En elev skal kunne åpne PC-en, logge inn og finne skolearbeidet sitt. Læreren skal møte dokumentene, programmene og skyplattformen klar til bruk. Arbeidet som gjør det mulig, skjer hos IT.

Da vi diskuterte en åpen arbeidsplattform for skole og kommune, var dette et av de viktigste poengene: Den største terskelen ligger ofte i klargjøringen og driften. Hvordan oppretter vi brukerne? Hvordan får de riktige tilgangene? Hvordan gjør vi mange PC-er klare uten å sette opp hver eneste maskin for hånd?

Vårt utgangspunkt i Trønder Data er enkelt: Det trenger ikke å være dyrt. Flere skoler og etater kan dele ressurser og driftsarbeid. Med gode standardoppsett kan også den daglige administrasjonen bli oversiktlig.

Her følger vi en mulig arbeidsmåte fra elevlista kommer inn, til eleven logger inn på en ferdig Linux-PC. Deretter ser vi på hvordan samme oppsett kan brukes gjennom skoleåret.

Begynn med arbeidsmåten, før verktøyene

Det er lett å begynne med navn på løsninger: Linux, FreeIPA, Keycloak, Nextcloud og verktøy for maskinadministrasjon. For IT-avdelingen er det like viktig å avklare hvem som gjør hva.

Skolen vet hvilke elever som begynner, hvem som bytter klasse, og hvilke lærere som skal ha ansvar for gruppene. IT må sørge for at disse opplysningene blir til riktige kontoer, tilganger og maskinoppsett.

En god løsning trenger derfor en sammenhengende arbeidsflyt:

Elevopplysninger → konto og grupper → tilgang til tjenester → klargjort PC → personlig arbeidsplass.

Hvert ledd har sin oppgave. Når de er koblet sammen, kan mange av de vanlige endringene håndteres gjennom faste rutiner.

Brukeren og maskinen er to forskjellige ting

Før vi klargjør noe, bør vi skille mellom eleven og PC-en. Eleven trenger en personlig konto. Kontoen skal følge eleven gjennom skoleåret, også ved klassebytte eller bytte av maskin.

PC-en trenger operativsystem, programmer, innstillinger og tilkobling til kommunens tjenester.

Dette skillet gjør det lettere å håndtere utlån og utskifting. Hvis en PC blir ødelagt, bør eleven kunne bruke sin eksisterende konto på en annen klargjort maskin.

Det er også grunnen til at en brukerkatalog alene ikke løser hele oppgaven. Den holder orden på identiteten. Maskinadministrasjonen sørger for at arbeidsplassen er klar. I artikkelen om felles innlogging på Linux forklarer vi hvordan FreeIPA, SSSD, Keycloak og Nextcloud kan henge sammen.

1. Elevlista blir utgangspunktet

Skolens elevadministrasjon bør være kilden til opplysninger om elever og klasser.

IT trenger en avtalt måte å hente nødvendige opplysninger på. Det kan være en integrasjon mot et API eller en kontrollert import fra en fil. Koblingen må tilpasses systemet skolen bruker.

For hver elev må arbeidsflyten kunne skille mellom en ny og en eksisterende bruker. Den må også vite hvilken skole og klasse eleven tilhører.

Klassebytte bør normalt ikke bety ny konto. Eleven beholder identiteten sin, mens gruppene og tilgangene oppdateres.

Det krever en stabil måte å kjenne igjen personen på. Navn og e-postadresse kan endre seg. Derfor bør ikke koblingen være avhengig av bare disse opplysningene.

Det samme prinsippet gjelder lærere og andre ansatte. En person som får nye oppgaver, trenger ofte endrede tilganger, mens kontoen og dokumentene skal bestå.

2. Kontoer og grupper opprettes sentralt

Når opplysningene er klare, kan de brukes til å opprette eller oppdatere kontoene i identitetsløsningen.

FreeIPA er en mulig brukerkatalog for et slikt oppsett. Kontoer kan administreres gjennom et nettgrensesnitt, og flere brukere kan håndteres samlet gjennom automatisering. Red Hats dokumentasjon for den FreeIPA-baserte IdM-løsningen beskriver både brukeradministrasjon i nettleseren og verktøy for automatisering.

Grupper kan representere skole, klasse og rolle. De kan brukes som grunnlag for tilgang til tjenester og mapper.

Men sammenhengen må være konfigurert. En klassegruppe i katalogen oppretter ikke automatisk en ferdig mappe med riktige tilganger i Nextcloud.

IT må bestemme hvordan gruppene overføres, hvilke mapper de skal gi tilgang til, og hvem som kan endre dette. Når koblingen først er etablert, kan den brukes videre for nye klasser og brukere.

