Kolab Groupware

• Hinweise zur Samba-Anmeldung (Windows-Shares)

Die Kolab Groupware kommt mit einem zentralen Verwaltungs-Webinterface daher, mit dem (fast) alle Einstellungen für eine Domain vorgenommen werden können. Unter

• https://admin.datenkollektiv.net/

bzw. für Administratoren einer ganzen E-Mail-Domain

• https://ldap.dknuser.de/kolab-webadmin/

können sich alle User mit ihrer E-Mail-Adresse und ihrem Passwort einloggen. Dort können die verschiedenen Konfigurationen eingesehen werden. Zum Administrieren sind jedoch spezielle Rechte notwendig. Üblicherweise wird mindestens ein User der Domain über die entsprechenden Rechte verfügen (siehe auch Rollen).

Gegenüber vielen anderen E-Mail-Systemen ist Kolab eine echte „Groupware“. Die Struktur folgt daher einem etwas anderen Konzept als evtl. von anderen E-Mail-Providern bekannt.

Ein Grundsatz ist: Alles kann mit allen geteilt werden, egal ob es ein E-Mail-Ordner ist oder ein Kalender, ein Adressbuch, eine Dateiablage oder eine Aufgabenliste. Der technische Hintergrund: all diese Speicherplätze sind tatsächlich ebenfalls E-Mail-Ordner.

In Imap-E-Mail-Umgebungen ¹⁾ können alle E-Mail-Ordner mit anderen Nutzer*innen geteilt werden. Dazu gibt es sogenannte ACLs (Access-Controll-Lists oder Zugriffslisten).

Wie das für User*innen geht, ist in der Anleitung für den Webmailer beschrieben.

Meistens ist es so: zu einem Account gehört eine E-Mail-Adresse (manchmal auch mehrere), ein Nutzername und ein Passwort. Das funktioniert so lange, wie hinter dem Account auch eine Person steht. Jetzt haben aber viele Organisationen auch E-Mail-Adressen, die nicht einer Person zuzuordnen sind. Eine info@ wird vielleicht von mehreren Personen gelesen, oder auch abwechselnd. Wird diese Adresse jetzt als eigener Account angelegt, ergeben sich verschiedene Probleme: Das Passwort wird ggf. von mehreren Personen genutzt. Wenn es geändert wird, können einige nicht mehr auf die E-Mails zugreifen. Wird es nie geändert, ist irgendwann kaum noch nachzuvollziehen, wer alles Zugriff hat. Weiterhin müssen immer mehrere Accounts abgerufen werden.

Hier greift das Konzept der Shared Folder: Ein Ordner kann direkt mit einer E-Mail-Adresse adressiert werden, ohne dass er zu einem bestimmten Account gehört. Über Freigaben können alle, die das sollen, über ihren normalen Account auf den Ordner zugreifen. Scheidet eine Person aus der Organisation aus, werden entsprechend einfach die Ordnerrechte angepasst. Das gleiche passiert, wenn weitere Personen Zugriff auf den Ordner bekommen sollen.

Gleichzeitig lassen sich mit Shared-Folder auch E-Mails gemeinsam organisieren. JedeR sieht, welche E-Mails angekommen sind. Auch eine gemeinsame Ordnerstruktur lässt sich aufbauen. So werden E-Mails nicht von mehreren Personen gleichzeitig bearbeitet. Alle können - bei entsprechender Konfiguration - sehen, ob schon geantwortet wurde oder nicht. Diese Konfigurationsmöglichkeit findet sich unter Geteilte Ordner und Ressourcen verwalten

Daneben existieren noch zwei Möglichkeiten, E-Mails an mehrere Personen zu verteilen:

