Hinweise für opsi auf UCS 3.1

[d.oertel]

Sehr geehrte opsi auf UCS Anwender,

im Rahmen der Updates von Samba4 durch das Samba-Projekt sind im Verhalten der
Samba Freigaben ab UCS 3.1 Veränderungen entstanden, welchen den Betrieb von
opsi stören: Ausführbare Windows Programme sind hier unter Windows über die
Freigabe "opsi_depot" nicht mehr ausführbar. Nach einer gemeinsamen Analyse
von uib und Univention empfehlen wir Ihnen kurzfristig einen der beiden
folgenden Workarounds:

1) Modifizieren der opsi_depot Freigabe:

Das UDM-Attribut "sambaCustomSettings" kann wie folgt konfiguriert werden:

Code: Alles auswählen

eval "$(ucr shell)"; \
udm shares/share modify \
  --dn "cn=opsi_depot,cn=$(hostname -f),cn=shares,$ldap_base" \
  --set sambaCustomSettings="$(printf
'admin\tusers\x20administrator\tjoin-backup\t@opsifileadmins')"

HINWEIS:
Durch diese Modifikation der Freigabe wird an die Datei:

Code: Alles auswählen

/etc/samba/shares.conf.d/opsi_depot

folgende Zeile angehängt:

Code: Alles auswählen

admin users = administrator join-backup @opsifileadmins

Die Mitglieder der Gruppe "opsifileadmins" erhalten dadurch effektiv root-Zugriff auf
die Dateien in dieser Freigabe. D.h. Samba-Operationen dieser Benutzer auf
der Freigabe werden auf der Linux-Seite als root ausgeführt. Da diese
Freigabe eine read-only Freigabe ist, werden hier aber keine modifizierenden
Samba Operationen ausgeführt.

Durch diese Modifikation verhält sich die Freigabe "opsi_depot" wieder so 'wie
gewohnt'.


2. Explizites setzen des Execute bits auf der Freigabe

Dieses Verfahren verwendet keine erhöhten Rechte, bedeutet aber wiederkehrende
manuelle Eingriffe. Damit bei einer unveränderten Freigabe die Windows
Dateien ausgeführt werden können, muß für sie explizit das execute Bit
gesetzt werden.

Dies kann man mit folgenden Befehl durchführen:

Code: Alles auswählen

chmod -R g+x /var/lib/opsi/depot

Dieser Befehl muss nach jedem Einspielen eines opsi-Paketes erneut ausgeführt
werden.

Univention und uib arbeiten weiterhin gemeinsam an einer dauerhaften Lösung,
welche dann in die Updates unserer Produkte einfließen wird.

Wir bedauern, wenn es hier zu Unannehmlichkeiten gekommen ist.

mit freundlichen Grüßen

detlef oertel uib

[marcoalp]

In welcher Konfigdatei finde ich das UDM-Attribut?

[ueluekmen]

Hi,

in welcher Datei das steht kann ich nicht sagen, aber das Listing für das UDM-Attribut muss einfach auf der Konsole ausgeführt werden. Dieses Attribut wird dann im LDAP angelegt.

Grüße
e. ueluekmen