https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Nextcloud%3A_Benutzer%2C_Gruppen%2C_LDAP_und_SSONextcloud: Benutzer, Gruppen, LDAP und SSO - Versionsgeschichte2026-10-19T02:33:26ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Nextcloud:_Benutzer,_Gruppen,_LDAP_und_SSO&diff=5020&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Gruppen, Teams, Kontingente, LDAP/AD, OpenID Connect mit Entra ID, App-Passwörter, Offboarding2026-10-17T00:00:00Z<p>Neuer Artikel: Gruppen, Teams, Kontingente, LDAP/AD, OpenID Connect mit Entra ID, App-Passwörter, Offboarding</p>
<table style="background-color: #fff; color: #202122;" data-mw="interface">
<tr class="diff-title" lang="de">
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td>
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">Version vom 17. Oktober 2026, 00:00 Uhr</td>
</tr><tr><td colspan="2" class="diff-notice" lang="de"><div class="mw-diff-empty">(kein Unterschied)</div>
</td></tr></table>imported>TechCorner-Redaktionhttps://techcorner.max-it.de/index.php?title=Nextcloud:_Benutzer,_Gruppen,_LDAP_und_SSO&diff=4850&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Gruppen, Teams, Kontingente, LDAP/AD, OpenID Connect mit Entra ID, App-Passwörter, Offboarding2026-10-17T00:00:00Z<p>Neuer Artikel: Gruppen, Teams, Kontingente, LDAP/AD, OpenID Connect mit Entra ID, App-Passwörter, Offboarding</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Nextcloud 33–35 (Hub 26); Apps „LDAP user and group backend“, „OpenID Connect user backend“ (user_oidc), Teams; Microsoft Entra ID, Active Directory, Keycloak<br />
| bereich = Server-Software<br />
| dauer = Benutzerstruktur ca. 1 Stunde; LDAP- oder SSO-Anbindung ca. 1–2 Stunden<br />
| rechte = Nextcloud-Administrator; Leserechte im Verzeichnis bzw. Administrator des Identitätsanbieters<br />
| stand = Oktober 2026<br />
}}<br />
'''Benutzer in Nextcloud verwalten''' geht auf drei Wegen: lokale Konten direkt in Nextcloud, Anbindung an '''LDAP bzw. Active Directory''' oder '''Single Sign-On per OpenID Connect''', z. B. mit Microsoft Entra ID. Für Unternehmen ist eine zentrale Anmeldung fast immer richtig: Ein Konto für alles, und wer das Unternehmen verlässt, verliert den Zugang an einer Stelle. Diese Anleitung zeigt Gruppen, Teams und Kontingente, die Einrichtung von LDAP und OpenID Connect und typische Stolperstellen.<br />
<br />
[[Datei:Nextcloud-Benutzer.png|thumb|center|750px|Benutzer in Nextcloud: lokale Konten, LDAP/Active Directory mit Gruppen (nur Lesezugriff aufs Verzeichnis) oder OpenID Connect mit Entra ID, Keycloak oder Authentik über die App user_oidc mit automatischer Kontoanlage und Gruppenübernahme; Gruppen für Freigaben und Team-Ordner, Gruppenadministratoren, Teams als Besitzer gemeinsamer Ressourcen, Speicherkontingente, App-Passwörter für Sync-Clients; Zwei-Faktor-Pflicht über Verwaltungseinstellungen › Sicherheit.]]<br />
<br />
== Konten, Gruppen und Teams in Nextcloud ==<br />
{| class="wikitable"<br />
! Baustein !! Zweck !! Hinweis<br />
|-<br />
| '''Benutzerkonto''' || Anmeldung, eigener Dateibereich, Kontingent || aus Nextcloud, LDAP oder OIDC<br />
|-<br />
| '''Gruppe''' || Rechte und Freigaben für viele Benutzer, Team-Ordner, App-Zugriff || bei LDAP/OIDC aus dem Verzeichnis übernehmen<br />
|-<br />
