Relution Cloud mit IServ¶

Anpassungen Internet-Router / Firewall¶

LDAPS Port am Router freischalten (Port-Forwarding)¶

Damit LDAPS-Verbindungen zum IServ Local Cloud möglich werden, muss der zugehörige Port am vorgeschalteten Internetrouter freigegeben werden. Die genaue Vorgehensweise unterscheidet sich hier abhängig vom Routermodell und Hersteller. Es handelt sich um ein Port-Forwarding von WAN zur externen LAN-Schnittstelle des IServ-Servers. Hierbei muss der TCP-Port 10636 publiziert werden, genauso wie das für andere Port bereits konfiguriert ist.

Konfigurationen im IServ¶

Einrichtung LDAPS Schnittstelle¶

Per SSH in der IServ Installation einige Konfigutaonsdateien bearbeiten, um Verbindungen zum Benutzerverzeichnisdienst per LDAP zu ermöglichen. Anschließend die nachfolgende Datei am Ende um einen Eintrag erweitern.

relution-bind::5.9.21.208

Die aufgeführte IPv4-Adresse schaltet hierbei LDAPS Verbindungen in der IServ Firewall frei und steht für den Relution Cloud-Server mdm.sbe.schule.

Änderungen in der Konfigurationsdatei dauerhaft speichern.

iconf save /etc/iserv/ldapusers

Befehl iservchk ausführen, um die Konfiguration anzuwenden. Hierbei wird ein Kennwort für den LDAP Bind-User generiert und der LDAPS-Port in der Server-Firewall freigeschaltet.

iservchk

Das Kennwort des LDAP-Benutzers relution-bind kann nun am Server aus einer Textdatei entnommen werden.

cat /var/lib/iserv/server-openldap/pwd/relution-bind.pwd

Für LDAP-Verbindungen zum IServ ergeben sich daraus die nachfolgenden Verbindungsdaten.

Verbindungsdaten:
- IServ Domain:     meine-schule.de
- IServ LDAP-Host:  ldaps://meine-schule.de:10636/
- IServ BaseDN:     dc=meine-schule,dc=de

Zugangsdaten:
- IServ BindUser:   cn=relution-bind,ou=ldap,dc=meine-schule,dc=de
- IServ BindPW:     $(cat /var/lib/iserv/server-openldap/pwd/relution-bind.pwd)

Objektpfade:
- IServ BaseDN:     dc=meine-schule,dc=de
- IServ Users:      ou=users,dc=meine-schule,dc=de       # Benutzer haben: (objectClass=iservUser)
- IServ Groups:     ou=groups,dc=meine-schule,dc=de      # Gruppen haben: (objectClass=iservGroup)

Über die dargestellten Informationen lassen sich die Benutzerkonten und Gruppen ins Relution synchronisieren. Es lassen sich damit auch Suchfilter zusammensetzen.

Gruppe für Relution Admin-Rechte erstellen¶

In der IServ Oberfläche über Verwaltung -> Benutzer -> Gruppen eine neue Gruppe anlegen, die später in Relution zur Zuordnung von Berechtigungen genutzt wird.

Hier in die Liste der Mitglieder diejenigen Konten hinzufügen, die innerhalb des Relution-MDM administrative Berechtigungen erhalten sollen.

OpenID Client für Relution in der Weboberfläche hinzufügen¶

In der IServ Weboberfläche mit Administrationsrechten anmelden und von dort zum Menüpunkt "Verwaltung" -> "System" -> "Sing-Sign-On" navigieren. Hier den „Hinzufügen“ Button anklicken, um einen neuen OpenID-Client für Relution zu erzeugen. Folgende Einstellungen in die Felder des Formulars eintragen:

Name:              Relution-Cloud
Vertrauenswürdig:  Ja

Gruppen:           -
Rollen:            Administrator / Lehrer / Schüler

Erlaubte Grant-Typen
  Autorisierungs-Code:                  aktiviert
  Client-Anmeldedaten:                  aktiviert
  Erneuerungs-Token:                    aktiviert
  Passwort:                             deaktiviert
  IServ angemeldet bleiben (veraltet):  deaktiviert

Auf Scopes einschränken
  E-Mail (email):                       aktiviert
  Gruppen (iserv:groups):               aktiviert
  OpenID (openid):                      aktiviert
  Profil (profile):                     aktiviert
  Rollen (iserv:roles):                 aktiviert
  UUID (iserv:uuid):                    aktiviert

Weiterleitungs-URIs:  https://mdm.sbe.schule/login/oauth2/code/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

 *Anmerkungen
 - Die Platzhalter-Zeichen am Ende der URL (nach code/) müssen später durch die tatsächliche Relution-Organisationskennung ersetzt werden.
 - Jene Organisations-Id wird in einem späteren Schritt generiert + angezeigt, dann muss der OpenID-Client in IServ nochmal bearbeitet werden.

Nach dem Speichern des Open-ID Clients bitte die angezeigte Client-ID sowie das Client-Geheimnis notieren, diese Angaben werden später wieder in Relution benötigt.

Konfigurationen Relution¶

Einrichtung LDAPS am Relution Cloud Server¶

Zunächst in der Relution-Weboberflche in die Organisation der Schule wechseln. Danach auf Einstellungen und LDAP-Sychronisation aufrufen.

Über den Button „Hinzufügen“ eine neue Konfiguration anlegen und hierbei an den nachfolgenden Einstellungen orientieren.

IServ LDAPS

Servereinstellung

ldaps://meine-schule.de:10636

cn=relution-bind,ou=ldap,dc=meine-schule,dc=de

cat /var/lib/iserv/server-openldap/pwd/relution-bind.pwd

dc=meine-schule,dc=de

Benutzer

ou=users

(&(uid=%v)(objectClass=iservUser)(objectClass=uuidObject))

Eine Ebene - Unmittelbar Mitglieder der Suchbasis

uuid

uid

employeeNumber

23:00

Benutzer aus Relution löschen

All LDAP Users

Gruppen

ou=groups

(&(cn=%v)(objectClass=iservGroup)(objectClass=uuidObject))

Eine Ebene - Unmittelbare Mitglieder der Suchbasis

uuid

23:00

Bildung

ou=groups

(&(cn=*)(objectClass=iservGroup)(objectClass=uuidObject)(memberOf=cn=exam_plan_do,ou=group flags,dc=meine-schule,dc=de)(memberOf=cn=exercise_allowed,ou=group flags,dc=meine-schule,dc=de))

Eine Ebene - Unmittelbar Mitglieder der Suchbasis

ou=users

(&(objectClass=iservUser)(memberOf=cn=ROLE_TEACHER,ou=roles,dc=meine-schule,dc=de))

Eine Ebene - Unmittelbar Mitglieder der Suchbasis

ou=users

(&(objectClass=iservUser)(memberOf=cn=ROLE_STUDENT,ou=roles,dc=meine-schule,dc=de))

Eine Ebene - Unmittelbar Mitglieder der Suchbasis

23:00

Richtlinien importieren¶

Nachdem LDAP eingerichtet wurde, können die jeweiligen Standardrichtlinien importiert werden.

Der Verschlüsselungscode lautet:

sbe

Die entsprechenden Richtlinien können unter folgenden URLs heruntergeladen werden:

Richtlinien editieren & veröffentlichen¶

Nachdem die Richtlinien importiert wurden, müssen diese noch veröffentlicht werden.
Bei den iOS Standardrichtlinien müssen noch die Dateifreigabe-Optionen angepasst werden. Bitte im Pfad die Domäne der Schule (hier meine-schule.de) anpassen!

Richtlinien mit Gerätegruppen verknüpfen¶

Sobald die Richtlinien fertig importiert wurden, sollten die Richtlinien noch einer Gerätegruppe zugewiesen werden.

LDAP synchronisieren und administrative Rechte an die LDAP-Gruppe binden¶

Nachdem alle Einstellungen konfiguriert wurden, können die Benutzer und Gruppen in die Relution Organisation synchronisiert werden.

Nach der Synchronisation nach der Gruppe relution-cloud-admins suchen, diese anwählen und dann Berechtigungen gewähren.

Hier über den Button „Berechtigungen verwalten“ die Berechtigung Administrator zur Gruppe hinzufügen und speichern.

Einrichtung OpenID am Relution Cloud Server¶

Über den Menüpunkt OpenID Connect in den Relution-Einstellungen nun noch eine Konfiguration hinzufügen, um Single Sign-On mit den IServ Konten zu ermöglichen.

Es müssen beim Erstellen einer solchen Konfiguration einige Felder ausgewüllt werden. In der nachfolgenden Abbildung werden die gültigen Optionen für die Felder gelistet.

Abweichend zur Beispiel-Abbildung müssen die folgenden Felder passend zur eigenen Umgebung angepasst werden:

ClientID        - Eingabe der notierten Client-ID aus Abschnitt 1, entnommen as dem SSO Client im IServ.
Client Secret   - Eingabe des notierten Client-GeheimnisIServ-Daten aus Abschnitt 1, entnommen aus dem SSO Client in IServ.
Issuer URI      - Hier die Beispiel-Adresse https://meine-schule.de durch die tatsächliche Adresse ersetzen, unter der die IServ-Installation im Internet erreichbar ist.

Nach dem Speichern direkt wieder die erzeugte OpenID-Konfiguration in Relution anklicken. Es werden oberen Bereich die OIDC URLs eingeblendet. Hier die Redirect-URL über das Icon in die Zwischenablage kopieren und danach über einen weiteren Browser-Tab zurück in die IServ Verwaltungsoberfläche wechseln.

Abschließende Konfigurationen im IServ¶

OpenID Client für Relution in der Weboberfläche vervollständigen¶

Die kopierte, gültige Redirect-URL muss innerhalb des IServ OpenID-Client für Relution-Cloud aktualisiert werden durch Bearbeitung des dort vorhandenen Eintrags. Es handelt sich im IServ um das Feld Weiterleitungs-URIs.

Relution-Link im IServ Menüband hinzufügen¶

Um den Zugriff zu vereinfachen, empfiehlt es sich, einen IServ-Menüeintrag zum Relution-MDM in der Navigation einzurichten. Dies kann im Verwaltungsbereich der IServ Weboberfläche durchgeführt werden. Im nachfolgenden Screenshot sind exemplarisch die nötigen Einstellungen abgebildet.

Die optionale Filterung auf Gruppen ist umgebungsspezifisch. Hier wäre es auch vorstellbar, den Menüeintrag zusätzlich für weitere Gruppen zugänglich zu machen. Abhängig davon, wer Zugang zur Relution-Oberfläche benötigt.

Nachdem der Menüeintrag gespeichert wurde, befindet er sich in der linken IServ Navigationsleiste. Zur Überprüfung der Ankopplung jetzt in einem anderen Browser (oder mit privatem Browser-Fenster) diesen Link klicken und danach im Relution-Anmeldebereich „Mit IServ-SSO anmelden“ wählen. Sofern das Setup funktioniert, ist man jetzt mit seinem IServ-Konto in Relution angemeldet.