Mittels LDAP können die Informationen über Benutzer, Gruppen und weitere Objekte aus dem Directory ausgelesen werden.</p> <p>{{Alert|g}}Das Protokoll selbst sieht dabei im Standard keine Verschlüsselung oder Authentifizierung der Nachrichten vor.</p> <p>In [https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV190023 ADV190023] (Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing) wird auf diesen Umstand hingewiesen und eine Anpassung der Sicherheitseinstellungen bekannt gegeben.</p> <p>Zukünftig ist eine Signierung und Verschlüsselung des LDAP-Verkehrs erforderlich (''seal'').</p> <p>{{Hinweis-box|Diese Umstellung wird von der UTM automatisch vorgenommen.|gr}}</p> <p>Alternativ kann das die gesamte Verbindung mit SSL abgesichert werden.</p> <p>Ab Version 11.8.10 wird nicht nur der PDC, sondern '''sämtliche''' DCs für LDAP Anfragen verwendet. Somit steht die Authentifizierung für Benutzer aus dem AD auch zu Verfügung, wenn der PDC nicht erreichbar ist.</p>
<p>Zentral verwaltete Benutzer aus dem Verzeichnis können so einfach für die Authentifizierung oder Nutzung von Diensten auf der UTM verwendet werden.</p>
    | <p>AD/LDAP connectivity enables existing directory services such as Microsoft Active Directory® or other LDAProtocol-based systems to be used for authentication, group management, and attribute storage.</p> <p> Centrally managed users from the directory can thus easily be used for authentication or use of services on the UTM.</p> <p> This simplifies the administration of complex corporate networks and unifies user management.</p>
<p>Dies erleichtert die Administration komplexer Unternehmensnetzwerke und vereinheitlicht die Benutzer-Verwaltung.</p>
<p>Für die Anbindung an das Directory wird unter anderem das Light Directory Access Protocol (LDAP) verwendet.<br>
Mittels LDAP können die Informationen über Benutzer, Gruppen und weitere Objekte aus dem Directory ausgelesen werden.</p>
<p>{{Alert|g}}Das Protokoll selbst sieht dabei im Standard keine Verschlüsselung oder Authentifizierung der Nachrichten vor.</p>
<p>In [https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV190023 ADV190023] (Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing) wird
auf diesen Umstand hingewiesen und eine Anpassung der Sicherheitseinstellungen bekannt gegeben.</p>
<p>Zukünftig ist eine Signierung und Verschlüsselung des LDAP-Verkehrs erforderlich (''seal'').</p>
<p>{{Hinweis-box|Diese Umstellung wird von der UTM automatisch vorgenommen.|gr}}</p>
<p>Alternativ kann das die gesamte Verbindung mit SSL abgesichert werden.</p>
  | <p>AD/LDAP connectivity enables existing directory services such as Microsoft Active Directory® or other LDAProtocol-based systems to be used for authentication, group management, and attribute storage.</p>
<p> Centrally managed users from the directory can thus easily be used for authentication or use of services on the UTM.</p>
<p> This simplifies the administration of complex corporate networks and unifies user management.</p>
<p> Among other things, the Light Directory Access Protocol (LDAP) is used for the connection to the directory..<br>
<p> Among other things, the Light Directory Access Protocol (LDAP) is used for the connection to the directory..<br>
Using LDAP, information about users, groups and other objects can be read from the directory.</p>
Using LDAP, information about users, groups and other objects can be read from the directory.</p> <p>{{Alert|g}} The standard protocol itself does not provide for encryption or authentication of the messages.</p> <p> In [https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV190023 ADV190023] (Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing) it is pointed out
<p>{{Alert|g}} The standard protocol itself does not provide for encryption or authentication of the messages.</p>
and an adjustment of the security settings is given.</p> <p> In the future, signing and encryption of LDAP traffic will be required (''seal'').</p> <p>{{Hinweis-box|This change is made automatically by the UTM.|gr}}</p> <p> Alternatively, the entire connection can be secured with SSL.</p> <p>Starting with version 11.8.10, not only the PDC, but '''all''' DCs are used for LDAP requests. Thus, authentication for users from the AD is available even if the PDC is not reachable.</p> }}
<p> In [https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV190023 ADV190023] (Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing) it is pointed out
{{var  | Voraussetzung
and an adjustment of the security settings is given.</p>
    | Voraussetzung
<p> In the future, signing and encryption of LDAP traffic will be required (''seal'').</p>
    | Requirement}}
<p>{{Hinweis-box|This change is made automatically by the UTM.|gr}}</p>
{{var   | Voraussetzung--desc
<p> Alternatively, the entire connection can be secured with SSL.</p>
    | Um ein AD / LDAP zur Authentisierung nutzen zu können, müssen dort Benutzer angelegt und in Gruppen organisiert sein.
}}
    | To use an AD / LDAP for authentication, users must be created there and organized in groups. }}
 
{{var   | vorbereitung-ad
{{var | Voraussetzung
    | Vorbereitung im Active Directory anzeigen
  | Voraussetzung
    | Show preparation in Active Directory }}
  | Requirement}}
{{var   | Benutzergruppen im AD anlegen
{{var | Voraussetzung--desc
    | Benutzergruppen im AD anlegen
  | Um ein AD / LDAP zur Authentisierung nutzen zu können, müssen dort Benutzer angelegt und in Gruppen organisiert sein.
    | Create user groups in AD }}
  | To use an AD / LDAP for authentication, users must be created there and organized in groups. }}
{{var   | security-groups--ad
{{var | vorbereitung-ad
    | Sicherheitsgruppe hinzufügen
  | Vorbereitung im Active Directory anzeigen
    | Add a security group }}
  | Show preparation in Active Directory }}
{{var   | security-groups--added
{{var | add-usergroup
    | Sicherheitsgruppe hinzugefügt
  | Benutzergruppen im AD anlegen
    | Security group added }}
  | Create user groups in AD }}
{{var   | user-groups--added--text
{{var | security-groups--ad
    | <p>In diesem Beispiel sollen die Benutzer für [[UTM/VPN/ClientlessVPN | Clientless VPN]] über den Active Directory Service Authentifiziert werden.</p> <p>Es muss also zunächst eine Gruppe vom Typ ''Sicherheitsgruppe'' auf dem AD hinzugefügt werden, die hier den Namen ''ClientlessVPN'' bekommt.</p>
  | Sicherheitsgruppe hinzufügen
    | <p>In this example, the users for [{{#var:host}}UTM/VPN/ClientlessVPN Clientless VPN] are to be authenticated via the Active Directory Service.</p> <p> So first of all a group of the type ''Security Group'' must be added on the AD, which is given the name ''ClientlessVPN'' here.</p> }}
  | Add a security group }}
{{var   | Benutzer hinzufügen
{{var | security-groups--added
    | Benutzer im AD hinzufügen
  | Sicherheitsgruppe hinzugefügt
    | Add user in AD}}
  | Security group added }}
{{var   | Benutzer-ist-mitglied
{{var | user-groups--added--text
    | Benutzer ist Mitglied der Gruppe
  | <p>In diesem Beispiel sollen die Benutzer für [[UTM/VPN/ClientlessVPN | Clientless VPN]] über den Active Directory Service Authentifiziert werden.</p><p>Es muss also zunächst eine Gruppe vom Typ ''Sicherheitsgruppe'' auf dem AD hinzugefügt werden, die hier den Namen ''ClientlessVPN'' bekommt.</p>
    | User is a member of the group }}
  | <p>In this example, the users for [{{#var:host}}UTM/VPN/ClientlessVPN Clientless VPN] are to be authenticated via the Active Directory Service.</p><p> So first of all a group of the type ''Security Group'' must be added on the AD, which is given the name ''ClientlessVPN'' here.</p> }}
{{var   | Benutzer hinzufügen--desc
{{var | Benutzer hinzufügen
    | Anschließend werden die Benutzer, die für Clientless VPN freigeschaltet werden sollen, zu dieser Gruppe hinzugefügt.  
  | Benutzer im AD hinzufügen
    | The users to be enabled for Clientless VPN are then added to this group. }}
  | Add user in AD}}
{{var   | UTM in die Domäne einbinden
{{var | Benutzer-ist-mitglied
    | UTM in die Domäne einbinden
  | Benutzer ist Mitglied der Gruppe
    | Integrate UTM into the domain }}
  | User is a member of the group }}
{{var   | UTM in die Domäne einbinden--desc
{{var | Benutzer hinzufügen--desc
    | Es muss darauf geachtet werden, dass die [[UTM/NET/Servereinstellungen#Zeiteinstellungen | Uhrzeit der UTM]] mit dem des AD einigermaßen synchron läuft, da ein Kerberos Ticket nur eine begrenzte Gültigkeitsdauer hat.<br> Im Menü {{Menu-UTM|Authentifizierung|AD/LDAP Authentifizierung}} wird die Authentifizierung konfiguriert.
  | Anschließend werden die Benutzer, die für Clientless VPN freigeschaltet werden sollen, zu dieser Gruppe hinzugefügt.  
    | It is important to make sure that the [{{#var:host}}UTM/NET/Servereinstellungen#Time_Settings UTM Time] is reasonably synchronized with the AD, since a Kerberos ticket has a limited validity period.<br> In the menu {{Menu-UTM|Authentication|AD/LDAP Authentication}} the authentication is configured. }}
  | The users to be enabled for Clientless VPN are then added to this group. }}
{{var  | AD Verbindung herstellen
{{var | utm-in-domäne
    | AD Verbindung herstellen
  | UTM in die Domäne einbinden
    | Establishing an AD connection }}
  | Integrate UTM into the domain }}
{{var   | AD Verbindung herstellen--desc
{{var | utm-in-domäne--uhrzeit
    | Besteht noch keine AD/LDAP-Authentifizierung öffnet sich automatisch der AD/LDAP Authentifizierungs Assistent.<br> Andernfalls kann der Assistent mit der Schaltfläche {{Button| Assistent }} gestartet werden.
  | Es muss darauf geachtet werden, dass die [[UTM/NET/Servereinstellungen#Zeiteinstellungen | Uhrzeit der UTM]] mit dem des AD einigermaßen synchron läuft, da ein Kerberos Ticket nur eine begrenzte Gültigkeitsdauer hat.
    | If there is no AD/LDAP authentication yet, the AD/LDAP authentication wizard opens automatically.<br> Otherwise the wizard can be started with the button {{Button|Wizard}}. }}
  | It is important to make sure that the [{{#var:host}}UTM/NET/Servereinstellungen#Time_Settings UTM Time] is reasonably synchronized with the AD, since a Kerberos ticket has a limited validity period. }}
{{var   | Schritt
{{var | utm-in-domäne--authentifizierung
    | Schritt
  | Im Menü {{Menu-UTM|Authentifizierung|AD/LDAP Authentifizierung}} wird die Authentifizierung konfiguriert.
    | Step }}
  | In the menu {{Menu-UTM|Authentication|AD/LDAP Authentication}} the authentication is configured. }}
{{var   | Verzeichnistyp
{{var | ad-verbindung
    | Verzeichnistyp
  | AD Verbindung herstellen
    | Directory type }}
  | Establishing an AD connection }}
{{var   | 1=Verzeichnistyp--Hinweis
{{var | ad-verbindung--text
    | 2=Es sollte auf alle Fälle der Verzeichnistyp <i>»AD«</i> gewählt werden, wenn es sich um eine Active Directory Umgebung handelt.  
  | Besteht noch keine AD/LDAP-Authentifizierung öffnet sich automatisch der AD/LDAP Authentifizierungs Assistent
    | 3=In any case, the directory type <i>»AD«</i> should be selected if it is an Active Directory environment. }}
  | If there is no AD/LDAP authentication yet, the AD/LDAP authentication wizard opens automatically }}
{{var   | Verzeichnistyp--desc
{{var | ad-verbindung--assistent
    | Zwar läuft auch hier ein LDAP, die Gruppenzugehörigkeit wird aber in der AD Umgebung anders behandelt als bei einem reinen LDAP-Server.
  | Andernfalls kann der Assistent mit der Schaltfläche {{Button| Assistent }} gestartet werden.
    | Even there is also running an LDAP, the group membership is treated differently in the AD environment than in a pure LDAP server. }}
  | Otherwise the wizard can be started with the button {{Button| Wizard }} }}
{{var   | schritt-1--bild
{{var | Schritt
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt1.png
  | Schritt
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt1-en.png }}
  | Step }}
{{var   | AD/LDAP Authentifizierungs Assistent
{{var | Verzeichnistyp
    | AD/LDAP Authentifizierungs Assistent
  | Verzeichnistyp
    | AD/LDAP Authentication Wizard }}
  | Directory type }}
{{var   | Weiter
{{var | 1=ad-hinweis
    | Weiter
  | 2=Es sollte auf alle Fälle der Verzeichnistyp <i>»AD«</i> gewählt werden, wenn es sich um eine Active Directory Umgebung handelt.  
    | Next }}
  | 3=In any case, the directory type <i>»AD«</i> should be selected if it is an Active Directory environment. }}
{{var   | Einstellungen
{{var | ad-hinweis--erklärung
    | Einstellungen
  | Zwar läuft auch hier ein LDAP, die Gruppenzugehörigkeit wird aber in der AD Umgebung anders behandelt als bei einem reinen LDAP-Server.
    | Options }}
  | Even there is also running an LDAP, the group membership is treated differently in the AD environment than in a pure LDAP server. }}
{{var   | IP oder Hostname
{{var | schritt-1--bild
    | IP oder Hostname
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt1.png
    | IP Address or Hostname }}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt1-en.png }}
{{var   | IP oder Hostname--desc
{{var | AD/LDAP Authentifizierungs Assistent
    | (Beispiel-Adresse!)
  | AD/LDAP Authentifizierungs Assistent
    | (Example address!) }}
  | AD/LDAP Authentication Wizard }}
{{var   | schritt-2--bild
{{var | Weiter
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt2.png
  | Weiter
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt2-en.png }}
  | Next }}
{{var   | Arbeitsgruppe
{{var | Einstellungen
    | Arbeitsgruppe
  | Einstellungen
    | Workgroup }}
  | Options }}
{{var   | Arbeitsgruppe--desc
{{var | ip
    | Der NETBIOS-Name des AD<br> Sollte dieser von der ''Base Domain'' abweichen, muss hier der korrekte NETBIOS-Name eingetragen werden.
  | IP oder Hostname:
    | The NETBIOS name of the AD<br> If this should differ from the ''base domain'', the correct NETBIOS name must be entered here. }}
  | IP Address or Hostname: }}
{{var   | Appliance Account--desc
{{var | beispiel-adrresse
    | Der Name, unter dem die UTM im AD in der Gruppe ''Computers'' eingetragen wird.<br> Ein eindeutiger Name, der nicht doppelt vergeben werden darf!<br> {{Hinweis-box||g}} Bei Betrieb der UTM im Cluster muss der Name im Master und Spare unterschiedlich sein. Der Name wird nicht synchronisiert!
  | (Beispiel-Adresse!)
    | The name by which the UTM is entered in the AD in the group ''Computers''.<br> A unique name that must not be assigned twice!<br> {{Hinweis-box||g}} When operating the UTM in a cluster, the name in the master and spare must be different. The name is not synchronized! }}
  | (Example address!) }}
{{var   | schritt-3--text
{{var | schritt-2--bild
    | Ist der AD-Server noch nicht als Name-Server eingetragen, wird das in diesem Schritt vorgenommen: {{Button|+ Server hinzufügen}}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt2.png
    | If the AD server is not yet entered as the name server, this is done in this step: {{Button|+ Add Server}} }}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt2-en.png }}
{{var   | IP-Adresse
{{var | Arbeitsgruppe
    | IP-Adresse
  | Arbeitsgruppe:
    | IP address }}
  | Workgroup: }}
{{var   | IP-Adresse--desc
{{var | netbios-name
    | {{Hinweis-box|Beispieladresse!|g}}<br> IP-Adresse eines AD-Servers der Domäne, ggf. zusätzlich der Port.
  | Der NETBIOS-Name des AD<br>Sollte dieser von der ''Base Domain'' abweichen, muss hier der korrekte NETBIOS-Name eingetragen werden.
    | {{Hinweis-box|Sample address!|g}}<br> IP address of an AD server of the domain, if necessary additionally the port }}
  | The NETBIOS name of the AD<br>If this should differ from the ''base domain'', the correct NETBIOS name must be entered here. }}
{{var   | schritt-3--bild
{{var | appliance-account--text
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt3.png
  | Der Name, unter dem die UTM im AD in der Gruppe ''Computers'' eingetragen wird.<br>Ein eindeutiger Name, der nicht doppelt vergeben werden darf!  
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt3-en.png }}
  | The name by which the UTM is entered in the AD in the group ''Computers''.<br>A unique name that must not be assigned twice! }}
{{var   | Speichern
{{var | appliance-account--text--cluster-hinweis
    | Speichern
  | Bei Betrieb der UTM im Cluster muss der Name im Master und Spare unterschiedlich sein. Der Name wird nicht synchronisiert!
    | Save }}
  | When operating the UTM in a cluster, the name in the master and spare must be different. The name is not synchronized! }}
{{var   | Speichern--desc
{{var | schritt-3--text
    | Der AD-Server wird damit als Relay-Zone im Nameserver der UTM hinzugefügt.<br> Der Eintrag ist im Menü {{Menu-UTM|Anwendungen|Nameserver|Zonen}} zu finden.
  | Ist der AD-Server noch nicht als Name-Server eingetragen, wird das in diesem Schritt vorgenommen:
    | The AD server is thus added as a relay zone in the name server of the UTM.<br> The entry can be found in the menu {{Menu-UTM|Applications|Nameserver|Zones}}. }}
  | If the AD server is not yet entered as the name server, this is done in this step: }}
{{var   | Beitreten
{{var | add-server
    | Beitreten
  | Server hinzufügen
    | Join }}
  | Add Server }}
{{var   | Administratorname
{{var | ip-adresse
    | Administratorname
  | IP-Adresse
    | Administrator name }}
  | IP address: }}
{{var   | Administratorname--desc
{{var | Beispieladresse
    | Um der Domäne beizutreten ist ein Benutzer-Konto mit Domain-Administrator-Rechten erforderlich.
  | Beispieladresse!
    | To join the domain, a user account with domain administrator permissions is required. }}
  | Sample address! }}
{{var   | schritt-4--bild
{{var | ip-adresse--text
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt4.png
  | IP-Adresse eines AD-Servers der Domäne, ggf. zusätzlich der Port
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt4-en.png }}
  | IP address of an AD server of the domain, if necessary additionally the port }}
{{var   | Passwort
{{var | schritt-3--bild
    | Passwort
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt3.png
    | Password }}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt3-en.png }}
{{var   | Hinweis beim Clusterbetrieb
{{var | Speichern
    | Hinweis beim Clusterbetrieb
  | Speichern
    | Note for cluster operation }}
  | Save }}
{{var   | Hinweis beim Clusterbetrieb--desc
{{var | ad-server
    | Bei Betrieb der UTM im Cluster muss das Passwort auf der Spare-UTM unter {{Menu-UTM|Authentifizierung|AD/LDAP Authentifizierung|Beitreten}} separat eingegeben werden.<br> <small>Bis auf den {{b|Appliance Account:}} (siehe Schritt 2) werden alle anderen Angaben im Cluster synchronisiert.</small><br> Abschluss mit {{Button| Beitreten}}
  | Der AD-Server wird damit als Relay-Zone im Nameserver der UTM hinzugefügt.</p><p>Der Eintrag ist im Menü {{Menu-UTM|Anwendungen|Nameserver }} im Reiter {{Reiter|Zonen}} zu finden.
    | When operating the UTM in a cluster, the password on the spare UTM must be entered separately under {{Menu-UTM|Authentication|AD/LDAP Authentication|Join }}.<br> <small>Except of the {{b|Appliance Account:}} (see step 2), all other information in the cluster will be synchronized.</small> <br>Complete with {{Button|Join}} }}
  | The AD server is thus added as a relay zone in the name server of the UTM.</p><p>The entry can be found in the menu {{Menu-UTM|Applications|Nameserver }} in the tab {{Reiter|Zones}}. }}
{{var   | Fertig
{{var | Beitreten
    | Fertig
  | Beitreten
    | Finish }}
  | Join }}
{{var  | Ergebnis AD-Anbindung
{{var | Administratorname
    | Ergebnis AD-Anbindung
  | Administratorname:
    | Result of AD connection }}
  | Administratorname: }}
{{var  | Ergebnis AD-Anbindung--desc
{{var | Administratorname--hinweis
    | Ergebnis im Abschnitt {{Kasten|Status}}:
  | Um der Domäne beizutreten ist ein Benutzer-Konto mit Domain-Administrator-Rechten erforderlich.
    | Result in section {{Kasten|Status}}: }}
  | To join the domain, a user account with domain administrator permissions is required. }}
{{var   | aktiviert
{{var | schritt-4--bild
    | Aktiviert
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt4.png
    | Enabled  }}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung_Assistent_Schritt4-en.png }}
{{var   | ad-aktiviert--text
{{var | Passwort
    | Die AD/LDAP Authentifizierung ist aktiviert.
  | Passwort:
    | AD/LDAP authentication is enabled. }}
  | Password: }}
{{var   | ergebnis--bild
{{var | hinweis--cluster
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung.png
  | Hinweis bei Clusterbetrieb
    | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung-en.png }}
  | Note for cluster operation }}
{{var   | Assistent
{{var | ausblenden
    | Assistent
  | ausblenden
    | Wizard }}
  | hide }}
{{var   | Verbindungsstatus
{{var | hinweis--cluster--text
    | Verbindungsstatus:
  | Bei Betrieb der UTM im Cluster muss das Passwort auf der Spare-UTM unter {{Menu-UTM|Authentifizierung|AD/LDAP Authentifizierung|Beitreten}} separat eingegeben werden. </p><small>Bis auf den {{b|Appliance Account:}} (siehe Schritt 2) werden alle anderen Angaben im Cluster synchronisiert.</small> <br>Abschluss mit {{Button| Beitreten}}
    | Connection Status: }}
  | When operating the UTM in a cluster, the password on the spare UTM must be entered separately under {{Menu-UTM|Authentication|AD/LDAP Authentication|Join }}. </p><small>Except of the {{b|Appliance Account:}} (see step 2), all other information in the cluster will be synchronized.</small> <br>Complete with {{Button|Join}} }}
{{var   | Verbindungsstatus--text
{{var | fertig
    | Zur Bestätigung wechselt die Anzeige von grau auf grün.<br/>Aktualisieren mit {{Button| |refresh}}
  | Fertig
    | For confirmation the display changes from grey to green.<br/>Update with {{Button| |refresh}} }}
  | Finish }}
{{var   | Erweiterte-Einstellungen
{{var | ergebnis-ad
    | Erweiterte Einstellungen
  | Ergebnis AD-Anbindung
    | Extended settings }}
  | Result of AD connection }}
{{var   | Erweitert
{{var | ergebnis-ad--text
    | Erweitert
  | Ergebnis im Abschnitt {{ Kasten | Status}} :
    | Extended }}
  | Result in section {{ Kasten | Status}} : }}
{{var   | ssl--text
{{var | aktiviert
    | Die Verbindung zum Active Directory Server kann SSL-Verschlüsselt hergestellt werden.
  | Aktiviert
    | The connection to the Active Directory server can be established using SSL encryption. }}
  | Enabled: }}
{{var   | erweitert--bild
{{var | ad-aktiviert--text
    | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_Erweitert.png
  | Die AD/LDAP Authentifizierung ist aktiviert.
    | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_Erweitert-en.png }}
  | AD/LDAP authentication is enabled. }}
{{var   | erweitert--cap
{{var | ergebnis--bild
    | Erweiterte Einstellungen
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung.png
    | Extended settings }}
  | UTM_12.6_Authentifizierung_AD-LDAP-Authentifizierung-en.png }}
{{var   | WG-Attribute im AD--Bild
{{var | Assistent
    | UTM v12.4 WG-Attribute im AD.png
  | Assistent
    |  }}
  | Wizard }}
{{var | Verbindungsstatus
  | Verbindungsstatus:
  | Connection Status: }}
{{var | Verbindungsstatus--text
  | Zur Bestätigung wechselt die Anzeige von grau auf grün.<br/>Aktualisieren mit {{Button| |refresh}}
  | For confirmation the display changes from grey to green.<br/>Update with {{Button| |refresh}} }}
{{var | Erweiterte-Einstellungen
  | Erweiterte Einstellungen
  | Extended settings }}
{{var | Erweitert
  | Erweitert
  | Extended }}
{{var | ssl--text
  | Die Verbindung zum Active Directory Server kann SSL-Verschlüsselt hergestellt werden.
