Nextcloud LDAP- und Active Directory-Anmeldung einrichten

Um LDAP- oder Active Directory-Konten in Nextcloud zu verwenden, aktivieren Sie die App „LDAP-Benutzer- und Gruppen-Backend“, konfigurieren Sie eine Verzeichnisverbindung und testen Sie anschließend Benutzer-, Anmelde- und Gruppenfilter, bevor Sie diese für Ihre Mitarbeiter freigeben. Die LDAP-Integration von Nextcloud authentifiziert sich gegenüber dem Verzeichnis; sie erstellt oder verwaltet keine Verzeichniskonten. Beginnen Sie mit einem schreibgeschützten Dienstkonto und einer kleinen, bekannten Testgruppe, um genau zu überprüfen, wer angezeigt wird und wer sich anmelden kann.

Diese Schritte orientieren sich am Nextcloud 35-Administrationshandbuch. Menübezeichnungen und die Darstellung können je nach Version variieren. Konsultieren Sie daher das Handbuch Ihrer installierten Version, falls Abweichungen bestehen.

Bereiten Sie die Verzeichnisverbindung vor.

Bevor Sie die Nextcloud-Einstellungen öffnen, fragen Sie Ihren LDAP- oder AD-Administrator nach dem Verzeichnis-Hostnamen, der verschlüsselten Verbindungsmethode, dem Port, dem Basis-DN und einem Bind-Konto, mit dem die benötigten Benutzer- und Gruppenstrukturen durchsucht werden können. Nextcloud verwendet dieses Bind-Konto für die Suche in Verzeichniseinträgen; es ist von den Anmeldedaten der einzelnen Benutzer getrennt. Nextcloud empfiehlt die Verwendung eines dedizierten Suchkontos.

Verwenden Sie eine verschlüsselte Verbindung mit Zertifikatsprüfung. Nextcloud gibt Port 636 als LDAPS-Standard an. Die PHP-Umgebung des Nextcloud-Servers muss dem Verzeichniszertifikat vertrauen; deaktivieren Sie die Prüfung nicht routinemäßig. Klären Sie abweichende Transportprotokolle oder Ports mit Ihrem Verzeichnisadministrator ab.

Vergewissern Sie sich, dass das PHP-LDAP-Modul installiert ist (oft als Paket bereitgestellt php-ldap) und dass der Nextcloud-Server das Verzeichnis über den ausgewählten Port erreichen kann. Container- und verwaltete Bereitstellungen verwenden möglicherweise eigene Installationsmethoden.

Aktivieren Sie das LDAP-Backend und stellen Sie eine Verbindung zum Server her.

1. Melden Sie sich als Administrator bei Nextcloud an. Öffnen Sie „Apps“ und aktivieren Sie das LDAP-Benutzer- und Gruppen-Backend, falls es noch nicht aktiviert ist. Die verwendete Anwendungs-ID occlautet user_ldap:
2. Öffnen Sie die Administrationseinstellungen für die LDAP/AD-Integration und starten Sie eine neue Serverkonfiguration. Füllen Sie zuerst den Server- Tab aus; Nextcloud verwendet ihn, um die Verzeichnisverbindung zu testen und die Einstellungen für die anderen Tabs zu ermitteln.
3. Geben Sie den Verzeichnishost oder eine ldaps://URI, den Port (falls dieser nicht erkannt wird), den vollständigen Distinguished Name (DN) des Bind-Kontos, dessen Passwort und den Basis-DN ein. Der Basis-DN identifiziert den Teil der Verzeichnisstruktur, den Nextcloud durchsucht. Beispielsweise dc=example,dc=comist dies ein Format und kein Wert, der kopiert werden muss, es sei denn, er entspricht Ihrem Verzeichnis.
4. Führen Sie den Verbindungstest durch. Falls die Erkennung den Basis-DN oder Port nicht findet, geben Sie die von Ihrem Verzeichnisadministrator bereitgestellten Werte ein. Erweitern Sie den Basis-DN nicht nur, um den Test erfolgreich abzuschließen; verwenden Sie stattdessen den kleinsten Verzeichnisteilbaum, der die gewünschten Benutzer und Gruppen enthält.

Ein grüner Serverindikator bedeutet, dass Nextcloud mit den angegebenen Verbindungseinstellungen mit dem Verzeichnis kommunizieren kann. Er beweist jedoch nicht, dass sich die richtigen Benutzer anmelden können oder dass die Gruppenzugehörigkeit korrekt zugeordnet ist. Überprüfen Sie daher die Benutzer-, Anmelde- und Gruppeneinstellungen, bevor Sie die Integration als abgeschlossen betrachten.

Beschränken Sie, welche Konten sich anmelden können

Über den Tab „Benutzer“ legen Sie fest, welche LDAP-Einträge Nextcloud auflistet. Mit den Anmeldeattributen bestimmen Sie, welche Attribute ein Benutzer beim Anmelden eingeben darf. Es handelt sich dabei um separate Steuerelemente: Ein Benutzer kann im Verzeichnis auffindbar sein, ohne sich anmelden zu dürfen, und ein Anmeldefilter kann beeinflussen, welche Benutzer akzeptiert werden.

