IT-Sicherheit
Univention Corporate Server
Univention Corporate Server (UCS) ist eine Debian-basierte Plattform des Herstellers Univention für Identitäts- und Domänen-Management (LDAP, Samba-AD, App Center).
- AGPLv3-Kern, Core kostenfrei
- Hersteller aus Bremen
- LDAP, Samba/AD, Kerberos
- AD-Alternative, App Center
- Souveränität (openDesk, Schule)
Univention Corporate Server (UCS) ist eine Debian-basierte Server-Plattform des Bremer Herstellers Univention für zentrales Identitäts- und Domänen-Management. Sie bündelt ein LDAP-Verzeichnis, Active-Directory-kompatible Domänendienste auf Samba-4-Basis, Kerberos sowie DNS/DHCP und tritt damit als quelloffene Alternative zu Microsoft Active Directory an.
Dieser Artikel erklärt die Domänenarchitektur und Systemrollen, die AD-Kompatibilität samt Connector, das App Center, das Lizenzmodell, den neuen Nubus-Stack und die Souveränitätsrelevanz in Deutschland sowie die Abgrenzung zu reinem LDAP, Keycloak und Microsoft AD.
1. Verzeichnis, Domäne und Verwaltung
UCS baut auf OpenLDAP als zentralem Verzeichnis auf und ergänzt eine Samba-4-basierte, Active-Directory-kompatible Domäne, Kerberos-Authentifizierung sowie LDAP-verwaltete DNS- und DHCP-Dienste. Verwaltet wird alles über die Univention Management Console (UMC) im Browser oder per Kommandozeile (udm). Damit ist UCS kein bloßer LDAP-Server, sondern ein vollständiges Domänen-Betriebssystem mit grafischer Verwaltung, Richtlinien und Schemaerweiterungen.
UCS bündelt das, was man sonst aus OpenLDAP, Samba, Kerberos, DNS/DHCP und einem Verwaltungswerkzeug selbst zusammensetzen müsste, zu einer integrierten, gepflegten Plattform. Genau das ist sein Wert und zugleich seine Kopplung.
2. Systemrollen und Replikation
Eine UCS-Domäne besteht aus mehreren Systemrollen, die über einen ereignisgesteuerten Listener/Notifier-Mechanismus repliziert werden:
- Primary Directory Node die einzige Instanz mit Schreibzugriff auf die zentrale Domänendatenbank; genau eine pro Domäne.
- Backup Directory Node vollständige, schreibgeschützte Kopie inklusive Zertifikate; im Notfall zum Primary beförderbar.
- Replica Directory Node schreibgeschützte, optional selektive Kopie für leseintensive Dienste am Standort.
- Managed Node ohne lokale Datenbankreplik; bezieht Domäneninformationen über das Netzwerk.
3. Active-Directory-Kompatibilität und Connector
Über Samba 4 stellt UCS eine AD-kompatible Domäne bereit, der Windows-Clients als Mitglieder beitreten. Der AD-Connector synchronisiert Verzeichnisobjekte (Benutzer, Gruppen, Container, Computer) mit einem bestehenden Microsoft Active Directory, wahlweise uni- oder bidirektional. Zu beachten sind dokumentierte Grenzen: Windows-Server können einer Samba-Domäne nur als Mitglied beitreten, nicht als Domänencontroller, und verschachtelte Gruppen sollten in solchen Kopplungen bevorzugt im AD gepflegt werden.
4. App Center
Das Univention App Center integriert Drittanwendungen als vorkonfigurierte Pakete, deren Anmeldung und Benutzerverwaltung über die UCS-Identität (LDAP und Keycloak) laufen. Beispiele sind Nextcloud Hub und OX App Suite; das verfügbare App-Angebot ändert sich über die Zeit. So lässt sich eine Anwendungslandschaft mit gemeinsamer Identität und Single Sign-on aufbauen, ohne jede App separat an ein Verzeichnis anzubinden.