  | The connection to the Active Directory server can be established using SSL encryption. }}
{{var | erweitert--bild
  | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_Erweitert.png
  | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_Erweitert-en.png }}
{{var | erweitert--cap
  | Erweiterte Einstellungen
  | Extended settings }}
{{var | WG-Attribute im AD--Bild
| UTM v12.4 WG-Attribute im AD.png
|  }}
{{var | WG-Attribute im AD--cap
{{var | WG-Attribute im AD--cap
| Reiter ''Attribut-Editor'' der Benutzereigenschaften im AD <br>mit Beispielwerten für WireGuard<br>&emsp;
| Reiter ''Attribut-Editor'' der Benutzereigenschaften im AD <br>mit Beispielwerten für WireGuard<br>&emsp;
| Attribute Editor tab of the user properties in AD <br>with example values for WireGuard<br>&emsp; }}
| Attribute Editor tab of the user properties in AD <br>with example values for WireGuard<br>&emsp; }}
{{var | erweitert2--bild
{{var   | erweitert2--bild
  | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_AD-Attribute.png
    | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_AD-Attribute.png
  | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_AD-Attribute-en.png }}
    | UTM_v12.6_Authentifizierung_AD-LDAP-Authentifizierung_AD-Attribute-en.png }}
{{var | erweitert2--cap
{{var   | erweitert2--cap
  | Namen der verwendeten Attribute aus dem AD
    | Namen der verwendeten Attribute aus dem AD
  | Names of the attributes used from the AD }}
    | Names of the attributes used from the AD }}
{{var | ldap--hinweis
{{var   | ldap--hinweis
  | Hinweis zur LDAP-Verschlüsselung
    | Hinweis zur LDAP-Verschlüsselung
  | Note on LDAP Encryption }}
    | Note on LDAP Encryption }}
{{var | ldap-verschlüsselung--automatisch--separat
{{var   | ldap-verschlüsselung--automatisch--separat
  | bestehende und neue Verbindungen werden separat verschlüsselt und signiert (''seal'')
    | bestehende und neue Verbindungen werden separat verschlüsselt und signiert (''seal'')
  | existing and new connections are encrypted and signed separately }}
    | existing and new connections are encrypted and signed separately }}
{{var | ldap-verschlüsselung--automatisch--ssl
{{var   | ldap-verschlüsselung--automatisch--ssl
  | bei Aktivierung von SSL wird keine zusätzliche Verschlüsselung angewendet.
    | bei Aktivierung von SSL wird keine zusätzliche Verschlüsselung angewendet.
  | if SSL is activated, no additional encryption is applied }}
    | if SSL is activated, no additional encryption is applied }}
{{var | Root-Zertifikat
{{var   | Root-Zertifikat
  | Root-Zertifikat
    | Root-Zertifikat
  | Root certificate }}
    | Root certificate }}
{{var | Zertifikat
{{var   | Zertifikat
  | Zertifikat
    | Zertifikat
  | Certificate }}
    | Certificate }}
{{var | Zertifikat--text
{{var   | Zertifikat--text
  | Es kann ein Root-Zertifikat hinterlegt werden.  
    | Es kann ein Root-Zertifikat hinterlegt werden.  
  | A root certificate can be deposited. }}
    | A root certificate can be deposited. }}
{{var | LDAP-Filter--desc
{{var   | LDAP-Filter--desc
  | Schränkt die Authentisierung auf Mitglieder der folgenden Gruppen ein: {{info|Weitere Filter sind möglich}}
    | Schränkt die Authentisierung auf Mitglieder der folgenden Gruppen ein: {{info|Weitere Filter sind möglich}}
* 268435456 (→ Gruppen, SAM_ALIAS_OBJECT 0x20000000)
* 268435456 (→ Gruppen, SAM_ALIAS_OBJECT 0x20000000)
* 268435457 (→ Nicht Sicherheits-Gruppen, SAM_NON_SECURITY_ALIAS_OBJECT 0x20000001)
* 268435457 (→ Nicht Sicherheits-Gruppen, SAM_NON_SECURITY_ALIAS_OBJECT 0x20000001)
* 805306368 (→ Benutzer Konten, SAM_USER_OBJECT 0x30000000)
* 805306368 (→ Benutzer Konten, SAM_USER_OBJECT 0x30000000)
  | Restricts authentication to members of the following groups: {{info|Further filters are possible}}
    | Restricts authentication to members of the following groups: {{info|Further filters are possible}}
* 268435456 (→ Groups, SAM_ALIAS_OBJECT 0x20000000)
* 268435456 (→ Groups, SAM_ALIAS_OBJECT 0x20000000)
* 268435457 (→ Non Security Groups, SAM_NON_SECURITY_ALIAS_OBJECT 0x20000001)
* 268435457 (→ Non Security Groups, SAM_NON_SECURITY_ALIAS_OBJECT 0x20000001)
* 805306368 (→ User Accounts, SAM_USER_OBJECT 0x30000000) }}
* 805306368 (→ User Accounts, SAM_USER_OBJECT 0x30000000) }}
{{var | User-Attribute
{{var   | User-Attribute--text
  | User-Attribute
    | Es können Attribute definiert werden, unter denen die AD Verwaltung die Informationen zum Benutzer speichert und die dann von der UTM abgefragt werden können:
  | User-Attribute:  }}
    | Attributes can be defined under which the AD administration stores the user information and which can then be queried by the UTM: }}
{{var | User-Attribute--text
{{var   | Mail-Attribute--text
  | Es können Attribute definiert werden, unter denen die AD Verwaltung die Informationen zum Benutzer speichert und die dann von der UTM abgefragt werden können:
    | Die Attribute von ''OTP'' bis ''Cert-Attribute'', die hier eingetragen sind, existieren in der Regel nicht im AD.<br>Um zum Beispiel den OTP-Geheimcode auf dem AD zu hinterlegen, kann ein ungenutztes Attribut des AD Schemas verwendet werden, der diesen Geheimcode des Benutzers enthält.<br> Eine entsprechende Anleitung befindet sich im Artikel [[UTM/AUTH/OTP-AD | Einbinden der OTP Funktion in das Active Directory]].
  | Attributes can be defined under which the AD administration stores the user information and which can then be queried by the UTM: }}
    | The attributes from OTP to Cert-Attribute, which are entered here, usually do not exist in the AD.<br> For example, to store the OTP secret code on the AD, an unused attribute of the AD schema can be used, which contains this secret code of the user.<br> A corresponding instruction can be found in the article [{{#var:host}}UTM/AUTH/OTP-AD Integrating the OTP function into the Active Directory]. }}
{{var | Mail-Attribute
{{var   | page-size--desc
  | Mail-Attribute
    | In größeren Umgebungen kann es vorkommen, dass bei LDAP-Anfragen die serverseitig festgelegte, maximale Anzahl von Datensätzen (im AD sind es 1000) überschritten wird.<br> Mit Page Size kann eingestellt werden das die LDAP-Abfrage stückweise ausgeführt wird.<br> Eine Page Size von 500 bedeutet 500 Datensätze pro Abfrage. Die Page Size von 0 deaktiviert eine schrittweise LDAP-Abfrage.
  | Mail-Attribute }}
    | In larger environments, LDAP requests may exceed the maximum number of records defined on the server side (1000 in AD). With Page Size you can set that the LDAP query is executed piecewise. A page size of 500 means 500 data records per query. A page size of 0 deactivates a step-by-step LDAP query. }}
{{var | Mail-Attribute--text
{{var   | AD Benutzergruppen Berechtigungen erteilen
  | Die Attribute von ''OTP'' bis ''Cert-Attribute'', die hier eingetragen sind, existieren in der Regel nicht im AD.<br>Um zum Beispiel den OTP-Geheimcode auf dem AD zu hinterlegen, kann ein ungenutztes Attribut des AD Schemas verwendet werden, der diesen Geheimcode des Benutzers enthält.<br>Eine entsprechende Anleitung befindet sich im Artikel [[UTM/AUTH/OTP-AD | Einbinden der OTP Funktion in das Active Directory]].
