iTALC / Epoptes einrichten

[Rüdiger Kupper]

Hallo Rüdiger,

Hallo Jens,

italc gibt es in den normalen Ubuntu-Paketquellen. Soll ich es einfach
mal installieren? Es besteht aus einem Paket für den Server und einem
Paket für die Clients.

OK, dann mal los.
Du benötigst dabei zwei Keys (Client und Master). Die habe ich
bereits erzeugt, die liegen unter P:\iTALC\keys\, das ist

/home/samba/progs/iTALC/keys

[Rüdiger Kupper]

Informationen:

• ​https://help.ubuntu.com/community/UbuntuLTSP/iTalc
• AdminItalc

[Rüdiger Kupper]

ich glaub, das wäre ein major enhancement ;-)

[Rüdiger Kupper]

Alternative: ​http://www.epoptes.org/

[Rüdiger Kupper]

italc ist bereits als Teil von Edubuntu installiert und muss nur eingerichtet werden.

[Rüdiger Kupper]

Solange die Schlüssel noch nicht eingerichtet sind, vorerst deaktiviert, siehe #418.

[Rüdiger Kupper]

Neuerdings ist ​Epoptes die Standardlösung von Edubuntu. iTALC gibt es natürlich trotzdem noch. Die beiden sollten wir mal vergleichen.

[Rüdiger Kupper]

Erinnerung: Auch Thin-Client-Manager war mal im Gespräch, ich finde aber keine aktuelle Dokumentation. Etwas veraltetes im ​Edubuntu-Handbook zu finden.

[Rüdiger Kupper]

Querverweis: #1059. Über epoptes lassen sich auch die Clients von remote herunterfahren. Ich werde das mal einrichten und ansehen.

[Rüdiger Kupper]

"Epoptes" ist jetzt auf allen Servern eingerichtet, und der "epoptes-client" in den Client-Umgebungen.
Einziger Nutzer, der das Programm bisher starten darf, ist linadmin.

Das ganze funktioniert sofort einwandfrei: Wenn lindamin auf einem beliebigen LtspServer "epoptes" startet, sieht er sämtliche mit diesem Server verbundenen Clients. Man sieht live-Screenshots, kann Botschaften auf die Bildschirme schicken, seinen eigenen Bildschirminhalt auf die Bildschirme der Clients schicken, die Bildschirme der Clients sperren, Nutzer ausloggen, Clients heruterfahren oder aufwecken, ein root-Terminal auf den Clients öffnen, oder man kann sich per VNC mit den Clients verbinden und direkt eingreifen.

Klappt alles, und das Nutzerinterface ist einfach und übersichtlich, im GNOME-Stil.
Wirkt wie die "killer-app" für Terminal-Server-Systeme. Grandios!

Multi-Server-Setup

Einziges Manko: Man sieht nur die Clients, die mit dem jeweiligen Server verbunden sind.

Wollen wir alle Clients auf einmal sehen, dann brauchen wir einen "ausgezeichneten Epoptes-Server". D.h. alle Clients verbinden sich z.B. mit dem Epoptes-Server auf ltsp1, dann kann linadmin von ltsp1 aus alle laufenden Clients verwalten.

Für uns als Admins wäre das eine brauchbare Lösung. Aber das ganze ist natürlich auch für den Unterricht der Kollegen äußerst brauchbar -- nämlich oben im Computerraum.

Sicherheitsbedenken

Mit Epoptes kann man allen Nutzern auf die Bildschirme schauen, ohne dass diese davon etwas mitbekommen. Ich hatte z.B. eben schon aus versehen den Bildschirminhalt von Herrn Krauss bei mir zuhause.

Das fühlt sich angesichts der aktuellen Diskussionen über allerlei Überwachung in Computernetzen etwas ungut an.

Es ist klar, dass das engeschränkt werden muss. Bisher können nur Nutzer epoptes starten, die in der Gruppe "epoptes" sind, das ist derzeit nur linadmin. Man könnte es aber auch für die ganze Gruppe "teachers" freigeben. Dann könnten Lehrer z.B. im Computerraum die Rechner der Schüler steuern.

Bei den Schülern haben wir da sicher kein Problem. Aber ob alle Kollegen so glücklich sind, dass wir bzw. andere Kollegen ihnen jederzeit auf den Bildschirm schauen können, ist fraglich.

