Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung Nächste Überarbeitung Beide Seiten der Revision | ||
|
tipps_und_tricks [2012/06/20 08:40] flacco [Zarafa-Pakete herunterladen und entpacken] |
tipps_und_tricks [2018/12/15 13:21] flacco [Zarafa-Pakete herunterladen und entpacken] |
||
|---|---|---|---|
| Zeile 2: | Zeile 2: | ||
| In diesem Bereich des Wikis werden sporadisch Kurzanleitungen, Workarounds usw. zu verschiedenen Themenbereichen auftauchen. | In diesem Bereich des Wikis werden sporadisch Kurzanleitungen, Workarounds usw. zu verschiedenen Themenbereichen auftauchen. | ||
| - | ===== VirtualBox ===== | + | ===== Rettungsumgebung (Chroot) ===== |
| - | Da der invis Server auch in Form virtueller Maschinen nutzbar ist und wir auf Messen gelegentlich entsprechende Images verteilen, beginnt die Tipps und Tricks Ecke mit einem Verweis auf VirtualBox - unserem favorisierten Virtualisierungssystem. Da mit einigen Einträgen zum Thema VirtualBox zu rechnen sein wird, widme ich diesem Thema eine eigene Wiki-Seite. | + | |
| - | [[:tipps_und_tricks:virtualbox| Tipps und Tricks zu VirtualBox]] | + | Wie ich selbst leidvoll erkennen musste, taugt die openSUSE Rettungsumgebung nicht dazu eine vollständige "Chroot" Umgebung aufzubauen um an einem nicht mehr startenden System zu arbeiten. Daher hier eine kurze Anleitung zur Realisation einer Chroot-Umgebung für openSUSE. |
| - | ===== Windows 7 ===== | + | Schritt 1 ist statt des Rettungssystems ein openSUSE-Live-System zu starten. |
| - | Windows 7 stellt an invis Administratoren neue Aufgaben. Eine davon ist ein sauberer Domänenbeitritt. | + | Danach können Schritt für Schritt alle Teilverzeichnissysteme zu einer vollständigen Umgebungzusammen gesetzt werden. Im Folgenden wird dies basierend auf unserer Partitionierungsempfehlung mit Software-RAID und LVM vorgenommen: |
| - | [[:tipps_und_tricks:win7dom|Domänenbeitritt mit Windows 7]] | + | <code> |
| + | linux:~ # mount /dev/system/root /mnt | ||
| + | linux:~ # mount /dev/system/var /mnt/var | ||
| + | linux:~ # mount /dev/mdXXX /mnt/boot | ||
| + | </code> | ||
| - | ===== Zarafa License-Daemon im Eigenbau ===== | + | **mdXXX** steht für das Software-RAID Device auf dem das /boot-Verzeichnis liegt. Leider nummeriert die Live-Umgebung SW-RAID Devices anders durch, als das installierte System. Kann also sein, das aus /dev/md0 im realen System /dev/md127 in der Live-Umgebung wird. Einfach ausprobieren. |
| - | Offiziell wird openSUSE als Basis einer Zarafa-Version nicht unterstützt, was unter anderem dazu führt, dass weder Zarafa-Backup noch der License-Daemon dafür zur Verfügung stehen. Beide Tools enthalten Closed-Source-Komponenten und sind damit nicht Bestandteil der Open-Source-Pakete die wir in unserem Build-Service-Repository vorhalten. | + | Dann müssen noch die speziellen Verzeichnisse hinzugefügt werden: |
| - | Sie sind aber Bestandteil der Free-Edition und können somit kostenlos genutzt werden, allerdings nur auf unterstützten Plattformen, wie etwa Ubuntu LTS. | + | <code> |
| - | + | linux:~ # mount -t proc none /mnt/proc | |
| - | Problematisch ist grundsätzlich, dass Zarafa seine eigene Software meist statisch gegen vorhandene System-Libraries linkt. Da sich diese von Distribution zu Distribution in Ihren Versionen unterscheiden, ist es nicht möglich SLES oder RedHat-Pakete einfach unter openSUSE zu nutzen. | + | linux:~ # mount -t sysfs non /mnt/sys |
| - | + | linux:~ # mount -o bind /dev /mnt/dev | |
| - | Möglich ist aber den License-Daemon in einer Art Sandbox laufen zu lassen, in der er alle Libraries hat, die er benötigt. Die folgende Beschreibung erläutert den Aufbau der Sandbox auf einem Ubuntu-LTS System | + | </code> |
| - | + | ||
| - | ==== VM einrichten ==== | + | |
| - | Zunächst muss dafür ein Ubuntu-LTS System installiert werden, hier empfiehlt sich die Arbeit mit Virtualbox. Entgegen der Angaben im Zarafa-Wiki spielt die Architektur der Sandbox sehr wohl eine Rolle. Da wir unsere invis-Server immer als 64Bit Systeme installieren, nutzen wir entsprechend auch ein 64Bit Ubuntu als Basis. | + | |
| - | ==== Zarafa-Pakete herunterladen und entpacken ==== | + | (Genau der Teil funktioniert mit dem einfachen Rettungssystem nicht!) |
| - | Benötigt wird die zur installierten VM passende Zarafa Free-Edition, zu finden auf dem Zarafa-Download-Server: http://download.zarafa.com/community | + | Damit ist die Chroot-Umgebung fertig und kann betreten werden: |
| <code> | <code> | ||
| - | heinz@ubuntu:~$ wget http://download.zarafa.com/community/final/7.0/7.0.8-35178/zcp-7.0.8-35178-ubuntu-10.04-x86_64-free.tar.gz | + | linux:~ # chroot /mnt |
| - | heinz@ubuntu:~$ tar -xzvf zcp-7.0.8-35178-ubuntu-10.04-x86_64-free.tar.gz | + | |
| </code> | </code> | ||
| - | ==== Zarafa-Pakete installieren ==== | + | Jetzt kann im installierten System gearbeitet werden. Sie können hier beispielsweise Grub reparieren oder eine neue inird erzeugen. |
| - | ===== Linux-Clients und NFS-Fileserver ===== | + | Verlassen wird es einfach mit //**exit**// |
| - | Die Gruppen-basierte Zusammenarbeit auf einem Linux-Fileserver gestaltet sich schwierig, wenn diese per NFS auf den Fileserver zugreifen. Zwar lassen sich mit gesetztem SGID-Bit auf den Freigabe-Verzeichnissen Gruppen-Besitzrechte auf alle Objekte im Ordner vererben, nicht aber die Zugriffsrechte. Letztere sind von der "umask" abhängig. | + | |
| - | Auf openSUSE-Systemen ist die vorgegebene umask "022", was bedeutet, das neu angelegte Dateien und Verzeichnisse für die besitzende Gruppe kein Schreibrecht gewähren: | ||
| - | <code> | ||
| - | Verzeichnis | ||
| - | | u | g | o | | ||
| - | ---------------------- | ||
| - | Default | 7 | 7 | 7 | | ||
| - | umask | 0 | 2 | 2 | | ||
| - | ---------------------- | ||
| - | Ergebnis | 7 | 5 | 5 | = rwx,r-x,r-x | ||
| - | Datei | ||
| - | Default | 6 | 6 | 6 | | ||
| - | umask | 0 | 2 | 2 | | ||
| - | ---------------------- | ||
| - | Ergebnis | 6 | 4 | 4 | = rw-,r--,r-- | ||
| - | </code> | ||
| - | Um pauschal auch für die besitzende Gruppe Schreibrecht zu gewähren muss die umask auf den Wert "002" geändert werden: | ||
| - | <code> | ||
| - | Verzeichnis | ||
| - | | u | g | o | | ||
| - | ---------------------- | ||
| - | Default | 7 | 7 | 7 | | ||
| - | umask | 0 | 0 | 2 | | ||
| - | ---------------------- | ||
| - | Ergebnis | 7 | 7 | 5 | = rwx,rwx,r-x | ||
| - | Datei | + | ===== Zarafa License-Daemon im Eigenbau ===== |
| - | Default | 6 | 6 | 6 | | + | |
| - | umask | 0 | 0 | 2 | | + | |
| - | ---------------------- | + | |
| - | Ergebnis | 6 | 6 | 4 | = rw-,rw-,r-- | + | |
| - | </code> | + | |
| - | Die umask ist prinzipiell Benutzer-bezogen. Sie kann an mehreren Stellen im System geändert werden. Wichtig dabei ist, dass die Änderung auf dem Fileserver-Client wirksam ist. Eine Änderung auf dem Server selbst, etwa in /etc/profile o.ä. bleibt wirkungslos. | + | Offiziell wird openSUSE als Basis einer Zarafa-Version nicht unterstützt, was unter anderem dazu führt, dass weder Zarafa-Backup noch der License-Daemon dafür zur Verfügung stehen. Beide Tools enthalten Closed-Source-Komponenten und sind damit nicht Bestandteil der Open-Source-Pakete die wir in unserem Build-Service-Repository vorhalten. |
| - | Da openSUSE mit dem "pam_umask" Modul arbeitet, kann die umask auch in den Einstellungen der einzelnen Benutzerkonten vorgenommen werden. Eingetragen wird eine persönliche umask in das "Gecos-Feld". Hier ein Auszug aus einer entsprechend angepassten passwd-Datei: | + | Sie sind aber Bestandteil der Free-Edition und können somit kostenlos genutzt werden, allerdings nur auf unterstützten Plattformen, wie etwa Ubuntu LTS. |
| - | <code> | + | Problematisch ist grundsätzlich, dass Zarafa seine eigene Software meist statisch gegen vorhandene System-Libraries linkt. Da sich diese von Distribution zu Distribution in Ihren Versionen unterscheiden, ist es nicht möglich SLES oder RedHat-Pakete einfach unter openSUSE zu nutzen. |
