UMA/Best Practice Guide UMA

---

Kurzfassung für Inbetriebnahme und Grundkonfiguration des UMA NG

Letzte Anpassung zur Version: UMA NG v3.05 (10.2020)

Neu:

• Überarbeitung zum UMA NG v3

Vorherige Versionen: 2.5.24

---

Mailserver konfigurieren

Für den Betrieb des UMA muss auf dem Mailserver ein dafür erforderliches Journal Konto angelegt werden. Alle E-Mails die den Mailserver passieren, eingehende sowie ausgehende, müssen in das Journal Konto kopiert werden damit das UMA diese dann von dem Konto via IMAP abholen und archivieren kann.

---

IMAP Einstellungen

Authentifizierungsmethode des IMAP-Servers einstellen

Zur Anmeldung muss die Nur-Text-Anmeldung aktiviert werden.

• Öffnen der Exchange-Verwaltungskonsole Abb.1
• Menüpunkt Server / Schaltfläche Bearbeiten
• Auswahl Menü IMAP4
• Anmeldemethode
  Standardauthentifizierung (Nur-Text) Abb.2
• Übernehmen mit Speichern

Starttyp des Dienstes ändern

Die Microsoft Exchange Dienste IMAP4 und IMAP4-Back-End müssen zur Übernahme der Änderung der Authentifizierungsmethode neu gestartet werden und sollen zukünftig automatisch gestartet werden:

• Aufruf Server-Manager / Tool Computerverwaltung / Menü Dienste und Anwendungen / Untermenü Dienste
• Eintrag Microsoft Exchange IMAP4
• Kontextmenü (durch Klick mit der rechten Maustaste auf diesen Eintrag) Abb.3
• Menüpunkt Eigenschaften
• Registerkarte Allgemein / im Dropdownmenü des Feldes Starttyp den Wert Automatisch auswählen Abb.4
• Klicken auf Starten
• abschließen mit Übernehmen

Die gleichen Einstellungen müssen ebenfalls für den Dienst Microsoft Exchange IMAP4-Back-End durchgeführt werden. Abb.5 & 6

Anlegen des Postfaches

Auf der Verwaltungskonsole des Exchange muss ein neues Postfach angelegt werden, von dem das UMA die E-Mails abholen kann.

• Menü Empfänger
• Abschnitt Postfächer Abb.7
• Klick auf um ein neues Benutzerpostfach anzulegen
• In dem nun geöffneten Fenster müssen ein Alias, ein Anzeigename und ein Name eingetragen werden Abb.8
• Es muss ein Benutzeranmeldename und ein Kennwort eingetragen werden.
  Diese Daten werden später im UMA verwendet.

Abschließen mit Speichern

Hinzufügen einer neuen Journalregel

Exchange 2019 stellt die folgenden Journaloptionen bereit:

• Standardjournale Standardjournale werden für eine Postfachdatenbank konfiguriert. Dadurch kann der Journal-Agent alle Nachrichten in Journalen erfassen, die an und von Postfächern in einer bestimmten Postfachdatenbank gesendet werden. Wenn alle Nachrichten an alle Empfänger und von allen Absendern in Journalen aufgezeichnet werden sollen, müssen Sie Journale für alle Postfachdatenbanken auf allen Postfachservern in der Organisation konfigurieren.

• Premium-Journale Mit Premium-Journalen kann der Journal-Agent mithilfe von Journalregeln Journale mit größerer Granularität erstellen. Anstatt alle Postfächer in einer Postfachdatenbank in Journalen aufzuzeichnen, können Sie in Abstimmung auf die Anforderungen Ihrer Organisation Journalregeln konfigurieren, mit denen einzelne Empfänger oder Mitglieder von Verteilergruppen in Journalen erfasst werden. Zur Verwendung der Premium-Journalfunktion muss eine Exchange Enterprise-Clientzugriffslizenz (Client Access License, CAL) vorliegen.
  
  
  Quelle: http://technet.microsoft.com/de-de/library/aa998649(v=exchg.150).aspx

Hinzufügen einer neuen Standard-Journalregel

• Aufruf Exchange-Verwaltungskonsole
• Menü Server
• Untermenü Datenbanken
• Bearbeiten aufrufen mit Mausklick auf oder Doppelklick auf die Datenbank
• Menü Wartung Abb.10
• Als Journalempfänger den Namen des eben angelegten Benutzers für das UMA-Benutzerpostfach auswählen
• Übernehmen der Angaben mit Speichern

Hinzufügen einer neuen Premium-Journalregel (mit Exchange Enterprise-CAL)

• Wechsel in der Exchange-Verwaltungskonsole zum Menü Verwaltung der Compliance Abb.11
• Untermenü Journalregeln
• Öffnen des Fensters zur Einrichtung einer neuen Journalregel mit

• Unter Journalberichte senden an: wird das UMA Benutzerpostfach eingetragen, das gerade erstellt wurde (s.o.). Abb.12
• Namen für die Regel eintragen
• Da die Regel sich auf alle Empfänger beziehen soll, muss unter Beim Senden der Nachricht an oder Empfangen der Nachricht von... die Option [Auf alle Nachrichten anwenden] ausgewählt werden
• Weiterhin soll die Regel auf alle Nachrichten, unabhängig vom Ursprung oder Ziel, angewendet werden, daher muss unter Folgende Nachrichten im Journal erfassen ... die Option Alle Nachrichten ausgewählt werden
• Anlegen der Journalregel abschließen mit Klick auf Speichern

Abb. 1

Zur Anmeldung muss die Nur-Text-Anmeldung aktiviert werden.

