Update-Anleitung. paedml Novell. Bald ablaufende oder bereits abgelaufene Zertifikate erneuern im GServer03 der paedml-novell Stand

Transkript

1 Beratung und Support Technische Plattform Support-Netz-Portal paedml stabil und zuverlässig vernetzen Update-Anleitung Bald ablaufende oder bereits abgelaufene Zertifikate erneuern im GServer03 der paedml-novell Stand paedml Novell Version: Version 3.3.4

2 Impressum Herausgeber Landesmedienzentrum Baden-Württemberg (LMZ) Support-Netz Rotenbergstraße Stuttgart Autoren der Zentralen Expertengruppe Netze (ZEN), Support-Netz, LMZ Hubert Bechtold Stefan Falk Ulrich Frei Carl Heinz Gutjahr Friedrich Heckmann Uwe Labs Alfred Wackler Endredaktion Wird von der Redaktion eingetragen. Bildnachweis Titelbilder: Thinkstock Weitere Informationen Änderungen und Irrtümer vorbehalten. Veröffentlicht: 2015 Die Nutzung dieses Handbuches ist ausschließlich für eigene Zwecke zulässig. Die Nutzung sowie die Weitergabe dieses Handbuches zu kommerziellen Zwecken wie z.b. Schulungen ist nur nach ausdrücklicher Einwilligung durch das LMZ erlaubt. Landesmedienzentrum Baden-Württemberg

3 Inhaltsverzeichnis 1. Ablaufdatum feststellen Server-Zertifikat (GServer03) edirectory-zertifikat ZCM-Zonenzertifikat (ZServer) Vorbereitung auf dem ZServer YaST Default CA erneuern Sicherungen Löschen der CA Erzeugen einer neuen CA Gekaufte vertrauenswürdige Zertifikate edirectory-zertifikat erneuern iprint prüfen Nacharbeiten im ZServer Schluss... 26

4 Vorwort Auf dem GServer03 der paedml-novell laufen die selbstsignierten Zertifikate ab, möglicherweise schon am 7.Januar In dieser Anleitung wird beschrieben, wie diese Zertifikate zu erneuern sind. Es handelt sich dabei um die Server Root Certificate Authority und die edirectory-zertifikate. 1. Ablaufdatum feststellen Sicher fragen Sie sich: Habe ich noch Zeit oder muss ich sofort tätig werde? Um diese Frage zu beantworten, können Sie nachschauen, wann Ihre Zertifikate ablaufen: 1.1 Server-Zertifikat (GServer03) Prüfen Sie zunächst, welches Ablaufdatum aktuell eingestellt ist. Öffnen Sie dazu YaST auf der graphischen Oberfläche des GServer03, wählen links im Fenster Security and Users und danach rechts CA Management. Klicken Sie rechts oben auf den Button Enter CA. Geben Sie das Passwort ein (entweder haben Sie früher einmal ein eigenes Passwort gesetzt oder es ist eines der folgenden: 12345, 54321, cussuf2009). OK. Klicken Sie nun auf den Reiter Certificates und prüfen die Zeile Valid to. Möglicherweise steht dort Jan 1 13:11: GMT, also Abb. 1: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 4

5 1.2 edirectory-zertifikat Öffnen Sie den imanager (egal, ob auf dem GServer03 oder einer Arbeitsstation) und melden sich als admin an. Navigieren Sie zu Novell Certificate Access / Server Certificates und klicken Sie auf SSL CertificateIP (oder SSL CertificateDNS). Dort können Sie das Ablaufdatum einsehen: Abb. 2: Abb. 3: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 5

