Dies ist eine alte Version des Dokuments!
Kolab Webadmin
Die Kolab Groupware kommt mit einem zentralen Verwaltungs-Webinterface daher, mit dem (fast) alle Einstellungen für eine Domain vorgenommen werden können. Unter
https://teamwork.datenkollektiv.net/kolab-webadmin
können sich alle User mit ihrer E-Mail-Adresse und ihrem Passwort einloggen. Dort können die verschiedenen Konfigurationen eingesehen werden. Zum Administrieren sind jedoch spezielle Rechte notwendig. Üblicherweise wird mindestens ein User der Domain über die entsprechenden Rechte verfügen (siehe auch Rollen).
Was wird mit dem Webinterface eigentlich verwaltet?
Um ein besseres Verständnis der Kolab-Groupware zu erhalten, empfiehlt es sich, zu verstehen, in welcher Form die Informationen, die im Webinterface verwaltet werden können eigentlich abgelegt sind. Es handelt sich um die Ansicht der zentralen Nutzerdatenbank - genauer um ein Verzeichnis (technisch gesprochen ist es ein LDAP-Verzeichnis (Ldap steht für Lightweight Directory Access Protocoll - also für ein „einfaches Verfahren um auf Verzeichnisse zuzugreifen“).
Jeder Eintrag im Webinterface entspricht einem Verzeichniseintrag - wie in einem Telefonbuch. In diesem Eintrag stehen dann z.B. Namen, Adressen, E-Mail-Adressen, Passwort und viele weitere Eigenschaften (sogenannte Attribute).
Der Witz an dem Ldap-Verzeichnis ist, dass es universell zu verwenden ist. Nicht nur die Kolab-Groupware kann darauf prinzipiell zurück greifen, sondern ein großer Teil aller digitalen Dienste - ob das nun bestimmte Webseiten-Frameworks (wie Wordpress oder Drupal) sind oder ein Wiki. Auch Computer im eigenen lokalen Netzwerk können die Informationen aus dem Ldap-Verzeichnis nutzen, um z.B. zu prüfen, ob sich ein User anmelden darf und ob das Passwort stimmt.
Dies ermöglicht nun eine zentrale User-Verwaltung (auch mit dem schönen Buzz-Wort Identity Management bezeichnet). Das hat z.B. den Vorteil, das eine Person nicht ein ganzes Bündel an Passworten benötigt, sondern sich an allen Diensten, die zu der Organisation gehören mit den gleichen Benutzerdaten anmelden kann.
Auf der Startseite finden sich alle Konfigurationsmöglichkeiten im Überblick:
Die Möglichkeiten der Verwaltung unterteilen sich in folgende Abschnitte:
- Benutzer*innen (User)
- Hier werden neue Benuzter*innen angelegt oder vorhandene editiert.
- Gruppen (Groups)
- Benuzter*innen können einer oder mehreren Gruppen zugeordnet werden. Z.B. für Mailverteiler, aber auch um z.B. Gruppen für Dateirechte etc. zu definieren, falls das Verzeichnis auch für die lokale Authentifizierung von Nutzer*innen an PCs eingesetzt wird.
- Rollen (Roles)
- Neben Gruppen stellen Rollen ein weiteres Gruppierungsmerkmal dar
- Ressourcen (Ressources)
- Ressourcen sind gemeinschaftlich genutzte Dinge wie Räume, Fahrräder oder Beamer, die mit der Groupware verwaltet werden können.
- Gemeinschaftsordner (Shared Folder)
- Gemeinschaftsordner sind Mailordner (bzw. Kalender, Adressbücher, etc.), die nicht einzelnen Nutzer*innen zugeordnet sind, sondern von allen Nutzer*innen der Domäne (oder einer Gruppe) benutzt oder eingesehen werden können.
- Einheiten (Organizational Units)
- Bei größeren Organisationen ist eine Unterteilung in sogenannte Organizational Units (ou) denkbar
- Einstellungen (Settings)
- Wenn sich Nutzer*innen ohne Administrationsrechte einloggen, können diese hier ihre eigenen Einstellungen ändern.
User - Benutzer*innen anlegen
Unter dem Menüpunkt „Benutzer“ lassen sich vorhandene Nutzer*innen verwalten und neue hinzufügen. Am linken Rand findet sich eine Liste mit allen angelegten Nutzer*innen. Ist kein Nutzer gewählt, wird ein leeres Formular angezeigt, mit dem einE neueR Benutzer*in hinzugefügt werden kann. Alternativ kann über den Button „Benutzer hinzufügen“ oben rechts das Formular für neue Nutzer*innen aufgerufen werden.
