EDV:OpenAFS: Difference between revisions

From KIP Wiki
⧌kip-jumptonavigation⧜⧌kip-jumptosearch⧜
No edit summary
 
(19 intermediate revisions by the same user not shown)
Line 1: Line 1:
[[Image:openafs-logo.jpg|framed|right|OpenAFS-Logo]]
[[Image:openafs-logo.jpg|framed|right|OpenAFS-Logo]]



== Allgemeines ==
== Allgemeines ==


Hier im [[KIP]] wird [http://www.openafs.org OpenAFS] als zentrales Dateisystem verwendet.
Hier im [[KIP]] wird [http://www.openafs.org OpenAFS] als zentrales Netzwerk-Dateisystem verwendet.


AFS (Andrew File System) ist ein Dateisystem, das die plattformĂŒbergreifende gleichzeitige Nutzung von Dateien zwischen mehreren Rechnern ermöglicht.
AFS (Andrew File System) ist ein Dateisystem, das die plattformĂŒbergreifende gleichzeitige Nutzung von Dateien zwischen mehreren Rechnern ermöglicht.
Es beinhaltet Funktionen zur Zugriffskontrolle ([ http://docs.openafs.org/UserGuide/ch04s02.html ACLs]), Authentifizierung (Kerberos), verschlĂŒsselte DatenĂŒbertragung (fcrypt) und einiges [[w:de:Andrew File System | mehr...]]
Es beinhaltet Funktionen zur Zugriffskontrolle (ACLs), Authentifizierung (Kerberos), verschlĂŒsselte DatenĂŒbertragung (fcrypt) und einiges [[w:de:Andrew File System | mehr...]]

UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.
Seit 2000 existiert eine eine parallele [[w:de:Open Source | Open Source]] Weiterentwicklung.


UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.<br />
Seit 2000 existiert eine parallele [[w:de:Open Source | Open Source]] Weiterentwicklung.


== Client Installation ==
== Client Installation ==
Line 18: Line 16:
fast alle Betriebssysteme kostenlos verfĂŒgbar.
fast alle Betriebssysteme kostenlos verfĂŒgbar.


* ''' [[AFS-Installationsanleitung-Windows | Installationsanleitung fĂŒr Windows ]]'''
* ''' [[EDV:OpenAFS/Windows | Installation Windows ]]'''


* ''' [[EDV:NewSystem/Debian_6#OpenAFS-Client | Installationsanleitung fĂŒr Linux]] '''
* ''' [[EDV:NewSystem/Debian_6#OpenAFS-Client | Installation Linux]] '''


* ''' [[EDV:OpenAFS/Install_mac_osx | Installationsanleitung fĂŒr Mac OS X]] '''
* ''' [[EDV:OpenAFS/Install_mac_osx | Installation Mac OS X]] '''




Weitere Informationen zum Thema:
* [[w:de:FAQ | FAQ]] fĂŒr das AFS im KIP: [[EDV:OpenAFS/FAQ | OpenAFS/FAQ ]]
* [[w:de:FAQ | FAQ]] fĂŒr das AFS im KIP: [[EDV:OpenAFS/FAQ | OpenAFS/FAQ ]]
* Das Orginal [http://docs.openafs.org/UserGuide/index.html OpenAFS User Guide]
* [[EDV_Privat:OpenAFS|EDV-interne Seite]] (AFS-Server-Administration)
* Das Rechenzentrum hat auch ein [[EDV:OpenAFS|AFS]]: http://www.urz.uni-heidelberg.de/datenhaltung/afs/
* Das Rechenzentrum hat auch ein [[EDV:OpenAFS|AFS]]: http://www.urz.uni-heidelberg.de/datenhaltung/afs/
* Hier ist eine schöne FAQ: http://www.angelfire.com/hi/plutonic/afs-faq.html


== Verwendung ==


Um mit dem AFS-Server arbeiten zu können, muss man sich zuerst [[EDV:OpenAFS/Verwendung/Authentisieren|authentifizieren]] (siehe auch [[w:de:Authentifizierung | Authentifizierung ]]), da man sonst nur die Reche der Gruppe ''system:anyuser'' (also Anonymous / Gast) erhÀlt. Mit diesen ist nur der Zugriff auf allgemeine (öffentliche) Dateien möglich. OpenAFS arbeitet dabei mittlerweile mit Kerberos Verion 5 ([http://www.kerberos.org/software/tutorial.html Kerberos]).
== [[EDV:OpenAFS/Verwendung|Verwendung]] ==
Man kann dazu auch die [[EDV:OpenAFS/FAQ| FAQ]] durchlesen, insbesondere: [[EDV:OpenAFS/FAQ#Was ist ein Ticket und/oder Token | "Was ist ein Ticket und/oder Token"]].

Um mit [[EDV:AFS|AFS]] arbeiten zu können, muss man sich erst [[EDV:OpenAFS/Verwendung/Authentisieren|authentisieren]] (siehe auch [[w:de:Authentisierung]]),
da man sonst nur die Reche der Gruppe '''system:anyuser''' (also Anonymous / Gast) erhÀlt.


Wegen der [[EDV:OpenAFS/Verwendung/ACLs|Rechte im AFS (Access Control Lists)]] werden von den Unix/Linux-Protection-Bits
Wegen der [[EDV:OpenAFS/Verwendung/ACLs|Rechte im AFS (Access Control Lists)]] werden von den Unix/Linux-Protection-Bits
fĂŒr User, Group und Others werden nur die von User verwendet - dies erfolgt, nachdem die ACL ausgewertet wurde.
fĂŒr User, Group und Others werden nur die von User verwendet - dies erfolgt, nachdem die ACL ausgewertet wurde.
Weitere Informationen zur [[EDV:OpenAFS/Verwendung|Benutzung von AFS]].

[[EDV:AFS|AFS]] arbeitet dabei mittlerweile mit Kerberos5-Token ([[w:de:Kerberos (Informatik)]]).

Man kann dazu auch die '''[[EDV:OpenAFS/FAQ| FAQ]]''' durchlesen, insbesondere: [[EDV:OpenAFS/FAQ#Was ist ein Ticket und/oder Token]].

{{Achtung|{{IconAchtung}} Wichtig fĂŒr AFS sind '''synchrone Zeiten''' der Systemuhren, deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe [[EDV:NTP|NTP]]).
Ansonsten kann es passieren, dass der Verbindungsaufbau fehl schlÀgt, obwohl alles passt.}}


{{Achtung|{{IconAchtung}} Wichtig fĂŒr AFS sind '''synchrone Zeiten''' der Systemuhren! Deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe [[EDV:NTP|NTP]]), sonst kann es passieren, dass die Authentifikation fehlschlĂ€gt.}}


== Wichtige Konfigurationsdateien ==
== Wichtige Konfigurationsdateien ==


Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen wo was steht das wichtig ist ;)
Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen, wo welche Einstellung steht ;)

Es kann auch die Konfiguration der verbindungsspezifischen Parameter vereinfachen.


Nachfolgend die wichtigsten KIP-AFS spezifischen Konfigurationsdateien.


=== CellServDB ===
=== CellServDB ===


In der '''CellServDB''' sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:
In der ''CellServDB'' sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:

<pre>
>kip.uni-heidelberg.de
>kip.uni-heidelberg.de
129.206.176.40 # ldap.kip.uni-heidelberg.de
129.206.176.40 # ldap.kip.uni-heidelberg.de
129.206.176.149 # ldap2.kip.uni-heidelberg.de
129.206.176.149 # ldap2.kip.uni-heidelberg.de
</pre>


{{Achtung|Achtung der 2. Teil ist nicht nur ein Kommentar, dort '''muss''' der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!}}
{{Achtung|Achtung der 2. Teil ist nicht nur ein Kommentar, dort '''muss''' der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!}}


Diese Datei befindet sich auch im AFS unter: '''/afs/kip/common/etc/''' oder im Web unter: '''http://kip1.kip.uni-heidelberg.de/CellServDB'''
Diese Datei befindet sich auch


* im AFS unter: '''/afs/kip/common/etc/CellServDB'''
und kann fĂŒr die Einstellungen genutzt bzw. einfach ins Konfigurationsverzeichnis kopiert werden.


* im Web unter: '''http://kip1.kip.uni-heidelberg.de/afs/common/etc/CellServDB'''
* unter Linux meist in: '''/etc/openafs/CellServDB ''' und unter Windows7 in: '''c:\ProgramData\Kerberos'''


und kann fĂŒr die Einstellungen genutzt, bzw. einfach ins Konfigurationsverzeichnis kopiert werden.
* unter Windows vermutlich in: '''C:\Programme\OpenAFS\Client\CellServDB'''


* unter Linux meist in: '''/etc/openafs/CellServDB '''


* unter Windows vermutlich in: '''C:\Programme\OpenAFS\Client\CellServDB'''
==== ThisCell ====


=== ThisCell ===
Unsere Zelle (Cell) im [[KIP]] ist natĂŒrlich '''kip.uni-heidelberg.de''', enthĂ€lt die '''ThisCell'''-Datei entsprechend nur den Eintrag:
kip.uni-heidelberg.de


