Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv
	1	+Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -112,54 +112,8 @@
112	112	(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden. Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
113	113
114	114
115		-== (% style="color:#000000" %)__**Konfiguration zur Freischaltung von OpenLDAP via Rev-Proxy**__(%%) ==
	115	+== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
116	116
117		-Um den Verzeichnisdienst mit signiertem Let's Encrypt per nginx-stream freizuschalten, müssen Sie im Puppeteer-Container die Konfigurationsdatei {{box}}rev-proxy.yaml{{/box}} anlegen. Sollte diese bereits vorhanden sein, muss diese stattdessen bearbeitet werden.
118		-
119		-
120		-Wechseln Sie in das Verzeichnis {{box}}/etc/logodidact/hiera/custom.d/{{/box}} im Puppeteer Container:
121		-
122		-{{code language="bash"}}
123		-root@puppeteer:~ # cd /etc/logodidact/hiera/custom.d/
124		-{{/code}}
125		-
126		-
127		-Erstellen Sie die Datei {{box}}rev-proxy.yaml{{/box}} bzw. fügen Sie den Inhalt aus dem nachfolgenden Schritt darin hinzu, falls die Datei bereits vorhanden ist:
128		-
129		-{{code language="bash"}}
130		-root@puppeteer:/etc/logodidact/hiera/custom.d # vim rev-proxy.yaml
131		-{{/code}}
132		-
133		-
134		-Fügen Sie folgenden Konfigurationsabschnitt zur Konfigurationsdatei hinzu und ersetzen Sie **SCHULKUERZEL** in der zweiten Zeile durch den passenden ShortName der Schule:
135		-
136		-{{code language="bash"}}
137		-ld_rproxy::hosts:
138		-  ldaps.SCHULKUERZEL.logoip.de:
139		-    type: stream
140		-    template: ldap
141		-    ensure: present
142		-{{/code}}
143		-
144		-
145		-Übernehmen Sie die Änderungen ins Git:
146		-
147		-{{code language="bash"}}
148		-root@puppeteer:~ # cd /etc/logodidact/
149		-root@puppeteer:/etc/logodidact # git add .
150		-root@puppeteer:/etc/logodidact # git coomit -am "rev-proxy.yaml angelegt."
151		-{{/code}}
152		-
153		-
154		-Führen Sie einen {{box}}prun{{/box}} im rev-proxy Container aus, um die Freischaltung des LDAPS-Tunnels zu aktivieren:
155		-
156		-{{code language="bash"}}
157		-root@rev-proxy:~ # prun
158		-{{/code}}
159		-
160		-
161		-== __**Ports über Firewall vom Internet an Rev-Proxy weiterleiten**__ ==
162		-
163	163	Damit externe LDAPS-Verbindungen zum Server möglich werden, muss der TCP-Port 636 vom vorgeschalteten Router auf die externe IP-Adresse des LogoDIDACT Servers weitergeleitet werden. Vom ldhost wird die Verbindung dann entgegengenommen und abermals an den Rev-Proxy LXC-Container weitergeleitet. Die Einrichtung der zugehörige Poerweiterleitungs-Regel wird nachfolgend beschrieben.
164	164
165	165
...	...	@@ -170,7 +170,7 @@
170	170	{{/code}}
171	171
172	172
173		-Öffnen Sie die Datei {{box}}rules{{/box}} mit einem Editor ihrer Wahl:
	127	+Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
174	174
175	175	{{code language="bash"}}
176	176	root@ldhost:/etc/shorewall # vim rules
...	...	@@ -177,7 +177,7 @@
177	177	{{/code}}
178	178
179	179
180		-Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum LXC-Container rev-proxy weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
	134	+Ergänzen Sie die Liste innerhalb der Datei um den obersten DNAT-Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet. Falls diese Regel bereits vorhanden ist, können Sie den Schritt überspringen.
181	181
182	182	(% class="box" %)
183	183	(((
...	...	@@ -193,14 +193,14 @@
193	193	)))
194	194
195	195
196		-Starten Sie nun die Firewall am ldhost neu:
	150	+Starten Sie nun die Firewall des ldhost neu:
197	197
198	198	{{code language="bash"}}
199		-root@ldhosts:~ # systemctl restart shorewall.service
	153	+root@ldhosts:~ # /etc/init.d/shorewall restart
200	200	{{/code}}
201	201
202	202
203		-== __**SSL-Zertifikat für Rev-Proxy erstellen**__ ==
	157	+== __**Zertifikat für Rev-Proxy erstellen und prüfen**__ ==
204	204
205	205	Damit die Verbindung gesichert werden kann, wird ein Let's Encrypt Zertifikat benötigt. Dieses können Sie - abhängig vom zu Grunde liegenden Tool - mit den folgenden Kommandos im Puppeteer-Container erstellen.
206	206
...	...	@@ -215,7 +215,7 @@
215	215	Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
216	216
217	217	{{code language="bash"}}
218		-root@puppeteer:~ # acmetool want ldaps.SCHULKUERZEL.logoip.de
	172	+root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
219	219	{{/code}}
220	220
221	221	=== __acme.sh__ ===
...	...	@@ -237,7 +237,7 @@
237	237	Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
238	238
239	239	{{code language="bash"}}
240		-le-acme@puppeteer:~ $ issue ldaps.SCHULKUERZEL.logoip.de
	194	+le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
241	241	{{/code}}
242	242
243	243
...	...	@@ -250,7 +250,53 @@
250	250	{{/code}}
251	251
252	252
	207	+== __**Konfiguration für LDAP im Rev-Proxy**__ ==
253	253
	209	+Nun müssen Sie im Puppeteer Container eine rev-proxy.yaml anlegen. Sollte diese bereits vorhanden sein, muss diese bearbeitet werden.
	210	+
	211	+
	212	+Wechseln Sie in das Verzeichnis /etc/logodidact/hiera/custom.d/ im Puppeteer Container:
	213	+
	214	+{{code language="bash"}}
	215	+root@puppeteer:~ # cd /etc/logodidact/hiera/custom.d/
	216	+{{/code}}
	217	+
	218	+
	219	+Erstellen Sie die rev-proxy-yaml
	220	+
	221	+{{code language="bash"}}
	222	+root@puppeteer:/etc/logodidact/hiera/custom.d # vim rev-proxy.yaml
	223	+{{/code}}
	224	+
	225	+
	226	+Fügen Sie folgende Einstellungen in die yaml ein und ersetzen **musterstadt-gym** durch den Shortname der Schule:
	227	+
	228	+{{code language="bash"}}
	229	+ld_rproxy::hosts:
	230	+  ldap.musterstadt-gym.logoip.de:
	231	+    type: stream
	232	+    template: ldap
	233	+    ensure: present
	234	+{{/code}}
	235	+
	236	+
	237	+Übernehmen Sie die Änderungen ins git:
	238	+
	239	+{{code language="bash"}}
	240	+root@puppeteer:~ # cd /etc/logodidact/
	241	+root@puppeteer:/etc/logodidact # git add .
	242	+root@puppeteer:/etc/logodidact # git coomit -am "rev-proxy.yaml angelegt."
	243	+{{/code}}
	244	+
	245	+
	246	+Führen Sie einen prun im rev-proxy Container aus:
	247	+
	248	+{{code language="bash"}}
	249	+root@rev-proxy:~ # prun
	250	+{{/code}}
	251	+
	252	+
	253	+
254	254	== (% style="color:#000000" %)**__Weitere LDAP Attribute für ReadOnly-Benutzer freischalten__**(%%) ==
255	255
256	256	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben: