Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Dokument-Autor

...	...	@@ -1,1 +1,1 @@
1		-XWiki.JensGruber@sbede
	1	+XWiki.jonasmayer@sbede

Inhalt

...	...	@@ -112,12 +112,12 @@
112	112	(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden. Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
113	113
114	114
115		-== (% style="color:#000000" %)__**Konfiguration für LDAP im Rev-Proxy**__(%%) ==
	115	+== (% style="color:#000000" %)__**Konfiguration zur Freischaltung von OpenLDAP via Rev-Proxy**__(%%) ==
116	116
117		-Nun müssen Sie im Puppeteer Container eine rev-proxy.yaml anlegen. Sollte diese bereits vorhanden sein, muss diese bearbeitet werden.
	117	+Um den Verzeichnisdienst mit signiertem Let's Encrypt per nginx-stream freizuschalten, müssen Sie im Puppeteer-Container die Konfigurationsdatei {{box}}rev-proxy.yaml{{/box}} anlegen. Sollte diese bereits vorhanden sein, muss diese stattdessen bearbeitet werden.
118	118
119	119
120		-Wechseln Sie in das Verzeichnis /etc/logodidact/hiera/custom.d/ im Puppeteer Container:
	120	+Wechseln Sie in das Verzeichnis {{box}}/etc/logodidact/hiera/custom.d/{{/box}} im Puppeteer Container:
121	121
122	122	{{code language="bash"}}
123	123	root@puppeteer:~ # cd /etc/logodidact/hiera/custom.d/
...	...	@@ -124,7 +124,7 @@
124	124	{{/code}}
125	125
126	126
127		-Erstellen Sie die Datei rev-proxy.yaml bzw. fügen Sie den Inhalt aus dem nachfolgenden Schritt darin hinzu, falls die Datei bereits vorhanden ist:
	127	+Erstellen Sie die Datei {{box}}rev-proxy.yaml{{/box}} bzw. fügen Sie den Inhalt aus dem nachfolgenden Schritt darin hinzu, falls die Datei bereits vorhanden ist:
128	128
129	129	{{code language="bash"}}
130	130	root@puppeteer:/etc/logodidact/hiera/custom.d # vim rev-proxy.yaml
...	...	@@ -131,11 +131,11 @@
131	131	{{/code}}
132	132
133	133
134		-Fügen Sie folgenden Konfigurationsabschnitt zur yaml-Datei hinzu und ersetzen Sie **musterstadt-gym** in der zweiten Zeile durch den passenden Shortname der Schule:
	134	+Fügen Sie folgenden Konfigurationsabschnitt zur Konfigurationsdatei hinzu und ersetzen Sie **SCHULKUERZEL** in der zweiten Zeile durch den passenden ShortName der Schule:
135	135
136	136	{{code language="bash"}}
137	137	ld_rproxy::hosts:
138		-  ldap.musterstadt-gym.logoip.de:
	138	+  ldaps.SCHULKUERZEL.logoip.de:
139	139	type: stream
140	140	template: ldap
141	141	ensure: present
...	...	@@ -142,7 +142,7 @@
142	142	{{/code}}
143	143
144	144
145		-Übernehmen Sie die Änderungen ins git:
	145	+Übernehmen Sie die Änderungen ins Git:
146	146
147	147	{{code language="bash"}}
148	148	root@puppeteer:~ # cd /etc/logodidact/
...	...	@@ -151,7 +151,7 @@
151	151	{{/code}}
152	152
153	153
154		-Führen Sie einen prun im rev-proxy Container aus, um die Freischaltung des LDAPS-Tunnels zu aktivieren:
	154	+Führen Sie einen {{box}}prun{{/box}} im rev-proxy Container aus, um die Freischaltung des LDAPS-Tunnels zu aktivieren:
155	155
156	156	{{code language="bash"}}
157	157	root@rev-proxy:~ # prun
...	...	@@ -158,7 +158,7 @@
158	158	{{/code}}
159	159
160	160
161		-== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
	161	+== __**Ports über Firewall vom Internet an Rev-Proxy weiterleiten**__ ==
162	162
163	163	Damit externe LDAPS-Verbindungen zum Server möglich werden, muss der TCP-Port 636 vom vorgeschalteten Router auf die externe IP-Adresse des LogoDIDACT Servers weitergeleitet werden. Vom ldhost wird die Verbindung dann entgegengenommen und abermals an den Rev-Proxy LXC-Container weitergeleitet. Die Einrichtung der zugehörige Poerweiterleitungs-Regel wird nachfolgend beschrieben.
164	164
...	...	@@ -170,7 +170,7 @@
170	170	{{/code}}
171	171
172	172
173		-Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
	173	+Öffnen Sie die Datei {{box}}rules{{/box}} mit einem Editor ihrer Wahl:
174	174
175	175	{{code language="bash"}}
176	176	root@ldhost:/etc/shorewall # vim rules
...	...	@@ -177,7 +177,7 @@
177	177	{{/code}}
178	178
179	179
180		-Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
	180	+Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum LXC-Container rev-proxy weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
181	181
182	182	(% class="box" %)
183	183	(((
...	...	@@ -193,14 +193,14 @@
193	193	)))
194	194
195	195
196		-Starten Sie nun die Firewall des ldhost neu:
	196	+Starten Sie nun die Firewall am ldhost neu:
197	197
198	198	{{code language="bash"}}
199		-root@ldhosts:~ # /etc/init.d/shorewall restart
	199	+root@ldhosts:~ # systemctl restart shorewall.service
200	200	{{/code}}
201	201
202	202
203		-== __**Zertifikat für Rev-Proxy erstellen und prüfen**__ ==
	203	+== __**SSL-Zertifikat für Rev-Proxy erstellen ~*~*~*~*~*~*und prüfen~*~*~*~*~*~***__ ==
204	204
205	205	Damit die Verbindung gesichert werden kann, wird ein Let's Encrypt Zertifikat benötigt. Dieses können Sie - abhängig vom zu Grunde liegenden Tool - mit den folgenden Kommandos im Puppeteer-Container erstellen.
206	206
...	...	@@ -215,7 +215,7 @@
215	215	Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
216	216
217	217	{{code language="bash"}}
218		-root@puppeteer:~ # acmetool want ldap.SCHULKUERZEL.logoip.de
	218	+root@puppeteer:~ # acmetool want ldaps.SCHULKUERZEL.logoip.de
219	219	{{/code}}
220	220
221	221	=== __acme.sh__ ===
...	...	@@ -237,7 +237,7 @@
237	237	Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
238	238
239	239	{{code language="bash"}}
240		-le-acme@puppeteer:~ $ issue ldap.SCHULKUERZEL.logoip.de
	240	+le-acme@puppeteer:~ $ issue ldaps.SCHULKUERZEL.logoip.de
241	241	{{/code}}
242	242
243	243