Configserver

opsi-Configserver in der Ansicht Depots anlegen, Stufe festlegen, CA-Zertifikat pflegen und die Verbindung prüfen

Rolle: Administrator

Überblick

oPBWeb arbeitet mit beliebig vielen opsi-Configservern, zum Beispiel einem Test-, einem Staging- und einem Produktivsystem. Über jeden Configserver liest oPBWeb dessen Depots, installiert Pakete und greift auf /repository, /workbench und /depot zu. Jedes Depot gehört zu genau einem Configserver.

Die Configserver verwaltest du in der Ansicht Depots in der Aktivitätsleiste. Solange kein Configserver eingerichtet ist, funktionieren Depots, Installieren und die Workbench nicht, und die Statusleiste zeigt „Kein Configserver eingerichtet“.

Ansicht Depots mit dem Formular eines Configservers

Configserver in der Depot-Liste

Die linke Liste der Ansicht Depots ist nach Configservern gegliedert. Jeder Configserver steht als fett gedruckte Zeile, darunter eingerückt seine Depots. Der Pfeil vor dem Namen klappt die Depots eines Servers zu oder auf, das Feld „Depot suchen“ darüber durchsucht die Liste (siehe Depots ).

Element	Bedeutung
Punkt vor dem Namen	grün: letzte Prüfung in Ordnung, rot: letzte Prüfung fehlgeschlagen, grau: noch nicht geprüft
Abzeichen	Stufe des Configservers (Produktion, Staging oder Test)
zweite Zeile	„Configserver · 3 Depots“

Im Kopf der Liste stehen zwei Schaltflächen:

+ („Neuer Configserver“) legt einen weiteren Configserver an. Nur Administratoren sehen sie.
⟳ („Alle Configserver abgleichen“) gleicht die Depots aller Configserver ab. Die Schaltfläche gibt es ab der Rolle Packager.

Ein Klick auf eine Configserver-Zeile öffnet rechts das Formular des Servers. Neben der Überschrift stehen das Stufen-Abzeichen und das Ergebnis der letzten Prüfung: erreichbar oder nicht erreichbar. In der Kopfzeile findest du die Schaltflächen Entfernen …, Verbindung testen, Abgleichen und Speichern.

Benutzer ohne Administratorrolle sehen statt des Formulars eine Karte mit Name, Stufe, URL des Configservers, Zustand (erreichbar oder nicht erreichbar samt Fehlermeldung) und der Gültigkeit des CA-Zertifikats. Ab der Rolle Packager steht dort die Schaltfläche Abgleichen.

Die Felder

Feld	Inhalt
Name	Frei wählbarer Anzeigename, zum Beispiel Configserver. Bleibt das Feld leer, verwendet oPBWeb den Hostnamen aus der URL.
URL des Configservers	Adresse von opsiconfd mit Port, zum Beispiel `https://opsi.example.local:4447`. Verwende den vollständigen Hostnamen (FQDN), keine IP-Adresse: Das Zertifikat von opsiconfd lautet auf den Namen. Jede URL lässt sich nur einmal einrichten.
Technischer Benutzer	opsi-Benutzer, mit dem oPBWeb arbeitet. Vorbelegt ist `opsiadm`. Der Benutzer braucht opsi-Admin-Rechte.
Passwort	Passwort des technischen Benutzers. Es wird verschlüsselt gespeichert und nie wieder angezeigt. Ist bereits eins gespeichert, zeigt das Feld „gespeichert – leer lassen für unverändert“.
Stufe	Produktion, Staging oder Test. Die Stufe gilt für alle Depots des Servers, solange ein Depot keine eigene hat. Installieren auf Produktion erfordert die Rolle Releaser. Neue Configserver starten mit Produktion.
TLS-Zertifikat des Servers prüfen (empfohlen)	Prüft das Serverzertifikat gegen das hinterlegte CA-Zertifikat. Lass die Option eingeschaltet.

Bei eingeschalteter TLS-Prüfung vertraut oPBWeb ausschließlich dem CA-Zertifikat, das du unter VERTRAUTES CA-ZERTIFIKAT hinterlegst, nicht den Zertifizierungsstellen des Betriebssystems. Ohne hinterlegtes CA-Zertifikat lässt sich eine https-Verbindung mit TLS-Prüfung nicht speichern („Für die TLS-Prüfung wird ein CA-Zertifikat benötigt.“).

Was die Stufe für die Rechte bedeutet und wie Depots sie erben, steht in der Depot-Verwaltung .

