Kolab Groupware

Hinweise zur Samba-Anmeldung (Windows-Shares)

Die Kolab Groupware kommt mit einem zentralen Verwaltungs-Webinterface daher, mit dem (fast) alle Einstellungen für eine Domain vorgenommen werden können. Unter

https://teamwork.datenkollektiv.net/kolab-webadmin

können sich alle User mit ihrer E-Mail-Adresse und ihrem Passwort einloggen. Dort können die verschiedenen Konfigurationen eingesehen werden. Zum Administrieren sind jedoch spezielle Rechte notwendig. Üblicherweise wird mindestens ein User der Domain über die entsprechenden Rechte verfügen (siehe auch Rollen).

Konzept

Gegenüber vielen anderen E-Mail-Systemen ist Kolab eine echte „Groupware“. Die Struktur folgt daher einem etwas anderen Konzept als evtl. von anderen E-Mail-Providern bekannt.

Teilen und gemeinsam nutzen

Ein Grundsatz ist: Alles kann mit allen geteilt werden, egal ob es ein E-Mail-Ordner ist oder ein Kalender, ein Adressbuch, eine Dateiablage oder eine Aufgabenliste. Der technische Hintergrund: all diese Speicherplätze sind tatsächlich ebenfalls E-Mail-Ordner.

In Imap-E-Mail-Umgebungen 1) Imap ist ein E-Mail-Protokoll. Im Gegensatz zu dem auch bekannten Pop3 bedeutet es, dass alle E-Mails auf dem Server gespeichert werden. Die unterschiedlichen E-Mail-Programme, egal ob Webmail oder z.B. Thunderbird, greifen dabei nur auf die E-Mails zu - rufen sie aber nicht ab. Daher kann auch mit mehreren E-Mail-Programmen gleichzeitig gearbeitet werden und die Ordnerstruktur ist überall die Selbe können alle E-Mail-Ordner mit anderen Nutzer*innen geteilt werden. Dazu gibt es sogenannte ACLs (Access-Controll-Lists oder Zugriffslisten).

Wie das für User*innen geht, ist in der Anleitung für den Webmailer beschrieben.

E-Mail-Adressen, Accounts und Shared Folder

Meistens ist es so: zu einem Account gehört eine E-Mail-Adresse (manchmal auch mehrere), ein Nutzername und ein Passwort. Das funktioniert so lange, wie hinter dem Account auch eine Person steht. Jetzt haben aber viele Organisationen auch E-Mail-Adressen, die nicht einer Person zuzuordnen sind. Eine info@ wird vielleicht von mehreren Personen gelesen, oder auch abwechselnd. Wird diese Adresse jetzt als eigener Account angelegt, ergeben sich verschiedene Probleme: Das Passwort wird ggf. von mehreren Personen genutzt. Wenn es geändert wird, können einige nicht mehr auf die E-Mails zugreifen. Wird es nie geändert, ist irgendwann kaum noch nachzuvollziehen, wer alles Zugriff hat. Weiterhin müssen immer mehrere Accounts abgerufen werden.

Shared Folder - gemeinsame Ordner

Hier greift das Konzept der Shared Folder: Ein Ordner kann direkt mit einer E-Mail-Adresse adressiert werden, ohne dass er zu einem bestimmten Account gehört. Über Freigaben können alle, die das sollen, über ihren normalen Account auf den Ordner zugreifen. Scheidet eine Person aus der Organisation aus, werden entsprechend einfach die Ordnerrechte angepasst. Das gleiche passiert, wenn weitere Personen Zugriff auf den Ordner bekommen sollen.

Gleichzeitig lassen sich mit Shared-Folder auch E-Mails gemeinsam organisieren. JedeR sieht, welche E-Mails angekommen sind. Auch eine gemeinsame Ordnerstruktur lässt sich aufbauen. So werden E-Mails nicht von mehreren Personen gleichzeitig bearbeitet. Alle können - bei entsprechender Konfiguration - sehen, ob schon geantwortet wurde oder nicht.

