S 39

2245

Beim LDAP-Benutzerimport können nun auch Benutzer aus untergeordneten Gruppen importiert werden. Referenziert der ldapUserFilter eine Gruppe, werden deren untergeordnete Gruppen serverseitig rekursiv aufgelöst und alle darin enthaltenen Benutzer über beliebig viele Verschachtelungsebenen importiert.

Neue Parameter:

• secure__service__ldap_resolve_nested_groups(Standard: “false”): Aktiviert die serverseitige Auflösung verschachtelter Gruppen. Bei “true” werden verschachtelte Gruppen auf Serverseite aufgelöst und in die Suchanfrage einbezogen. Bei “false” bleibt das bisherige Verhalten unverändert: Verschachtelte Gruppen lassen sich dann nur über die in Active Directory bzw. Entra ID enthaltene Regel LDAP_MATCHING_RULE_IN_CHAIN (1.2.840.113556.1.4.1941) nutzen. In Verzeichnisdiensten ohne diese Regel ist die Verwendung verschachtelter Gruppen nicht möglich.

• secure__service__ldap_ignore_partial_result(Standard: “true”): Steuert, dass der Benutzerimport nicht mehr abbricht, wenn Active Directory Verweise auf weitere Verzeichnisbereiche (Continuation References) zurückgibt. Verzeichnisdienste begrenzen die Anzahl der pro Suchanfrage zurückgegebenen Einträge. In Active Directory bzw. Entra ID liegt dieses Limit bei 1000 Einträgen und kann nur verringert werden. Bei “true” werden diese Verweise ignoriert und der Import wird vollständig durchgeführt.

2316

Manager bezieht das ProtoInterface-Image unabhängig von der eigenen Build-Konfiguration (debug/testing/release) nun immer als Release-Image, da ProtoInterface ausschließlich als Release veröffentlicht wird. Zuvor sind Builds mit abweichender Konfiguration fehlgeschlagen, weil kein dazu passendes ProtoInterface-Image mehr vorhanden ist.

2369

Bei gesetztem Parameter database__persistent_db_session sind Webservice-Sessions nicht geschlossen worden, sodass Datenbank-Sessions unbeabsichtigt offen geblieben sind. Sessions (insbesondere Web-Sessions) werden nun unabhängig von diesem Parameter geschlossen. Der Wert des Parameters wird nun auch korrekt ausgewertet: Die Werte “1” und “true” werden als “true” und die Werte “0” und “false” als “false” interpretiert.

2373

Wenn in einem SQL-Statement sehr viele UUID-Parameter stehen, werden diese (wie bei anderen Parameter-Typen) durch Verwendung einer temporären Tabelle reduziert. Dies hat in einigen Fällen nicht funktioniert, wodurch es zu Performance-Problemen und bei mehr als 1000 UUID-Parametern zu dem Datenbankfehler ORA-01795 gekommen ist.

2225

Der Schreibpfad beim LDAP-Import und beim LDAP-Login wurde optimiert. Pro Benutzer wird nur noch eine Datenbank-Sitzung/Transaktion statt zwei geöffnet. Bestehende Attribute werden mit einer Bulk-Anweisung statt einzeln gelöscht, wodurch wird die Datenbanklast reduziert wird. Konfiguration und Bedienung bleiben unverändert.

2104

Die Performance für Datenbank-Konfigurationen mit höherer Latenz (z. B. durch eine Firewall zwischen Server und Datenbank) wurde verbessert.

• Der Default-Wert des Parameters hibernate__contextInfo_Enable wurde auf “false” geändert.

• Der Parameter hibernate__connection__autocommit wurde hinzugefügt.

Die Default-Werte dieser Parameter sind bereits für optimale Performance eingestellt. Eine Anpassung ist in der Regel nicht erforderlich.

2208

Der LDAP-Import verwendet jetzt eine seitenweise LDAP-Abfrage. Alle Benutzer werden nun unabhängig von ihrer Anzahl vollständig eingelesen. Da die Abfrage ohne Paging erfolgte, wurden bisher bei großen Verzeichnissen (z. B. Active Directory) nur die ersten ca. 1000 Benutzer eingelesen. Serverseitige Obergrenzen pro Seite (z. B. MaxPageSize im Active Directory, Standard 1000) werden durch das Paging automatisch überwunden.