Configserver hinzufügen

Öffne Depots in der Aktivitätsleiste.
Klick im Kopf der linken Liste auf +. Rechts erscheint das Formular „Neuer Configserver“.
Trag URL des Configservers, Technischer Benutzer und Passwort ein, optional einen Name.
Wähl die Stufe, zum Beispiel Test für einen Testserver.
Klick unter VERTRAUTES CA-ZERTIFIKAT auf Vom Server holen. oPBWeb lädt das CA-Zertifikat des Servers in einem kurzen Job; die Schaltfläche zeigt währenddessen „Lade …“.
Der Dialog CA-Zertifikat des Servers zeigt das Zertifikat mit seinem SHA-256-Fingerabdruck. Vergleiche ihn mit dem Fingerabdruck auf dem Configserver:
```
openssl x509 -in /etc/opsi/ssl/opsi-ca-cert.pem -noout -fingerprint -sha256
```
Stimmen beide überein, klick auf Vertrauen. Unter der Zertifikatstabelle erscheint „Geändertes CA-Zertifikat – zum Übernehmen speichern.“
Klick auf Hinzufügen. Die Meldung „Configserver gespeichert“ bestätigt das.

Direkt nach dem Hinzufügen startet oPBWeb für den neuen Server Verbindung testen . Der Test liest auch die Depots des Servers; sie erscheinen danach in der Liste unter dem Configserver. Mit Abbrechen verwirfst du einen neuen Configserver, bevor er gespeichert ist.

Ist die URL schon eingerichtet, lehnt oPBWeb das Speichern ab: „Ein Configserver mit dieser URL ist bereits eingerichtet: …“.

Achtung

Klick nur auf Vertrauen, wenn der Fingerabdruck wirklich mit dem auf dem Server übereinstimmt. Beim Holen prüft oPBWeb das Zertifikat noch nicht – genau dafür ist der Vergleich da. Stimmt er nicht, schließ den Dialog und kläre die Ursache.

Configserver ändern

Wähl den Configserver in der Liste aus, änder die Felder und klick auf Speichern. Solange es ungespeicherte Änderungen gibt, sind Verbindung testen und Abgleichen gesperrt. Wechselst du mit ungespeicherten Änderungen zu einem anderen Eintrag der Liste, fragt oPBWeb vorher nach.

CA-Zertifikat aus einer Datei laden

Statt das Zertifikat vom Server zu holen, kannst du es als Datei hochladen, zum Beispiel wenn du opsi-ca-cert.pem vorher vom Server kopiert hast:

Klick auf PEM-Datei laden … und wähl eine Datei mit der Endung .pem, .crt oder .cer.
Es erscheint „Neue PEM-Datei geladen, wird beim Speichern geprüft.“
Klick auf Speichern (bei einem neuen Server Hinzufügen). Erst jetzt prüft der Server die Datei. Enthält sie kein gültiges Zertifikat, lautet die Meldung „Kein gültiges PEM-Zertifikat: …“.

Mit Entfernen unter der Zertifikatstabelle löschst du das hinterlegte CA-Zertifikat; auch das wird erst mit Speichern wirksam.

Configserver entfernen

Wähl den Configserver in der Liste aus.
Klick in der Kopfzeile auf Entfernen ….
Bestätige die Rückfrage „Configserver Name entfernen? Seine 3 Depots verschwinden aus oPBWeb (auf dem opsi-Server bleibt alles unverändert).“

Die Meldung „Configserver Name entfernt“ bestätigt das. oPBWeb löscht dabei den Configserver, seine Depots mit ihren Einstellungen und die Produktlisten dieser Depots. Pakete und Jobs bleiben erhalten. Auf dem opsi-Server selbst ändert sich nichts.

Gültigkeit des CA-Zertifikats

Die Tabelle unter VERTRAUTES CA-ZERTIFIKAT listet jedes Zertifikat der hinterlegten Datei mit Zertifikat (Inhaber), Gültigkeit und SHA-256-Fingerabdruck. Enthält die Datei kein CA-Zertifikat, steht hinter dem Inhaber „kein CA-Zertifikat“.

Das Abzeichen in der Spalte Gültigkeit zeigt die Restlaufzeit:

Abzeichen	Bedeutung
grün, „noch 729 Tage“	mehr als 60 Tage gültig
orange, „noch 45 Tage“	weniger als 60 Tage gültig
rot, „noch 10 Tage“	weniger als 14 Tage gültig
rot, „abgelaufen“	Zertifikat ist abgelaufen

Ab 60 Tagen vor Ablauf erscheint zusätzlich in der Statusleiste „Name: CA läuft in {n} Tagen ab“, und die Zeile opsi-Server im Systemstatus steht auf Fehler.

CA-Rotation

opsi-Server erneuern ihre CA selbst. Danach stimmt das in oPBWeb hinterlegte Zertifikat nicht mehr mit dem des Servers überein, und Verbindungen mit TLS-Prüfung schlagen fehl. oPBWeb erkennt das bei der regelmäßigen Prüfung und meldet es an drei Stellen:

in der Statusleiste: „Name: neues CA-Zertifikat“ (für Administratoren ein Link zu Depots)
im Systemstatus in der Zeile opsi-Server
im Formular des Configservers als Kasten „Der Server liefert ein neues CA-Zertifikat“ über den Feldern

So übernimmst du das neue Zertifikat:

Öffne Depots und wähl den betroffenen Configserver aus. Der Kasten zeigt das neue Zertifikat mit Ablaufdatum und SHA-256-Fingerabdruck.
Vergleiche den Fingerabdruck mit /etc/opsi/ssl/opsi-ca-cert.pem auf dem Server (Befehl wie oben).
Klick auf Neues Zertifikat übernehmen. Die Meldung „Neues CA-Zertifikat übernommen“ bestätigt das; ein weiteres Speichern ist nicht nötig.

