Als Hilfe zur Selbsthilfe bieten wir Anleitungen zu häufig wiederkehrenden Problemen als Online-Dokumentation an.
Dieser Abschnitt ist für Systemadministratoren bestimmt, die die jeweiligen Arbeiten in Eigenverantwortung selbst durchführen möchten.
Für detaillierte Anleitungen und Hilfestellungen lesen Sie unten weiter.

In der folgenden Liste finden Sie Hilfestellungen zur Anbindung von selbstverwalteten Systemen an die LDAP-Infrastruktur des RRZE.

• LDAP-Anbindung für Rechner mit SSSD
  Diese Anleitung beschreibt das Anlegen eines Hosteintrags zum Zugriff auf die RRZE LDAP-Server für einen selbstverwalteten Rechner und die Installation und Konfiguration des SSSD zur Benutzerauthentifizierung unter Ubuntu.

• LDAP-Anbindung generischer Systeme
  Diese Anleitung beschreibt allgemein die Infrastruktur der RRZE LDAP-Server, um ggf eine Anbindung von eigenen Softwarepaketen realisieren zu können

• LDAP-Gruppen
  Diese Anleitung beschreibt wie Sie automatisch befüllte oder manuell gepflegte Gruppen für Ihre Zwecke in den LDAP-Servern des RRZE bereitstellen lassen können

Beantragung

Neue Gruppen oder Änderungen bestehender Gruppen können von einem IT-Betreuer (siehe https://www.rrze.fau.de/infocenter/rahmenbedingungen/it-beauftragte/) per E-Mail an rrze-linux@fau.de beantragt werden.

Neue Präfixe sind per Mail an praefix@fau.de zu beantragen.

Bitte senden Sie zur Beantragung einer neuen Gruppe immer die folgenden Angaben mit:

1. Gruppenname nach Namensschema
2. Regelwerk zur Befüllung der Gruppe
3. Zu aktivierende Zielsysteme — Windows (FAUAD) und/oder Linux (linuxldap)

Wir werden Ihre Anfrage dann schnellstmöglich bearbeiten.
Genauere Erläuterungen zu den einzelnen Punkten finden Sie in den folgenden Abschnitten.

Beispiele/Vorlagen

Hier werden kurz einige E-Mail-Beispiele aufgeführt, die Sie gerne als Vorlage verwenden können, um eine neue Gruppe oder Änderungen an einer bestehenden Gruppe an uns zu übermitteln.

Gruppe für alle Beschäftigten an Einrichtung/Präfix XYZ (Windows+Linux)

Gruppenname: xyz_employee
Regel zu Befüllung: 
    - Nutzergruppe: "Beschäftigte"
    - OrgEinheit: 1011120000 RRZE und darunter
Zielsysteme: Windows, Linux

Gruppe für alle Hilfskräfte an Einrichtung/Präfix XYZ (nur Windows)

Gruppenname: xyz_assistant
Regel zu Befüllung: 
    - Nutzertypen: 
        - "Studentische Hilfskräfte" 
        - "Wissenschaftliche Hilfskräfte"
    - OrgEinheit: 1011120000 RRZE und darunter
Zielsysteme: Windows

Gruppe für Whitelist zusammen mit OrgEinheit (nur Linux)

Gruppenname: xyz_project_x
Regel zu Befüllung: 
    - Whitelist: abcdefg, hijklmn, opqrst, uvwxyz
    - OrgEinheit: 1011120000 RRZE und darunter
Zielsysteme: Linux

1.Name

Präfixe

Gruppenname

Der Namensteil kann grundsätzlich frei gewählt werden, unterliegt aber folgenden Einschränkungen

• Die Gesamtlänge (Präfix + ‚_‘ + Gruppenname) darf 80 Zeichen nicht überschreiten
• Es dürfen keine Leer- oder Sonderzeichen verwendet werden
  Sonderzeichen sind: * \ $ ! \* ' " & ( ) \[ ] { } / # + = : ; | < > ? , ä ö ü (Umlaute), ß (scharfes s)

Gruppennamen sind jederzeit änderbar.
Die Attribute gidNumber und Windows SID werden sich bei einer Umbenennung nicht ändern.

3.Regelwerk

Organisationseinheiten

• Einrichtungsname und
• FAU.org Nummer (falls bekannt)

Da die Organisationsstruktur an der FAU hierarchisch organisiert ist, ist es zudem wichtig anzugeben, ob jeweils die exakte Organisationseinheit oder auch alle darunter gemeint sind.

Nutzergruppen/-typen

Whitelists

Hier können Sie uns eine Liste von Kennungen geben, die wir einfach als Mitglieder der Gruppe eintragen.
Das ist die unschönste Variante, da hier ständige manuelle Pflege erforderlich ist, aber manchmal lässt sich wohl nicht vermeiden.

Verknüpfen Sie die Whitelist mit zusätzlichen Kriterien, wie der Organisationseinheit und/oder den Nutzergruppen/-typen, so werden Kennungen wenigstens trotzdem automatisch aus der Gruppe entfernt, sobald beispielsweise ein Mitarbeiter Ihre Einrichtung verlässt.

3.Zielsysteme

Das RRZE stellt eine auf XMPP basierende Chatlösung bereit, die zur FAU-internen Kommunikation genutzt werden kann.

Zur Authentifizierung wird die Verwendung von Kerberos empfohlen, da viele verbreitete XMPP-Clients Passwörter im Klartext ablegen und daher ein Sicherheitsrisiko darstellen.
Für eine Liste möglicher Chat-Clients siehe Abschnitt „Empfohlene Clients„.

Als Alternative zur lokalen Installation kann auch der Web-Chat unter https://www.linux.rrze.fau.de/chat genutzt werden.
Anmeldung am Web-Chat muss mit den IdM-Zugangsdaten erfolgen.

Voraussetzungen

Authentifizierung mit Kerberos — empfohlen!

Voraussetzung für die Nutzung der Kerberos-Authentifizierung ist eine funktionierende Grundkonfiguration von Kerberos für Ihr System. Falls noch nicht geschehen führen Sie bitte die entsprechenden Einrichtungsschritte wie beschrieben durch bevor Sie dieser Anleitung weiter folgen.

Falls Sie der Grundkonfiguration von Kerberos gefolgt sind und ihr Domain-Realm Mapping per Default auf LINUX.FAU.DE zeigt müssen Sie nichts weiter tun.

Für den Fall einer abweichenden Konfiguration stellen Sie sicher das folgendes Mapping existiert:
linux-chat.rrze.fau.de ---map-to-realm---> LINUX.FAU.DE

Zertifikatscheck (FAU-CA)

Ggf. werden Sie aufgefordert dem Zertifikat des Chat-Servers zu vertrauen.
Entweder Sie prüfen die Informationen des präsentierten Zertifikats manuell oder folgen der Anleitung FAU-CA Zertifikat einbinden, um das FAU-CA-Zertifikat systemweit als vertrauenswürdig einzubinden.

DNS-Cache

Um eine evtl. ungültige DNS-Konfiguration aus dem lokalen Cache zu entfernen, sollte dieser zur Sicherheit noch geleert werden.

bash$ systemd-resolve --flush-caches

Pakete für Ubuntu 16.04/18.04

# PIDGIN
bash$ sudo apt-get -y install pidgin libsasl2-modules-gssapi-mit

# GAJIM
bash$ sudo apt-get install gajim python3-kerberos

Konfiguration

Einrichtung von System und Chat-Client.

XMPP-Client Einstellungen

Die Einstellungen für den XMPP-Client sind wie folgt vorzunehmen:

Weitere Einstellungen sind für den Zugriff aus den FAU-Netzen nicht nötig.

