für den IT-Administrator

Redaktion IT-Administrator

In jeder Ausgabe präsentiert Ihnen IT-Administrator Tipps, Tricks und Tools zu den aktuellen Betriebssystemen und Produkten, die in vielen Unternehmen im Einsatz sind. Wenn Sie einen tollen Tipp auf Lager haben, zögern Sie nicht und schicken Sie ihn per E-Mail an tipps@it-administrator.de.

Cloud

Wir speichern geschäftskritische und sensible Daten in der AWS-Cloud und nutzen Infrastructure-as-Code zur Bereitstellung unserer Anwendungen. In regelmäßigen Audits müssen wir die Compliance dieses Vorgehens nachweisen und zeigen, dass wir die Datenschutzrichtlinien der jeweiligen Regionen einhalten. Wie können wir diese Prozesse vereinfachen oder sogar automatisieren?

Unternehmen müssen heutzutage eine einwandfreie Datenschutzpraxis gewährleisten. Daher ist es wichtig, dass die IT-Verantwortlichen alle Komponenten ihrer Anwendungen kontinuierlich prüfen und analysieren. So erhalten sie einen Überblick darüber, welche Komponenten schützenswerte Daten speichern. Auch Elemente wie Container, die in der Regel keine sensiblen Daten speichern, müssen im Bedarfsfall ihre Daten wiederherstellen. Nutzer werden hierbei von AWS Backup unterstützt. Bei der Verwaltung von Anwendungen mit Infrastructure-as-Code verfügen Organisationen über ein einziges Repository, wo alle wichtigen Komponenten beschrieben sind. Mit AWS Backup können Sie einen CloudFormation-Stack zu ihren Backuprichtlinien hinzufügen. Sämtliche Anwendungsressourcen lassen sich somit jederzeit im AWS Backup Audit Manager überwachen. IT-Administratoren behalten so den Überblick und können wichtige Daten einfacher verwalten und schützen.

Aktivieren Sie zunächst den CloudFormationRessourcentyp für AWS Backup. Gehen Sie dazu in der AWS-Backup-Konsole in den Navigationsbereich "Settings" und im Abschnitt "Service opt-in" wählen Sie die Option "Configure resources". Aktivieren Sie dort den Ressourcentyp "CloudFormation" und bestätigen Sie die Auswahl. Nachdem Sie auf diese Weise die CloudFormation-Unterstützung aktiviert haben, klicken Sie im Navigationsbereich "Dashboard" auf "Create backup plan". Wählen Sie nun die Option "Start with a template" und danach "Daily-35day-Retention". Geben Sie einen Namen für den Backupplan ein und klicken Sie auf "Create Plan". Tippen Sie nun einen Namen für den Ressourcenplan ein. Wählen Sie hierbei die Standard-IAM-Rolle aus. Damit erzeugen Sie die Sicherung automatisch mit den korrekten Berechtigungen von AWS Backup. Abschließend wählen Sie im Dropdown-Menü "Include specific resource types" und dann "CloudFormation". Im Menü "Choose resources" können Sie nun "All supported CloudFormation stacks" auswählen, um alle Stacks zu schützen. Alternativ können Sie auch nur einen Stack schützen. Die restlichen Optionen belassen Sie auf ihren Standardwerten und klicken nun noch "Assign resources" an. Damit haben Sie die tägliche Sicherung für Ihren ausgewählten CloudFormation-Stack erfolgreich aktiviert. Die Aufbewahrungszeit beträgt hierbei 35 Tage.

Mit Cross-Tenant-Synchronisation bietet Microsoft seit Kurzem die Möglichkeit, Benutzer aus einem Azure-Mandanten in einen anderen zu synchronisieren. Welche Anwendungsfälle unterstützt diese Funktion und welche Einschränkungen gilt es zu beachten?