Weiterleitungen und Verteilerlisten

Daneben existieren noch zwei Möglichkeiten, E-Mails an mehrere Personen zu verteilen:

Verteilerlisten können E-Mails an mehrere Accounts verteilen (innerhalb der eigenen E-Mail-Domain). Das empfiehlt sich z.B. für Info-Verteiler, wenn mit einer E-Mail-Adresse eine Gruppe oder alle Personen der Organisation erreicht werden sollen. Gegenüber Shared-Folder gibt es einen entscheidenden Unterschied: Die E-Mails werden für alle Gruppenmitglieder dupliziert. JedeR erhält eine eigene Kopie. Andere bemerken nichts davon, ob die E-Mail bearbeitet, gelöscht oder verschoben wurde.

Mit E-Mail-Weiterleitungen / Mailforwarding können E-Mails einfach an eine oder mehrere Adressen weiter geleitet werden. Diese Adressen können innerhalb oder außerhalb der eigenen Domäne liegen.

Was wird mit dem Webinterface eigentlich verwaltet? Um ein besseres Verständnis der Kolab-Groupware zu erhalten, empfiehlt es sich, zu verstehen, in welcher Form die Informationen, die im Webinterface verwaltet werden können eigentlich abgelegt sind. Es handelt sich um die Ansicht der zentralen Nutzerdatenbank - genauer um ein Verzeichnis (technisch gesprochen ist es ein LDAP-Verzeichnis (Ldap steht für Lightweight Directory Access Protocoll - also für ein „einfaches Verfahren um auf Verzeichnisse zuzugreifen“). Jeder Eintrag im Webinterface entspricht einem Verzeichniseintrag - wie in einem Telefonbuch. In diesem Eintrag stehen dann z.B. Namen, Adressen, E-Mail-Adressen, Passwort und viele weitere Eigenschaften (sogenannte Attribute). Der Witz an dem Ldap-Verzeichnis ist, dass es universell zu verwenden ist. Nicht nur die Kolab-Groupware kann darauf prinzipiell zurück greifen, sondern ein großer Teil aller digitalen Dienste - ob das nun bestimmte Webseiten-Frameworks (wie Wordpress oder Drupal) sind oder ein Wiki. Auch Computer im eigenen lokalen Netzwerk können die Informationen aus dem Ldap-Verzeichnis nutzen, um z.B. zu prüfen, ob sich ein User anmelden darf und ob das Passwort stimmt. Dies ermöglicht nun eine zentrale User-Verwaltung (auch mit dem schönen Buzz-Wort Identity Management bezeichnet). Das hat z.B. den Vorteil, das eine Person nicht ein ganzes Bündel an Passworten benötigt, sondern sich an allen Diensten, die zu der Organisation gehören mit den gleichen Benutzerdaten anmelden kann.

Kolab-Webadmin

Kolab-Webadmin - Übersichtseite

Auf der Startseite finden sich alle Konfigurationsmöglichkeiten im Überblick:

Die Möglichkeiten der Verwaltung unterteilen sich in folgende Abschnitte:

Benutzer*innen (User)

Hier werden neue Benuzter*innen angelegt oder vorhandene editiert.

Gruppen (Groups)

Benuzter*innen können einer oder mehreren Gruppen zugeordnet werden. Z.B. für Mailverteiler, aber auch um z.B. Gruppen für Dateirechte etc. zu definieren, falls das Verzeichnis auch für die lokale Authentifizierung von Nutzer*innen an PCs eingesetzt wird.

Rollen (Roles)

Neben Gruppen stellen Rollen ein weiteres Gruppierungsmerkmal dar

Ressourcen (Ressources)

Ressourcen sind gemeinschaftlich genutzte Dinge wie Räume, Fahrräder oder Beamer, die mit der Groupware verwaltet werden können.

Gemeinschaftsordner (Shared Folder)

Gemeinschaftsordner sind Mailordner (bzw. Kalender, Adressbücher, etc.), die nicht einzelnen Nutzer*innen zugeordnet sind, sondern von allen Nutzer*innen der Domäne (oder einer Gruppe) benutzt oder eingesehen werden können.

Einheiten (Organizational Units)

Bei größeren Organisationen ist eine Unterteilung in sogenannte Organizational Units (ou) denkbar

Einstellungen (Settings)

Wenn sich Nutzer*innen ohne Administrationsrechte einloggen, können diese hier ihre eigenen Einstellungen ändern.

