Sehr geehrter Herr Müller,
Die Richtlinien, die Sie mit dem Univention Admin anlegen können, bieten die Möglichkeit für einzelne LDAP-Objekte oder Gruppen von Objekten Voreinstellungen zu treffen.
Um Zugriffsrechte auf LDAP-Objekte, in Ihrem Fall Benutzer- und Computer-Objekte, festzulegen können die Richtlinien nicht verwendet werden. Dafür werden die ACLs (Access Control Lists) verwendet. Diese werden in der Konfigurationsdatei des slapd (/etc/ldap/slapd.conf) eingetragen und definieren Wer (anhand einer DN oder eines DN-Muster) auf welche LDAP-Objekte mit welchen Rechten Zugriff hat. Das folgende Beispiel definiert, dass das LDAP-Objekt des Benutzers Administrator nur durch die Gruppe ‘Domain Admins’, den Benutzer root und dem Benutzer Administrator selbst bearbeitet (write) werden darf. Alle anderen dürfen das Objekt nur lesen.
access to dn="uid=Administrator,cn=users,dc=13test26,dc=de"
by group/univentionGroup/uniqueMember="cn=Domain Admins,cn=groups,dc=13test26,dc=de" write
by dn.base="uid=root,cn=users,dc=13test26,dc=de" write
by self write
by * read break
Eine Lösung für Ihr erstes Problem wäre dann zwei Gruppen anzulegen und diese mit den entsprechenden Rechten (ACLs) auszustatten, damit sie die Computer- bzw. Benutzer-Objekte bearbeiten können.
Wenn Sie die ACLs bearbeiten wollen, sind dabei zwei Dinge zu beachten:
[ol]
[li] Fehler in den ACL-Definition können dazu führen, dass Unberechtigte Zugriff auf eigentlich geschützte Daten erhalten[/li]
[li] Die Konfigurationsdatei /etc/ldap/slapd.conf wird in einem Univention Baseconfig Template verwaltet, d.h. wenn Sie zusätzliche ACLs definieren wollen dann sollten Sie unter /etc/univention/templates/files/etc/ldap/slapd.conf.d/ eine neue Datei anlegen in der dann Ihre ACLs separat definiert werden können.[/li][/ol]
Zu ihrem zweiten Problem: Mit dem Univention Admin können nur Freigaben verwaltet werden, die auf einem anderen UCS System liegen.