Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:installation [2015/03/30 09:04]
flacco [Modul: quest]
+++ invis_server_wiki:installation [2015/06/14 15:56]
flacco [ownCloud - ab invis-Server Active Directory 10.2]
@@ Zeile 99: / Zeile 99: @@
 ==== Installation vorbereiten ====
-Zur Installation ist es notwendig zunächst das invis-Repository auf einem minimalen openSUSE System zu installieren:
+Zur Installation ist es notwendig zunächst das gewünschte invis-Repository auf einem minimalen openSUSE System zu installieren. Zur Verfügung stehen zwei Repositories:
+  - **spins:invis:stable** - Stabile Version der invis-Server Setup Pakete. Nutzen Sie dieses Repository für produktiv genutzte invis-Server
+  - **spins:invis:unstable** - In Entwicklung befindliche Versionen der invis-Server Setup Pakete. Nutzen Sie dieses Repository, wenn Sie uns mit Rat, Tat, Lob oder Kritik bei der Weiterentwicklung unterstützen möchten.
+Zur Installation eines der Repositories können Sie //**zypper**// verwenden:
 <code>
-linux:~ # zypper ar -f http://download.opensuse.org/repositories/spins:/invis/openSUSE_13.1/spins:invis.repo
+linux:~ # zypper ar -f http://download.opensuse.org/repositories/spins:/invis:/stable/openSUSE_13.1/spins:invis:stable.repo
 </code>
-//**Hinweis:** Wer bereits mit der Samba4 / Active Directory basierten Alpha-Version testen möchte muss sich statt dessen das "spins:invis:unstable" installieren.//
+oder
 <code>
@@ Zeile 112: / Zeile 116: @@
 Danach kann das Setup-Paket installiert werden:
+**Classic:**
 <code>
@@ Zeile 118: / Zeile 124: @@
 </code>
-//**Hinweis:** Im Falle der Samba4 AD basierten Version trägt das Setup-RPM den Namen "**invisAD-setup**".//
+**Active Directory:**
+<code>
+linux:~ # zypper ref
+linux:~ # zypper in invisAD-setup
+</code>
 Bei der Ausführung von //**zypper ref**// wird der "Signierungsschlüssel" des invis-Repositories empfangen. Diesem muss //dauerhaft// vertraut werden. Bestätigen Sie die gestellte Frage entsprechend.
@@ Zeile 442: / Zeile 454: @@
 Dies Modul richtet, wie zu vermuten ist, den Druckserver CUPS ein. Auch dieses Modul ist ein Selbstläufer.
-=== Modul: samba ===
+=== Modul: fileserver (samba & nfs) ===
 Die Einrichtung eines LDAP/Samba-Domaincontrollers erledigt das Modul so gut wie selbsttätig. Dabei legt es die komplette Benutzer- und Gruppen-Struktur, wie in einer "Windows NT Domänenstruktur" üblich an. Machen Sie sich später mittels phpLDAPAdmin (zu erreichen über den Administrationsbereich im invis Portal) mit der Struktur vertraut. Dabei entsprechen auch die Gruppen-IDs den entsprechenden RIDs aus der Windows-Welt.
-Weiterhin legt das Script unter /srv/shares einige Freigaben (Verwaltung, Aktuell, Archiv, Gruppen, Media, Transfer) an. Diese sind in Abhängigkeit des gedachten Verwendungszwecks mit unterschiedlichen Zugriffsrechten versehen. Allen gemeinsam ist das gesetzte SGID-Bit, welches dafür sorgt, dass Dateien und Verzeichnisse die in einer Freigabe angelegt werden von dieser die besitzende Gruppe erben. Dies erleichtert das gruppenweise Zusamenarbeiten auf dem Fileserver. Schauen Sie sich auch dies fürs Verständnis einmal genauer an.
+Weiterhin legt das Script unter /srv/shares einige Freigaben (Verwaltung, Aktuell, Archiv, Gruppen, Media, Transfer) an. Diese sind in Abhängigkeit des gedachten Verwendungszwecks mit unterschiedlichen Zugriffsrechten versehen. Allen gemeinsam ist das gesetzte SGID-Bit, welches dafür sorgt, dass Dateien und Verzeichnisse die in einer Freigabe angelegt werden von dieser die besitzende Gruppe erben. Dies erleichtert das gruppenweise Zusammenarbeiten auf dem Fileserver. Schauen Sie sich auch dies fürs Verständnis einmal genauer an.
