6. Integration und Verwaltung von Microsoft Windows-Clients#
Microsoft Windows-Clients werden in Univention Corporate Server (UCS) mithilfe von Samba integriert und verwaltet. Die Windows-Clients authentifizieren sich dabei gegen den Samba-Server. Auch Datei- und Druckdienste werden für die Windows-Clients über Samba bereitgestellt. Weitere Hinweise finden sich in Anmeldedienste mit Samba.
Die Netzkonfiguration der Clients kann zentral über in UCS integrierte DNS- und DHCP-Dienste durchgeführt werden. Weitere Hinweise finden sich in Skriptbasierter Import von PCs.
Beim Import von neuen Benutzern des Edukativnetzes über die Importskripte oder über den Assistenten in der UMC werden automatisch windows-spezifische Einstellungen zum Profilpfad und zum Heimatverzeichnispfad vorgenommen. Weitere Hinweise finden sich in Windows-spezifische Benutzereinstellungen.
Auf den Windows-Clients der Schüler kann die Software Veyon installiert werden. Sie erlaubt es Lehrern, über ein UMC-Modul den Desktop der Schüler einzuschränken und z.B. Bildschirme und Eingabegeräte zu sperren. Außerdem kann ein Übertragungsmodus aktiviert werden, der die Bildschirmausgabe des Desktops des Lehrers auf die Schülerbildschirme überträgt. Die Installation von Veyon wird in Computerraumüberwachung in UCS@school mit Veyon beschrieben.
Aufgrund einiger Limitierungen (u.a. von Veyon) kann auf Windows-Terminalservern nicht der volle Funktionsumfang von UCS@school genutzt werden. Die Verwendung von Terminalservern mit UCS@school wird daher nicht unterstützt.
Wichtig
Die App UCS@school Veyon Proxy wird in Single-Server-Umgebungen, sowie auf edukativen Schulservern automatisch installiert. Sie wird von UCS@school angesprochen und ist nicht zur manuellen Verwendung gedacht.
Die App darf nicht manuell deinstalliert werden.
6.1. Anmeldedienste mit Samba#
UCS@school integriert Samba 4. Die Unterstützung von Domänen-, Verzeichnis- und Authentifizierungsdiensten, die kompatibel zu Microsoft Active Directory sind, erlauben den Aufbau von Active Directory-kompatiblen Windows-Domänen. Diese ermöglichen u.a. die Verwendung der von Microsoft bereit gestellten Werkzeuge beispielsweise für die Verwaltung von Benutzern oder Gruppenrichtlinien (GPOs). Univention hat die benötigten Komponenten für die Bereitstellung von Active Directory kompatiblen Domänendiensten mit Samba 4 getestet und in enger Zusammenarbeit mit dem Samba-Team in UCS integriert.
Vorsicht
Bei der Verwendung von Samba 4 in einer Multi-Server-Umgebung ist es zwingend erforderlich, dass alle Windows-Clients ihren jeweiligen Schul-DC als DNS-Server verwenden, um einen fehlerfreien Betrieb zu gewährleisten.
Windows-Clients des Edukativnetzes, die ihre DNS-Einstellungen über DHCP beziehen, erhalten in der Standardeinstellung automatisch die IP-Adresse des Schul-DCs als DNS-Server zugewiesen. Dafür wird beim Joinen eines Schulservers automatisch am unter dem Schul-OU-Objekt liegenden DHCP-Container eine DHCP-DNS-Richtlinie verknüpft. Das automatische Verknüpfen dieser Richtlinie kann über das Setzen einer UCR-Variable auf dem Primary Directory Node und dem Schulserver deaktiviert werden. Die folgende Variable muss vor der Installation von UCS@school oder dem Update des Systems gesetzt werden:
$ ucr set ucsschool/import/generate/policy/dhcp/dns/set_per_ou=false
Dies lässt sich am besten über eine UCR-Richtlinie für die gesamte UCS@school-Domäne erledigen. Wurde die Variable versehentlich nicht gesetzt, werden automatisch fehlende DHCP-DNS-Richtlinien wieder angelegt und mit den entsprechenden DHCP-Container der Schul-OU-Objekte verknüpft. Dies kann gerade in Verwaltungsnetzen zu Fehlfunktionen führen (siehe auch Verwaltungsnetz und Edukativnetz).
