Weboberfläche

Zum Inhaltsverzeichnis

Job-Scheduler und Backup-Server lassen sich auch im Browser bedienen, ohne Windows und ohne zusätzliche Software. Die Weboberfläche ist in bkp_sched und bkp_target eingebaut und läuft über dieselbe HTTPS-API wie die Verwaltungskonsole und die Target-Konsole. Sie eignet sich besonders für reine Linux-, Proxmox- und Xen-Umgebungen.

Voraussetzung ist die eingeschaltete API (Kapitel 14, Kapitel 15); das Setup schaltet sie auf Wunsch ein. Die Weboberfläche selbst ist dann ab Werk an. Wer sie nicht möchte, schaltet sie in bkp_sched.cfg bzw. bkp_target.cfg ab; die API für die Konsolen bleibt davon unberührt:

[api]
web=no

Den Port nur für die Rechner in der Firewall öffnen, von denen aus verwaltet wird. Die Oberfläche richtet sich nach der Sprache des Browsers (Deutsch, Englisch, Spanisch, Französisch, Kroatisch) und lässt sich oben rechts umschalten; sie passt sich hellen und dunklen Einstellungen und schmalen Bildschirmen an.

16.1 Der erste Aufruf: Browserwarnung und Fingerabdruck#

Die API arbeitet ab Werk mit einem selbstsignierten Zertifikat. Beim ersten Aufruf warnt der Browser deshalb einmal, die Verbindung sei nicht privat. Das ist erwartet und kein Fehler. Bevor Sie die Warnung bestätigen, vergleichen Sie den Fingerabdruck (SHA-256) des Zertifikats mit dem, den der Rechner selbst nennt:

bkp_sched api-info          # Job-Scheduler
bkp_target --api-info       # Backup-Server

Den Fingerabdruck zeigt der Browser in den Details der Warnung bzw. über das Schloss- oder Warnsymbol neben der Adresse („Zertifikat anzeigen“). Stimmen beide überein, gehört die Seite zu Ihrem Rechner und Sie können fortfahren. Die Anmeldeseite erklärt das noch einmal. Wer die Warnung nicht sehen möchte, verwendet ein eigenes Zertifikat (Abschnitt „Eigenes Zertifikat“).

16.2 Anmelden#

Angemeldet wird mit dem Namen und dem Kennwort eines Web-Benutzers. Der Browser leitet aus dem Kennwort einen Schlüssel ab und signiert damit jede Anfrage; das Kennwort selbst verlässt den Browser nie, und der Server kennt nur einen daraus abgeleiteten Wert. Nach zehn Fehlversuchen sperrt der Server die Adresse des Browsers für eine Minute.

• Die Anmeldung gilt für den Browser-Tab: Neu laden behält sie, Schließen beendet sie.
• Nach 30 Minuten ohne Eingabe meldet die Oberfläche ab; zwei Minuten vorher erscheint eine Warnung, und jede Eingabe verlängert die Sitzung.
• Das eigene Kennwort ändern Sie oben rechts über Ihren Namen („Kennwort ändern…“); dort melden Sie sich auch ab.

Was der Server ohnehin nur auf der Kommandozeile erlaubt (in [api] gesperrte Aktionen wie das Löschen von Stores ohne allow-delete), geht auch im Browser nicht. Fehler zeigt die Oberfläche mit Text und nächstem Schritt; ? und F1 öffnen den passenden Abschnitt dieses Handbuchs.