Neue Parameter:

• ldap__attributes__ldapPageSize (Standard: 500): Anzahl der Einträge pro LDAP-Abfrageseite. Der Wert beeinflusst nur die Anzahl der Roundtrips; es werden unabhängig vom gewählten Wert immer alle Benutzer eingelesen.

• secure__service__ldap_ignore_size_limit_exceeded (Standard: “false”): Steuert das Verhalten, wenn der Verzeichnisserver eine Gesamt-Ergebnisgrenze erzwingt und das Ergebnis abschneidet. Bei “false” wird der Import mit einer eindeutigen Fehlermeldung abgebrochen, statt eine unvollständige Benutzerliste zu importieren. Bei “true” wird das abgeschnittene Teilergebnis wie bisher übernommen.

1907

Beim Update können nun vor (Pre-Import) und nach (Post-Import) dem Customizing-Deployment kundenspezifische SQL-Skripte ausgeführt werden. Die Skripte werden aus den folgenden Verzeichnissen ausgeführt:

• Pre-Import: /mnt/transfer/SQL/customer/<dbms>/pre/
• Post-Import: /mnt/transfer/SQL/customer/<dbms>/post/

2104

Die Performance für Datenbank-Konfigurationen mit höherer Latenz (z. B. durch eine Firewall zwischen Server und Datenbank) wurde verbessert.

• Der Default-Wert des Parameters hibernate__contextInfo_Enable wurde auf false geändert.

• Der Parameter hibernate__connection__autocommit wurde hinzugefügt.

Die Default-Werte dieser Parameter sind bereits für optimale Performance eingestellt. Eine Anpassung ist in der Regel nicht erforderlich.

1979

Die Ursache einer Endlosschleife beim Container-Update (UPDATE=1) in Kubernetes- und OpenShift-Umgebungen wurde behoben. Docker-Compose-Umgebungen sind nicht betroffen.

1910

Individuelles Customizing lässt sich nun als Container-Image ausliefern. Das individuelle Image wird auf Basis des Standard-Customizing-Images erstellt und kann alle Inhalte des Standard-Customizings überschreiben. Die neue Umgebungsvariable CUSTOMIZING_DEPLOY=1 am Manager-Container aktiviert den Deployment-Lauf. Die Kombination mit der Standard-Update-Installation wird unterstützt. Bei Fragen wenden Sie sich bitte an Ihren PLANT​A-Kun​denbe​rater.

1394

Der Server-Parameter planta__server__gui__host wird nun ausschließlich als externer Host-Name verwendet. Zum Steuern der Netzwerk-Schnittstelle, auf der der Server lauscht, steht der neue Parameter planta__server__gui__interface zur Verfügung. Außerdem kann der Parameter planta__server__secure__stream__default_host nun gesetzt werden, um die automatische Ableitung aus der Worker-IP-Adresse zu überschreiben. Dies ermöglicht korrekte Deployments in Kubernetes und ähnlichen Umgebungen, in denen automatische Host-Erkennung nicht zuverlässig funktioniert.

1875

Die Performance wurde verbessert, indem keine Customizing-Links zu Python und Jython mehr verwendet werden. Diese können beim Start neuer Sessions zu massiver Latenz führen, wenn der Transferserver langsam ist. Stattdessen werden die Customizing-Verzeichnisse nur einmal beim Start des Containers kopiert.

1559

Sicherheitsupdates für Java-Bibliotheken:

• c3p0 von 0.9.5.5 auf 0.12.0 aktualisiert (CVE-2026-27830)

• mchange-commons-java von 0.2.19 auf 0.4.0 aktualisiert (CVE-2026-27727)

• OpenTelemetry Java Agent auf v2.26.1 aktualisiert inkl. API 1.60.0 und neuer Dependency opentelemetry-common (GHSA-72hv-8253-57qq, behebt jackson-core CVE)

1546

Fehler behoben, bei dem der Server beim Warten auf die Web-Client-Verbindung nicht auf die ProxyToken-Nachricht geprüft hat. Dadurch war ein Login über OIDC (z. B. Microsoft Entra) nicht möglich. Der Server prüft nun korrekt auf die ProxyToken-Nachricht und führt den Login entsprechend durch.

