Ersteinrichtung

Rolle: Administrator

Überblick

Nach der Installation ist oPBWeb erreichbar, kennt aber noch keinen opsi-Server und hat nur ein Konto: den ersten Administrator. In der Ersteinrichtung meldest du dich mit diesem Konto an, änderst sein Passwort, verbindest oPBWeb mit einem oder mehreren opsi-Configservern, legst die Stufen der Depots fest und richtest die ersten Benutzer ein.

Du brauchst dafür das Admin-Passwort aus secrets/admin_password.txt, die Zugangsdaten des technischen opsi-Benutzers und einen Shell-Zugang zum Configserver, um den Fingerabdruck des CA-Zertifikats zu prüfen.

1. Als Administrator anmelden

1. Öffne oPBWeb im Browser, zum Beispiel https://opbweb.example.local/.

   

2. Trage bei Benutzername admin ein (bzw. den Wert von ADMIN_USERNAME aus der .env).

3. Trage bei Passwort das Passwort aus secrets/admin_password.txt ein.

4. Klicke auf Anmelden.

Nach der Anmeldung siehst du die Paketliste. Unten in der Statusleiste erscheint der orange Hinweis „Kein Configserver eingerichtet“, bis du den ersten Configserver eingerichtet hast.

2. Admin-Passwort ändern

Das erzeugte Passwort steht im Klartext in secrets/admin_password.txt. Ändere es deshalb direkt nach der ersten Anmeldung:

1. Klicke oben rechts auf deinen Avatar (die Initialen).
2. Wähle Passwort ändern.
3. Trage das Aktuelle Passwort ein, dann zweimal das neue Passwort in Neues Passwort und Neues Passwort wiederholen. Das Passwort muss mindestens 10 Zeichen lang sein.
4. Klicke auf Speichern.

Die Datei secrets/admin_password.txt wird dabei nicht geändert. Sie wird nur ausgewertet, solange noch kein Benutzer existiert, also beim allerersten Start.

3. Configserver einrichten

oPBWeb kann mit mehreren opsi-Configservern arbeiten, zum Beispiel einem Test- und einem Produktivsystem. Du legst sie in der Ansicht Depots an; das Passwort wird verschlüsselt in der Datenbank gespeichert und nur vom Worker entschlüsselt. Für jeden weiteren Configserver wiederholst du die folgenden Schritte.

1. Klicke in der Aktivitätsleiste links auf Depots.

2. Klicke im Kopf der linken Liste auf + („Neuer Configserver“).

3. Trage folgende Werte ein:

   • Name – eine Bezeichnung, zum Beispiel Configserver. Lässt du das Feld leer, wird der Hostname aus der URL verwendet.
   • URL des Configservers – vollständiger Hostname mit Port 4447, zum Beispiel https://opsi.example.local:4447. Verwende den FQDN, nicht die IP-Adresse: Das Zertifikat von opsiconfd lautet auf den Namen.
   • Technischer Benutzer – der opsi-Benutzer mit Admin-Rechten (Vorgabe opsiadm).
   • Passwort – das Passwort dieses Benutzers.
   • Stufe – Produktion (Vorgabe), Staging oder Test. Für einen Testserver wählst du Test; alle Depots des Servers übernehmen diese Stufe (siehe Schritt 4 ).

4. Lass TLS-Zertifikat des Servers prüfen (empfohlen) eingeschaltet.

5. Klicke unter VERTRAUTES CA-ZERTIFIKAT auf Vom Server holen. oPBWeb lädt das CA-Zertifikat des Configservers und zeigt es im Dialog CA-Zertifikat des Servers mit seinem SHA-256-Fingerabdruck an.

6. Ermittle auf dem Configserver den Fingerabdruck der opsi-CA:

   openssl x509 -in /etc/opsi/ssl/opsi-ca-cert.pem -noout -fingerprint -sha256
   

7. Vergleiche beide Fingerabdrücke. Stimmen sie überein, klicke auf Vertrauen. Weichen sie ab, brich ab und kläre, mit welchem Server du tatsächlich verbunden bist.