Bei Neuinstallationen von UCS@school wird standardmäßig Samba 4 installiert. Umgebungen, die von einer Vorversion aktualisiert werden, müssen von Samba 3 auf Samba 4 migriert werden. Das dafür notwendige Vorgehen ist unter der folgenden URI dokumentiert: Univention Help 21846 - „UCS@school Samba 3 to Samba 4 Migration“.
Weiterführende Hinweise zur Konfiguration von Samba finden sich in Services für Windows in Univention Corporate Server - Handbuch für Benutzer und Administratoren [2].
6.2. Server für Dateifreigaben#
Beim Anlegen einer neuen Klasse bzw. eines Benutzers wird automatisch eine Klassenfreigabe für die Klasse bzw. eine Heimatverzeichnisfreigabe für den Benutzer eingerichtet. Der für die Einrichtung der Freigabe notwendige Dateiserver wird in den meisten Fällen ohne manuellen Eingriff bestimmt. Dazu wird am Schul-OU-Objekt bei der Registrierung einer Schule automatisch der in der Univention Management Console angegebene Schulserver als Dateiserver jeweils für Klassen- und Benutzerfreigaben hinterlegt.
Die an der Schul-OU hinterlegte Angabe bezieht sich ausschließlich auf neue Klassen- und Benutzerobjekte und hat keinen Einfluss auf bestehende Objekte im LDAP-Verzeichnis. Durch das Bearbeiten der entsprechenden Schul-OU im UMC-Modul LDAP-Verzeichnis können die Standarddateiserver für die geöffnete Schul-OU nachträglich modifiziert werden.
Es ist zu beachten, dass die an der Schul-OU hinterlegten Dateiserver nur in einer Multi-Server-Umgebung ausgewertet werden. In einer Single-Server-Umgebung wird für beide Freigabetypen beim Anlegen neuer Objekte immer der Primary Directory Node als Dateiserver konfiguriert.
6.3. Netlogon-Skripte für Samba 4 Umgebung#
In UCS-Umgebungen mit mehreren Samba 4 Domänencontrollern werden in der Standardeinstellung alle Dateien der NETLOGON-Dateifreigabe automatisch (durch die SYSVOL-Replikation) zwischen allen Samba 4 Domänencontrollern repliziert. Beim Einsatz von UCS@school kann es bei der Verwendung von domänenweiten Benutzerkonten und benutzerspezifischen Netlogon-Skripten zu Synchronisationskonflikten kommen. Konflikte können ebenfalls bei eigenen, standortbezogenen Netlogon-Skripten auftreten.
In diesen Fällen ist es ratsam, die Synchronisation der NETLOGON-Freigabe zu
unterbinden, indem ein abweichendes Verzeichnis für die NETLOGON-Freigabe
definiert wird. Das Verzeichnis darf dabei nicht unterhalb der
SYSVOL-Dateifreigabe (/var/lib/samba/sysvol/REALM/) liegen.
Das folgende Beispiel setzt das Verzeichnis der NETLOGON-Freigabe auf
/var/lib/samba/netlogon/ und passt ebenfalls das Verzeichnis für die
automatisch generierten Benutzer NETLOGON-Skripte an:
$ ucr set samba/share/netlogon/path=/var/lib/samba/netlogon
$ ucr set ucsschool/userlogon/netlogon/path=/var/lib/samba/netlogon/user
Die zwei UCR-Variablen müssen auf allen Samba 4 Domänencontrollern gesetzt
werden. Dies kann z.B. in der UMC über eine UCR-Richtlinien global definiert
werden. Nach der Änderung müssen die Dienste samba und
univention-directory-listener neu gestartet werden:
$ service samba restart
$ service univention-directory-listener restart
6.4. Computerraumüberwachung in UCS@school mit Veyon#
Veyon ist eine freie und quelloffene Software zur plattformübergreifenden Überwachung und Steuerung von Computern. In UCS@school können Sie Veyon verwenden, um in Computerräumen die Computer von Schülern zu steuern und zu überwachen.