User - Benutzer*innen anlegen

Unter dem Menüpunkt „Benutzer“ lassen sich vorhandene Nutzer*innen verwalten und neue hinzufügen. Am linken Rand findet sich eine Liste mit allen angelegten Nutzer*innen. Ist kein Nutzer gewählt, wird ein leeres Formular angezeigt, mit dem einE neueR Benutzer*in hinzugefügt werden kann. Alternativ kann über den Button „Benutzer hinzufügen“ oben rechts das Formular für neue Nutzer*innen aufgerufen werden.

Was sind User User oder Nutzer*innen sind in unserem Zusammenhang gleichbedeutend mit Accounts. Sie stellen also ein Objekt dar, das sich z.B. mit einem Namen und einem Passwort einloggen (authentifizieren) kann. Grundsätzlich kann ein User/Account für alles mögliche stehen. Es können Personen sein - aber auch nicht personenbezogene Objekte - z.B. bei einer E-Mail-Adresse, die nicht für eine Person steht. Es empfielt sich aber das Verzeichnis so zu planen, dass User-Objekte in der Regel auch wirklich für Personen stehen. Pro Person einen Account. Accounts, die von mehreren Personen genutzt werden, sollten vermieden werden. Es gibt andere, günstigere, Möglichkeiten, E-Mail-Adressen und E-Mail-Ordner gemeinsam zu nutzen.

Beim anlegen eines neuen Users muss als erstes ein Kontotyp gewählt werden. Welche Kontotypen zur Verfügung stehen, kann unterschiedlich sein. Auch lassen sich ähnliche Ziele u.U. auf verschiedene Weise erreichen. Insofern gilt es ggf. Vor- und Nachteile gegeneinander aufzuwiegen.

Grundlegend sind es aber folgende:

Contact

Ein Eintrag mit Namen und Adressdaten. Außerdem kann eine email-Adresse und ein Passwort gewählt werden. Diese dienen u.a. dazu, dass sich der/die Nutzer*in damit auch an Dieser Nutzertyp kann dazu verwendet werden, Adressen, die nicht zur Organisation gehören, zu verwalten - als zentrales Adressbuch. )Ob das günstig ist, muss von Fall zu Fall entschieden werden. Es gibt auch Alternativen.) Dieser Kontentyp kann aber auch für Nutzer*innen verwendet werden, die sich gegenüber anderen Diensten per Ldap authentifizieren können sollen - aber keinen vollständigen Groupware-Zugriff erhalten sollen.

Groupware User

Dieser Kontotyp ist der Standard. Er bietet alle Felder (Attribute) für die Nutzung der Kolab-Groupware. Der/die Nutzer*in kann E-Mails empfangen/versenden sowie die anderen Funktionen der Groupware nutzen.

Mail Forwarding

Dieser Kontotyp dient der E-Mail-Weiterleitung. Soll also eine E-Mail-Adresse lediglich an eine oder mehrere andere Adresse(n) (intern oder auch extern) weiter geleitet werden, bietet sich dieser Kontotyp an. Somit können mit einer E-Mail-Weiterleitung auch kleine Verteiler konstruiert werden.

Eine ähnliche Funktion bieten allerdings auch Verteilerlisten, die im Abschnitt Gruppen behandelt werden - allerdings nur für interne User (also mit E-Mail-Adressen der eigenen Domain) in Frage kommen.

Soll allerdings eine Person lediglich neben der Haupt-E-Mail-Adresse eine weitere Adresse bekommen, empfiehlt sich ein sogenanntes Alias bei einem normalen Groupware Konto.

Als Entscheidungsgrundlage kann die Frage dienen: gibt es eine Person, die hinter diesem Konto steht? Dann empfielt sich wahrscheinlich dieser Kontotyp. Wenn nicht, ist wahrscheinlich je nach Ziel ein Alias oder eine Verteilerliste geeigneter.

POSIX User

Dieser Kontotyp dient zum Authentifizieren an POSIX-konformen Betriebssystemen (z.B. Linux, Unix, Mac OSX). Damit können sich Nutzer*innen an Computern in entsprechend eingerichteten lokalen Netzwerken anmelden. Das Konto ist kein E-Mail-Konto und verfügt auch nicht über eine E-Mail-Adresse. Auch die anderen Groupware-Funktionen können mit diesem Kontotyp nicht genutzt werden.

Mail-Enabled Posix User

Der Posix-User mit E-Mail Funktion stellt eine Erweiterung zum vorher beschriebenen reinen „POSIX User“ dar, wenn beide Funktionen (Groupware und Posix-Account) benötigt werden.

Mail-Enabled SAMBA and POSIX User

Mit diesem Kontotyp werden zusätzlich zum Posix-E-Mail-Konto noch Funktionen für die Anmeldung an einer Windows Domäne (via Samba) zur Verfügung gestellt. Dies ermöglicht in Zusammenhang mit einem entsprechend konfigurierten lokalen Netzwerk eine zentrale Windows-Anmeldung oder die Nutzung von einzelnen Windows-Shares über Samba.

Die folgenden Screenshots illustrieren das Anlegen neuer Nutzer anhand des Kontotyps „Groupware User“:

Achtung: alle Nutzer*innen mit einem Account können sich am Kolab-Webadmin einloggen - sofern das Passwort bekannt ist. Das betrifft auch die Konto-Typen Contact oder Mail Forwarding. Das kann hilfreich sein, damit die Nutzer*innen z.B. ihre eigenen Adressdaten pflegen können. Oder weil diese auch das gesamte Verzeichnis abfragen können sollen (z.B. als Adressbuch). Weiterhin könnten Personen ihre eigene E-Mail-Weiterleitungen konfigurieren. Der Account kann auch dafür genutzt werden, sich gegenüber anderen Diensten zu authentifizieren (s.o.: über das Verzeichnis).

Je nach Wahl des Kontotyps erscheinen verschiedene Felder und Reiter. Blau hinterlegte Felder sind Pflichtfelder und müssen ausgefüllt werden.

Reiter „Persönlich“

Zwingend ist die Eingabe von Vor- und Nachnamen. Aus diesen Angaben werden automatisch E-Mail-Adresse und eindeutige Nutzerkennung erzeugt. Im Reiter „Persönlich“ können noch „Organisation“ oder Jobbezeichnung ausgefüllt werden. Bei allen anderen Einträgen sollte die Vorgabe gewählt werden. Insbesondere die Organisationseinheit sollte nur geändert werden, wenn die Folgen genau bekannt sind. Die Standard-Einstellungen können zentral konfiguriert werden (bei entprechenden Wünschen bitte an den datenkollektiv Support wenden).

Reiter „Kontaktinformation“

Hier werden die verschiedenen Kontaktmöglichkeiten gewählt.

Primäre E-Mail-Adresse Zwingend ist der Eintrag „Primäre E-Mail-Adresse“. Hier sollte (fast) immer der automatisch generierte Wert genommen werden. Die Struktur der primären Adresse kann für die Domäne konfiguriert werden (nicht im Webinterface). Nur in Ausnahmefällen und wenn die Konsequenzen genau bekannt ist, darf diese verändert werden. Schon aus organisatorischen Gründen ist es immer von Vorteil, wenn alle E-Mail-Adressen gleich aufgebaut sind.

Sekundäre E-Mail-Adresse (E-Mail Alias) Je nach Konfiguration der Domain werden zusätzlich automatische Aliase angelegt. Welche, kann ebenfalls für die Domain konfiguriert werden (nicht im Webinterface). Bei Wünschen nach individuell gewählten Adressen sollte immer ein E-Mail-Alias (hier: „Sekundäre E-Mail-Adresse“) gewählt werden. Dies ist eine zusätzliche Adresse, die auf das gleiche Postfach zeigt.

Externe E-Mail-Adresse Hier kann eine E-Mail-Adresse der Nutzer*in eingetragen werden, die außerhalb der verwalteten Domain liegt (z.B. eine name@gmail.com)-Adresse. Neben der Information dass die Person auch über diese Adresse erreichbar ist, ermöglicht dieser Eintrag, dass User*innen diese E-Mail-Adresse auch als Absende-Adresse im Roundcube-Webinterface konfigurieren können.

