Nextcloud: Benutzer, Gruppen, LDAP und SSO

Auf einen Blick

Gilt für	Nextcloud 33–35 (Hub 26); Apps „LDAP user and group backend“, „OpenID Connect user backend“ (user_oidc), Teams; Microsoft Entra ID, Active Directory, Keycloak
Bereich	Server-Software
Dauer	Benutzerstruktur ca. 1 Stunde; LDAP- oder SSO-Anbindung ca. 1–2 Stunden
Rechte	Nextcloud-Administrator; Leserechte im Verzeichnis bzw. Administrator des Identitätsanbieters
Stand	Oktober 2026

Benutzer in Nextcloud verwalten geht auf drei Wegen: lokale Konten direkt in Nextcloud, Anbindung an LDAP bzw. Active Directory oder Single Sign-On per OpenID Connect, z. B. mit Microsoft Entra ID. Für Unternehmen ist eine zentrale Anmeldung fast immer richtig: Ein Konto für alles, und wer das Unternehmen verlässt, verliert den Zugang an einer Stelle. Diese Anleitung zeigt Gruppen, Teams und Kontingente, die Einrichtung von LDAP und OpenID Connect und typische Stolperstellen.

Benutzer in Nextcloud: lokale Konten, LDAP/Active Directory mit Gruppen (nur Lesezugriff aufs Verzeichnis) oder OpenID Connect mit Entra ID, Keycloak oder Authentik über die App user_oidc mit automatischer Kontoanlage und Gruppenübernahme; Gruppen für Freigaben und Team-Ordner, Gruppenadministratoren, Teams als Besitzer gemeinsamer Ressourcen, Speicherkontingente, App-Passwörter für Sync-Clients; Zwei-Faktor-Pflicht über Verwaltungseinstellungen › Sicherheit.

Konten, Gruppen und Teams in Nextcloud

Baustein	Zweck	Hinweis
Benutzerkonto	Anmeldung, eigener Dateibereich, Kontingent	aus Nextcloud, LDAP oder OIDC
Gruppe	Rechte und Freigaben für viele Benutzer, Team-Ordner, App-Zugriff	bei LDAP/OIDC aus dem Verzeichnis übernehmen
Gruppenadministrator	darf Benutzer seiner Gruppen anlegen und bearbeiten, ohne Zugriff auf deren Dateien	z. B. Abteilungsleitung
Teams (früher „Kreise“)	von Benutzern selbst gebildete Teams; seit Hub 26 Summer können Teams Ressourcen wie Dateien, Aufgaben und Wissensseiten besitzen	unabhängig vom Ausscheiden einzelner Mitarbeiter
Kontingent (Quota)	Speichergrenze je Benutzer	Standard unter Konten einstellen

• Unter Konten (Zahnrad) einen Standard-Kontingent festlegen, z. B. 20 GB; gemeinsame Daten gehören in Team-Ordner, die nicht auf das persönliche Kontingent zählen.
• Administratorrechte nur wenigen Konten geben; für Teilaufgaben gibt es die Delegation von Verwaltungsrechten (z. B. nur Design oder nur Benutzerverwaltung).
• Der ursprüngliche Administrator aus der Installation bleibt als lokales Notfallkonto erhalten – mit starkem Passwort und 2FA.

Weg 1: LDAP bzw. Active Directory

1. App LDAP user and group backend aktivieren (bei AIO bereits vorhanden).
2. Verwaltungseinstellungen › LDAP/AD-Integration:
   • Server: ldaps://dc01.firma.lan, Port 636; Bind-Benutzer mit Leserechten (eigenes Dienstkonto), Basis-DN wird erkannt.
   • Benutzer: Filter auf eine Gruppe, z. B. nur Mitglieder von GG-Nextcloud.
   • Anmeldeattribute: sAMAccountName und E-Mail.
   • Gruppen: nur die Gruppen übernehmen, die in Nextcloud gebraucht werden.
3. Im Reiter Experte den internen Benutzernamen auf ein unveränderliches Attribut setzen (Standard ist die objectGUID) – vor der ersten Anmeldung, später nicht mehr änderbar.
4. Mit Konfiguration testen und einer Testanmeldung prüfen.

• Nextcloud liest das Verzeichnis nur; Benutzer werden im AD angelegt und gesperrt. Gesperrte oder gelöschte AD-Konten erkennt Nextcloud beim Abgleich und meldet sie als verwaist (occ ldap:show-remnants).
• LDAPS bzw. StartTLS verwenden, nie unverschlüsseltes LDAP über das Netz; Grundlagen: LDAP, Active Directory.

