Wird LDAP-Synchronisation unterstützt? Wie können wir dies einrichten?

Mit LDAP geben Sie Ihren E-Mail-Benutzern die Möglichkeit, sich mit den bestehenden E-Mail-Anmeldeinformationen in das Spampanel von EuropeanMX einzuloggen. Dadurch müssen sich die Benutzer nur noch eine statt zwei Anmeldeinformationen merken.

Die 2-Faktor-Authentifizierung kann auch mit LDAP verwendet werden. Passwortänderungen oder -wiederherstellungen sind dann allerdings nur über Ihren LDAP-Server möglich, da die Anmeldeinformationen dort gespeichert und verwaltet werden. Im Normalfall können keine E-Mail-Benutzer hinzugefügt oder einfach entfernt werden, da diese durch die Aktivierung von LDAP automatisch wieder hinzugefügt werden. Der einzigste Grund, einen oder mehrere Benutzer hinzuzufügen, ist, diese daran zu hindern sich in das EuropeanMX Spampanel einzuloggen. Hierfür können Sie den Status einfach auf inaktiv setzen.

LDAP wird nur auf E-Mail-User-Level unterstützt. Zugriff für den Domainadmin wird mit LDAP nicht unterstützt. Aus diesem Grund muss als Benutzername auch Ihre E-Mail-Adresse (z.B. test@example.de) verwendet werden. Damit die LDAP-Integration mit unserem Spampanel funktioniert, muss der LDAP-Server also eine E-Mail-Adresse und nicht den Benutzernamen authentifizieren.

• Wie kann ich die LDAP-Authentifizierung aktivieren?
  
• Welche Vorraussetzungen gelten für die Nutzung der LDAP-Synchronisation?
  
• Alternativen zur Einzelanmeldung
  
• LDAP-Benutzerprüfung 

Wie kann ich die LDAP-Authentifizierung aktivieren?

Loggen Sie als Domainadmin in das Adminpanel und wählen Sie unter Benutzer & Berechtigungen den Punkt E-Mail-Benutzer verwalten aus. In dieser Ansicht können Sie die Option LDAP Authentifizierung finden. Dort müssen Sie die folgenden Werte hinzufügen:

• Authentifizierungsmodus: Wählen Sie den Modus AD, wenn Sie ActiveDirectoy (z.B. Exchange) verwenden. Den Modus LDAP verwenden Sie, wenn Sie ein einfaches LDAP (z.B. Zimbra oder OpenLDAP) verwenden.
  
• Domain Controller: Mit dieser Option haben Sie die Möglichkeit zwischen der Verwendung der LDAP-Authentifizierung für E-Mail-Benutzer (bei Angabe des Domain-Controllers) und der normalen Authentifizierung umzuschalten (Eintrag leer lassen). Zur Aktivierung geben Sie bitte die IP oder den Hostnamen des Domaincontrollers an. Z. B.
  • Domaincontroller: ldap.beispiel.de
  • Port: 389 (unsicher) oder 636 (TLS)
  • z. B. ldap.beispiel.de:636
    
• Sicherheitsprotokoll: Wenn Sie eine gesicherte Verbindung für die LDAP-Authentifizierung verwenden möchten, dann wählen Sie hier entweder TLS oder SSL aus.
  
• BaseDN (notwendig): Dies sollte der Ausgangspunkt der DNs sein, die alle Benutzer Ihrer Domain und keine fremden Benutzer enthält. Wenn der DN des Benutzers CN=test,CN=users,DC=exchange,DC=example,DC=de lautet, dann sollte der Wert des Feldes CN=Users,DC=exchange,DC=example,DC=de sein.
  
• BaseDN Format: Wenn Sie den an Ihren Server übergebenen bind-Benutzernamen überschreiben wollen, können Sie diese Option verwenden. Wenn Ihr userPrincipalName-Format zum Beispiel user@domain.local ist, geben Sie %(user)s@domain.local ein.
  
