Metainformationen zur Seite
Vorbereitungen auf dem IServ
Die hier beschriebenen iservbezogenen Schritte stammen inhaltlich aus dem Supportforum (Unterforum: LDAP) auf https://support.iserv.eu. Allen dort aktiv Beitragenden sei herzlich gedankt.
Gruppenstruktur
Um einen sauberen, möglichst datensparsamen Nutzer:innenimport in Jamf School hinzubekommen, sollte es in IServ folgende Nutzer:innengruppen geben:
- Klassengruppen ohne Lehrkräfte (Sek 1)
- Kursgruppen ohne Lehrkräfte (Sek 2)
- Eine Gruppe mit Lehrkräften ohne Schüler:innen
Wer mit dem dringend empfehlenswerten Importmodul arbeitet, hat in der Regel diese Voraussetzungen schon geschaffen.
Externer LDAP-Zugang für Jamf School
Die Profis unter den Administrator:innen, die Zugang zur Konsole von IServ haben, können die Voraussetzungen selber schaffen (Offizielle Anleitung: hier).
Die entsprechende Zeile in /etc/iserv/ldapusers muss dabei lauten (alles in eine Zeile):
jamfschool:+userPassword:94.130.139.182,94.130.139.190,94.130.139.187,94.130.243.182,94.130.139.188,212.178.82.42,94.130.10.180,18.194.106.10,18.194.230.93,3.124.51.124
Im Regelfall hat man diese Möglichkeit nicht und ist auf den meist sehr guten Support von Fa. IServ angewiesen. Hier ein Muster-E-Mail-Text, den Sie an info@iserv.eu schicken können:
Liebes IServ-Team!
Wir möchten IServ, der unter der Domain <hier die IServ-Webadresse angeben> erreichbar ist, per LDAP an Jamf School anbinden. Dazu benötigen wir einen LDAP-Binduser mit dem Nutzernamen „jamfschool“. Folgende IP-Adressen müssen Zugriff erhalten:
94.130.139.182, 94.130.139.190,94.130.139.187, 94.130.243.182, 94.130.139.188, 212.178.82.42, 94.130.10.180, 18.194.106.10, 18.194.230.93, 3.124.51.124
Bitte senden Sie uns den Namen des Bind-Users und das zugehörige Passwort zu oder hinlegen Sie eine entsprechende Datei in der Admin-Gruppe unseres IServ.
mit freundlichen Grüßen,
[…]
Der Port 10636 muss nach außen hin offen d.h. eine entsprechende Portweiterleitung eingerichtet im DSL-/Kabel-/Glasfasermodem eingerichtet sein. Alternativ kann der IServ als „exposed host“ konfiguriert werden.
Anbindung anderer Systeme
Grundsätzlich ist auch möglich, andere IDM-Systeme an Jamf School anzubinden. Voraussetzung ist, dass das IDM von außen für die IPs von Jamf erreichbar ist. Es ist absolut sinnvoll Ports nur zu öffnen, wenn man per Richtlinie den Zugriff auf ausgewählte IPs beschränken kann. Für den Binduser sind sichere Credentials Pflicht ebenso wie der ausschließliche Zugriff über eine verschlüsselte Verbindung. Der zugrundeliegende Verzeichnisdienst muss sicher konfiguriert sein (kein Anonymous Bind, „klebriges“ Login bei Fehlversuchen).