Bevor wir so etwas einrichten, müssen wir ausdrücklich darüber informieren, eventuell auch in einer GLK abstimmen, ob dieser Dienst allen Lehrern offenstehen soll. Ihn auf die Administratoren zu beschränken ist vermutlich kein Problem, da wir ohnehin weitreichende Möglichkeiten haben aber eben auch die ausdrückliche Verpflichtung, die Privatsphäre unserer Nutzer zu wahren.

[Rüdiger Kupper]

Update:

Ich habe das ganze jetzt so eingerichtet, dass sich nach dem nächsten Reboot alle Clients mit dem Epoptes-Server auf ltsp6 verbinden. Damit sieht man auf ltsp6 alle laufenden Clients, egal von welchem Server sie gebootet wurden (Ausnahme: ltspl1).

Du kannst das testen, indem Du Dich auf ltsp6 als linadmin einloggst und epoptes startest. Entweder über die VM, oder durch das VPN auch einfach von zuhause aus mit

ssh -X linadmin@ltsp6 epoptes

[bau]

Wäre es damit auch möglich, dass wir einen etwas größeren Monitor im Lehrerzimmer aufstellen, auf dem die Kollegen dann die Rechner der Schüler (also Arbeitsstationen und PCRaum) sehen und ggf. auch genauer reinklicken (so macht das ja italc: Überblicksbild mit kleinen Bildschirmbildchen, draufklicken führt zu Ganzbildansichten)

Auf ​https://help.ubuntu.com/community/UbuntuLTSP/iTalc hat sich im Bezug auf Version 12.04 auch was getan, wenn aber epoptes prima läuft ist das auch gut. Nachteil ist, dass italc ja auch auf Windows läuft. Aber unsere Windows-Clients stehen ja mittlerweile alle in den unteren PCRäumen an denen sitzen die Schüler ja nur unter Aufsicht. Da können wir wohl drauf verzichten. Die aktuelle Musterlösung enthält in sophomorix-workstation eine Integration von italc, das schaue ich mir bei Gelegenheit mal an :-)

[Rüdiger Kupper]

Replying to bau:

Wäre es damit auch möglich, dass wir einen etwas größeren Monitor im Lehrerzimmer aufstellen, auf dem die Kollegen dann die Rechner der Schüler (also Arbeitsstationen und PCRaum) sehen und ggf. auch genauer reinklicken (so macht das ja italc: Überblicksbild mit kleinen Bildschirmbildchen, draufklicken führt zu Ganzbildansichten)

Das müsste eigentlich sofort funktionieren:

• einen Client oder Standalone-Rechner im LZ aufstellen
• dort den obigen Befehl ausführen (z.B. per Autologin, oder von Hand)
• statt linadmin zu nehmen können wir dafür auch einen eigenen Nutzer einrichten, der sonst nichts darf.

Aber Achtung: Zur Zeit sieht man in Epoptes noch alle Nutzer an den Clients, also auch eingeloggte Kollegen. Hier müssen wir etwas "behutsam" vorgehen.

Generell ist es keine ganz schlechte Idee, wenn sich auch die Kollegen bei Epoptes anmelden. Wir könnten dann nämlich echten Online-Support für die Kollegen machen (Nachrichten schicken, Mauszeiger steuern, etc), ohne jedesmal hinlaufen zu müssen. Aber sie sollen sich natürlich nicht überwacht fühlen.

Man kann die Epoptes-Anmeldung für die Kollegen auch deaktivieren. Wenn sie Support wünschen, müssen sie ihren Eopotes-Client dann von Hand starten.

[Rüdiger Kupper]

Kurze Notiz

bau hat das von uns favorisierte Verhalten implementeiert:

• epoptes-Client wird für Lehrer nicht mehr gestartet (aber Achtung: Auch Schüler können ihn deaktivieren, hier muss noch nachgearbeitet werden)
• Lehrer können den Client von Hand starten, z.B. um Fernunterstützung zu erlauben (hier fehlt noch ein Startersymbol)
• Lehrer können epoptes starten, um z.B. den Computerraum zu überwachen (Startersymbol fehlt noch)

Ausführlichere Dokumentation folgt.

[Rüdiger Kupper]

Problem: Epoptes-Client wird für Schüler offenbar nicht gestartet.

[Rüdiger Kupper]

Ursache: "others" hatten kein Lese- und Ausführungsrecht auf /usr/local/sbin/kepler--epoptes-starter. Schüler sind aber "others".

(Anbei: Die Datei sollte besser kepler--epoptes-client-starter heißen.)

[Rüdiger Kupper]

Milestone unbestimmter Termin deleted