Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv
	1	+Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -112,52 +112,6 @@
112	112	(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden. Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
113	113
114	114
115		-== (% style="color:#000000" %)__**Konfiguration zur Freischaltung von OpenLDAP via Rev-Proxy**__(%%) ==
116		-
117		-Um den Verzeichnisdienst mit signiertem Let's Encrypt per nginx-stream freizuschalten, müssen Sie im Puppeteer-Container die Konfigurationsdatei {{box}}rev-proxy.yaml{{/box}} anlegen. Sollte diese bereits vorhanden sein, muss diese stattdessen bearbeitet werden.
118		-
119		-
120		-Wechseln Sie in das Verzeichnis {{box}}/etc/logodidact/hiera/custom.d/{{/box}} im Puppeteer Container:
121		-
122		-{{code language="bash"}}
123		-root@puppeteer:~ # cd /etc/logodidact/hiera/custom.d/
124		-{{/code}}
125		-
126		-
127		-Erstellen Sie die Datei {{box}}rev-proxy.yaml{{/box}} bzw. fügen Sie den Inhalt aus dem nachfolgenden Schritt darin hinzu, falls die Datei bereits vorhanden ist:
128		-
129		-{{code language="bash"}}
130		-root@puppeteer:/etc/logodidact/hiera/custom.d # vim rev-proxy.yaml
131		-{{/code}}
132		-
133		-
134		-Fügen Sie folgenden Konfigurationsabschnitt zur Konfigurationsdatei hinzu und ersetzen Sie **SCHULKUERZEL** in der zweiten Zeile durch den passenden ShortName der Schule:
135		-
136		-{{code language="bash"}}
137		-ld_rproxy::hosts:
138		-  ldaps.SCHULKUERZEL.logoip.de:
139		-    type: stream
140		-    template: ldap
141		-    ensure: present
142		-{{/code}}
143		-
144		-
145		-Übernehmen Sie die Änderungen ins Git:
146		-
147		-{{code language="bash"}}
148		-root@puppeteer:~ # cd /etc/logodidact/
149		-root@puppeteer:/etc/logodidact # git add .
150		-root@puppeteer:/etc/logodidact # git coomit -am "rev-proxy.yaml angelegt."
151		-{{/code}}
152		-
153		-
154		-Führen Sie einen {{box}}prun{{/box}} im rev-proxy Container aus, um die Freischaltung des LDAPS-Tunnels zu aktivieren:
155		-
156		-{{code language="bash"}}
157		-root@rev-proxy:~ # prun
158		-{{/code}}
159		-
160		-
161	161	== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
162	162
163	163	Damit externe LDAPS-Verbindungen zum Server möglich werden, muss der TCP-Port 636 vom vorgeschalteten Router auf die externe IP-Adresse des LogoDIDACT Servers weitergeleitet werden. Vom ldhost wird die Verbindung dann entgegengenommen und abermals an den Rev-Proxy LXC-Container weitergeleitet. Die Einrichtung der zugehörige Poerweiterleitungs-Regel wird nachfolgend beschrieben.
...	...	@@ -170,7 +170,7 @@
170	170	{{/code}}
171	171
172	172
173		-Öffnen Sie die Datei {{box}}rules{{/box}} mit einem Editor ihrer Wahl:
	127	+Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
174	174
175	175	{{code language="bash"}}
176	176	root@ldhost:/etc/shorewall # vim rules
...	...	@@ -177,7 +177,7 @@
177	177	{{/code}}
178	178
179	179
180		-Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum LXC-Container rev-proxy weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
	134	+Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
181	181
182	182	(% class="box" %)
183	183	(((
...	...	@@ -193,10 +193,10 @@
193	193	)))
194	194
195	195
196		-Starten Sie nun die Firewall am ldhost neu:
	150	+Starten Sie nun die Firewall des ldhost neu:
197	197
198	198	{{code language="bash"}}
199		-root@ldhosts:~ # systemctl restart shorewall.service
	153	+root@ldhosts:~ # /etc/init.d/shorewall restart
200	200	{{/code}}
201	201
202	202
...	...	@@ -215,7 +215,7 @@
215	215	Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
216	216
217	217	{{code language="bash"}}
218		-root@puppeteer:~ # acmetool want ldaps.SCHULKUERZEL.logoip.de
	172	+root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
219	219	{{/code}}
220	220
221	221	=== __acme.sh__ ===
...	...	@@ -237,7 +237,7 @@
237	237	Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
238	238
239	239	{{code language="bash"}}
240		-le-acme@puppeteer:~ $ issue ldaps.SCHULKUERZEL.logoip.de
	194	+le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
241	241	{{/code}}
242	242
243	243
...	...	@@ -250,7 +250,6 @@
250	250	{{/code}}
251	251
252	252
253		-
254	254	== (% style="color:#000000" %)**__Weitere LDAP Attribute für ReadOnly-Benutzer freischalten__**(%%) ==
255	255
256	256	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben: