> For the complete documentation index, see [llms.txt](https://wiki.lucysecurity.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.lucysecurity.com/lucy-wiki-de/anwendungsreferenz/einstellungen/allgemeine-systemeinstellungen/ldap-server.md). # LDAP-Server ### Einführung LUCYs LDAP-Integration ermöglicht Administratoren Folgendes: 1. **Benutzer und Empfänger importieren:** Direkt aus dem Verzeichnisdienst der Organisation, was die Benutzerverwaltung vereinfacht. 2. **Zugriff autorisieren:** Im Admin-Console, im Endbenutzer-Portal und auf der Awareness-Website, wodurch ein sicherer und angemessener Benutzerzugriff gewährleistet wird. {% hint style="info" %} **Active-Directory-Synchronisierungstool für Windows** Zusätzlich zur direkten LDAP-Integration bietet LUCY ein Synchronisierungstool für Windows. Dieses Tool ermöglicht die Synchronisierung Ihrer Active-Directory-Gruppen mit LUCY; die gesamte Kommunikation erfolgt über die API. Detaillierte Informationen und Einrichtungsanweisungen finden Sie in den [Anweisungen zum LDAP-Synchronisierungstool](broken://pages/a2ac1ef7b1d9cb4106d2bbf566a996058c4277f9). {% endhint %} ### Einrichtung der LDAP-Verbindung in LUCY Um die LDAP-Verbindung in LUCY zu konfigurieren, befolgen Sie diese Schritte: Navigieren Sie zu Einstellungen → Allgemeine Systemeinstellungen -> LDAP-Server.
Wählen Sie „Server hinzufügen“ {% tabs %} {% tab title="Name" %} Geben Sie einen passenden Namen für diesen LDAP-Server an {% endtab %} {% tab title="Mandant" %} Aus Gründen der Datentrennung haben Sie die Möglichkeit, den konfigurierten LDAP-Server einem bestimmten Mandanten zuzuordnen. Dadurch wird sichergestellt, dass Benutzer- und Gruppeninformationen vom LDAP-Server ausschließlich dem zugewiesenen Mandanten zur Verfügung stehen.\ \ Alternativ können Sie den LDAP-Server für **alle** Mandanten zugänglich machen und so ein zentrales Authentifizierungs- und Benutzerverwaltungssystem in Ihrer gesamten Organisation bereitstellen. Diese Option ist besonders nützlich für Organisationen, die ihre Abläufe vereinfachen und eine einheitliche Benutzerdatenbank über mehrere Mandanten oder Abteilungen hinweg beibehalten möchten. {% endtab %} {% tab title="Adresse" %} Geben Sie die IP-Adresse Ihres LDAP-Servers ein. {% endtab %} {% tab title="Port" %} 1. **Port 389:** Dies ist der Standardport für LDAP-(Lightweight Directory Access Protocol)-Verbindungen. LDAP ist ein offenes, herstellerneutrales Protokoll für den Zugriff auf und die Pflege verteilter Verzeichnisinformationsdienste über ein Internetprotokoll-(IP)-Netzwerk. Port 389 wird für LDAP-Verbindungen verwendet, die standardmäßig nicht gesichert sind. Er eignet sich für Szenarien, in denen der LDAP-Datenverkehr auf ein sicheres internes Netzwerk beschränkt ist. 2. **Port 636:** Dieser Port ist für LDAP über SSL-(Secure Sockets Layer)-Verbindungen vorgesehen, gemeinhin als LDAPS bezeichnet. Beim Verbinden mit einem LDAP-Server über Port 636 wird die Kommunikation verschlüsselt, was Vertraulichkeit gewährleistet und die Informationen auf ihrem Weg über das Netzwerk schützt. Dieser Port wird empfohlen, wenn LDAP-Abfragen über öffentliche Netzwerke durchgeführt werden oder eine erhöhte Sicherheit erforderlich ist. 3. **Port 3268:** Dies ist der Standardport für LDAP-Verbindungen zum Global-Catalog-Dienst in Microsoft Active Directory. Der Global Catalog ist ein verteiltes Datenrepository, das eine durchsuchbare, teilweise Darstellung jedes Objekts in jeder Domäne einer Active-Directory-Domain-Services-(AD DS)-Gesamtstruktur mit mehreren Domänen enthält. Er ermöglicht Benutzern, das Verzeichnis nach Objekten wie Benutzerkonten und Gruppen über alle Domänen hinweg zu durchsuchen, ohne den Domänennamen kennen zu müssen. 