# 4. Anwenderverwaltung

### 4.1 Worüber Sie sich zuerst Gedanken machen sollten

Eine wichtige Aufgabe der Systemverwalterin, bzw. des Systemverwalters ist die Verwaltung der Nutzerinnen und Nutzer auf dem Server. Doch bevor Sie damit loslegen, sollten Sie sich Gedanken über die Verwaltung machen. Üblicherweise gibt es drei verschiedene Gruppen von Zugängen:

- Stufe 1:
  Nutzer, die nur surfen dürfen, aber sonst keine Dienste nutzen sollen
- Stufe 2:
  Nutzer, die neben dem WWW auch E-Mail und News nutzen dürfen
- Stufe 3:
  Lehrer/innen und Schüler/innen mit erweiterten Befugnissen, die den Internetzugang schalten dürfen oder die Projektgruppenleiter/innen sind

Wenn Schüler und Schüerinnen das Internet gar nicht nutzen dürfen, so muss ihnen der Zugriff auf die entsprechende Software verweigert werden. Unter Windows 3.1x ist das kein Problem, aber bereits zu Windows 95b gehört der Internet-Explorer fast untrennbar zum Betriebssystem, unter Windows 98 ist er kaum noch zu entfernen.

Für die Stufe 1 sind keine Verwaltungsmaßnahmen zu treffen. Das WWW ist ein anonymer Dienst, jeder kann von einem beliebigen Terminal in einer Bibliothek, einem Internet-Café oder einem anderen öffentlichen Provider-Terminal surfen. Eine Beschränkung von Seiten des Kommunikationsservers gibt es nicht. Jeder, der Zugriff auf einen Browser hat, kann ins Internet. Einzig eine kostenpflichtige Telefonverbindung kann er nicht herstellen: Seiten aus dem Internet sind also nur dann erreichbar, wenn der Telefonzugang freigegeben wird.

Nutzer der Stufe 2 müssen einen Eintrag in der Benutzerverwaltung haben. Er gibt Schülerinnen und Schülern ein eigenes Heimatverzeichnis, ein Mail-Postfach und macht sie namentlich bekannt. Damit haben sie "Grundrechte" auf dem Server.

Nutzer/innen der Stufe 3 bekommen zunächst einen Zugang nach Stufe 2. Dann werden ihnen über die Benutzerverwaltung weitere Rechte zuerkannt: Es wird das Admin-Interface freigegeben, damit sie den Internet-Zugang öffnen können; sie werden in eine Projektgruppe eingeordnet, damit sie z.B. im Rahmen von Projekten gemeinsam arbeiten können.

Häufig wird auch gefordert, Universal-Zugänge zu haben, mit denen Schülerinnen und Schüler, ohne weitere Rechte zu haben, zumindest auf den Datei- und Druckserver zugreifen können. Hier werden wir im Kapitel 4.n einen weiteren Weg zeigen.

### 4.2 Anlegen einzelner Lehrer- und Schüler-zugänge

Sie rufen aus dem Menü "Anwender" den Punkt "Einzeln" auf.

Abbildung 9: Menü Anwender verwalten

Dann wählen Sie "Neu". Dort geben Sie nun zuerst den Nachnamen, im zweiten Punkt den Vornamen ein. Anschließend ordnen Sie zu: Lehrer oder Schüler, bei letzterem müssen Sie noch die Klasse, eine neue Klasse, oder eine bestehende Klasse zuordnen. Nun erzeugt der Server eine Anwenderkennung und bietet Sie Ihnen zur Korrektur an. Sie können die Kennung bestätigen oder eine andere angeben, je nach Wunsch. Die Kennung muss mindestens 3 und höchstens 8 Zeichen lang sein.

Die gemachten Angaben werden zunächst nur vorgemerkt. Als erstes Startpasswort wird die vergebene Kennung eingetragen. Der Nutzer bzw. die Nutzerin sollte schnellstens dieses Passwort ändern. Das geht über eine Telnet-Verbindung oder über das Online-Interface. Haben Sie alle Nutzer/innen in dieser Runde angelegt, gelangen Sie mit der Tabulatortaste auf "Cancel". Nun müssen Sie wie immer "AKTIVIEREN". Der Punkt ist im übergeordneten Menü "Anwender" zu finden.

Bevor Sie hier aber richtig loslegen, sollten Sie sich Kapitel 5.7 durchlesen und die dort beschriebenen Voreinstellungen für die neuen Nutzer treffen!

### 4.3 Anlegen von Klassen und Gruppen

Zur vereinfachten Verwaltung von Nutzer/innen bietet sich die Möglichkeit, eine Textdatei zu erstellen, die in einer beliebig langen Liste die Daten von Personen enthält, welche neuen Zugang zum Server erhalten Sollen. Die Datei muss das folgende Format aufweisen: Es muss eine schlichte ASCII-Textdatei sein. In jeder Zeile steht ein Nachname und dahinter, durch Leerzeichen getrennt, die/der Vornahme(n). Weitere Eintragungen darf die Datei nicht enthalten. Sie kann auf einer Diskette bereitgestellt werden oder in einem geeigneten Verzeichnis des Servers liegen.

Wenn Sie eine Diskette nutzen, müssen Sie zuerst die Diskette einklinken. Das passiert im Hauptmenü unter "Datenträger" und dort Diskette/CD-ROM einklinken. Sagen Sie nun, dass Sie keinen Schreibschutz wollen.

Zuerst will der Server die Klasse wissen, die er jetzt anlegen soll. Dann geben Sie den Pfad zur Datei an, z.B. "/a/kl8b.txt". Der Server liest den Anfang der Datei ein und zeigt ein mögliches Ergebnis an. Sind Sie damit einverstanden, antworten Sie mit "yes" und der Server beginnt mit seiner Arbeit. Er versucht aus den Angaben in der Datei jeweils eine Anwenderkennung zu machen, die aus dem ersten Buchstaben des Nachnamens und den (möglicherweise gekürzten) Vornamen besteht, also bekommt "Frank Müller" ein "mfrank" (wenn diese Kennung noch frei ist). Der Server wandelt die Umlaute zuvor um: Er wird als "Frank Mueller" im System geführt. Die Umlaute müssen dazu unter Windows erstellt sein. Umlaute unter DOS haben eine andere Kodierung und werden nicht umgesetzt - es kommt zu Fehlern.

Das Ergebnis des Einlesens der Nutzer schreibt der Server in eine Datei in das Verzeichnis, in dem auch die Ausgangsdatei stand. Wichtig: Der Datenträger muss beschreibbar sein, also Disketten nicht mit Schreibschutz versehen! Diese Datei erhält einen Namen in der Form "23415.txt", also einer Kennnummer und der Erweiterung ".txt". Dieser entnehmen Sie die vergebenen Anwenderkennungen, die Sie Ihren Schülern mitteilen müssen. Auch hier gilt: die neuen Nutzer sind zunächst nur vorgemerkt. Sie müssen wie üblich noch "AKTIVIEREN", damit sie endgültig ins System eingetragen werden.

Über das Menü "Gruppe" können Sie auch am Schuljahresende die Klasse ändern, denn aus der 8b wird schließlich mal eine 9b.

### 4.4 Die Shells

Jeder Anwender, bzw. jede Anwenderin bekommt zunächst einen soweit eingeschränkten Zugang zum System, dass damit lediglich das Passwort geändert werden kann. Damit wird ein Missbrauch des Zugangs weitgehend verhindert. Allerdings kann das im Zweifelsfall auch eine zu starke Einschränkung sein. Deshalb bietet der Server eine Anzahl anderer Zugangssoftware, sogenannter Shells.

Für Schülerinnen und Schüler zu empfehlen ist die Mini-Shell: eine einfache Menüoberfläche, mit der neben dem Ändern des Passworts auch das Lesen und Verfassen von Mails und Newsartikeln möglich ist. Außerdem bietet diese Shell einen Überblick über den Inhalt des Heimatverzeichnisses. Diese Mini-Shell können Sie natürlich auch Lehrern oder Lehrerinnen zuordnen. Der Vorteil dieser Shell: Hohe Sicherheit bei einigem Komfort für die Anwender/innen.

Daneben können Sie natürlich auch den üblichen Vollzugang zum System freigeben. Darunter leidet auf jeden Fall die Systemsicherheit. Allerdings können Schüler/innen nur so ein Linux-System wirklich kennenlernen. Wenn Sie also Linux zum Unterrichtsgegenstand machen wollen, müssen Sie den Vollzugang gewähren. Das sollte allerdings eher die Ausnahme bleiben.

Nur für Lehrer/innen gibt es noch eine weitere Möglichkeit: Die "Fachlehrer-Shell". Damit können diese auch besondere Aufgaben wahrnehmen: Dateien in die Heimatverzeichnisse von Schülern einer Gruppe kopieren (austeilen) oder in Gegenzug wieder einsammeln. Dazu erhalten diese Personen erweiterte Rechte im System.

Sie können nur dann die Shell eines Anwenders oder einer Anwenderin ändern, wenn er/sie bereits im System eingetragen wurde. Im Zweifelsfall also erst mal "AKTIVIEREN", wenn sie noch neue Einträge vorgemerkt haben.

Bei Lehrern und Lehrerinnen müssen Sie die Shell unter "Einzeln" ändern, bei Schülern und Schüerinnen können Sie auch ganzen Gruppen eine neue Shell zuweisen, so dass ein Kurs für eine bestimmte Zeit einen Vollzugang erhalten kann.

### 4.5 Freigeben des Admin-Interfaces

Neben dem Zugang zum Server direkt an der Server-Konsole oder später per Telnet kann man auch per Web-Browser einige Funktionen des Servers nutzen. So können Berechtigte ihr Passwort ändern, prüfen wer Post im Postfach hat oder eine Liste der eingetragenen Nutzerinnen und Nutzer des Systems einsehen.

Lehrer/innen oder ausgewählte Schüler/innen dürfen etwas mehr: Den Internet-Zugang über das Admin-Interface freigeben, dort Mail- und Newsaustausch auslösen, den Server-Status abfragen und vieles mehr. Dieser Teil ist das Admin-Interface.

Um Missbrauch vorzubeugen, muss das Admin-Interface für die Berechtigten jeweils freigeben werden. Das passiert unter "Anwender" --> "Einzeln" und den Punkt "Online". Dort können Sie nun einen Anwender oder eine Anwenderin neu eintragen, dessen/deren Admin-Online-Passwort ändern oder wieder löschen. Beim Neueintrag müssen Sie ein Passwort festlegen, das die Nutzerin oder der Nutzer selbst jederzeit über das Admin-Interface ändern kann.

Das Online-Passwort ist vom System-(Unix-)Passwort unabhängig. Der Sicherheit halber sollte es nicht mit dem Unix-Passwort übereinstimmen, weil hier eine erhöte Gefahr besteht, dass dieses 'Geheimnis' in unberechtigte Hände gelangt. Damit wären dann bei Übereinstimmung beider gleich alle Zugangsrechte schutzlos.

Sie erreichen das Online-Interface mit jedem Browser durch die Eingabe der URL http://www/online . Dort findet sich auch der Verweis auf das Admin-Interface unter der URL http://www/admin.

### 4.6 Aliases

Sie müssen noch ein paar kleine Dinge regeln, die sich aus den Gegebenheiten des Unix-änlichen Systems ableiten. Dazu zählt, dass der Server über viele seiner Tätigkeiten eine E-Mail erzeugt, in der Statusberichte, Fehlermeldungen und Warnungen enthalten sein können.

Der Server verteilt seine Mails meist nach dem „Verursacherprinzip“, also der Nutzer erhält die Mail, der den Prozess veranlasst hat. So gehen viele dieser Berichte an den Superuser „root“. Diese können Sie aber nur als root lesen, wenn Sie dessen/derren e-Mail bearbeiten. Das erfordert die Pflege von zwei mail-Postfächern und ist im Falle der Post von root in der Regel nicht sehr gewöhnungsfähig, weil root keine weitere 'persönliche Korrespondenz f¨hrt. Es kann somit günstiger sein, Mails an „root“ an Ihren eigenen, oder an einen anderen Account weiterzuleiten.