Sie können Veyon mit den folgenden Möglichkeiten nutzen:
über die integrierte UCS@school-Web-Oberfläche
direkt über die von Veyon bereitgestellte Windows Applikation Veyon Master.
Damit Sie die Web-Oberfläche nutzen können, müssen Sie die folgenden Installations- und Konfigurationsschritte abschließen:
Alternativ können Sie die Rechner so einrichten, dass Sie die Windows Applikation Veyon Master verwenden. Für Veyon Master müssen Sie die folgenden Schritte abschließen:
Lehrende, die den Veyon Master verwenden, finden Informationen im Veyon-Benutzerhandbuch.
Welche Möglichkeit Sie wählen, hängt neben den verfügbaren Features auch von der Anzahl der gleichzeitig zu überwachenden Computer bzw. Computerräume ab. Ab einer Anzahl von mehr als 80 aktiven Computern, empfiehlt sich die Nutzung von Veyon Master, siehe Einrichten des Veyon Master.
Wichtig
Auf den Windows-Clients muss in jedem Fall sichergestellt werden,
dass die installierte System-Firewall den Port 11100 nicht blockiert.
Der offene Port 11100 ist Voraussetzung für eine funktionierende Veyon-Umgebung,
da Veyon diesen Port für die Kommunikation mit dem Schulserver bzw. anderen Computern verwendet.
Siehe auch
- Import/Export der Konfiguration im Veyon-Administrationshandbuch
für Information über Werkzeuge, die die Übertragung von Konfigurationen erleichtern.
6.4.1. Systemanforderungen des UCS@school Veyon Proxy#
Wenn Sie die integrierte Web-Oberfläche zur Überwachung der Computerräume verwenden, steigen die Hardwareanforderungen an den Schulserver. Tab. 6.1 liefert eine Orientierung über die Hardwareanforderungen.
Anzahl gleichzeitig aktiver Computer |
Arbeitsspeicher |
Ausgelastete Prozessoren |
|---|---|---|
20 |
500 MB |
2 vCPU / Threads |
40 |
1000 MB |
3 vCPU / Threads |
80 |
2000 MB |
6 vCPU / Threads |
Die Prozessorauslastung hängt stark vom eingesetzten System bzw. der Umgebung ab.
Die aufgeführten benötigten Systemressourcen wurden mit einem
Intel® Xeon® Silver 4314 Prozessor gemessen.
Bemerkung
Bei mehr als 80 aktiven Computern ist der direkte Einsatz von Veyon Master empfehlenswert.
6.4.2. Veyon Installation auf Windows-Clients von Schülern#
Dieser Abschnitt beschreibt die Installation von Veyon auf den Schüler-PCs. Für Informationen über die Administration über die UCS@school Web-Oberfläche durch Lehrkräfte, siehe UCS@school - Handbuch für Lehrkräfte und Schuladministratoren [1].
Für die Nutzung der Rechnerüberwachungs- und Präsentationsfunktionen in der Computerraumverwaltung (siehe Modulübersicht) wird vorausgesetzt, dass auf den Windows-Clients die Software Veyon installiert wurde und als Computerraum Backend des entsprechenden Computerraums Veyon gesetzt ist (siehe Konfiguration des Computerraum-Moduls).
Neu in Version 4.4v9: Seit UCS@school 4.4 v9 sind Windows-Binärpakete für die Open Source-Software Veyon in UCS@school enthalten.
Die Binärpakete sind direkt über die Samba-Freigabe Veyon-Installation abruf-
und installierbar. Die Installationsdatei der 64-Bit Version von Veyon findet
sich auf dem Schulserver im Verzeichnis
/usr/share/ucs-school-veyon-windows/.
Interoperabilitätstests zwischen UCS@school und Veyon wurden ausschließlich mit der von UCS@school mitgelieferten Veyon Version unter Windows 7 und Windows 10 (64 Bit) durchgeführt.
Abb. 6.1 Veyon Installation: Auswahl der Komponenten#
Veyon bringt ein Installationsprogramm mit, das durch alle notwendigen Schritte führt. Installieren Sie Veyon Service sowie Interception driver. Auf den Schüler-PCs ist kein Veyon Master nötig.