• Öffnen der Exchange-Verwaltungskonsole
• Menüpunkt Server / Schaltfläche Bearbeiten

Abb. 2

• Auswahl Menü IMAP4
• Anmeldemethode
  Standardauthentifizierung (Nur-Text)
  
• Übernehmen mit Speichern

Abb. 3

Aufruf Server-Manager / Tool Computerverwaltung / Menü Dienste und Anwendungen / Untermenü Dienste

• Eintrag Microsoft Exchange IMAP4
• Kontextmenü (durch Klick mit der rechten Maustaste auf diesen Eintrag)
• Menüpunkt Eigenschaften

Abb. 4

IMAP4 Dienst bearbeiten:

• Registerkarte Allgemein / im Dropdownmenü des Feldes Starttyp den Wert Automatisch auswählen
• Klicken auf Starten
• abschließen mit Übernehmen

Abb. 5

Die gleichen Einstellungen müssen ebenfalls für den Dienst Microsoft Exchange IMAP4-Back-End durchgeführt werden.

Abb. 6

IMAP4 Backup Dienst bearbeiten:

• Registerkarte Allgemein / im Dropdownmenü des Feldes Starttyp den Wert Automatisch auswählen
• Klicken auf Starten
• abschließen mit Übernehmen

Abb. 7

Exchange Verwaltungskonsole:

• Menü Empfänger
• Gruppe Postfächer
• Klick auf um ein neues Benutzerpostfach anzulegen

Abb. 8

UMA-Postfach mit folgenden Angaben einrichten:

• Alias
• Anzeigename
• Name
• Benutzeranmeldename
• Kennwort

Diese Daten werden später im UMA verwendet.

Abb. 9

Dieser Schritt ist alternativ zum Premiumjournal (Abb.11+12)

Hinzufügen einer neuen Standard-Journalregel:

• Aufruf Exchange-Verwaltungskonsole
• Menü Server
• Untermenü Datenbanken Abb.9
• Bearbeiten aufrufen mit Mausklick auf oder Doppelklick auf die Datenbank

Abb. 10

Dieser Schritt ist alternativ zum Premiumjournal (Abb.11+12)

Hinzufügen einer neuen Standard-Journalregel

• Menü Wartung
• Journalempfänger: eben angelegten Benutzer für das UMA-Benutzerpostfach auswählen
• Übernehmen der Angaben mit Speichern

Abb. 11

Dieser Schritt ist alternativ zum Standardjournal (Abb. 9+10)

Hinzufügen einer neuen Premium-Journalregel (mit Exchange Enterprise-CAL)

• Wechsel in der Exchange-Verwaltungskonsole zum Menü Verwaltung der Compliance
• Untermenü Journalregeln
• Öffnen des Fensters zur Einrichtung einer neuen Journalregel mit

Abb. 12

Dieser Schritt ist alternativ zum Standardjournal (Abb. 9+10)

Journalregel anlegen:

• Journalberichte senden an: das UMA Benutzerpostfach, das gerade erstellt wurde (s.o.).
• Name für die Regel
• Beim Senden der Nachricht an oder Empfangen der Nachricht von... die Option [Auf alle Nachrichten anwenden] ausgewählen
• Bei Folgende Nachrichten im Journal erfassen ... die Option Alle Nachrichten ausgeählen
• Anlegen der Journalregel abschließen mit Klick auf Speichern

Nach Anlage einer der beiden Journalregeln werden alle Nachrichten/E-Mails in das neu angelegte Postfach kopiert, wo sie von dem UMA via IMAP abgeholt werden können.

---

UMA konfigurieren

Das erfolgreich angelegte Konto im Exchangeserver muss nun im UMA hinterlegt werden:

System-Einstellungen → E-Mail-Server → Remote E-Mail-Konten Schaltfläche Konto hinzufügen

• Protokoll: Auto versucht immer zunächst einen Abruf per IMAP und anschließen mit POP3
• Keep Mails Sollte nur in der Einrichtungsphase aktiviert sein. Andernfalls läuft das Postfach über kurz oder lang voll
• SSL: Aktivierung erforderlich für die Kommunikation mit einem Exchange Server

Netzwerkanbindung

Der erste Schritt stellt die Einbindung des UMA in das Netzwerk dar.

---

Positionierung des UMA im internen Netzwerk

Für die Einbindung des UMA in das bestehende Netzwerk wird der sogenannte Hub-Mode verwendet. Dieser hat den Vorteil, dass die bestehende Netzwerkstruktur nicht verändert werden muss. Zudem ist der Modus in der Lage auch E-Mails, die auf anderen Protokolle als POP3, IMAP oder SMTP basieren (z. B. via Outlook über MAPI), zu archivieren.

---

Netzwerkeinstellungen

Im Auslieferungszustand sind einige Einstellungen vorkonfiguriert. Dazu gehören z. B. die IP-Adresse und der Administrator-Zugang.
Voreinstellungen:

IP-Adresse:	192.168.175.254
Subnetzmaske:	255.255.255.0
Benutzername:	admin
Passwort:	insecure

---

Anpassen der IP-Adresse

Um das Webinterface des UMA zu erreichen, muss sich entweder

• der Rechner, mit dem das UMA konfiguriert werden soll, im Netz des UMA befinden, also im Subnetz 192.168.175.0/24,
  oder
• das UMA wird auf das schon bestehende Netzwerk eingestellt.
  

Um das UMA in das bestehende Netzwerk einzubinden, muss die IP-Adresse angepasst werden. Dazu wird der Konsolen-Anschluss verwendet.