 Alle Freigaben sind mit einem "Netzwerk-Papierkorb" ausgestattet. D.H. alle von Anwendern in einer Freigabe gelöschten Dateien und Ordner werden unter Beibehaltung der Verzeichnisstruktur in den Ordner ".recycle" innerhalb der jeweiligen Freigabe verschoben. Um ein Überlaufen der Festplatten zu verhindern werden ältere Dateien automatisch vom Tool //**clean_recycle**// in regelmäßigen Abständen automatisch aus dem Papierkorb entfernt.
@@ Zeile 466: / Zeile 478: @@
 //**Achtung:** SSSD ist ein "caching" Daemon. D.h. er speichert Benutzerinformationen aus dem LDAP zwischen. Leider funktioniert (in meinen Augen) das frisch halten des Caches nicht optimal. D.h. Es kann sein, dass sie für frisch angelegte Benutzer oder Gruppen erst nach einigen Minuten Wartezeit Zugriffsrechte im Dateisystem setzen können.//
+//**Achtung**: Die Funktion Freigaben auch via NFS verfügbar zu machen ist in diesem Modul enthalten, wird aber nicht automatisch aktiviert. Dazu ist etwas manuelle Nacharbeit notwendig. (Siehe unten)//
 === Modul: web ===
 Wie der Name vermuten lässt geht es hier um die Einrichtung des Webservers Apache, aber auch um die Installation des invis-Portals. Seit invis-Server Version 9.0 ist auch die Einrichtung des Dienstes "shellinabox" Teil dieses Moduls. "shellinabox" ermöglicht den SSH-Login am Server aus dem Webportal des invis-Servers heraus.
@@ Zeile 477: / Zeile 491: @@
 === Module: mysqlserver und postgresqlserver ===
-Das diese beiden Module genau das tun, was die Namen vermuten lassen dürfte selbstverständlich sein. Sie richten sowohl einen MySQL als auch einen PostgreSQL Server ein.
+Das diese beiden Module genau das tun, was die Namen vermuten lassen dürfte selbstverständlich sein. Sie richten sowohl einen MySQL, bzw. ab Version 10.0 MariaDB als auch einen PostgreSQL Server ein.
-Die Frage nache dem "Warum beide" beantworte ich lieber bevor sie gestellt wird. Die in invis Server integrierte Groupware "Group-e" setzt einen MySQL-Server voraus, während das Warenwirtschaftssystem Kivitendo und OpenERP schlicht PostgreSQL benötigen. Beide Systeme haben einfach unterschiedliche Stärken. So profitieren Group-e und Zarafa vermutlich von der Performance des Einen, während Kivitendo und OpenERP auf die Transaktionssicherheit des Anderen bauen.
+Die Frage nache dem "Warum beide" beantworte ich lieber bevor sie gestellt wird. Die in invis Server integrierte Groupware "Group-e" setzt einen MySQL-Server voraus, während das Warenwirtschaftssystem Kivitendo schlicht PostgreSQL benötigt. Beide Systeme haben einfach unterschiedliche Stärken. So profitieren Group-e und Zarafa vermutlich von der Performance des Einen, während Kivitendo auf die Transaktionssicherheit des Anderen baut.