Was sind User
User oder Nutzer*innen sind in unserem Zusammenhang gleichbedeutend mit Accounts. Sie stellen also ein Objekt dar, das sich z.B. mit einem Namen und einem Passwort einloggen (authentifizieren) kann. Grundsätzlich kann ein User/Account für alles mögliche stehen. Es können Personen sein - aber auch nicht personenbezogene Objekte - z.B. bei einer E-Mail-Adresse, die nicht für eine Person steht.
Es empfielt sich aber das Verzeichnis so zu planen, dass User-Objekte in der Regel auch wirklich für Personen stehen. Pro Person einen Account. Accounts, die von mehreren Personen genutzt werden, sollten vermieden werden. Es gibt andere, günstigere, Möglichkeiten, E-Mail-Adressen und E-Mail-Ordner gemeinsam zu nutzen.
Beim anlegen eines neuen Users muss als erstes ein Kontotyp gewählt werden. Welche Kontotypen zur Verfügung stehen, kann unterschiedlich sein. Auch lassen sich ähnliche Ziele u.U. auf verschiedene Weise erreichen. Insofern gilt es ggf. Vor- und Nachteile gegeneinander aufzuwiegen.
Grundlegend sind es aber folgende:
Mail-Enabled SAMBA and POSIX User
Die folgenden Screenshots illustrieren das Anlegen neuer Nutzer anhand des Kontotyps „Groupware User“:
Achtung: alle Nutzer*innen mit einem Account können sich am Kolab-Webadmin einloggen - sofern das Passwort bekannt ist. Das betrifft auch die Konto-Typen Contact oder Mail Forwarding. Das kann hilfreich sein, damit die Nutzer*innen z.B. ihre eigenen Adressdaten pflegen können. Oder weil diese auch das gesamte Verzeichnis abfragen können sollen (z.B. als Adressbuch). Weiterhin könnten Personen ihre eigene E-Mail-Weiterleitungen konfigurieren. Der Account kann auch dafür genutzt werden, sich gegenüber anderen Diensten zu authentifizieren (s.o.: über das Verzeichnis).
Je nach Wahl des Kontotyps erscheinen verschiedene Felder und Reiter. Blau hinterlegte Felder sind Pflichtfelder und müssen ausgefüllt werden.
Reiter "Persönlich"
Zwingend ist die Eingabe von Vor- und Nachnamen. Aus diesen Angaben werden automatisch E-Mail-Adresse und eindeutige Nutzerkennung erzeugt. Im Reiter „Persönlich“ können noch „Organisation“ oder Jobbezeichnung ausgefüllt werden. Bei allen anderen Einträgen sollte die Vorgabe gewählt werden. Insbesondere die Organisationseinheit sollte nur geändert werden, wenn die Folgen genau bekannt sind. Die Standard-Einstellungen können zentral konfiguriert werden (bei entprechenden Wünschen bitte an den datenkollektiv Support wenden).
Reiter "Kontaktinformation"
Hier werden die verschiedenen Kontaktmöglichkeiten gewählt.
Primäre E-Mail-Adresse Zwingend ist der Eintrag „Primäre E-Mail-Adresse“. Hier sollte (fast) immer der automatisch generierte Wert genommen werden. Die Struktur der primären Adresse kann für die Domäne konfiguriert werden (nicht im Webinterface). Nur in Ausnahmefällen und wenn die Konsequenzen genau bekannt ist, darf diese verändert werden. Schon aus organisatorischen Gründen ist es immer von Vorteil, wenn alle E-Mail-Adressen gleich aufgebaut sind.
Sekundäre E-Mail-Adresse (E-Mail Alias) Je nach Konfiguration der Domain werden zusätzlich automatische Aliase angelegt. Welche, kann ebenfalls für die Domain konfiguriert werden (nicht im Webinterface). Bei Wünschen nach individuell gewählten Adressen sollte immer ein E-Mail-Alias (hier: „Sekundäre E-Mail-Adresse“) gewählt werden. Dies ist eine zusätzliche Adresse, die auf das gleiche Postfach zeigt.