• An einer Appliance erreicht man die Konsole, indem man einen Monitor und eine Tastatur an die Hardware anschließt. Hier kann die IP-Adresse konfiguriert werden, bevor das UMA in das bestehende Netzwerk eingebunden wird.
• Bein einer VM erreicht man die Konsole direkt über eine Verbindung mit dem Hypervisor
  

Die Konsole dient lediglich dazu, die IP-Adresse temporär anzupassen und für den Netzwerk-Einsatz vorzubereiten, ohne die IP-Adresse des Arbeitsplatz-PCs zu wechseln.
Die Anmeldung erfolgt mit dem vorkonfigurierten Administrator-Account. Da es auf dem UMA nur einen Administrator gibt, wird für den Login nur das Passwort abgefragt:
Default-password: insecure
Auf der Konsolen-Umgebung hat der Administrator sehr eingeschränkten Rechte im System.
In diesem Beispiel wird das Subnetz 192.168.145.0/24 verwendet. Sinnvoll wäre es das Subnetz zu wählen, in dem sich auch der E-Mail-Server befindet.
Es ist darauf zu achten, dass die gewählte IP-Adresse für das UMA nicht von einem anderen Gerät im Netzwerk genutzt wird.
Die IP-Adresse des UMA wird mit folgendem Befehl geändert:

ipconfig ip-Adresse/Subnetzmaske Gateway-ip z.B.: ipconfig 192.168.145.110/24 192.168.145.1

Die so durchgeführte IP-Adressänderung ist temporär und wird nach einem Neustart wieder auf den Auslieferungszustand zurückgesetzt.
Zur permanenten Speicherung muss die IP-Adresse im Web-Interface geändert werden.
Anschließend wird das UMA mit dem Netzwerk verbunden.

Zugriff auf die Administrationsoberfläche

Die Konfiguration erfolgt über die Weboberfläche des UMA. Mit einem Internetbrowser wird die Einrichtung über eine verschlüsselte Verbindung durchgeführt.
Nach der Anbindung an das Netzwerk wird über einen Internetbrowser in das URL-Eingabefeld die IP-Adresse inklusive Port des UMA eingegeben:

https://192.168.145.110:11115

Da es sich um eine verschlüsselte Verbindung mit einem von dem UMA selbst erstellten Zertifikat handelt, das der Browser noch nicht kennen kann, muss diese Verbindung explizit zugelassen werden. Der Warnhinweis des Browsers muss übergangen werden!

Meldung im Firefox
Schaltfläche Erweitert / Risiko akzeptieren und fortfahren

Meldung im Chrome
Link Erweiterte Informationen anzeigen / Weiter zu xyz (unsicher)

Meldung im Edge
Link Details / Webseite trotzdem laden

Meldung im Safari
Schaltfläche Details einblenden / Link Öffne diese Website

UMA-Administration-Center

Login

Als nächstes wird das Login-Fenster des UMA-Administration-Center angezeigt. Benutzername und Passwort des UMA im Auslieferungszustand sind:

Benutzername:	admin
Passwort:	insecure

Nach einem Klick auf die Schaltfläche  Anmelden (Admin) oder drücken der Eingabe-Taste, erscheint ein Fenster mit den Lizenzbedingungen, welche bestätigt werden müssen.
Es folgt der Einrichtungsassistent für die Ersteinrichtung des UMA. Diesem wurde wegen des Umfangs ein eigener Artikel unter Einrichten des UMA mit dem Einrichtungsassistenten gewidmet.

Der Einrichtungsassistent

Wesentliche Einstellungen zur Inbetriebnahme werden im Einrichtungsassistenten erfasst.

---

Grundlegende Einstellungen

Je nachdem, ob das UMA erstmalig installiert wird, oder ob nach einer Neu-Installation ein Backup wieder eingespielt werden soll, sind verschiedene Schritte erforderlich:

Neu-Installation mit vorhandenem Backup

Als Typ wird Konfigurationsdatei gewählt. Diese muss zuvor auf dem alten UMA unter Adminsitration Reiter Backup bzw. ab UMA NG v3 unter Wartung Reiter Backup im Abschnitt Konfiguration Import/Export exportiert worden sein.
Mit der Schaltfläche Abschließen werden u.A. die Angaben aus Schritt 1 des Einrichtungsassistenten übernommen:

• Netzwerkkonfiguration
  • UMA IP-Adresse
  • Gateway, DNS
  • Hostname, Domäne
• Admin-Passwort und E-Mail-Adresse
• Remote Smarthost Einstellungen

Nach dem Neustart wird direkt Schritt zwei des Einrichtungsassistenten aufgerufen.

Erstinstallation

Als Typ wird Lizenz gewählt. Die zum Betrieb zwingend notwendige Lizenz kann Resellerportal heruntergeladen werden