| '''Gruppenadministrator''' || darf Benutzer seiner Gruppen anlegen und bearbeiten, ohne Zugriff auf deren Dateien || z. B. Abteilungsleitung<br />
|-<br />
| '''Teams''' (früher „Kreise“) || von Benutzern selbst gebildete Teams; seit Hub 26 Summer können Teams Ressourcen wie Dateien, Aufgaben und Wissensseiten besitzen || unabhängig vom Ausscheiden einzelner Mitarbeiter<br />
|-<br />
| '''Kontingent''' (Quota) || Speichergrenze je Benutzer || Standard unter ''Konten'' einstellen<br />
|}<br />
* Unter ''Konten'' (Zahnrad) einen '''Standard-Kontingent''' festlegen, z. B. 20 GB; gemeinsame Daten gehören in Team-Ordner, die nicht auf das persönliche Kontingent zählen.<br />
* '''Administratorrechte''' nur wenigen Konten geben; für Teilaufgaben gibt es die ''Delegation von Verwaltungsrechten'' (z. B. nur Design oder nur Benutzerverwaltung).<br />
* Der ursprüngliche Administrator aus der Installation bleibt als lokales '''Notfallkonto''' erhalten – mit starkem Passwort und 2FA.<br />
<br />
== Weg 1: LDAP bzw. Active Directory ==<br />
# App ''LDAP user and group backend'' aktivieren (bei AIO bereits vorhanden).<br />
# ''Verwaltungseinstellungen › LDAP/AD-Integration'':<br />
#* '''Server''': <code>ldaps://dc01.firma.lan</code>, Port 636; Bind-Benutzer mit Leserechten (eigenes Dienstkonto), Basis-DN wird erkannt.<br />
#* '''Benutzer''': Filter auf eine Gruppe, z. B. nur Mitglieder von ''GG-Nextcloud''.<br />
#* '''Anmeldeattribute''': sAMAccountName und E-Mail.<br />
#* '''Gruppen''': nur die Gruppen übernehmen, die in Nextcloud gebraucht werden.<br />
# Im Reiter ''Experte'' den '''internen Benutzernamen''' auf ein unveränderliches Attribut setzen (Standard ist die objectGUID) – vor der ersten Anmeldung, später nicht mehr änderbar.<br />
# Mit ''Konfiguration testen'' und einer Testanmeldung prüfen.<br />
* Nextcloud liest das Verzeichnis nur; Benutzer werden im AD angelegt und gesperrt. Gesperrte oder gelöschte AD-Konten erkennt Nextcloud beim Abgleich und meldet sie als verwaist (<code>occ ldap:show-remnants</code>).<br />
* LDAPS bzw. StartTLS verwenden, nie unverschlüsseltes LDAP über das Netz; Grundlagen: [[LDAP]], [[Active Directory]].<br />
<br />
== Weg 2: Single Sign-On mit OpenID Connect ==<br />
Die App '''OpenID Connect user backend''' (user_oidc) meldet Benutzer bei einem Identitätsanbieter an und legt Konten beim ersten Login automatisch an.<br />
<br />
'''Beispiel Microsoft Entra ID:'''<br />
# In Entra ID eine '''App-Registrierung''' anlegen, Umleitungs-URI (Web): <code><nowiki>https://cloud.firma.de/apps/user_oidc/code</nowiki></code><br />
# Geheimen Clientschlüssel erstellen; unter ''Token-Konfiguration'' den Anspruch ''groups'' hinzufügen, wenn Gruppen übernommen werden sollen.<br />
# Unter ''Unternehmensanwendungen'' ''Zuweisung erforderlich'' aktivieren und nur berechtigte Gruppen zuweisen.<br />
# In Nextcloud die App ''OpenID Connect user backend'' installieren und unter ''Verwaltungseinstellungen › OpenID Connect'' einen Anbieter anlegen – oder per Befehl:<br />
<syntaxhighlight lang="bash"><br />
# bei All-in-One:<br />
docker exec --user www-data nextcloud-aio-nextcloud php occ user_oidc:provider Entra \<br />
--clientid="<Anwendungs-ID>" --clientsecret="<Geheimnis>" \<br />
--discoveryuri="https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0/.well-known/openid-configuration" \<br />
