Anmeldung & Verzeichnisse

Verzeichnisdienste (LDAP)

Active Directory, OpenLDAP oder ein anderes LDAP-Verzeichnis anbinden – Personen übernehmen, Gruppen zuordnen, mit dem Firmenkennwort anmelden.

Ein Verzeichnisdienst verbindet DDM mit dem Benutzerverzeichnis Ihrer Firma – meist Active Directory, aber jedes LDAP-Verzeichnis geht (OpenLDAP, FreeIPA, Samba, die LDAP-Schnittstelle von Okta oder JumpCloud …). Ist er eingerichtet,

legt DDM die Konten Ihrer Leute an – Sie laden niemanden einzeln ein,
ordnet sie Gruppen zu nach Ihren Regeln, sodass sie sofort die richtigen Kategorien sehen,
hält Namen, Adressen und Gruppen aktuell und sperrt Ausgeschiedene,
und Ihre Leute melden sich mit ihrem Firmenkennwort an – DDM speichert es nie.

Sie finden ihn im CMS unter Einstellungen › Verzeichnisdienste. Nur Administratoren sehen ihn.

Ab Tarif Professional verfügbar – siehe Tarife.

Bevor Sie beginnen

Halten Sie bereit – Ihre IT kennt die Angaben:

Die Adresse des Verzeichnisses

Hostname und Port eines Domänencontrollers oder LDAP-Servers, z. B. dc01.firma.local. Der DDM-Server muss ihn erreichen: On-Premise ist das meist so, bei einem gehosteten DDM muss das Verzeichnis von außen erreichbar sein (z. B. über eine Firewall-Freigabe für die Adresse von DDM).

Ein Dienstkonto

Ein Benutzer, der das Verzeichnis lesen darf – mehr nicht. DDM sucht damit nach Personen. Sein vollständiger Name (die Bind DN) sieht etwa so aus: CN=svc-ddm,OU=Dienstkonten,DC=firma,DC=local; im Active Directory geht auch svc-ddm@firma.local.

Wo Ihre Leute stehen

Die Base DN – der Teil des Verzeichnisses, unter dem Ihre Benutzer liegen, z. B. OU=Mitarbeiter,DC=firma,DC=local oder einfach DC=firma,DC=local.

Ihre E-Mail-Domain ist bestätigt

Unter Einstellungen › Organisation › E-Mail-Domains muss die Domain Ihrer Firma stehen und bestätigt sein – DDM legt nur Konten für Adressen einer bestätigten Domain an. Siehe Anmeldeverfahren.

Die Gruppen gibt es

Legen Sie die DDM-Gruppen, in denen die Personen landen sollen, vorher unter Gruppen an – siehe Gruppen und Rechte.

1. Verzeichnis anlegen

Klicken Sie oben rechts auf Neues Verzeichnis. Ein neues Verzeichnis namens „Verzeichnis" erscheint in der Liste und öffnet sich. Sein Name steht oben: Tippen Sie einen, den Ihre Kolleginnen und Kollegen wiedererkennen – z. B. „Zentrale AD" –, und klicken Sie woanders hin; gespeichert wird, sobald Sie das Feld verlassen. Der Name steht später unter Benutzer als Login-System der Person.

Feld	Was Sie eintragen
Host	Name oder IP-Adresse des Servers, ohne `ldap://` – z. B. `dc01.firma.local`
Port	`636` mit TLS (empfohlen), `389` ohne
Base DN	Wo die Suche beginnt, z. B. `DC=firma,DC=local`
Bind DN	Das Dienstkonto. Leer = anonym – das erlauben die meisten Verzeichnisse nicht
Passwort	Das Passwort des Dienstkontos. Es wird verschlüsselt gespeichert und nie wieder angezeigt
Timeout (s)	Wie lange DDM auf eine Antwort wartet. 10 Sekunden passen meist
Fallback-System	Ein anderes Verzeichnis, das einspringt, wenn dieses nicht erreichbar ist – siehe Mehrere Verzeichnisse
TLS erzwingen	Verschlüsselte Verbindung (LDAPS). Lassen Sie es an – sonst gehen Passwörter unverschlüsselt über die Leitung
Konten beim ersten Login anlegen	Ob jemand, den das Verzeichnis kennt, DDM aber noch nicht, beim ersten Anmelden ein Konto bekommt

Unter Synchronisation (Manuell, Stündlich …) legen Sie fest, wie oft DDM abgleicht – siehe Abgleich und Anmeldung.