Verteilerlisten können E-Mails an mehrere Accounts verteilen (innerhalb der eigenen E-Mail-Domain). Das empfiehlt sich z.B. für Info-Verteiler, wenn mit einer E-Mail-Adresse eine Gruppe oder alle Personen der Organisation erreicht werden sollen. Gegenüber Shared-Folder gibt es einen entscheidenden Unterschied: Die E-Mails werden für alle Gruppenmitglieder dupliziert. JedeR erhält eine eigene Kopie. Andere bemerken nichts davon, ob die E-Mail bearbeitet, gelöscht oder verschoben wurde. Diese Konfigurationsmöglichkeit findet sich unter Gruppen und Rollen managen

Mit E-Mail-Weiterleitungen / Mailforwarding können E-Mails einfach an eine oder mehrere Adressen weiter geleitet werden. Diese Adressen können innerhalb oder außerhalb der eigenen Domäne liegen. Diese Konfigurationsmöglichkeit findet sich unter Benutzer

Auf der Startseite finden sich alle Konfigurationsmöglichkeiten im Überblick:

Die Möglichkeiten der Verwaltung unterteilen sich in folgende Abschnitte:

1. Benutzer*innen (User)
   • Hier werden neue Benuzter*innen angelegt oder vorhandene editiert.
2. Gruppen (Groups)
   • Benuzter*innen können einer oder mehreren Gruppen zugeordnet werden. Z.B. für Mailverteiler, aber auch um z.B. Gruppen für Dateirechte etc. zu definieren, falls das Verzeichnis auch für die lokale Authentifizierung von Nutzer*innen an PCs eingesetzt wird.
3. Rollen (Roles)
   • Neben Gruppen stellen Rollen ein weiteres Gruppierungsmerkmal dar
4. Ressourcen (Ressources)
   • Ressourcen sind gemeinschaftlich genutzte Dinge wie Räume, Fahrräder oder Beamer, die mit der Groupware verwaltet werden können.
5. Gemeinschaftsordner (Shared Folder)
   • Gemeinschaftsordner sind Mailordner (bzw. Kalender, Adressbücher, etc.), die nicht einzelnen Nutzer*innen zugeordnet sind, sondern von allen Nutzer*innen der Domäne (oder einer Gruppe) benutzt oder eingesehen werden können.
6. Einheiten (Organizational Units)
   • Bei größeren Organisationen ist eine Unterteilung in sogenannte Organizational Units (ou) denkbar
7. Einstellungen (Settings)
   • Wenn sich Nutzer*innen ohne Administrationsrechte einloggen, können diese hier ihre eigenen Einstellungen ändern.

Unter dem Menüpunkt „Benutzer“ lassen sich vorhandene Nutzer*innen verwalten und neue hinzufügen. Am linken Rand findet sich eine Liste mit allen angelegten Nutzer*innen. Ist kein Nutzer gewählt, wird ein leeres Formular angezeigt, mit dem einE neueR Benutzer*in hinzugefügt werden kann. Alternativ kann über den Button „Benutzer hinzufügen“ oben rechts das Formular für neue Nutzer*innen aufgerufen werden.

Beim anlegen eines neuen Users muss als erstes ein Kontotyp gewählt werden. Welche Kontotypen zur Verfügung stehen, kann unterschiedlich sein. Auch lassen sich ähnliche Ziele u.U. auf verschiedene Weise erreichen. Insofern gilt es ggf. Vor- und Nachteile gegeneinander aufzuwiegen.

Grundlegend sind es aber folgende:

Binduser

Contact

Kolab User

Mail Forwarding

POSIX User

Mail-Enabled Posix User

Mail-Enabled SAMBA and POSIX User

SAMBA and POSIX User

Die folgenden Screenshots illustrieren das Anlegen neuer Nutzer anhand des Kontotyps „Groupware User“:

Je nach Wahl des Kontotyps erscheinen verschiedene Felder und Reiter. Blau hinterlegte Felder sind Pflichtfelder und müssen ausgefüllt werden.