    | AD Benutzergruppen Berechtigungen erteilen
  | The attributes from OTP to Cert-Attribute, which are entered here, usually do not exist in the AD.<br>For example, to store the OTP secret code on the AD, an unused attribute of the AD schema can be used, which contains this secret code of the user.<br>A corresponding instruction can be found in the article [{{#var:host}}UTM/AUTH/OTP-AD Integrating the OTP function into the Active Directory]. }}
    | AD Grant permissions to user groups }}
{{var | page-size--desc
{{var   | ad-benutzergruppen-berechtigungen--bild
  | In größeren Umgebungen kann es vorkommen, dass bei LDAP-Anfragen die serverseitig festgelegte, maximale Anzahl von Datensätzen (im AD sind es 1000) überschritten wird.<br>Mit Page Size kann eingestellt werden das die LDAP-Abfrage stückweise ausgeführt wird.<br>Eine Page Size von 500 bedeutet 500 Datensätze pro Abfrage. Die Page Size von 0 deaktiviert eine schrittweise LDAP-Abfrage.
    | UTM_12.6_Authentifizierung_Benutzer_Gruppe-CLientlessvpn.png
  | In larger environments, LDAP requests may exceed the maximum number of records defined on the server side (1000 in AD). With Page Size you can set that the LDAP query is executed piecewise. A page size of 500 means 500 data records per query. A page size of 0 deactivates a step-by-step LDAP query. }}
    | UTM_12.6_Authentifizierung_Benutzer_Gruppe-CLientlessvpn-en.png }}
{{var | ad-benutzergruppen-berechtigungen
{{var   | ad-benutzergruppen-berechtigungen--bild--cap
  | AD Benutzergruppen Berechtigungen erteilen
    | Gruppen Berechtigungen
  | AD Grant permissions to user groups }}
    | Group permissions }}
{{var | ad-benutzergruppen-berechtigungen--bild
{{var   | Gruppe hinzufügen
  | UTM_12.6_Authentifizierung_Benutzer_Gruppe-CLientlessvpn.png
    | Gruppe hinzufügen
  | UTM_12.6_Authentifizierung_Benutzer_Gruppe-CLientlessvpn-en.png }}
    | Add Group }}
{{var | ad-benutzergruppen-berechtigungen--bild--cap
{{var   | Benutzer
  | Gruppen Berechtigungen
    | Benutzer
  | Group permissions }}
    | User }}
{{var | Gruppe hinzufügen
{{var   | ad-benutzergruppen-berechtigungen--desc
  | Gruppe hinzufügen
    | Um den Benutzern aus dem Active Directory die Berechtigungen für den Zugriff auf das User-Interface der UTM und der Nutzung des Clientless VPN zu erteilen, wird im Menü {{Menu-UTM|Authentifizierung|Benutzer}} Bereich {{Kasten|Gruppen}} Schaltfläche {{Button|Gruppe hinzufügen|+}} eine Gruppe mit eben diesen Berechtigungen angelegt.
  | Add Group }}
    | To grant users from the Active Directory the permissions for accessing the UTM user interface and using the Clientless VPN, a group with exactly these permissions is created in the {{Menu-UTM|Authentication|User}} Area {{Kasten|Groups}} Button {{Button|Add Group|+}} menu. }}
{{var | Benutzer
{{var   | Aktiv
  | Benutzer
    | Aktiv
  | User }}
    | Active }}
{{var | ad-benutzergruppen-berechtigungen--desc
{{var   | Berechtigung
  | Um den Benutzern aus dem Active Directory die Berechtigungen für den Zugriff auf das User-Interface der UTM und der Nutzung des Clientless VPN zu erteilen, wird im Menü {{Menu-UTM|Authentifizierung|Benutzer}} Bereich {{Kasten|Gruppen}} Schaltfläche {{Button|Gruppe hinzufügen|+}} eine Gruppe mit eben diesen Berechtigungen angelegt.
    | Berechtigung
  | To grant users from the Active Directory the permissions for accessing the UTM user interface and using the Clientless VPN, a group with exactly these permissions is created in the {{Menu-UTM|Authentication|User}} Area {{Kasten|Groups}} Button {{Button|Add Group|+}} menu. }}
    | Permissions }}
{{var | Aktiv
{{var   | Hinweis
  | Aktiv
    | Hinweis
  | Active }}
    | Note }}
{{var | Berechtigung
{{var   | benutzergruppe-auswählen
  | Berechtigung
    | UTM_12.6_Authentifizierung_Gruppe-hinzufügen_Verzeichnisdienst.png
  | Permissions }}
    | UTM_12.6_Authentifizierung_Gruppe-hinzufügen_Verzeichnisdienst-en.png }}
{{var | Hinweis
{{var   | benutzergruppe-auswählen--cap
  | Hinweis
    | Benutzergruppe aus AD auswählen
  | Note }}
    | Select user group from AD }}
{{var | benutzergruppe-auswählen
{{var   | benutzergruppe-auswählen--text
  | UTM_12.6_Authentifizierung_Gruppe-hinzufügen_Verzeichnisdienst.png
    | Im Bereich {{Kasten|Verzeichnis Dienst}} kann jetzt die entsprechende Gruppe aus dem Active Directory ausgewählt und zugeordnet werden.<br> Weitere Informationen über Clientless VPN Berechtigungen befindet sich in dem Wiki zu [[UTM/VPN/ClientlessVPN#Zuweisen_der_Gruppe | Clientless VPN]].
  | UTM_12.6_Authentifizierung_Gruppe-hinzufügen_Verzeichnisdienst-en.png }}
    | In the area {{Kasten|Directory Service}} the corresponding group from the Active Directory can now be selected and assigned.<br> Further information about Clientless VPN permissions can be found in the wiki for [{{#var:host}}UTM/VPN/ClientlessVPN#Assign_to_the_group Clientless VPN]. }}
{{var | benutzergruppe-auswählen--cap
{{var   | Ergebnis
  | Benutzergruppe aus AD auswählen
    | Ergebnis
  | Select user group from AD }}
    | Result }}
{{var | benutzergruppe-auswählen--text
{{var   | Ergebnis--desc
  | Im Bereich {{Kasten|Verzeichnis Dienst}} kann jetzt die entsprechende Gruppe aus dem Active Directory ausgewählt und zugeordnet werden.<p>Weitere Informationen über Clientless VPN Berechtigungen befindet sich in dem Wiki zu [[UTM/VPN/ClientlessVPN#Zuweisen_der_Gruppe | Clientless VPN]].</p>
    | Nach dem Speichern kann sich jeder Benutzer, der Mitglied in der AD Gruppe ''ClientlessVPN'' ist, mit seinen Windows Domänen Zugangsdaten für die Nutzung des Clientless VPN auf der UTM anmelden.
  | In the area {{Kasten|Directory Service}} the corresponding group from the Active Directory can now be selected and assigned.<p> Further information about Clientless VPN permissions can be found in the wiki for [{{#var:host}}UTM/VPN/ClientlessVPN#Assign_to_the_group Clientless VPN].</p> }}
    | After saving, every user who is a member of the AD group ''ClientlessVPN'' can log on to the UTM with their Windows domains access data for using the Clientless VPN. }}
{{var | Ergebnis
{{var   | Überprüfen der AD Anbindung mit CLI
  | Ergebnis
    | Überprüfen der AD Anbindung mit CLI
  | Result }}
    | Verifying the AD connection with CLI }}
{{var | Ergebnis--text
{{var   | Überprüfen der AD Anbindung mit CLI--desc
  | Nach dem Speichern kann sich jeder Benutzer, der Mitglied in der AD Gruppe ''ClientlessVPN'' ist, mit seinen Windows Domänen Zugangsdaten für die Nutzung des Clientless VPN auf der UTM anmelden.
    | Über CLI (Command Line Interface) Kommandos lässt sich verschiedenes über die Active Directory Anbindung und Benutzer überprüfen.{{Hinweis-box|Hinweis:}} Erfolgt die Eingabe (Bildschirm und Tastatur) direkt an der UTM  lautet der Eingabe-Prompt der Firewall z. B.: ''firewall.foo.local>'' bzw. entsprechend der lokalen Konfiguration. Bei Aufruf über das User-Interface mit dem Menü {{Menu-UTM|Extras|CLI}} lautet der Prompt ''CLI>''Dahinter befindet sich das CLI Kommando.<br>Bei den Zeilen darunter handelt es sich um die Ausgabe der UTM zu diesem Befehl.
