Anbindung an bestehende AD Domäne - User fehlen

german
ad-connection

#1

Hallo,

ich habe ein UCS System in eine bestehende AD Struktur mit einem SBS 2003 eingebunden. Das Ziel soll sein, zu einem späteren Zeitpunkt den SBS mittels Takeover in Rente zu schicken und diesen mit UCS und Kopano abzulösen.
Die Einbindung hat soweit gut funktioniert und das UCS System ist in der Domain. Es fehlen jedoch über die hälfte der eingerichteten Benutzer. Von ca 40 Usern werden mir im UCS nur 18 angezeigt.
Hat da jemand eine Idee?


Fehlende Benutzer
#2

Huhu,

Das klingt doch vertraut. Dieses Thema beschreibt die gleichen Symptome. Dort hat sich herausgestellt, dass im AD gewisse Attribute (uSNCreated, uSNChanged) an den Benutzer-Objekten schlicht fehlen. Da der AD-Connector aber genau anhand dieser Attribute auf Veränderungen filtert, fallen diese Benutzerobjekte schlicht immer heraus.

Die Attribute sollten normalerweise in einem AD immer da sein, so wie ich die Microsoft-Seiten verstanden hab, die ich dazu gelesen hab.

Posten Sie bitte mal die Ausgabe von folgendem Befehl:

univention-adsearch 'objectclass=user' dn,usncreated,usnchanged,samaccountname

Außerdem bräuchte ich bitte die Loginnamen von zwei, drei Usern, die im UCS nicht zu finden sind.

LG,
mosu


#3

Hallo

Ich habe den verlinkten Thread mal durchgesehen und ja, das hört sich genauso an. Leider haben die dort vorgeschlagenen Lösungen nichts gebracht.
Hier die Ausgabe von univention-adsearch
Ich habe die Ausgabe etwas angepasst und personenbezogene Daten raus genommen.

User die fehlen sind z. B. “Rezeption 01”, “Rezeption 02” und “Azubi”.

root@ij-ucs-master:~# univention-adsearch 'objectclass=user' dn,usncreated,usnchanged,samaccountname
#
# univention-adsearch
# filter: objectclass=user
#

DN: CN=KOMMUNIKATION,OU=Domain Controllers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2915830
uSNCreated: 11539
sAMAccountName: KOMMUNIKATION$

DN: CN=Administrator,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2924854
uSNCreated: 11535
sAMAccountName: Administrator

DN: CN=DC2,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 33102
uSNCreated: 11534
sAMAccountName: DC2$

DN: CN=Backup User,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12438
uSNCreated: 12438
sAMAccountName: SBS Backup User

DN: CN=krbtgt,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 11508
uSNCreated: 11508
sAMAccountName: krbtgt

DN: CN=Gast,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 65654
uSNCreated: 11518
sAMAccountName: Gast

DN: CN=Administrator Template,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12437
uSNCreated: 12437
sAMAccountName: Administrator Tmpl

DN: CN=IUSR_KOMMUNIKATION,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12433
uSNCreated: 12433
sAMAccountName: IUSR_KOMMUNIKATION

DN: CN=IUSR_DC2,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: IUSR_DC2

DN: CN=Mobile User Template,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: Mobile User Tmpl

DN: CN=User Template,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: User Tmpl

DN: CN=Power User Template,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12436
uSNCreated: 12436
sAMAccountName: Power User Tmpl

DN: CN=STS Worker,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: SBS STS Worker

DN: CN=SUPPORT_388945a0,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12435
uSNCreated: 12435
sAMAccountName: SUPPORT_388945a0

DN: CN=SystemMailbox{F6BC0B8C-E79F-43A3-BC5A-74EBB88D8818},CN=Microsoft Exchange System Objects,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: F6BC0B8C-E79F-43A3-B

DN: CN=IWAM_KOMMUNIKATION,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 12434
uSNCreated: 12434
sAMAccountName: IWAM_KOMMUNIKATION

DN: CN=Rezeption,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2918810
uSNCreated: 12458
sAMAccountName: rezeption

DN: CN=XP-SERVER,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2931137
uSNCreated: 12520
sAMAccountName: XP-SERVER$

DN: CN=PC-WIN2000,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2915083
uSNCreated: 12523
sAMAccountName: PC-WIN2000$

DN: CN=IWAM_DC2,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: IWAM_DC2

DN: CN=IWAM_KOM2009,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: IWAM_KOM2009

DN: CN=IUSR_KOM2009,CN=Users,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: IUSR_KOM2009

DN: CN=PC-BUCH7,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 1689150
uSNCreated: 61480
sAMAccountName: PC-BUCH7$

