Inhaltsverzeichnis

invis-Server Upgrade von 14.0 auf 14.1

Dieses Anleitung beschreibt den Weg zurück aus der Sackgasse, also den Weg von der kaum funktionierenden Kombination aus Samba und MIT-Kerberos zurück zu unseren Samba-Paketen mit Heimdal-Kerberos.

Das Upgrade impliziert auch das Distributionsupgrade von openSUSE Leap 15.0 auf 15.1.

Vorbereitung

Sichern Sie alle Datenbanken des Servers. Sie können dafür die Tools des invis-Servers nutzen:

ActiveDirectory

invis:~ # adbackup

Kopano

Führen Sie hier beide Sicherungswege durch:

invis:~ # kdbdump
...
invis:~ # kbackup

Weitere Datenbanken

invis:~ # alldump

Dokuwiki

invis:~ # dwdatasnapshot

Da mit der neuen auf MIT-Kerberos basierenden Samba-Version 4.7. die im Laufe des Upgrades installiert wird, werden überarbeitete AppArmor Profile notwendig. Um negative Effekte auf das Upgrade durch mögliche AppArmor-Blockaden vorzubereiten wird AppArmor vor dem Upgrade deaktiviert.

invis:~ # systemctl stop apparmor.service
...
invis:~ # systemctl disable apparmor.service

Im späteren Verlauf des Upgrades wird AppArmor mit neuen Profilen wieder aktiviert.

Auch der Email-Abruf sollte vor dem Upgrade deaktiviert werden:

invis:~ # systemctl stop fetchmail.service
invis:~ # systemctl disable fetchmail.service

Auch der Samba Domain-Controller wird abgeschaltet.

invis:~ # systemctl stop samba-ad-dc.service

Samba Upgrade

Starten wir mit dem Upgrade der Samba AD-Umgebung. Das bedeutet einen Wechsel von den openSUSE-eigenen Samba-Paketen zurück zu Paketen die wir, das invis-Server-Projekt über eigene Repositories bereit stellen.

Beginnen wir damit das passende Repository einzubinden:

invis:~ # zypper ar https://download.opensuse.org/repositories/spins:/invis:/15:/stable:/samba/openSUSE_Leap_15.0/spins:invis:15:stable:samba.repo
invis:~ # zypper ref

Jetzt können die neuen Samba-Pakete installiert werden. Es wird dabei direkt von Samba-Version 4.7.x aus der openSUSE Distribution auf 4.10.x aus unseren eigenen Repositories aktualisiert. Dies erfordert ein wenig Nacharbeit.

Ermitteln Sie zunächst die Nummer des hinzugekommenen Samba-Repositories:

invis:~ # zypper repos | grep samba
15 | spins_invis_15.0_samba     | Samba 4.10 with Heimdal Kerberos  (openSUSE_Leap_15.0)             | Ja        | (r ) Ja         | Nein
invis:~ # 

Im Beispiel trägt das neue Repository die Nr. 15, daraus ergibt sich das Kommando zum Paket-Upgrade:

invis:~ # zypper dup --from 15 --allow-vendor-change

Dieses Kommando löst eine Reihe Paketkonflikten aus.

Wählen Sie jeweils Lösung 2:

...
 Lösung 2: Deinstallation von samba-python-4.7.11+git.186.d75219614c3-lp150.3.18.2.x86_64
...
...
 Lösung 2: Deinstallation von libsamba-policy0-4.7.11+git.186.d75219614c3-lp150.3.18.2.x86_64
...
...
 Lösung 2: Deinstallation von krb5-server-1.15.2-lp150.5.10.1.x86_64
...

Wundern Sie sich nicht über die Deinstallation des Kerberos-Server Paketes „krb5-server“, genau das ist es ja worum es geht. Den Austausch des MIT-Kerberos Dienstes gegen den in unseren Paketen enthaltenen Heimdal KDC.

Nach dem Tausch der Samba-Pakete startet der Samba ActiveDirectory Dienst nicht automatisch. Dies liegt im Austausch des zugehörigen Service-Unit-Files begründet. Auch wenn die neue Datei den gleichen Namen trägt, weigert sich Systemd dies einfach so hinzunehmen. Notwendig ist ein Reload des Systemd:

invis:~ # systemctl daemon-reload

Danach lässt sich Samba wieder starten:

invis:~ # systemctl start samba-ad-dc.service

Starten Sie ggf. noch die von Samba unmittelbar abhängigen Dienste wie „bind“, „sssd“ und „dhcpd“ neu und testen Sie, ob alles funktioniert. D.h. Logins an der an der Domäne, Domänenbeitritt, Zugriff auf die Freigaben sollten funktionieren bevor Sie weiter machen.

Danach kann von openSUSE Leap 15.0 auf 15.1 aktualisiert werden.

Kopano und Distributions-Upgrade

Der Sprung von openSUSE Leap 15.0 nach 15.1 schließt ein Upgrade von Kopano mit ein. Das macht es ein wenig umständlicher als üblich. Passen Sie zunächst die Repositories an:

invis:~ # sed -i 's/15\.0/15\.1/g' /etc/zypp/repos.d/*

Am Repository der kopano-Webapp muss eine Anpassung vorgenommen werden. Ändern Sie in Datei

/etc/zypp/repos.d/Kopano-Webapp-Limited.repo

die Zeile „baseurl=“ wie folgt ab.

Aus:

baseurl=https://download.kopano.io/limited/webapp:/final/openSUSE_Leap_15.1/

wird

baseurl=https://download.kopano.io/limited/webapp:/final/SLE_15/

Jetzt muss noch die Datei

/root/.zypp/credentials.cat

mit den Zugangsdaten zu den Kopano-Repositories angepasst werden. Auch hier müssen die URLs an die neuen Repositories angepasst werden.

[https://download.kopano.io/limited/core:/final/openSUSE_Leap_15.1/]
username = kopanokonto
password = supergeheim

[https://download.kopano.io/limited/webapp:/final/SLE_15/]
username = kopanokonto
password = supergeheim

Jetzt kann das Upgrade gestartet werden:

invis:~ # zypper ref
...
invis:~ # zypper dup

Durch die Veränderung der Kopano-Repositories erfolgen bei den zu aktualisierenden Kopano-Pakete einige „Anbieterwechsel“ (Vendor-Change). Diese müssen Sie manuell bestätigen:

Problem: Problem mit installiertem Paket kopano-backup-8.7.5.0-lp150.43.1.x86_64
 Lösung 1: kopano-backup-8.7.12.0-lp151.21.1.x86_64 installieren (mit Anbieterwechsel)
  obs://private/core:pre-final --> obs://private/core:final

Richtig ist hier und bei allen 34 folgenden Fragen Lösung 1.

Weitere Paketkonflikte treten nicht auf, ggf. aber wieder Dateikonflikte. Erlauben Sie das überschreiben der alten Dateien mit „ja“. Danach starten Sie das System neu.

invis-Setup aktualisieren

Mit Upgrade auf invis-Server Version 14.1 haben ein paar neue Funktionen Einzug gehalten, die sich auf die Konfiguration des Server auswirken. Dazu gehört, dass das Tool diskchecker auch die absolvierte Laufzeit der Server-Festplatten ermittelt. Im invis-Portal werden diese dann im Verhältnis zu garantierten Laufzeit dieses Festplattentyps dargestellt. Dafür muss die Datei

/etc/invis/invis.conf

um folgende Einträge ergänzt werden:

# Disk Warranty Time - Garantiezeitraum der eingesetzten Festplatten
# 5 Jahre = 43800 Stunden (Gilt für die meisten 24/7 Festplatten)
# 3 Jahre = 26280 Stunden (Gilt für gute Consumer Festplatten)
# 1 Jahr = 14140 Stunde (Gilt für Low-Budged Festplatten)
diskWarrantyTime:43800

Tragen Sie für diskWarrantyTime den Wert ein den Ihnen der Hersteller Ihrer Festplatten gewährt.

Heben Sie in der gleichen Datei noch die invis-Server Versionsnummer noch von 14.0 auf 14.1 an.

#invis-server Version
invisVersion:14.1

Abschließend sind noch in der Konfiguration des invis-Portals

/etc/invis/portal/config.php

die Versionsnummerneinträge anzupassen:

$INVISVERSION = '14.1';
$OPENSUSEVERSION = '15.1';

Damit ist auch dieser Schritt abgeschlossen.

ClamAV und Abschluss

Wer möchte kann auch seine ClamAV-Installation auf Stand bringen. Die von openSUSE Leap 15.x ausgelieferte Version ist nicht auf der Höhe der Zeit. Daher bieten wir eine aktuelle Version über unser Common-Repository an.

Dazu genügt folgender Befehl:

invis:~ # zypper up --allow-vendor-change clamav

Aktivieren Sie den Email-Abruf wieder:

invis:~ # systemctl start fetchmail.service
invis:~ # systemctl enable fetchmail.service

Damit ist das Server-Upgrade abgeschlossen.