Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:installation [2015/05/18 13:01]
flacco [Kivitendo]
+++ invis_server_wiki:installation [2015/07/16 14:58]
flacco [ownCloud - ab invis-Server Active Directory 10.2]
@@ Zeile 584: / Zeile 584: @@
 === Modul: faxgate ===
-//**Achtung:** Unter openSUSE 12.2 (invis 8.0-R1 und R2) und neuer funktioniert das Modul derzeit nicht, da Foehr-IT keine fcpci-Kernelmodule für den Kernel fuer openSUSE ab 12.2 bereit hält. Das Ganze sollte sich aber auch manuell einrichten lassen in dem man die Schritte des sine-Scripts manuell nachvollzieht. Ein passendes Kernel-Modul ist **[[http://www.fkn-systems.de/index.php?&c=fcpci|hier]]** zu finden.//
+//**Hinweis:** Wir werden die Pflege des Fax-Server-Moduls über kurz oder lang einstellen. Geschuldet ist dies der ISDN Deaktivierung durch die Telekom, der Tatsache, dass AVM die Fritzcard nie als PCIeX Karte heraus gebracht hat und, dass es die FCPCI-Treiber auch nicht bis in alle Ewigkeit geben wird.//
+//**Achtung:** Seit invis 8.0-R1 funktioniert das Modul nicht mehr vollständig, da Foehr-IT keine fcpci-Kernelmodule für den Kernel für openSUSE ab 12.2 bereit hält. Die Treiber müssen manuell herunter geladen und installiert werden, alles andere kann das Faxgate-Modul erledigen. Die Kernel-Module sind **[[http://www.fkn-systems.de/index.php?&c=fcpci|hier]]** zu finden.//
 Dieses Modul setzt einen CAPI-basierten Faxserver auf. Das setzt voraus, dass Ihr zukünftiger invis Server über eine FritzCard PCI verfügt (andere Modelle haben wir nie getestet). Alternativ funktioniert es auch mit einer FritzCard DSL einer Kombination aus ISDN-Karte und DSL-Modem, die allerdings im Handel nicht mehr erhältlich ist.
@@ Zeile 668: / Zeile 670: @@
 ==== NFS Fileserver ====
-... to be continued
+Der NFS Fileserver für Linux-Clients ist nach der Installation des invis-Servers zwar vorbereitet, wird aber nicht automatisch gestartet. Um dies Nachzuholen sind folgende Schritte durchzuführen:
+Die Dienste "nfsserver" und "rpcbind" zum automatischen Start vorsehen und starten:
+<code>
+linux:~ # systemctl enable nfsserver.service
+linux:~ # systemctl start nfsserver.service
+linux:~ # systemctl enable rpcbind.service
+linux:~ # systemctl start rpcbind.service
+</code>
+Anschliessend ist noch der Zugriff auf die NFS-Freigaben in der Firewall, für die interne Netzwerk-Schnittstelle zu öffnen.
+Dazu ist in Datei <file>/etc/sysconfig/SuSEfirewall2</file> ist in Zeile (ca.) 414 folgendes zu ergänzen:
+Aus:
+<code>
+FW_CONFIGURATIONS_INT="samba-4-ad"
+</code>
+wird
+<code>
+FW_CONFIGURATIONS_INT="nfs-kernel-server samba-4-ad"
+</code>
+Danach ist noch die Firwall neu zu starten:
+<code>
+linux:~ # systemctl restart SuSEfirewall2.service
+</code>
+Grund dafür, dass wir dies nicht automatisch ausführen ist, dass es nur in den wenigsten Fällen Linux Clients gibt (leider).