6 Liegt das Ablaufdatum, das Sie hier festgestellt haben, noch in weiter Ferne, so müssen Sie die Zertifikatserneuerung nach Kapitel 4 jetzt nicht durchführen. Vermutlich rückt aber das Ablaufdatum der edirectory-zertifikate näher, da diese in der paedml-novell einheitlich ausgeliefert wurden. Es ist auf jeden Fall wichtig, Zertifikate vor deren Ablauf zu erneuern, da sonst schwerwiegende Störungen in der paedml-novell auftreten können. 1.3 ZCM-Zonenzertifikat (ZServer) Beim Einloggen ins ZCC wird eine Warnung angezeigt, wenn die Restlaufzeit des edirectory-zertifikats kleiner als 90 Tage ist. Das ZCM-Zonenzertifikat der vom LMZ ausgelieferten ZServer hat aber noch eine Laufzeit bis mindestens Januar Hier besteht also z.z. kein Bedarf, ein neues Zertifikat zu erzeugen. Deshalb verzichten wir hier auf eine Anleitung. Wollen Sie trotzdem das Ablaufdatum nachprüfen. Ok, so geht s: Loggen Sie sich als admin auf einer Arbeitsstation ein und öffnen Sie eine DOS-Box. Geben Sie dort folgenden Befehl ein: zac cert-info (oder auch zac ci) Sie erhalten dann etwa folgende Ausgabe: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 6

7 Abb. 4: 2. Vorbereitung auf dem ZServer Starten Sie auf einer Arbeitsstation einen Browser und loggen sich im ZCC als Administrator ein. Spätestens bevor Sie das edirectory-zertifikat erneuen (Kap. 4), führen Sie die folgenden Schritte unbedingt und sorgfältig durch. Andernfalls riskieren Sie den Verlust aller Beziehungen in Bundles, Richtlinien,...! Um ganz sicherzugehen, legen Sie bitte vom ZServer unbedingt ein Snapshot im vsphere-client an. Auch ein Backup des ZServer (z.b. mit Veeam) ist sinnvoll. Navigieren Sie zu Konfiguration und scrollen Sie im rechten Fenster etwas herunter zum Abschnitt Benutzerquellen. Klicken Sie dort auf SCHULBAUM03: Abb. 5: Klicken Sie nun im Abschnitt Allgemein bei SSL verwenden auf Nein: Das Ergebnis muss so aussehen: Abb. 6: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 7

8 Abb. 7: Vergewissern Sie sich, dass alles korrekt ist! Nach der Erneuerung der edirectory-zertifikate werden wir diese Einstellung wieder rückgängig machen (siehe Kap.6). 3. YaST Default CA erneuern Liegt das Ablaufdatum, das Sie in Kap. 1.1 festgestellt haben, noch in weiter Ferne, so können Sie dieses Kapitel überspringen und bei Kap.4 fortfahren. 3.1 Sicherungen Sie sollten vom GServer03 ein Backup besitzen, z.b. ein mit Veeam erstelltes. Setzen Sie außerdem im vsphere-client für den GServer03 einen Snapshot, den Sie nach erfolgreicher Operation wieder löschen können und sollten. Sicher Sie außerdem zwei Zertifikatsdateien, insbesondere dann, wenn Sie gekaufte vertrauenswürdige Zertifikate einsetzten, die in /etc/ssl/servercerts liegen, wie in den Anleitungen Zertifikate-Anleitung oder Zertifikate2-BPZ-Novell-334 beschrieben. Verlassen Sie YaST oder zumindest das CA Management und führen Sie in einem Terminalfenster (oder per PuTTY) folgende Anweisungen aus: mkdir /root/certsic cp a /etc/ssl/servercerts/* /root/certsic 3.2 Löschen der CA Da es nicht möglich ist, innerhalb von YaST die YaST_Default_CA zu löschen (der Button Delete CA funktioniert nicht), muss dies auf direkte Weise geschehen. Durch den Move-Befehl mv in folgenden Befehlen haben wir einerseits eine Sicherungskopie angelegt und andererseits die YaST_Default_CA gelöscht. paedml Novell / Version: Version / Update-Anleitung / Stand Seite 8

9 mkdir /root/alteca cd /var/lib/cam mv YaST_Default_CA /root/alteca Sollte etwas schiefgehen, können Sie das Verzeichnis YaST_Default_CA wieder an die ursprüngliche Stelle kopieren. 3.3 Erzeugen einer neuen CA Gehen Sie in der graphischen Oberfläche des GServer03 wieder in YaST nach Security and Users und CA Management. Klicken Sie dort auf den Button Create Root CA: Abb. 8: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 9

10 Geben Sie dort exakt (!) wie in folgenden Bildern zu sehen ist ein: Add Abb. 9: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 10

11 Abb. 10: Next Geben Sie in folgendem Fenster zweimal ein Passwort ein, dass Sie sich gut merken sollten! In der Zeile Valid Period (days) ist eine Zeitdauer von etwa 10 Jahren (3650 Tagen) eingesetzt (obwohl wir natürlich hoffen, dass Sie in der Zwischenzeit eine neuere paedml-novell einsetzen...): paedml Novell / Version: Version / Update-Anleitung / Stand Seite 11

12 Abb. 11: Next In folgenden Fenster können Sie noch einmal alles überprüfen, ggf. über den Back-Button Änderungen vornehmen, und dann auf Create klicken. Nun markieren Sie die YaST_Default_CA, klicken auf Enter CA, geben das Passwort ein, paedml Novell / Version: Version / Update-Anleitung / Stand Seite 12

13 wählen den Reiter Certificates, klicken auf Add, Abb. 12: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 13

14 Abb. 13: und dort auf Add Server Certificate. Füllen Sie jetzt die Felder wieder exakt (!) so aus, wie in folgendem Bild angegeben (wie oben, wird dabei die -Adresse zunächst wieder im Feld unterhalb der Box eingegeben und dann mit dem Add-Button in die Box transportiert): paedml Novell / Version: Version / Update-Anleitung / Stand Seite 14

15 Abb. 14: Next Geben Sie nun wieder ein Passwort (z.b. dasselbe, wie oben) ein. Wieder haben wir die 10 Jahre eingesetzt, aber Sie müssen mindestens 1 Tag weniger nehmen, als oben (3649 Tage). paedml Novell / Version: Version / Update-Anleitung / Stand Seite 15

16 Next Abb. 15: Wieder gibt es eine Zusammenfassung. Create. Klicken Sie dann auf den Button Export paedml Novell / Version: Version / Update-Anleitung / Stand Seite 16

17 Und wählen Abb. 16: Abb. 17: geben das Passwort ein und klicken OK OK--> OK Finish. Damit ist die Erneuerung der YaST_Default_CA abgeschlossen. paedml Novell / Version: Version / Update-Anleitung / Stand Seite 17

18 3.4 Gekaufte vertrauenswürdige Zertifikate Hatten Sie Ihre vertrauenswürdigen Zertifikate in /etc/ssl/servercerts liegen, wie in den Anleitung Zertifikate-Anleitung oder Zertifikate2-BPZ-Novell-334 beschrieben, müssen Sie diese aus der Sicherung in Kap. 3.1 zurückkopieren und den Apache neu starten: cp a /root/certsic/* /etc/ssl/servercerts rcapache2 restart 4. edirectory-zertifikat erneuern Vergewissern Sie sich, dass Sie die Arbeiten, die in Kap. 2 beschrieben wurden, ausgeführt haben! Starten Sie die ConsoleOne auf der graphischen Oberfläche des GServer03, navigieren zu NDS / Security und löschen SCHULBAUM03 CA. Abb. 18: Anschließend erzeugen Sie mit der rechten Maus Taste ein neues Objekt: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 18

19 Abb. 19: Abb. 20: Wählen Sie im folgenden Fenster über den markierten Button den GServer03 aus der OU Server.DIENSTE.ML3 und geben als NDS object Name SCHULBAUM03 CA ein (mit Leerzeichen vor CA). Die Creation method ist Standard: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 19

20 Next Abb. 21: Finish. Abb. 22: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 20

21 Schließen Sie ConsoleOne und starten Sie den imanager, bei dem Sie sich als admin anmelden. Links im Menü wählen Sie Novell-Zertifikatszugriff / Serverzertifikate, wobei eine Liste der vorhandenen Zertifikate erscheint: Abb. 23: Markieren Sie die 4 gezeigten Zertifikate und klicken auf Löschen, anschließend auf Schließen. Melden Sie ich vom imanager ab. In einem Terminalfenster geben Sie ein: ndsconfig upgrade Es erscheinen einige Ausgaben; bei den letzten Zeilen geben Sie Ihren admin-context und danach das Passwort ein: Enter admin name with context[admin.org]:admin.server.dienste.ml3 Enter the password for admin.server.dienste.ml3: <Ihr admin-passwort> Wieder erscheinen einige Ausgaben, die mit der Zeile The instance at /etc/opt/novell/edirectory/conf/nds.conf is upgraded successfully. enden sollten. Geben Sie jetzt noch ein: namconfig k (geben Sie Ihr admin-passwort ein) nldap u nldap -l Damit ist der Prozess abgeschlossen. paedml Novell / Version: Version / Update-Anleitung / Stand Seite 21

