Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:installation:post-140 [2018/05/26 18:55]
flacco [WaWision]
+++ invis_server_wiki:installation:post-140 [2021/08/23 17:24] (aktuell)
flacco [ownCloud]
@@ Zeile 4: / Zeile 4: @@
 ===== Router =====
+Nach der Installation ist es erforderlich ein paar Anpassungen an Ihrem Router vorzunehmen.
+==== Portweiterleitungen ====
 Wenn Sie Ihren invis-Server hinter einem Router betreiben, müssen Sie darin bis zu 5 Portweiterleitungen einrichten, wenn Sie Ihren invis-Server auch via Internet nutzen möchten.
@@ Zeile 10: / Zeile 13: @@
   - der vom invis Server genutzte "verschobene" SSH-Port (TCP)
-  - Port 443/TCP (HTTPs), wenn Sie ActiveSync/Z-Push nutzen möchten, um Mobilgeräte mit der Groupware des Servers zu synchronisieren.
+  - Port 443/TCP (HTTPs), (ActiveSync/Z-Push, Direktzugriffe auf ownCloud und die Kopano-Webapp).
   - der vom invis Server genutzte "verschobene" HTTPs-Port (TCP) für den Zugriff auf das invis-Portal.
   - Port 80/TCP (HTTP), ist erforderlich, wenn Sie für externe Zugriffe automatisch aktualisierte Zertifikate von Let's Encrypt verwenden möchten.
@@ Zeile 20: / Zeile 23: @@
 linux:~ # sine2 showconf
 </code>
+//**Hinweis:** Damit es möglichst nicht zu Konflikten mit anderen Diensten kommt werden zufällige Ports nur im "dynamischen Bereich" (größer 50000) generiert.//
+==== DDNS ====
+Wird ein invis-Server an einer DSL-Leitung betrieben besteht beim Zugriff von extern darauf das Problem, dass sich die IP-Adresse der Internet-Anbindung prinzipiell täglich ändert. Dies erfordert für eine zuverlässige Erreichbarkeit, dass der Server unter einem feststehenden Namen erreichbar sind. Die erforderliche Technik namens "dynamik DNS" beherrschen eigentlich alle Router. Dabei nennt der Router immer wenn er eine neue IP-Adresse erhält diese einem Nameserver, damit dieser sie dem festgelegten Namen zugeordnet werden kann. Es gibt eine Reihe von Providern die DDNS, teils kostenlos anbieten.
+//**Hinweis:** Neben der Nutzung der DDNS-Funktionalität eines Routers, bietet der invis-Server DDNS auch direkt an, dies erfordert allerdings, dass Sie selbst im Internet einen DDNS-fähigen Nameserver betreiben und Besitzer der Domäne sind, der der Name des invis-Servers angehören soll.//
+//**Achtung:** Die Nutzung einer festen IP-Adresse ist zwar praktisch, aber kein Ersatz für einen gültigen Namen. Das liegt einfach daran, dass Zertifizierungsstellen wie Let's Encrypt keine Sicherheitszertifikate auf IP-Adressen ausstellen, sondern nur auf Namen. Sprich, ohne gültigen Namen müssen Sie bei Nutzung von HTTPs immer mit Zertifikatswarnungen rechnen. Das macht sich insbesondere dann nicht gut, wenn Sie Dritten Daten per ownCloud freigeben.//
+Eine Anleitung, wie Sie die DDNS-Funktion Ihres invis-Servers nutzen, finden Sie **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:administration#ddns_funktion|hier]]**.
 ===== Passwortsicherheit =====
@@ Zeile 137: / Zeile 152: @@
 Melden Sie sich jetzt mit dem zuvor definierten Adminitrationskonto an ownCloud an. Klicken Sie dann auf den Pulldown Pfeil oben rechts und dann auf "Administration".
-Klicken Sie jetzt links am oberen Rand auf den Eintrag "Apps" und dann auf das Pluszeichen. Klicken Sie als nächstes auf den Menüeintrag "Nicht aktiviert". Aktivieren Sie aus der Liste nicht aktivierter Apps den Eintrag "LDAP user and group backend" und melden Sie sich daraufhin einmal ab und wieder an.
+Klicken Sie jetzt links am oberen Rand auf den Eintrag "Benutzer" und dann auf das Market-Symbol in Form eines Einkaufswagens. Es öffnet sich der ownCloud-Marketplace. Suchen Sie dort die Erweiterung "LDAP Integration" und installieren Sie sie.
-Jetzt finden Sie unter "Administration" den Eintrag "LDAP". Dort können Sie ownCloud schrittweise an Ihr Active Directory anbinden.
+Jetzt finden Sie im Pulldown-Menü rechts oben, unter "Einstellungen" den Eintrag "Nutzer-Einstellungen". Dort können Sie ownCloud schrittweise an Ihr ActiveDirectory anbinden.
 Im ersten Schritt müssen Sie die Zugangsdaten zum LDAP Server angeben:
-  * **Host:** [[ldaps://localhost]]
+  * **Host:** [[ldaps://invis.invis-server.lan]] (Ersetzen Sie den Hostname durch de Ihres invis-Servers)
   * **Port:** 636
-  * **Bind-DN:** ldap.admin@invis-net.loc (Ersetzen Sie die Domäne durch Ihre lokale Domäne)
+  * **Bind-DN:** ldap.admin@invis-net.lan (Ersetzen Sie die Domäne durch Ihre lokale Domäne)
   * **Bind-Passwort:** Das Password für das "ldap.admin" Konto können Sie sich mit "sine showconf" anzeigen lassen.
-  * **Base-DN:** dc=invis-net,dc=loc (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne)
+  * **Base-DN:** dc=invis-net,dc=lan (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne)
+Neuere ownCloud-Versionen unterstützen auch die StartTLS-Methode. Dabei können dann folgende Angaben für die LDAP-Anbindung gemacht werden:
+  * **Host:** [[ldap://invis.invis-server.lan]] (Ersetzen Sie den Hostname durch de Ihres invis-Servers)
+  * **Port:** 389
+Es muss dann die Checkbox "Benutze StartTLS support" aktiviert werden.
 //**Hinweis:** ownCloud überprüft die Eingaben sofort. Wenn Sie also einen Fehler bei der Konfiguration machen wird dies unmittelbar angezeigt.//
+//**Achtung:** Es scheint, als steckt ein Bug in der LDAP-Anbindung neuerer ownCloud-Versionen (> 10.5 (?)). Wird anfangs bei der Konfiguration des Base-DNS ein Tippfehler gemacht lässt sich dieser nicht mehr beheben, auch wenn ownCloud brav die geänderten Daten anzeigt. In diesem Fall ist die ganze Konfiguration zu löschen und von vorne zu beginnen.//
 Auf der zweiten Seite der Konfiguration "Nutzer-Filter" können Einschränkungen dafür vorgenommen werden welche Benutzerkonten von ownCloud im LDAP gefunden werden. Hier sind folgende Angaben zu machen:
@@ Zeile 163: / Zeile 187: @@
 </code>
-In Schritt drei "Anmeldefilter" können Sie die Vorgabe "LDAP-Benutzername" einfach beibehalten. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.
+In Schritt drei "Login-Attribute" wählen Sie zusätzlich zur Vorgabe "AD/LDAP-Benutzername" im Auswahlmenü "Andere Attribute" noch das Attribut "sAMAccountName" aus. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.
 Im letzten Schritt legen Sie die Gruppen fest, die von ownCloud im LDAP gefunden und verwendet werden können. Hier sind folgende Angaben zu machen:
@@ Zeile 169: / Zeile 193: @@
   * **Nur diese Objekt-Klassen:** group
   * **Nur diese Gruppen:** Lassen Sie das Feld leer wenn alle Gruppen der Domäne gefunden werden sollen oder wählen Sie die Gruppen aus, auf die Sie ownCloud beschränken möchten.
+//**Achtung:**Überlassen Sie alles sich selbst identifiziert ownCloud alle AD-Benutzer eindeutig anhand des LDAP-Attributes "objectGUID". Dieser Wert erfüllt zwar das Kriterium der Eindeutigkeit ist aber fürs menschliche Auge eher ungeeignet. Des weiteren exisitiert mit **''inhume''** in der invis-Server Toolbox ein Script um den Server von verwaisten Nutzerdaten aus Kopano und ownCloud zu befreien. Dieses Script hat ebenfalls ein Problem mit der "objectGUID". Daher sollte die eindeutige Benutzerzuordnung zwischen ownCloud und AD über das Attribut "samaccountname" erfolgen. Ändern Sie dies in der ownCloud-LDAP-Konfiguration im Reiter "Experte". Tragen Sie dort **"samaccountname"** in das Eingabefeld "UUID-Attribute für Benutzer:" ein.//
 Damit ist die LDAP bzw. Active Directory Anbindung abgeschlossen und ownCloud bereit zur Nutzung. Einen echten Nutzen hat es natürlich nur dann, wenn Ihr Server über einen DDNS-Namen via Internet erreichbar ist.
+===== Kimai =====
+Zum Abschluss der Kimai-Installation muss dessen Setup-Routine durchlaufen werden. Dazu einfach auf denn Link "Zeiterfassung" im invis-Portal klicken und den Anweisungen folgen. Im Verlauf des Setups wird nach dem Passwort des Kimai-Datenbank-Benutzers gefragt. Das können Sie auf der Kommandozeile des Servers mit dem Kommando:
+<code>
+invis:~ # sine2 showpws
+</code>
+erfragen. Der zugehörige Benutzer ist schlicht "kimai".
+Nach Abschluss der Installation ist das Installer Verzeichnis <file>/srv/www/htdocs/kimai/installer</file> zu löschen. Es fehlt noch die Anbindung ans ActiveDirectory. Dazu ist in der Datei <file>/srv/www/htodcs/kimai/includes/autoconfig.php</file> die Option:
+<code>
+...
+$authenticator = "activeDirectory";
+...
+</code>
+von ''kimai'' auf den Wert ''activeDirectory'' zu ändern.
+Das wars. Sie können sich jetzt zunächst mit dem Benutzer "admin" und dem Passwort ''changme'' anmelden und Kimai ihrem Berdarf anzupassen.
 ===== Kivitendo =====
@@ Zeile 264: / Zeile 312: @@
 Für Kivitendo können Sie auch kommerziellen Support erhalten, wenden Sie sich diesbezüglich an eines der Kivitendo-Partner Unternehmen: [[http://www.kivitendo.de/partner.html]]//
-===== WaWision, InvoicePlane, Kimai =====
+===== WaWision, InvoicePlane =====
 Alle drei genannten Programme bringen ein Web-gestütztes geführtes Setup mit. Sie müssen die Applikation jeweils nur im Browser öffnen. Das geht am einfachsten über die entsprechenden Links in der local-Section des invis-Portals. Die Webinstaller starten jeweils automatisch.
@@ Zeile 279: / Zeile 327: @@
   * WaWision: DB = wawision, Benutzer = wawision
   * InvoicePlane: DB = invoiceplane, Benutzer = ip
-  * Kimai: DB = kimai, Benutzer = kimai
-Nach dem geführten Setup sind ggf. weitere Schritte erforderlich.
-**Kimai**
-  * Das Verzeichnis "installer" unter /srv/www/htdocs/kimai ist zu löschen
-  * In der Datei /srv/www/htdocs/kimai/includes/autoconf.php ist in der Zeile "$authenticator" der Parameter "kimai" durch "activeDirectory" zu ersetzen.
-===== InvoicePlane =====
-...coming soon
-===== Kimai =====
-...coming soon
 ===== acpupsd einrichten =====