Insbesondere ein evtl. vorhandenes Feld für ein Passwort muss für die Kerberos-Authentifizierung leer gelassen werden!

Gruppen-Chats

Über Gruppen-Chats (sog. Multi-User-Chats oder kurz MUCs) können sich zwei oder mehr Personen austauschen.

Service: conference.linux-chat.rrze.fau.de

Gruppenchats können von jedem erstellt werden. Dazu einfach dem gewünschten Chat mit dem Chat-Client „joinen“ und ggf. die Einstellungen anpassen.

Persistente Chats bleiben bestehen (inkl. History).
Temporäre Chats werden automatisch wieder vom Server entfernt sobald der letzte Benutzer den Chat verlässt.

Kontaktlisten / Contact List (Roster) Sharing

Kontaktlisten werden — zumindest teilweise — vom Server vorgegeben (evtl. erlauben Clients auch das manuelle Pflegen von Einträgen).

Manuelle Kontaktlisten können Sie nach belieben lokal in Ihrem Chatclient pflegen. Achten Sie beim hinzufügen von Kontakten allerdings darauf immer die vollständige JID zu verwenden. Diese ist folgendermaßen aufgebaut: ${IDM-Benutzername}@linux-chat.rrze.fau.de

Serverseitige Kontaktlisten werden ausschließlich auf Basis von bestehenden Linux-Gruppen eingerichtet, die über die IdM-Gruppenverwaltung angelegt wurden.
Die Mitglieder der Kontaktliste werden entsprechend automatisch synchronisiert.

Damit nicht jeder jeden „sehen“ kann bzw. um eine gewisse Einteilung vorzugeben, können Kontaktlisten anhand von Gruppenzugehörigkeiten in unserem LDAP automatisch gepflegt werden.

Beispielsweise haben wir eine Kontaktliste „rrze_employee“ die auf der gleichnamigen LDAP-Gruppe basiert.
So können alle RRZE-Mitarbeiter sich gegenseitig leicht finden bzw. „sehen“.

Haben Sie bereits eine Gruppe, die Sie als Kontaktliste freischalten lassen möchten, so schreiben Sie bitte Ihr Anliegen mit Gruppennamen an rrze-linux@fau.de.

Paralleles Login mit mehreren Clients

Die parallele Nutzung mehrerer Chat-Clients wird unterstützt, sofern jeder Client eine eigene Ressource verwendet (siehe „XMPP-Client Einstellungen“) .
Die „Ressource“ bezeichnet dabei das Endgerät/den Standort oder Einsatzzweck des Clients und kann prinzipiell frei gewählt werden. Viele Clients wählen auch eine zufallsgenerierte Ressource.

Um das Ziel einer Nachricht eindeutig zu bestimmen, bildet der Server eine Zieladresse in der Form
Benutzername@Domain/Resource

Erfolgt ein Login auf eine bereits angemeldete Ressource, so wird die bestehende Verbindung getrennt.

Empfohlene Clients

Hier eine kleine Liste von Anwendungen, die wir zumindest schon einmal selbst getestet haben.
Kein Anspruch auf Vollständigkeit oder Funktionalität.

Mobile: Apple/iOS

• Monal (https://monal.im/)

Mobile: Android

• Conversations (https://conversations.im/)
• Pix-Art Messenger (https://jabber.pix-art.de/)
  
• Blabber.im (https://blabber.im/ – Nachfolger von Pix-Art Messenger)

Desktop: Apple/Mac OS

• Adium (https://adium.im/)

