Hvordan får kommunen en Linux-PC der brukeren logger inn og finner dokumentene og tjenestene sine klare? FreeIPA, Keycloak og Nextcloud kan inngå i en slik løsning. Her forklarer vi hva hver del gjør, og hvordan de kan kobles sammen.

For IT-ansvarlige som kjenner Windows og Microsoft 365, er behovet kjent: Brukerne skal administreres sentralt, tilganger skal følge rollen deres, og en ny PC skal kunne klargjøres uten at alt må settes opp manuelt.

Med åpne løsninger fordeles disse oppgavene mellom flere tjenester. For å forstå helheten begynner vi med hva hver del gjør.

Fire oppgaver som må henge sammen

FreeIPA bygger blant annet på LDAP for katalogopplysninger og Kerberos for autentisering. SSSD er klientkomponenten på Linux-maskinen som knytter den til den sentrale identitetsløsningen. Se FreeIPAs beskrivelse og SSSDs dokumentasjon.

Det trengs også maskinadministrasjon som installerer programmer og legger på innstillinger. At en bruker finnes i katalogen, betyr ikke i seg selv at Nextcloud-klienten blir installert på PC-en.

Først må vi bestemme hvor brukerne forvaltes

Et viktig valg kommer før selve innloggingen: Hvilket system skal være hovedregisteret for kontoene?

Skolens elevadministrasjon kan være kilden til opplysninger om elever og klasser. Identitetsløsningen må deretter sørge for at riktige kontoer og grupper finnes i tjenestene.

I et oppsett med FreeIPA som felles katalog kan Keycloak hente brukere derfra gjennom en katalogkobling. IT må bestemme hvilke opplysninger som skal overføres, og hvor endringer skal gjøres. Keycloak har forskjellige driftsmåter for eksterne kataloger; passord og brukeropplysninger blir derfor ikke automatisk holdt like i alle oppsett. Keycloaks dokumentasjon om eksterne kataloger forklarer disse valgene.

Har organisasjonen allerede brukerne sine direkte i Keycloak, må overgangen planlegges. Nye katalogkontoer må kobles til riktige eksisterende brukere, slik at dokumenter og tilganger fortsatt følger samme person.

Det bør også finnes en tydelig rutine for klassebytte, navneendring og avslutning av kontoer. Målet er å endre opplysningene på ett avtalt sted og la integrasjonene gjøre resten.

Samme konto og engangspålogging er forskjellige ting

En bruker kan ha samme brukernavn og passord på PC-en og i Nextcloud, men likevel bli bedt om å logge inn to ganger.

Engangspålogging betyr at en allerede gjennomført innlogging kan brukes videre til andre tjenester.

Dette krever en sammenhengende løsning. Det er ikke nok at FreeIPA, Keycloak og Nextcloud er installert og tilgjengelige.

En mulig vei er å bruke Kerberos fra PC-innloggingen videre gjennom nettleseren til Keycloak. Derfra kan Nextcloud få bekreftet hvem brukeren er.

Vi følger en lærer fra PC-en til dokumentene

La oss kalle læreren Anne. Hun tilhører en bestemt skole og har tilgang til egne dokumenter og noen fellesmapper.

1. Anne logger inn på en administrert Linux-PC

Maskinen er på forhånd koblet til identitetsløsningen. SSSD håndterer kontakten med FreeIPA, og oppsettet sørger for at Anne får sin lokale brukerprofil.

Programmene er allerede installert gjennom kommunens maskinadministrasjon. Anne trenger ikke opprette en ny konto manuelt på hver PC.

2. PC-innloggingen gir en Kerberos-billett

Ved en egnet innlogging med kontakt til FreeIPA kan Anne få en Kerberos-billett. Det er et tidsbegrenset bevis på at hun er autentisert.

Billetten kan brukes til tjenester som er satt opp til å godta den. Den er ikke det samme som en generell tilgang til alle kommunens systemer.

3. Anne åpner Nextcloud i nettleseren

Nextcloud sender innloggingen videre til Keycloak. Hvis nettleseren og Keycloak er konfigurert for Kerberos-billetten, kan Anne bli gjenkjent uten å skrive passordet igjen.

Denne nettlesermekanismen kalles SPNEGO. Hvis billetten mangler eller nettleseren ikke er konfigurert for dette, kan hun i stedet møte en vanlig innloggingsside. Se Keycloaks forklaring av Kerberos og nettleserinnlogging.