6.4.3. Veyon Konfiguration für die UCS@school Web-Oberfläche#
Falls eine direkte Steuerung über den Veyon Master gewünscht ist, ist dieser Abschnitt nicht notwendig und kann übersprungen werden.
Nach der Installation von Veyon auf dem Windows-Client muss das Programm mit dem installierten Veyon Configurator für eine Schlüsseldatei-Authentifizierung konfiguriert werden. Zunächst muss im Veyon Configurator unter die Methode Schlüsseldatei-Authentifizierung ausgewählt werden.
Abb. 6.2 Veyon Konfiguration: Auswahl der Authentifizierungs-Methode#
Anschließend muss unter Zugriffskontrolle die Checkbox Verwendung von Domaingruppen aktivieren aktiviert werden. Als Benutzergruppen-Backend wird der Standard Systembenutzergruppen verwendet.
Abb. 6.3 Veyon Konfiguration: Zugriffskontrolle#
Schließlich muss der öffentliche Schlüssel importiert werden, damit der Schulserver Zugriff auf das installierte Veyon Backend erhält. Der Import kann mit durchgeführt werden. Dort ist der Veyon Schlüssel des Schulservers anzugeben.
Abb. 6.4 Veyon Konfiguration: Schlüsselimport#
Der Schlüssel wird automatisch auf der SYSVOL-Freigabe des Schulservers unter
dem Namen der Schuldomäne unter scripts/veyon-cert_SERVERNAME.pem
abgelegt. (U.U. liegt dort zusätzlich eine Datei veyon-cert.pem ohne
den Namen des Servers. Diese sollte nicht verwendet werden.) Im Dialog
Authentifizierungsschlüsselname muss der Name teacher angegeben werden.
Außer den beschriebenen Konfigurationen müssen keine weiteren Anpassungen
vorgenommen werden.
Der Konfigurationstest im Veyon Configurator unter wird trotz korrekter Einrichtung fehlschlagen. Die korrekte Einrichtung kann im Computerraum Modul überprüft werden. Hier sollte sich der Punkt neben dem Namen des eingerichteten Windows Clients dunkelgrau färben.
6.4.4. Veyon Installation auf Windows-Clients von Lehrern#
Dieser Abschnitt beschreibt die Installation von Veyon auf Lehrer-PCs. Wenn Sie nur die UCS@school Web-Oberfläche verwenden, können Sie diesen Abschnitt überspringen.
Sie können die Veyon Binärpakete direkt über die Samba-Freigabe Veyon-Installation abrufen und installieren.
Die Installationsdatei der 64-Bit Version von Veyon finden Sie auf dem Schulserver im Verzeichnis
/usr/share/ucs-school-veyon-windows/.
Univention hat Interoperabilitätstests zwischen UCS@school und Veyon mit der von UCS@school mitgelieferten Veyon Version unter Windows 7 und Windows 10 (64 Bit) durchgeführt.
Veyon bringt ein Installationsprogramm mit, das durch alle notwendigen Schritte führt. Während der Installation müssen Sie alle aufgelisteten Komponenten installieren.
Abb. 6.5 Veyon Installation: Auswahl der Komponenten#
Für eine erfolgreiche Authentifizierung zwischen Lehrer- und Schüler-PCs zur Überwachung und Steuerung wählen Sie entweder die Anmeldeauthentifizierung oder die Schlüsselauthentifizierung im Abschnitt Allgemein des Veyon Configurator, sowohl auf den Lehrer- als auch auf den Schüler-PCs. Weitere Details finden Sie unter Authentifizierung im Veyon-Administrationshandbuch.
Tipp
Bei einer Migration von der UCS@school Web-Oberfläche hin zum Veyon Master können Sie die bestehenden
Schlüssel wiederverwenden. Kopieren Sie den privaten Schlüssel /etc/ucsschool-veyon/key.pem
von dem Schulserver auf den Lehrer-Computer und importieren Sie diesen mit dem Veyon Configurator.
Eine Änderung der Schüler-PCs ist damit nicht notwendig.
6.4.5. Einrichten des Veyon Master#
Alternativ zur Kontrolle von Computern über die Computerraum-Weboberfläche von UCS@school können Sie Veyon Master direkt verwenden. Gehen Sie durch die nachfolgenden Konfigurationsschritte, um Veyon Master auf mehreren Computern einzurichten.