 //**Hinweis:** Seit invis Version 7.0 wurde der Start des PostgreSQL Servers optional gestaltet. D.h. PostgreSQL wird installiert und konfiguriert, aber nur auf Wunsch gestartet. //
+//**Hinweis:** Ab invis Server 10.0 (Active Directory) werden die Speicherreservicerungen für die InnoDB-Engine von MariaDB bzw. MySQL dynamisch berechnet und eingerichtet. Dabei kann es vorkommen, dass wenn viel RAM zur Verfügung steht beim ersten Start von MariaDB bzw. MySQL sehr große Dateien auf der Festplatte angelegt werden. Dies kann unter Umständen sehr lange dauern. Wenn es also so aussieht, als würde **sine** still stehen, haben Sie einfach noch ein wenig Geduld. Auch eine etwaige Fehlermeldung des Systemd bez. eines fehlgeschlagenen Start des Dienstes kann getrost ignoriert werden. Systemd fehlt es scheinbar an der notwendigen Geduld.//
 {{ :invis_server_wiki:32_postgresql.png |}}
@@ Zeile 568: / Zeile 584: @@
 === Modul: faxgate ===
-//**Achtung:** Unter openSUSE 12.2 (invis 8.0-R1 und R2) und neuer funktioniert das Modul derzeit nicht, da Foehr-IT keine fcpci-Kernelmodule für den Kernel fuer openSUSE ab 12.2 bereit hält. Das Ganze sollte sich aber auch manuell einrichten lassen in dem man die Schritte des sine-Scripts manuell nachvollzieht. Ein passendes Kernel-Modul ist **[[http://www.fkn-systems.de/index.php?&c=fcpci|hier]]** zu finden.//
+//**Hinweis:** Wir werden die Pflege des Fax-Server-Moduls über kurz oder lang einstellen. Geschuldet ist dies der ISDN Deaktivierung durch die Telekom, der Tatsache, dass AVM die Fritzcard nie als PCIeX Karte heraus gebracht hat und, dass es die FCPCI-Treiber auch nicht bis in alle Ewigkeit geben wird.//
+//**Achtung:** Seit invis 8.0-R1 funktioniert das Modul nicht mehr vollständig, da Foehr-IT keine fcpci-Kernelmodule für den Kernel für openSUSE ab 12.2 bereit hält. Die Treiber müssen manuell herunter geladen und installiert werden, alles andere kann das Faxgate-Modul erledigen. Die Kernel-Module sind **[[http://www.fkn-systems.de/index.php?&c=fcpci|hier]]** zu finden.//
 Dieses Modul setzt einen CAPI-basierten Faxserver auf. Das setzt voraus, dass Ihr zukünftiger invis Server über eine FritzCard PCI verfügt (andere Modelle haben wir nie getestet). Alternativ funktioniert es auch mit einer FritzCard DSL einer Kombination aus ISDN-Karte und DSL-Modem, die allerdings im Handel nicht mehr erhältlich ist.
@@ Zeile 650: / Zeile 668: @@
 Ich werde bei der Dokumentation der Ersteinrichtung der beiden Programme hier nur das Wesentliche erläutern, da beide Programme immer wieder kleineren und größeren Änderungen unterliegen.
+==== NFS Fileserver ====
+Der NFS Fileserver für Linux-Clients ist nach der Installation des invis-Servers zwar vorbereitet, wird aber nicht automatisch gestartet. Um dies Nachzuholen sind folgende Schritte durchzuführen:
+Die Dienste "nfsserver" und "rpcbind" zum automatischen Start vorsehen und starten:
+<code>
+linux:~ # systemctl enable nfsserver.service
+linux:~ # systemctl start nfsserver.service
+linux:~ # systemctl enable rpcbind.service
+linux:~ # systemctl start rpcbind.service
+</code>
+Anschliessend ist noch der Zugriff auf die NFS-Freigaben in der Firewall, für die interne Netzwerk-Schnittstelle zu öffnen.
+Dazu ist in Datei <file>/etc/sysconfig/SuSEfirewall2</file> ist in Zeile (ca.) 414 folgendes zu ergänzen:
+Aus:
+<code>
+FW_CONFIGURATIONS_INT="samba-4-ad"
+</code>
+wird
+<code>
+FW_CONFIGURATIONS_INT="nfs-kernel-server samba-4-ad"
+</code>
+Danach ist noch die Firwall neu zu starten:
+<code>
+linux:~ # systemctl restart SuSEfirewall2.service
+</code>
+Grund dafür, dass wir dies nicht automatisch ausführen ist, dass es nur in den wenigsten Fällen Linux Clients gibt (leider).
 ==== Group-e ====
@@ Zeile 711: / Zeile 762: @@
 ==== Kivitendo ====
-Wie auch Group-e, ist Kivitendo nach erfolgreichem Script-Lauf bereits auf dem zukünftigen invis-Server vorinstalliert. Die anfallende Nacharbeit beschränkt sich auf das Anlegen von Datenbanken und Mandanten-Accounts.
+Wie auch Group-e, ist Kivitendo nach erfolgreichem Script-Lauf bereits auf dem zukünftigen invis-Server vorinstalliert. Die anfallende Nacharbeit beschränkt sich auf das Anlegen von Datenbanken, Benutzer, Gruppen und Mandanten.
