Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv
	1	+LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -112,6 +112,52 @@
112	112	(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden. Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
113	113
114	114
	115	+== (% style="color:#000000" %)__**Konfiguration zur Freischaltung von OpenLDAP via Rev-Proxy**__(%%) ==
	116	+
	117	+Um den Verzeichnisdienst mit signiertem Let's Encrypt per nginx-stream freizuschalten, müssen Sie im Puppeteer-Container die Konfigurationsdatei {{box}}rev-proxy.yaml{{/box}} anlegen. Sollte diese bereits vorhanden sein, muss diese stattdessen bearbeitet werden.
	118	+
	119	+
	120	+Wechseln Sie in das Verzeichnis {{box}}/etc/logodidact/hiera/custom.d/{{/box}} im Puppeteer Container:
	121	+
	122	+{{code language="bash"}}
	123	+root@puppeteer:~ # cd /etc/logodidact/hiera/custom.d/
	124	+{{/code}}
	125	+
	126	+
	127	+Erstellen Sie die Datei {{box}}rev-proxy.yaml{{/box}} bzw. fügen Sie den Inhalt aus dem nachfolgenden Schritt darin hinzu, falls die Datei bereits vorhanden ist:
	128	+
	129	+{{code language="bash"}}
	130	+root@puppeteer:/etc/logodidact/hiera/custom.d # vim rev-proxy.yaml
	131	+{{/code}}
	132	+
	133	+
	134	+Fügen Sie folgenden Konfigurationsabschnitt zur Konfigurationsdatei hinzu und ersetzen Sie **SCHULKUERZEL** in der zweiten Zeile durch den passenden ShortName der Schule:
	135	+
	136	+{{code language="bash"}}
	137	+ld_rproxy::hosts:
	138	+  ldaps.SCHULKUERZEL.logoip.de:
	139	+    type: stream
	140	+    template: ldap
	141	+    ensure: present
	142	+{{/code}}
	143	+
	144	+
	145	+Übernehmen Sie die Änderungen ins Git:
	146	+
	147	+{{code language="bash"}}
	148	+root@puppeteer:~ # cd /etc/logodidact/
	149	+root@puppeteer:/etc/logodidact # git add .
	150	+root@puppeteer:/etc/logodidact # git coomit -am "rev-proxy.yaml angelegt."
	151	+{{/code}}
	152	+
	153	+
	154	+Führen Sie einen {{box}}prun{{/box}} im rev-proxy Container aus, um die Freischaltung des LDAPS-Tunnels zu aktivieren:
	155	+
	156	+{{code language="bash"}}
	157	+root@rev-proxy:~ # prun
	158	+{{/code}}
	159	+
	160	+
115	115	== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
116	116
117	117	Damit externe LDAPS-Verbindungen zum Server möglich werden, muss der TCP-Port 636 vom vorgeschalteten Router auf die externe IP-Adresse des LogoDIDACT Servers weitergeleitet werden. Vom ldhost wird die Verbindung dann entgegengenommen und abermals an den Rev-Proxy LXC-Container weitergeleitet. Die Einrichtung der zugehörige Poerweiterleitungs-Regel wird nachfolgend beschrieben.
...	...	@@ -124,7 +124,7 @@
124	124	{{/code}}
125	125
126	126
127		-Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
	173	+Öffnen Sie die Datei {{box}}rules{{/box}} mit einem Editor ihrer Wahl:
128	128
129	129	{{code language="bash"}}
130	130	root@ldhost:/etc/shorewall # vim rules
...	...	@@ -131,7 +131,7 @@
131	131	{{/code}}
132	132
133	133
134		-Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
	180	+Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum LXC-Container rev-proxy weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
135	135
136	136	(% class="box" %)
137	137	(((
...	...	@@ -147,10 +147,10 @@
147	147	)))
148	148
149	149
150		-Starten Sie nun die Firewall des ldhost neu:
	196	+Starten Sie nun die Firewall am ldhost neu:
151	151
152	152	{{code language="bash"}}
153		-root@ldhosts:~ # /etc/init.d/shorewall restart
	199	+root@ldhosts:~ # systemctl restart shorewall.service
154	154	{{/code}}
155	155
156	156
...	...	@@ -169,7 +169,7 @@
169	169	Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
170	170
171	171	{{code language="bash"}}
172		-root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
	218	+root@puppeteer:~ # acmetool want ldaps.SCHULKUERZEL.logoip.de
173	173	{{/code}}
174	174
175	175	=== __acme.sh__ ===
...	...	@@ -191,7 +191,7 @@
191	191	Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
192	192
193	193	{{code language="bash"}}
194		-le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
	240	+le-acme@puppeteer:~ $ issue ldaps.SCHULKUERZEL.logoip.de
195	195	{{/code}}
196	196
197	197
...	...	@@ -204,6 +204,7 @@
204	204	{{/code}}
205	205
206	206
	253	+
207	207	== (% style="color:#000000" %)**__Weitere LDAP Attribute für ReadOnly-Benutzer freischalten__**(%%) ==
208	208
209	209	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben: