UCS@school 4.3 v1 Release Notes

Release Notes für die Inbetriebnahme und Aktualisierung von UCS@school 4.3 v1


Inhaltsverzeichnis

1. Release-Highlights
2. Hinweise zum Update
3. Vorbereitung von Installation und Update
4. Nachbereitung des Updates
5. Hinweise zum Zugriff auf die Univention Management Console
6. Changelog
6.1. UCS@school installer
6.2. LDAP
6.3. RADIUS
6.4. iTALC
6.5. UCS@school python library
6.6. Import
6.7. HTTP import API
6.8. Proxy squid
6.9. Samba
6.10. Password reset for students/teachers
6.11. Exam mode

§Kapitel 1. Release-Highlights

UCS@school 4.3 steht jetzt auch für das dritte Minor Release von Univention Corporate Server (UCS) zur Verfügung. Es profitiert von einer Reihe an umfangreichen Funktionserweiterungen und Verbesserungen, neue Eigenschaften sowie diverse Detailverbesserungen und Fehlerkorrekturen, die in UCS 4.3 eingeflossen sind. Die wichtigsten Änderungen im Überblick:

  • UCS 4.3 basiert auf Debian GNU/Linux 9 (Stretch). Mehr als 20.000 Quellpakete wurden aktualisiert und zum Teil an die Bedürfnisse der Nutzer von UCS angepasst. Als Linux-Kernel wird nun der unveränderte Kernel von Debian GNU/Linux verwendet. Das erhöht die Kompatibilität zu Hard- und Softwaresystemen, die für Debian zertifiziert sind.

  • Über die mit UCS 4.2 eingeführten Portalseiten erhalten Nutzer von überall einfachen Zugriff auf relevante Anwendungen. Mit UCS 4.3 können Administratoren diese Portale in einem Visual Composer Modus und via Drag and Drop einfach aufbauen und verwalten. Je nach Berechtigung, Abteilung, Niederlassung oder Schule können den Nutzern oder Gruppen unterschiedliche Inhalte angezeigt werden.

  • Mit UCS 4.3 ist die SAML-Authentifizierung mit der Kerberos-Anmeldung verknüpft. An Windows oder Linux (Ubuntu) angemeldete Nutzer können ohne eine erneute Authentifizierung auf Web-Applikationen zugreifen, die SAML unterstützen.

  • Die unterschiedlichen Kontooptionen für Benutzer wurden vereinheitlicht. So gibt es mit UCS 4.3 drei unterschiedliche Kontotypen:

    • Normale, vollwertige Konten, diese haben sämtliche Eigenschaften.

    • Einfache Authentisierungskonten, diese können sich lediglich mit dem LDAP-Server verbinden, haben aber keine Möglichkeit sich auch anderweitig anzumelden.

    • Adressbucheinträge für die Pflege von Kontaktinformationen.

  • Samba wurde auf Version 4.7 aktualisiert. In der neuen Samba-Version sind wichtige Verbesserungen im Bereich des Active Directory Domänencontroller vorhanden. So wird durch die Multi-Process-Implementierung des Samba-LDAP-Servers eine deutliche Performanceverbesserung eintreten. Zusätzlich kommt die Replikation von Gruppenmitgliedschaften nun mit deutlich weniger Ressourcen aus.

§Kapitel 2. Hinweise zum Update

Während der Aktualisierung kann es zu Ausfällen von Diensten innerhalb der Domäne kommen. Aus diesem Grund sollte das Update innerhalb eines Wartungsfensters erfolgen. Grundsätzlich wird empfohlen das Update zunächst in einer Testumgebung einzuspielen und zu testen. Die Testumgebung sollte dabei identisch zur Produktivumgebung sein. Je nach Systemgeschwindigkeit, Netzwerkanbindung und installierter Software kann das Update zwischen 20 Minuten und mehreren Stunden dauern.

Das Update von UCS@school muss zunächst auf dem Domaincontroller Master durchgeführt werden, bevor das Update auf den übrigen UCS@school-Systemen der Domäne gestartet werden kann. Ansonsten wird es zu Problemen auf den übrigen UCS@school-Schulservern kommen.

§Kapitel 3. Vorbereitung von Installation und Update

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 6 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation mindestens 2 GB weiteren Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der lokalen Konsole des Systems mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über die Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei einer Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür kann beispielsweise das Tool screen eingesetzt werden, das auf allen Systemrollen installiert ist.

