UniFi: Mehrere Standorte mit dem Site Manager verwalten
Auf einen Blick
| Gilt für | UniFi Site Manager (unifi.ui.com) mit Cloud Gateways, CloudKey, UniFi OS Server; Fabrics ab UniFi OS 4.4 |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 30 Minuten Grundeinrichtung, Fabrics und Blueprints nach Umfang |
| Rechte | Besitzer (Owner) der Konsolen bzw. der Fabric |
| Stand | Oktober 2026 |
Mehrere Standorte mit dem UniFi Site Manager verwalten heißt, alle UniFi-Installationen – Zentrale, Filialen, Home-Offices oder Kundennetze – über ein Portal unter unifi.ui.com zu betreuen, ohne Lizenzkosten und ohne eingehende Ports. Die Konfiguration bleibt dabei auf dem Gateway des jeweiligen Standorts; der Site Manager vermittelt nur den Zugang. Mit Fabrics kommen eine zentrale Rechte- und Identitätsverwaltung sowie Blueprints hinzu, mit denen sich ganze Standortkonfigurationen einmal definieren und überall ausrollen lassen. Dieser Artikel zeigt Aufbau, Rollen, Fabrics und Vorlagen.
Aufbau: lokale Verwaltung, zentraler Zugang
- Jeder Standort hat seine eigene Control Plane – meist das Cloud Gateway, alternativ CloudKey, UniFi OS Server oder Official UniFi Hosting. Dort liegen Konfiguration, Statistiken und Logs.
- Der Site Manager sammelt alle Konsolen, auf die ein UI-Konto Zugriff hat, und baut eine verschlüsselte Verbindung zur jeweiligen Konsole auf. Das Gateway verbindet sich dafür ausgehend (TCP 443/8883).
- Fällt das Internet oder die Cloud aus, arbeitet der Standort weiter und bleibt lokal verwaltbar (Browser, App oder
http://unifi/). - Viele lokale Gateways sind laut Ubiquiti gleichwertig zu einem zentralen Server – oft sogar einfacher, weil die Geräte am Standort ohne Layer-3-Adoption gefunden werden.
Funktionen im Überblick
| Funktion | Nutzen |
|---|---|
| Standortübersicht | Status, Geräte, Clients und Warnungen aller Standorte |
| ISP Viewer | Latenz, Paketverlust und Verfügbarkeit der Internetanschlüsse aller Standorte |
| Update Manager | Updates für Konsolen, Anwendungen und Geräte standortübergreifend planen und starten |
| SD-WAN | Standortvernetzung per Klick, siehe UniFi: Standorte per Site-to-Site-VPN verbinden |
| People / Admins | Administratoren mit Rollen pro Standort und Anwendung |
| Fabrics | zentrale Identitäten, Rollen, IdP-Anbindung, Blueprints und Canvas |
| API | Abfrage und Steuerung per Programmierschnittstelle (developer.ui.com), z. B. für Monitoring oder Dokumentation |
Schritt 1: Konten ordnen
- Ein Firmenkonto mit Funktionspostfach (z. B.
it@firma.de) und Zwei-Faktor-Anmeldung anlegen. - Die Besitzerschaft aller Konsolen auf dieses Konto übertragen (in der Konsole unter Control Plane › Transfer Ownership). Ubiquiti empfiehlt das ausdrücklich vor dem Anlegen einer Fabric – sonst hängen Standorte an privaten oder persönlichen Konten.
- Für jeden Administrator ein eigenes UI-Konto verwenden.
Schritt 2: Administratoren und Rollen
Ohne Fabric: Site Manager › People › New Admin – Standorte auswählen und je Anwendung Rechte vergeben; mit Site Specific unterschiedlich je Standort.
| Rolle | Rechte | Hinweis |
|---|---|---|
| Owner | alles, inklusive Cloud-Backups und Besitzübertragung | genau ein Konto je Konsole – das Firmenkonto |
| Super Admin | volle Verwaltung, Backups zurückspielen, SSH konfigurieren | sicherheitlich wie ein Owner behandeln, nur wenige Personen |
| Site Admin / eingeschränkte Rechte | Verwaltung einzelner Anwendungen oder Standorte | für Dienstleister, Filial-IT, Helpdesk |
| Hotspot Operator | nur Gästezugänge und Voucher | Empfang, Rezeption |
Rechte nach dem Minimalprinzip vergeben und regelmäßig prüfen. Ausgeschiedene Mitarbeiter und Dienstleister sofort entfernen.