Reiter „Persönlich“

Zwingend ist die Eingabe von Vor- und Nachnamen. Aus diesen Angaben werden automatisch E-Mail-Adresse und eindeutige Nutzerkennung erzeugt. Im Reiter „Persönlich“ können noch „Organisation“ oder Jobbezeichnung ausgefüllt werden. Bei allen anderen Einträgen sollte die Vorgabe gewählt werden. Insbesondere die Organisationseinheit sollte nur geändert werden, wenn die Folgen genau bekannt sind. Die Standard-Einstellungen können zentral konfiguriert werden (bei entprechenden Wünschen bitte an den datenkollektiv Support wenden).

Reiter „Kontaktinformation“

Hier werden die verschiedenen Kontaktmöglichkeiten gewählt.

Primäre E-Mail-Adresse Zwingend ist der Eintrag „Primäre E-Mail-Adresse“. Hier sollte (fast) immer der automatisch generierte Wert genommen werden. Die Struktur der primären Adresse kann für die Domäne konfiguriert werden (nicht im Webinterface). Nur in Ausnahmefällen und wenn die Konsequenzen genau bekannt ist, darf diese verändert werden. Schon aus organisatorischen Gründen ist es immer von Vorteil, wenn alle E-Mail-Adressen gleich aufgebaut sind.

Sekundäre E-Mail-Adresse (E-Mail Alias) Je nach Konfiguration der Domain werden zusätzlich automatische Aliase angelegt. Welche, kann ebenfalls für die Domain konfiguriert werden (nicht im Webinterface). Bei Wünschen nach individuell gewählten Adressen sollte immer ein E-Mail-Alias (hier: „Sekundäre E-Mail-Adresse“) gewählt werden. Dies ist eine zusätzliche Adresse, die auf das gleiche Postfach zeigt.

Externe E-Mail-Adresse Hier kann eine E-Mail-Adresse der Nutzer*in eingetragen werden, die außerhalb der verwalteten Domain liegt (z.B. eine name@gmail.com)-Adresse. Neben der Information dass die Person auch über diese Adresse erreichbar ist, ermöglicht dieser Eintrag, dass User*innen diese E-Mail-Adresse auch als Absende-Adresse im Roundcube-Webinterface konfigurieren können.

Keinesfalls darf hier eine E-Mail-Adresse aus der Groupware-Domain eingetragen werden (es könnte zu Problemen bei der E-Mail-Zustellung kommen).

Reiter „System“

Im Reiter System wird die automatisch generierte UID angezeigt. Diese ist notwendig, wenn über das Verzeichnis auch eine Anmeldung an Computern (oder anderen Diensten) erfolgt. Dann ist u.U. die UID der Login-Name (anstatt wie sonst meistens die E-Mail-Adresse).

Beim Neuanlegen wird ein automatisch generiertes Passwort vorgeschlagen. Über das Feld kann das Passwort bestehender Accounts auch geändert werden. Dabei ist darauf zu achten, dass die Passwort Policy eingehalten wird (mind. 9 Zeichen, darunter Klein- und Großbuchstaben und Zahlen, keine Teile des Nutzernamens enthalten). Sonst wird es zu einer (unspezifischen) Fehlermeldung kommen.

Im Feld Rollen kann der User*in eine oder mehrere Rollen zugewiesen werden, die vorher im Konfigurationsabschnitt Rollen angelegt sein müssen. Die Rolle kolab-admin, berechtigt die Person selbst die Domain zu verwalten. (Siehe auch Abschnitt Rollen)

Reiter „Konfiguration“

Neben der Größe der Quota (Speicherplatz) können hier Delegierte, Einladungsrichtlinien und Zugriffserlaubnisse konfiguriert werden.

Delegierte

Sogenannte Delegierte oder Vertretungsberechtigte sind andere User*innen, die berechtigt sind, im Namen des Account-Inhabers E-Mails zu verschicken. Dies kann entweder hier konfiguriert werden, oder aber von den Usern persönlich im Roundcube-Webinterface unter → Einstellungen → Vertretung. Dort konfigurierte Vertretungen werden auch hier angezeigt.

Liste von Adressaten

Darüber kann eingeschränkt werden, an wen der/die Account-Inhaber*in E-Mails verschicken darf. Ein „-“ vor einer Adresse bedeutet: an diesen Account darf nicht verschickt werden.

-root@example.org

In diesem Fall dürften an root keine Mails verschickt werden.

-
root@example.org

Ein „-“ Zeichen alleine bedeutet: alle Adressen. In diesem zweiten Fall dürfte an keine Adresse außer root@example.org verschickt werden.

Absender Zugriffsliste

Analog dazu verhält sich die Absender Zugriffsliste. Soll an einen Account nur von einigen E-Mail-Adressen aus adressiert werden dürfen, so können diese hier eingetragen werden. Soll der Zugriff ansonsten generell verhindert werden, muss wieder ein „-“ als eine Regel eingefügt werden:

-
admin@datenkollektiv.net

In diesem Falle dürfte nur die Adresse admin@datenkollektiv.net an den Account E-Mails versenden. Alle anderen werden zurück gewiesen.

Sollen dagegen z.B. von allen Adressen der eigenen Domain E-Mails angenommen werden, würden die Regeln folgendermaßen aussehen:

-
@example.org

Jetzt dürften nur Adressen aus der Domain example.org E-Mails an das Postfach verschicken. Diese Einstellung kann insbesondere bei internen Verteilerlisten gewünscht sein, wenn z.B. „alle-user@example.org“ nicht für beliebige Absender verfügbar sein soll. Die Konfigurationsmöglichkeit gibt es daher auch bei Verteilerlisten (siehe Gruppen)

Reiter „Weitere Einstellungen“

In den weiteren Einstellungen können zusätzliche Informationen untergebracht werden. In der Grundkonfiguration haben diese für die Domains von Organisationen in der Regel keine Bedeutung.

Über das Suchfeld oben links können Benutzer gesucht werden. Über das Icon mit den Werkzeugen kann ausgewählt werden in welchem Feld gesucht wird und welche Suchlogik angewendet werden soll.

Gruppen sind grundsätzlich Listen von mehreren Benutzer*innen. Die Listen können verschiedene Funktionen haben. Dazu stehen u.a.: folgende Gruppentypen zur Verfügung:

• (pure) Posix Group: Posix-Gruppen dienen dazu, Dateiberechtigungen u.a. in Linux-Systemen zu definieren. Sie werden dann gebraucht, wenn das Verzeichnis auch zur Anmeldung an PCs dient.
• Kolab Distribution Group (dynamic): Distribution Groups/Verteilergruppen sind E-Mail-Verteiler für das Verzeichnis. Eine dynamische Gruppe kann so konfiguriert werden, dass sie verschiedene Merkmale dynamisch zu einer Gruppe zusammenfasst: z.B. mehrere andere Gruppen - oder alle Nutzer*innen mit einer Rolle. Sie sind komplizierter zu konfigurieren. Bitte an support@datenkollektiv.net wenden.
• Kolab Distribution Group (static): Dies sind Verteilergruppen mit einer Liste von definierten Nutzer*innen. Der Standardfall für E-Mail-Verteiler innerhalb des Verzeichnisses.
• Mail enabled Posix Group: Hier wird die Posix-Group mit einer Verteilerliste kombiniert. Die Gruppe dient sowohl als Posix-Group als auch als statischer Mailverteiler.
• Posix Samba Group: Zusätzlich zur Posix-Group gibt es hier noch Samba-Attribute. Bitte an support@datenkollektiv.net wenden, wenn diese Gruppe verwendet werden soll.
• simple Group (static): Einfache Gruppen können für Zugangsberechtigungen in vielen anderen Fällen dienen: z.B. als Gruppen in einer Nextcloud, die per Ldap angebunden ist.