  | After saving, every user who is a member of the AD group ''ClientlessVPN'' can log on to the UTM with their Windows domains access data for using the Clientless VPN. }}
    | CLI (Command Line Interface) commands can be used to check various things about the Active Directory connection and users.{{Hinweis-box|Note:}} If the input (screen and keyboard) is made directly at the UTM, the input prompt of the firewall is e. g.: ''firewall.foo.local>'' or according to the local configuration. When called from the user interface with the {{Menu-UTM|Extras|CLI}} menu, the prompt is ''CLI>''. This is followed by the CLI command.<br> The lines below are the output of the UTM for this command. }}
{{var | ad-test-cli
{{var   | ad-beitreten
  | Überprüfen der AD Anbindung mit CLI
    | Beitreten und Verlassen der Domäne
  | Verifying the AD connection with CLI }}
    | Joining and leaving the domain }}
 
{{var   | ad-beitreten--text
{{var | ad-test-cli--text
    | Um zu überprüfen ob die UTM schon der Domäne beigetreten ist:
  | Über CLI (Command Line Interface) Kommandos lässt sich verschiedenes über die Active Directory Anbindung und Benutzer überprüfen.{{Hinweis-box|Hinweis:}} Erfolgt die Eingabe (Bildschirm und Tastatur) direkt an der UTM  lautet der Eingabe-Prompt der Firewall z. B.: ''firewall.foo.local>'' bzw. entsprechend der lokalen Konfiguration. Bei Aufruf über das User-Interface mit dem Menü {{Menu-UTM|Extras|CLI}} lautet der Prompt ''CLI>''Dahinter befindet sich das CLI Kommando.<br>Bei den Zeilen darunter handelt es sich um die Ausgabe der UTM zu diesem Befehl.
    | To validate whether the UTM has already joined the domain: }}
  | CLI (Command Line Interface) commands can be used to check various things about the Active Directory connection and users.{{Hinweis-box|Note:}} If the input (screen and keyboard) is made directly at the UTM, the input prompt of the firewall is e. g.: ''firewall.foo.local>'' or according to the local configuration. When called from the user interface with the {{Menu-UTM|Extras|CLI}} menu, the prompt is ''CLI>''. This is followed by the CLI command.<br> The lines below are the output of the UTM for this command. }}
{{var   | ad-beitreten--text--alternativ
 
    | Sollte das nicht der Fall sein, erfolgt die Ausgabe
{{var | ad-beitreten
    | If this is not the case, the following output will take place }}
  | Beitreten und Verlassen der Domäne
{{var   | ad-beitreten--alternativ--comand
  | Joining and leaving the domain }}
    | In diesem Fall kann der Domäne mit dem folgenden Kommando beigetreten werden
{{var | ad-beitreten--text
    | In this case the domain can be joined with the following command }}
  | Um zu überprüfen ob die UTM schon der Domäne beigetreten ist:
{{var   | ad-beitreten--command-verlassen
  | To validate whether the UTM has already joined the domain: }}
    | Das Kommando um die Domäne zu verlassen lautet
{{var | ad-beitreten--text--alternativ
    | The command to leave the domain is }}
  | Sollte das nicht der Fall sein, erfolgt die Ausgabe
{{var   | ad-beitreten--passwort
  | If this is not the case, the following output will take place }}
    | Beim Beitreten bzw. Verlassen des Active Directories ist die Angabe des Administratorpasswortes notwendig. Das Passwort wird nicht gespeichert, die AD-Zugehörigkeit ist trotzdem Reboot fest.
{{var | ad-beitreten--alternativ--comand
    | When entering or leaving the Active Directory, the administrator password must be entered. The password is not stored, but the AD membership is nevertheless rebootable. }}
  | In diesem Fall kann der Domäne mit dem folgenden Kommando beigetreten werden
{{var   | AD Gruppen anzeigen
  | In this case the domain can be joined with the following command }}
    | AD Gruppen anzeigen
{{var | ad-beitreten--command-verlassen
    | Display AD groups }}
  | Das Kommando um die Domäne zu verlassen lautet
{{var   | AD Gruppen anzeigen--desc
  | The command to leave the domain is }}
    | Mit dem folgenden Kommando können die Gruppen im Active Directory aufgelistet werden:
{{var | ad-beitreten--passwort
    | With the following command the groups can be listed in the Active Directory: }}
  | Beim Beitreten bzw. Verlassen des Active Directories ist die Angabe des Administratorpasswortes notwendig. Das Passwort wird nicht gespeichert, die AD-Zugehörigkeit ist trotzdem Reboot fest.
{{var   | ad-zugehörigkeit
  | When entering or leaving the Active Directory, the administrator password must be entered. The password is not stored, but the AD membership is nevertheless rebootable. }}
    | Überprüfen der Benutzer und Gruppenzugehörigkeit
{{var | ad-zeigen
    | Verification of users and group membership }}
  | AD Gruppen anzeigen
{{var   | ad-zugehörigkeit--text
  | Display AD groups }}
    | Das folgende Kommando überprüft, ob ein ''AD-Benutzer'' einer ''UTM Gruppe'' zugeordnet ist:
{{var | ad-zeigen--text
    | The following command checks whether an ''AD user'' is assigned to an ''UTM group'': }}
  | Mit dem folgenden Kommando können die Gruppen im Active Directory aufgelistet werden:
{{var   | ad-zugehörigkeit--no-member
  | With the following command the groups can be listed in the Active Directory: }}
    | Sollte das nicht der Fall sein erfolgt die Ausgabe
{{var | ad-zugehörigkeit
    | If this is not the case, the output is }}
  | Überprüfen der Benutzer und Gruppenzugehörigkeit
{{var   | ad-zugehörigkeit--gruppe
  | Verification of users and group membership }}
    | Befehl, um zu einem AD-Benutzer die Gruppenzugehörigkeit und Berechtigungen aus zugegeben:
{{var | ad-zugehörigkeit--text
    | Command to display the group membership and permissions for an AD user: }}
  | Das folgende Kommando überprüft, ob ein ''AD-Benutzer'' einer ''UTM Gruppe'' zugeordnet ist:
{{var   | dc-hinters2s
  | The following command checks whether an ''AD user'' is assigned to an ''UTM group'': }}
    | Domain-Controller hinter Site-to-Site-VPN
{{var | ad-zugehörigkeit--no-member
    | Domain controller behind site-to-site VPN }}
  | Sollte das nicht der Fall sein erfolgt die Ausgabe
{{var   | dc-hinters2s--text
  | If this is not the case, the output is }}
    | In manchen Szenarien befindet sich der Domain-Controller hinter einem Site-to-Site-VPN-Tunnel. <br>Ist dies der Fall, muss eine entsprechende Zone und eine Regel konfiguriert werden.  
{{var | ad-zugehörigkeit--gruppe
    | In some scenarios, the domain controller is located behind a site-to-site VPN tunnel. <br>If this is the case, a corresponding zone and rule must be configured. }}
  | Befehl, um zu einem AD-Benutzer die Gruppenzugehörigkeit und Berechtigungen aus zugegeben:
{{var   | dc-hinters2s--hinweis
  | Command to display the group membership and permissions for an AD user: }}
    | Achtung: Für einen Beitritt in ein Active-Directory, das sich hinter einem VPN-Tunnel befindet, werden in der NAT-Regel Richtung Domain-Controller neben den DNS-Ports die LDAP-Ports benötigt.
{{var | dc-hinters2s
    | Attention: To join an active directory located behind a VPN tunnel, the LDAP ports are required in the NAT rule towards the domain controller in addition to the DNS ports. }}
  | Domain-Controller hinter Site-to-Site-VPN
{{var   | 1=groups--permissions
  | Domain controller behind site-to-site VPN }}
    | 2=Die Berechtigungen zu den in der UTM enthaltenen Diensten können in Gruppen verwaltet werden. Die Benutzer, die diesen Gruppen zugeordnet werden sollen, müssen zunächst entsprechenden Benutzergruppen im AD zugeordnet werden.