Schritt 3: Fabric anlegen
Eine Fabric fasst Standorte mit gemeinsamer Identitäts- und Rechteverwaltung zusammen – empfohlen ist eine Fabric pro Organisation bzw. Identity Provider.
- Site Manager › Seitenleiste Fabrics › Create New.
- Namen (und optional ein Logo) vergeben, die eigenen Standorte auswählen, Create Fabric.
- Weitere Standorte später über Configure › Add Sites aufnehmen.
Voraussetzung: UniFi OS 4.4 oder neuer. Für die Anbindung eines Identity Providers muss mindestens eine größere Konsole in der Fabric sein (u. a. UDM Pro, UDM SE, UDM Pro Max, UCG Fiber, EFG).
Personen und Identity Provider
- In der Fabric Settings › Identity › Consolidated People Management aktivieren. Benutzer und Admins werden dann zentral statt pro Standort gepflegt; eine Konsole übernimmt als Master Site die Synchronisation.
- Optional einen Identity Provider anbinden: Microsoft Entra ID, Google Workspace oder Active Directory/LDAP. Admin-Rollen lassen sich dann Gruppen zuordnen – wer die Gruppe verlässt, verliert die Rechte automatisch.
- Enforce IdP Authentication erzwingt die SAML-Anmeldung für alle Konten der E-Mail-Domäne an allen ui.com-Diensten, nicht nur an dieser Fabric. Das ist nur einmal pro Domäne möglich – vorher mit allen Beteiligten abstimmen.
Schritt 4: Konfiguration mit Blueprints und Canvas vereinheitlichen
| Werkzeug | Inhalt | Beispiel |
|---|---|---|
| Blueprint | komplette Standortkonfiguration: VLANs, Firewall-Zonen und -Richtlinien, WLAN u. a. | Standard-Filiale |
| Canvas | eine einzelne Einstellung | Firmen-SSID, Gäste-VLAN, zentraler RADIUS-Server, Inhaltsfilter-Liste, IPS-Richtlinie |
- Blueprint anlegen: Fabric › Settings › Blueprints › Create New; Konfiguration von einem fertigen Standort klonen oder neu aufbauen; Standorte zuweisen. Änderungen am Blueprint wirken auf alle zugewiesenen Standorte.
- Canvas anlegen: Fabric › Settings › Canvas › Richtlinientyp wählen › Create New › Standorte zuweisen.
- Lokale Abweichungen und Ergänzungen bleiben je Standort möglich.
- Neue Standorte vorab einrichten: Über Create New Site mit Blueprint, optionalem Design-Center-Plan und Internet-Einstellungen erhält ein Installateur per E-Mail eine Anleitung; er steckt nur noch die Geräte an (Zero-Touch Provisioning), siehe UniFi: Geräte adoptieren und zurücksetzen.
Schritt 5: Updates zentral steuern
Im Update Manager alle verfügbaren Updates sehen und gestaffelt einspielen: zuerst ein Pilotstandort, nach einigen Tagen die übrigen. Automatische Updates pro Konsole und ein nächtliches Zeitfenster bleiben die Grundeinstellung; größere Versionssprünge (z. B. UniFi Network 11) bewusst über den Update Manager freigeben.
Schnellerer Zugriff: Direct Remote Connection
Im lokalen Netz verbindet sich der Site Manager automatisch direkt mit der Konsole. Für die gleiche Geschwindigkeit von außen kann unter Control Plane › Console die Direct Remote Connection aktiviert werden. Voraussetzung: öffentliche IP am Gateway und TCP 443 nicht durch eine Portweiterleitung belegt.
Hinweise
- Dienstleister und MSPs: Für mehrere Kundenorganisationen gibt es MSP-Konten mit Zugriff auf mehrere Kunden-Fabrics, ohne die Zugänge je Kunde zu duplizieren. Die Kunden-Konsolen sollten dem Kunden gehören, der Dienstleister erhält Admin-Rechte.
- Nur Besitzer: SD-WAN und Teile der Fabric-Verwaltung kann nur der Besitzer ändern – ein weiterer Grund für ein Firmenkonto statt eines persönlichen.
- Protokollierung: Admin-Aktivitäten erscheinen in den System-Logs und lassen sich an ein SIEM senden, siehe UniFi: Syslog, SIEM und SNMP anbinden.
- Beim Betrieb Ihrer UniFi-Standorte, zentralen Updates und Rechteverwaltung unterstützen Sie die Managed Services von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: Cloud Gateway einrichten
- UniFi: Standorte per Site-to-Site-VPN verbinden
- UniFi: Updates und Firmware verwalten
- UniFi: Identity und UniFi Endpoint einrichten
- Single Sign-On
- SAML
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