1107

Die OIDC- Implementierung wurde überarbeitet und die benötigten Parameter wurden reduziert. Hierzu siehe Server-Parameter.

Die Konfiguration des IdP wird aus dem well_known Konfigurations-Endpunkt ausgelesen, wodurch die Verwendung von verschiedenen IdP erleichtert wird. Ablauf:
Der Server validiert die Token, die den userId-Token, der vom Webclient geschickt wird, mittels der konfigurierten Parameter.
Ist die Validierung erfolgreich, wird das Attribute, das in planta__server__secure__oidc__token_user_attribute konfiguriert ist, als userId zurückgegeben und der Benutzer damit eingeloggt.

Zum Verwenden mit der Cloudflare siehe den folgenden Punkt.

1283

Für PLANTA-Server wurde ein neuer Authentifizierungs-Mechanismus Cloudflare Access implementiert. Damit lässt sich jetzt die Authentifizierung mit OIDC und Cloudflare als Provider direkt über den Web-Client ab Version 3.6. ohne zusätzlichen Proxy realisieren. Mehr dazu siehe unter OIDC/Cloudflare mit PLANTA secure

Die entsprechenden Umgebungsvariablen stehen nun auch zur Verfügung:

planta__server__secure__cloudflare__team_domain
planta__server__secure__cloudflare__audience
planta__server__secure__cloudflare__token_user_attribute

1253

Der Server hält die Reihenfolge der Authentifizierungsmethoden ein, wie sie in den Konfigurationseinstellungen definiert ist.

• Dabei wird das vorzeitige Zurückgreifen auf die nächste Authentifizierungsmethode zuverlässig verhindert, solange die erste Methode noch ausgeführt wird.

• Das Zurückgreifen auf die nächste Authentifizierungsmethode wird erst ausgelöst, wenn die aktuelle Methode eindeutig fehlgeschlagen ist.

1267

Debug-Logging für die OIDC-Konfigurationen wurde erweitert.

1342

JDBC-Treiber auf die neueste Version Oracle ojdbc11-23.26.0.0.0 upgedated.
Dieser Treiber behandelt CLOBs strikter in Bezug auf die Längenbeschränkung (das Limit von 4000 Zeichen) für den Datentyp VARCHAR2 verschärft. Bei Überschreitung wird der Fehler ORA-01461 angezeigt.

1291

Die Zeitzone kann nun im manager- und worker-Container konfiguriert werden:
ENV TZ=Europe/Berlin

944

Migrations-Hilfstabellen werden nur bei Serverstart im Migrationsmodus angelegt, nicht mehr bei jedem Serverstart.

1149

Die Projektionswerte unter der Skala des Terminplans werden nun richtig aktualisiert, nachdem die Werte in den entsprechenden Feldern geändert wurden und die Terminrechnung durchgeführt wurde.

711

Es können nun auch Attribute als Binärdaten ausgelesen und Base64-codiert gespeichert werden.
Dazu muss das betreffende Attribut im Bereich ldap in der manager-Konfiguration des PLANTA-Servers zur Liste plantaUserData hinzugefügt und als Wert "base64" hinterlegt werden.
Zusätzlich ist das Attribut im Eintrag java.naming.ldap.attributes.binary zu ergänzen. Dieser Eintrag kann eine durch Leerzeichen getrennte Liste enthalten.

1128

Die Performance wurde verbessert, da die Standardeinstellung des Parameters planta__server__database__max_parameters_in_statement auf "500" erhöht wurde.
Dadurch wird verhindert, dass bei kleinen Abfragen die Parameter in eine temporäre Tabelle ausgelagert werden.

1158

Der JDBC-Treiber wurde auf die neueste Version aktualisiert: mssql-jdbc-13.2.1.jre11
Mit dieser Version ist die Verschlüsselung standardmäßig aktiviert.

1194

Im aktuellen Microsoft JDBC-Treiber ist die Verschlüsselung standardmäßig aktiviert. Zur gezielten Steuerung der Verschlüsselung stehen nun neue Parameter zur Verfügung:
planta__server__hibernate__connection__encrypt = true
planta__server__hibernate__connection__trustServerCertificate = true
planta__server__hibernate__connection__trustStore = ""
planta__server__hibernate__connection__trustStorePassword = ""

1064

Es lassen sich nun Parameter definieren, die für den Server neu und "unbekannt" sind.
Alle Parameter, die mit planta__server__ beginnen und noch nicht definiert sind, werden einer neue Parametergruppe "unrelated" zugeordnet, die sich im worker und customizing abrufen lässt.
Den Parameter kann man über den vollständigen Namen abfragen.