Im Folgenden Beispiel wird eine E-Mail Verteilerliste angelegt (Kolab-Distribution-Group (Static)). Die Gruppe erhält einen Namen und eine E-Mail-Adresse.

Jetzt können die einzelnen Mitglieder eingetragen weren. Wird eine E-Mail an die Listenadresse geschickt, wird dies an alle Mitglieder weiter verteilt. Hier können nur „interne“ Benutzer*innen eingetragen werden - keine E-Mail-Adressen von Externen. (Ist letzteres gewünscht, lässt sich das unter Umständen über einen Mail-Forwarding-User lösen (siehe oben).

Gerade für interne Verteiler kann es gewünscht sein, dass diese nur von bestimmten Adressen bestückt werden können. Zu diesem Zweck können unter dem Stichwort Absender Zugriffsliste Bestimmte Domains oder Absenderadressen gesetzt werden.

Der Eintrag mit einem - Bindestrich bedeutet: alles ist verboten. Dies muss grundsätzlich erst mal gesetzt werden. In einem zweiten Eintrag können dann eine oder mehrere Adressen eingetragen werden, die befugt sind, an die Liste zu adressieren. Ein @example.org würde in diesem Fall bedeuten: Alle E-Mail-Adressen/Nutzer*innen der Domain „example.org“ dürfen schicken. Ein user@example.org würde die Möglichkeit auf genau eine Adresse einschränken.

Über diese einfache Möglichkeit hinaus gibt es noch mehrere andere Arten von Gruppen. Neben der Authentifizierung an anderen Systemen (lokalen Rechnern) und dem damit abgebildeten Rechte-Management ist noch die „dynamische Verteilerliste“ interessant. Damit können z.B. alle Adressen mit bestimmten Eigenschaften adressiert werden - oder auch einfach alle internen Adressen. Die genaue Konfigurations übersteigt den Rahmen dieser Dokumentation. Bitte wenden Sie sich dazu an den Datenkollektiv Support.

Während Gruppen Listen mit Nutzer*innen sind, sind Rollen quasi Eigenschaften von Nutzer*innen (und werden technisch auch bei den Nutzer*innen selbst gespeichert. Über Rollen können z.B. dynamische Verteilerlisten organisiert werden. Es gibt noch viele weiter gehende Einsatzmöglichkeiten, die auch den Rahmen dieser Dokumentation übersteigen.

Eine bedeutsame ist die vordefinierte Rolle ist die des kolab-admins. Alle, die diese Rolle besitzen, können die Domain verwalten. D.h. Einträge hinzufügen, ändern, löschen.

Bereits angelegte Rollen können dann im Interface Benutzer unter dem Reiter → System den einzelnen Nutzer*innen zugeordnet werden.

Ein wichtiger Bestandteil für die Nutzung geteilter Ressourcen ist die Rechteverwaltung. Administratoren sollten sich damit vertraut machen.

Gemeinsame Ordner dienen dazu, dass Personen von unterschiedlichen Accounts auf die gleichen Daten (in Ordnern organisiert) zugreifen können. Gemeinsame Ordner können E-Mails, Kontakte, Kalender, Aufgaben, Notizen oder Dateien beinhalten:

Je nach gewähltem Ordnertyp hat der Ordner lediglich einen Namen - oder im Falle des Mailfolders auch eine E-Mail-Adresse und andere Konfigurationsmöglicheiten von E-Mail-Ordnern. Gemeinsam genutzte E-Mail-Folder sind dann interessant, wenn die E-Mails einer Adresse (z.B. der Organisationsadresse info@ oder kontakt@) von mehreren Personen verwaltet werden soll. So können sich bestimmte Nutzer*innen die Mailboxen abonnieren. Über Vertreter lassen sich Personen bestimmen, die mit der Absendeadresse des Gemeinschaftsordners auch E-Mails verschicken können:

Im Reiter Andere lassen sich die Zugangsberechtigungen für die Ordner konfigurieren. Wer darf Was (lesen, schreiben, etc.). Standardeinstellung ist, dass alle Nutzer*innen lesen können. Das wird nicht immer gewünscht sein. In diesem Fall müssen diese Rechte gelöscht werden.