Unsere Zelle (Cell) im [[KIP]] ist natĂŒrlich '''kip.uni-heidelberg.de''',somit enthĂ€lt die '''ThisCell'''-Datei entsprechend nur den Eintrag:
kip.uni-heidelberg.de


=== CellAlias (nur fĂŒr -dynroot) ===

==== CellAlias (nur fĂŒr -dynroot) ====


Wenn '''/afs dynamisch''' generiert wird, sollte die '''CellAlias'''-Datei folgendes beinhalten:
Wenn '''/afs dynamisch''' generiert wird, sollte die '''CellAlias'''-Datei folgendes beinhalten:
Line 88: Line 83:
Diese Datei muss gegebenenfalls im Konfigurationsverzeichnis des Clients erzeugt werden
Diese Datei muss gegebenenfalls im Konfigurationsverzeichnis des Clients erzeugt werden


unter Unix / Linux ist das meist: '''/etc/openafs/CellAlias''' oder '''/usr/vice/etc'''
* unter Unix / Linux ist das meist: '''/etc/openafs/CellAlias''' oder '''/usr/vice/etc'''


unter Windows:
* unter Windows: '''C:\Programme\OpenAFS\Client\CellServDB'''


NatĂŒrlich ist dieses Beispiel auch im AFS und kann von dort kopiert werden:
Dieses Beispiel auch im AFS und kann von dort aus kopiert werden:
cp /afs/kip.uni-heidelberg.de/common/etc/CellAlias /etc/openafs
cp /afs/kip.uni-heidelberg.de/common/etc/CellAlias /etc/openafs


Damit diese Datei neu eingelesen wird muss der AFS-Client neugestartet werden.
Damit diese Datei neu eingelesen wird, muss der AFS-Client neugestartet werden.
Wenn das nicht geht, können diese Aliase auch temporÀr manuell erzeugt werden:
Wenn das nicht geht, können diese Aliase auch temporÀr manuell erzeugt werden:
fs newalias kip kip.uni-heidelberg.de
fs newalias kip kip.uni-heidelberg.de
Line 102: Line 97:
fs listalias
fs listalias


=== krb5.conf ===

Die Datei krb5.conf (oder auch krb5.ini) beinhaltet Informationen ĂŒber den Kerberos-Realm, in dem sich der Client befindet.
Kerberos wird ĂŒber diese Text-Datei konfiguriert.

* im AFS unter: '''/afs/kip/common/etc/krb5.conf'''
* im Web unter: '''http://kip1.kip.uni-heidelberg.de/afs/common/etc/krb5.conf'''

Auf dem lokalen Client-System befindet sie sich:

* unter Linux in: '''/etc/krb5.conf '''

* unter Windows in: '''C:\ProgramData\Kerberos\krb5.conf'''

* oder auch in: '''C:\Windows\krb5.ini'''

und ihr Inhalt sieht in etwa so aus:
<pre>
### KIP krb5.conf - date: 21.11.2012 ###
[libdefaults]
allow_weak_crypto = true
default_realm = KIP.UNI-HEIDELBERG.DE
ticket_lifetime = 2d
renew_lifetime = 8d

# The following krb5.conf variables are only for MIT Kerberos.
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true
renewable = true


# The following libdefaults parameters are only for Heimdal Kerberos.
v4_instance_resolve = false
[realms]
KIP.UNI-HEIDELBERG.DE = {
kdc = ldap2.kip.uni-heidelberg.de
kdc = afsback.kip.uni-heidelberg.de
kdc = ldap.kip.uni-heidelberg.de
admin_server = ldap.kip.uni-heidelberg.de
}
[domain_realm]
.kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
[login]
krb4_convert = false
krb4_get_tickets = false
</pre>





Latest revision as of 13:51, 7 March 2013

OpenAFS-Logo

Allgemeines

Hier im KIP wird OpenAFS als zentrales Netzwerk-Dateisystem verwendet.

AFS (Andrew File System) ist ein Dateisystem, das die plattformĂŒbergreifende gleichzeitige Nutzung von Dateien zwischen mehreren Rechnern ermöglicht. Es beinhaltet Funktionen zur Zugriffskontrolle (ACLs), Authentifizierung (Kerberos), verschlĂŒsselte DatenĂŒbertragung (fcrypt) und einiges mehr...

UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.
Seit 2000 existiert eine parallele Open Source Weiterentwicklung.

Client Installation

Um sich mit dem AFS-Dateiserver zu verbinden, benötigt man (wer hĂ€tte das gedacht) eine entsprechende Client-Software. Diese ist fĂŒr fast alle Betriebssysteme kostenlos verfĂŒgbar.