3. Lag en felles oppskrift på elev-PC-en

IT bør ha en oppskrift som beskriver hvordan en administrert elev-PC skal være konfigurert. Oppskriften kan blant annet angi:

• Hvilken Linux-versjon som skal brukes.
• Hvilke programmer som skal være installert.
• Hvordan maskinen kobles til identitetstjenesten.
• Hvordan nettleseren og Nextcloud-klienten skal konfigureres.
• Hvordan oppdateringer, overvåking og brukerstøtte håndteres.

Målet er at samme oppsett skal kunne brukes flere ganger. En ny maskin, en reinstallert maskin og en erstatningsmaskin bør kunne få samme grunnlag.

Det kan finnes forskjellige profiler for elev-PC-er, lærer-PC-er, fellesmaskiner og kiosk-PC-er. Mye kan være likt, mens nødvendige forskjeller legges på gjennom profilene.

Da slipper IT å vedlikeholde mange nesten identiske installasjoner som etter hvert har blitt forskjellige fordi de er satt opp for hånd.

Automatiseringen gjennomfører oppskriften

Ansible er ett eksempel på et verktøy som kan brukes til å legge på programvare og innstillinger. IT beskriver ønsket oppsett i oppskrifter, kalt playbooks, som brukes til å konfigurere maskinene. Ansible forklarer arbeidsmåten her.

Kommunen må også velge hvordan administrasjonen skal nå PC-ene. Et oppsett som kontakter maskinene på skolens nett, har andre forutsetninger enn en klient som selv henter oppgaver over internett.

Dette er særlig relevant når elevene tar PC-ene med hjem. Administrasjonsløsningen bør passe til den faktiske bruken gjennom skoleåret.

4. Hver PC registreres som sin egen enhet

Selv om maskinene får samme grunnoppsett, må hver PC kunne identifiseres og administreres separat.

IT bør kunne se hvilken maskin det er, hvilken profil den bruker, og om den er personlig eller deles av flere.

En PC kan være knyttet til en fast primærbruker og samtidig tillate at andre godkjente brukere låner den. Låneren logger da inn med sin egen konto og får en separat brukerøkt.

Dette var også et viktig poeng i diskusjonen vår: En arbeidsplass trenger ikke være enten helt personlig eller helt felles. Oppsettet kan tilpasses hvordan maskinen faktisk brukes.

På delte maskiner må IT bestemme hvor lenge lokale profiler og filer skal beholdes. På en personlig PC kan det være naturlig å beholde mer lokalt, slik at brukeren kan arbeide uten nett.

5. Nextcloud klargjøres for riktig bruker

Nextcloud-klienten kan være installert før eleven får PC-en. Den personlige kontoen må likevel settes opp i elevens egen brukerøkt.

IT kan forhåndsutfylle serveradresse og andre innstillinger. Eleven slipper da å finne fram til riktig server og gjøre alle valgene selv.

Ved første tilkobling kan klienten godkjennes gjennom nettleseren. Det finnes også muligheter for administrert kontooppsett uten oppsettsveiviseren, med et eget app-passord. Nextcloud dokumenterer klargjøring av klienten her.

Autorisasjonen må håndteres per bruker og enhet. På en felles-PC skal neste elev få sin egen konto og sine egne dokumenter.

IT må også bestemme hva som skal lastes ned. Det er ikke nødvendigvis ønskelig å synkronisere alt brukeren har tilgang til, særlig på maskiner med mange forskjellige brukere.

For eleven bør dette framstå enkelt: Egen arbeidsmappe og avtalte fellesmapper er tilgjengelige, uten at eleven må forstå hvordan tjenestene er koblet sammen. Slik blir Linux-PC-en og Nextcloud en sammenhengende arbeidsplass.

6. Første innlogging etablerer arbeidsplassen

Når PC-en er klargjort, kobler eleven til nettet og logger inn med organisasjonskontoen. Brukerprofilen opprettes etter det valgte oppsettet. Nextcloud kobles til, og valgte dokumenter kan lastes ned.

Skal maskinen brukes uten nett senere, må både innlogging og nødvendige filer være gjort tilgjengelige på forhånd. Første innlogging alene betyr ikke at alle dokumentene allerede er lastet ned.

Det er derfor nyttig å skille mellom flere deler av klargjøringen:

Dette gir IT et bedre bilde av hva som gjenstår før eleven skal kunne arbeide selvstendig.

De første spørsmålene bør være tenkt gjennom

I Trønder Data opplever vi at brukere ringer fordi de trenger hjelp med første innlogging, med å finne igjen brukernavnet eller med å få et nytt passord. Et annet spørsmål er ganske enkelt: «Hvor finner jeg Nextcloud?»

Det forteller oss noe om hva et godt oppsett bør inneholde. En logisk nettadresse gjør det enklere å finne tjenesten fra nettleseren. På en klargjort skole-PC skal Nextcloud allerede være installert og satt opp så langt det lar seg gjøre på forhånd.

Innloggingssiden bør også ha en tydelig vei til passordhjelp. Brukeren skal kunne finne «Glemt passord» før vedkommende kommer inn. Det trenger ikke ligge på kommunens vanlige hjemmeside; en kjent innloggingsadresse kan samle inngangen og hjelpen.

Keycloak har en innebygd funksjon for glemt passord som kan aktiveres på innloggingssiden. Gjenopprettingsflyten må være satt opp for organisasjonens brukere og katalogkobling, med en fungerende måte å motta tilbakestillingen på. Keycloaks administrasjonsveiledning beskriver funksjonen.

Enkel passordhjelp på skolen

Et av poengene våre er at det skal være enkelt å hjelpe hverandre med de vanlige kontoproblemene:

«Når løsningen er satt opp, er det uhyre enkelt å lære opp lærere og skolens IT-kontakt til å hjelpe en elev eller kollega med å få et nytt passord.»

De som får denne oppgaven, må ha riktig, avgrenset tilgang og vite hvordan de bekrefter hvem de hjelper. Med et egnet administrasjonsverktøy trenger de verken kunne Linux-kommandoer eller være administrator for hele kommunen.

I FreeIPA-baserte IdM-oppsett finnes det nettbasert passordadministrasjon og rettigheter for passordhjelp. IT må velge roller og avgrensninger som passer skolen. Red Hat beskriver passordadministrasjonen her.

Dette er en del av klargjøringen: Brukeren skal finne arbeidsplassen sin, og skolen skal ha en forståelig vei til hjelp når noen står fast.

Samme oppsett brukes gjennom skoleåret

Se for deg én skole med 300 elever, eller to skoler med 600 til sammen. Klargjøring før skolestart er bare begynnelsen. Gjennom året kommer det nye elever, klassebytter og maskiner som må erstattes.

En ny elev begynner

Elevopplysningene legges inn gjennom den avtalte arbeidsflyten. Kontoen opprettes, gruppene blir riktige, og eleven får en PC med skolens standardoppsett.

En elev bytter klasse

Kontoen beholdes. Tilgangene oppdateres ut fra den nye gruppetilhørigheten, samtidig som skolen bestemmer hvordan tidligere skolearbeid skal håndteres.

En PC må erstattes

Erstatningsmaskinen får samme grunnoppsett. Eleven bruker sin eksisterende konto. Dokumenter som er synkronisert til Nextcloud, kan bli tilgjengelige igjen. Endringer som bare finnes på en ødelagt PC, må håndteres separat.

Eleven får en låne-PC

En klargjort låne-PC kan tillate innlogging med elevens egen konto. Førstegangsinnlogging på akkurat den maskinen trenger normalt kontakt med identitetstjenesten.

Maskinen skal overtas av andre

Lokale brukerdata ryddes etter skolens rutiner. Dokumenter som skal bevares, må være sikret først. Deretter kan maskinen brukes videre med samme standardoppsett.

Hvor blir det av kostnadene?

Når vi snakker om en slik plattform, er det lett å se for seg store serverkjøp og mye arbeid på hver skole. Vi mener det er mer nyttig å se på hva kommunen kan dele.

Flere skoler og etater kan bruke en felles serverplattform. De kan også dele kompetanse, overvåking, vedlikehold og oppskriftene som brukes til klargjøring.

Innlogging og brukerkatalog krever normalt ikke kraftige servere. Når programmene kjører på PC-ene, utfører disse maskinene mye av arbeidet.

Den samme tankegangen gjelder administrasjonen: Et gjennomarbeidet standardoppsett kan brukes på flere maskiner og ved flere skoler. Kostnaden ved å utvikle og vedlikeholde det kan dermed fordeles på flere brukere.

Det trenger ikke å være dyrt. Men et godt regnestykke må ta med etablering, løpende drift og tjenestene kommunen faktisk trenger.

Kompetansen kan samles

Det krever kompetanse å etablere koblingene mellom elevadministrasjon, brukerkatalog, nettinnlogging, maskinadministrasjon og Nextcloud.

Når dette er gjort, bør de vanlige oppgavene kunne følge oversiktlige rutiner. Skolens kontaktperson trenger ikke forstå hele infrastrukturen for å hjelpe med et glemt passord eller melde behov for en låne-PC.

Sentral IT eller en driftsleverandør kan forvalte grunnplattformen og større endringer. Skolen håndterer de oppgavene den har fått ansvar og tilgang til.

Dette er forskjellen mellom å ha en samling tekniske produkter og å ha en arbeidsplattform som organisasjonen kan bruke over tid.

For eleven skal resultatet fortsatt være enkelt: Logg inn, finn skolearbeidet og kom i gang.

Les også oversikten over Linux og Nextcloud i skole og kommune og forklaringen av hvordan FreeIPA, Keycloak og Nextcloud henger sammen.