Einrichtungsassistent

Schritt	Beschreibung
Schritt 1	Angabe verschiedener Basisdaten: Netzwerkverbindungsdaten: UMA IP-Adresse: Dauerhafte IP-Adresse des UMA Die Adresse, die per CLI festgelegt wurde ist temporär und wird beim nächsten booten durch die Standard-IP oder durch die hier angegebene Adresse ersetzt. Standardgateway, Hostname, Domäne, DNS, NTP-Server Adminstrator-Daten: Passwort E-Mail-Adresse: Wichtige System E-Mails (Status oder Fehlermeldungen) werden an diese Adresse gesendet. Remote Smarthost Einstellungen Zugangsdaten zu einem Mailserver für den Versand von System-Mails Fortfahren mit Schaltfläche Weiter
	Testmail versenden. Versand mit OK bestätigen. Sollte keine Mail ankommen, bitte die Zugangsdaten für den Smarthost und die Netzwerkanbindung prüfen
Schritt 2	Storage Festplatte initialisieren Die Festplatten für das Archiv müssen initialisiert werden. Dies geschieht automatisch mit den von dem UMA erkannten Archiv-Festplatten. Wenn in dem UMA ein Hardware-RAID-Controller installiert wurde, wird in dieser Ansicht nur eine Festplatte angezeigt. Bei diesem Vorgang werden alle Daten auf den angegebenen Festplatten unwiederbringlich gelöscht. Fortfahren mit Schaltfläche Weiter Neustart nach der Initialisierung des Storages Storage initialisieren
Schritt 3	Konten einrichten: Abhängig von der Art der Authentifizierung (Repository Type:) Windows Active Directory Anderer LDAP Server Lokale Benutzer Azure AD
	Windows Active Directory Windows Domäne: Die entsprechende Domäne, in der sich das Active Directory befindet. Arbeitsgruppe: Muss mit dem NetBIOS-Namen der Domäne übereinstimmen IP oder Hostname des DC: Benutzername: / Passwort: Ein Benutzer mit der Berechtigung für eine LDAP Suche Kontenauswahl Kontenauswahl Bei der Nutzung eines Authentifizierungs-Dienstes wie Active Directory sollte darauf geachtet werden, welche E-Mail-Konten wirklich archiviert werden müssen. Im Abschnitt "Auswahl Einzelner Konten" gibt es hierzu die Möglichkeit die zu archivierenden Konten genau zu selektieren und damit sehr viel "lizenzschonender" zu arbeiten. Dies geschieht durch Aktivierung des Feldes "manuelle Auswahl aktivieren".
	LDAP Für die Nutzung eines anderen LDAP-Servers wird folgendes in die Felder eingetragen: Base: Die Domain in der Form dc=localdomain dc=local IP oder Hostname des DC: Benutzername: Benutzername für den LDAP-Server in der Form cn=admin Passwort: Passwort zu dem vorher angegebenen Benutzernamen User Container: Die Organisationseinheit in der Form ou=users LDAP Userfilter: In der Form (objectClass=inetOrgPerson) Benutzer Attribut(e) z.B. uid Mail Attribute LDAP Kommunikationssicherheit Um diese zu aktivieren, muss man zuvor eine CA Importieren
	Lokale Benutzer Wird kein Authentifizierungs-Server betrieben, können die Benutzer auch lokal in einer Liste hinterlegt werden. Hierzu gibt es die Möglichkeit über die Schaltfläche Importieren eine Liste im CSV-Format zu importieren. Der Inhalt der *.csv-Datei muss folgendes Format haben: userid,password,firstname,lastname,email,optionalemail
	Azure AD Mandant: ••••••• Verzeichnis-ID (Mandant) aus der App-Registrierung im Azure AD Client-ID: ••••••• Anwendungs-ID (Client) aus der App-Registrierung im Azure AD Client-Secret: ••••• Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse des Azure ADs Azure Cloud: Azure Cloud Global Azure Cloud USA Azure Cloud Deutschlandnotempty Steht ab UMA Version 3.3.4 nicht mehr zur Verfügung. Microsoft hat die Azure Cloud Deutschland geschlossen. Azure Cloud China Auswahl der Azure Cloud, die das AD hostet. Benutzer-Authentifizierungsmethode: Benutzername und Passwort Anmeldung im DMS erfolgt ausschließlich mit den Daten aus den oben konfigurierten Benutzer Konten Single Sign-on Authentifizierung im DMS über Microsoft Azure. Der Login Dialog bietet hierzu eine Schaltfläche, die zum Microsoft Login führt. Dies ermöglicht z.B. eine Zwei-Faktor-Authentifizierung (2FA) Single Sign-on oder Benutzername und Passwort Authentifizierung im DMS mit den Daten aus den oben konfigurierten Benutzer Konten oder über Microsoft Azure. Der Login Dialog bietet die Möglichkeit zur Anmeldung mit Benutzername und Passwort und alternativ eine zusätzliche Schaltfläche, die zum Microsoft Azure Login führt. Weiter Überprüft die Zugangsdaten und ruft den nächsten Schritt auf.	Azure AD Zugangsdaten im Schritt 3 des Einrichtungsassistenten
Schritt 4	Archivregeln legen die Dauer der Archivierung fest. Die globale Regel gilt, wenn keine andere Regel greift. Der Vorgabewert lautet 6 Jahre Fortfahren mit Schaltfläche Weiter E-Mails, die über einen Header verfügen, aber keinen Body haben (also "leere E-Mails"), werden vom UMA abgerufen und im Benutzerpostfach gespeichert. Allerdings werden diese nicht indexiert und erscheinen somit auch nicht im DMS!
Schritt 5	Remote-E-Mail-Konten empfangen alle Journal-E-Mails eines Mail-Servers. Dazu gehören in der Regel mehrere einzelne Benutzer-E-Mail-Konten. Die Remote E-Mail-Konten müssen im Mail-Server als Journal-Konten angelegt sein, damit hier alle zugehörigen Mails (aus- und eingehende Mails des Maiservers) empfangen werden können. Die Archivierung erfolgt nur, wenn unter System-Einstellungen / E-Mail-Konten Benutzer mit einer entsprechenden E-Mail-Adresse angelegt werden. Protokoll: POP3 / IMAP Beschriftung Wert Beschreibung Name: Journal-Konto Frei wählbarer Name Protokoll: IMAP verwendetes Protokoll Servername: imap.mailsever.anyideas.de Mail-Server, der die Journaladresse hostet. Benutzername: tttpointcloud Benutzername für das Journal-E-Mai-Konto Passwort: ••••• Passwort für das Journal-E-Mail-Konto Keep Mails: Für gewöhnlich werden E-Mails gelöscht, nachdem sie abgeholt worden sind. Die Aktivierung von Keepmails verhindert dieses Löschen. Verbindungssicherheit: Neu ab UMA v3.3.1 STARTTLS Zur Verbindungsverschlüsselung wird STARTTLS verwendet. Default SSL Zur Verbindungsverschlüsselung wird SSL verwendet Keine (unsicher) Die Verbindung wird nicht verschlüsselt. Sollte ausschließlich vorübergehend verwendet werden, wenn die Gegenstelle keine verschlüsselte Kommunikation unterstützt! Eine Aktualisierung der Gegenstelle ist dringend erforderlich! E-Mails und Kennwörter werden im Klartext versendet. Von der Verwendung wird abgeraten. Die Verwendung dieser Option stellt ein Sicherheitsrisiko dar. Max. E-Mail Größe deaktiviert Es kann eine Größe festgelegt werden, bis zu der die E-Mail archiviert werden E-Mail Header Auswertung: MS Journal-Envelope Erkennung Einschalten default Das Erkennen der Headereinträge "MS Journal-Envelope" ermöglicht dem UMA BCC-Empfänger, im Exchange-eigenem Header zu erkennen und einem Benutzerkonto zuzuordnen. BCC-Empfänger stehen nicht im eigentlichen Mail-Header MS Journal-Envelope Erkennung Ausschalten Verwendet den Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen X-Envelope-To Verwendet ausschließlich den X-Envelope-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen X-Original-To Verwendet ausschließlich den X-Original-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen Delivered-To Verwendet ausschließlich den Delivered-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen Benutzerdefinierter Empfänger Header Ein Benutzerdefinierter Header-Part, der ausgewertet werden soll. Bsp.: envelope-from
	Protokoll: OAuth (IMAP) Neu ab UMA NG v3.3 Voraussetzung: Konfigurierte Apps in Azure mit OAuth (→Wiki) Beschriftung Wert Beschreibung Name: Journal-Konto Frei wählbarer Name Protokoll: OAuth 2 (IMAP) verwendetes Protokoll Servername: outlook.office365.com Tenant ID: aaaabbbb-1111-2222-3333-… In Microsoft Azure im Menü Azure Active Directory / Übersicht unter Tenant ID Client ID: 11111111-aaaa-bbbb-2222-… In Microsoft Azure im Menü Enterprise Applications / All Applications / Anwendungsname / Übersicht unter Application ID' Benutzername: ttt-point@anyideas.onmicrosoft.com Benutzername für das Journal-E-Mail-Konto im Azure Client Secret: 33334444-dddd-eeee-ffff-… In Microsoft Azure im Menü Certificates & secrets im Reiter Client secrets unter Value E-Mails abholen alle: 1 Minute Gibt an, wie oft der externe Mail-Server auf neue E-Mails geprüft wird Keep Mails: Für gewöhnlich werden E-Mails gelöscht, nachdem sie abgeholt worden sind. Die Aktivierung von Keepmails verhindert dieses Löschen. Bei Aktivierung können externe Postfächer volllaufen! Keepmails sollte nur vorübergehend für Testzwecke verwendet werden, oder wenn anderweitig sichergestellt ist, daß das externe Postfach seine Kapazitätsgrenze nicht erreicht. Verbindungssicherheit: Neu ab UMA v3.3.1 STARTTLS Zur Verbindungsverschlüsselung wird STARTTLS verwendet. SSL Zur Verbindungsverschlüsselung wird SSL verwendet. Default Keine (unsicher) Die Verbindung wird nicht verschlüsselt. Sollte ausschließlich vorübergehend verwendet werden, wenn die Gegenstelle keine verschlüsselte Kommunikation unterstützt! Eine Aktualisierung der Gegenstelle ist dringend erforderlich! E-Mails und Kennwörter werden im Klartext versendet. Von der Verwendung wird abgeraten. Die Verwendung dieser Option stellt ein Sicherheitsrisiko dar. Max. E-Mail Größe deaktiviert Es kann eine Größe festgelegt werden, bis zu der die E-Mail archiviert werden E-Mail Header Auswertung: MS Journal-Envelope Erkennung Einschalten default Das Erkennen der Headereinträge "MS Journal-Envelope" ermöglicht dem UMA BCC-Empfänger, im Exchange-eigenem Header zu erkennen und einem Benutzerkonto zuzuordnen. BCC-Empfänger stehen nicht im eigentlichen Mail-Header MS Journal-Envelope Erkennung Ausschalten Verwendet den Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen X-Envelope-To Verwendet ausschließlich den X-Envelope-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen X-Original-To Verwendet ausschließlich den X-Original-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen Delivered-To Verwendet ausschließlich den Delivered-To Eintrag aus dem Original-Header der E-Mail, um sie einem Benutzerkonto zuzuweisen Benutzerdefinierter Empfänger Header Ein Benutzerdefinierter Header-Part, der ausgewertet werden soll. Bsp.: envelope-from
Einrchtungsassistenten Beenden