{{var | dc-hinters2s--text
    | 3=The authorizations for the services contained in the UTM can be managed in groups. The users to be assigned to these groups must first be assigned to corresponding user groups in AD. }}
  | In manchen Szenarien befindet sich der Domain-Controller hinter einem Site-to-Site-VPN-Tunnel. <br>Ist dies der Fall, muss eine entsprechende Zone und eine Regel konfiguriert werden.  
  | In some scenarios, the domain controller is located behind a site-to-site VPN tunnel. <br>If this is the case, a corresponding zone and rule must be configured. }}
{{var | dc-hinters2s--hinweis
  | Achtung: Für einen Beitritt in ein Active-Directory, das sich hinter einem VPN-Tunnel befindet, werden in der NAT-Regel Richtung Domain-Controller neben den DNS-Ports die LDAP-Ports benötigt.
  | Attention: To join an active directory located behind a VPN tunnel, the LDAP ports are required in the NAT rule towards the domain controller in addition to the DNS ports. }}
{{var | 1=groups--permissions
  | 2=<p>Die Berechtigungen zu den in der UTM enthaltenen Diensten können in Gruppen verwaltet werden. Die Benutzer, die diesen Gruppen zugeordnet werden sollen, müssen zunächst entsprechenden Benutzergruppen im AD zugeordnet werden.</p>
  | 3=<p>The authorizations for the services contained in the UTM can be managed in groups. The users to be assigned to these groups must first be assigned to corresponding user groups in AD.</p> }}
{{var | neu--alle-dcs
  | Ab 11.8.10: Verwendung sämtlicher DCs für LDAP Anfragen
  | As of 11.8.10: Use of all DCs for LDAP requests  }}
{{var | neu--alle-dcs--desc
  | Ab Version 11.8.10 wird nicht nur der PDC, sondern '''sämtliche''' DCs für LDAP Anfragen verwendet. Somit steht die Authentifizierung für Benutzer aus dem AD auch zu Verfügung, wenn der PDC nicht erreichbar ist.
  | Starting with version 11.8.10, not only the PDC, but '''all''' DCs are used for LDAP requests. Thus, authentication for users from the AD is available even if the PDC is not reachable. }}
{{var | dc-hinters2s--Link
{{var | dc-hinters2s--Link
| Siehe auch [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_IPSec_Site-to-Site_Tunnel | DNS-Relay bei IPSec-S2S]] &#8214; [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | DNS-Relay bei SSL (OpenVPN) -S2S]]
| Siehe auch [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_IPSec_Site-to-Site_Tunnel | DNS-Relay bei IPSec-S2S]] &#8214; [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | DNS-Relay bei SSL (OpenVPN) -S2S]] &#8214; [[UTM/VPN/DNS_Relay#DNS_Relay_für_einen_WireGuard_Site-to-Site_Tunnel | DNS-Relay bei WireGuard-S2S]]
| See also [{{#var:host}}UTM/VPN/DNS_Relay#DNS_Relay_for_an_IPSec_Site-to-Site_Tunnel DNS-Relay for IPSec-S2S] &#8214;
| See also [{{#var:host}}UTM/VPN/DNS_Relay#DNS_Relay_for_an_IPSec_Site-to-Site_Tunnel DNS-Relay for IPSec-S2S] &#8214;
[{{#var:host}}UTM/VPN/DNS_Relay#DNS_Relay_for_an_OpenVPN_Site-to-Site_Tunnel DNS-Relay for SSL (OpenVPN) -S2S] }}
[{{#var:host}}UTM/VPN/DNS_Relay#DNS_Relay_for_an_OpenVPN_Site-to-Site_Tunnel DNS-Relay for SSL (OpenVPN) -S2S] &#8214; [{{#var:host}}UTM/VPN/DNS_Relay#DNS_Relay_für_einen_WireGuard_Site-to-Site_Tunnel DNS-Relay for WireGuard-S2S] }}
{{var | WireGuard-Attribute (IPv4)--desc
{{var | WireGuard-Attribute (IPv4)--desc
| Das AD Attribut der IPv4-Adresse der WireGuard-Verbindung
| Das AD Attribut der IPv4-Adresse der WireGuard-Verbindung
Zeile 409: Zeile 358:
| Konfiguration der WireGuard Windows-AD Verknüpfung anzeigen
| Konfiguration der WireGuard Windows-AD Verknüpfung anzeigen
| Show configuration of the WireGuard Windows-AD shortcut }}
| Show configuration of the WireGuard Windows-AD shortcut }}
{{var | Konfiguration WireGuard AD--hide
| Konfiguration der WireGuard Windows-AD Verknüpfung ausblenden
| Hide the configuration of the WireGuard Windows-AD shortcut }}
{{var | WireGuard AD Verknüpfung
{{var | WireGuard AD Verknüpfung
| * Einen Wireguard Peer auf der UTM anlegen
|  
* Einen Wireguard Peer auf der UTM anlegen
* Eine Usergruppe auf dem AD anlegen, wodurch die Benutzer WireGuard nutzen können
* Eine Usergruppe auf dem AD anlegen, wodurch die Benutzer WireGuard nutzen können
* Die benötigten Wireguard Attribute in ein AD Attribut der Benutzer eintragen (zum Beispiel die ''extensionAttribute#'')
* Die benötigten Wireguard Attribute in ein AD Attribut der Benutzer eintragen (zum Beispiel die ''extensionAttribute#'')
Zeile 420: Zeile 367:
* Die entsprechenden Verknüpfungen werden automatisch beim nächsten AD-Sync hinzugefügt
* Die entsprechenden Verknüpfungen werden automatisch beim nächsten AD-Sync hinzugefügt
* Wird ein neues Attribute den Usern hinzugefügt, werden diese auch beim nächsten Sync übernommen
* Wird ein neues Attribute den Usern hinzugefügt, werden diese auch beim nächsten Sync übernommen
| * Create a Wireguard peer on the UTM
|  
* Create a Wireguard peer on the UTM
* Create a user group on the AD, which allows the users to use WireGuard
* Create a user group on the AD, which allows the users to use WireGuard
* Enter the required Wireguard attributes into an AD attribute of the users (for example the ''extensionAttribute#'')
* Enter the required Wireguard attributes into an AD attribute of the users (for example the ''extensionAttribute#'')
Zeile 427: Zeile 375:
* The corresponding connections will be added automatically during the next AD sync
* The corresponding connections will be added automatically during the next AD sync
* If a new attribute is added to the users, these are also taken over at the next sync }}
* If a new attribute is added to the users, these are also taken over at the next sync }}
 
{{var | UTM mit Entra ID anbinden
{{var | UTM Azure AD
| UTM mit Entra ID anbinden
| UTM mit Azure AD anbinden
| Connect UTM with Entra ID }}
| Connect UTM with Azure AD }}
{{var | UTM mit Entra ID anbinden--desc
{{var | UTM Azure AD--desc
| Um Entra ID (ehemals Azure AD) nutzen zu können, sind konfigurierte Azure Apps notwendig.  
| Um Azure AD nutzen zu können, sind konfigurierte Azure Apps notwendig.  
| In order to use Entra ID (former Azure AD), configured Azure Apps are required. }}
| In order to use Azure AD, configured Azure Apps are required. }}
{{var | Konfiguration Azure Apps anzeigen
{{var | Konfiguration Azure Apps anzeigen
| Konfiguration Azure Apps anzeigen
| Konfiguration Azure Apps anzeigen
| View Azure Apps configuration }}
| View Azure Apps configuration }}
{{var | Azure AD Verbindung herstellen
{{var | Entra ID Verbindung herstellen
| Azure AD Verbindung herstellen
| Entra ID Verbindung herstellen
| Establish Azure AD connection }}
| Establish Azure AD connection }}
{{var | Azure AD Verbindung herstellen--desc
{{var | Entra ID Verbindung herstellen--desc
| Besteht noch keine AD/LDAP-Authentifizierung öffnet sich automatisch der AD/LDAP Authentifizierung Assistent.<br>Andernfalls kann der Assistent mit der Schaltfläche {{Button|Assistent}} gestartet werden.
| Besteht noch keine AD/LDAP-Authentifizierung öffnet sich automatisch der AD/LDAP Authentifizierung Assistent.<br> Andernfalls kann der Assistent gestartet werden.