Ein neuer Host, Port oder ein Wechsel bei TLS erzwingen löscht das gespeicherte Passwort: Es gehörte zum alten Server. Tragen Sie es danach neu ein.

2. Verbindung testen

Klicken Sie auf Verbindung testen. Ein neues Verzeichnis bleibt aus, bis der Test geklappt hat – schalten Sie dann oben neben dem Namen Verzeichnis aktiv ein.

Ein Verzeichnis nach erfolgreichem Verbindungstest

Meldung	Was zu tun ist
Verbindung steht. Die Suchbasis ist lesbar.	Alles in Ordnung.
Der Host antwortet nicht	Hostname und Port prüfen, und ob eine Firewall dazwischen ist. Mit TLS ist der Port meist `636`.
Das Verzeichnis hat die Anmeldedaten abgelehnt	Bind DN oder Passwort stimmen nicht – oder das Dienstkonto ist gesperrt oder sein Passwort abgelaufen.
Die Suchbasis ist nicht lesbar	Die Base DN ist falsch geschrieben, oder das Dienstkonto darf dort nicht lesen. Ein Verzeichnis meldet beides gleich.
Diese Adresse darf nicht angesprochen werden	Die Adresse ist lokal (z. B. `127.0.0.1`) oder – bei einem gehosteten DDM – eine Adresse in einem privaten Netz. Nehmen Sie eine von außen erreichbare Adresse.
Das gespeicherte Passwort lässt sich nicht mehr entschlüsseln	Passwort neu eintragen.

Scheitert der Test mit TLS, klappt aber ohne, vertraut der DDM-Server dem Zertifikat Ihres Verzeichnisses nicht – typischerweise eines aus Ihrer eigenen Firmen-CA. Bitten Sie den Betrieb von DDM, Ihr CA-Zertifikat auf dem Server zu hinterlegen, statt TLS auszuschalten.

Zieht Ihre Organisation aus dem bisherigen DDM um, kommen dessen Verzeichnisse ausgeschaltet an – mit Abfragen, Attributen und Gruppenregeln, die Synchronisation auf Manuell. Das alte System hat das Zertifikat des Verzeichnisses nicht geprüft; eine Verbindung, die dort lief, kann hier scheitern. Klicken Sie deshalb erst auf Verbindung testen, prüfen Sie die Abfragen mit der Vorschau und schalten Sie dann Verzeichnis aktiv ein.

3. Abfrage anlegen

Eine Abfrage legt fest, welche Einträge des Verzeichnisses DDM-Benutzer werden. Ein Verzeichnis kann mehrere Abfragen haben – z. B. eine für Mitarbeitende und eine für Externe, jede mit eigenen Gruppen.

Klicken Sie unter Abfragen & Zuordnungen auf Abfrage und füllen Sie aus:

Name – für Sie, z. B. „Mitarbeitende".
Such-Base DN – wo diese Abfrage sucht. Leer = Base DN des Systems.
Suchfilter – welche Einträge zählen. Eine neue Abfrage beginnt mit (objectClass=person).
Suchtiefe – Gesamter Teilbaum (meist richtig), Eine Ebene tiefer oder Nur dieser Eintrag.
Abfrage aktiv – nur aktive Abfragen nehmen am regelmäßigen Abgleich teil.

Filter, die funktionieren

Für Active Directory – alle echten, aktivierten Benutzer mit E-Mail-Adresse:

(&(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Der letzte Teil lässt deaktivierte Konten weg. Das ist wichtig: Wer ausscheidet und dessen Konto die IT deaktiviert, fällt dann aus dem Ergebnis, und DDM sperrt die Person beim nächsten Abgleich. Ohne diesen Teil bleibt sie in DDM aktiv.

Nur die Mitglieder einer AD-Gruppe – einschließlich der Mitglieder darin verschachtelter Gruppen:

(&(objectCategory=person)(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=CN=DDM-Benutzer,OU=Gruppen,DC=firma,DC=local))

Für OpenLDAP und die meisten anderen Verzeichnisse:

(&(objectClass=inetOrgPerson)(mail=*))

DDM übernimmt bis zu 5.000 Einträge je Abfrage. Haben Sie mehr, teilen Sie sie auf – z. B. eine Abfrage je OU.

