Med serverdrift, felles innlogging og Nextcloud satt sammen til én gjennomtenkt løsning, kan kommunen få en arbeidsplattform som er enkel å bruke og håndterbar å drifte. Det trenger verken være unødvendig komplisert eller dyrt.

Når flere skoler og etater deler ressurser og drift, kan løsningen også bli rimeligere enn dagens Microsoft 365-oppsett. Hvor mye kommunen kan spare, avhenger av driftskostnadene og hvilke betalte Microsoft-lisenser løsningen kan erstatte.

For eleven og læreren er målet enkelt: Logg inn og finn det du trenger. For IT handler det om å få brukere, maskiner og tjenester til å henge sammen, uten unødvendig manuelt arbeid.

Her beskriver vi hvordan en slik løsning kan bygges opp, både som arbeidsplattform i hverdagen og som en del av kommunens beredskap. Kommunen kan begynne ved siden av Microsoft 365 og utvide bruken etter behov.

Først gjør IT jobben bak kulissene

Før elevene får PC-ene, må IT ha klargjort både brukerne og maskinene.

Arbeidet begynner med elevlista. Opplysninger fra skolens elevadministrasjon bør kunne brukes videre, slik at de samme navnene ikke må skrives inn i flere systemer. Hver elev får én personlig organisasjonskonto og knyttes til riktig skole og klasse.

Kontoen følger eleven. Når eleven bytter klasse, endres gruppetilhørigheten og tilgangene. Det skal ikke være nødvendig å opprette en helt ny bruker hvert skoleår.

Deretter kommer maskinoppsettet. IT bestemmer hvilke programmer og innstillinger elev-PC-ene skal ha, hvordan oppdateringer håndteres, og hvordan maskinene kobles til kommunens tjenester. Et felles standardoppsett gjør det mulig å klargjøre mange PC-er på samme måte.

Det er nyttig å skille mellom to oppgaver:

• Brukerkatalogen holder orden på hvem brukerne er, hvilke grupper de tilhører, og hvilke tilganger de skal ha.
• Maskinadministrasjonen sørger for at PC-ene får riktig programvare og oppsett.

Begge delene bidrar til at brukeren finner en ferdig arbeidsplass etter innlogging. Katalogen installerer altså ikke programmer av seg selv; maskinadministrasjonen må kobles til dette arbeidet.

Se den praktiske arbeidsflyten i artikkelen om hvordan IT kan klargjøre en skoleklasse fra elevliste til ferdig Linux-PC.

Hva betyr brukerkatalog og felles innlogging?

En brukerkatalog er et felles register over brukere, grupper og maskiner. Tenk på en lærer: Kontoen forteller at læreren tilhører en bestemt skole og bestemte grupper. Tjenestene bruker disse opplysningene til å gi riktig tilgang.

FreeIPA er en mulig byggekloss for å samle brukere og innlogging på Linux-maskiner. Keycloak kan håndtere felles innlogging til nettjenester som Nextcloud. Kommunen må bestemme hvilket system som eier brukeropplysningene, og hvordan kontoer og grupper henger sammen mellom tjenestene.

Det er forskjell på å bruke samme konto flere steder og å slippe å logge inn flere ganger. Med riktig oppsett kan felles innlogging gjøre overgangen fra PC-en til nettjenestene enklere. Nextcloud-klienten må også få sin egen autorisasjon. Første tilkobling kan derfor kreve en godkjenning i nettleseren, selv om brukeren allerede er identifisert.

Målbildet er at programmene er installert, riktig server er valgt, og brukeren møter et enkelt førstegangsoppsett. Den nøyaktige innloggingsflyten avhenger av løsningen kommunen velger.

Vil du forstå hvordan innloggingen bygges opp? Les også Felles innlogging på Linux: Slik henger FreeIPA, Keycloak og Nextcloud sammen.

Én bruker på flere maskiner

En elev eller ansatt bør kunne bruke sin egen konto på flere administrerte PC-er. Det skal ikke være nødvendig å opprette en ny lokal konto manuelt hver gang noen får en annen maskin.