-//**Dazu zunächst ein Hinweis:** Zwar ist es möglich Kivitendo an eine bestehende LDAP-Benutzeranmeldung anzubinden, allerdings ist es nicht möglich von einem System-Benutzerkonto auf mehrere Mandanten-Datenbanken zuzugreifen. Technisch ausgedrückt können nur "eins zu eins" bzw. "viele zu eins" Beziehungen zwischen Kivitendo-Nutzerkonten und Kivitendo Mandanten-Datenbanken eingerichtet werden. "eins zu viele" Beziehungen, wie etwa von Produkten wie Lexware bekannt, sind (noch) nicht möglich. Würde Kivitendo an LDAP angebunden werden, müsste für jede Mandantendatenbank ein System-Benutzerkonto angelegt werden. Da dies auf die Dauer unübersichtlich wird, gehe ich bei der weiteren Beschreibung davon aus, dass Kivitendo eine eigene SQL-Datenbank für Kivitendo-Nutzer pflegt.//
+Eine Umfangreiche Dokumentation zu Kivitendo finden Sie hier: [[https://steigmann.kivitendo-premium.de/doc/html/]]
 Um die Kivitendo Nutzerdatenbank, Mandanten-Datenbanken sowie Nutzerkonten anlegen zu können, müssen Sie zunächst im Browser die Administrationsseite aufrufen. Der entsprechende Link sieht wie folgt aus:
@@ Zeile 721: / Zeile 772: @@
 Sind weder Datenbanken noch Nutzerkonten eingerichtet, genügt ein Klick auf die Schaltfläche "Warenwirtschaft" im invis-Portal. Kivitendo fragt dann selbständig, ob Sie zunächst auf die Administrationsseite wechseln möchten.
-Das zunächst erfragte Administratoren-Passwort lautet schlicht: **"admin123"**. Kivitendo führt Sie anschließend durch die Installation einer Authentifizierungsdatenbank. Folgen Sie hier einfach den Anweisungen. Als Benutzer zum Anlegen der Datenbank können müssen Sie wie vorgeschlagen den User "kivitendo" verwenden. Für letzteren benötigen Sie selbstverständlich das von Ihnen vergebene Passwort.
+Das zunächst erfragte Administratoren-Passwort lautet schlicht: **"admin123"**. Kivitendo führt Sie anschliessend durch die Installation einer Authentifizierungsdatenbank. Folgen Sie hier einfach den Anweisungen. Als Benutzer zum Anlegen der Datenbank können müssen Sie wie vorgeschlagen den User "kivitendo" verwenden. Für letzteren benötigen Sie selbstverständlich das von Ihnen vergebene Passwort.
+Möchten Sie statt gegen eine interne Kivitendo Benutzerdatenbank, gegen ein LDAP-Verzeichnis (OpenLDAP oder Active Directory) Authentifizieren, müssen Sie vor dem Anlegen der Benutzerdatenbank in der Datei <file>/srv/www/htdocs/kivitendo/config/kivitendo.conf</file> folgende Änderungen vornehmen:
+**Classic & AD**
+<code>
+# Which module to use for authentication. Valid values are 'DB' and
+# 'LDAP'.  If 'LDAP' is used then users cannot change their password
+# via kivitendo.
+module = LDAP
+</code>
+Weiterhin ist der LDAP-Server zu konfigurieren. Hier unterscheiden sich Classic und AD geringfügig voneinander:
+**Classic**
+<code>
+host          = 127.0.0.1
+port          = 389
+tls           = 1
+attribute     = uid
+base_dn       = DC=invis-net,DC=loc
+filter        =
+bind_dn       = uid=admin,ou=Benutzerverwaltung,dc=invis-net,dc=loc
+bind_password = ldap-admin-secret
+</code>
+**AD**
+<code>
+host          = 127.0.0.1
+port          = 389
+tls           = 1
+attribute     = sAMAccountName
+base_dn       = DC=invis-net,DC=loc
+filter        =
+bind_dn       = ldap.admin@invis-net.loc
+bind_password = ldap-admin-secret
+</code>
+Selbstverständlich müssen Sie die Konfigurationsdaten an Ihre Umgebung anpassen.
 Steht die Authentifizierungsdatenbank, gelangen Sie auf die eigentliche Administrationsseite.
@@ Zeile 778: / Zeile 868: @@
 Für Kivitendo können Sie auch kommerziellen Support erhalten, wenden Sie sich diesbezüglich an eines der Kivitendo-Partner Unternehmen: [[http://www.kivitendo.de/partner.html]]//
+==== ownCloud - ab invis-Server Active Directory 10.2 ====
+Während der ownCloud-Installation durch //**sine**// wird ownCloud grundsätzlich installiert, eine leere Datenbank angelegt und die Firewall vorbereitet. Im Anschluss daran muss die Setup Routine von ownCloud selbst durchlaufen werden und das LDAP-Plugin aktiviert und konfiguriert werden.
