Vorschlag für einen Anforderungskatalog (1.Etappe)

Sat Apr 12 18:12:02 CEST 2003

Liebe Carola,

Sam schrieb:
> 
> Lieber Hans-Dietrich,
> 
> dein Anforderungskatalog klingt recht spannend :) Allerdings habe ich zu
> ein paar Punkten noch Fragen, vielleicht kannst du mir das
> verdeutlichen?
> 
> (Ansonsten vorab in die Techniker-Runde: Wie weit arbeitet der Server
> mit ACLs zusammen? Grad, wenn hier User aus der Windows-Welt kommen,
> koennte das nicht uninteressant sein ...)
> 
> Am Sam, 2003-04-12 um 07.05 schrieb Hans-Dietrich Kirmse:
> > Nutzerverwaltung
> > ================
> >
> >  - Anlegen der Nutzer (Festlegungen UID, GID, ...)
> GID versteh ich - nur warum man dem Nutzer explizit eine UID zuweisen
> will, geht mir noch nicht ganz auf? Die laesst sich doch prima
> automatisch vergeben und gut? 

richtig, deswegen ist es für mich absolut nicht nachvollziehbar, das
in dem File für das klassenweise Anlegen von Accounts beim 
derzeitigen Skolelinuxserver die Lehrer das bereitstellen müssen.

Name, Vorname ist alles was der Lehrer bereitstellen müßte.

Alles andere logischerweise automatisch. Die Festlegungen wie 
dieser Automatismus zu funktionieren hat, sollte aber hier erfolgen.
Denn zu jeder Sache gibt es Ausnahmen 
(Gastaccounts, Maschinenaccounts, etc.), die sollten dann in die 
Bereiche gelegt werden, die durch diesen Automatismus frei gelassen
wurden. (so meine Meinung von einem Nichttechniker ;-)

> >  - Änderung der Klassen (neues Schuljahr)                       [2]
> Du hast dazu unten eine interessante Problematik beschrieben, die man
> ziemlich einfach umgehen kann, spaetestens, wenn der Schulserver auch im
> Abiturbereich mit Wahlfaechern und reinen Jahrgangsstufen eingesetzt
> wird, wuerde das reine Klassenprinzip in die Knie gehen. Dann gibt es
> eben keine 6a mehr, sondern nur noch den Jahrgang X.

ich habe nur als Beispiel von einem Klassensystem geschrieben. Nach
den Vorstellungen läßt sich genausogut die Struktur nach Jahrgängen 
oder nach Kursen einrichten oder auch nach anderen Kriterien.
Ich denke, das System wäre variabel genug, wenn man dem Admin die
Wahl des Gruppennamen läßt.

Wir haben auch bei uns Klassen bis zur 10 und nach Jahrgängen die 
Klassenstufe 11 und 12.

> Insofern wuerde es sich hier IMO anbieten, von vornherein die Klassen
> beispielsweise mit <Einschulungsjahr>.<Klassenkuerzel> (bsp: 2003.a) zu
> kennzeichnen. Damit wird es nur noch notwendig, der Stufe (oder
> Einzelklasse) bestimmte Rechte zuzuweisen oder zu entziehen. Keine
> laestige zusaetzliche Umschreibung aller Klassen in den Sommerferien
> mehr :) Und zusaetzlich verringert sich die Fehlerquote bei Eingaben,
> wie von dir geschildert wurden.

dadurch ist aber ein "Jahres"system zwingend vorgeschrieben. Es gibt
jetzt derartig oft klassenstufenübergreifende Strukturen, diese wären
sofort außen vor. 
Es gibt auch Schulen, die wollen keine persönlichen Accounts, 
demzufolge haben/brauchen die auch keine Jahrgangsstrukturen.
Außerdem, Einschulungsjahr verbietet sich m.E. aus dem Grund: Schüler
die eine Klassenstufe wiederholen sind ab diesen Zeitpunkt 
"gebranntmarkt" - dadurch würden sich Auflistungen (Klassenübersicht)
verbieten!

wenn, dann Abi2004, Abi2005, ... da ist es dann egal, wann er in
die Schule gekommen ist und ob es ein Wiederholer/Sitzenbleiber war.
Aber auch dann wäre ein Jahressystem zwingend und bei weitem nicht
immer sinnvoll. Und das System ist schwer, wer kann mit Abi2009
etwas anfangen?

> >  - alle Schüler und Lehrer sind Mitglied der Gruppe "tausch"      [3]
> >  - Gruppe tauschadmin (Lehrer werden durch admin aufgenommen)     [4]
> >  - Gruppe programmadmin (Lehrer werden durch admin aufgenommen)   [5]
> 
> Mir ist trotz Lektuere des Wiki noch nicht so ganz klar, was du mit
> diesen Gruppen machen willst, bist du so lieb und hilfst mir auf die
> Spruenge?

ja, dadurch ist die Möglichkeit gegeben, Schüler zeitweise von der
Nutzung des Laufwerk t auszuschließen (z.B. bei Leistungskontrollen,
"Sanktionen") bzw. bestimmten Lehrern das vollständige Schreibrecht
wegen dem Löschen (= betreuen) dieses Laufwerk zu geben und
für das Laufwerk p eben das Schreibrecht genau den Lehrern zu geben,
die es nutzen wollen. Natürlich gewährleistet dieses Konstruktion
genauso, das allen Lehrern diese Rechte sofort vergeben werden, also
keinerlei Einschränkung.

Link zum Wiki weiter unten.

> > FileServer
> > ==========
> >
> >  Laufwerk p: (Bereitstellen von Daten und serverbasierten Programmen)
> 
> sieht unter Linux ein bisschen anders aus, da das Prinzip "wir haben
> nur maximal 26 Moeglichkeiten, wo Dateien abgelegt werden koennen" so
> nicht existiert. Aber das sind Feinheiten :)
> 
> >  Share  "allhomes"
> >
> >  - NUR für Admin für bequemen Zugriff auf alle Homeverzeichnisse [11]
> 
> Kleiner Blick auf den Datenschutz, so ohne weiteres ist das nicht erlaubt.

das ist kein technisches Problem und demzufolge hier nicht relevant.
Das sollte die Schule klären. Außerdem beißt sich die Kuh hier in den
Schwanz, der Admin hat sowieso Zugriff auf alles, also kann er mit dem
Share nur viel bequemer (unter Windows) auf alles zugreifen.
Dabei geht es gar nicht um das zugreifen, sondern _suchen_ nach 
bestimmten Dateien, z.B. Programmen, wo meinetwegen vom Desktop aus
eine Verknüpfung auf Laufwerk u gelegt wurde. Wenn das verboten war,
(Nutzerordnung) dann kann der Admin mit dem MS Explorer ganz bequem
danach suchen. Da wird kein Datenschutz verletzt.
Ebenso kann man mit einem aktuellen Virenscanner alle Homever-
zeichnisse scannen. - das sind die üblichen Anwendungen.
Auch da wird kein Datenschutz verletzt.

Allerdings, wenn dieses Share anderen als dem Admin zur Verfügung
gestellt werden, dann hat der Admin sofort ein Problem.

Vorschlag: man richtet das Share ein, aber kommentiert es in der
smb.conf aus. In der Anleitung oder FAQ steht dann, wie sich der 
Admin dieses Laufwerk erstellen kann (Kommentarzeichen entfernen).
Dadurch hat man zweierlei abgesichert: 1. er hat entsprechende 
Dokumente gelesen und damit auch mit hoher Wahrscheinlichkeit auch
etwas zur Verantwortung (Datenschutz). 2. er hat ein Mindestmaß
an Voraussetzungen, denn er hat die Datei gefunden und kann sie
mit einem Editor editieren ;-)

> > WebServer
> > =========
> >
> >  - stellt verschiedene Scripte per SSL zur Verfügung           [12]
> 
> Warum soll so etwas ueber eine Web-Oberflaeche ablaufen? nur mal als
> rein interessierte Frage ...

- weil es eine Oberfläche ist, die inzwischen von jeden bedient 
  werden kann
- weil es nicht für verschiedene Clients (windows, Mac, Linux, ...)
  verschiedener Programme bedarf
- weil nur ein Programm vom Admin eingerichtet werden muß
- wenn alles per Webinterface geht, dann ist es eine einheitliche
  Oberfläche, die auch noch leicht von den Betreuern an lokale 
  Gegebenheiten angepaßt werden kann
- es ist zeitgemäß

> >  - für das lok. Webangebot wird der Nutzer "intranet" vorgesehen
> 
> ? wofuer? (Ich befuerchte, ich denke hier einfach zu sehr als Techniker,
> insofern waere eine Erklaerung des Zwecks dieser Regelung fuer mich
> ganz sinnvoll, mag sein, ich habe ob des schoenen Wetters drauszen
> einfach grad ein Brett vor dem Kopf ;)

üblicherweise liegt das zentral bereitgestellte Webangebot für
die Schule in der Wurzel des Webservers. Darauf hat normalerweise
(zumindest so wie ich das kenne) nur root oder der Nutzer www Zugriff.