DN: CN=eglobal,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2924571
uSNCreated: 93226
sAMAccountName: eglobal

DN: CN=PCxxxxx,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2919481
uSNCreated: 101593
sAMAccountName: PCxxxxx$

DN: CN=ij-nas,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2426379
uSNCreated: 501005
sAMAccountName: ij-nas$

DN: CN=REZEPTION,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 1595085
uSNCreated: 520356
sAMAccountName: REZEPTION$

DN: CN=IJ-SRV2012,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2913593
uSNCreated: 524888
sAMAccountName: IJ-SRV2012$

DN: CN=Rezeption 01,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: rezeption01

DN: CN=info imap,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: info-imap

DN: CN=Azubi,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: Azubi

DN: CN=IJ-WERKSTATT-XP,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 1561906
uSNCreated: 1324984
sAMAccountName: IJ-WERKSTATT-XP$

DN: CN=Rezeption 02,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: rezeption02

DN: CN=Installation,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 1578342
uSNCreated: 1487640
sAMAccountName: installation

DN: CN=IJ-WERK-JD,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2920614
uSNCreated: 1565675
sAMAccountName: IJ-WERK-JD$

DN: CN=backup,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 1581104
uSNCreated: 1581067
sAMAccountName: backup

DN: CN=IJ-DATEV8,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2916211
uSNCreated: 1688975
sAMAccountName: IJ-DATEV8$

DN: CN=gastrokasse,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: gastrokasse

DN: CN=IJ-SRV-TS01,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2931717
uSNCreated: 2061670
sAMAccountName: IJ-SRV-TS01$

DN: CN=Test Testus,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: test

DN: CN=gug,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2910985
uSNCreated: 2285792
sAMAccountName: gug

DN: CN=werkstatt,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: werkstatt

DN: CN=IJ-OFFICE-TJ10,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2916091
uSNCreated: 2629385
sAMAccountName: IJ-OFFICE-TJ10$

DN: CN=IJ-WS-ROESSEL10,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2915660
uSNCreated: 2630317
sAMAccountName: IJ-WS-ROESSEL10$

DN: CN=kormoran,OU=Mitarbeiter,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: kormoran

DN: CN=scanner\0ADEL:3416c5b7-26b6-4fed-a237-d2d0dcf9bba7,CN=Deleted Objects,DC=xxxxx,DC=xxxxx,DC=de
sAMAccountName: scanner

**DN: CN=scanner,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=xxxxx,DC=xxxxx,DC=de**
**sAMAccountName: scanner**


DN: CN=ij-ucs-master,CN=Computers,DC=xxxxx,DC=xxxxx,DC=de
uSNChanged: 2928689
uSNCreated: 2928682
sAMAccountName: ij-ucs-master$

#
# results: 82
#

root@ij-ucs-master:~#


#4

Moin,

Und bei allen dreien fehlen die besagten Attribute. Leider habe ich hier keine Lösung für dich. Die Attribute müssen Windows-AD-seitig schlicht vorhanden sein, weil ansonsten Synchronisation nicht möglich ist. Selbst wenn die Benutzer initial übernommen würden, wäre es schlicht nicht möglich, von außen zu erkennen, ob sich ein Benutzer seitdem geändert hat. Genau dafür ist das Attribut von Microsoft vorgesehen.

Univentions AD-Connector ist auch nicht die einzige Software mit so einem Problem, wenn usnChanged nicht existiert…

Gruß,
mosu


#5

Kurz zur Info:
Ich habe jetzt alle User drin. Ich kann mir nicht wirklich erklären warum.
Ich habe die synchro der Passwörter eingerichtet und plötzlich waren alle da. Bin nach dieser Anleitung vorgegangen:

https://help.univention.com/t/speed-up-ldap-binds-on-ad-member-mode-systems/41

Jemand eine Erklärung? Ist das sicher?


#6

Hochgradig interessant. Ich habe leider keine Erklärung hierfür.

Die Synchronisation der Passworthashes selber ist sicher, und die Speicherung auch (stehen ja auch nicht anders als normale UCS-User im LDAP).

Rein aus Interesse: kannst du bitte noch mal schauen, ob die Accounts, bei denen die Attribute vorher gefehlt haben, die Attribute nun doch wieder besitzen? Also sowas wie…

univention-adsearch CN=Azubi dn,usncreated,usnchanged,samaccountname

#7

Hab gerade mal geschaut.
Ja, alle Objekte haben jetzt die Attribute.


#8

Wirklich faszinierend :slight_smile:


#9

Jip.
Ist mir gerade aber auch egal. Ich bin einfach froh dass jetzt alle da sind. :slight_smile: