Ich kann nicht auf meine Tauschordner zugreifen, weil ich nicht in den Gruppen bin

[Rüdiger Kupper]

Hallo Jens,

ich kann auf keinen meiner Tauschordner zugreifen (außer tausch-Schule), weil ich plötzlich in keiner der zugehörigen Unix-Gruppen mehr bin!

10:23/0 [kup@paedml] ~ $ id
uid=12083(kup) gid=10000(teachers) groups=125(svn),10000(teachers)

Ich sollte in den Gruppen sein, die zu meinen Klassen gehören (6c, 12e, etc), sowie in der Gruppe p_nwt-kup-1. Früher war ich da auch mal drin.

Was ist passiert?

(Die Schüler scheinen in den Gruppen zu sein, die können nämlich in die Tauschordner schreiben.)

[bau]

Holla,
ich habe auch keinen Zugriff mehr :-(
Hast du da irgendwas an der Rechten gemacht?

[bau]

Antwort aus dem LMZ-TRAC:

Comment:

Erledigt seit paedML 5.0.0, siehe #64.

Wir müssen also auf Version 5 upgraden.
Zunächst also erstmal ein FULL-Backup, dann ein Upgrade

Zugehörig: #40 (paedML Update)

[Rüdiger Kupper]

Wird demnach mit Ticket #40 erledigt!

[Rüdiger Kupper]

Replying to bau:

Antwort aus dem LMZ-TRAC:

Erledigt seit paedML 5.0.0, siehe #64.

Wir müssen also auf Version 5 upgraden.

Grrrrr! Das Upgrade hat an Sache nichts geändert! Ich kann nich immer nicht auf die Tauschordner meiner Klassen zugreifen!

• Laut Ankündigung sollte dieses Feature in der PädML funktionieren -- das ist nicht so!
• Das ist eins der zentralen Features der PädML -- es geht nicht an, dass das nicht funktioniert!
• Inzwischen sind auch Kollegen mit der Frage an mich herangetreten, wie sie ihren Schülern elektronisch Dokumente zur Verfügung stellen können. Was soll ich denen sagen? Dass es "eigentlich gehen müsste", aber "leider doch nicht geht"? Was werden die Kollegen wohl von der Linuxmusterlösung halten, wenn sie diese Möglichkeit nicht bietet? Sieht nicht sehr professionell aus, denke ich...

Ich werde den entsprechenden Fehlerbericht für die PädML neu eröffnen. Dieses Feature wird benötigt.

[Rüdiger Kupper]

Das ist leider wieder aktuell.

[Rüdiger Kupper]

Holla, endlich haben wir jemanden gefunden, der ein ganz ähnliches Problem auch hat. Vielleicht ist es also doch nicht unsere Schuld :-):
​http://lbs.bw.schule.de/pipermail/linuxmuster/2012-January/042697.html

[Rüdiger Kupper]

Ein Aufruf des Skriptes sophomorix-dump-pg2ldap behebt das Problem -- aber nur genau solange, bis ich mich in der Schulkonsole in irgend einer Klasse oder irgend einem Projekt ein/austrage.

Das Skript gibt folgendes aus (man beachte die Fehlermeldung zum Samba-Daomainnamen):

root@paedml:~# sophomorix-dump-pg2ldap 
#### /usr/sbin/sophomorix-dump-pg2ldap started ...                        ####
Stopping Name Service Cache Daemon: nscd.
Dumping to /var/log/sophomorix/pg2ldif...
   * Dumping groups.sql to /var/log/sophomorix/pg2ldif
   * Dumping accounts.sql to /var/log/sophomorix/pg2ldif
   * Dumping groups_users.sql to /var/log/sophomorix/pg2ldif
   * Appending dump of primary groups to /var/log/sophomorix/pg2ldif
Converting to slapd.ldif ...
Loading ldif file /var/log/sophomorix/pg2ldif/slapd.ldif
Stopping OpenLDAP: slapd.
slapd: no process killed
throwing away old ldap tree and creating a new...
Starting OpenLDAP: slapd.
Stopping OpenLDAP: slapd.
Populating ldap with /usr/share/sophomorix/config-templates/ldap/local-gen.ldif
slapadd: dn="sambaDomainName=KEPLER,dc=kg-fds,dc=de" (line=19): (64) value of naming attribute 'sambaDomainName' is not present in entry
loading dump ...
Starting OpenLDAP: slapd.
Reloading /etc/samba/smb.conf: smbd only.
Starting Name Service Cache Daemon: nscd.
Reloading /etc/samba/smb.conf: smbd only.
Flushing nscd cache
#### /usr/sbin/sophomorix-dump-pg2ldap terminated regularly               ####