So sieht es dann z.B. aus:

Für andere Gemeinschaftsordner wie Kalender oder Kontakte funktioniert das ähnlich, in folgendem Fall für einen gemeinsamen Kalender:

Hier sollen in diesem Beispiel alle Benutzer*innen Lesen und Schreiben können:

Ressourcen schließlich sind besondere Kalender, in denen die Nutzung bestimmter gemeinsam verwalteter Sachen wie Räume, Beamer, Lastenfahrräder etc. organisiert werden können. Ressourcen können bei der Erstellung eines Termins (im Webmail-Interface) ausgewählt werden. Diese werden dann gebucht. Der/die Nutzer*in erhält eine Information per E-Mail, ob die Ressource frei oder belegt ist. Bei den Ressourcen-Kalendern kann gewählt werden, ob die Einträge auch für alle sichtbar sein sollen - oder nicht. Die Sichtbarkeit ist für die Nutzung nicht notwendig (z.B. wenn das aus Datenschutzgründen nicht erwünscht ist) kann aber die Übersichtlichkeit erhöhen.

Im Folgenden wird z.B. eine Ressource für einen gemeinsamen Seminarraum erstellt:

Dann kann optional ein Eigentümer/Verwalter definiert werden, der benachrichtigt wird, wenn die Ressource gebucht wurde.

Alle anderen Felder können leer bleiben. Optional können noch Zugriffrechte gesetzt werden - siehe zur Erklärung → Gemeinschaftsordner.

Die Bedeutung der Einzelnen Rechte ist hier erklärt: Imap-Rechte-Verwaltung

Grundsätzlich sollte man bei der Vergabe von Rechten zurückhaltend sein. JedeR sollte nur über soviel Rechte verfügen, wie unbedingt notwendig. Nicht nur das bewusste Löschen von dazu nicht befugten Personen kann ein Problem darstellen. Insbesondere bei der Synchronisation mit verschiednenen Geräten kann es aufgrund von Fehlfunktionen zu einem Datenverlust führen - z.B. wenn ein E-Mail-Client automatisch E-Mails löscht, die älter als eine bestimmte Zeit sind. Oder wenn Kalenderapplikationen auf Smart-Phones fehlerhafte Daten synchronisieren.

Wichtig ist auch, das die Nutzer*innen darüber informiert sind, dass Kalender-, Adress-, und ähnliche Objkete in E-Mail-Ordnern organisiert sind. Diese werden von E-Mail-Programmen wie Thunderbird als normale Mail-Ordner angezeigt. Die Daten in diesen Ordnern dürfen aber auf keinen Fall gelöscht werden (auch wenn sie keine menschenlesbaren Inhalte haben). Sie enthalten die Kalendereinträge, Kontakte, Dateien, Notizen und dergleichen.

Organisationseinheiten sind logische Strukturierungseinheiten des Verzeichnisses. Hier gibt es bereits Einheiten für „Benutzer“, „Gruppen“, „Gemeinschaftsordner“. Normalerweise sollte es nicht nötig sein, hier irgend etwas zu ändern. Falls doch, sollten solide Kenntnisse über Ldap-Verzeichnisse und über die Konkrete Strukturierung vorhanden sein. Am besten, Sie wenden sich an den Datenkollektiv Support.

Also normaleR Benutzer*in eingeloggt, finden sich unter Einstellungen die Einstellungen des eigenen Accounts. Nur manche Felder sind editierbar. Hier kann z.B. ein neues Passwort gesetzt werden - oder es können Informationen zu Adresse oder Telefonnummer eingetragen werden.