Migration zu UCs, zusätzliches LDAP-Attribut nötig - nicht univentionFreeAttribute

Hallo Forum,

wir testen gerade UCS und möchten damit unseren alten Samba-Standalone ablösen. Alles prima, aber wir benötigen ein zusätzliches Attribut im LDAP, welches wir mit

udm users/user create --set specialAttrib0815

vorgeben möchten. Das geht prima mit den univentionFreeAttributes, aber unser Attribut, muss im LDAP ebenso specialAttrib0815 heißen und nicht nur univentionFreeAttribute1.

Geht das, ohne dass wir den ganzen UCS verbiegen müssen? Ich konnte nichts dazu finden.

Vielen Dank.

Siegmar

Diese Attribute sind genau für “einfache” Fälle da. Die Frage wird sein, was einfacher ist: Schema erweitern und UDM-Integration schreiben, oder die andere Software so umkonfigurieren, dass univentionFreeAttribute1 statt specialAttrib0815 genutzt wird.

Alles andere, also mit neuen Attributen, müsstet ihr über ein eigenes, zusätzliches LDAP-Schema einfügen.

Ähnlich wie bei Active Directory und FreeIPA kann man mit ldapmodify arbeiten, man “möchte” das aber in der Regel nicht. Bei UCS wäre das also über udm-Befehle oder die UMC, dann wird es korrekt abstrahiert. Das bedeutet, dass ihr nebst dem Schema auch eine UDM/UMC-Integration einbringen und selber warten müsst.

Ihr müsst das für euch abwägen, ob ihr die Arbeit und Wartung v.a. letzterer UDM-Integration auf euch nehmen wollt. Unmöglich und beliebig kompliziert wäre es nicht. Vermutlich würde Univention oder ein Partner euch auch dabei helfen können. Ihr müsst euch auch überlegen, wie es punkto Support längerfristig entsprechend aussieht. Bei Upgrades müsstet ihr also auch die Kompatibilität testen und evtl. Sachen überarbeiten.

Es gibt Pakete, die eigene Schemas mitbringen, z.B. univention-saml-schema, da könntet ihr euch etwas einen Blick verschaffen, was man alles tun müsste.

Es gibt auch etwas dazu in der Developer reference:
https://docs.software-univention.de/developer-reference-4.4.html#settings:ldapschema

Hoffe das gibt euch etwas Futter zum nachdenken.

Danke für deine Antwort. Macht alles natürlich Sinn :confused: Wir sparen uns erstmal die Schema-Erweiterung und verbiegen die Anwendung, die das braucht :slight_smile: Für die Nachwelt - als Alternative hätten wir noch einen LDAP-Proxy gesehen, der diese Attribute verändert auf dem Weg.

Ja, der LDAP-Proxy wäre natürlich auch etwas, aber für 1 Attribut was schon fast mit Kanonen auf Spatzen geschossen. :wink:

Wenn man natürlich einige Attribute mal beisammen hat, macht so eine eigene Schemaerweiterung natürlich wieder mehr Sinn.

Viel Erfolg bei der Umsetzung!

Mastodon