Verbleibende Warnungen in Statusleiste und Systemstatus verschwinden mit der nächsten Prüfung, spätestens nach fünf Minuten. Wenn du nicht warten willst, klick auf Verbindung testen.

Verbindung testen

Mit Verbindung testen prüfst du die gespeicherten Einstellungen des ausgewählten Configservers sofort. Die Schaltfläche ist gesperrt, solange es ungespeicherte Änderungen gibt („Bitte zuerst speichern“).

Der Test läuft als Job und prüft nacheinander:

ob das hinterlegte CA-Zertifikat zum Server passt
ob die Anmeldung mit technischem Benutzer und Passwort klappt
ob der technische Benutzer opsi-Admin-Rechte hat
welche opsi-Version läuft und welche Depots der Server meldet

War der Test erfolgreich, gleicht oPBWeb anschließend die Depots dieses Servers ab. Das Ergebnis erscheint als „Verbindung in Ordnung“ oder als Fehlermeldung. Unter dem Formular steht danach zum Beispiel „Zuletzt geprüft 15.10.26, 09:30 · opsi 4.3.x · 3 Depots“ oder die Fehlermeldung der letzten Prüfung in Rot.

Abgleichen

Abgleichen im Formular des Configservers liest nur die Depots dieses Servers, ihre installierten Produkte und die Projektordner seiner Workbench neu ein; der Job heißt „Depots abgleichen (Name)“. ⟳ im Kopf der Liste gleicht alle Configserver ab („Depots aller Configserver abgleichen“). Ein Abgleich berührt nie die Depots eines anderen Configservers. Was beim Abgleich mit den Depots passiert, steht in der Depot-Verwaltung .

Automatische Prüfung im Hintergrund

Du musst den Test nicht regelmäßig von Hand starten. Der Worker prüft alle Configserver alle fünf Minuten (Standard, einstellbar unter Einstellungen → Worker) auf dieselbe Weise und gleicht dabei die Depots jedes erreichbaren Servers ab. Das Ergebnis siehst du:

am Punkt vor dem Servernamen in der Depot-Liste, am Abzeichen erreichbar / nicht erreichbar und in „Zuletzt geprüft …“ im Formular
in der Zeile opsi-Server im Systemstatus, mit einem Eintrag je Configserver
als orangen Hinweis in der Statusleiste bei fehlendem Server, CA-Rotation oder bald ablaufender CA

Typische Fehler

Meldung	Ursache und Lösung
„Benutzer hat keine opsi-Admin-Rechte“	Der technische Benutzer ist kein opsi-Administrator. Nimm ihn auf dem Configserver in die opsi-Admin-Gruppe auf oder trag einen anderen Benutzer ein.
„… HTTP 403“	opsiconfd lehnt Admin-Aufrufe aus dem Netz von oPBWeb ab. Steht in der opsiconfd-Konfiguration `admin-networks`, muss das Docker-Netz des oPBWeb-Workers darin enthalten sein. Das passt die technische Administration an (siehe Fehlersuche ).
„Der Server liefert ein anderes CA-Zertifikat als hinterlegt (Rotation?)“	CA-Rotation auf dem Server, siehe CA-Rotation .
„Für den opsi-Server ist kein CA-Zertifikat hinterlegt (Depots → Configserver).“	TLS-Prüfung ist an, aber kein CA-Zertifikat gespeichert. Hol es mit Vom Server holen und speichere.
„CA nicht abrufbar: …“	Der Server ist unter der eingetragenen URL nicht erreichbar. Prüfe Hostname, Port (normalerweise 4447) und Erreichbarkeit vom oPBWeb-Server aus.
„Ein Configserver mit dieser URL ist bereits eingerichtet: …“	Der Server ist schon angelegt. Wähl ihn in der Liste aus, statt ihn ein zweites Mal hinzuzufügen.
„Depot … gehört bereits zum Configserver … und wird übersprungen“ (im Job-Protokoll)	Ein anderer eingerichteter Configserver meldet dasselbe Depot, etwa weil derselbe Server unter zwei URLs angelegt ist. Entferne den doppelten Eintrag.
Fehler beim Zertifikat trotz richtiger CA	Wahrscheinlich steht in der URL eine IP-Adresse statt des Hostnamens. Trag den FQDN ein.
„Der Server liefert kein abweichendes Zertifikat.“	Bei Neues Zertifikat übernehmen: Die Rotation wurde inzwischen schon übernommen. Nichts weiter zu tun.