Archive:Metacore/Provisioning

Was?

Im Prinzip gilt: jeder kann alles selber machen was er braucht. Aber: Jeder kann auch anderen dazu verhelfen das zu bekommen was sie brauchen. Es gibt also eine Art "Vertrauensbasiertes Provisioning" - d.h. jeder kann jeden anlegen, steht aber auch dafür grade (userdel -r) wenn wer Mist baut.

Ich mein das auch so: es ist nicht fein ein System das für alle da ist und Vertrauen und Benutzbarkeit vor Technokratie stellt aus irgendeinem Egotrip heraus kaputt zu machen.

All your provisioning needs: https://admin.in.metalab.at/provisioning - dass man sich da nur einloggen kann, wenn man im VPN oder im Metalab ist, sieht man am ".in." in der URL. Allerdings braucht man auch einen "Member" benutzer um sich einzuloggen.

Mitglied oder Freund

user id

Das ist die UNIX, Kerberos, LDAP, Windows, MacOs, Web, ... Benutzer ID die Du verwenden wirst um Dich irgendwo einzuloggen. Darf a-z (lowercase) und 0-9 enthalten und 2-15 Zeichen lang sein.

Ja, man kann da bestimmt auch Blödsinn machen. Aber vergiss nicht: es wird geloggt wer was wann (ausser natürlich Passwörter).

Passwörter

Es gibt zwei verschiedene Passwörter, ein LDAP Passwort und ein Kerberos Passwort. Beide müssen jeweils 7-30 Zeichen lang sein.

LDAP wird zwar immer über SSL verwendet, ist aber für Dinge mit tendentiell niedrigerer Sicherheit gedacht die kein Kerberos unterstützen, wie etwa die meisten Jabber Clients, OpenVPN und dgl.

Kerberos ist verhältnismässig sicher. Du brauchst keinen Stress haben dass Dir wer dieses Passwort abspenstig machst wenn Du ausschliesslich "kerberisierte" Dienste verwendest. Hier kannst Du ein "sichereres" verwenden wenn Du möchtest

Es ist DEINE Entscheidung wie sicher Du Deinen Account machst.

Name

Realname ist Pflicht, sieht man aber nur intern. Da man mit diesem Benutzer ziemlich viel anderen Leuten kaputt machen kann, ist es eigentlich klar dass man zu seinen Aktionen im Metacore mit seinem echten Namen stehen können sollte. Wenn damit jemand garnicht kann, soll er zu jemanden vom Metacore team kommen und das erklären, dann finden wir schon eine Lösung.

Wer allerdings jemanden ohne seinen (richtigen) Realname erstellt, braucht sich nicht wundern wenn weder er noch der angelegte Benutzer keinen Account mehr haben. I mean it.

Email

Die sollte richtig sein und Du solltest sie regelmässig lesen: da werden alle Probleme die es mit Deinem Account gibt hingeschickt.

Ablauf

• MitgliedB sucht sich MitgliedA mit existierendem Account (z.B. Legba7, Philip, Ch, Chrisbee, Metaz, cygenb0ck, Marius, wizard23, ...) und bittet ihn, ihn anzulegen.
• MitgliedA und MitgliedB treffen sich im Metalab oder an einer via VPN vernetzten Maschine.
• MitgliedA loggt sich ein auf https://admin.in.metalab.at/provisioning, wählt die richtige Aktion (Freund oder Mitglied) aus und überlässt MitgliedB die Tastatur zum ausfüllen des Formulars (von wegen Passwörter und so)
• MitgliedA überprüft, ob MitgliedA die richtigen Angaben gemacht hat (Realname!!!111elfeins)
• MitgliedA drückt auf submit
• MitgliedB kann jetzt alles weitere selber so wie MitgliedA machen und hat vollen Zugriff auf alle aktiven Dienste.

Freunde

Es ist kein Problem mal eben einem Freund aus dem Dunstkreis des Metalabs einen Benutzer anzulegen der auch ein bisschen was darf. Beachte aber bitte, dass zwar ein Freund sich z.B. nicht auf space einloggen darf, sonst aber ein vollkornwertiger Benutzer ist, der Sachen kaputt machen kann.

Und: bitte keinen Benutzer der eigentlich Metalab/Mitglied Benutzer werden soll als Freund anlegen, das rumschaufeln im LDAP Baum macht keiner gern ;)

Maschinen

Wenn man nur für den VPN Zugriff einen Benutzer möchte, so ist das schnell möglich, einfach mit seinem "Mitglied" Benutzer einloggen unter https://admin.in.metalab.at/provisioning die richtige Aktion wählen, den Hilfstext lesen und das Formular ausfüllen.

VPN Benutzer

Der Benutzer ist prefixed mit "vpn-" und ist sofort aktiv und benutzbar.

VPN PKI

Das erstellte und signierte Cert wird in Dein home kopiert und kann sofort mit OpenVPN verwendet werden.

Projekt Benutzer

Der erstellte Benutzer ist nur verwendbar in dem man auf space ein su - auf den erstellten Benutzer macht. SSH login oder dergleichen geht nicht.

Keytab Benutzer

Das ist im Gebrauch ein wenig komplexer um es hier mal eben zu erklären. Wer es braucht, weiss wie und kann sich hier bedienen.

(die keytab braucht man z.B. um einen cronjob im afs laufen lassen zu können)