Tipp
Es gibt Integrationstests für Veyon, die Sie nach Abschluss aller Konfigurationsschritte im Veyon Configurator durchführen können. Die Tests müssen erfolgreich sein. Die Tests finden Sie auf der letzten Seite der LDAP-Basic Einstellungen.
Bemerkung
Zu allen Bildern der grafischen Benutzerschnittstelle des Veyon Configurator enthält dieses Kapitel ergänzend Programmblöcke in PowerShell, die auf die Veyon CLI zurückgreifen. Sie können die Programmblöcke z.B. als Bausteine zur Automatisierung verwenden.
6.4.5.1. Erstellen eines Veyon Benutzers#
Erstellen Sie ein einfaches Authentisierungskonto auf dem Primary Directory Node mit dem UMC-Modul Benutzer. Veyon verwendet das Authentisierungskonto für die LDAP-Verbindung. Quellcode 6.1 zeigt die Erstellung des Kontos auf der Kommandozeile.
VEYON_PASSWORD="veyon-user-account-password" # Passen Sie dieses Passwort an!
SCHOOL_NAME="school-name"
udm users/ldap create --position "cn=users,ou="$SCHOOL_NAME",$(ucr get ldap/base)" \
--set username='veyon-school1' \
--set lastname='veyon-school1' \
--set password="$VEYON_PASSWORD"
6.4.5.2. LDAP-Basiseinstellungen#
Als nächstes müssen Sie die Einstellungen für die Authentisierung setzen.
Hierfür können Sie sowohl den Veyon Configurator als auch die veyon-cli Kommandozeilen-Schnittstelle verwenden.
Beide Werkzeuge wurden in den vorangegangenen Schritten mit Veyon auf den Windows-Clients installiert.
Viele der Einstellungen in diesem Abschnitt hängen von der Umgebung ab und müssen angepasst werden.
Die Kommentare am Ende einer Zeile mit veyon-cli config set ... verweisen auf die Kennzeichnung in der grafischen Benutzeroberfläche des Veyon Configurator.
Vor der Ausführung der Befehle in Quellcode 6.2
müssen Sie das öffentliche Zertifikat der Zertifizierungsstelle der UCS Domäne auf den lokalen Rechner kopieren.
Das Wurzelzertifikat können Sie über die Univention Management Console herunterladen.
Setzen Sie anschließend die Variable $CA_CERTIFICATE_PATH auf den Wert,
der dem Pfad des Zertifikats entspricht.
Wenn Sie die grafische Benutzeroberfläche zur Konfiguration verwenden, muss der Dateipfad
manuell eingetragen werden, da bei der interaktiven Dateiauswahl nur PEM-Dateien angezeigt werden.
# Diese Variablen müssen auf das Zielsystem angepasst werden:
$LDAP_BASE = 'dc=univention,dc=de'
$SCHOOL_FQDN = 'school1.univention.de'
$VEYON_USER = "uid=veyon-school1,cn=users,ou=school1,$LDAP_BASE"
$VEYON_PASSWORD = 'veyon-user-account-password' # Passen Sie dieses Passwort an!
$CA_CERTIFICATE_PATH = 'path-to-tls-ldap-certificate'
cd 'C:\Program Files\Veyon\'
.\veyon-cli config set LDAP/ServerHost "$SCHOOL_FQDN" # LDAP-Server
.\veyon-cli config set LDAP/ServerPort 7389 # LDAP-Port
.\veyon-cli config set LDAP/BindPassword $VEYON_PASSWORD # Bind-Passwort
.\veyon-cli config set LDAP/BindDN "$VEYON_USER" # Bind-DN
.\veyon-cli config set LDAP/ConnectionSecurity 1 # Verschlüsselungsprotokoll (1 = TLS)
.\veyon-cli config set LDAP/TLSVerifyMode 2 # TLS-Zertifikatsüberprüfung
.\veyon-cli config set LDAP/TLSCACertificateFile "$CA_CERTIFICATE_PATH" # Benutzerdefinierte CA-Zertifikatsdatei
.\veyon-cli config set LDAP/UseBindCredentials true # Bind-Zugangsdaten verwenden
.\veyon-cli config set LDAP/BaseDN "$LDAP_BASE" # Fester Base-DN
.\veyon-cli config set NetworkObjectDirectory/Plugin '{6f0a491e-c1c6-4338-8244-f823b0bf8670}' # Backend (Setzt das Netzwerkobjektverzeichnis zu "LDAP Basic ...")