4. Nextcloud finner riktig bruker og riktige tilganger

Nextcloud kan kobles til Keycloak gjennom OpenID Connect, ofte forkortet OIDC. Da bruker Nextcloud innloggingen til å identifisere Anne.

IT må sørge for en stabil kobling mellom identiteten og Nextcloud-kontoen. Det må også være avtalt hvordan grupper overføres og brukes. At Anne er identifisert som lærer, gir henne ikke automatisk tilgang til enhver klassemappe; tilgangsreglene må være satt opp. Se Nextclouds OpenID Connect-integrasjon.

De viktigste forbindelsene

Oversikten viser innloggingsforbindelsene. Dokumentene ligger i Nextcloud og det tilhørende lagringsmiljøet.

Nextcloud-klienten har sitt eget oppsett

Nettleserinnlogging og synkroniseringsklienten på PC-en er to forskjellige deler.

Nextcloud-klienten må vite hvilken server og konto den skal bruke, og hvilke mapper som skal synkroniseres. Den trenger også egen autorisasjon.

IT kan forhåndsutfylle oppsettet, slik at brukeren slipper å finne serveradressen og velge innstillinger selv. Ved første tilkobling kan brukeren godkjenne klienten gjennom nettleseren. Det finnes også administrerte oppsett der kontoen klargjøres uten oppsettsveiviseren, med et eget app-passord.

Dette må håndteres per bruker og enhet. Et felles passord for alle maskiner er ingen god snarvei. Se Nextclouds dokumentasjon om klargjøring av klienten.

Målet er en enkel opplevelse for Anne, selv om flere oppgaver er løst bak kulissene.

Hva må IT ha klargjort?

For at denne flyten skal fungere, må kommunen ha tatt noen felles valg:

• Hvor kontoer, grupper og passord forvaltes.
• Hvordan Linux-maskinene knyttes til identitetstjenesten.
• Hvordan nettleserinnlogging og eventuell engangspålogging skal fungere.
• Hvordan identiteten kobles til riktig Nextcloud-konto.
• Hvordan programmer og brukerinnstillinger legges på maskinene.
• Hvordan lokale dokumenter og mellomlagret innlogging håndteres.

Når dette er samlet i standardoppsett og faste rutiner, kan nye maskiner og brukere klargjøres langt mer ensartet.

Les videre om sentral klargjøring av Linux-PC-er, fra elevliste til ferdig arbeidsplass.

På skolen, hjemme og uten nett

Nextcloud og Keycloaks nettinnlogging kan være tilgjengelige over HTTPS. En tradisjonell FreeIPA-klient bruker også LDAP og Kerberos. Den forbindelsen kan gå gjennom kommunens private nett eller en automatisk VPN. Se FreeIPAs nettverksprotokoller.

Utenfor kommunens nett må vi derfor skille mellom å åpne Nextcloud og å kontakte katalogen for en ny PC-innlogging.

En tidligere innlogget bruker kan få tilgang til PC-en gjennom lokal mellomlagring dersom dette er konfigurert. Dokumenter som allerede er synkronisert, kan brukes videre. En helt ny bruker på maskinen trenger normalt kontakt med identitetstjenesten først.

Mellomlagret PC-innlogging gir heller ikke automatisk en ny Kerberos-billett eller en ny nettinnlogging. Nettjenestene har sine egne forbindelser og gyldighetstider.

FreeIPA er heller ikke obligatorisk i alle Linux-oppsett. På støttede Ubuntu-systemer finnes authd, som blant annet støtter Keycloak som identitetsleverandør. Det er en alternativ innloggingsmodell med en annen brukerflyt. Se Ubuntus dokumentasjon.

Når en tjeneste faller bort

Lokal mellomlagring og flere servere løser forskjellige problemer.

Mellomlagringen hjelper Anne når PC-en ikke når identitetstjenesten. Flere servere gjør det mulig å holde den sentrale tjenesten tilgjengelig ved serverfeil.

Skal løsningen tåle bortfall av et helt datasenter, må nødvendige tjenester kunne videreføres et annet sted. For Keycloak gjelder dette også databasen og trafikkstyringen. For fortsatt dokumenttilgang må Nextcloud og lagringen omfattes av planen. Se Keycloaks dokumentasjon om høy tilgjengelighet.

For IT er oppgaven å få disse delene til å fungere sammen. For Anne er målet fortsatt det samme: Hun logger inn, finner dokumentene sine og kommer i gang med arbeidsdagen.

Denne artikkelen utdyper hvordan Linux og Nextcloud kan brukes i skole og kommune.