Damit sich Benutzer mit ihren Windows-Zugangsdaten am Password Depot Enterprise Server anmelden können, müssen sie zuvor per Active Directory-Import in den Server-Manager übernommen werden. Dieser Artikel fasst die Voraussetzungen zusammen und erklärt die häufigsten Fehlerbilder bei Import und Synchronisation.
Voraussetzungen und Berechtigungen
Starten Sie den Import im Server-Manager über Extras → Active Directory-Import. Geben Sie LDAP-Pfad, Domänennamen oder IPv4-Adresse Ihres AD-Servers an; als Protokoll ist LDAP:// voreingestellt.
Melden Sie sich als aktueller Windows-Benutzer an oder wählen Sie Dieses Konto verwenden. Das Import-Konto benötigt Lesezugriff auf das Active Directory, insbesondere auf die Attribute member/memberOf (Gruppenmitgliedschaften). Reichen die Rechte des Standardkontos nicht aus, hinterlegen Sie ein Dienst-/Servicekonto mit entsprechenden Leserechten.
Synchronisiert werden ausschließlich Benutzer und Gruppen – mit Organisationseinheiten (OUs) kann der Enterprise Server nicht arbeiten. Verschachtelte Gruppen werden mitsamt übergeordneter Gruppen importiert, sofern Sie die Markierung nicht entfernen.
Automatische Synchronisation
Unter Verwalten → Servereinstellungen → Active Directory (Bereich Synchronisation) legen Sie Protokoll und Intervall der automatischen Synchronisation fest; das kleinste einstellbare Intervall beträgt 60 Minuten. Sie läuft unter dem Konto des Serverdienstes (Standard: SYSTEM) – auch dieses Konto braucht die oben genannten Leserechte. Zusätzlich bestimmen Sie, was mit Benutzern/Gruppen geschieht, die nicht mehr im AD gefunden werden: ignorieren, deaktivieren oder löschen. Empfehlung laut Handbuch: Synchronisation bevorzugt manuell anstoßen oder z. B. alle 24 Stunden zu lastarmen Zeiten ausführen.
Typische Fehler
„Mehrfache Verbindungen … sind nicht zulässig": Windows erlaubt nicht, dass derselbe Computer gleichzeitig unter mehreren Benutzernamen mit dem Domänencontroller verbunden ist. Besteht z. B. im Windows Explorer bereits eine Netzwerkverbindung als Benutzer A, schlägt der Import als Benutzer B fehl. Verwenden Sie dasselbe Konto oder trennen Sie die bestehende Verbindung. Der Fehler tritt auch auf, wenn dasselbe Konto bereits von einem anderen Computer verbunden ist.
Benutzer „verschwinden" oder können sich nach einem Server-Update nicht mehr anmelden: Seit Version 18.0.7 ist in der pdserver.ini ADStrictNaming=1 gesetzt. Ältere Importe (WinNT-Pfade, z. B. aus Version 12 oder älter übernommen) passen dann nicht mehr; auch die Warnung „Objekte von Nutzern mit WinNT Active Directory-Pfad wurden gefunden …" gehört zu diesem Muster. Lösung: Re-Import über Extras → Active Directory-Import mit aktivierter Option Alle Container rekursiv scannen – dabei werden WinNT- zuverlässig durch LDAP-Pfade ersetzt. Alternativ können Sie den Wert auf 0 setzen; stoppen Sie dazu vorher den Serverdienst. Prüfen Sie außerdem, ob die Auto-Sync-Option für nicht gefundene Objekte auf Löschen steht – dann werden solche Benutzer tatsächlich entfernt.
Mehrere Domänen: Der Import über Domänengrenzen hinweg funktioniert nur innerhalb derselben Gesamtstruktur (Forest) mit bestehender Vertrauensstellung. Wählen Sie dafür das Protokoll GC:// (Global Catalog) statt LDAP://. Pro Gesamtstruktur ist eine eigene Server-Instanz erforderlich.
Hinweis: Der Enterprise Server speichert keine AD-Kennwörter. Bei der Anmeldung wird das eingegebene Kennwort gegen das Active Directory geprüft; der Client-PC muss dazu Mitglied der Domäne sein.
Verwandte Themen:
Anmeldung per Single Sign-On (SSO) am Enterprise Server einrichten und Fehler beheben
Entra ID (früher Azure AD) an den Enterprise Server anbinden
Warnung „Objekte von Nutzern mit WinNT Active Directory-Pfad wurden gefunden …"