Unmittelbar danach stehe ich im LDAP in allen Gruppen, in denen ich in der Schulkonsole eingetragen bin:

kup@paedml:~$ id
uid=12083(kup) gid=10000(teachers) groups=125(svn),10000(teachers),10013(10a),10018(10b),10021(6c),10027(10c),10035(13e),10053(smv),10069(a),10070(nwt),10083(10d),10108(p_smv),10109(p_nwt-kupper)

Mache ich jetzt aber in der Schulkonsole irgend eine Änderung (ein- oder austragen in einer beliebigen Klasse oder Projekt), dann entfernt mich das im LDAP aus allen meinen Gruppen. Meine id sieht danach so aus:

kup@paedml:~$ id
uid=12083(kup) gid=10000(teachers) groups=125(svn),10000(teachers),10069(a)

Ein erneuter Aufruf von sophomorix-dump-pg2ldap behebt das Problem wieder.

Vermutung

Bei Verwendung der Schulkonsole wird irgendein Skript aufgerufen, dass die Gruppeneinträge des betreffenden Lehrers im LDAP-Verzeichnis updaten soll. Dabei geht aber etwas schief, so dass der betreffende Lehrer aus allen seinen Gruppen herausfliegt.

Bleibt herauszufinden, was schiefgeht. Vielleicht hat es etwas mit dem fehlenden Samba-Domain-Eintrag zu tun?

[Rüdiger Kupper]

Allgemeine Anmerkung: Die Schulkonsole hat offenbar Schwierigkeiten mit Umlauten. So erhält man z.B. eine Fehlermeldung, wenn man nach einem Schülernamen mit Umlaut sucht.

Vielleicht stören die Umlaute in unseren Namen (Rüdiger, Baumgärtner)?

[Rüdiger Kupper]

Hm, aptitude sagt mir, dass die sophomorix-Pakete upgedatet werden können, u.a. auch "sophomorix-pgldap". Kann ich unbesorgt ein "dist-upgrade" laufen lassen?

root@paedml:~# aptitude -s dist-upgrade
[...]
Die folgenden Pakete werden aktualisiert:

foomatic-filters libssl-dev libssl0.9.8 libt1-5 libxml2 openssl
sophomorix-base sophomorix-pgldap sophomorix2

[...]

[bau]

diese Pakete dürften kein Problem darstellen. Problematisch ist halt immer ein linuxmuster-base, denn da haben wir drin rumgebastelt (PaedmlAnpassungen)

[Rüdiger Kupper]

Der Update hat das Problem leider nicht behoben.

[Rüdiger Kupper]

Aus den sophomorix-logs habe ich den Befehl herausgelesen, der ausgeführt wird, wenn man sich in der Schulkonsole einträgt. Wenn ich mich testweise in der 10d eintrage, läuft z.B.

sophomorix-teacher --teacher kup --add 10d::20387::

Diesen Aufruf habe ich eben von Hand eingegeben, um zu sehen, was passiert:

root@paedml:~# sophomorix-teacher --teacher kup --add 10d::20387::
#### /usr/bin/sophomorix-teacher started ...                              ####
Stopping Name Service Cache Daemon: nscd.
   Adminclass 10d::20387:: does not exist, doing nothing. 
   NOT creating Link to nonexisting/nondirectory /home/share/classes/10d::20387::
   NOT creating Link to nonexisting/nondirectory /var/cache/sophomorix/tasks/classes/10d::20387::
   Group 10d::20387:: does not exist, doing nothing. 
#### Creating lock in /var/lib/sophomorix/lock/sophomorix.lock            ####
#### /usr/sbin/sophomorix-mail started ...                                ####
Stopping Name Service Cache Daemon: nscd(not running). (warning).
#### sophomorix-mail is creating Mail-Aliases/Lists                       ####
   Generating mailaliases for adminclass teachers
Running /usr/bin/newaliases ... done!
#### Removing lock in /var/lib/sophomorix/lock/sophomorix.lock            ####
Reloading /etc/samba/smb.conf: smbd only.
Starting Name Service Cache Daemon: nscd.
Reloading /etc/samba/smb.conf: smbd only.
Flushing nscd cache
#### /usr/sbin/sophomorix-mail terminated regularly                       ####
Reloading /etc/samba/smb.conf: smbd only.
Starting Name Service Cache Daemon: nscd(already running). (warning).
Reloading /etc/samba/smb.conf: smbd only.
Flushing nscd cache
#### /usr/bin/sophomorix-teacher terminated regularly                     ####