Desktop: Linux

• Gajim (https://gajim.org) — bringt von Haus aus mehr Features mit und ist etwas moderner als Pidgin, gut in Gnome integriert
• Pidgin (https://pidgin.im/) — Klassiker, durch Plugins leicht erweiterbar
  • vorkompilierte Plugin-Sammlung für Linux: pidgin-plugins-linux-2.12.tar.xz
    (einfach Dateien nach ~/.purple/plugins entpacken, benötigt Pidgin 2.12)
  • enthält Support für
    • XEP-0363: HTTP File Upload (jabber_http_file_upload.so, Quelle: https://github.com/Junker/purple-xmpp-http-upload)
    • XEP-0280: Message Carbos (carbons-0.2.2.so, Quelle: https://github.com/gkdr/carbons)
    • XEP-0184: Message Receipts (xmpp-receipts.so, Quelle: https://app.assembla.com/spaces/pidgin-xmpp-receipts/documents)
    • XEP-0384: OMEMO Encryption (lurch.so, Quelle: https://github.com/gkdr/lurch)

Desktop: Windows

• Gajim (https://gajim.org) — kein Kerberos Support
• Pidgin (https://pidgin.im/) — kein Kerberos Support

Spezielle Server-Einstellungen

Hier werden einige spezielle Einstellungen des Chat-Servers dokumentiert, die evtl. auch bei der Nutzung zu beachten sind.

Zustellung von Nachrichten an alle angemeldeten Ressourcen

Entgegen dem Standard-Verhalten wurde der Server so konfiguriert, dass Nachrichten an einen Benutzer immer an alle angemeldeten Clients des Benutzers (Ressourcen) weitergeleitet werden. Auf diese weise kann eine Synchronisation der Chat-Verläufe auf allen parallel angemeldeten Clients erreicht werden.

Diese Einstellung ignoriert evtl. vergebene Prioritäten auf die angemeldeten Ressourcen, mit Ausnahme von „-1“ (keine Zustellung).

(Referenz: route.all-resources/route.really-all-resources)

Supportete XMPP-Features

Das XMP-Protokoll besitzt zahlreiche Erweiterungen, welche nicht von allen Clients unterstützt werden.
Für Interessierte sind hier einige Informationen über die wichtigsten Erweiterungen zusammengetragen, welche auch von unserem Chat-Server unterstützt werden.

XEP-0363: HTTP File Upload

Unterstützt für das Hochladen von Dateien auf den Server und liefert einen Link zum erneuten Download der Datei.
Dies ist vor allem deshalb praktisch, da der oder die Empfänger der Datei nicht zum Zeitpunkt des Versendens online sein muss. Der Chatverlauf wird nach Upload der Datei einen Link enthalten unter dem diese auch zu einem späteren Zeitpunkt wieder heruntergeladen werden kann.

Derzeit ist der Upload von Dateien auf eine Größe von maximal 25MB beschränkt.
Die Dateien werden gelöscht, sobald der Speicherplatz zur neige geht oder der Chat-Server neu gestartet wird.

Siehe auch https://xmpp.org/extensions/xep-0363.html

——————–

Aktuelle Einschränkung:
Die Download Links funktionieren nur innerhalb des Uni-Netzes.  Das liegt aber nur an der Generierung des Links, was mit dem nächsten Update behoben wird.
Ersetzt man „https://linux-chat.rrze.fau.de:7443/“ durch „https://linux.rrze.fau.de/chat/“ so funktioniert es auch von außerhalb des Uni-Netzes.

Update (25.7.2019): Die Download Links werden jetzt korrekt generiert, so dass der Download auch außerhalb des Uninetzes funktioniert.

XEP-0313: Message Archive Management

Unterstützt das Abrufen und Konfigurieren eine Nachrichtenprotokolls auf dem Chat-Server.
Clients können so den Verlauf eines Gesprächs Abrufen und Anzeigen, auch wenn das Gespräch mit einem anderen Client/auf einem anderen Gerät stattgefunden hat.

Derzeit werden alle Chat-Nachrichten der letzten 90 Tage im Archiv des Servers gespeichert und sind durch die Clients abrufbar.

Siehe auch https://xmpp.org/extensions/xep-0313.html

XEP-0280: Message Carbons

Unterstützt das Senden von Nachrichtenkopien an parallel eingeloggte Clients des selben Benutzers.
So kann der Nachrichtenverlauf auf allen Clients (Ressourcen) synchron gehalten werden.