---

Backups konfigurieren

Backups sind auf verschiedenen Medien möglich:

• Windows Share
• SFTP
• USB

Kein Backup - kein Mitleid...

---

---

Einleitung

Das UMA ist ein revisionssicheres Archivierungssystem. Alle archivierten Informationen sollen unverändert aufbewahrt werden und Anwendern einfach und ständig zur Verfügung stehen.

In der Betrachtung einer ganzheitlichen Backup-Strategie müssen diese Informationen berücksichtigt werden, so dass sie im Falle eines Ausfall des UMA und der dann folgenden Neuinstallation, wieder zur Verfügung gestellt werden können.

Die Backup-Strategie wird um eine der nachfolgenden Backup-Optionen des UMA erweitert.

---

Sicherung der UMA Konfiguration

Abschnitt Konfiguration Import/Export
Da der Archivspeicher des UMA verschlüsselt ist und auch die Backup Dateien beim Erstellen verschlüsselt werden, ist es notwendig diesen Schlüssel zu sichern.
Die Container-Verschlüsselungsinformationen befinden sich in der UMA Konfiguration. Daher muss diese als erste gesichert werden. Die Schaltfläche Exportieren erstellt eine Datei, welche sich daraufhin Herunterladen lässt. Ein Klick auf diese Schaltfläche speichert die UMA Konfiguration als Datei mit der Bezeichnung "uma-config.db" in den für Ihre Downloads bestimmten Ordner.

Es sollte unbedingt eine Sicherungskopie an einem weiteren sicheren Ort verwahrt werden.
Nur so wird sichergestellt, daß diese im Notfall auch zur Verfügung steht.

Zusätzlich kann auch der Verschlüsselungscode, der ebenfalls im Reiter Backup zu finden ist, gesichert werden.
Mit ihm ist eine Wiederherstellung auch ohne Konfigurationsdaten möglich.