Weitere Informationen zum Thema:

Verwendung

Um mit dem AFS-Server arbeiten zu können, muss man sich zuerst authentifizieren (siehe auch Authentifizierung ), da man sonst nur die Reche der Gruppe system:anyuser (also Anonymous / Gast) erhÀlt. Mit diesen ist nur der Zugriff auf allgemeine (öffentliche) Dateien möglich. OpenAFS arbeitet dabei mittlerweile mit Kerberos Verion 5 (Kerberos). Man kann dazu auch die FAQ durchlesen, insbesondere: "Was ist ein Ticket und/oder Token".

Wegen der Rechte im AFS (Access Control Lists) werden von den Unix/Linux-Protection-Bits fĂŒr User, Group und Others werden nur die von User verwendet - dies erfolgt, nachdem die ACL ausgewertet wurde. Weitere Informationen zur Benutzung von AFS.

Achtung.svg Wichtig fĂŒr AFS sind synchrone Zeiten der Systemuhren! Deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe NTP), sonst kann es passieren, dass die Authentifikation fehlschlĂ€gt.

Wichtige Konfigurationsdateien

Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen, wo welche Einstellung steht ;)

Nachfolgend die wichtigsten KIP-AFS spezifischen Konfigurationsdateien.

CellServDB

In der CellServDB sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:

 >kip.uni-heidelberg.de
 129.206.176.40          # ldap.kip.uni-heidelberg.de
 129.206.176.149         # ldap2.kip.uni-heidelberg.de
Achtung der 2. Teil ist nicht nur ein Kommentar, dort muss der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!

Diese Datei befindet sich auch

  • im AFS unter: /afs/kip/common/etc/CellServDB

und kann fĂŒr die Einstellungen genutzt, bzw. einfach ins Konfigurationsverzeichnis kopiert werden.

  • unter Linux meist in: /etc/openafs/CellServDB
  • unter Windows vermutlich in: C:\Programme\OpenAFS\Client\CellServDB

ThisCell

Unsere Zelle (Cell) im KIP ist natĂŒrlich kip.uni-heidelberg.de,somit enthĂ€lt die ThisCell-Datei entsprechend nur den Eintrag:

kip.uni-heidelberg.de

CellAlias (nur fĂŒr -dynroot)

Wenn /afs dynamisch generiert wird, sollte die CellAlias-Datei folgendes beinhalten:

kip.uni-heidelberg.de   kip
alihlt.cern.ch          alihlt
urz.uni-heidelberg.de   urz

Diese Datei muss gegebenenfalls im Konfigurationsverzeichnis des Clients erzeugt werden

  • unter Unix / Linux ist das meist: /etc/openafs/CellAlias oder /usr/vice/etc
  • unter Windows: C:\Programme\OpenAFS\Client\CellServDB

Dieses Beispiel auch im AFS und kann von dort aus kopiert werden:

cp /afs/kip.uni-heidelberg.de/common/etc/CellAlias /etc/openafs

Damit diese Datei neu eingelesen wird, muss der AFS-Client neugestartet werden. Wenn das nicht geht, können diese Aliase auch temporÀr manuell erzeugt werden:

fs newalias kip kip.uni-heidelberg.de
fs newalias alihlt alihlt.cern.ch
fs newalias urz urz.uni-heidelberg.de
fs listalias

krb5.conf

Die Datei krb5.conf (oder auch krb5.ini) beinhaltet Informationen ĂŒber den Kerberos-Realm, in dem sich der Client befindet. Kerberos wird ĂŒber diese Text-Datei konfiguriert.

Auf dem lokalen Client-System befindet sie sich:

  • unter Linux in: /etc/krb5.conf
  • unter Windows in: C:\ProgramData\Kerberos\krb5.conf
  • oder auch in: C:\Windows\krb5.ini

und ihr Inhalt sieht in etwa so aus:

### KIP krb5.conf - date: 21.11.2012 ###
 
[libdefaults]
allow_weak_crypto = true
default_realm = KIP.UNI-HEIDELBERG.DE
ticket_lifetime = 2d
renew_lifetime = 8d

# The following krb5.conf variables are only for MIT Kerberos.
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true
renewable = true

# The following libdefaults parameters are only for Heimdal Kerberos.
v4_instance_resolve = false
	
[realms]
KIP.UNI-HEIDELBERG.DE = {
kdc = ldap2.kip.uni-heidelberg.de
kdc = afsback.kip.uni-heidelberg.de
kdc = ldap.kip.uni-heidelberg.de
admin_server = ldap.kip.uni-heidelberg.de
}
	
[domain_realm]
.kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
	
[login]
krb4_convert = false
krb4_get_tickets = false


Ein etwas Àlteres Beispiel: Installation des Clients im KIP: EDV:OpenAFS/Install_winxp