Vi kan tenke oss tre vanlige maskintyper:

• Personlig PC med mulighet for utlån: En fast bruker beholder sitt miljø, mens andre godkjente brukere kan logge inn med sin egen konto.
• Felles-PC: Flere elever eller ansatte bruker samme maskin etter tur, med separate brukerøkter.
• Kiosk-PC: Maskinen får et begrenset oppsett for bestemte oppgaver.

Dokumentene kan være tilgjengelige gjennom Nextcloud. Hvor mye som skal lagres lokalt, og hvor lenge lokale brukerdata skal beholdes, bestemmes ut fra hvordan maskinen brukes. Data som skal bevares, må være lagret eller synkronisert før lokale profiler ryddes bort.

Første innlogging med nett – videre arbeid uten nett

Det er rimelig at førstegangsoppsettet krever internett. PC-en leveres klargjort, brukeren kobler til nettet og logger inn med organisasjonskontoen. Brukerprofilen opprettes, og Nextcloud-klienten kobles til riktig konto.

Etter at brukeren har logget inn på maskinen, kan mellomlagrede innloggingsopplysninger gjøre det mulig å logge inn også uten kontakt med identitetstjenesten. Dette må være satt opp på forhånd. En elev som aldri har brukt akkurat den PC-en, trenger normalt kontakt med tjenesten første gang. Se Red Hats dokumentasjon om mellomlagret innlogging.

Dokumenter som er lastet ned og synkronisert, kan brukes lokalt. Når nettet kommer tilbake, kan endringene synkroniseres igjen. Nettbasert samarbeid og filer som bare ligger på serveren, trenger fortsatt forbindelse.

Første innlogging krever internett. Deretter kan innlogging og arbeid med lokale dokumenter fungere også uten nett.

Det er nyttig både i klasserommet og for ansatte som tar med PC-en hjem eller ut i felten.

Slik kan skoledagen se ut med Nextcloud

Eleven åpner PC-en, logger inn og finner skoleoppgavene sine. Læreren logger inn og finner skyplattformen, dokumentene og programmene klare. Timen kan begynne uten at læreren først må bruke tid på teknisk oppsett.

Med Nextcloud kan oppgaver organiseres med mapper som elever og lærere kjenner igjen:

1. Læreren deler ut oppgaven. Oppgaveteksten legges i klassens fellesmappe. Elevene kan lese den uten å endre originalen.
2. Eleven arbeider med sin besvarelse. Eleven lager et eget dokument og arbeider lokalt eller med nettredigering dersom det er satt opp.
3. Eleven leverer. Besvarelsen legges i en innleveringsmappe som eleven og riktig lærer har tilgang til. Andre elever får ikke tilgang.
4. Læreren gir tilbakemelding. Læreren kan kommentere i dokumentet dersom redigeringsverktøyet støtter det, bruke filkommentarer i Nextcloud eller legge en tilbakemelding i samme mappe.

Dette bygger på vanlig fil- og mappedeling i Nextcloud, med avtalte tilganger. En formell innleveringsknapp, låsing ved frist og karakteroversikt følger ikke automatisk av mappedelingen. Den enkle flyten kan likevel dekke mange vanlige oppgaver.

Når eleven har glemt passordet

Har eleven glemt passordet, kan læreren eller skolens IT-kontakt hjelpe med å lage et nytt, så eleven kommer i gang igjen.

Skolen bestemmer hvem som får denne tilgangen. Med en avgrenset rolle og et passende administrasjonsverktøy skal dette være en enkel oppgave, uten tekniske kommandoer og uten at vedkommende må være administrator for hele kommunen.

Hvor skal serverne stå?

En skole trenger ikke ha egne servere stående i et teknisk rom. Tjenestene kan kjøres på kommunens felles serverplattform eller hos en driftsleverandør.