---

Backup Geräte

Backup Geräte

Backup Geräte

Das Archiv-System kann entweder auf einem Netzwerkspeicher oder auf einem externen Speichermedium gesichert werden. Externe Speichermedien werden über einen USB-Anschluss an die Appliance angeschlossen. Es werden sowohl externe Festplatten als auch Flash-Speichermedien (USB-Sticks, etc.) unterstützt.

Zunächst werden im Abschnitt Backup Geräte das oder die Geräte definiert, auf denen die Backups gesichert werden sollen. Hierbei wird nach folgenden Typen unterschieden:

• iSCSI (Empfohlen)
• Windows Share
• Windows Share (signiert)
• SFTP
• FTP
• USB-Gerät

Securepoint empfiehlt die Kombination von iSCSI mit dem Sicherungsformat "Mirror".

iSCSI (Empfohlen)

Einrichtung

Backup iSCSI

Zunächst muss ein iSCSI Target auf einem NAS oder Server eingerichtet werden. Dazu bitte nach Anleitung zu den entsprechenden Speichergeräten oder Servern vorgehen.

Folgende Einstellungen müssen im UMA vorgenommen werden:

• Aussagekräftigen Namen wählen
• Backup-Typ iSCSI auswählen
• IP-Adresse des Laufwerks bzw. des Servers eintragen, auf dem das iSCSI Target angelegt wurde
• Über die Schaltfläche Ziel ändern wird die Verbindung aufbauen und die Informationen zu dem Target abfragen
• Abschließen des Vorgangs durch die Betätigung der Schaltfläche Registrieren
• Alle bisherigen Daten auf diesem Laufwerk werden überschrieben
• Nach Abschluss der Registrierung muss das angelegte Backup-Gerät über die Schaltfläche Geräte Speichern gespeichert werden
• Abschließend muss ein Test über die Schaltfläche Gerät testen durchgeführt werden, der natürlich mit einer Erfolgsmeldung von dem UMA bestätigt werden sollte

Verwendet wird hierfür der Port 3260

Bei iSCSI (internet Small Computer System Interface) handelt es sich um ein sehr effizientes Netzwerk-Datenübertragungsverfahren.
Die Speichergeräte, auf denen dann die Daten gespeichert werden sollen, werden als "Target" bezeichnet. Viele Serversysteme oder NAS (Network Attached Storage) können als iSCSI Targets eingerichtet werden.

Beschriftung	Wert	Beschreibung
Name	iSCSI-Backup-Drive	Aussagekräftiger Name, mit dem ein Backup Job auf dieses Gerät zugreifen kann
Typ	iSCSI	Gerätetyp
Hostname oder IP Adresse:	192.168.192.192	Hostname bzw. die IP-Adresse des Laufwerks bzw. des Servers, auf dem das iSCSI Target angelegt wurde
Aktuelles Ziel:	Wert wird automatisch ermittelt und eingetragen
UUID:	Wert wird automatisch ermittelt und eingetragen
Ziel ändern		Sucht unter dem angegeben Hostnamen oder der IP Adresse nach iSCSI-Targets
iSCSI Ziel:	Wählen Sie ein Ziel aus	Da es möglich, ist auf einem Ziel-Laufwerk mehrere iSCSI Targets einzurichten, muss hier das gewünschte Ziel ausgewählt werden.
Registrieren		Stellt die Verbindung her und trägt die UUID ein
Authentisierungsmethode:	CHAP	Wurde eine Authentisierungsmethode konfiguriert, können hier die Zugangsdaten für das Target hinterlegt werden.

Windows Share

Backup Windows Share

Ein Windows Share ist ein freigegebenes, über ein Netzwerk mit dem Protokoll SMB (Server Message Block) erreichbares Laufwerk oder Ordner, üblicherweise auf einem Windows Server oder auf einem NAS.

Zu beachten ist hierbei, dass der korrekte Share Name eingetragen wird.

Beschriftung	Wert	Beschreibung
Name	WindowsShare-Device	Aussagekräftiger Name, mit dem ein Backup Job auf dieses Gerät zugreifen kann
Typ	Windows Share	Gerätetyp
Share Name	Backup	Der Name des freigegebenen Ordners
Hostname oder IP Adresse:	192.168.192.192	Hostname bzw. die IP-Adresse des Gerätes, auf dem die Freigabe eingerichtet wurde
Ordner	uma	Soll in einem Unterverzeichnis der Freigabe gespeichert werden, wird hier der Name des betreffenden Ordners angegeben Zu beachten ist, daß auf dem UMA, aufgrund des darunterliegenden Linux-System kein Backslash \ für die Adressierung weiterer Unterordner verwendet wird, wie es bei Windows-Systemen gängig ist, sondern ein Slash / .
	oder /	Wird direkt in die Freigabe gesichert, kann das Feld leer bleiben oder einen Slash / enthalten.
Benutzername	uma-backup-user	Zugangsdaten auf dem Ziel-Server für das Backup Es können nur Freigaben verwendet werden, für die Zugangsdaten angegeben werden können.
Passwort	•••••
SMB Version	SMBv1 SMBv2 SMBv3	Verwendete SMB Version.
Überholte NTLMv1 Autorisierung nutzen:		Aktiviert die NTLMv1 Authorisierung Es wird auf den Shares oft noch das NTLMv1 Protokoll für die Autorisierung verwendet. Sollte nicht klar sein, ob dieses noch in Verwendung ist, sollte es für die Nutzung auf dem UMA aktiviert werden.

Der Benutzer muss über Schreibrechte in der Freigabe verfügen.