Externe E-Mail-Adresse Hier kann eine E-Mail-Adresse der Nutzer*in eingetragen werden, die außerhalb der verwalteten Domain liegt (z.B. eine name@gmail.com)-Adresse. Neben der Information dass die Person auch über diese Adresse erreichbar ist, ermöglicht dieser Eintrag, dass User*innen diese E-Mail-Adresse auch als Absende-Adresse im Roundcube-Webinterface konfigurieren können.
Keinesfalls darf hier eine E-Mail-Adresse aus der Groupware-Domain eingetragen werden (es könnte zu Problemen bei der E-Mail-Zustellung kommen).
Reiter "System"
Im Reiter System wird die automatisch generierte UID angezeigt. Diese ist notwendig, wenn über das Verzeichnis auch eine Anmeldung an Computern (oder anderen Diensten) erfolgt. Dann ist u.U. die UID der Login-Name (anstatt wie sonst meistens die E-Mail-Adresse).
Beim Neuanlegen wird ein automatisch generiertes Passwort vorgeschlagen. Über das Feld kann auch das Passwort geändert werden. Dabei ist darauf zu achten, dass die Passwort Policy eingehalten wird (mind. 9 Zeichen, darunter Klein- und Großbuchstaben und Zahlen). Sonst wird es zu einer (unspezifischen) Fehlermeldung kommen.
Im Feld Rollen kann der User*in eine oder mehrere Rollen zugewiesen werden. Als Default-Rolle existiert in der Regel die Rolle kolab-admin, welche die Person berechtigt, selbst die Domain zu verwalten. (Siehe auch Abschnitt Rollen)
Reiter "Konfiguration"
Neben der Größe der Quota (Speicherplatz) können hier Delegierte, Einladungsrichtlinien und Zugriffserlaubnisse konfiguriert werden.
Delegierte
Sogenannte Delegierte oder Vertretungsberechtigte sind andere User*innen, die berechtigt sind, im Namen des Account-Inhabers E-Mails zu verschicken. Dies kann entweder hier konfiguriert werden, oder aber von den Usern persönlich im Roundcube-Webinterface unter → Einstellungen → Vertretung. Dort konfigurierte Vertretungen werden auch hier angezeigt.
Liste von Adressaten
Darüber kann eingeschränkt werden, an wen der/die Account-Inhaber*in E-Mails verschicken darf. Ein „-“ vor einer Adresse bedeutet: an diesen Account darf nicht verschickt werden.
-root@example.org
In diesem Fall dürften an root keine Mails verschickt werden.
- root@example.org
Ein „-“ Zeichen alleine bedeutet: alle Adressen. In diesem zweiten Fall dürfte an keine Adresse außer root@example.org verschickt werden.
Absender Zugriffsliste
Analog dazu verhält sich die Absender Zugriffsliste. Soll an einen Account nur von einigen E-Mail-Adressen aus adressiert werden dürfen, so können diese hier eingetragen werden. Soll der Zugriff ansonsten generell verhindert werden, muss wieder ein „-“ als eine Regel eingefügt werden:
- admin@datenkollektiv.net
In diesem Falle dürfte nur die Adresse admin@datenkollektiv.net an den Account E-Mails versenden. Alle anderen werden zurück gewiesen.
Sollen dagegen z.B. von allen Adressen der eigenen Domain E-Mails angenommen werden, würden die Regeln folgendermaßen aussehen:
- @example.org
Jetzt dürften nur Adressen aus der Domain example.org E-Mails an das Postfach verschicken. Diese Einstellung kann insbesondere bei internen Verteilerlisten gewünscht sein, wenn z.B. „alle-user@example.org“ nicht für beliebige Absender verfügbar sein soll. Die Konfigurationsmöglichkeit gibt es daher auch bei Verteilerlisten (siehe Gruppen)
Reiter "Weitere Einstellungen"
In den weiteren Einstellungen können zusätzliche Informationen untergebracht werden. In der Grundkonfiguration haben diese für die Domains von Organisationen in der Regel keine Bedeutung.
Benuzter*innen suchen
Über das Suchfeld oben links können Benutzer gesucht werden. Über das Icon mit den Werkzeugen kann ausgewählt werden in welchem Feld gesucht wird und welche Suchlogik angewendet werden soll.
Gruppen und Rollen managen
Gruppen
Rollen
Geteilte Ordner und Ressourcen verwalten
Geteilte Ordner
Ressourcen
Organisations-Einheiten
User-Einstellungen