| - | ... | + | |
| - | stefan:x:10000:100:Stefan Schäfer,umask=002:/local/home/stefan:/bin/bash | + | |
| - | ... | + | |
| - | </code> | + | |
| - | Da invis Server eine LDAP-basierte zentrale Benutzerverwaltung anbieten, **muss** die gezeigte Anpassung selbstverständlich im LDAP-Verzeichniseintrag der einzelnen Benutzer vorgenommen werden. | + | Möglich ist aber den License-Daemon in einer Art Sandbox laufen zu lassen, in der er alle Libraries hat, die er benötigt. Die folgende Beschreibung erläutert den Aufbau der Sandbox auf einem Ubuntu-LTS System |
| - | Melden Sie sich dazu über den Link "Verzeichnisdienst" auf der Administrationsseite des Portals am LDAP-Verzeichnis an und ändern Sie das Feld "gecos" betroffenen Benutzereinträge wie folgt ab: | + | ==== VM einrichten ==== |
| + | Zunächst muss dafür ein Ubuntu-LTS System installiert werden, hier empfiehlt sich die Arbeit mit Virtualbox. Entgegen der Angaben im Zarafa-Wiki spielt die Architektur der Sandbox sehr wohl eine Rolle. Da wir unsere invis-Server immer als 64Bit Systeme installieren, nutzen wir entsprechend auch ein 64Bit Ubuntu als Basis. | ||
| - | DN: uid=**username**,ou=Users,ou=Benutzerverwaltung,dc=**invis-net**,dc=loc | + | Zusätzlich zur einfachen Standard-Installation wird das Software-Paket **mklibs** benötigt: |
| - | Von: "System User" zu "System User,umask=002" | + | <code> |
| + | heinz@ubuntu:~$ sudo apt-get install mklibs | ||
| + | </code> | ||
| - | Ab invis Version 6.7-R3 entspricht dies der Vorgabe, wenn Benutzer über das invis-Portal angelegt werden. Die Vorgabe kann in der Datei "/srv/www/htdocs/portal/config.php" an die eigenen Wünsche angepasst werden. | + | Wenn Sie Ihre Sandbox unter SLES bauen möchten, werden Sie feststellen, dass es für SUSE-Linuxe das Paket **mklibs** nicht gibt. Abhilfe schaft ein gleichnamiges Shellscript: [[https://github.com/blunderer/mklibs]] |
| ===== Speicherüberlauf Cyrus Index-DB ===== | ===== Speicherüberlauf Cyrus Index-DB ===== | ||
| Zeile 154: | Zeile 122: | ||
| Danach kann man sich wieder als Benutzer "config" mit dem Passwort "config" anmelden. | Danach kann man sich wieder als Benutzer "config" mit dem Passwort "config" anmelden. | ||
| + | |||
| ===== Nein Danke Zensursula ===== | ===== Nein Danke Zensursula ===== | ||
| Zeile 186: | Zeile 155: | ||
| neu. | neu. | ||
| - | ===== Deeplinks verhindern ===== | ||
| - | Wenn der Webserver eines invis Servers auch via HTTPs aus dem Internet erreichbar ist, können die einzelnen Applikationen derzeit noch durch direkte Eingabe der Zieladresse im Browser ohne Umweg über das invis Portal erreicht werden. | ||
| - | |||
| - | Dieses Verhalten ist aus Sicherheitsgründen eher bedenklich und in der Regel nicht erwünscht. Um dies zu verhindern muss die Apache-Konfigurationsdatei /etc/apache2/vhosts.d/i7ssl.conf erweitert werden. | ||
| - | |||
| - | Tragen Sie dort für jede Applikation die nicht direkt angesprochen werden soll folgenden Eintrag ein: | ||
| - | |||
| - | <code> | ||
| - | # Deeplinks verhindern | ||
| - | <Directory /srv/www/htdocs/phpMyAdmin> | ||
| - | SetEnvIfNoCase Referer "^http://invis.invis-net.loc" dontblock | ||
| - | SetEnvIfNoCase Referer "^https://your.dyndns-domain.net" dontblock | ||
| - | Order Deny,Allow | ||
| - | Deny from all | ||
| - | Allow from env=dontblock | ||
| - | </Directory> | ||
| - | </code> | ||
| - | |||
| - | Das Beispiel zeigt den Deeplink-Schutz für das Verzeichnis von phpMyAdmin. Sie müssen lediglich die Domain-Namen an Ihre Gegebenheiten anpassen und den Apache neustarten. Danach sind die geschützten Applikationen nur noch über das invis-Portal erreichbar. | ||
| - | |||
| - | |||
| - | Die gezeigten Einträge sind ab invis Release 6.6-R4 generell für alle Applikationen Standard. | ||
| ===== Faxgate-Client unter Linux nutzen ===== | ===== Faxgate-Client unter Linux nutzen ===== | ||