Weg 2: Single Sign-On mit OpenID Connect

Die App OpenID Connect user backend (user_oidc) meldet Benutzer bei einem Identitätsanbieter an und legt Konten beim ersten Login automatisch an.

Beispiel Microsoft Entra ID:

1. In Entra ID eine App-Registrierung anlegen, Umleitungs-URI (Web): https://cloud.firma.de/apps/user_oidc/code
2. Geheimen Clientschlüssel erstellen; unter Token-Konfiguration den Anspruch groups hinzufügen, wenn Gruppen übernommen werden sollen.
3. Unter Unternehmensanwendungen Zuweisung erforderlich aktivieren und nur berechtigte Gruppen zuweisen.
4. In Nextcloud die App OpenID Connect user backend installieren und unter Verwaltungseinstellungen › OpenID Connect einen Anbieter anlegen – oder per Befehl:

# bei All-in-One:
docker exec --user www-data nextcloud-aio-nextcloud php occ user_oidc:provider Entra \
  --clientid="<Anwendungs-ID>" --clientsecret="<Geheimnis>" \
  --discoveryuri="https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0/.well-known/openid-configuration" \
  --mapping-uid="oid" --unique-uid=0 \
  --group-provisioning=1 --entraid-group-names=1

• Eindeutige Kennung: Als Benutzerkennung ein unveränderliches Merkmal wie oid verwenden, nicht die E-Mail-Adresse – sonst entstehen bei Namensänderungen neue Konten. Mit --unique-uid=1 bildet Nextcloud stattdessen einen Hashwert aus Anbieter und Kennung; das ist nötig, wenn mehrere Anbieter dieselben Kennungen liefern könnten.
• Gruppen: Mit Gruppenübernahme legt Nextcloud Gruppen aus dem Token an; bei Entra ID löst --entraid-group-names die Gruppen-IDs über Microsoft Graph in Namen auf. Optional nur Gruppen nach einer Positivliste übernehmen und die Anmeldung darauf beschränken.
• Nur noch SSO: Ist nur ein Anbieter eingerichtet, leitet occ config:app:set --type=string --value=0 user_oidc allow_multiple_user_backends direkt zum Anbieter weiter. Administratoren melden sich im Notfall über /login?direct=1 lokal an.
• Mehr-Faktor-Anmeldung erledigt dann der Identitätsanbieter, z. B. über bedingten Zugriff in Entra ID.
• Grundlagen: OpenID Connect, Single Sign-On, Entra ID. Alternativ bietet die App SSO & SAML authentication eine Anmeldung per SAML.

Sync-Clients und App-Passwörter

• Desktop- und Mobil-Clients melden sich über den Browser an („Login Flow“) – auch mit SSO und 2FA – und erhalten ein eigenes App-Passwort.
• Unter Persönliche Einstellungen › Sicherheit sieht jeder Benutzer seine Geräte und kann verlorene Geräte sperren; Administratoren können dies für alle Geräte eines Kontos tun.
• Für Skripte und WebDAV-Zugriffe ebenfalls App-Passwörter statt des Hauptpassworts verwenden.

Offboarding

1. Konto im Verzeichnis bzw. Identitätsanbieter sperren – neue Anmeldungen sind dann nicht mehr möglich.
2. In Nextcloud das Konto deaktivieren und Geräte/App-Passwörter widerrufen, damit bereits verbundene Clients nicht weiter synchronisieren.
3. Dateien mit occ files:transfer-ownership an die Nachfolge übertragen – inklusive Freigaben.
4. Konto nach der Aufbewahrungsfrist löschen.

Gemeinsame Daten in Team-Ordnern bzw. Teams sind von Austritten nicht betroffen – ein Grund, sie dort statt in persönlichen Ordnern abzulegen.

Hinweise

• Gastkonten für Externe nur über Freigabelinks oder die App Guests mit eingeschränkten Rechten, nicht als normale Konten.
• Zwei-Faktor-Pflicht für lokale Konten unter Verwaltungseinstellungen › Sicherheit – global oder für Gruppen, siehe Nextcloud: Sicherheit und Härtung.
• Bei Anbindung an Active Directory oder Entra ID, Rollenkonzepten und dem Betrieb von Nextcloud unterstützen Sie die Managed Services von m.a.x. it.

Siehe auch

• Nextcloud – Überblick und alle Artikel der Reihe
• Nextcloud: Dateien teilen, Sync-Client und externe Speicher
• Nextcloud: Sicherheit und Härtung
• Zwei-Faktor-Authentifizierung

Links und Quellen

• Nextcloud user_oidc auf GitHub
• Managed Services von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen