Konfiguration

Betriebsarten, Netz und Adressen, Antwortdatei, Zertifikate, DNS, Zeit und Sicherung.

Was die Einrichtung fragt, was die Antworten bewirken und wo danach was liegt. Die Domäne selbst – Benutzer, Freigaben, Gruppenrichtlinien, Kennwortrichtlinie – konfigurieren Sie in der Weboberfläche, siehe Handbuch.

Betriebsarten

Art	Was läuft wo
`docker` (Vorgabe)	Vier Container: Domänencontroller, Datei-, Druckserver, Weboberfläche. Mit dem Netz `macvlan` hat jeder eine eigene Adresse im LAN.
`lokal`	Samba, CUPS und die Weboberfläche direkt auf dem Rechner, mit den Paketen der Distribution.
`gemischt`	Je Baustein `docker` oder `lokal`; der Domänencontroller wird immer zuerst eingerichtet.

Auf einer Adresse kann nur ein Samba-Dienst Port 445 belegen. Laufen Datei- oder Druckserver auf derselben Adresse wie der Domänencontroller (lokal oder Docker mit dem Netz wirt), übernimmt der Domänencontroller die Freigabe Daten und die Drucker selbst.

Netz

Netz	Bedeutung
`macvlan` (Vorgabe bei Docker)	Jeder Container bekommt eine eigene feste Adresse im LAN, wie ein eigener Rechner. Der Rechner selbst erreicht die Container über die Brücke `vz-bruecke` mit einer weiteren Adresse (`VZ_WIRT_IP`).
`wirt`	Die Container teilen die Adresse des Rechners. Einfacher, aber dann übernimmt der Domänencontroller Datei- und Druckdienst.

Die Adressen müssen fest und ausserhalb des DHCP-Bereichs des Routers liegen. Docker Desktop (Windows, macOS) kann kein macvlan ins LAN – für den echten Betrieb braucht es einen Linux-Rechner.

Die Fragen der Einrichtung

Schlüssel	Bedeutung	Beispiel
`VZ_ART`	Betriebsart: `docker`, `lokal` oder `gemischt` (dann `VZ_ART_DC`, `VZ_ART_DATEI`, `VZ_ART_DRUCK`, `VZ_ART_VERWALTUNG` je `docker` oder `lokal`)	`docker`
`VZ_ROLLE`	`neu` für eine neue Domäne, `beitritt` als weiterer Domänencontroller einer bestehenden (dann `VZ_BEITRITT_DC=<adresse>`)	`neu`
`VZ_DOMAENE`	Name der Domäne, eine Unterdomäne einer eigenen Domain, nicht `.local`	`ad.firma.ch`
`VZ_NETBIOS`	Kurzname, höchstens 15 Zeichen (Vorgabe: erster Teil in Grossbuchstaben)	`AD`
`VZ_DC_NAME`	Rechnername des Domänencontrollers (Vorgabe: `dc1` in Docker, sonst der Name des Rechners)	`dc1`
`VZ_SCHNITTSTELLE`	Netzwerkschnittstelle ins LAN	`eth0`
`VZ_NETZ`	`macvlan` oder `wirt`	`macvlan`
`VZ_DC_IP`, `VZ_DATEI_IP`, `VZ_DRUCK_IP`, `VZ_VERWALTUNG_IP`	feste Adressen der vier Dienste	`192.168.1.10` … `.13`
`VZ_WIRT_IP`	nur bei `macvlan`: freie Adresse, über die der Rechner die Container erreicht	`192.168.1.14`
`VZ_DNS_WEITER`	DNS-Server für Namen ausserhalb der Domäne, meist der Router	`192.168.1.1`
`VZ_ZEITZONE`	Zeitzone	`Europe/Zurich`
`VZ_KENNWORT`	Kennwort des Administrators; leer: das Skript erzeugt eines und zeigt es einmal an	–

Antwortdatei

Mit einer Antwortdatei läuft die Einrichtung ohne Fragen. Die Vorlage liegt im Archiv unter dist/einrichten/antworten.beispiel:

cp dist/einrichten/antworten.beispiel antworten
nano antworten                     # Zeilen SCHLUESSEL=wert, siehe Tabelle oben
sudo ./dist/einrichten/verzeichnis-einrichten.sh --antworten antworten

Die Datei wird nur gelesen, nie ausgeführt. Fehlende Angaben fragt das Skript nach. Steht das Kennwort darin, die Datei nach der Einrichtung löschen.

Kennwort des Administrators

Das Kennwort landet nur kurz in je einer Datei pro Container (Rechte 0600) bzw. im lokalen Betrieb unter /run; jeder Container löscht seine Datei nach der Einrichtung, das Skript räumt den Rest weg. Danach steht es in keiner Datei, keiner Umgebungsvariable und keinem Protokoll. Ändern lässt es sich in der Weboberfläche unter Benutzer → Administrator → Kennwort.

Zertifikate

Die Einrichtung legt eine eigene Zertifikatsstelle der Domäne an und stellt damit die Zertifikate für LDAPS (Port 636) und die Weboberfläche aus.

Pfad auf dem Server	Inhalt
`/etc/kuonen-verzeichnis/zertifikate/ca.crt`	Zertifikatsstelle der Domäne – auf den PCs als vertrauenswürdige Stammzertifizierungsstelle eintragen
`/etc/kuonen-verzeichnis/zertifikate/dc/`	Zertifikat des Domänencontrollers für LDAPS
`SYSVOL\<domäne>\kuonen\ca.pem`	dieselbe Zertifikatsstelle für die Mac- und Linux-Clients (holen sie selbst)

DNS und Zeit

Der Domänencontroller ist der DNS-Server der Domäne. Die Geräte müssen ihn fragen: im Router per DHCP verteilen oder am Gerät eintragen. Namen ausserhalb der Domäne leitet er an VZ_DNS_WEITER weiter.
Kerberos braucht eine gleiche Uhrzeit auf allen Geräten (höchstens 5 Minuten Abweichung). Der Domänencontroller ist Zeitquelle der Domäne; die Ampel prüft die Abweichung.
Einträge der Zone ändern Sie in der Weboberfläche unter DNS.

Wo was liegt

Pfad	Inhalt
`/etc/kuonen-verzeichnis/`	Einstellungen der Einrichtung, Zertifikate, Compose-Datei (Docker)
`/var/lib/kuonen-verzeichnis/sicherungen/`	tägliche Sicherungen der Domäne (02:00 Uhr, die letzten 14)
`/var/lib/kuonen-verzeichnis/auftraege.jsonl`	Protokoll aller ändernden Aufträge an den Wärter, mit Benutzer
`/srv/freigaben/` bzw. Volume `datei-daten`	die Ordner der Freigaben
Volume `dc-samba` bzw. `/var/lib/samba`	die Datenbank der Domäne

Gruppenrichtlinien und Clients

Gruppenrichtlinien konfigurieren Sie in der Weboberfläche unter Richtlinien: anlegen, mit Domäne, OU oder Standort verknüpfen, Einstellungen im Katalog setzen. Windows wendet sie beim Start, bei der Anmeldung und alle 90 Minuten an, der Kuonen-Client auf Mac und Linux ebenso. Jede Karte sagt, für welche Systeme sie gilt. Einzelheiten: Gruppenrichtlinien und Für wen eine GPO gilt.

Die Kennwortrichtlinie der Domäne (Mindestlänge, Komplexität, Ablauf, Sperre) steht unter Richtlinien → Kennwortrichtlinie und gilt sofort für alle Konten.