4. Attribute zuordnen

Unter Attribut-Zuordnung legen Sie fest, welches Verzeichnis-Attribut welches DDM-Feld füllt. Es gibt drei Felder:

Feld	Meist	Hinweis
E-Mail	`mail`	Pflicht. Daran erkennt DDM die Person – Einträge ohne E-Mail werden übersprungen.
Name	`cn` oder `displayName`	Ist er leer, zeigt DDM die E-Mail-Adresse.
Bild	–	Nur eine Webadresse (URL) zu einem Bild. Fotos, die im Verzeichnis selbst liegen (`jpegPhoto`, `thumbnailPhoto`), lassen sich nicht verwenden.

Wählen Sie je Feld die Quelle – Attribut (aus den Attributen des geladenen Datensatzes) oder Fester Wert – und bei Bedarf eine Transformation:

Kleinschreibung, Großschreibung, Leerzeichen entfernen
Präfix voranstellen, Suffix anhängen – z. B. aus https://intranet.firma.de/fotos/ + uid eine Bild-URL bauen
Ersetzen – Suchen nach / Ersetzen durch, z. B. @firma.local durch @firma.de ersetzen
Vor Trennzeichen abschneiden – behält, was vor dem Trennzeichen steht

Für die Anmeldung mit dem Firmenkennwort sucht DDM Personen über ihre E-Mail. Das klappt nur, wenn E-Mail direkt aus einem Attribut kommt – ohne Transformation oder nur mit Kleinschreibung, Großschreibung oder Leerzeichen entfernen. Bauen Sie die Adresse mit Präfix, Suffix oder Ersetzen, können sich bereits übernommene Personen weiter anmelden; neue kommen erst nach einem Import hinein.

5. Mit der Vorschau prüfen

Klicken Sie auf Vorschau laden. DDM holt bis zu fünf Einträge der Abfrage – übernommen wird nichts. Mit den Pfeilen blättern Sie:

links der LDAP-Datensatz, wie das Verzeichnis ihn liefert,
rechts der Angelegte Nutzer, wie DDM ihn anlegen würde,
neben jeder Zuordnung ihr Ergebnis, neben jeder Gruppenregel trifft zu oder trifft nicht zu.

So finden Sie am schnellsten die richtigen Attributnamen – links steht alles, was das Verzeichnis liefert.

6. Gruppen zuordnen

Unter Gruppen-Zuordnung legen Sie fest, welche Personen aus dem Verzeichnis in welcher DDM-Gruppe landen. Klicken Sie auf Regel, wählen Sie eine Bedingung, tragen Sie einen Wert ein und wählen Sie die → Anwendungsgruppe:

Bedingung	Trifft zu, wenn	Beispielwert
memberOf enthält	eine der Gruppen der Person den Text enthält	`CN=DMS-Vertrieb`
DN enthält	die DN der Person den Text enthält	`OU=Außendienst`
Attribut ist gleich	ein Attribut genau diesen Wert hat – geschrieben als `attribut=wert`	`department=Vertrieb`

Groß- und Kleinschreibung spielen keine Rolle. Eine Person kann mehrere Regeln treffen und ist dann in mehreren Gruppen.

Unter Gruppen-Fallback & Testdaten legen Sie die Fallback-Gruppe fest: Wer keine Regel trifft, landet dort. Wer eine Regel trifft, landet nicht zusätzlich in der Fallback-Gruppe. Ohne Fallback-Gruppe werden diese Personen ohne Gruppe übernommen und sehen nichts, bis Sie sie einer zuordnen.

Nicht zugeordnete LDAP-Gruppen ignorieren – ist es aus, nennt das Import-Ergebnis Verzeichnisgruppen, die keine Regel abdeckt. Praktisch beim Einrichten, um zu sehen, was Sie übersehen haben.