4. **Port 3269:** Dieser Port wird für LDAP-über-SSL-Verbindungen zum Global Catalog verwendet. Er ähnelt Port 3268, bietet jedoch die zusätzlichen Sicherheitsvorteile der SSL-Verschlüsselung. Dies ist wichtig für Global-Catalog-Abfragen, die sicher sein müssen, und besonders kritisch, wenn auf den LDAP-Server über ein unsicheres Netzwerk oder das Internet zugegriffen wird. {% endtab %} {% tab title="Basis-DN" %} Geben Sie das Root-RDN Ihres LDAP-Servers ein (z. B. „dc=domain,dc=com“). {% endtab %} {% tab title="Authentifizierungsmethode" %} 1. **Einfache Authentifizierung:** * Bei dieser Methode werden die Zugangsdaten des Benutzers (normalerweise ein Distinguished Name (DN) zusammen mit einem Passwort) im Klartext an den LDAP-Server gesendet. Sie ist die gängigste Authentifizierungsmethode für LDAP-Bind-Vorgänge, wobei sich „Binding“ auf den Prozess der Authentifizierung eines Clients gegenüber dem LDAP-Server bezieht. * Die einfache Authentifizierung ist unkompliziert, hat aber Sicherheitsauswirkungen, da die Zugangsdaten nicht verschlüsselt werden, sofern nicht die Verbindung selbst abgesichert ist, zum Beispiel durch SSL/TLS (LDAP über SSL oder LDAPS). Sie eignet sich für Umgebungen, in denen Sicherheit auf andere Weise gewährleistet werden kann, etwa über verschlüsselte Kanäle. 2. **Anonyme Authentifizierung:** * Die anonyme Authentifizierung ermöglicht es einem Client, sich bei einem LDAP-Server ohne Angabe von Zugangsdaten zu binden. Diese Methode wird hauptsächlich für den Abruf öffentlicher Informationen verwendet, bei denen keine individuelle Benutzerauthentifizierung erforderlich ist. * Sie bietet nur eingeschränkte Zugriffsrechte und erlaubt dem Client in der Regel lediglich, öffentliche Einträge innerhalb des LDAP-Verzeichnisses abzufragen oder anzuzeigen. Die anonyme Authentifizierung wird nicht für Umgebungen empfohlen, in denen der Zugriff auf sensible Daten kontrolliert oder protokolliert werden muss, da sie den Benutzer nicht eindeutig identifiziert. {% endtab %} {% tab title="Benutzer-DN" %} Geben Sie den Distinguished Name des Benutzers an, der die Berechtigung hat, LDAP-Abfragen auszuführen. In diesem Beispiel ist es „cn=Administrator,cn=Users“. {% endtab %} {% tab title="Passwort" %} Geben Sie das mit dem Benutzer-DN verknüpfte Passwort zur Authentifizierung ein. {% endtab %} {% tab title="Objektklasse" %} Die `objectClass` ist in LDAP ein entscheidendes Attribut, das definiert, welche Art von Daten ein Eintrag im LDAP-Verzeichnis darstellt. Es ist wie ein Bauplan, der vorgibt, welche Attribute (z. B. ein Benutzername, eine E-Mail-Adresse oder eine Telefonnummer) für diesen Eintrag erforderlich und welche optional sind. Wenn Sie Lucy mit einem LDAP-Server verbinden, hilft Ihnen der `objectClass` dabei, die Typen von Einträgen anzugeben und zu identifizieren, mit denen Sie interagieren möchten.