Abb. 6.6 Veyon Master Konfiguration: Beispiel für LDAP Grundeinstellungen#
6.4.5.3. LDAP-Umgebungseinstellungen#
Die folgenden Einstellungen sind so gewählt, dass Standorte im Veyon Master den Computerräumen von UCS@school entsprechen.
cd 'C:\Program Files\Veyon\'
.\veyon-cli config set LDAP/RecursiveSearchOperations true # Rekursive Suchoperationen in Objektbäumen durchführen
.\veyon-cli config set LDAP/UserLoginNameAttribute uid # Attribut Benutzeranmeldename
.\veyon-cli config set LDAP/GroupMemberAttribute uniqueMember # Attribut Gruppenmitglied
.\veyon-cli config set LDAP/ComputerDisplayNameAttribute displayName # Attribut Computeranzeigename
.\veyon-cli config set LDAP/ComputerHostNameAttribute cn # Attribut Computerhostname
.\veyon-cli config set LDAP/ComputerHostNameAsFQDN false # Hostnamen sind als vollqualifizierte Domainnamen gespeichert
.\veyon-cli config set LDAP/ComputerMacAddressAttribute macAddress # macAddress
.\veyon-cli config set LDAP/LocationNameAttribute cn # Attribute Standortname
Abb. 6.7 Veyon Master Konfiguration: LDAP Umgebungseinstellungen#
6.4.5.4. Erweiterte Einstellungen#
Dieser Abschnitt zeigt, wie Sie die erweiterten LDAP Einstellungen setzen müssen, um relevante Benutzer, Gruppen und Computer zu identifizieren. Die folgenden Einstellungen sind so gewählt, dass Standorte im Veyon Master den Computerräumen von UCS@school entsprechen:
cd 'C:\Program Files\Veyon\'
.\veyon-cli config set LDAP/UsersFilter '(|(ucsschoolRole=student*)(ucsschoolRole=teacher*))' # Filter für Benutzer
.\veyon-cli config set LDAP/UserGroupsFilter '(objectClass=ucsschoolGroup)' # Filter für Benutzergruppen
.\veyon-cli config set LDAP/ComputersFilter '(objectClass=ucsschoolComputer)' # Filter für Computer
.\veyon-cli config set LDAP/QueryNestedUserGroups false # Verschachtelte Benutzergruppen abfragen
.\veyon-cli config set LDAP/IdentifyGroupMembersByNameAttribute false # Identifizierung von Gruppenmitgliedern
.\veyon-cli config set LDAP/ComputerGroupsFilter '(&(ucsschoolRole=computer_room:school:*)(!(cn=*all-windows-hosts*)))' # Filter für Computergruppen
.\veyon-cli config set LDAP/ComputerLocationsByContainer false # Computercontainer oder OUs
.\veyon-cli config set LDAP/ComputerLocationsByAttribute false # Attribut Standort in Computerobjekten
Abb. 6.8 Veyon Master Konfiguration: LDAP Erweiterte Einstellungen#
6.4.5.5. Verhaltenseinstellungen des Veyon Master#
Dieser Abschnitt zeigt optionale empfohlene Einstellungen.
In Umgebungen mit vielen Computerräumen kann es sinnvoll sein, nur den Standort bzw. Computerraum anzuzeigen,
in welchem sich auch der aktuell genutzte Computer befindet.
Bei Umgebungen mit vielen Computerräumen kann es sonst unübersichtlich werden.
Die Einstellung HideLocalComputer verbirgt den eigenen Computer in der Darstellung.
cd 'C:\Program Files\Veyon\'
.\veyon-cli config set Master/ShowCurrentLocationOnly true # Nur aktuellen Standort anzeigen
.\veyon-cli config set Master/HideLocalComputer true # Lokalen Computer ausblenden
Abb. 6.9 Veyon Master Konfiguration: Verhalten des Veyon Master#