Verwendet wird hierfür der Port 445

Windows Share (Signiert)

Verwendet SMB-Signaturen für die Verbindung.
Es gelten die gleichen Einstellungen wie bei Windows Share
Ausnahme:

• Es wird keine SMB-Version vorgegeben
• Es wird immer NTLMv2 zur Autorisierung verwendet

FTP

Backup FTP

Steht ein FTP-Server (File Transfer Protocol) zur Verfügung, kann dieser ebenfalls für die Sicherung des UMA Archiv verwendet werden.

Bei Verwendung von FTP werden die Daten nicht verschlüsselt übertragen.

Zu beachten ist hierbei, für welche Ordner FTP für den Benutzer auf dem Server freigegeben wurde.

Beschriftung	Wert	Beschreibung
Name	FTP-Device	Aussagekräftiger Name, mit dem ein Backup Job auf dieses Gerät zugreifen kann
Typ	FTP	Gerätetyp
Hostname oder IP Adresse:	ftp.anyideas.de	Hostname oder IP-Adresse des ftp-Servers
Ordner	/Backup/UMA/	Bei einer Freigabe des gesamten Hosts und einer Ordnerstruktur Hostname/Backup/UMA
	oder /	Bei einer Freigabe lediglich des Ordners UMA in einer Ordnerstruktur Hostname/Backup/UMA kann das Feld leer bleiben oder einen Slash / enthalten.
Benutzername	uma-backup-user	Zugangsdaten auf dem Ziel-Server für das Backup
Passwort	•••••

Verwendet wird hierfür der Port 21

SFTP

Backup SFTP

Hier muss in jedem Falle der vollständige Pfad angegeben werden.

Beschriftung	Wert	Beschreibung
Name	SFTP-Device	Aussagekräftiger Name, mit dem ein Backup Job auf dieses Gerät zugreifen kann
Typ	SFTP	Gerätetyp
Hostname oder IP Adresse:	sftp.anyideas.de	Hostname oder IP-Adresse des sftp-Servers
Absoluter Pfad:	/Backup/UMA/	Bei einer Freigabe des gesamten Hosts und einer Ordnerstruktur Hostname/Backup/UMA
	/	Bei einer Freigabe lediglich des Ordners UMA in einer Ordnerstruktur Hostname/Backup/UMA muss das Feld einen Slash / enthalten. Das Feld Absoluter Pfad darf nicht leer bleiben.
Benutzername	uma-backup-user	Zugangsdaten auf dem Ziel-Server für das Backup
Passwort	•••••

Verwendet wird hierfür der Port 22

USB

Backup USB

Ein USB Laufwerk ist immer dann praktisch, wenn "eben mal schnell" eine Sicherung erstellt werden soll. Unterstützt werden hier sowohl Festplatten als auch Flash-Speicher wie USB Sticks.

Vor einem Neustart müssen USB-Geräte immer von dem UMA getrennt werden.

Ein eingestecktes USB-Gerät könnte vom BIOS als Bootlaufwerk erkannt werden und dann den Neustart des UMA blockieren.

Folgende Einstellungen müssen im UMA vorgenommen werden:

• Aussagekräftigen Namen wählen
• Backup-Typ USB Gerät auswählen
• Über die Schaltfläche Gerät wechseln wird die Verbindung aufgebaut und die Informationen zu dem Target abgefragt
• Abschließen des Vorgangs durch die Betätigung der Schaltfläche Registrieren
• Nach Abschluss der Registrierung muss das angelegte Backup-Gerät über die Schaltfläche Geräte Speichern gespeichert werden
• Abschließend sollte ein Test über die Schaltfläche Gerät testen durchgeführt werden, der natürlich mit einer Erfolgsmeldung von dem UMA bestätigt werden sollte

Beschriftung	Wert	Beschreibung
Name	USB Backup Device	Aussagekräftiger Name, mit dem ein Backup Job auf dieses Gerät zugreifen kann
Typ	USB-Gerät	Gerätetyp
Aktuelles Gerät	Wert wird automatisch ermittelt und eingetragen
UUID:	Wert wird automatisch ermittelt und eingetragen
Gerät wechseln		Löst eine Suche der angeschlossenen USB Geräte aus
verfügbare Geräte:	Bitte wählen Sie ein USB Gerät	Sollten mehrere USB Geräte angeschlossen sein, kann das gewünschte Gerät ausgewählt werden
Registrieren		Stellt die Verbindung her und trägt die UUID ein

Gerät Testen

Nach dem Speichern des angelegten Backup Gerätes muss die Verbindung zu diesem Gerät getestet werden. Dazu wird die Schaltfläche Gerät testen betätigt, welche nach kurzer Zeit eine Erfolgsmeldung auslöst.

---

Backup Jobs

Ein Backup Job steuert wann, auf welchem Gerät und mit welchem Sicherungsformat ein Backup erstellt werden soll. Weiterhin wird hier ggf. definiert, wie viele Backups für die Wiederherstellung vorgehalten werden.

Zunächst wird dem Job ein Name gegeben und ein Gerät ausgewählt, auf dem die Backups gespeichert werden sollen.

Zeitplan

Backup Job Zeitplanung

Für eine Zeitplanung ist es wichtig, einige Funktionen des UMA zu berücksichtigen.

Wird ein Backup ausgeführt, wird zuerst ein Snapshot von dem Archiv erstellt.

Vor der Erstellung dieses Snapshots werden einige Dienste auf dem UMA angehalten.

Dazu gehören unter anderem:

• Dovecot:

  
  

  Dieser überprüft den Benutzernamen und die E-Mail-Adresse, die Filterregeln und veranlasst die Indexierung der eingehenden E-Mails

  
  

• LTA-Push:

  
  

  Dieser Dienst sorgt für den Transport von den LTA-Ordnern in das XML-Langzeitarchiv

  
  

• LTA-Dienst:

  
  

  Wandelt die E-Mails in ein XML-Format um, erstellt einen "Hashbaum" und holt den qualifizierten Zeitstempel.
  Dieser wird täglich ab 22:00 Uhr geholt.