Siehe auch https://xmpp.org/extensions/xep-0280.html

——————–

Für Pidgin gibt es ein entsprechendes Plugin zum Download unter https://github.com/gkdr/carbons/releases
oder direkt per Shell mit

bash$ wget https://github.com/gkdr/carbons/releases/download/v0.2.2/carbons-0.2.2.so -O ~/.purple/plugins/carbons-0.2.2.so

XEP-0184: Message Receipts

Ermöglicht das Anfordern einer Empfangsbestätigung vom Empfänger einer Nachricht.
Clients können so das erfolgreiche Empfangen einer Nachricht anzeigen (z.B. mittels Häkchen).

Siehe auch https://xmpp.org/extensions/attic/xep-0184-1.0.html

XEP-0384: OMEMO Encryption

Ermöglicht Ende-zu-Ende Verschlüsselung in 1-zu-1 Chats.

Siehe auch https://xmpp.org/extensions/xep-0384.html

XEP-0048: Bookmarks

Ermöglicht das Speichern von Bookmarks aus Webseiten und Multi-User-Chaträume (MUCs).
So wird z.B. das automatische Beitreten zu MUCs (auto-join) beim Login ermöglicht.

Siehe auch https://xmpp.org/extensions/xep-0048.html

Pidgin Gnome Keyring

Speichert Passwörter verschlüsselt im Gnome Keyring ab. Damit wird die Klartext Speicherung in der accounts.xml Datei verhindert.

bash$ sudo apt install pidgin-gnome-keyring

Pidgin Encryption

Verschlüsselung mittels RSA-Keys. Plugin generiert, tauscht aus und verwaltet RSA-Keys zur Verschlüsselung. Gegenseite muss Plugin installiert haben.

bash$ sudo apt install pidgin-encryption

Pidgin Windows Credentials

• Pidigin öffnen und „Extras“ => „Plugins“ auswählen
• Im dann erscheinenden Fenster das Plugin „Windows Credentials“ auswählen und aktivieren
• „Plugin konfigurieren“ auswählen
• Im dann erscheinenden Fenster den Haken bei „Clear plaintext passwords from memory“ setzen
• Die beiden Fenster (Windows Credentials und Erweiterungen) mit Klick auf „Schließen“ schließen

Ab jetzt wird das Chat-Passwort verschlüsselt im Windows-Passwort-Store gespeichert.
Wer das genannte Plugin „Windows Credentials“ in seinem installierten Pidgin nicht finden kann bitte bei der Windows-Gruppe melden.

An dieser Stelle sollen die Verwendung von Adressbereichen öffentlich dokumentiert werden, so dass Mitarbeiter des RRZE sowie auch externe Administratoren in der Lage sind reservierte Bereiche zu meiden bzw. frei nutzbare Bereiche bestimmungsgemäß zu verwenden.

Benutzer und Gruppen

Dokumentation von verschiedenen reservierten Bereichen in Bezug auf die Vergabe von uidNumber und gidNumber.

Grundsätzlich darf kein Bereich einfach verwendet werden, auch wenn dieser als „–frei–“ gekennzeichnet ist.

Legende

Benutzer (uidNumber)

Gruppen (gidNumber)

Hier sollen Informationen zur Nutzung von IPv6 an der FAU gesammelt werden.

Vorbereitung

Bitte prüfen Sie die vorbereitenden Schritte bevor Sie versuchen einzelne Teile der Anleitung durchzuführen.
In der Regel müssen diese Voraussetzungen für ein sinnvolles Umsetzen der Anleitung erfüllt sein.

Voraussetzungen

Es werden Kenntnisse im Umgang mit Linux und Netzwerken vorausgesetzt.

Pakete

Die folgender Pakete müssen installiert werden.