 ==== Group-e ====
@@ Zeile 733: / Zeile 765: @@
 Eine Umfangreiche Dokumentation zu Kivitendo finden Sie hier: [[https://steigmann.kivitendo-premium.de/doc/html/]]
-//**Dazu zunächst ein Hinweis:** Zwar ist es möglich Kivitendo an eine bestehende LDAP-Benutzeranmeldung anzubinden, allerdings ist es nicht möglich von einem System-Benutzerkonto auf mehrere Mandanten-Datenbanken zuzugreifen. Technisch ausgedrückt können nur "eins zu eins" bzw. "viele zu eins" Beziehungen zwischen Kivitendo-Nutzerkonten und Kivitendo Mandanten-Datenbanken eingerichtet werden. "eins zu viele" Beziehungen, wie etwa von Produkten wie Lexware bekannt, sind (noch) nicht möglich. Würde Kivitendo an LDAP angebunden werden, müsste für jede Mandantendatenbank ein System-Benutzerkonto angelegt werden. Da dies auf die Dauer unübersichtlich wird, gehe ich bei der weiteren Beschreibung davon aus, dass Kivitendo eine eigene SQL-Datenbank für Kivitendo-Nutzer pflegt.//
 Um die Kivitendo Nutzerdatenbank, Mandanten-Datenbanken sowie Nutzerkonten anlegen zu können, müssen Sie zunächst im Browser die Administrationsseite aufrufen. Der entsprechende Link sieht wie folgt aus:
@@ Zeile 742: / Zeile 772: @@
 Sind weder Datenbanken noch Nutzerkonten eingerichtet, genügt ein Klick auf die Schaltfläche "Warenwirtschaft" im invis-Portal. Kivitendo fragt dann selbständig, ob Sie zunächst auf die Administrationsseite wechseln möchten.
-Das zunächst erfragte Administratoren-Passwort lautet schlicht: **"admin123"**. Kivitendo führt Sie anschließend durch die Installation einer Authentifizierungsdatenbank. Folgen Sie hier einfach den Anweisungen. Als Benutzer zum Anlegen der Datenbank können müssen Sie wie vorgeschlagen den User "kivitendo" verwenden. Für letzteren benötigen Sie selbstverständlich das von Ihnen vergebene Passwort.
+Das zunächst erfragte Administratoren-Passwort lautet schlicht: **"admin123"**. Kivitendo führt Sie anschliessend durch die Installation einer Authentifizierungsdatenbank. Folgen Sie hier einfach den Anweisungen. Als Benutzer zum Anlegen der Datenbank können müssen Sie wie vorgeschlagen den User "kivitendo" verwenden. Für letzteren benötigen Sie selbstverständlich das von Ihnen vergebene Passwort.
+Möchten Sie statt gegen eine interne Kivitendo Benutzerdatenbank, gegen ein LDAP-Verzeichnis (OpenLDAP oder Active Directory) Authentifizieren, müssen Sie vor dem Anlegen der Benutzerdatenbank in der Datei <file>/srv/www/htdocs/kivitendo/config/kivitendo.conf</file> folgende Änderungen vornehmen:
+**Classic & AD**
+<code>
+# Which module to use for authentication. Valid values are 'DB' and
+# 'LDAP'.  If 'LDAP' is used then users cannot change their password
+# via kivitendo.
+module = LDAP
+</code>
+Weiterhin ist der LDAP-Server zu konfigurieren. Hier unterscheiden sich Classic und AD geringfügig voneinander:
+**Classic**
+<code>
+host          = 127.0.0.1
+port          = 389
+tls           = 1
+attribute     = uid
+base_dn       = DC=invis-net,DC=loc
+filter        =
+bind_dn       = uid=admin,ou=Benutzerverwaltung,dc=invis-net,dc=loc
+bind_password = ldap-admin-secret
+</code>
+**AD**
+<code>
+host          = 127.0.0.1
+port          = 389
+tls           = 1
+attribute     = sAMAccountName
+base_dn       = DC=invis-net,DC=loc
+filter        =
+bind_dn       = ldap.admin@invis-net.loc
+bind_password = ldap-admin-secret
+</code>
+Selbstverständlich müssen Sie die Konfigurationsdaten an Ihre Umgebung anpassen.
 Steht die Authentifizierungsdatenbank, gelangen Sie auf die eigentliche Administrationsseite.
@@ Zeile 799: / Zeile 868: @@
 Für Kivitendo können Sie auch kommerziellen Support erhalten, wenden Sie sich diesbezüglich an eines der Kivitendo-Partner Unternehmen: [[http://www.kivitendo.de/partner.html]]//
+==== ownCloud - ab invis-Server Active Directory 10.2 ====
+Während der ownCloud-Installation durch //**sine**// wird ownCloud grundsätzlich installiert, eine leere Datenbank angelegt und die Firewall vorbereitet. Im Anschluss daran muss die Setup Routine von ownCloud selbst durchlaufen werden und das LDAP-Plugin aktiviert und konfiguriert werden.
+Sie benötigen dafür das Passwort, welches //**sine**// Ihnen mitgeteilt hat. Beim ersten Zugriff auf ownCloud startet die Setup-Routine automatisch.
+Legen Sie zunächst die Zugangsdaten für das ownCloud Administrationskonto fest.
+Klicken Sie jetzt auf "Speicher & Datenbank" und wählen Sie dort als Datenbank-Typ "MySQL/MariaDB" aus und geben Sie die Zugangsdaten zur vorbereiteten Datenbank ein:
+  * **Host:** localhost
+  * **Datenbank:** owncloud
+  * **Datenbank-Benutzer:** owncloud
+  * **Passwort:** Das von sine generierte Passwort
+Melden Sie sich jetzt mit dem zuvor definierten Adminitrationskonto an ownCloud an. Klicken Sie dann auf den Pulldown Pfeil oben rechts und dann auf "Administration".
+Klicken Sie jetzt links am oberen Rand auf den Eintrag "Apps" und dann auf das Pluszeichen. Klicken Sie als nächstes auf den Menüeintrag "Nicht aktiviert". Aktivieren Sie aus der Liste nicht aktivierter Apps den Eintrag "LDAP user and group backend" und melden Sie sich daraufhin einmal ab und wieder an.
+Jetzt finden Sie unter "Administration" den Eintrag "LDAP". Dort können Sie ownCloud schrittweise an Ihr Active Directory anbinden.
+Im ersten Schritt müssen Sie die Zugangsdaten zum LDAP Server angeben:
+  * **Host:** localhost
+  * **Port:** 389
+  * **Bind-DN:** ldap.admin@invis-net.loc (Ersetzen Sie die Domäne durch Ihre lokale Domäne)
+  * **Bind-Passwort:** Das Password für das "ldap.admin" Konto können Sie sich mit "sine showconf" anzeigen lassen.
+  * **Base-DN:** dc=invis-net,dc=loc (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne)
+//**Hinweis:** ownCloud überprüft die Eingaben sofort. Wenn Sie also einen Fehler bei der Konfiguration machen wird dies unmittelbar angezeigt.//
+Auf der zweiten Seite der Konfiguration "Nutzer-Filter" können Einschränkungen dafür vorgenommen werden welche Benutzerkonten von ownCloud im LDAP gefunden werden. Hier sind folgende Angaben zu machen:
+  * **Nur diese Objekt-Klassen:** person
+  * **Nur von diesen Gruppen:** Lassen Sie dieses Feld leer, wenn alle invis-Nutzer auch ownCloud nutzen dürfen oder wählen Sie eine Gruppe, aus um
+Logins auf die Mitglieder dieser Gruppe(n) zu beschränken. Praktischerweise sollte für diesen Zweck eine eigene Gruppe angelegt werden.
+Leider macht ownCloud bei der Umsetzung dieser Angaben in eine Filterregel einen Fehler. Dies lässt sich korrigieren in dem Sie auf den Link "bearbeiten klicken und die dann angezeigte Zeile gemäss folgendem Beispiel abändern:
+<code>
+(&(|(objectclass=person))(|(memberof=CN=owncloud,CN=Users,DC=invis-net,DC=loc)))
+</code>
+In Schritt drei "Anmeldefilter" können Sie die Vorgabe "LDAP-Benutzername" einfach beibehalten. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.
+Im letzten Schritt legen Sie die Gruppen fest, die von ownCloud im LDAP gefunden und verwendet werden können. Hier sind folgende Angaben zu machen:
+  * **Nur diese Objekt-Klassen:** group
+  * **Nur diese Gruppen:** Lassen Sie das Feld leer wenn alle Gruppen der Domäne gefunden werden sollen oder wählen Sie die Gruppen aus, auf die Sie ownCloud beschränken möchten.
+Damit ist die LDAP bzw. Active Directory Anbindung abgeschlossen und ownCloud bereit zur Nutzung. Einen echten Nutzen hat es natürlich nur dann, wenn Ihr Server über einen DDNS-Namen via Internet erreichbar ist.
 ==== Fax-Server ====
+//**Hinweis:** Wir werden die Pflege des Fax-Server-Moduls über kurz oder lang einstellen. Geschuldet ist dies der ISDN Deaktivierung durch die Telekom, der Tatsache, dass AVM die Fritzcard nie als PCIeX Karte heraus gebracht hat und, dass es die FCPCI-Treiber auch nicht bis in alle Ewigkeit geben wird.//
 Die Nacharbeit am Fax-Server beschränkt sich auf die Konfiguration des Fax-Anschlusses sowie der Drucker-Installation auf den Clients.