1. Einstellungen im eigenen Netzwerk

Transkript

1 LDAP / LDAPS Authentifizierung BelWü Moodle 2.X Hinweis: Diese Anleitung bezieht sich auf Moodleinstallationen der Version 2.X Bei Moodle Auftritten der Schulen, die bei Belwue gehostet werden, ist die Authentifizierung per ldap/ldaps gegenüber einem Server der paedml Linux in der Schule möglich. Aus Sicherheitsgründen sollte nur Authentifizierung per ldaps benutzt werden, weil dadurch die Passwörter verschlüsselt übertragen werden und so nicht mehr abgehört werden können. Im Weiteren werden also nur die Einstellungen für ldaps beschrieben. Sicherheitshalber sollte man aber immer einen administrativen Zugang zum Moodle vorsehen, der von Hand eingetragen wurde und bei dem die Authentifizierung von Moodle intern durchgeführt wird. Dies ist sinnvollerweise der bei der Erstinstallation schon eingerichtete Admin Nutzer, der sowieso nur für Notfälle eingesetzt werden sollte. Noch ein Hinweis: am Moodle kann man sich dann aber nur anmelden, wenn die eigene paedml auch erreichbar ist! Anmerkung: Die Einstellungen in Moodle sind wohl für alle paedmls identisch. Einzige Ausnahme: Einstellung zur Nutzersuche (user lookup): die Pfade im LDAPS Server dürften sich wohl je nach paedml unterscheiden. Die Hinweise in Abschnitt 1. Einstellungen im eigenen Netzwerk beziehen sich rein auf die paedml Linux. 1. Einstellungen im eigenen Netzwerk Damit das Moodle bei Belwue mit dem LDAPS Server der ML kommunizieren kann, muss Moodle den Server der paedml erreichen können, deswegen sind folgende Einstellungen erforderlich: Am Router zum Provider (Belwue): Portweiterleitung für den Ports 636 (LDAPS) im Router von Belwue einrichten lassen bzw. einrichten Am IPCOP des Schulnetzes: Im Webfrontend des IPCop muss unter Firewall - Port Weiterleitung eine neue Regel erstellt werden, die den Port 636 TCP für LDAPS auf den server (normalerweise ) weiterleitet. Im Feld Quell-IP, oder Netzwerk sollten Sie wie im Bild für die ldaps Regel zu sehen, den Eintrag /16 eintragen. Regel für ldaps 1-1

2 Überblick über die exstierenden Regeln Hinweise Es ist darauf zu achten, dass diese Regeln auch aktiviert sind (Häkchen im Kasten am Ende der Zeile). Sobald die Authentifizierung per ldaps funktioniert können Sie die evtl. vorhandene Regel für ldap wieder deaktivieren oder sogar löschen. 2. Umstellen auf LDAPS Authentifizierung Folgende Einstellungen sind im Moodle vorzunehmen, um die Benutzerauthentifizierung über den LDAPS Server der paedml Linux einzurichten: Melden Sie sich als admin (s.o.) an Ihrem Moodle an. Gehen Sie im Block Einstellungen - Website-Administration auf Plugins Authentifizierung Übersicht. Öffnen Sie dort in der Zeile LDAP Server das Auge und wählen Sie dann Einstellungen. 2-2

3 3. LDAP Server Einstellungen Auf der Konfigurationsseite sind folgende Einstellungen vorzunehmen: LDAP Server Einstellungen Host URL: ldaps: //<IPAdresse> (falls man sich mit der einfacheren Authentifizierung per ldap begnügt, genügt hier einfach: ldap: //<IPAdresse> dies ist auch der einzige Unterschied zur Authentifizierung per ldaps) Version: 3 Codierung: utf-8 Bind-Einstellungen Kennwörter verbergen: Anmeldename: Kennwort: Nutzersuche (user lookup) Nutzertyp: posixaccount (rfc2307 ) Kontexte: ou=accounts, dc=linuxmuster, dc=local (der komplette Pfad muss wie oben eingetragen werden. Die Information für den fettgedruckten Teil muss in der Datei /etc/resolv.conf am Server nachgeschaut werden. Der Eintrag nach search muss entsprechend umgeschrieben werden. Die Zeile in der resolv.conf für das obige Beispiel lautet also: search linuxmuster.local 3-3

4 d.h. Der Eintrag ou=accounts ist immer erforderlich. Für jeden durch Punkt getrennten Eintrag in der resolv.conf muss ein Eintrag dc=xxx vorhanden sein. Die Einträge müssen durch Leerzeichen und Komma getrennt werden. Subkontexte: Aliase berücksichtigen: Nutzermerkmal: Mitgliedsmerkmal: Mitgliedsmerkmal nutzt dn: Object Class: ja uid member leer objectclass=* Kennwortänderung verlangen Kennwortänderung verlangen: Standardseite zur Kennwortänderung nutzen: Kennwortformat: URL zur Kennwortänderung: Reiner Text Gültigkeitsablauf von Kennworten Gültigkeitsende no Warnung zum Gültigkeitsende 10 Merkmal für Gültigkeitsende: GraceLogins: Merkmal für GraceLogin Nutzererstellung aktivieren Nutzer extern anlegen: Kontext für neue Nutzer/innen: 3-4

5 Kursersteller/in Kursersteller/innen: Cron-Synchronisierungsskript Entfernte externe Nutzer: Nur intern zugänglich NTLM SSO Aktivieren Subnet MS IE fast path? Authentifikationsart NTLM Data mapping Tragen Sie, wie auf dem Bild oben zu sehen, bei Datenzuordnung für die Felder Vorname givenname und Nachname sn ein. Die Daten für restlichen Felder können nicht aus der paedml übernommen werden, da sie dort nicht vorhanden sind. Lassen Sie diese Felder deswegen leer. 3-5

6 4. Hinweise zur Umstellung auf ldap/ldaps 4.1. Neu installiertes Moodle Am einfachsten verläuft die Umstellung auf die ldaps Authentifizierung, wenn man in einem neu eingerichteten Moodle von Anfang per ldaps authentifizieren lässt. Bis auf zwei administrative Nutzer, die manuell angelegt werden, authentifizieren sich alle Nutzer des Moodle dann per ldaps gegenüber dem eingetragenen Server. Vor allem bei der Umstellung von 1.9.x auf 2.x empfiehlt es sich, die Umstellung auf ldaps gleich von Anfang an einzurichten Laufendes Moodle Manuelle Änderung Wenn bisher nur wenige Nutzer manuell aufgenommen wurden, dann kann man diese von Hand auf die neue Authentifizierung umstellen. Voraussetzung dazu ist dass der manuell vergebene Nutzername mit dem Nutzernamen auf der paedml (also im LDAP Server) übereinstimmt. Vorgehensweise Melden Sie sich als admin an Ihrem Moodle an. Gehen Sie im Block Einstellungen zu Nutzer/innen Nutzerkonten Nutzerliste anzeigen. Wählen Sie die Nutzer nacheinander über den Bearbeiten Link aus. Ändern Sie nun die Authentifizierungsmethode von Manuelle Konten auf LDAP Server. 4-6

7 Führen Sie diesen Vorgang bei allen Nutzern durch. 4-7