5. Editionen, Lizenz und Nubus
Der von Univention entwickelte UCS-Code steht unter der AGPLv3 (Drittkomponenten behalten ihre Upstream-Lizenzen). Die Core Edition ist kostenfrei und auch in Unternehmen nutzbar, erhält Sicherheitsupdates aber nur für rund sechs Monate nach dem nächsten Release; die Enterprise Subscription (pro Nutzer und Jahr) bringt Support und einen deutlich längeren Update-Zeitraum, für den Bildungsbereich gibt es UCS@school. Mit Nubus bietet Univention zudem einen Kubernetes-nativen IAM-Stack, der denselben Kern (OpenLDAP, Keycloak, Directory-Management) als Container bereitstellt; UCS ist dabei die Bereitstellungsform auf Hardware oder VM. Seit UCS 5.2 ist Keycloak der standardmäßige Identity-Provider.
6. Souveränität in Deutschland
UCS und Nubus liefern den Identity-Layer hinter openDesk, der vom Zentrum für Digitale Souveränität (ZenDiS) entwickelten Open-Source-Alternative zu Microsoft 365 für die öffentliche Verwaltung (Nutzerverwaltung, Gruppen, Rollen, SSO und Zwei-Faktor-Authentifizierung). Laut Univention nutzen unter anderem das Robert Koch-Institut und Teile der Bundesverwaltung diese Basis; im Bildungsbereich setzt UCS@school auf dieselbe Plattform. Damit ist UCS ein häufig anzutreffender Baustein in deutschen Souveränitätsprojekten.
7. Abgrenzung und Grenzen
Gegenüber einem reinen OpenLDAP liefert UCS die komplette Domäneninfrastruktur samt Verwaltung; gegenüber Keycloak ist es komplementär, denn Keycloak ist der Protokoll-Broker für OIDC/SAML, während UCS Verzeichnis und Infrastrukturdienste mitbringt (in UCS ist Keycloak integriert). Gegenüber Microsoft AD bestehen Grenzen: Samba unterstützt keine Multi-Domain-Forests, Windows-Server treten nur als Mitglieder bei, und Gruppenrichtlinien wirken nur auf Windows-Clients. Aktuell ist UCS 5.2 (Februar 2025) mit laufenden Patch-Releases.
8. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Vollständige Domäneninfrastruktur (LDAP, Samba/AD, Kerberos, DNS/DHCP) mit grafischer Verwaltung | Stärkere Kopplung von Betriebssystem und Verwaltungsschicht; für reinen IDP/LDAP teils überdimensioniert |
| Quelloffen (AGPLv3-Kern), Core Edition kostenfrei, Hersteller aus Deutschland | Core Edition mit Sicherheitsupdates nur rund sechs Monate nach Folgerelease |
| AD-kompatibel mit Connector zur Kopplung an Microsoft AD | Kein Multi-Domain-Forest; Windows-Server nur als Mitglied, GPOs nur für Windows |
| App Center und Nubus; Identity-Layer in openDesk und im Bildungsbereich | Voller Funktionsumfang erfordert Einarbeitung in das UCS-Rollen- und Replikationsmodell |
Häufige Fragen zu Univention Corporate Server
UCS stellt über Samba 4 eine AD-kompatible Domäne bereit, der Windows-Clients beitreten, und kann per AD-Connector an ein bestehendes Microsoft AD gekoppelt werden. Einige AD-Eigenschaften fehlen jedoch, etwa Multi-Domain-Forests; Windows-Server können nur als Mitglieder, nicht als Domänencontroller beitreten.
Die Core Edition ist kostenfrei und auch kommerziell nutzbar, erhält Sicherheitsupdates aber nur rund sechs Monate nach dem nächsten Release. Die kostenpflichtige Enterprise Subscription bietet Support und einen längeren Update-Zeitraum.
Beide teilen denselben Identity-Kern (OpenLDAP, Keycloak, Directory-Management). UCS ist die Bereitstellung als Server auf Hardware oder VM, Nubus die Kubernetes-native Container-Variante desselben IAM-Stacks.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Univention Corporate Server im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.