Mit UCS 4.3 bietet Univention ein Skript an, mit dem Probleme, die das Update des UCS Systems verhindern würden, schon vor dem Update erkannt werden können. Diese Skript kann vor dem Update manuell auf das System geladen und ausgeführt werden:

# download
-> curl -OOs http://updates.software-univention.de/download/univention-update-checks/pre-update-checks-4.3{,.gpg}

# run script
-> gpgv --keyring /usr/share/keyrings/univention-archive-key-ucs-4x.gpg pre-update-checks-4.3.gpg \
        pre-update-checks-4.3 && bash pre-update-checks-4.3

gpgv: Unterschrift vom Mi 07 Mär 2018 13:36:51 CET mittels RSA-Schlüssel ID 6B8BFD3C
gpgv: Korrekte Unterschrift von "Univention Corporate Server 4.x <packages@univention.de>"

Starting pre-update checks (Mo 12. Mär 09:15:34 CET 2018):

Checking app_appliance ...                        OK
Checking block_update_of_NT_DC ...                OK
Checking cyrus_integration ...                    OK
Checking disk_space ...                           OK
Checking hold_packages ...                        OK
Checking ldap_connection ...                      OK
Checking ldap_schema ...                          OK
...

§Kapitel 4. Nachbereitung des Updates

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen:

  • über das UMC-Modul Domänenbeitritt oder

  • durch Aufruf des Befehls univention-run-join-scripts als Benutzer root.

§Kapitel 5. Hinweise zum Zugriff auf die Univention Management Console

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche Javascript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden empfohlen:

  • Chrome ab Version 37

  • Firefox ab Version 38

  • Internet Explorer ab Version 11

  • Safari und Safari Mobile ab Version 9

Auf älteren Browsern können Darstellungs- oder Performanceprobleme auftreten.

§Kapitel 6. Changelog

Die Changelogs mit den detaillierten Änderungsinformationen werden nur in Englisch gepflegt. Aufgeführt sind die Änderungen zwischen den UCS@school-Versionen 4.2 v7 und 4.3 v1. Die Änderungsinformationen für vorherige Versionssprünge finden sich unter https://docs.software-univention.de/.

§6.1. UCS@school installer

  • The UMC module UCS@school-Installer has been internally adapted to UCS 4.3 (Bug 46469).

§6.2. LDAP

  • In rare cases it could happen that the LDAP ACLs and LDAP schemas for UCS@school were installed and activated in the wrong order. As a result, only some of the ACLs were active and caused diffuse problems. This problem only affected new installations of multi-server environments (Bug 46453).

§6.3. RADIUS

  • With UCS 4.3 FreeRADIUS has been updated to version 3. This was accompanied by a revision of the FreeRADIUS configuration. If manual adjustments have been made to the FreeRADIUS configuration, a test environment should be used to check whether new adjustments are necessary with the update (Bug 46428).

§6.4. iTALC

  • The update to UCS@school 4.3 does not require an update of iTALC on Windows clients. However, the iTALC library of the school server has been adapted to the new UCS 4.3 libraries (Bug 46390).

§6.5. UCS@school python library

§6.6. Import

  • Automatically generated password for new users are now better readable. They do not contain characters that are difficult to distinguish (like 'I' and 'l' or 'O' and '0') anymore. The number of special characters has been limited to below 20% of the password length and passwords always start with a letter. The Microsoft requirement that passwords contain characters from at least three character classes is met (Bug 45640).
  • Within the CLI import the handling of email addresses has been altered: the user import now allows the removal email addresses. To do so, within the import configuration (JSON file) a CSV column must be mapped to the email property. To remove the mail address, in the CSV file the fields entry of the email column must be empty. Please note that an email address will only be generated from a configured scheme, when no CSV column for email addresses exist in the CSV file or no column is mapped (Bug 46317).
  • The internal handling of python hooks for the import process has been improved: syntax and consistency checks are now done after running the pre_create / pre_modify / pre_move hooks (Bug 46317).
  • When available, the responsible line from the CSV file is now attached to an ImportUser object that is to be deleted. Therefore the information from the CSV file are also available in python import hooks (Bug 46384).

§6.7. HTTP import API

  • The init.d script for gunicorn has been removed in Debian Stretch. UCS@school 4.3 now comes with its own systemd service definition (Bug 46532).
  • Version 1.10 of Django is shipped with UCS 4.3. The HTTP Import API has been adapted accordingly (Bug 46533).

§6.8. Proxy squid

  • With the change to Squid in version 3 the configuration of the proxy has been moved to the directory /etc/squid/. The configuration and all UCS@school applications have been adapted accordingly. If manual adjustments have been made to the squid configuration, a test environment should be used to check whether new adjustments are necessary with the update (Bug 46000).
  • The service univention-reload-service was not started reliably on slow systems. This problem has now been fixed (Bug 46290).

§6.9. Samba

  • The Active Directory builtin account Console Logon is created now in OpenLDAP too. The S4 connector configuration of UCS@school has been adapted accordingly (Bug 46265).

§6.10. Password reset for students/teachers

  • The UDM flag pwdChangeNextLogin toggled each time when the user's password has been reset with activated checkbox that should have forced the user to change the password on next login. This problem has been fixed (Bug 46012).

§6.11. Exam mode

  • An error in connection setup has been fixed, which caused the exam-and-room-cleanup script to terminate with a certificate error message (Bug 46360).