| If there is no AD/LDAP authentication yet, the AD/LDAP Authentication Wizard opens automatically.<br>Otherwise, the wizard can be started with the {{Button|Wizard}} button. }}
| If there is no AD/LDAP authentication yet, the AD/LDAP Authentication Wizard opens automatically.<br >Otherwise, the wizard can be started. }}
{{var | Azure AD
| Azure AD - Microsoft Azure Active Directory
| Azure AD - Microsoft Azure Active Directory }}
{{var | Azure AD Schritt 1--Bild
{{var | Azure AD Schritt 1--Bild
| UTM_v12.6_AD-LDAP-Authentifizierung_Assistent_Azure-AD_Schritt1.png
| UTM v12.7.0 Authentifizierung AD_LDAP Entra ID.png
| UTM_v12.6_AD-LDAP-Authentifizierung_Assistent_Azure-AD_Schritt1-en.png }}
| UTM v12.7.0 Authentifizierung AD_LDAP Entra ID-en.png }}
{{var | Verzeichnistyp--desc
{{var | Verzeichnistyp--desc
| Azure AD als Verzeichnistyp auswählen
| Entra ID als Verzeichnistyp auswählen
| Select Azure AD as directory type }}
| Select Entra ID as directory type }}
{{var | Azure AD Schritt 2--Bild
{{var | Azure AD Schritt 2--Bild
| UTM_v12.6_AD-LDAP-Authentifizierung_Assistent_Azure-AD_Schritt2.png
| UTM_v12.6_AD-LDAP-Authentifizierung_Assistent_Azure-AD_Schritt2.png
Zeile 459: Zeile 403:
| Directory-ID (Client-ID): }}
| Directory-ID (Client-ID): }}
{{var | Verzeichnis-ID--desc
{{var | Verzeichnis-ID--desc
| Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung im Azure AD
| Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung in Entra ID
| Directory-ID (Client-ID) from the app registration in Azure AD }}
| Directory-ID (Client-ID) from the app registration in Entra ID }}
{{var | Passwort anzeigen
{{var | Passwort anzeigen
| Der eingetragene Wert wird angezeigt
| Der eingetragene Wert wird angezeigt
Zeile 468: Zeile 412:
| Application-ID (Client-ID): }}
| Application-ID (Client-ID): }}
{{var | Anwendungs-ID--desc
{{var | Anwendungs-ID--desc
| Anwendungs-ID (Client-ID) aus der App-Registrierung im Azure AD
| Anwendungs-ID (Client-ID) aus der App-Registrierung in Entra ID
| Application-ID (Client-ID) from the app registry in Azure AD. }}
| Application-ID (Client-ID) from the app registry in Entra ID. }}
{{var | Geheimer Wert
{{var | Geheimer Wert
| Geheimer Wert:
| Geheimer Wert
| Secret value: }}
| Secret value }}
{{var | Geheimer Wert--desc
{{var | Geheimer Wert--desc
| Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse des Azure ADs
| Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse der Entra ID
| Value of the secret client key from the Certificates & Secrets section of Azure AD. }}
| Value of the secret client key from the Certificates & Secrets section of Entra ID. }}
{{var | Ergebnis Azure AD-Anbindung
{{var | Ergebnis Entra ID-Anbindung
| Ergebnis Azure AD-Anbindung
| Ergebnis Entra ID-Anbindung
| Result Azure AD Connection }}
| Result Entra ID Connection }}
{{var | Status
| Status
| Status }}
{{var | Status Azure AD--Bild
{{var | Status Azure AD--Bild
| UTM_v12.6_AD-LDAP-Authentifizierung_Azure-AD.png
| UTM v12.7.0 Authentifizierung AD_LDAP Status Entra ID.png
| UTM_v12.6_AD-LDAP-Authentifizierung_Azure-AD-en.png }}
| UTM v12.7.0 Authentifizierung AD_LDAP Status Entra ID-en.png }}
{{var | aktiviert Azure--desc
{{var | aktiviert Azure--desc
| Die Azure AD Authentifizierung ist aktiviert
| Die Entra ID Authentifizierung ist aktiviert
| Azure AD authentication is enabled }}  
| Entra ID authentication is enabled }}  
{{var | Verbindungsstatus Azure--desc
{{var | Verbindungsstatus Azure--desc
| Zur Bestätigung wechselt die Anzeige von grau auf grün.
| Zur Bestätigung wechselt die Anzeige von grau auf grün.
Zeile 497: Zeile 438:
| Der eingestellte Verzeichnistyp
| Der eingestellte Verzeichnistyp
| The set directory type }}
| The set directory type }}
 
{{var | Erweitert--desc
{{var | AD-Attribute Flag confidential
| AD-Attribute können bestimmte Berechtigungen gegeben werden. So kann konfiguriert werden, wer diese einsehen kann. Beispielsweise können diese dann nicht durch einen LDAP-Search ausgelesen werden. Diese AD-Attribute werden mit dem Flag "'''confidential'''" markiert.
| AD-Attribute können bestimmte Berechtigungen gegeben werden. So kann konfiguriert werden, wer diese einsehen kann. Beispielsweise können diese dann nicht durch einen LDAP-Search ausgelesen werden. Diese AD-Attribute werden mit dem Flag "'''confidential'''" markiert.
| AD attributes can be given certain authorizations. This allows you to configure who can view them. For example, they cannot be read by an LDAP search. These AD attributes are marked with the "'''confidential''''" flag. }}
| AD attributes can be given certain authorizations. This allows you to configure who can view them. For example, they cannot be read by an LDAP search. These AD attributes are marked with the "'''confidential''''" flag. }}
Zeile 522: Zeile 462:
| Dadurch kann es vorkommen, dass der Maschine Account der UTM dieses Attribut nicht mehr auslesen kann. Dann benötigt der Maschine Account weitere Rechte.     
| Dadurch kann es vorkommen, dass der Maschine Account der UTM dieses Attribut nicht mehr auslesen kann. Dann benötigt der Maschine Account weitere Rechte.     
| As a result, the machine account of the UTM may no longer be able to read this attribute. The machine account then requires additional rights.  }}
| As a result, the machine account of the UTM may no longer be able to read this attribute. The machine account then requires additional rights.  }}
{{var | DNS-Konfiguration
| DNS-Konfiguration
| DNS configuration }}
{{var | DNS-Konfiguration--desc
| Damit der Authentifizierungsvorgang der AD/LDAP-Anbindung problemlos funktioniert, muss der Nameserver der UTM entsprechend eingerichtet werden.<br> Dafür müssen folgende Konfigurationen getätigt werden:
* Bei {{Menu-UTM|Netzwerk|Servereinstellungen|DNS-Server}} muss bei {{b|Primärer Nameserver:}} {{ic|127.0.0.1}} stehen
** {{Hinweis-box| Der Eintrag bei {{b|Sekundärer Nameserver:}} '''muss''' leer sein!}}
* Bei {{Menu-UTM|Anwendungen|Nameserver|Zonen}} wird eine [[UTM/APP/Nameserver#Forward-Zone | Forward Zone]] mit einem A und PTR Eintrag angelegt
** Dabei wird der [[UTM/NET/Servereinstellungen#Firewall | Firewallname der UTM]] verwendet
* Bei {{Menu-UTM|Anwendungen|Nameserver|DNS Forwarding}} wird ein [[UTM/APP/Nameserver-DNS_Forwarding | DNS Forwarding angelegt]] mit einem externen DNS wie 8.8.8.8
| In order for the authentication process of the AD/LDAP connection to function smoothly, the name server of the UTM must be set up accordingly.<br> The following configurations must be made for this:
* Under {{Menu-UTM|Network|Server options|DNS-Server}} {{b|Primary name server:}} must be {{ic|127.0.0.1}}
** {{Hinweis-box| The entry for {{b|Secondary name server:}} '''must''' be empty!}}
* Under {{Menu-UTM|Application|Nameserver|Zones}} a [[UTM/APP/Nameserver#Forward-Zone | Forward Zone]] is created with an A and PTR entry
** The [[UTM/NET/Server settings#Firewall | Firewall name of the UTM]] is used here
* With {{Menu-UTM|Applications|Nameserver|DNS Forwarding}} a [[UTM/APP/Nameserver-DNS_Forwarding | DNS Forwarding]] is created with an external DNS such as 8.8.8.8 }}


----
----

Aktuelle Version vom 28. Juni 2024, 10:48 Uhr

In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden











































































Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/AUTH/AD_Anbindung.lang&oldid=92205“