OPSI-Servicecall funktioniert nach Upgrade auf neueste Version nicht mehr (4.1 > 4.3)

[mensch90]

Moin,
für Windows 11 habe ich einen komplett neuen funktionalen OPSI-Server installiert. Das Rad hat sich echt schnell weitergedreht und man merkt OPSI die gesteigerte Entwicklungsrate an - wahnsinn! Tolles Team bei UIB!

Nun zu meinem Problem:

via des Aufrufs

Code: Alles auswählen

[OpsiServiceCall_clienttogroup]
	"method": "objectToGroup_create"
	"params": [
			"HostGroup",
			"meinegruppemitclients",
			"%HostID%"
			]

habe ich Clients in die Gruppe "meinegruppemitclients" verschoben, um sie besser verwalten und kategorisieren zu können.
Das funktioniert nun nicht mehr:

Code: Alles auswählen

(164)     [3] [2025-10-29 18:55:26.463] [opsi-move-client-to-group] Error: retrieveJSONObject --- opsi service problem ----> {"message":"Opsi service permission error: No permission for method 'objectToGroup_createObjects'","details":null,"class":"OpsiServicePermissionError"}
(165)     [3] [2025-10-29 18:55:26.463] [opsi-move-client-to-group] Received (first 512): {"id":1,"error":{"message":"Opsi service permission error: No permission for method 'objectToGroup_createObjects'","class":"OpsiServicePermissionError","details":null},"result":null}
(166)     [3] [2025-10-29 18:55:26.463] [opsi-move-client-to-group] Error: -> {"message":"Opsi service permission error: No permission for method 'objectToGroup_createObjects'","details":null,"class":"OpsiServicePermissionError"}

Opsi hat ja einiges verändert an seinen Datenmodellen und Rechtestrukturen bei der Reise von 4.1 zu 4.3 - aber wie setze ich meine Funktion nun wieder funktionierend im clientseitig laufenden OPSI-WINST um? Wie gebe ich permissions? Wie ist die richtige Umsetzung? Wie setze ich z.B. bei Produkt A den Schalter auf setup und setze ein true/false property z.B. wolenable = true?

Vielen Dank & Gruß
mensch90

[n.doerrer]

Moin,

unter opsi4.1 gab es einen Bug in der ACL (access control list)-Prüfung. Das hätte so nie funktionieren sollen.

`objectToGroup_` Methoden sind eigentlich für den Serverseitigen Einsatz gedacht. Also entweder durch Aktionen eines users in der konfigurierten Admin-Gruppe oder durch opsi_depotserver.

Hier sollte man sich also sehr genau überlegen, ob es wirklich der Richtige Weg ist, einen Client über Host- und Produkt-Gruppenzugehörigkeiten entscheiden zu lassen. Wenn es wirklich nicht anders geht, kann die Zeile

Code: Alles auswählen

objectToGroup_create : sys_group({admingroup}); opsi_depotserver; opsi_client

am Anfang der /ect/opsi/backendManager/acl.conf eingefügt werden (anschließend opsiconfd neustarten). Dann sollte es wieder gehen.
Aber damit kann ein client dann auch andere Clients in Gruppen hinzufügen und daraus löschen, sowie die Produktgruppenzuordnungen ändern. Wir raten davon ab. Stattdessen empfehlen wir, Gruppenzugehörigkeiten manuell über den opsi-configed oder opsi-cli zu ändern.

Gruß
Nils