• Basissuche (notwendig): Tragen Sie hier den LDAP/AD-Wert ein, nach dem der Dienst bei der Anmeldung suchen soll und Ihre Benutzer eindeutig identifiziert. Lautet der Benutzer z. B. test@bw.beispiel.de und es gibt ein LDAP-Attribut wie sAMAccountName : test, dann können Sie sAMAccountName im Feld Basissuche angeben. Gibt es dieses Attribut nicht, aber eines, das auch den Domainnamen enthält (z.B. userPrincipalName: test@bw.beispiel.de), dann können Sie userPrincipalName=%n verwenden, um den Domainnamen anzuhängen. Andere mögliche Werte, die Sie verwenden können sind sAMAccountName, CN oder uid.

Sobald LDAP eingerichtet wurde, werden die Anmeldedaten automatisch beim ersten Verbindungsversuch eines E-Mail-Benutzers von uns überprüft.

Welche Vorraussetzungen gelten für die Nutzung der LDAP-Synchronisation?

• Alle Felder müssen in den LDAP-Einstellungen korrekt befüllt werden.
  
• Ihr LDAP-Server muss die Anmeldung mit der E-Mail-Adresse im folgenden Format erlauben: user@ldap.example.com.
  
• Es muss ein LDAP-Attribut verwendet werden, dass den Benutzer mit oder ohne Angabe einer Domain eindeutig identifiziert. Z. B. sAMAccountName= test oder userPrincipalName= user@ldap.example.de.
• Die E-Mail-Adressen der Benutzer können unterschiedlich zum aktuellen LDAP-Benutzer sein. In diesen Fällen muss der User aber weiterhin die Anmeldedaten des LDAP-Benutzers und nicht die der E-Mail-Adresse verwenden.
  
• Die Benutzer müssen das Mail-LDAP-Attribut besitzen.

Alternativen zur Einzelanmeldung

• Wenn Sie die LDAP-Benutzernamen und -Passwörter haben und Sie ein neues Postfach bereistellen möchten, dann können Sie die Logins mit der API synchronisieren oder die Details einfach per API weiterleiten.
• In EuropeanMX gibt es eine Funktion, um automatisch die Berichterstattung für einen neuen Empfänger zu aktivieren und in diesem Zuge dem Benutzer eine Begrüßungsnachricht per E-Mail mit den erforderlichen Zugangsdaten zu zusenden. Im Anschluss erhält der Benutzer täglich oder wöchentlich eine E-Mail mit einer Zusammenfassung der empfangenen Spamnachrichten seiner E-Mail-Adresse. Des Weiteren wird, sobald die erste Spam-Nachricht festgestellt wurde, dem Benutzer eine Begrüßungsnachricht zugeschickt, um ihn über die Aktivierung seiner persönlichen Quarantäne zu informieren. Zusätzlich ist in der Nachricht ein Login-Link enthalten, anhand dessen er sich direkt in das Spampanel einloggen kann. Mit dem ersten Login wird der Benutzer zur Liste E-Mail-Benutzer verwalten hinzugefügt. Weitere Informationen erhalten Sie unter "Wie kann ich E-Mail-Scout-Berichte erstellen und mir zusenden lassen?".

LDAP-Benutzerprüfung

Zur Vermeidung der Notwendigkeit einer Datenduplizierung, verwendet EuropeanMX erweiterte SMTP-basierte Empfängerverifikationsaufrufe. Ihr SMTP-Server übernimmt dabei die lokale LDAP-Suche um sicherzustellen, dass unser System die E-Mails für Ihre Postfächer immer korrekt verarbeitet. Um Ihren SMTP- und LDAP-Server vor einer Überflutung mit Abfragen zu schützen, haben wir eine erweiterte Wörterbuch-Angriffsbehandlung in unser System aufgenommen. Dieses System ist vollautomatisch, es werden keine Zugangsdaten von unserer Seite benötigt.