704

Parameter in SQL-Statements werden nun in temporären Tabellen übergeben. Dies umgeht auch die Begrenzung der maximalen Parameter-Anzahl sowohl in MSSQL als auch in Oracle.

875

Hibernate Lib auf Version 5.6.15 und Hibernate Validator Lib auf 6.2.5 upgedated

1130

Der Default-Wert der Umgebungsvariable planta__server__webservices__apikey_auth_filter_generic wurde von "true" auf "false" korrigiert.

1197

Es gibt einen neuen Server-Parameter planta__server__database__typename, mit dem ein Datenbanktyp gesetzt werden kann.
Mögliche Werte: "mssql", "oracle", "postgres"
Hierüber werden die anhängigen Parameter automatisch richtig gesetzt:

• planta__server__database__type

• planta__server__hibernate__dialect

• planta__server__hibernate__connection__driver_class

Der Parameter: planta__server__database__type soll zukünftig nicht mehr benutzt werden und wird auf "Deprecated" gesetzt. Es soll nur noch planta__server__database__typename benutzt werden.

1197

Der Endpunkt der Prometheus-Schnittstelle lässt sich über den Parameter planta__server__webservices__prometheus__entrypoint ändern.

Das Präfix der Metriken ist jetzt planta_server und nicht mehr prometheus. Dies vereinfacht die Zuordnung.

680

Prometheus Lib auf die Version V1.3.10 upgedatet

• Geänderter Metrikname:
  Alt: planta_server_native_memory_pool_allocated_bytes_total
  Neu: planta_server_native_memory_pool_allocated_bytes

• Geänderte Labels:
  Altes Format: Labels immer mit einem abschließenden Komma, z. B.
  planta_server_track_active_sessions_by_mode{threadType="scheduler",} 0.0
  Neues Format: Labels ohne abschließendes Komma, z. B.
  planta_server_track_active_sessions_by_mode{threadType="scheduler"} 0.0

684

Die Behandlung von eigenen Deprecation-Meldungen wurde verbessert.

1019

ExitCode 253 wurde hinzugefügt. Dieser zeigt an, dass nach dem Datenimport die Constraints nicht wieder aktiviert werden konnten.

38

Der Web-Client kann sich nun auch per OIDC JWToken authentifizieren. Hierfür sendet der Web-Client den User- und AccessToken an den Server. Dieser validiert die Token und nutzt die enthaltenen Daten für die Anmeldung.

Hierfür wurden neue Umgebungsvariablen implementiert:

• planta__server__secure__oidc__clientSecret

• planta__server__secure__oidc__tenantId

• planta__server__secure__oidc__jwksEndpoint_suffix

• planta__server__secure__oidc__authority_prefix

• planta__server__secure__oidc__idTokenEndpoint_suffix

• planta__server__secure__oidc__scope

• planta__server__secure__oidc__access_token_scope

• planta__server__secure__oidc__issuer_prefix_1

• planta__server__secure__oidc__issuer_prefix_2

• planta__server__secure__oidc__issuer_prefix_3

• planta__server__secure__oidc__jwksEndpoint_suffix_alternate

Die URL des idToken-Endpunkts wird wie folgt zusammengesetzt:
authority_prefix + tenantId + idTokenEndpoint_suffix

Die URL des jwks-Endpunkts wird wie folgt zusammengesetzt:
authority_prefix + tenantId + jwksEndpoint_suffix

1203

Es ist wieder möglich, in einem Fehlerfall coredumps im Container erzeugen zu lassen.
Diese werden im worker im writeable_path unter /coredumps abgelegt.

1147

Aufgrund einer Fehlerkorrektur werden DDL-Statements nie mit Bindevariablen ausgeführt.