Folgendes ist bei der Zeitplanung zu beachten:

Während des Backup werden keine E-Mails überprüft oder indexiert. Daher ist es nicht ratsam, ein Backup während der Zeit durchzuführen, wenn die Benutzer auf das Archiv zugreifen müssen.

Aufgrund der Abholung des qualifizierten Zeitstempels und der anschließenden Erstellung des "Hashbaums", kann kein Backup zwischen 22:00 Uhr und 00:00 Uhr erstellt werden.

Backup Jobs sollten nicht zur vollen Stunde starten, da auch das UMA automatisch eigene Cron-Jobs zur vollen Stunde startet.

Für die Zeitplanung stehen die Tage Montag bis Sonntag zur Verfügung. Das bedeutet zum Beispiel, dass einmal in der Woche, an jedem Sonntag ein Backup auf das angegebene Gerät durchgeführt wird.
Weiterhin kann das Backup jeden Arbeitstag (Montag - Freitag) oder auch jeden Tag durchgeführt werden.

Nach Beendigung des Backups wird eine Bestätigungs-E-Mail an die unter System-Einstellugnen / System-Benutzer / System Administrator hinterlegte Adresse gesendet.

Anzahl der gehaltenen Backups

Anzahl Backups

Neben der Erstellung eines einzelnen Backups ist es auch möglich mehrere von unterschiedlichen Tagen vorzuhalten. Die Auswahl ist zwischen dem letzten (1) und den zehn letzten (10).

Weiterhin ist es auch möglich alle Backups vorzuhalten, was allerdings nur bei der Verwendung des Sicherungsformates Time Machine sinnvoll ist.
Beim Format Mirror gibt es immer nur ein Backup.

Sicherungsformat

Sicherungsformate

Zur Auswahl stehen hier:

Beschriftung	Beschreibung
Mirror (empfohlen) Mirror (empfohlen)	Erstellt mittels rsync ein inkrementelles Backup. Dieses Verfahren ist besonders stabil und tolerant bei Verbindungsabbrüchen. Erfordert ein verschlüsseltes Laufwerk und kann daher nur in Verbindung mit den Backup Geräten iSCSI und USB verwendet werden
Tar Tar	Bei diesem Archivformat wird immer eine vollständige Backup Datei erstellt
Time Machine Time Machine	Ein inkrementelles Format, das nach einem ersten, vollständigen Backup nur die Änderungen speichert. Es lässt sich beim Wiederherstellen ein beliebiger Zeitpunkt auswählen. Erfordert ein verschlüsseltes Laufwerk und kann daher nur in Verbindung mit den Backup Geräten iSCSI und USB verwendet werden

Backup erstellen

Durch die gleichnamige Schaltfläche lässt sich jederzeit der Backup Job Manuell ausführen

Überprüfen des Backup

Wurde das erste Backup erstellt, muss sichergestellt werden, dass dieses auch wiederhergestellt werden kann. Dazu dient die Schaltfläche Wiederherstellen.
Je nach Anzahl gehaltener Backups lässt sich ein Bestimmtes Backup auswählen: Wählen Sie ein Backup zur Wiederherstellung

Desaster Recovery

Um sicherzustellen, dass das Backup auch auf neu installierter Hardware wiederhergestellt werden kann, gehört ein Desaster Recovery Test immer mit zu einem vollständigen Backup dazu.
Dazu kann zum Beispiel auf einer virtuellen Maschine ein UMA installiert werden. Auf diesem wird dann die vorher gesicherte UMA Konfigurationsdatei importiert. Über den Installationsassistenten oder unter System-Einstellungen / Archiv-Speicher wird die eingebundene Archiv-Festplatte initialisiert und danach über Wiederherstellen das Backup wiederhergestellt.

Erst wenn dieses erfolgreich war, kann davon ausgegangen werden, dass das Backup funktioniert.

---

Backup wiederherstellen

Das Wiederherstellen eines Backups ist ausschließlich mit der Konfiguration möglich, die während des Backup-Laufes aktiv war, da das Backup von der Konfigurations-ID abhängig ist.

Backupliste

Da die Backup-Jobs verschiedene Formate und/oder verschiedene Speicherorte haben, ist die Funktion bei den einzelnen Jobs eingefügt.
Ein Backup muss zuvor ausgewählt werden: Wählen Sie ein Backup zur Wiederherstellung

Die Schaltfläche Aktualisieren aktualisiert die Auflistung der Backups und mit einem Klick auf Wiederherstellen wird die Wiederherstellung gestartet.

---

Backup löschen

Um ein nicht weiter benötigtes Backup löschen zu können, wird unter Backup Jobs bei Wählen Sie ein Backup zur Wiederherstellung das Backup ausgewählt, welches gelöscht werden soll.

Der Hinweis-Pop-Up

Wird ohne ausgewähltes Backup auf die Schaltfläche Backup löschen geklickt, erscheint ein Hinweis-Pop-Up.

Das Warnfenster zum Löschvorgang eines Backups

Wird auf die Schaltfläche Backup löschen geklickt, erscheint ein Fenster mit einer Sicherheitsabfrage.
Dies dient zur Abfrage, ob dieses Backup auch wirklich gelöscht werden soll.

Der Löschvorgang kann einige Zeit dauern.

---

Abschließende Information

Enthalten sind in einem Archiv-Backup

• sämtliche E-Mails
• E-Mail-Anhänge
• Dokumente
• und Sicherungsinformationen (z.B. der Verschlüsselungscode)

Nicht enthalten sind die

• Index-Datenbanken
  Diese müssen neu erstellt werden.
  Dieses geschieht in der Regel, wenn der Benutzer das erste Mal nach dem Wiederherstellen eines Backup über die Benutzeroberfläche des UMA auf seine Dokumente zugreifen möchte.
  
  Der erste Login wird dann etwas länger dauern als gewohnt, da die Index Datenbank für diesen Benutzer zunächst erneut angelegt werden muss.