--mapping-uid="oid" --unique-uid=0 \<br />
--group-provisioning=1 --entraid-group-names=1<br />
</syntaxhighlight><br />
* '''Eindeutige Kennung''': Als Benutzerkennung ein unveränderliches Merkmal wie <code>oid</code> verwenden, nicht die E-Mail-Adresse – sonst entstehen bei Namensänderungen neue Konten. Mit <code>--unique-uid=1</code> bildet Nextcloud stattdessen einen Hashwert aus Anbieter und Kennung; das ist nötig, wenn mehrere Anbieter dieselben Kennungen liefern könnten.<br />
* '''Gruppen''': Mit Gruppenübernahme legt Nextcloud Gruppen aus dem Token an; bei Entra ID löst <code>--entraid-group-names</code> die Gruppen-IDs über Microsoft Graph in Namen auf. Optional nur Gruppen nach einer Positivliste übernehmen und die Anmeldung darauf beschränken.<br />
* '''Nur noch SSO''': Ist nur ein Anbieter eingerichtet, leitet <code>occ config:app:set --type=string --value=0 user_oidc allow_multiple_user_backends</code> direkt zum Anbieter weiter. Administratoren melden sich im Notfall über <code>/login?direct=1</code> lokal an.<br />
* '''Mehr-Faktor-Anmeldung''' erledigt dann der Identitätsanbieter, z. B. über bedingten Zugriff in Entra ID.<br />
* Grundlagen: [[OpenID Connect]], [[Single Sign-On]], [[Entra ID]]. Alternativ bietet die App ''SSO & SAML authentication'' eine Anmeldung per [[SAML]].<br />
<br />
== Sync-Clients und App-Passwörter ==<br />
* Desktop- und Mobil-Clients melden sich über den Browser an („Login Flow“) – auch mit SSO und 2FA – und erhalten ein eigenes '''App-Passwort'''.<br />
* Unter ''Persönliche Einstellungen › Sicherheit'' sieht jeder Benutzer seine Geräte und kann verlorene Geräte sperren; Administratoren können dies für alle Geräte eines Kontos tun.<br />
* Für Skripte und WebDAV-Zugriffe ebenfalls App-Passwörter statt des Hauptpassworts verwenden.<br />
<br />
== Offboarding ==<br />
# Konto im Verzeichnis bzw. Identitätsanbieter sperren – neue Anmeldungen sind dann nicht mehr möglich.<br />
# In Nextcloud das Konto '''deaktivieren''' und Geräte/App-Passwörter widerrufen, damit bereits verbundene Clients nicht weiter synchronisieren.<br />
# Dateien mit <code>occ files:transfer-ownership</code> an die Nachfolge übertragen – inklusive Freigaben.<br />
# Konto nach der Aufbewahrungsfrist löschen.<br />
Gemeinsame Daten in Team-Ordnern bzw. Teams sind von Austritten nicht betroffen – ein Grund, sie dort statt in persönlichen Ordnern abzulegen.<br />
<br />
== Hinweise ==<br />
* '''Gastkonten''' für Externe nur über Freigabelinks oder die App ''Guests'' mit eingeschränkten Rechten, nicht als normale Konten.<br />
* '''Zwei-Faktor-Pflicht''' für lokale Konten unter ''Verwaltungseinstellungen › Sicherheit'' – global oder für Gruppen, siehe [[Nextcloud: Sicherheit und Härtung]].<br />
* Bei Anbindung an Active Directory oder Entra ID, Rollenkonzepten und dem Betrieb von Nextcloud unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Nextcloud]] – Überblick und alle Artikel der Reihe<br />
* [[Nextcloud: Dateien teilen, Sync-Client und externe Speicher]]<br />
* [[Nextcloud: Sicherheit und Härtung]]<br />
* [[Zwei-Faktor-Authentifizierung]]<br />
<br />
== Links und Quellen ==<br />
* [https://github.com/nextcloud/user_oidc Nextcloud user_oidc auf GitHub]<br />
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Server-Software]]<br />
</div>imported>TechCorner-Redaktion