Flere skoler og etater kan dele den samme infrastrukturen. Kontoer, grupper og tilgangsregler sørger for at en elev får sine dokumenter og klassens fellesmapper, mens en kommuneansatt får tilgangene som hører til jobben.

Serverplattformen kan bestå av flere virtuelle servere med forskjellige oppgaver: brukerkatalog, nettinnlogging, Nextcloud og databaser. Det betyr ikke én ny fysisk server for hver tjeneste, skole eller etat.

Lokale tjenester på en skole kan vurderes hvis skolen har særskilte behov ved nettbrudd. Det er likevel ikke et krav at hver skole skal ha et komplett, eget servermiljø.

Må hver skole ha VPN?

Ikke nødvendigvis. Det avhenger av hvordan kommunen velger å bygge innloggingen.

Nextcloud og nettinnlogging gjennom Keycloak kan gjøres tilgjengelig over HTTPS, slik brukerne kjenner fra andre sikre nettjenester. Da kan de brukes over vanlig internett på skolen, hjemme og ute i felten.

Linux-innlogging gjennom FreeIPA bruker også andre protokoller, blant annet LDAP og Kerberos. I et slikt oppsett er en privat nettforbindelse mellom skolen og servermiljøet et naturlig valg. Det kan være kommunens eksisterende nett eller en VPN mellom skolens brannmur og servermiljøet. Elevene trenger da ikke starte VPN selv. Se FreeIPAs beskrivelse av nettverksprotokollene.

For bærbare PC-er utenfor kommunens nett kan en automatisk maskin-VPN være et alternativ. Det finnes også andre spor: På støttede Ubuntu-oppsett kan authd brukes til innlogging mot Keycloak over HTTPS. Det er et eget valg av innloggingsløsning; det gjør ikke den tradisjonelle FreeIPA-forbindelsen om til HTTPS. Ubuntu dokumenterer støtte for Keycloak.

Målet er at vanlig arbeid skal fungere over internett, uten at brukeren må forstå eller administrere nettverksforbindelsene. Mellomlagret innlogging og lokale dokumenter gir et ekstra sikkerhetsnett når forbindelsen mangler.

To datasentre som kan overta for hverandre

Hvis kommunen skal tåle at et helt datasenter faller ut, bør nødvendige tjenester og data kunne videreføres fra et annet datasenter.

Bruker vi både FreeIPA og Keycloak, bør begge tjenestene kunne videreføres fra begge steder. Det hjelper ikke å plassere FreeIPA i det ene datasenteret og Keycloak i det andre dersom tap av ett sted fortsatt stopper hele innloggingen.

FreeIPA kan bruke flere replikaer med kopier av brukerkatalogen. Keycloak kan kjøres med flere instanser, men også databasen og trafikkstyringen må kunne håndtere feil. Avstanden og forbindelsen mellom datasentrene påvirker hvordan dette bør bygges. Keycloaks dokumentasjon om høy tilgjengelighet beskriver disse avhengighetene.

Skal dokumenttilgangen også fortsette, må Nextcloud og lagringen omfattes av beredskapen. Sikkerhetskopiering kommer i tillegg: En ekstra kopi i drift erstatter ikke en sikkerhetskopi som kan brukes til å hente tilbake slettede eller ødelagte data.

Hvis identitetstjenesten blir utilgjengelig

En elev som allerede er inne på PC-en, kan normalt fortsette å arbeide lokalt. Med riktig mellomlagring kan eleven også logge inn igjen på en maskin som er brukt tidligere. Førstegangsinnlogging på en annen PC trenger normalt kontakt med en tilgjengelig identitetstjeneste.

Hvis hele Keycloak-tjenesten er utilgjengelig, stopper ny nettinnlogging gjennom den. Eksisterende økter og allerede autoriserte klienter kan fortsette i noen oppsett, men det avhenger av hvordan tjenestene er koblet sammen.

