Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer
	1	+Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -2,26 +2,30 @@
2	2
3	3	(% style="color:#000000" %)In diesem Artikel erfahren Sie, wo Sie die Benutzernamen & Kennwörter der zwei Benutzer finden und welches Konto sich für welches Vorhaben am besten eignen.
4	4
	5	+----
	6	+
	7	+{{toc start="2"/}}
	8	+
	9	+
5	5	(% style="color:#000000" %)[[image:Grafik für LDAp.png||height="331" width="622"]]
6	6
7		-=== ===
8	8
9		-=== (% style="color:#000000" %)__**LDAP-Admin Benutzer**__(%%) ===
	13	+== (% style="color:#000000" %)__**Übersicht der Benutzer**__(%%) ==
10	10
11	11
12		-=== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ===
	16	+=== (% style="color:#000000" %)**LDAP-Admin Benutzer**(%%) ===
13	13
	18	+(% style="color:#000000; font-size:20px" %)__Nutzungsgebiet:__
	19	+
14	14	(% style="color:#000000" %)Der LDAP-Admin Benutzer ist mit äußerster Vorsicht einzusetzen, da dieser einen beinahe uneingeschränkten (Schreib-)Zugriff auf den Inhalt des OpenLDAP-Verzeichnisdienst sowie die Nutzerattribute besitzt. Daher sollte der Benutzer möglichst nur intern durch LogoDIDACT-integrierte Dienste zum Einsatz kommen.
15	15
16	16	(% style="color:#000000" %)Sollten die Daten des LDAP-Admins in unbefugte Hände gelangen, stellt dies ein massives datenschutz- und sicherheitstechnisches Problem dar. **__Von einem externen Gebrauch des Benutzerkontos ist daher strengstens abzuraten!__**
17	17
18	18
19		-==== (% style="color:#000000" %)__Benutzername & Kennwort__(%%) ====
	25	+(% class="wikigeneratedid" id="HZugangsdaten:" %)
	26	+(% style="color:#000000; font-size:20px" %)__Zugangsdaten:__
20	20
21		-====== ======
22		-
23		-====== (% style="color:#000000" %)__Benutzername__(%%) ======
24		-
	28	+(% class="wikigeneratedid" id="HBenutzername" %)
25	25	(% style="color:#000000" %)Der Benutzername des LDAP Admins lautet:
26	26
27	27	{{code language="bash"}}
...	...	@@ -28,9 +28,9 @@
28	28	cn=ldap-admin
29	29	{{/code}}
30	30
31		-====== ======
32	32
33		-====== (% style="color:#000000" %)__Attribute des Benutzernamens__(%%) ======
	36	+(% class="wikigeneratedid" id="HAttributedesBenutzernamens" %)
	37	+(% style="color:#000000; font-size:16px" %)__Vollständiger Benutzername__
34	34
35	35	(% style="color:#000000" %)Die BaseDN als Einstiegspunkt zum LDAP-Verzeichnisdienst kann über ein zusätzliches Programm ausgelesen werden, z.B. über das freie Tool LDAP Admin. In diesem Beispiel lautet die BaseDN {{code language="bash"}}dc=schule,dc=local{{/code}}. Dies kann von Installation zu Installation abweichen und wird durch die intern verwendete DNS Domain bestimmt, hier im Beispiel handelt es sich um den Standardwert.
36	36
...	...	@@ -44,7 +44,8 @@
44	44	{{/code}}
45	45
46	46
47		-====== (% style="color:#000000" %)__Kennwort__(%%) ======
	51	+(% class="wikigeneratedid" id="HKennwort" %)
	52	+(% style="color:#000000; font-size:16px" %)__Kennwort__
48	48
49	49	(% style="color:#000000" %)Das Kennwort ist im logosrv unter folgendem Pfad einsehbar:
50	50
...	...	@@ -59,23 +59,23 @@
59	59	{{/code}}
60	60
61	61
62		-=== (% style="color:#000000" %)**__LDAP-ReadOnly (ldap-ro) Benutzer__**(%%) ===
	67	+=== (% style="color:#000000" %)**LDAP-ReadOnly (ldap-ro) Benutzer**(%%) ===
63	63
	69	+(% class="wikigeneratedid" id="HNutzungsgebiet:" %)
	70	+(% style="color:#000000; font-size:20px" %)__Nutzungsgebiet:__
64	64
65		-==== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ====
66		-
67	67	(% style="color:#000000" %)Der LDAP-ReadOnly Benutzer ist für die Verwendung von externen Diensten/Anbindungen gedacht.
68	68
69	69	(% style="color:#000000" %)Mögliche Nutzungsszenarien wären unter anderem die Anbindung  von extern gehosteten Webdiensten (z.B. Moodle, WebUntis oder Nextcloud) an die LogoDIDACT-integrierte Benutzerdatenbank über das LDAP-Protokoll.