Man beachte den Hinweis:

   Adminclass 10d::20387:: does not exist, doing nothing. 
   NOT creating Link to nonexisting/nondirectory /home/share/classes/10d::20387::
   NOT creating Link to nonexisting/nondirectory /var/cache/sophomorix/tasks/classes/10d::20387::
   Group 10d::20387:: does not exist, doing nothing. 

An der Gruppe der 10d scheint etwas faul zu sein.

[Rüdiger Kupper]

Klar, ich weiß, was faul ist: es gibt tatsächlich keine 10d, die 10. ist ja nur dreizügig. Trotzdem bietet mir die Schulkonsole die Möglichkeit an, mich in der 10d einzutragen! Die Klassendaten von Sophomorix müssen also fehlerhaft sein. Fällt Dir ein, woran das liegen kann?

[Rüdiger Kupper]

Hallo Jens, hast Du hierfür eine Antwort gefunden:

Klar, ich weiß, was faul ist: es gibt tatsächlich keine 10d, die 10. ist ja nur dreizügig. Trotzdem bietet mir die Schulkonsole die Möglichkeit an, mich in der 10d einzutragen! Die Klassendaten von Sophomorix müssen also fehlerhaft sein. Fällt Dir ein, woran das liegen kann?

[Rüdiger Kupper]

Siehe dazu auch den folgenden Befehl:

sophomorix-groupdel (8) - Löschen von sophomorix-Gruppen ohne Mitglieder

[Rüdiger Kupper]

Ausgabe des sophomorix-groupdel-Befehls

[Rüdiger Kupper]

Habe ausgeführt:

sophomorix-groupdel -v --delete-all-empty-classes --remove-teachers

Ausgabe siehe attachment:sophomorix-groupdel-output​.

Die Klasse 10d gab es also noch, weil Du da eingetragen warst...

[Rüdiger Kupper]

Puh! Das Ticket ist gelöst :-). Und ich war schuld, ohne es zu ahnen :-(.

Ursache für das scheitern des Skripts, das von der Schulkonsole ausgeführt wird, war die Gruppe "svn", die ich auf dem paedml angelegt hatte. In der Gruppe sind derzeit nur Du und ich. Nur Nutzer in dieser Gruppe können auf unser svn-Repository zugreifen (siehe AdminSvn#Zugriffsmethode).

Das Problem war, dass ich diese Gruppe nur lokal angelegt habe, im LDAP war sie unbekannt. Ich dachte, das müsste reichen, da diese Gruppe ja nur lokal auf dem paedml überprüft werden muss. Müsste es eigentlich auch, aber...

... irgendwie kam das Skript zu dem Schluss, dass "svn" auch eine LDAP-Gruppe sein müsste. Meldet man sich Schulkonsole z.B. in der 5a an, so muss das Skript einen danach wieder in sämtliche LDAP-Gruppen stecken, in denen man vorher war, zuzüglich der 5a. Das schlug aber bei mir fehl, weil es versucht hat, mich auch in die Gruppe "svn" zu stecken, die aber im LDAP unbekannt war. Daher war ich danach in gar keinen LDAP-Gruppen.

Zwei Lösungen sind denkbar:

1. Man legt die Gruppe "svn" als LDAP-Gruppe an. Das habe ich jetzt gemacht, nur Du und ich sind drin, und -- oh Wunder -- jetzt läuft das Schulkonsolenskript wie geplant durch!
2. Man bringt dem Skript bei, dass "svn" nur eine lokale Gruppe ist -- so wie alle anderen Gruppen in /etc/groups auch. Wie das geht weiss ich aber derzeit nicht.

Da die Gruppe "svn" nun im LDAP bekannt ist, funktioniert das Ein- und Austragen in der Schulkonso