Veyon: Schüler können sich am Masterservice anmelden

[tjordan]

Hallo zusammen,

an einer Schule habe ich auf den Linuxclients Veyon genau so konfiguriert wie hier beschrieben:

https://wiki.linuxmuster.net/community/anwenderwiki:classroom_management:veyon-lmn7-ldap

Das funktioniert auch soweit Prima, aber es gibt folgendes Problem: Auch Schüler können sich mit ihren AD-Credentials am Master-Service anmelden und die anderen damit nerven indem sie deren Rechner herunterfahren.
An sich sollte das doch gar nicht möglich sein, da der Benutzerbaum in der Umgebungseinstellung auf die ou=Teachers.ou=default-school,ou=schools zeigt.
Verblüffenderweise geht es aber doch.

Weiß hier jemand Rat?

LG
Thomas

[wilfried]

Hallo Thomas,

bin jetzt nicht mehr direkt in der Materie drin, aber hast du dir mal angeschaut, was wir damals diskutiert haben:

Veyon mit Zugriffskontrolle

Hallo zusammen, ich möchte veyon auf den Linuxclients laufen lassen. Dazu hat Martin dankenswerterweise 2 Wikibeiträge geschrieben: Das funktioniert sehr gut, hat aber einen Nachteil: „Lehrer“ können sich von verschiedenen Clients aus - auch gleichzeitig - als Master anmelden. Eine andere Möglichkeit bieten die Zugriffskontrollregeln im Veyon-Configurator. Voraussetzung hierfür ist wohl eine LDAP-Anbindung, die auch Martin beschrieben hat: Außerdem bräuchte man noch Regeln, die entwede…

Viele Grüße

Wilfried

[tjordan]

Hallo Wilfried,

ja hab ich gelesen. Bringt mich aber nicht nicht weiter und erklärt auch nicht, wieso es möglich ist, dass sich Benutzer aus einer anderen ou als Lehrer am Veyon-Master per LDAP-Auth anmelden können, wenn ich in den Umgebungsvariablen dediziert die ou=teachers angebe. Veyon dürfte ja nur den Teilbaum abragen, den ich dort einstelle und somit wäre ein Anmelden von Benutzern aus anderen OUs nicht möglich.

Grüße
Thomas

[garblixa]

Hallo Thomas,

bitte verifizieren, ob Du auch eingestellt hast:

Allgemein → Authentifizierung → Methode: Anmelde-Authentifizierung
Allgemein → Netzwerkobjektverzeichnis → LDAP Basic
Zugriffskontrolle → Benutzergruppenbackend: LDAP Basic / Verwendung von Domaingruppen aktivieren [x] Zugriff auf Mitglieder bestimmter Benutzergruppen einschränken
[x] Unter "Authentifizierte Benutzergruppen für den Zugriff „teachers“ hinzufügen.

Viele Grüße
Klaus

[rettich]

Hallo Thomas,

das liegt wahrscheinlich an der Athentifizierungsmethode:

Ich benutze Schlüsseldateien.
Der public-key ist auf dem Client. So kann jeder Rechner abgefragt werden.
Und der private-key liegt in einem Unterverzeichnis des Lehrer-Tauschverzeichnisses. Da kommen nur die Lehrer darn.
So ist sicher gestellt, dass nur Lehrer Veyon-Master aufrufen können.

Gruß,
Mathias

[tjordan]

Wunderbar! Danke!