Einrichtung

{TODO}

Tests

Aktuelle DUID herausfinden

Der folgende one-liner kann dazu benutzt werden die aktuell verwendete DUID des Systems herauszufinden.
Diese wird zB benötigt, um einen entsprechenden DHCP-Eintrag zu beantragen.

bash$ for i in $(sudo find /var/lib/NetworkManager/ /var/lib/dhcp -name *.lease?); do grep client-id $i; done | sed -e 's/^[[:space:]]*//' | uniq

Das RRZE empfiehlt die Nutzung des RRZE Ubuntu FTP-Mirrors, um

• nicht abhängig von der Verfügbarkeit externer Paketquellen zu sein
• die Verteilung von Paketen an viele Clients bei beschränkter Bandbreite der Internetanbindung zu beschleunigen
• und die offiziellen Ubuntu-Paketserver nicht unnötig zu belasten

Diese Anleitung beschreibt die Konfiguration eines Ubuntu-Clients für die Nutzung des RRZE Ubuntu FTP-Mirrors.

Vorbereitung

Bitte prüfen Sie die vorbereitenden Schritte bevor Sie versuchen einzelne Teile der Anleitung durchzuführen.
In der Regel müssen diese Voraussetzungen für ein sinnvolles Umsetzen der Anleitung erfüllt sein.

Voraussetzungen

Es werden grundlegende Kenntnisse im Umgang mit Linux und der APT-Paketverwaltung vorausgesetzt.

Pakete

Es müssen keine zusätzlichen Pakete installiert werden

Einrichtung

Um den RRZE Ubuntu FTP-Mirror zu nutzen müssen lediglich die entsprechenden Einträge in der Datei /etc/apt/sources.list angepasst werden.

Bevor Änderungen vorgenommen werden, sollte die Originaldatei gesichert werden:

bash$ cp /etc/apt/sources.list /etc/apt/sources.list.orig

Die nötigen Ersetzungen können dann mit folgenden Befehlen durchgeführt werden:

bash$ sed -i "s/de\.archive\.ubuntu\.com/ftp.fau.de/" /etc/apt/sources.list
bash$ sed -i "s/ports\.ubuntu\.com/ftp.fau.de\/ubuntu-ports/" /etc/apt/sources.list

Test

Ein Update der Paketquellen sollte – mit Ausnahme von security.ubuntu.com – eine Ausgabe liefern, die ausschließlich ftp.uni-erlangen.de als Quelle angibt.

bash$ apt-get update
Hit:2 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic InRelease             
Get:3 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates InRelease [88.7 kB]
Get:16 http://security.ubuntu.com/ubuntu bionic-security InRelease [83.2 kB]        
Get:17 http://security.ubuntu.com/ubuntu bionic-security/main amd64 DEP-11 Metadata [204 B]
Get:18 http://security.ubuntu.com/ubuntu bionic-security/universe amd64 DEP-11 Metadata [9,412 B]
Get:19 http://security.ubuntu.com/ubuntu bionic-security/universe DEP-11 64x64 Icons [16.3 kB]
Get:5 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/main amd64 Packages [438 kB]
Get:6 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/main i386 Packages [389 kB]
Get:7 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/main amd64 DEP-11 Metadata [192 kB]
Get:8 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/main DEP-11 48x48 Icons [47.1 kB]
Get:9 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/main DEP-11 64x64 Icons [89.9 kB]
Get:10 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/universe i386 Packages [570 kB]
Get:11 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/universe amd64 Packages [575 kB]
Get:12 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/universe amd64 DEP-11 Metadata [194 kB]
Get:13 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/universe DEP-11 48x48 Icons [178 kB]
Get:14 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/universe DEP-11 64x64 Icons [298 kB]
Get:15 http://ftp.uni-erlangen.de/pub/mirrors/ubuntu bionic-updates/multiverse amd64 DEP-11 Metadata [2,464 B]
Fetched 3,176 kB in 6s (557 kB/s)              
Reading package lists... Done