22 Im imanager an der oben genannten Stelle oder in ConsoleOne in Server.DIENSTE.ml3 können Sie die neu erzeugten edirectory-zertifikate überprüfen. Sie haben eine Laufzeit von zwei Jahren. Starten Sie den GServer03 neu! 5. iprint prüfen Gehen Sie im imanager links auf das iprint-menü und dort auf Treiberablage verwalten (Manage Driver Store) Wählen Sie das die Treiberablage aus und klicken auf OK. Falls nun eine Meldung über ein ungültiges Zertifikat erscheint, müssen Sie über den angebotenen Link das neue Zertifikat akzeptieren. Scrollen Sie im erscheinenden Fenster nach unten und setzen Sie Trust the above certificate: OK OK. Abb.24: 6. Nacharbeiten im ZServer Das neue edirectory-zertifikat muss nun noch dem ZCM bekannt gemacht werden und die Verbindung zum edirectory muss wieder auf SSL gesetzt werden. Starten Sie auf einer Arbeitsstation einen Browser und loggen sich im ZCC als Administrator ein. Falls Sie ZCC noch von vorher offen haben, loggen Sie sich aus und melden Sie sich erneut an. Navigieren Sie nun wieder zu Konfiguration und scrollen Sie im rechten Fenster etwas herunter zum Abschnitt Benutzerquellen. Klicken Sie dort auf SCHULBAUM03: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 22

23 Abb. 25: Klicken Sie nun im Abschnitt Allgemein bei SSL verwenden auf Ja: Abb. 26: Es erscheint ein Fenster, das mit OK bestätigt werden muss. Abb. 27: Gehen Sie danach in den Abschnitt Verbindungen und klicken auf SCHULBAUM03: Abb. 28: Dabei erscheint ein Fenster, in dem jetzt das neue Zertifikat bestätigt werden muss. Klicken Sie dazu auf den Button Aktualisieren (bis die Umstellung wirksam wird, kann ein Augenblick vergehen): paedml Novell / Version: Version / Update-Anleitung / Stand Seite 23

24 Abb. 29: (Die Zertifikatsdaten in obigen Bild sind nur beispielhaft zu verstehen und sehen bei Ihnen anders aus.) Daraufhin erscheint ein Fenster mit Ihren neuen Zertifikatsdaten: OK Abb. 30: paedml Novell / Version: Version / Update-Anleitung / Stand Seite 24

25 Abb. 31: OK Überprüfen Sie nun, ob die Verbindung zur Benutzerquelle erhalten geblieben ist. Dies können Sie z.b. bei einem Bundle prüfen, bei dem bei den Beziehungen eine Benutzerzuweisung eingetragen ist. Folgendes Bild zeigt dies beispielhaft für das Bundle SchulkonsoleW7 in Ihrer Schule. Unter Benutzerzuweisung muss, wie in der folgenden Abbildung zu sehen, bei diesem Bundle Lehrer eingetragen sein. Dann sind Benutzerquelle und die damit verbundenen Benutzerzuweisungen korrekt erhalten geblieben. (Im Fehlerfall würde hier unbekannte externe Referenz stehen). paedml Novell / Version: Version / Update-Anleitung / Stand Seite 25

26 Abb. 32: 7. Schluss Die Snapshots von GServer03 und ZServer sollten Sie zeitnah wieder löschen. Ggf. können Sie auch die Sicherheitskopie-Verzeichnisse /root/certsic und /root/alteca löschen. Erfreuen Sie sich nun an Ihren neuen Zertifikaten. Viel Erfolg mit der paedml-novell wünscht Ihnen Ihre ZEN-Novell. paedml Novell / Version: Version / Update-Anleitung / Stand Seite 26

27 Landesmedienzentrum Baden-Württemberg (LMZ) Support Netz Rotenbergstraße Stuttgart Landesmedienzentrum Baden-Württemberg, 2015