70	70
71	71
72		-==== (% style="color:#000000" %)__Benutzername & Passwort:__(%%) ====
73	73
	78	+(% class="wikigeneratedid" id="HBenutzername26Passwort:" %)
	79	+(% style="color:#000000; font-size:20px" %)__Zugangsdaten:__
74	74
75		-====== (% style="color:#000000" %)__Benutzername__(%%) ======
	81	+(% class="wikigeneratedid" id="HBenutzername" %)
	82	+(% style="color:#000000" %)Der Benutzername des LDAP ReadOnly Benutzers lautet:
76	76
77		-(% style="color:#000000" %)Relevant für den Zugriff von Außen wäre folgender Benutzername:
78		-
79	79	{{code language="bash"}}
80	80	cn=ldap-ro
81	81	{{/code}}
...	...	@@ -82,8 +82,11 @@
82	82
83	83	====== (% id="cke_bm_979S" style="color:#000000; display:none" %)__ __(%%) ======
84	84
85		-====== (% style="color:#000000" %)__Attribute des Benutzernamens__(%%) ======
86	86
	91	+
	92	+(% class="wikigeneratedid" id="HAttributedesBenutzernamens" %)
	93	+(% style="color:#000000; font-size:16px" %)__Vollständiger Benutzername__
	94	+
87	87	(% style="color:#000000" %)Die BaseDN als Einstiegspunkt zum LDAP-Verzeichnisdienst kann über ein zusätzliches Programm ausgelesen werden, z.B. über das freie Tool LDAP Admin. In diesem Beispiel lautet die BaseDN {{code language="bash"}}dc=schule,dc=local{{/code}}. Dies kann von Installation zu Installation abweichen und wird durch die intern verwendete DNS Domain bestimmt, hier im Beispiel handelt es sich um den Standardwert.
88	88
89	89	(% style="color:#000000" %)[[image:1651243652049-471.png]]
...	...	@@ -96,7 +96,8 @@
96	96	{{/code}}
97	97
98	98
99		-====== (% style="color:#000000" %)__Kennwort__(%%) ======
	107	+(% class="wikigeneratedid" id="HKennwort" %)
	108	+(% style="color:#000000; font-size:16px" %)__Kennwort__
100	100
101	101	(% style="color:#000000" %)Das Kennwort ist im logosrv unter folgendem Pfad einsehbar:
102	102
...	...	@@ -105,16 +105,105 @@
105	105	{{/code}}
106	106
107	107
108		-(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten stets per SSL-Transportverschlüsselung versendet werden.
109		-Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
	117	+(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden. Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
110	110
111	111
112		-**... [REV-PROXY LDAPS-Freischaltung mit Let's Encrypt einfügen]...**
113	113
114	114
115		-=== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ===
116	116
	123	+== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
117	117
	125	+Damit externe LDAPS-Verbindungen zum Server möglich werden, muss der TCP-Port 636 vom vorgeschalteten Router auf die externe IP-Adresse des LogoDIDACT Servers weitergeleitet werden. Vom ldhost wird die Verbindung dann entgegengenommen und abermals an den Rev-Proxy LXC-Container weitergeleitet. Die Einrichtung der zugehörige Poerweiterleitungs-Regel wird nachfolgend beschrieben.
	126	+
	127	+
	128	+Wechseln Sie vom ldhost aus in das Verzeichnis der Shorewall:
	129	+
	130	+{{code language="bash"}}
	131	+root@ldhosts:~ # cd /etc/shorewall
	132	+{{/code}}
	133	+
	134	+
	135	+Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
	136	+
	137	+{{code language="bash"}}
	138	+root@ldhost:/etc/shorewall # vim rules
	139	+{{/code}}
	140	+
	141	+
	142	+Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
	143	+
	144	+(% class="box" %)
	145	+(((
	146	+(% style="color:#16a085" %)###
	147	+# Shorewall version 4.0##(%%)
	148	+(% style="color:#16a085" %)#(%%)
	149	+(% style="color:#8e44ad" %)##**DNAT ext dmz:172.28.29.3 tcp 636**##(%%)##
	150	+DNAT ext dmz:172.28.29.3 tcp 80,443
	151	+DNAT ext dmz:172.28.29.2 tcp 1:21
	152	+DNAT ext dmz:172.28.29.2 tcp 23:2221
	153	+DNAT ext dmz:172.28.29.2 tcp 2223:65535
	154	+DNAT ext dmz:172.28.29.2 udp 1:65535##
	155	+)))
	156	+
	157	+
	158	+Starten Sie nun die Firewall des ldhost neu:
	159	+
	160	+{{code language="bash"}}
	161	+root@ldhosts:~ # /etc/init.d/shorewall restart
	162	+{{/code}}
	163	+
	164	+
	165	+== __**Zertifikat für Rev-Proxy erstellen und prüfen**__ ==
	166	+
	167	+Damit die Verbindung gesichert werden kann, wird ein Let's Encrypt Zertifikat benötigt. Dieses können Sie nach folgender Anleitung erstellen:
	168	+
	169	+=== __acmetool__ ===
	170	+
	171	+Wechseln Sie in den puppeteer Container:
	172	+
	173	+{{code language="bash"}}
	174	+root@ldhost:~ # lxc-ssh -n puppeteer
	175	+{{/code}}
	176	+
	177	+Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	178	+
	179	+{{code language="bash"}}
	180	+root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
	181	+{{/code}}
	182	+
	183	+=== __acme.sh__ ===
	184	+
	185	+Wechseln Sie in den puppeteer Container:
	186	+
	187	+{{code language="bash"}}
	188	+root@ldhost:~ # lxc-ssh -n puppeteer
	189	+{{/code}}
	190	+
	191	+
	192	+Wechseln Sie im puppeteer Container in die Umgebung für das Verwalten der Zertifikate:
	193	+
	194	+{{code language="bash"}}
	195	+root@puppeteer:~ # sle
	196	+{{/code}}
	197	+
	198	+
	199	+Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	200	+
	201	+{{code language="bash"}}
	202	+le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
	203	+{{/code}}
	204	+
	205	+
	206	+Um das verteilen der Zertifikate zu beschleunigen können Sie ggf. einen prun im puppeteer und rev-proxy Container durchführen:
	207	+
	208	+{{code language="bash"}}
	209	+root@puppeteer:~ # prun
	210	+root@rev-proxy:~ # prun
	211	+{{/code}}
	212	+
	213	+
	214	+== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ==
	215	+
118	118	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben:
119	119
120	120	{{code language="bash"}}