Her utfyller tiltakene hverandre: Flere servere holder tjenestene tilgjengelige ved serverfeil. Mellomlagring hjelper når PC-en ikke når noen av dem. To datasentre reparerer ikke et lokalt nettbrudd på skolen, så begge deler har en oppgave.

Derfor kan prisen holdes fornuftig

Servere trenger ikke bety store kostnader. Innlogging og brukerkatalog krever normalt ikke kraftige servere, og hver skole trenger ikke sitt eget servermiljø.

Tjenestene kan kjøres på en felles kommunal plattform, der flere skoler og etater deler ressurser og driftskostnader. Har kommunen allerede infrastrukturen på plass, kan mye av grunnlaget brukes videre. Det gjør det mulig å bygge løsningen til en fornuftig pris.

Det er forskjell på å håndtere innlogging og filer, og å kjøre hele brukerens arbeidsøkt på en server. Når programmene kjører på PC-ene, gjør disse maskinene mye av arbeidet. Nettbasert dokumentredigering og videomøter trenger ekstra kapasitet, og dimensjoneres etter hvor mange som bruker dem samtidig.

Når vi setter sammen serverdrift, felles innlogging og Nextcloud til én gjennomtenkt løsning, kan kommunen få en arbeidsplattform som er enkel å bruke og håndterbar å drifte. Det trenger verken være unødvendig komplisert eller dyrt.

Når flere skoler og etater deler ressurser og drift, kan løsningen også bli rimeligere enn dagens Microsoft 365-oppsett. Hvor mye kommunen kan spare, avhenger av driftskostnadene og hvilke betalte Microsoft-lisenser løsningen kan erstatte. Skoleavtaler og eventuelle gratislisenser må inngå i sammenligningen, sammen med behovene som faktisk skal dekkes.

Håndterbar drift med kompetansen samlet

Den daglige administrasjonen kan gjøres oversiktlig. I en vanlig uke handler arbeidet om nye brukere, klassebytter, oppdateringer og hjelp til dem som står fast. Faste oppsett og gode verktøy kan redusere behovet for å gjøre den samme jobben manuelt på hver PC.

Sikker innlogging, større oppgraderinger og beredskap krever kompetanse. Den kan samles hos kommunens IT-avdeling eller kjøpes som en tjeneste. Hver skole trenger ikke bygge sitt eget spesialistmiljø.

IT gjør arbeidet bak kulissene, slik at elever og lærere kan logge inn og finne det de trenger, med en tydelig vei til hjelp når noe stopper.

Et alternativ ved siden av Microsoft 365

Kommunen trenger ikke begynne med å bytte ut alt den bruker i dag. Linux og Nextcloud kan innføres for avgrensede behov og brukes sammen med Microsoft 365.

For at den alternative plattformen skal gi beredskap, må den kunne brukes uavhengig av Microsoft. Innloggingen må fungere, og nødvendige dokumenter må være tilgjengelige før et avbrudd oppstår.

E-post må planlegges som en egen del. Nextcloud Mail er en e-postklient; en uavhengig e-posttjeneste trenger også en e-postserver. Det er mulig å planlegge videre bruk av de samme adressene, men postkasser, kopiering av meldinger, omkobling og tilbakeføring må håndteres særskilt. En connector eller en DNS-endring alene lager ikke en komplett reservepostkasse.

Så lenge kommunen beholder Microsoft-abonnementene, er den alternative plattformen i utgangspunktet en ekstra beredskapskostnad. Besparelser oppstår når betalte lisenser eller andre kostnader faktisk kan reduseres. Verdien i starten er at kommunen får flere handlingsmuligheter dersom en viktig tjeneste blir utilgjengelig.

For mange har Linux vært ukjent og forbundet med mye teknisk arbeid. En godt administrert løsning bør møte den usikkerheten gjennom en forståelig hverdag: Brukeren logger inn, finner dokumentene, åpner programmene og får hjelp ved behov.

Les mer om Nextcloud hos Trønder Data og drift og serviceavtaler, eller ta kontakt om en arbeidsplattform for skole og kommune.