16.3 Web-Benutzer#

Web-Benutzer sind die Menschen, die sich an der Weboberfläche anmelden. Jeder Job-Scheduler und jeder Backup-Server hat seine eigenen. Namen bestehen aus Buchstaben, Ziffern, „-“ und „_“ (höchstens 64 Zeichen, nicht beginnend mit lic-, das ist für den Lizenzserver reserviert); Kennwörter haben mindestens 10 Zeichen. Es gibt vier Wege, sie anzulegen und zu pflegen:

• Setup: Unter Linux fragt das Setup am Ende nach dem ersten Benutzer (Vorgabe admin, Rolle Administrator) und zeigt danach Adresse und Fingerabdruck. Das Windows-Setup bietet dasselbe auf der Seite „Weboberfläche“ an. Ohne Fenster: --web-user <name> mit --web-password-file <datei>.
• Weboberfläche: Seite „Einstellungen“, Karte „Web-Benutzer“ (nur für Administratoren).
• Konsolen: In der Verwaltungskonsole Menü „Scheduler“ › „Web-Benutzer…“, in der Target-Konsole Menü „Server“ › „Web-Benutzer…“. Dafür braucht die Konsole ein Admin-Token. Auch hier wird der Schlüssel auf dem Windows-Rechner abgeleitet.
• Kommandozeile auf dem Rechner selbst (das Kennwort wird zweimal verdeckt abgefragt, --password-stdin liest es für Skripte aus der ersten Zeile):

bkp_sched web-user add eva --role admin
bkp_sched web-user add leser --role read
bkp_sched web-user passwd eva
bkp_sched web-user list
bkp_sched web-user remove leser

bkp_target --web-user-add eva --role admin
bkp_target --web-user-passwd eva
bkp_target --web-user-list
bkp_target --web-user-remove eva

Sich selbst kann ein Administrator weder entfernen noch über die Benutzerverwaltung ändern. Legen Sie deshalb einen zweiten Administrator an, damit sich bei einem vergessenen Kennwort noch jemand anmelden kann; sonst hilft web-user passwd auf der Kommandozeile. Kennwörter geben Sie persönlich oder telefonisch weiter, nicht per Mail.

16.4 Eigenes Zertifikat#

Mit einem Zertifikat Ihrer eigenen Zertifizierungsstelle (oder einer öffentlichen) verschwindet die Browserwarnung. Hochgeladen wird es auf der Seite „Einstellungen“, Karte „Zertifikat der Weboberfläche“, mit „Eigenes Zertifikat verwenden…“ (nur Administratoren):

• Zertifikat: das Serverzertifikat im PEM-Format, gefolgt von den Zwischenzertifikaten seiner Kette.
• Privater Schlüssel: im PEM-Format, ohne Passphrase. Er wird nur für Administratoren lesbar gespeichert.

Der Server prüft, ob Schlüssel und Zertifikat zusammenpassen und ob das Zertifikat gültig ist. Passt keiner der Namen im Zertifikat zur Adresse im Browser, gibt es eine Warnung mit den Namen, unter denen Sie die Oberfläche aufrufen sollten. Nach dem Speichern verwendet der Server das Zertifikat nach wenigen Sekunden, und die Seite lädt neu. Dasselbe Zertifikat gilt auch für die Konsolen: Sie melden beim nächsten Verbinden den neuen Fingerabdruck, der unter „Scheduler bearbeiten…“ bzw. „Server bearbeiten…“ übernommen wird.

Die Karte zeigt Aussteller, Namen, Ablaufdatum und Fingerabdruck. Ein Zertifikat rechtzeitig vor dem Ablauf ersetzen; ein abgelaufenes lehnen Browser ab. Zurück zum selbstsignierten Zertifikat geht es auf der Kommandozeile:

bkp_sched api-init --force          # Job-Scheduler
bkp_target --api-init --force       # Backup-Server

16.5 Freischalten#

Im Job-Scheduler steht auf der Seite „Lizenz“ der Stand der Lizenz bzw. der Testphase mit den Hinweisen vor dem Ende, im Backup-Server auf der Seite „Einstellungen“ in der Karte „Freischaltung“. Mit „Freischaltcode eingeben…“ schalten Administratoren die Installation frei; das ist dasselbe wie bkp_license activate auf der Kommandozeile. Groß- und Kleinschreibung und Leerzeichen im Code spielen keine Rolle. Der Rechner fragt dazu den Lizenzserver, was meist wenige Sekunden dauert; das Ergebnis erscheint danach auf der Seite.

16.6 Wenn es nicht klappt#