EDV:OpenAFS: Difference between revisions

From KIP Wiki
⧌kip-jumptonavigation⧜⧌kip-jumptosearch⧜
No edit summary
 
(15 intermediate revisions by the same user not shown)
Line 1: Line 1:
[[Image:openafs-logo.jpg|framed|right|OpenAFS-Logo]]
[[Image:openafs-logo.jpg|framed|right|OpenAFS-Logo]]



== Allgemeines ==
== Allgemeines ==
Line 10: Line 9:


UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.<br />
UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.<br />
Seit 2000 existiert eine eine parallele [[w:de:Open Source | Open Source]] Weiterentwicklung.
Seit 2000 existiert eine parallele [[w:de:Open Source | Open Source]] Weiterentwicklung.



== Client Installation ==
== Client Installation ==
Line 18: Line 16:
fast alle Betriebssysteme kostenlos verfĂŒgbar.
fast alle Betriebssysteme kostenlos verfĂŒgbar.


* ''' [[AFS-Installationsanleitung-Windows | Installationsanleitung fĂŒr Windows ]]'''
* ''' [[EDV:OpenAFS/Windows | Installation Windows ]]'''


* ''' [[EDV:NewSystem/Debian_6#OpenAFS-Client | Installationsanleitung fĂŒr Linux]] '''
* ''' [[EDV:NewSystem/Debian_6#OpenAFS-Client | Installation Linux]] '''


* ''' [[EDV:OpenAFS/Install_mac_osx | Installationsanleitung fĂŒr Mac OS X]] '''
* ''' [[EDV:OpenAFS/Install_mac_osx | Installation Mac OS X]] '''




Weitere informative Resourcen zum Thema:
Weitere Informationen zum Thema:
* [[w:de:FAQ | FAQ]] fĂŒr das AFS im KIP: [[EDV:OpenAFS/FAQ | OpenAFS/FAQ ]]
* [[w:de:FAQ | FAQ]] fĂŒr das AFS im KIP: [[EDV:OpenAFS/FAQ | OpenAFS/FAQ ]]
* Das Orginal [http://docs.openafs.org/UserGuide/index.html OpenAFS User Guide]
* [[EDV_Privat:OpenAFS|EDV-interne Seite]] (AFS-Server-Administration)
* Das Rechenzentrum hat auch ein [[EDV:OpenAFS|AFS]]: http://www.urz.uni-heidelberg.de/datenhaltung/afs/
* Das Rechenzentrum hat auch ein [[EDV:OpenAFS|AFS]]: http://www.urz.uni-heidelberg.de/datenhaltung/afs/
* Hier ist eine schöne FAQ: http://www.angelfire.com/hi/plutonic/afs-faq.html



== Verwendung ==
== Verwendung ==


Um mit dem AFS-Server arbeiten zu können, muss man sich zuerst [[EDV:OpenAFS/Verwendung/Authentisieren|authentifizieren]] (siehe auch [[w:de:Authentifizierung | Authentifizierung ]]), da man sonst nur die Reche der Gruppe ''system:anyuser'' (also Anonymous / Gast) erhÀlt. Mit diesen ist nur der Zugriff auf allgemeine (öffentliche) Dateien Dateien möglich. OpenAFS arbeitet dabei mittlerweile mit Kerberos Verion 5 ([[w:de:Kerberos (Informatik)| Kerberos]]).
Um mit dem AFS-Server arbeiten zu können, muss man sich zuerst [[EDV:OpenAFS/Verwendung/Authentisieren|authentifizieren]] (siehe auch [[w:de:Authentifizierung | Authentifizierung ]]), da man sonst nur die Reche der Gruppe ''system:anyuser'' (also Anonymous / Gast) erhÀlt. Mit diesen ist nur der Zugriff auf allgemeine (öffentliche) Dateien möglich. OpenAFS arbeitet dabei mittlerweile mit Kerberos Verion 5 ([http://www.kerberos.org/software/tutorial.html Kerberos]).
Man kann dazu auch die [[EDV:OpenAFS/FAQ| FAQ]] durchlesen, insbesondere: [[EDV:OpenAFS/FAQ#Was ist ein Ticket und/oder Token | "Was ist ein Ticket und/oder Token"]].
Man kann dazu auch die [[EDV:OpenAFS/FAQ| FAQ]] durchlesen, insbesondere: [[EDV:OpenAFS/FAQ#Was ist ein Ticket und/oder Token | "Was ist ein Ticket und/oder Token"]].



Wegen der [[EDV:OpenAFS/Verwendung/ACLs|Rechte im AFS (Access Control Lists)]] werden von den Unix/Linux-Protection-Bits
Wegen der [[EDV:OpenAFS/Verwendung/ACLs|Rechte im AFS (Access Control Lists)]] werden von den Unix/Linux-Protection-Bits
Line 42: Line 37:
Weitere Informationen zur [[EDV:OpenAFS/Verwendung|Benutzung von AFS]].
Weitere Informationen zur [[EDV:OpenAFS/Verwendung|Benutzung von AFS]].


{{Achtung|{{IconAchtung}} Wichtig fĂŒr AFS sind '''synchrone Zeiten''' der Systemuhren! Deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe [[EDV:NTP|NTP]]), sonst kann es passieren, dass die Authentifikation fehlschlĂ€gt.}}

{{Achtung|{{IconAchtung}} Wichtig fĂŒr AFS sind '''synchrone Zeiten''' der Systemuhren! Deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe [[EDV:NTP|NTP]]).}}, sonst kann es passieren, dass der Verbindungsaufbau fehl schlĂ€gt.



== Wichtige Konfigurationsdateien ==
== Wichtige Konfigurationsdateien ==


Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen wo welche Einstellung steht ;)
Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen, wo welche Einstellung steht ;)


Nachfolgend die wichtigsten KIP-AFS spezifischen Konfigurationsdateien.
Nachfolgend die wichtigsten KIP-AFS spezifischen Konfigurationsdateien.



=== CellServDB ===
=== CellServDB ===


In der ''CellServDB'' sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:
In der ''CellServDB'' sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:

<pre>
>kip.uni-heidelberg.de
>kip.uni-heidelberg.de
129.206.176.40 # ldap.kip.uni-heidelberg.de
129.206.176.40 # ldap.kip.uni-heidelberg.de
129.206.176.149 # ldap2.kip.uni-heidelberg.de
129.206.176.149 # ldap2.kip.uni-heidelberg.de
</pre>


{{Achtung|Achtung der 2. Teil ist nicht nur ein Kommentar, dort '''muss''' der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!}}
{{Achtung|Achtung der 2. Teil ist nicht nur ein Kommentar, dort '''muss''' der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!}}
Line 66: Line 61:
* im AFS unter: '''/afs/kip/common/etc/CellServDB'''
* im AFS unter: '''/afs/kip/common/etc/CellServDB'''


* im Web unter: http://kip1.kip.uni-heidelberg.de/CellServDB
* im Web unter: '''http://kip1.kip.uni-heidelberg.de/afs/common/etc/CellServDB'''


und kann fĂŒr die Einstellungen genutzt, bzw. einfach ins Konfigurationsverzeichnis kopiert werden.
und kann fĂŒr die Einstellungen genutzt, bzw. einfach ins Konfigurationsverzeichnis kopiert werden.
Line 73: Line 68:


* unter Windows vermutlich in: '''C:\Programme\OpenAFS\Client\CellServDB'''
* unter Windows vermutlich in: '''C:\Programme\OpenAFS\Client\CellServDB'''



=== ThisCell ===
=== ThisCell ===


Unsere Zelle (Cell) im [[KIP]] ist natĂŒrlich '''kip.uni-heidelberg.de''', enthĂ€lt die '''ThisCell'''-Datei entsprechend nur den Eintrag:
Unsere Zelle (Cell) im [[KIP]] ist natĂŒrlich '''kip.uni-heidelberg.de''',somit enthĂ€lt die '''ThisCell'''-Datei entsprechend nur den Eintrag:
kip.uni-heidelberg.de
kip.uni-heidelberg.de



=== CellAlias (nur fĂŒr -dynroot) ===
=== CellAlias (nur fĂŒr -dynroot) ===
Line 103: Line 96:
fs newalias urz urz.uni-heidelberg.de
fs newalias urz urz.uni-heidelberg.de
fs listalias
fs listalias



=== krb5.conf ===
=== krb5.conf ===


Die Datei krb5.conf beinhaltet Informationen ĂŒber den Kerberos-Realm, in dem sich der Client befindet.
Die Datei krb5.conf (oder auch krb5.ini) beinhaltet Informationen ĂŒber den Kerberos-Realm, in dem sich der Client befindet.
Kerberos wird ĂŒber diese Datei Konfiguriert.
Kerberos wird ĂŒber diese Text-Datei konfiguriert.


* im AFS abgelegt unter: '''/afs/kip/common/etc/krb5.conf'''
* im AFS unter: '''/afs/kip/common/etc/krb5.conf'''
* im Web unter: '''http://kip1.kip.uni-heidelberg.de/afs/common/etc/krb5.conf'''


Auf dem lokalen Client-System befindet sie sich:
Auf dem lokalen Client-System befindet sie sich:
Line 116: Line 109:
* unter Linux in: '''/etc/krb5.conf '''
* unter Linux in: '''/etc/krb5.conf '''


* unter Windows in: '''C:\ProgramData\Kerberos\krb5.conf'''
* unter Windows in: '''C:\ProgramData\Kerberos\krb5.conf'''


* oder auch in: '''C:\Windows\krb5.ini'''
und sieht in etwa so aus:

und ihr Inhalt sieht in etwa so aus:
<pre>
<pre>
### KIP krb5.conf - date: 21.11.2012 ###
[libdefaults]
[libdefaults]
allow_weak_crypto = true
default_realm = KIP.UNI-HEIDELBERG.DE
default_realm = KIP.UNI-HEIDELBERG.DE
ticket_lifetime = 2d
ticket_lifetime = 2d
renew_lifetime = 8d
renew_lifetime = 8d


# The following krb5.conf variables are only for MIT Kerberos.
# The following krb5.conf variables are only for MIT Kerberos.
kdc_timesync = 1
krb4_config = /etc/krb.conf
ccache_type = 4
krb4_realms = /etc/krb.realms
forwardable = true
kdc_timesync = 1
proxiable = true
ccache_type = 4
forwardable = true
renewable = true
proxiable = true
renewable = true

# The following encryption type specification will be used by MIT Kerberos
# if uncommented. In general, the defaults in the MIT Kerberos code
# are correct and overriding these specifications only serves to disable
# new encryption types as they are added, creating interoperability problems.
# default_tgs_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1 des-cbc-crc des-cbc-md5
# default_tkt_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1 des-cbc-crc des-cbc-md5
# permitted_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1 des-cbc-crc des-cbc-md5


# The following libdefaults parameters are only for Heimdal Kerberos.
# The following libdefaults parameters are only for Heimdal Kerberos.
v4_instance_resolve = false
v4_instance_resolve = false
v4_name_convert = {
host = {
rcmd = host
ftp = ftp
}
plain = {
something = something-else
}
}

[realms]
[realms]
KIP.UNI-HEIDELBERG.DE = {
KIP.UNI-HEIDELBERG.DE = {
kdc = ldap2.kip.uni-heidelberg.de
kdc = ldap2.kip.uni-heidelberg.de
kdc = afsback.kip.uni-heidelberg.de
kdc = afsback.kip.uni-heidelberg.de
kdc = ldap.kip.uni-heidelberg.de
kdc = ldap.kip.uni-heidelberg.de
admin_server = ldap.kip.uni-heidelberg.de
admin_server = ldap.kip.uni-heidelberg.de
}
}

[domain_realm]
[domain_realm]
.kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
.kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE

[login]
[login]
krb4_convert = false
krb4_convert = false
krb4_get_tickets = false
krb4_get_tickets = false

</pre>
</pre>











Latest revision as of 13:51, 7 March 2013

OpenAFS-Logo

Allgemeines

Hier im KIP wird OpenAFS als zentrales Netzwerk-Dateisystem verwendet.

AFS (Andrew File System) ist ein Dateisystem, das die plattformĂŒbergreifende gleichzeitige Nutzung von Dateien zwischen mehreren Rechnern ermöglicht. Es beinhaltet Funktionen zur Zugriffskontrolle (ACLs), Authentifizierung (Kerberos), verschlĂŒsselte DatenĂŒbertragung (fcrypt) und einiges mehr...

UrsprĂŒnglich wurde es an der Carnegie Mellon UniversitĂ€t entwickelt, und danach von der Transarc Corporation, die 1994 von IBM ĂŒbernommen wurde, vermarktet.
Seit 2000 existiert eine parallele Open Source Weiterentwicklung.

Client Installation

Um sich mit dem AFS-Dateiserver zu verbinden, benötigt man (wer hĂ€tte das gedacht) eine entsprechende Client-Software. Diese ist fĂŒr fast alle Betriebssysteme kostenlos verfĂŒgbar.


Weitere Informationen zum Thema:

Verwendung

Um mit dem AFS-Server arbeiten zu können, muss man sich zuerst authentifizieren (siehe auch Authentifizierung ), da man sonst nur die Reche der Gruppe system:anyuser (also Anonymous / Gast) erhÀlt. Mit diesen ist nur der Zugriff auf allgemeine (öffentliche) Dateien möglich. OpenAFS arbeitet dabei mittlerweile mit Kerberos Verion 5 (Kerberos). Man kann dazu auch die FAQ durchlesen, insbesondere: "Was ist ein Ticket und/oder Token".