+Sie benötigen dafür das Passwort, welches //**sine**// Ihnen mitgeteilt hat. Beim ersten Zugriff auf ownCloud startet die Setup-Routine automatisch.
+Legen Sie zunächst die Zugangsdaten für das ownCloud Administrationskonto fest.
+Klicken Sie jetzt auf "Speicher & Datenbank" und wählen Sie dort als Datenbank-Typ "MySQL/MariaDB" aus und geben Sie die Zugangsdaten zur vorbereiteten Datenbank ein:
+  * **Host:** localhost
+  * **Datenbank:** owncloud
+  * **Datenbank-Benutzer:** owncloud
+  * **Passwort:** Das von sine generierte Passwort
+Melden Sie sich jetzt mit dem zuvor definierten Adminitrationskonto an ownCloud an. Klicken Sie dann auf den Pulldown Pfeil oben rechts und dann auf "Administration".
+Klicken Sie jetzt links am oberen Rand auf den Eintrag "Apps" und dann auf das Pluszeichen. Klicken Sie als nächstes auf den Menüeintrag "Nicht aktiviert". Aktivieren Sie aus der Liste nicht aktivierter Apps den Eintrag "LDAP user and group backend" und melden Sie sich daraufhin einmal ab und wieder an.
+Jetzt finden Sie unter "Administration" den Eintrag "LDAP". Dort können Sie ownCloud schrittweise an Ihr Active Directory anbinden.
+Im ersten Schritt müssen Sie die Zugangsdaten zum LDAP Server angeben:
+  * **Host:** localhost
+  * **Port:** 389
+  * **Bind-DN:** ldap.admin@invis-net.loc (Ersetzen Sie die Domäne durch Ihre lokale Domäne)
+  * **Bind-Passwort:** Das Password für das "ldap.admin" Konto können Sie sich mit "sine showconf" anzeigen lassen.
+  * **Base-DN:** dc=invis-net,dc=loc (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne)
+//**Hinweis:** ownCloud überprüft die Eingaben sofort. Wenn Sie also einen Fehler bei der Konfiguration machen wird dies unmittelbar angezeigt.//
+Auf der zweiten Seite der Konfiguration "Nutzer-Filter" können Einschränkungen dafür vorgenommen werden welche Benutzerkonten von ownCloud im LDAP gefunden werden. Hier sind folgende Angaben zu machen:
+  * **Nur diese Objekt-Klassen:** person
+  * **Nur von diesen Gruppen:** Lassen Sie dieses Feld leer, wenn alle invis-Nutzer auch ownCloud nutzen dürfen oder wählen Sie eine Gruppe, aus um
+Logins auf die Mitglieder dieser Gruppe(n) zu beschränken.
+In Schritt drei "Anmeldefilter" können Sie die Vorgabe "LDAP-Benutzername" einfach beibehalten. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.
+Im letzten Schritt legen Sie die Gruppen fest, die von ownCloud im LDAP gefunden und verwendet werden können. Hier sind folgende Angaben zu machen:
+  * **Nur diese Objekt-Klassen:** group
+  * **Nur diese Gruppen:** Lassen Sie das Feld leer wenn alle Gruppen der Domäne gefunden werden sollen oder wählen Sie die Gruppen aus, auf die Sie ownCloud beschränken möchten.
+Damit ist die LDAP bzw. Active Directory Anbindung abgeschlossen und ownCloud bereit zur Nutzung. Einen echten Nutzen hat es natürlich nur dann, wenn Ihr Server über einen DDNS-Namen via Internet erreichbar ist.
 ==== Fax-Server ====
+//**Hinweis:** Wir werden die Pflege des Fax-Server-Moduls über kurz oder lang einstellen. Geschuldet ist dies der ISDN Deaktivierung durch die Telekom, der Tatsache, dass AVM die Fritzcard nie als PCIeX Karte heraus gebracht hat und, dass es die FCPCI-Treiber auch nicht bis in alle Ewigkeit geben wird.//
 Die Nacharbeit am Fax-Server beschränkt sich auf die Konfiguration des Fax-Anschlusses sowie der Drucker-Installation auf den Clients.