Keinesfalls darf hier eine E-Mail-Adresse aus der Groupware-Domain eingetragen werden (es könnte zu Problemen bei der E-Mail-Zustellung kommen).

Reiter „System“

Im Reiter System wird die automatisch generierte UID angezeigt. Diese ist notwendig, wenn über das Verzeichnis auch eine Anmeldung an Computern (oder anderen Diensten) erfolgt. Dann ist u.U. die UID der Login-Name (anstatt wie sonst meistens die E-Mail-Adresse).

Beim Neuanlegen wird ein automatisch generiertes Passwort vorgeschlagen. Über das Feld kann das Passwort bestehender Accounts auch geändert werden. Dabei ist darauf zu achten, dass die Passwort Policy eingehalten wird (mind. 9 Zeichen, darunter Klein- und Großbuchstaben und Zahlen). Sonst wird es zu einer (unspezifischen) Fehlermeldung kommen.

Im Feld Rollen kann der User*in eine oder mehrere Rollen zugewiesen werden, die vorher im Konfigurationsabschnitt Rollen angelegt sein müssen. Die Rolle kolab-admin, berechtigt die Person selbst die Domain zu verwalten. (Siehe auch Abschnitt Rollen)

Reiter „Konfiguration“

Neben der Größe der Quota (Speicherplatz) können hier Delegierte, Einladungsrichtlinien und Zugriffserlaubnisse konfiguriert werden.

Delegierte

Sogenannte Delegierte oder Vertretungsberechtigte sind andere User*innen, die berechtigt sind, im Namen des Account-Inhabers E-Mails zu verschicken. Dies kann entweder hier konfiguriert werden, oder aber von den Usern persönlich im Roundcube-Webinterface unter → Einstellungen → Vertretung. Dort konfigurierte Vertretungen werden auch hier angezeigt.

Liste von Adressaten

Darüber kann eingeschränkt werden, an wen der/die Account-Inhaber*in E-Mails verschicken darf. Ein „-“ vor einer Adresse bedeutet: an diesen Account darf nicht verschickt werden.

-root@example.org

In diesem Fall dürften an root keine Mails verschickt werden.

-
root@example.org

Ein „-“ Zeichen alleine bedeutet: alle Adressen. In diesem zweiten Fall dürfte an keine Adresse außer root@example.org verschickt werden.

Absender Zugriffsliste

Analog dazu verhält sich die Absender Zugriffsliste. Soll an einen Account nur von einigen E-Mail-Adressen aus adressiert werden dürfen, so können diese hier eingetragen werden. Soll der Zugriff ansonsten generell verhindert werden, muss wieder ein „-“ als eine Regel eingefügt werden:

-
admin@datenkollektiv.net

In diesem Falle dürfte nur die Adresse admin@datenkollektiv.net an den Account E-Mails versenden. Alle anderen werden zurück gewiesen.

Sollen dagegen z.B. von allen Adressen der eigenen Domain E-Mails angenommen werden, würden die Regeln folgendermaßen aussehen:

-
@example.org

Jetzt dürften nur Adressen aus der Domain example.org E-Mails an das Postfach verschicken. Diese Einstellung kann insbesondere bei internen Verteilerlisten gewünscht sein, wenn z.B. „alle-user@example.org“ nicht für beliebige Absender verfügbar sein soll. Die Konfigurationsmöglichkeit gibt es daher auch bei Verteilerlisten (siehe Gruppen)

Reiter „Weitere Einstellungen“

In den weiteren Einstellungen können zusätzliche Informationen untergebracht werden. In der Grundkonfiguration haben diese für die Domains von Organisationen in der Regel keine Bedeutung.

Benuzter*innen suchen

Über das Suchfeld oben links können Benutzer gesucht werden. Über das Icon mit den Werkzeugen kann ausgewählt werden in welchem Feld gesucht wird und welche Suchlogik angewendet werden soll.

Gruppen und Rollen managen

Gruppen

Rollen

Geteilte Ordner und Ressourcen verwalten

Geteilte Ordner

Ressourcen

Organisations-Einheiten

User-Einstellungen