\ \ Wenn Ihre Anwendung beispielsweise Benutzer authentifizieren muss, werden Sie wahrscheinlich Einträge mit einem `objectClass` von `Benutzer` oder `inetOrgPerson`, da diese Klassen dafür ausgelegt sind, Benutzerkonten in einem LDAP-Verzeichnis darzustellen. \ \ Wenn Sie das `objectClass` Attribut leer lassen, wenn Sie Lucy mit einem LDAP-Server verbinden, wird die Suche nicht auf einen Objekttyp beschränkt. Das bedeutet, dass die LDAP-Abfrage möglicherweise alle Objekte innerhalb des Suchbasisbereichs zurückgeben könnte, unabhängig von ihrer Klasse. {% endtab %} {% tab title="Filter" %} Wenn Sie Lucy mit einem LDAP-Server verbinden, wird der Filter verwendet, um festzulegen, welche Einträge im LDAP-Verzeichnis Sie abrufen und verwenden möchten. Ein gut definierter Filter ist entscheidend für eine effiziente Datenabfrage und die Systemleistung und stellt sicher, dass Lucy nur mit den relevanten Einträgen interagiert. 1. **Definition des Umfangs:** Der Filter hilft dabei, die Suche auf bestimmte LDAP-Objekte einzugrenzen, die für Lucys Vorgänge wichtig sind. Wenn Lucy beispielsweise Benutzerkonten synchronisieren muss, würde ein Filter wie `(objectClass=user)` nur Benutzerobjekte ansprechen. 2. **Leistungssteigerung:** Durch die Verwendung von Filtern fragt Lucy den LDAP-Server nur nach den erforderlichen Daten ab. Ohne einen geeigneten Filter könnte der Server eine große Datenmenge zurückgeben, was sowohl den LDAP-Server als auch Lucy verlangsamen und zu längeren Ladezeiten und möglichen Timeouts führen könnte. 3. **Verbesserung der Sicherheit:** Filter verhindern die unnötige Offenlegung von Verzeichnisinformationen. Wenn Lucy beispielsweise einen Filter verwendet, würde sie keine privilegierten Konten abrufen oder darauf zugreifen, wenn sie nur reguläre Benutzerkonten benötigt. 4. **Operative Spezifität:** Filter können auch Kriterien enthalten, die auf betrieblichen Anforderungen basieren. Wenn Lucy beispielsweise für eine bestimmte Abteilung verwendet wird, könnte ein Filter wie `(&(objectClass=user)(department=Marketing))` verwendet werden, um nur Benutzer aus der Marketingabteilung abzurufen. 5. **Attributauswahl:** Filter können so gestaltet werden, dass sie Einträge mit bestimmten Attributen enthalten, wie z. B. E-Mail-Adressen oder Berufsbezeichnungen, die für Lucys Funktionen wie Phishing-Simulationen oder Schulungsmodule erforderlich sein könnten. 6. **Vermeidung von Datenüberlastung:** Durch das Ausschließen unnötiger Objektklassen oder Attribute helfen Filter Lucy dabei, Datenüberlastung zu vermeiden und die Reaktionszeit der Anwendung zu verbessern. {% endtab %} {% tab title="Maximale Seitengröße" %} Ein Feld zur Begrenzung der Anzahl der Einträge, die in einer einzelnen Suchabfrage zurückgegeben werden. \ \ Die Anzahl der Benutzer, die bei jeder Anfrage an den LDAP-Server abgerufen wird. Dies sollte auf der Konfiguration des LDAP-Servers basieren. Die Standardabrufmenge beträgt 1000. {% endtab %} {% endtabs %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://wiki.lucysecurity.com/lucy-wiki-de/anwendungsreferenz/einstellungen/allgemeine-systemeinstellungen/ldap-server.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.