1024

Mit dem neuen Konfigurationsparameter planta__server__database__use_underscore_as_wildcard wurde die Möglichkeit implementiert, die standardmäßige Verwendung des Unterstrichs _ als Platzhalter in Suchabfragen optional zu deaktivieren. In diesem Fall wird das Zeichen _ als normales Zeichen interpretiert. Dadurch werden die Suchabfragen präzise ausgeführt und somit kann die Performance verbessert werden. Die Option eignet sich besonders für Kunden, die z.B. Unterstriche in den Objekt-IDs verwenden.

Voraussetzung für die Nutzung dieser Option ist das Update beider Serverkomponenten, also des Managers und des Workers.

910

Die Entfernung von virtuellen DIs aus SQL-Statements wurde verbessert.

930

Entfernt eine Sicherheitslücke durch das Update der verwendeten Bibliotheken für LDAP

880

Der Worker startet nun korrekt, auch wenn die Variable planta__server__gui__host nicht den Eintrag 0.0.0.0, sondern den Service-Hostnamen aufweist.

890

Für die MSSQL-Datenbank wird das Zeichen-Encoding eingeschaltet und auf utf-8-Format gesetzt.
Hierfür wurden neue Umgebungsvariablen implementiert, die für die MSSQL-Datenbank automatisch gesetzt werden:

• planta__server__hibernate__connection__useUnicode = true

• planta__server__hibernate__connection__characterEncoding = utf-8

• planta__server__hibernate__connection__CharSet = utf-8

661

Hibernate wurde auf die Version 5.6.5 upgedated

672

Sicherheitslücken wurden geschlossen.

323

Interne Server-Kommunikation wurde verbessert: Die Protobuf-Nachrichten können optional im Log ausgegeben werden und ermöglichen so eine bessere Nachverfolgbarkeit.

171

Die Metriken des Prometheus-Interfaces beginnen nun konsistent mit „planta__server__" für eine einheitliche Benennung.

37

Der Server nutzt nun eine aktuelle CPython-Version 3.12.9 für verbesserte Stabilität und Sicherheit.

332

Die Authentifizierung unterstützt nun den Login via JWT-Token.

110

Die Speicherung der Versionsinformation wurde vereinheitlicht. Versionsinformation wird im JSON-Format erzeugt mit den Attributen:

• Server-Version (Major/Minor/Patch) - Datum - Commit-Hash.

Für jede Komponente wird ein eigener Node erzeugt: (manager / worker / client)
Diese lassen sich aus dem Customizing über die Funktion ppms.version_information auslesen.

532

Exitcodes aus Linux/Signals wurden ergänzt und mit verständlichen Beschreibungen versehen, die beim Abbruch ausgegeben werden.

440

Das Logging beim Start einer Client-Session wurde aufgeräumt und unnötige Meldungen entfernt.

293

Mit der Python-Funktion set_user_clipboard(content, mime_type) können Objekte bequem in die Zwischenablage kopiert werden.

272

Der Effekttyp „Round" wurde in die Liste der verfügbaren Effekte aufgenommen.

365

Die Ausführung von Migrationen wurde beschleunigt, indem irrelevante Pakete ausgeklammert werden.

255

Parameter an Clientless-Sessions können jetzt verschachtelte Dictionaries enthalten und bieten so mehr Flexibilität.

680

Die Monitoring-Schnittstelle wurde auf depricated gesetzt. Stattdessen ist künftig die Prometheus-Schnitstelle bzw. der Health-Endpunkt zu verwenden.

29

Fehler behoben, dass im Laufe des Tages nach verschiedenen Terminrechnungen die Auslastungsdiagramme falsche Werte anzeigt haben, was bisher nur durch eine Neuplanung behoben werden konnte.

281

Beim LDAP-Import bleiben die UUIDs jetzt konsistent erhalten und sorgen für eine eindeutige Identifizierung.

76

Die Benutzer-ID wird beim Einsatz des Serveradapters ohne LDAP oder OIDC zuverlässig übermittelt, um eine korrekte Authentifizierung sicherzustellen.

601

Das Modul Abweichungen verarbeitet Daten jetzt stabil und ohne Python-Exception.

300

Das Erstellen von Statements mit virtuellen Dataitems und Relationen zu Oberbereichen funktioniert jetzt wie vorgesehen.

90

Das Parsen von Statements wurde optimiert, sodass Literale nur an den richtigen Stellen ersetzt werden.