Für Active Directory kann Nextcloud gängige Einstellungen, einschließlich des Benutzernamens, automatisch erkennen. Der dokumentierte Standardbenutzername ist üblicherweise sAMAccountNamein AD und uidvielen LDAP-Verzeichnissen vorhanden. Überprüfen Sie den erkannten Wert anhand eines Testkontos. Wenn sich Benutzer mit E-Mail-Adressen anmelden sollen, wählen Sie das E-Mail-Attribut erst aus, nachdem Sie sichergestellt haben, dass es für jedes zulässige Konto ausgefüllt und eindeutig ist.

Beschränken Sie den Zugriff nach Möglichkeit auf eine dedizierte Nextcloud-Gruppe. Verwenden Sie dazu die Gruppenauswahl oder einen Filter, der anhand Ihrer Objektklasse, Gruppen-DN und Attribute getestet wurde. Kopieren Sie Beispielfilter nicht unverändert: Ein fehlerhafter Filter kann dazu führen, dass keine Benutzer oder eine unbeabsichtigt größere Gruppe zurückgegeben wird.

Wählen Sie unter „Gruppen“ die Gruppenobjektklasse des Verzeichnisses und die anzuzeigenden Gruppen aus. Standardmäßig sind keine Gruppen verfügbar, bis sie konfiguriert wurden. Nextcloud weist darauf hin, dass die Option „Verschachtelte Gruppen“ allein für verschachtelte AD-Gruppen möglicherweise nicht ausreicht: Die Benutzer- und Anmeldefilter benötigen unter Umständen auch die AD-Übereinstimmungsregel. Klären Sie dieses Verhalten mit Ihrem Verzeichnisadministrator und testen Sie ein verschachteltes Mitglied.

Testidentitäten vor der Produktion

1. Überprüfen Sie die erweiterten Einstellungen, ohne Optionen zu ändern, die Sie nicht verstehen. Legen Sie insbesondere fest, welches Feld den Anzeigenamen liefert, und lassen Sie die interne Benutzernamenregel unverändert.
2. Überprüfen Sie den Status „Konfiguration aktiv“ . Nextcloud warnt davor, dass eine deaktivierte Konfiguration zu einem Authentifizierungsfehler mit der irreführenden Meldung „Falsches Passwort“ führen kann; ein erfolgreicher Test aktiviert sie normalerweise automatisch.
3. Verwenden Sie „Konfiguration testen“ und speichern Sie anschließend. Die Schaltfläche testet die aktuell in den Feldern vorhandenen Werte, daher ist vor dem Test kein Speichern erforderlich.
4. Öffnen Sie die Nextcloud-Benutzerseite und prüfen Sie, ob die erwarteten Beispielbenutzer und -gruppen angezeigt werden. Testen Sie anschließend die Anmeldung mit einem zulässigen Verzeichniskonto und einem Konto, das ausgeschlossen werden soll.
5. Stellen Sie sicher, dass das zulässige Konto den korrekten Anzeigenamen, die korrekte Gruppenzugehörigkeit und das korrekte Kontingentverhalten aufweist. Falls ein Profilattribut oder ein LDAP-Kontingent konfiguriert ist, überprüfen Sie dies vor der breiten Einführung mit einem Testbenutzer.

Für Überprüfungen über die Befehlszeile ermitteln Sie zunächst die Konfigurations-ID mit occ ldap:show-config. Führen Sie anschließend den dokumentierten Testbefehl aus und ersetzen Sie dabei die ID durch diese.

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Passen Sie den Befehlspfad und das Webserver-Konto an Ihre Installation an; Container-Benutzer sollten occdie Vorgehensweise ihres Images befolgen. Der erste Befehl testet die Bindung, der zweite überprüft die Zuordnung eines Benutzers.

Wissen Sie, was die Integration nicht ändert?

Das LDAP-Backend liest Verzeichniskonten; es erstellt, bearbeitet oder löscht sie nicht. Passwortänderungen in Nextcloud sind optional und hängen von der Verzeichnisunterstützung und -konfiguration ab. Andernfalls müssen Benutzer den regulären Passwortzurücksetzungsprozess ihrer Organisation verwenden.

Nextcloud speichert interne Zuordnungen, und interne Benutzernamen sind praktisch unveränderlich; sie können in Home-Verzeichnispfaden und DAV-URLs vorkommen. Wählen Sie vor der Benutzerregistrierung einen stabilen Bezeichner. Löschen Sie niemals LDAP-Zuordnungen in einer Produktionsumgebung als schnelle Lösung zur Fehlerbehebung, da dies zu verbleibenden Verweisen führen und alle LDAP-Konfigurationen beeinträchtigen kann.

Schlägt der Test fehl, überprüfen Sie die Nextcloud-Protokolle, DNS-Einstellungen, Portzugriffe, Anmeldeinformationen, den Basis-DN und die Zertifikatsvertrauensstellung. Werden keine Benutzer angezeigt, überprüfen Sie die Benutzerfilter und Objektklassen. Werden Benutzer angezeigt, können sich aber nicht anmelden, überprüfen Sie die Anmeldeattribute und den Aktivierungsstatus. Vergewissern Sie sich, dass die Anmeldung mit einem zulässigen Konto erfolgreich war und ein ausgeschlossenes Konto abgewiesen wurde.

Referenzen: Nextcloud 35 LDAP-Authentifizierungsdokumentation , Nextcloud 35 LDAP occ-Befehle und Nextcloud PHP-Modulanforderungen .