Durch neue Funktionen für Mehrmandantenumgebungen möchte Microsoft jenen Organisationen die Verwaltung erleichtern, die aus strukturellen oder historischen Gründen verschiedene Tenants in Azure betreiben. Dazu gehört die Option, mehrere Member-Tenants mit einem Owner-Tenant zu verbinden, um Usern Zugriff auf geteilte Ressourcen zu geben und die Zusammenarbeit in Microsoft Teams zu erleichtern. Innerhalb einer Mehrmandantenumgebung können Organisationen dazu Benutzer aus Member-Tenants in den Owner-Tenant synchronisieren, wo automatisch ein entsprechendes Konto angelegt wird. So erhalten alle vorgesehenen Benutzer Zugriff auf den übergeordneten Mandanten. Für Admins entfällt dadurch das händische Anlegen von externen Zugängen und User ersparen sich Einladungsemails und OAuth-Prompts.

Das Feature hat allerdings ein paar nicht zu vernachlässigende Einschränkungen: Über Cross-Tenant-Synchronisation lassen sich keine Gruppen synchronisieren, sondern nur Benutzerobjekte und nur bestimmte Eigenschaften. Es erfolgt zudem keine Rücksynchronisierung. Anpassungen im Ziel-Tenant werden also nicht in den Quell-Tenant übernommen. Umgekehrt überschreiben Veränderungen im Quell-Tenant die Daten des Ziel-Tenant. Mithilfe von Cross-Tenant-Synchronisation und der Zuordnung über dynamische Gruppen und Verwaltungseinheiten können Organisationen mit Mehrmandantenumgebungen ihre Zugriffsverwaltung erheblich vereinfachen. Letztlich sollte jedoch das Ziel sein, nicht nur Azure-Konten und Cloudressourcen einheitlich zu verwalten, sondern alle IT-Konten und -Rechte. Dabei helfen etwa Identity-und-Access-Management-Werkzeuge, die die automatische Verwaltung aller IT-Systeme ermöglichen.

Weitere Tipps zur effizienten Verwaltung von Microsoft 365 finden Sie im IAMBlog von tenfold unter https://tenfold-security.com/ratgeber/

Hardware

Bei uns im Support – wir nutzen hierzu Rescue von GoTo – kommen viele Anfragen auch in Fremdsprachen rein. Das fordert von uns viel Übersetzung und kostet uns Zeit. Gibt es dafür nicht mittlerweile eine hilfreiche KI-Funktion, die uns das Übersetzen abnimmt?

Ja, Rescue verfügt über eine solche Integration mit Live Translation, basierend auf Google-Technologie. Diese Funktion ermöglicht es Ihnen als Technikern, mit Endbenutzern in jeder beliebigen Sprache zu chatten und ihre Antworten in Echtzeit in die Muttersprache des Endbenutzers übersetzen zu lassen. Zum Beispiel kann ein englischsprachiger Techniker einen Chat von einem Endbenutzer auf beispielsweise Spanisch empfangen, den ins Englische übersetzten Text sehen, auf Englisch antworten, und der Enduser sieht den Text auf Spanisch. Das spart wertvolle Zeit in der täglichen Arbeit. Um die Live-Translation-Funktion nutzen zu können, müssen Sie die Tech-Konsolen-Version 7.50.3565 oder höher für Windows einsetzen. Die Sprache des Technikers ist derzeit auf Englisch limitiert, aber zusätzliche Sprachen sollen in einer bald folgenden Version verfügbar sein.

Rescue-Nutzer, die eine Auflistung nach IP erlauben, müssen außerdem zusätzliche IP-Bereiche zu ihrer Firewallkonfiguration hinzufügen. Für IT-Abteilungen, die die Liste nach Domain zulassen, sind keine Maßnahmen erforderlich, da die zusätzlichen IP-Bereiche durch die Standard-Domains von LogMeIn Rescue abgedeckt sind. Um die Übersetzungsfunktion von Google in Rescue zu aktivieren, müssen Sie in die Einstellungen des Admin Centers gehen. Dort können Sie die Übersetzung (Translation) für Ihre Technikergruppe in den Technikergruppen-Einstellungen freischalten, indem sie das Häkchen für die Aktivierung setzen.

Sobald die Funktion im Admin Center aktiviert ist, können Supportmitarbeiter während einer aktiven Sitzung auf die Chatübersetzung zugreifen, indem sie auf die Übersetzungsleiste klicken. Dort lässt sich die Sprache des Endbenutzers auswählen, die der Support benötigt, oder die Funktion "Auto-Detect" wählen, um die Sprache automatisch zu erkennen und zu übersetzen. Das Pfeil-Austausch-Symbol zwischen den Sprachcodes zeigt Ihnen an, dass Live Translation aktiviert ist. Weitere Informationen dazu entnehmen Sie unter [Link-Code: nape2] auch der GoTo Community Page.

Weitere Tipps rund um das Thema IT-Management finden Sie im Blog Products in Practice von GoTo unter http://www.goto.com/de/blog/products

Wir nutzen in unserer Speicherumgebung TrueNAS Scale. Können Sie kurz schildern, wie wir hier Storage-Pools erstellen?

Für das Erzeugen eines Storage-Pools benötigen Sie Zugriff auf das Webinterface des gewünschten Servers. Ein Storage-Pool kombiniert mehrere Festplatten zu einer logischen Einheit und gestattet die Einrichtung dynamischer Partitionen. Dabei bedarf es jedoch keines RAID-Controllers seitens TrueNAS, denn die verschiedenen RAID-Level werden mithilfe von ZFS erstellt. Klicken Sie in der Webnavigation des entsprechenden Servers unter dem Reiter "Storage" auf den Punkt "Create Pool". Unter dieser Ansicht müssen Sie zunächst einen Namen für den Storage-Pool vergeben. Danach wählen Sie alle gewünschten Disks dafür aus. Anschließend klicken Sie auf das blaue Pfeil-Symbol rechts. Zusätzlich können Sie unter "Add Vdev" weitere, noch nicht angezeigte Virtual Devices hinzufügen. Nun müssen Sie erneut die Disks für den Storage-Pool auswählen. Ganz unten rechts bestimmen Sie den gewünschte ZFS-RAIDLevel. Um den Pool zu erzeugen, klicken Sie auf "Create", worauf sich ein Pop-up öffnet. Hier setzen Sie den Haken bei "Confirm" und entscheiden sich für "Create Pool". Anschließend sollte Ihnen der neue Pool in der Ansicht angezeigt werden.

Viele weitere Tipps und Tricks zu Servermanagement, Virtualisierung und Linux finden Sie im Thomas-Krenn-Wiki unter http://www.thomas-krenn.com/de/wiki/Hauptseite.

Monitoring

Wir nutzen Paessler PRTG für unser Netzwerkmonitoring. Nun habe ich ein Gerät, das angeblich SNMP unterstützt. Ich habe die Liste der verfügbaren Sensortypen in PRTG durchgesehen, konnte aber keinen Sensor finden, der meinem Gerätenamen oder -modell entspricht. Gibt es trotzdem eine Möglichkeit, das Device zu überwachen?

Selbst wenn Sie keinen spezifischen Sensortyp in der Liste finden können, ist es möglich, Ihr Gerät mit Paessler PRTG zu überwachen. Gemäß der Anleitung auf der Website des Anbieters [Link-Code: nape1] sollten Sie in einem solchen Fall den "SNMP Custom Sensor" verwenden. Stellen Sie zuerst sicher, dass SNMP auf Ihrem Gerät korrekt konfiguriert ist. Im nächsten Schritt benötigen Sie die spezifischen SNMP-OIDs des zu überwachenden Devices. Diese finden Sie meist in der Dokumentation Ihres Geräts. Alternativ können Sie mittels eines SNMP-Walk-Tools die OIDs manuell ermitteln. Sobald Ihnen die benötigten OIDs vorliegen, fügen Sie einfach einen neuen SNMP Custom Sensor zu Ihrem Gerät in PRTG hinzu und konfigurieren ihn mit den OIDs, die Sie monitoren möchten. Auf diese Weise erhalten Sie die gewünschten Daten von Ihrem Gerät, auch wenn es keinen spezifischen Sensortyp in der PRTG-Sensorliste gibt.

Für weitere Tipps und Tricks rund um das Thema Monitoring mit PRTG bietet Paessler unter [Link-Code: m1pe2] auch einen YouTube-Kanal mit Tutorials an.

Tools

Terraform als unumstrittener Marktführer der Infrastructure-as-Code-Tools erlaubt über eine einfache Syntax, Infrastrukturen über mehrere Clouds und lokale Rechenzentren bereitzustellen. Zudem ist die Anwendung in der Lage, Umgebungen als Reaktion auf Konfigurationsänderungen sicher und effizient neu bereitzustellen. Doch seit Kurzem unterliegt das beliebteste Werkzeug zur Infrastrukturautomation Einschränkungen in seiner Open-Source-Lizenz. Hersteller HashiCorp lässt künftig keine Anpassungen mehr im kommerziellen Umfeld zu, was signifikante Unsicherheit bei IT-Verantwortlichen mit sich bringt. Als Reaktion darauf steht der Terraform-Fork OpenTofu (ehemals OpenTF) jetzt unter der Schirmherrschaft der Linux Foundation und ist uneingeschränkt frei verfügbar.

OpenTofu ist eine Reaktion auf die Entscheidung von HashiCorp, Terraform von der Mozilla Public License (MPL-2.0) unter die Business Source License (BSL-1.1) zu stellen. BSL ist eine Lizenz, die von der Open Source Initiative nicht als Open-Source-Lizenz anerkannt wird. OpenTofu soll anfänglich als Drop-In-Replacement zu Terraform Version 1.5 funktionieren und später separat davon eigene Funktionen erhalten.

Dabei wollen wir an dieser Stelle nicht auf die Funktionalität von Terraform eingehen, die wir im IT-Administrator in vergangenen Ausgaben und Sonderheften vorgestellt haben. OpenTofu ist funktionsgleich mit Terraform 1.5 und es stellt sich die Frage, welche Hürden sich bei einer Migration auftun. Im privaten Einsatz, also beispielweise in Testumgebungen, hat die neue Lizenz keine Auswirkungen, denn sie bringt in diesem Umfeld keine Beschränkungen mit. Gravierender ist jedoch der Umstand, dass, wenn die produktive IT des Unternehmens auf OpenTofu umsteigt, Testoder Heimumgebungen auch diesen Schritt vollziehen sollten. Denn was nutzt dem Admin das Original für Tests, wenn produktiv ein anderes Werkzeug zum Einsatz kommt. Zumal deren Kompatibilität nur bis Version 1.5 gewährleistet ist. Dabei ist die Situation des IT-Verantwortlichen, der Terraform nur in der Unternehmens-IT nutzt, jedoch nicht anpasst, durchaus kniffelig. Denn die aktuelle Umstellung der Lizenz durch den Hersteller muss ja nicht die letzte sein und vielleicht steht er eines Tages vor der Situation, dass Terraform in der neuesten Version überhaupt nicht mehr frei verfügbar ist. Andererseits ist die Migration solcher Systeme mit Risiken verbunden, die Admins nicht ohne Not eingehen möchten. Hier versichert die Linux Foundation jedoch, dass jeder aktuelle Terraform-Code sich ohne Änderungen nach OpenTofu verschieben lässt. Gleichzeitig garantiert die Organisation die ausnahmslose Eignung des neuen Infrastrukturwerkzeugs für Produktivumgebungen.

Cloudnative Anwendungen basieren auf Microservices und Kubernetes ist der Standard in der Orchestrierung solcher Umgebungen. Doch sind Container nicht für jedes Szenario geeignet und so kommen für Cloudinstallationen neben containerisierten Workloads weiter klassische virtuelle Maschinen zum Einsatz. Das macht die Welt für Administratoren noch komplexer. Vereinfachen will dies das freie Harvester, das in einer hyperkonvergenten Infrastruktur Virtualisierung mit Storage, Networking und Compute sowie Kubernetes vereint. Eine solche Implementierung ermöglicht den Betrieb von virtuellen Maschinen und Containern auf einer Plattform.

Der Open-Source-Hypervisor Harvester bringt eine hyperkonvergente Infrastruktur mit, die auf Kubernetes, Longhorn und Kubevirt aufgebaut ist. Die Software aus dem Hause SUSE soll die GitOps-gestützten Continuous-Delivery-Funktionen des ebenfalls freien Rancher nutzen und in der Lage sein, eine große Anzahl HCI-Clustern zu verwalten, auf denen eine Mischung aus VMs und containerisierten Workloads laufen.

Harvester arbeitet wie erwähnt mit SUSE Rancher and Rancher Kubevirt zusammen. Auf diese Art und Weise lassen sich VMs und Container Seite an Seite betreiben. Einer der zentralen Vorteile ist dabei das nahtlose Management aller Workloads über nur eine Oberfläche. Das Tool lässt sich auch direkt über die Rancher-Oberfläche installieren, was neben der Cluster-Verwaltung noch die Option von Role-based Access Control (RBAC) für Multi-Tenant-Umgebungen mit sich bringt.

Kommunizieren mehrere Dienste auf demselben Server über Port 80 (für HTTP) oder 443 (für HTTPS), kann dies zu Konflikten führen, da normalerweise nur ein Dienst einen bestimmten Port zu einem bestimmten Zeitpunkt belegen kann. Hier kommt die Open-Source-Software Traefik Proxy ins Spiel und agiert als Reverse-Proxy und Loadbalancer. So lassen sich alle eingehenden Anfragen auf Port 80 oder 443 an die richtigen Dienste weiterleiten. Dies basieret auf konfigurierbaren Regeln, dem sogenannten Routing.

Traefik ist ein Reverse-Proxy für Cloud- und Microservice-Umgebungen. Eine typische Aufgabe ist das Weiterleiten von Aufrufen von außerhalb in eine Cloudumgebung. Routingziele wie Container oder Services kann das Tool über eine automatische Konfiguration ohne Administrationsaufwand zur Verfügung stellen. Das Open-Source-Projekt ist in der Programmiersprache Go realisiert und für einen Betrieb in der Cloud optimiert.

Traefik bietet die typischen Features eines Reverse-Proxys: Von außen ankommender Datenverkehr wird an interne Services verteilt und lässt sich auf dem Weg in verschiedener Weise behandeln. Unterstützt werden nicht nur HTTP und HTTP/2, sondern auch TCP/UDP, Websockets und gRPC. Sogar Routing-Muster wie etwa Mirroring, Loadbalancing und Canary Deployments lassen sich mit dem Werkzeug realisieren. In Sachen Security gibt es leider Abstriche der freien Version und verbreitete Verfahren für die Authentifizierung wie OAuth2, JWT, LDAP und OpenID Connect sind der kostenpflichtigen Enterprise-Version vorbehalten. Die Open-Source-Variante ist auf TLS-Unterstützung und HTTP-Basic-Auth beschränkt. Ein besonders interessantes Feature hat die quelloffene Version dennoch zu bieten, indem sie erlaubt, Let's-Encrypt-Zertifikate automatisch anfordern und erneuern zu lassen.

Traefik stellt zur Installation offizielle Docker-Images bereit. Daneben existieren Binär-Pakete für Windows, macOS, Linux und BSD. Nach der Installation ist Traefik im Prinzip sofort lauffähig, für eine Minimalkonfiguration sind nur wenige Parameter notwendig. Bei weitreichenderen Konfigurationen unterscheidet die Software zwischen statischen und dynamischen Einstellungen. Die statische Konfiguration erhält Traefik beim Start über eine Konfigurationsdatei, Kommandozeilenargumente oder Umgebungsvariablen. Die dynamische Konfiguration beschreibt die Dienste, die Traefik zugänglich macht. Sie gelangt in den meisten Fällen indirekt über die jeweiligen Backends zum Tool.