8. Klicke auf Hinzufügen. Die Meldung „Configserver gespeichert“ bestätigt das.

   

Direkt nach dem Hinzufügen startet oPBWeb Verbindung testen für den neuen Server. Der Test prüft Anmeldung, Admin-Rechte und opsi-Version und liest die Depots des Configservers; sie erscheinen danach in der Liste unter dem Server. War er erfolgreich, wird der Punkt vor dem Servernamen grün und das Abzeichen im Formular zeigt „erreichbar“. Später kannst du den Test im Formular des Servers mit Verbindung testen jederzeit wiederholen.

Unter dem CA-Zertifikat siehst du danach eine Zeile wie „Zuletzt geprüft … · opsi 4.3 … · 2 Depots“.

Schlägt der Test fehl, prüfe die häufigsten Ursachen:

Weitere Ursachen beschreibt das Kapitel Fehlersuche . Alle Funktionen des Formulars, auch das Entfernen eines Configservers und den Wechsel des CA-Zertifikats bei einer Rotation, erklärt das Kapitel Configserver .

4. Depot-Stufen festlegen

Mit dem erfolgreichen Verbindungstest liest oPBWeb die Depots vom Configserver. Danach gleicht der Worker die Depots aller Configserver alle 5 Minuten automatisch ab; unter Depots kannst du mit Abgleichen (ein Configserver) oder ⟳ (alle Configserver) auch selbst einen Abgleich anstoßen.

Jedes Depot hat eine Stufe: Test, Staging oder Produktion. Packager dürfen auf Test- und Staging-Depots installieren, auf produktive Depots nur Releaser. Ein Depot erbt die Stufe seines Configservers; das erkennst du am kursiven Abzeichen. Hast du die Stufe beim Configserver schon passend gewählt, ist hier nichts mehr zu tun.

Sollen einzelne Depots von der Stufe ihres Configservers abweichen, zum Beispiel ein Test-Depot an einem produktiven Configserver, stellst du die Stufe am Depot selbst um:

1. Klicke in der Aktivitätsleiste auf Depots.

2. Wähle links das Depot aus.

3. Wähle im Bereich Einstellungen bei Stufe den gewünschten Wert, zum Beispiel Test. Mit „wie Configserver (…)“ erbt das Depot wieder die Stufe seines Servers.

   

4. Klicke auf Speichern. Die Meldung „Einstellungen gespeichert“ bestätigt die Änderung, und das Depot trägt in der Liste das Abzeichen Test.

5. Wiederhole die Schritte für alle weiteren abweichenden Depots.

Die weiteren Depot-Einstellungen (Dienst-URL, Aktiv) beschreibt das Kapitel Depot-Verwaltung .

5. Erste Benutzer anlegen

Lege für alle, die mit oPBWeb arbeiten, eigene Konten an, statt das Admin-Konto zu teilen:

1. Klicke in der Aktivitätsleiste auf Benutzer und Rollen.
2. Klicke auf Neuer Benutzer.
3. Fülle Benutzername, Rolle, Name, E-Mail, Standardsprache und Neues Passwort aus und klicke auf Anlegen.

Welche Rolle was darf und wie du Konten später bearbeitest, sperrst oder löschst, steht im Kapitel Benutzer und Rollen .

6. Optional: Anmeldung über LDAP

Zusätzlich zu lokalen Konten können sich Benutzer mit ihrem Verzeichniskonto (LDAP oder Active Directory) anmelden. Die Rolle ergibt sich dann bei jeder Anmeldung aus der Gruppenmitgliedschaft. Die Einrichtung erfolgt über die .env und ist Aufgabe der technischen Administration, siehe LDAP-Anmeldung .

Ergebnis

Nach der Ersteinrichtung:

• ist das Admin-Passwort geändert,
• sind die Configserver eingerichtet und „erreichbar“, die Statusleiste zeigt keinen opsi-Hinweis mehr,
• sind die Depots bekannt und haben die richtige Stufe (Test, Staging oder Produktion),
• können sich die ersten Benutzer anmelden.

Wie die Arbeit in oPBWeb dann aussieht, zeigt das Kapitel Erste Schritte .