Wenn aber jetzt irgend ein Lehrer wegen Arbeitsteilung das lok.
Webangebot (Programme, Links, Anleitungen, ...) pflegen will, dann
kann das doch auch von dem html_public-Verzeichnis eines (speziellen)
Nutzers geschehen. Der kann dann unabhängig von root schalten und
walten wie er will und wie er's kann. Nur auf die Scripte hat er
keinen Zugriff. Für die Einrichtung ist deshalb gar nichts zu tun.
Es wäre aber beim Erstellen der Anleitungen oder beim Bereitstellen
von Beispielkonfigurationen vielleicht zu beachten.
Außerdem wäre es einfach angebracht, diesen genau wie solche Nutzer
ftp, ... einfach schon bereitzustellen. ob die Schule den Account 
dann nutzt ist eine ganz andere Frage.

Dieser Vorschlag ist natürlich auch nicht von mir, sondern von
Joachim Hänsel, der genau wie Helmut mehrere Schulen mitbetreut
(so ca. 20 Grundschulen).

> 
> > [3]  Begründung siehe im Wiki
> >
> > [4]  Begründung siehe im Wiki
> >
> > [5]  Begründung siehe im Wiki
> 
> Bitte, koennen wir uns ob des staendig wachsenden Wiki-Umfangs
> darauf einigen, bei Verweisen auf dasselbe die entsprechende
> Seite mit anzugeben? Bsp: siehe im Wiki RollenBeiDerBedienung -
> dann weisz jeder sofort, worauf genau sich gerade bezogen wird :)

natürlich.

http://www.lug-owl.de/cgi-bin/wiki/SkolelinuxFaqFileserverErgebnisse

die Punkte 1.1 , 1.3  und 1.6

> > [6]  es ist zu überlegen, ob eine Alternative zu <login>@schuldomain
> >      sinnvoll ist. (praktisch ist mit dem Login auch die Mailadresse
> >      bekannt bzw. leicht zu erraten - da machen manche ein
> >      Datenschutzproblem daraus)
> 
> vorname.nachname at schuldomain.de - das ist relativ offen und klar. 

Hm, ein login ist eindeutig, da wird von den Schülern mit Sicherheit
nicht debatiert. Und wenn die dann diese Mailadresse haben, nehmen
die das auch hin. Nicht so bei Namensdopplungen. Wenn also 3 mal
der Name "Peter Meier" existiert, dann wird mindestens einer, 
normalerweise aber zwei bei einem "Ersatznamen" protestieren.

Außerdem: warum sollen Mailaliase gepflegt werden, wenn man ohne
sie auskommen könnte (ohne größere Einbuße an Leistung)

mir ging es um Mailadressen wie "k27a1996 at schuldomain.de",
also anonymisierte Adressen. Manche Bundesländer sollen da
Festlegungen haben. Bei uns gibt es diese nicht bzw. scheint keiner
solche Festlegungen zu kennen.

> Btw, Passwoerter kann man ja prinzipiell so angeben lassen, dass sie
> mindestens x Stellen haben und mindestens je einen Grosz- und Kleinbuchstaben
> sowie ein Sonderzeichen und/oder eine Ziffer enthalten. Und nebenbei
> in der Wortanalyse keinen woerterbuchbekannten Begriff bilden. Da ist dann
> zwar ein gut Stueck Fantasie gefragt, aber das ist durchaus machbar.

richtig, es wäre schon sinnvoll, wenn dem Admin hier wieder 
Möglichkeiten der Einflußnahme (also Restriktionen) haben könnte.
Allerdings sollte er diese selbst ändern können (dazu braucht er 
m.E. nur eine Anleitung - kein Interface). Übliche _Voreinstellung_ 
ist aber bestimmte Anzahl Buchstaben und Ziffern. Sonderzeichen und 
Großbuchstaben macht irgendetwas sonst Probleme (win3.11?).

> 
> Automatische Passwortrotation nach x Tagen gehoert ja sowieso dazu.

ist damit gemeint, daß der Lehrer nach einer Anzahl von Tagen
sein Paßwort geändert haben muß, sonst schlägt die Anmeldung fehl?
Falls das gemeint ist, manche Lehrer gehen inzwischen 2 Mal im Jahr
ins Kabinett, manche auch nur alle 2 Jahre ;-)

Auch hier kann nur die Voreinstellung (wenn überhaupt) ein Zeitraum
von mehreren Monaten sein. an anderen Schulen geht es bis auf die 
Ferien vielleicht auch mit 4 Wochen. also der Admin sollte die 
Voreinstellung ändern können. auch hier dürfte eine Anleitung 
reichen.