DDM kümmert sich um die Gruppen, die eine Regel oder die Fallback-Gruppe vergibt – und nur um diese. Fügen Sie jemanden von Hand in eine solche Gruppe ein und trifft keine Regel auf die Person zu, nimmt der nächste Import sie wieder heraus. Gruppen, die keine Regel nennt, fasst DDM nie an – dort bleiben Zuordnungen von Hand bestehen.

memberOf nennt im Active Directory nur direkte Mitgliedschaften. Sind Ihre Gruppen verschachtelt, nennen Sie entweder die innere Gruppe in der Regel, oder wählen Sie die Personen mit einem Filter für verschachtelte Gruppen aus (siehe Filter, die funktionieren) und geben Sie dieser Abfrage eine Fallback-Gruppe.

7. Importieren

Jetzt importieren übernimmt eine einzelne Abfrage – auch eine, die noch nicht aktiv ist, zum Ausprobieren. Alle jetzt importieren übernimmt alle aktiven Abfragen des Verzeichnisses. Danach sehen Sie, was passiert ist:

Ergebnis	Bedeutung
… angelegt	neue Konten
… geändert	Name, E-Mail, Bild oder Gruppen aktualisiert
… gesperrt	Personen, die nicht mehr im Verzeichnis stehen – siehe Ausgeschiedene
… ohne E-Mail	übersprungene Einträge, weil E-Mail leer ist
… nicht angelegt – Domain ist nicht für diese Organisation bestätigt	die Adresse liegt auf keiner Ihrer bestätigten Domains
… nicht angelegt	Konten beim ersten Login anlegen ist aus
… nicht übernommen – Konto gehört nicht zu dieser Organisation	zu der Adresse gibt es schon ein DDM-Konto in einer anderen Organisation, und sie liegt auf keiner Ihrer bestätigten Domains – laden Sie die Person von Hand ein
… auch in anderer Organisation	die Person arbeitet auch für eine andere Organisation in DDM – das ist in Ordnung
Teilweise importiert – mindestens eine Abfrage ist fehlgeschlagen. Es wurde niemand gesperrt.	prüfen Sie die fehlgeschlagene Abfrage

Übernommene Personen sind Mitglied. Soll jemand DDM verwalten, ändern Sie die Rolle unter Benutzer. Name und E-Mail übernommener Personen sind als „aus dem Verzeichnis" gekennzeichnet und werden dort gepflegt.

Kalender

Liegen die Postfächer Ihres Active Directory in Microsoft 365 oder Google Workspace, verbindet eine Kalender-Freigabe die Kalender auch für alle, die sich über den Verzeichnisdienst anmelden. Läuft der Kalender auf einem eigenen CalDAV-Server mit denselben Zugangsdaten, kann DDM ihn bei der Anmeldung verbinden – siehe Firmen-CalDAV.

Mehrere Verzeichnisse

Sie können mehrere Verzeichnisse anlegen – z. B. eines je Land oder Tochterfirma. Mit den Pfeilen Priorität höher / Priorität niedriger neben dem Namen des Verzeichnisses legen Sie fest, in welcher Reihenfolge DDM sie beim Anmelden fragt.

Das Fallback-System ist für einen zweiten Server desselben Verzeichnisses gedacht – z. B. einen zweiten Domänencontroller. Antwortet der erste nicht, fragt DDM den Fallback. Er springt nur ein, wenn der Server nicht erreichbar ist, nicht bei einem falschen Passwort.

Ein Verzeichnis entfernen

Klicken Sie auf den Papierkorb neben dem Namen des Verzeichnisses (Verzeichnis entfernen) und bestätigen Sie mit Endgültig entfernen. Dabei werden auch seine Abfragen, Zuordnungen und Regeln entfernt. Die Konten bleiben – sie sind nur nicht mehr an das Verzeichnis gebunden. Wer sich mit dem Firmenkennwort angemeldet hat, braucht dann ein DDM-Passwort: Es lässt sich auf der Anmeldeseite unter Passwort vergessen? vergeben.

Single Sign-on

Den eigenen Identitätsanbieter Ihrer Organisation anbinden – Entra ID, Okta, Google Workspace oder einen anderen OpenID-Connect- oder SAML-Anbieter –, damit sich Ihre Leute mit dem Konto anmelden, das sie schon haben.

Abgleich und Anmeldung

Wann DDM mit dem Verzeichnis abgleicht, was es dabei ändert und was nie, wie das Firmenkennwort funktioniert – und was tun, wenn etwas nicht klappt.