Wegen der Rechte im AFS (Access Control Lists) werden von den Unix/Linux-Protection-Bits fĂŒr User, Group und Others werden nur die von User verwendet - dies erfolgt, nachdem die ACL ausgewertet wurde. Weitere Informationen zur Benutzung von AFS.

Achtung.svg Wichtig fĂŒr AFS sind synchrone Zeiten der Systemuhren! Deshalb sollte auf jedem Client die Uhrzeit auch stimmen (siehe NTP), sonst kann es passieren, dass die Authentifikation fehlschlĂ€gt.

Wichtige Konfigurationsdateien

Falls es mal zu Problemen mit dem OpenAFS-Client kommt, ist es gut zu wissen, wo welche Einstellung steht ;)

Nachfolgend die wichtigsten KIP-AFS spezifischen Konfigurationsdateien.

CellServDB

In der CellServDB sollte fĂŒr die KIP-Zelle folgender Eintrag stehen:

 >kip.uni-heidelberg.de
 129.206.176.40          # ldap.kip.uni-heidelberg.de
 129.206.176.149         # ldap2.kip.uni-heidelberg.de
Achtung der 2. Teil ist nicht nur ein Kommentar, dort muss der vollstĂ€ndige Name des Servers stehen (fĂŒr aklog)!

Diese Datei befindet sich auch

  • im AFS unter: /afs/kip/common/etc/CellServDB

und kann fĂŒr die Einstellungen genutzt, bzw. einfach ins Konfigurationsverzeichnis kopiert werden.

  • unter Linux meist in: /etc/openafs/CellServDB
  • unter Windows vermutlich in: C:\Programme\OpenAFS\Client\CellServDB

ThisCell

Unsere Zelle (Cell) im KIP ist natĂŒrlich kip.uni-heidelberg.de,somit enthĂ€lt die ThisCell-Datei entsprechend nur den Eintrag:

kip.uni-heidelberg.de

CellAlias (nur fĂŒr -dynroot)

Wenn /afs dynamisch generiert wird, sollte die CellAlias-Datei folgendes beinhalten:

kip.uni-heidelberg.de   kip
alihlt.cern.ch          alihlt
urz.uni-heidelberg.de   urz

Diese Datei muss gegebenenfalls im Konfigurationsverzeichnis des Clients erzeugt werden

  • unter Unix / Linux ist das meist: /etc/openafs/CellAlias oder /usr/vice/etc
  • unter Windows: C:\Programme\OpenAFS\Client\CellServDB

Dieses Beispiel auch im AFS und kann von dort aus kopiert werden:

cp /afs/kip.uni-heidelberg.de/common/etc/CellAlias /etc/openafs

Damit diese Datei neu eingelesen wird, muss der AFS-Client neugestartet werden. Wenn das nicht geht, können diese Aliase auch temporÀr manuell erzeugt werden:

fs newalias kip kip.uni-heidelberg.de
fs newalias alihlt alihlt.cern.ch
fs newalias urz urz.uni-heidelberg.de
fs listalias

krb5.conf

Die Datei krb5.conf (oder auch krb5.ini) beinhaltet Informationen ĂŒber den Kerberos-Realm, in dem sich der Client befindet. Kerberos wird ĂŒber diese Text-Datei konfiguriert.

Auf dem lokalen Client-System befindet sie sich:

  • unter Linux in: /etc/krb5.conf
  • unter Windows in: C:\ProgramData\Kerberos\krb5.conf
  • oder auch in: C:\Windows\krb5.ini

und ihr Inhalt sieht in etwa so aus:

### KIP krb5.conf - date: 21.11.2012 ###
 
[libdefaults]
allow_weak_crypto = true
default_realm = KIP.UNI-HEIDELBERG.DE
ticket_lifetime = 2d
renew_lifetime = 8d

# The following krb5.conf variables are only for MIT Kerberos.
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true
renewable = true

# The following libdefaults parameters are only for Heimdal Kerberos.
v4_instance_resolve = false
	
[realms]
KIP.UNI-HEIDELBERG.DE = {
kdc = ldap2.kip.uni-heidelberg.de
kdc = afsback.kip.uni-heidelberg.de
kdc = ldap.kip.uni-heidelberg.de
admin_server = ldap.kip.uni-heidelberg.de
}
	
[domain_realm]
.kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
kip.uni-heidelberg.de = KIP.UNI-HEIDELBERG.DE
	
[login]
krb4_convert = false
krb4_get_tickets = false


Ein etwas Àlteres Beispiel: Installation des Clients im KIP: EDV:OpenAFS/Install_winxp