Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer
	1	+Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -2,13 +2,16 @@
2	2
3	3	(% style="color:#000000" %)In diesem Artikel erfahren Sie, wo Sie die Benutzernamen & Kennwörter der zwei Benutzer finden und welches Konto sich für welches Vorhaben am besten eignen.
4	4
5		-(% style="color:#000000" %)[[image:Grafik für LDAp.png||height="331" width="622"]]
	5	+----
6	6
7		-=== ===
	7	+{{toc start="2"/}}
8	8
9		-=== (% style="color:#000000" %)__**LDAP-Admin Benutzer**__(%%) ===
10	10
	10	+(% style="color:#000000" %)[[image:Grafik für LDAp.png||height="331" width="622"]]
11	11
	12	+
	13	+== (% style="color:#000000" %)__**LDAP-Admin Benutzer**__(%%) ==
	14	+
12	12	=== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ===
13	13
14	14	(% style="color:#000000" %)Der LDAP-Admin Benutzer ist mit äußerster Vorsicht einzusetzen, da dieser einen beinahe uneingeschränkten (Schreib-)Zugriff auf den Inhalt des OpenLDAP-Verzeichnisdienst sowie die Nutzerattribute besitzt. Daher sollte der Benutzer möglichst nur intern durch LogoDIDACT-integrierte Dienste zum Einsatz kommen.
...	...	@@ -18,7 +18,6 @@
18	18
19	19	==== (% style="color:#000000" %)__Benutzername & Kennwort__(%%) ====
20	20
21		-====== ======
22	22
23	23	====== (% style="color:#000000" %)__Benutzername__(%%) ======
24	24
...	...	@@ -28,7 +28,6 @@
28	28	cn=ldap-admin
29	29	{{/code}}
30	30
31		-====== ======
32	32
33	33	====== (% style="color:#000000" %)__Attribute des Benutzernamens__(%%) ======
34	34
...	...	@@ -59,19 +59,16 @@
59	59	{{/code}}
60	60
61	61
62		-=== (% style="color:#000000" %)**__LDAP-ReadOnly (ldap-ro) Benutzer__**(%%) ===
	63	+== (% style="color:#000000" %)__**LDAP-ReadOnly (ldap-ro) Benutzer**__(%%) ==
63	63
	65	+=== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ===
64	64
65		-==== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ====
66		-
67	67	(% style="color:#000000" %)Der LDAP-ReadOnly Benutzer ist für die Verwendung von externen Diensten/Anbindungen gedacht.
68	68
69	69	(% style="color:#000000" %)Mögliche Nutzungsszenarien wären unter anderem die Anbindung  von extern gehosteten Webdiensten (z.B. Moodle, WebUntis oder Nextcloud) an die LogoDIDACT-integrierte Benutzerdatenbank über das LDAP-Protokoll.
70	70
71		-
72	72	==== (% style="color:#000000" %)__Benutzername & Passwort:__(%%) ====
73	73
74		-
75	75	====== (% style="color:#000000" %)__Benutzername__(%%) ======
76	76
77	77	(% style="color:#000000" %)Relevant für den Zugriff von Außen wäre folgender Benutzername:
...	...	@@ -105,16 +105,103 @@
105	105	{{/code}}
106	106
107	107
108		-(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten stets per SSL-Transportverschlüsselung versendet werden.
	106	+(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden.
109	109	Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
110	110
111	111
112		-**... [REV-PROXY LDAPS-Freischaltung mit Let's Encrypt einfügen]...**
	110	+== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
113	113
	112	+Damit die LDAP Verbindung funktioniert, muss der Port 636 an den Rev-Proxy weitergeleitet werden. Diese Weiterleitung können Sie wie folgt einrichten:
114	114
115		-=== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ===
116	116
	115	+Wechseln Sie in das Verzeichnis der Shorewall:
117	117
	117	+{{code language="bash"}}
	118	+root@ldhosts:~ # cd /etc/shorewall
	119	+{{/code}}
	120	+
	121	+
	122	+Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
	123	+
	124	+{{code language="bash"}}
	125	+root@ldhost:/etc/shorewall # vim rules
	126	+{{/code}}
	127	+
	128	+
	129	+Ergänzen Sie die Liste innerhalb der Datei um den obersten Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet.
	130	+
	131	+(% class="box" %)
	132	+(((
	133	+(% style="color:#16a085" %)###
	134	+# Shorewall version 4.0##(%%)
	135	+(% style="color:#16a085" %)#(%%)##
	136	+(% style="color:#8e44ad" %)**DNAT ext dmz:172.28.29.3 tcp 636**(%%)
	137	+DNAT ext dmz:172.28.29.3 tcp 80,443
	138	+DNAT ext dmz:172.28.29.2 tcp 1:21
	139	+DNAT ext dmz:172.28.29.2 tcp 23:2221
	140	+DNAT ext dmz:172.28.29.2 tcp 2223:65535
	141	+DNAT ext dmz:172.28.29.2 udp 1:65535##
	142	+)))
	143	+
	144	+
	145	+Starten Sie nun die Firewall des ldhost neu:
	146	+
	147	+{{code language="bash"}}
	148	+root@ldhosts:~ # /etc/init.d/shorewall restart
	149	+{{/code}}
	150	+
	151	+
	152	+== __**Zertifikat für Rev-Proxy erstellen und prüfen**__ ==
	153	+
	154	+Damit die Verbindung gesichert werden kann, wird ein Let's Encrypt Zertifikat benötigt. Dieses können Sie nach folgender Anleitung erstellen:
	155	+
	156	+====== __acmetool__ ======
	157	+
	158	+Wechseln Sie in den puppeteer Container:
	159	+
	160	+{{code language="bash"}}
	161	+root@ldhost:~ # lxc-ssh -n puppeteer
	162	+{{/code}}
	163	+
	164	+Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	165	+
	166	+{{code language="bash"}}
	167	+root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
	168	+{{/code}}
	169	+
	170	+====== __acme.sh__ ======
	171	+
	172	+Wechseln Sie in den puppeteer Container:
	173	+
	174	+{{code language="bash"}}
	175	+root@ldhost:~ # lxc-ssh -n puppeteer
	176	+{{/code}}
	177	+
	178	+
	179	+Wechseln Sie im puppeteer Container in die Umgebung für das Verwalten der Zertifikate:
	180	+
	181	+{{code language="bash"}}
	182	+root@puppeteer:~ # sle
	183	+{{/code}}
	184	+
	185	+
	186	+Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	187	+
	188	+{{code language="bash"}}
	189	+le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
	190	+{{/code}}
	191	+
	192	+
	193	+Um das verteilen der Zertifikate zu beschleunigen können Sie ggf. einen prun im puppeteer und rev-proxy Container durchführen:
	194	+
	195	+{{code language="bash"}}
	196	+root@puppeteer:~ # prun
	197	+root@rev-proxy:~ # prun
	198	+{{/code}}
	199	+
	200	+
	201	+== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ==
	202	+
118	118	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben:
119	119
120	120	{{code language="bash"}}