Allerdings, es gab mal ein Webangebot, wo man die Qualität seiner 
Passwörter testen konnte. Leider wurde dieses Angebot eingestellt.
Wenn man also was besonderes tun will, dann eben so ein 
Passwort-Cracker, der dann irgendwie eine Aussage über die Qualität 
des Passwortes macht. (träumen ist schön ;-)

> 
> > [13] es sollte PHP und SSI zur Verfügung gestellt werden, schon weil
> >      es Arktur auch kann ;-)
> >      vielleicht abschaltbar, falls es nicht gebraucht wird
> 
> Ahm ... so rein vom technischen: PHP sauber und sicher zu installieren,
> ist das eine. Aber noch SSI dazu zu nehmen, grenzt an Selbstmord.

wenn SSI keine Programme ausführen kann sehe ich dieses Problem zwar
nicht. Aber ich bin kein Sicherheitsexperte. Für Schulen, die eben
Informatikkurse anbieten immerhin etwas, was sie demonstrieren können.
Die wenigsten Schulen haben Homepages, wo SSI geboten wird, wo sollen
die diese Technik "life" erleben können?  

> Die Chance, so etwas sicher gegen Angriffe zu machen, ist in einem
> lehrerverwalteten System zu gering. 

Nicht die Lehrer sollen das System sicher machen, das System soll
sicher sein. Wenn die Lehrer eine intuitiv bedienbare Oberfläche 
geboten wird und gar nicht der Drang nach der Kommandozeile mehr 
aufkommt, dann besteht auch kaum noch die Gefahr, das was verpfuscht
wird. deswegen hat Arktur einen Account sysadm (mit den Rechten von 
root) mit einer sysadmin-Shell - eben "lehrersicher". 
Ich mache die gesamte Konfiguration unseres Systems damit, geht
schnell, ist sicher - aber ich kann immernoch keine Linux-Befehle.

übrigens, auch wenn dieses System nicht sicher gemacht werden
kann, kann der Admin damit leben, wenn 3 Voraussetzungen
erfüllt sind:
1. der Angriff läßt sich aufklären
2. der Verursacher läßt sich von der weiteren Nutzung ausschließen
3. es existiert ein akt. Backup und läßt sich schnell restaurieren

deswegen reite ich auf "aufbereiteten" Logfiles rum, deswegen will
ich das Nutzer ausgeschlossen werden können und deswegen bin ich
so hinter einen einfachen Backup her. 

Trotzdem, wir haben Medienkunde, ITG, Wahlpflichtfach sowie 
Grund- und Leistungsfach Informatik von der Klasse 5 bis 12.
Wir können uns nicht leisten, einen Schüler komplett auf längere
Zeit vom Computerzugang zu sperren. Er muß ja auch unterrichtet und
beaufsichtigt werden. Deswegen, jeder Dienst seperat für diesen
betreffenden Schüler abschaltbar, sodaß falls gewünscht, sehr fein
differenziert werden kann. 

> (Nichts gegen die mitlesenden und
> bestimmt hochmotivierten LehrerInnen, aber selbst Techniker brauchen
> einiges an Know-How, um so eine Kombination abzusichern. Die meisten
> verzichten daher auf SSI, auch wenn es nette Spielereien erzeugen
> kann :) Ich glaube daher, dass es ein bisschen viel von einem Lehrer
> verlangt waere, muesste er sich in einem so flexibel zu haltenden
> System wie dem Schulserver auch noch mit der fuer exakt seinen Fall
> richtigen Konfiguration fuer SSI befassen. Sollte ich mich an dieser
> Stelle irren, habe ich nichts gegen den Widerspruch einzuwenden :)

Mein Widerspruch: nichts gegen Konfigurationen, die exakt auf die 
Bedürfnisse genau der Schule zugeschnitten sind, aber auch hier ist 
es vielleicht besser zu sagen, wir liefern SSI, aber nur mit 
der und der Einschränkung. Auch die Lehrer können sich anpassen und 
sind oft sehr flexibel und erfinderisch, wenn sie etwas nutzen 
wollen. Es muß nicht immer alles an jeden angepaßt werden.

Vergleiche hinken, aber: es gibt auch Firmen, die passen jedes
PC-Gehäuse dem GutWill desjenigen in Form und Farbe an - gegen
gutes Geld versteht sich - nur mein PC ist immernoch im Einheitsgrau
und die von meiner Schule auch. Und ich kann auch mit einem nicht
optimal gestalteten PC gut leben. Genauso kann ich auch mit einem
nicht an mich speziell angepaßten Server leben, wenn er denn 
überhaupt interessante Sachen liefert (z.B. "sicheres" SSI).

Ein schönes Restwochenende noch.

                                  /"\
Mit freundlichen Grüßen           \ / ASCII ribbon campaign
Hans-Dietrich                      X  against HTML mail 
                                  / \ and postings