Checkliste

Nach Abschluss der Installation folgt hier eine Liste kleiner Aufgaben, mit denen sich sicherstellen lässt, dass die Installation wie erwartet funktioniert.

Anmeldung #

Aus Sicherheitsgründen ist die Anmeldung nur via HTTPS möglich. Beim Login-Versuch via HTTP erscheint folgende Fehlermeldung:

Zugang nicht gestattet

Die Meldung erscheint auch bei Zugriff über HTTPS, wenn ein vorgeschalteter Reverse Proxy die TLS-Verbindung terminiert und Relution die Anfrage nicht als gesichert erkennt. Das ist der Fall, wenn der Proxy den Header X-Forwarded-Proto: https nicht sendet oder von einer IP-Adresse aus zugreift, die nicht als vertrauenswürdiger interner Proxy gilt (z. B. ein Reverse Proxy auf einem separaten Server). Ursache und Lösung sind unter Login: Zugang nicht gestattet → beschrieben. Aufrufe direkt über localhost, 127.0.0.1 oder [::1] sind von der Prüfung ausgenommen.

System Administrator #

Mit Hilfe des Systemadministrators können weitere Organisationen erstellt werden.

Die Anmeldung bei Relution als Systemadministrator erfolgt mit dem Benutzernamen admin und dem Passwort, das in der application.yml oder in den Umgebungsvariablen definiert ist. War beim ersten Serverstart unter email bzw. SYSTEM_ADMIN_EMAIL eine E-Mail-Adresse hinterlegt, ist die Anmeldung alternativ mit dieser E-Mail-Adresse möglich.

application.yml

relution:
  system:
    admin:
      password: ""
      email: ""

Umgebungsvariablen

SYSTEM_ADMIN_PASSWORD=""
SYSTEM_ADMIN_EMAIL=""

Bleibt das Passwort leer, legt Relution keinen Systemadministrator an. Im Server-Log erscheint dann die Warnung System admin cannot be created - password is not set.

Ein weiteres Systemadministrator-Konto lässt sich ohne Datenbankzugriff über die Konfiguration anlegen, siehe Zusätzlichen Systemadministrator anlegen →.

Organisationsadministrator #

Die Anmeldung bei Relution als Organisationsadministrator ist möglich. Die Zugangsdaten des ersten Organisationsadministrators werden bei der Installation über die Umgebungsvariablen ORGA_ADMIN_USERNAME, ORGA_ADMIN_PASSWORD und ORGA_ADMIN_EMAIL festgelegt oder beim Anlegen der Organisation vergeben. Bei Verwendung von LDAP → sicherstellen, dass eine Anmeldung mit mindestens einem LDAP-Benutzerkonto möglich ist.

Aus Sicherheitsgründen wird dringend empfohlen, das Passwort nach der ersten Anmeldung zu ändern.

Zertifikate #

Sicherstellen, dass eine Verbindung zu Relution über den externen Hostnamen möglich ist. Mobile Geräte können strenger sein, wenn es um die Überprüfung von SSL-Zertifikaten geht. Selbst wenn der Desktop-Browser eine gültige HTTPS-Verbindung anzeigt, können die Geräte die Verbindung ablehnen, wenn einige Dinge nicht richtig konfiguriert sind. Dringend empfohlen wird die Prüfung mit SSL Labs →, um festzustellen, ob alles richtig eingestellt ist.

Häufige Fehler

• Unvollständige Zertifikatskette (fehlende Zwischenzertifikate). Chrome, Firefox usw. können dies ignorieren, aber mobile Geräte können die Verbindung ablehnen.

• Der Reverse Proxy nutzt Server Name Indication (SNI). Dies wird von einigen älteren Android-Versionen nicht unterstützt. Als Abhilfe sicherstellen, dass das Zertifikat des MDM-Servers das erste ist, das zurückgegeben wird.

Mobile Geräte lehnen das Zertifikat ab #

Mögliche Ursache

• Die Zertifikatskette kann unvollständig sein. Eine unvollständige Kette wird von den meisten Desktop-Browsern ignoriert, kann aber auf mobilen Geräten zu Fehlern führen.

Lösung

• SSL Labs → verwenden, um zu überprüfen, ob das SSL- Zertifikat korrekt eingerichtet ist. Es dauert etwa 5 Minuten, bis der Test abgeschlossen ist. Alle gemeldeten Probleme beheben.

Mobile Geräte erhalten ein anderes Zertifikat #

Mögliche Ursache

• Der Server verwendet möglicherweise die Server Name Indication (SNI), die nicht von allen mobilen Geräten unterstützt wird.

Lösung

• Den Webserver so konfigurieren, dass das erste Zertifikat, das zurückgegeben wird, dasjenige ist, das von den mobilen Geräten benötigt wird. Die Geräte sind nicht in der Lage, ein bestimmtes Zertifikat anzufordern, und verwenden immer das erste, das vom Server gesendet wird.

Datenbankbackups #

Sicherstellen, dass eine funktionierende Datenbanksicherung vorhanden ist. Dies ist wichtig für den Fall, dass die Hardware ausfällt oder eine Aktualisierung schief geht. Ist ein Objektspeicher (S3) angebunden, wird zusätzlich der Bucket gesichert. Details zu Umfang und Ablauf stehen unter Disaster Recovery →.

iOS #

Empfohlen wird die Verwendung der Relution App Family für iOS aus dem öffentlichen App Store. Beim Anlegen einer Organisation werden Relution Agent, Relution Teacher und Relution Files automatisch aus dem Apple App Store in den Relution App Store importiert. Weitere Apps wie Relution Assets oder Relution Decon lassen sich bei Bedarf manuell aus dem App Store hinzufügen. Ist bei der Installation ORGA_SKIPPREFILL=true gesetzt, entfällt dieser Import für die dabei angelegte Organisation.

Android #

Beim Anlegen einer Organisation importiert Relution den Relution Agent und Relution Teacher automatisch aus Google Play. Die aktuellen Versionen des Android Companion und des Android Agent ermittelt der Server selbst über repo.relution.io. Welche Versionen auf den Geräten installiert werden, ist unter Einstellungen → Relution Client Apps einsehbar.

Für Umgebungen ohne Zugriff auf Google Play bzw. repo.relution.io stehen die Installationspakete auch direkt zur Verfügung:

• Android Companion →
• Android Agent →

Support #

Für Support-Zwecke kann es sinnvoll sein, den Fernzugriff auf den Relution-Server zu erlauben. Empfehlenswert ist die Aktivierung oder Installation von Fernzugriffssoftware wie Remote Desktop, SSH oder TeamViewer. Für die bestmögliche Sicherheit empfiehlt sich die Verwendung von SSH mit schlüsselbasierter Authentifizierung.

Empfehlenswert ist zudem die Verwendung eines separaten Benutzerkontos für das Supportpersonal (z. B. für Audit-Zwecke). Der Support benötigt in der Regel Lese- und Schreibzugriff auf das Installationsverzeichnis von Relution und die Fähigkeit, den Relution-Dienst neu zu starten.

Der Relution Support ist in der Regel kostenpflichtig.