Dazu finden Sie im Menü „Anwender verwalten“ den Punkt „Alias“. Hier können Sie zwischen verschiedenen Punkten wählen:

Abbildung 10: Aliasverwaltung

In diesem Fall wählen Sie „Neu“. Geben Sie als Alias-Eintrag „root“ ein. Dann können Sie den Nutzer wählen, an den die Mails gehen sollen. Suchen Sie hier Ihre Kennung heraus.

Analog können Sie die Mails eines Nutzers weiterleiten lassen, z.B. ihre Mails während der Ferien an den privaten Zugang zu Hause. Über den Gruppeneintrag können Sie den vorhandenen Klassen eine Listenadresse geben. Die zugehörige Liste überarbeitet der Server jeweils nachts. So müssen Sie bei gerade neu eingerichteten Klassen noch einen Tag (oder besser gesagt: eine Nacht) warten, bis Sie den Eintrag vornehmen können.

### 4.7 Anlegen anderer Nutzer

Jeder Linux-Server verwaltet die Nutzer anhand eine Nummer. Es ist die „User Ident Number“, kurz UID. Arktur verwaltet nur Nutzer mit einer UID zwischen 1000 und 9999. Lehrer erhalten eine UID zwischen 1000 und 1999, Schüler eine zwischen 2000 und 9999.

Wenn Sie unabhängig von der "sysadm"-Oberfläche (als root) zusätzliche Nutzer verwalten wollen, legen Sie diese am besten zwischen einer UID von 500 bis 999 an. Damit vermeiden Sie Konflikte mit der serverspezifischen Nutzerverwaltung. Anderenfalls kommt es dazu, dass ihre mühsam eingetragenen Benutzer vom Server beim Anlegen oder Löschen weiterer Zugänge wieder verlorengehen.

Um die Arbeit mit den Benutzereinträgen etwas zu vereinfachen, sollten Sie diese Nutzer und Nutzerinnen am besten mit dem Tool „adduser“ anlegen. Dieses Script fragt nach allen Angaben, die es wissen muss, um einen neuen Nutzer oder eine neue Nutzerin anzulegen. Es erzeugt auch das Heimatverzeichnis dieser, wenn Sie der Abfrage zustimmen. Die Verfahrensweise bietet sich besonders an, um „Universalzugänge“ zum Server anzulegen. Eine Ausgabe sieht dann etwa so aus:

>     Kontrolle der Daten
>     --------------------
>     Login-Kennung   :     pc9
>     Gruppe          :     users
>     Zusätzl. Gruppen:     [none]

>     Real-Name       :     Schuelerrechner PC9

>     UID-Nummer      :     609
>     Home-Verzeichnis:     /home//pc9
>     Shell           :     /usr/bin/passwd

>     Ablaufdatum     :     never
>     Passwort bleibt erhalten         :    5000 Tage
>     Passwort wechselt spätestens nach:    10000 Tagen
>     Passwort noch gültig nach Ablauf :    14 Tage
>     Warnen vor Passwortablauf        :    14 Tage

>     Setze Password für diesen Nutzer.

>     Alles richtig [N/y] ?

Abbildung 11: Ausgabe von adduser

Noch ein wichtiger Tip: Das Script fragt unter anderem nach den Gültigkeiten des Passworts. Für die Universalzugänge geben Sie eine maximale „Haltbarkeit“ von 10000 Tagen an. Wenn Sie die „Mindesthaltbarkeit“ des Passworts auf „5000“ stellen, kann der Nutzer über 5000 Tage sein Passwort nicht selbst ändern. Damit kann verhindert werden, dass ein Schüler einfach das Passwort für „Platz1“ ändert. (Der Superuser „root“ kann das Passwort bei Bedarf jederzeit ändern.)

© Reiner Klaproth, 04.03.2000, überarbeitet und ergänzt durch Erwin Flohr, Red. c't, 13.06.2000