agorum core dms drive unter Linux und macOS einrichten

Mit dem agorum core dms drive binden Sie agorum core unter Linux und macOS als Netzlaufwerk ein und arbeiten mit Ihren Dokumenten wie in einem Dateisystem. Diese Dokumentation beschreibt, wie Sie eine Freigabe über die Kommandozeile verbinden.

Achtung: Verwenden Sie die Option sec=ntlm nicht mehr. NTLMv1 wurde mit Linux-Kernel 5.15 aus dem cifs-Modul entfernt. Der Mount bricht seither mit der Meldung CIFS: VFS: bad security option: ntlm ab. Verwenden Sie stattdessen NTLMv2 (Option sec=ntlmssp, Standard des Clients) oder Kerberos (Option sec=krb5).

Voraussetzungen

Das Paket cifs-utils ist installiert.
- Debian und Ubuntu: apt install cifs-utils
- RHEL, Rocky Linux und AlmaLinux: dnf install cifs-utils
- openSUSE und SLES: zypper install cifs-utils
Der Zielordner (Mount-Punkt) ist vorhanden, etwa über mkdir -p /mnt/dms.
Der Port 445 des agorum core Servers ist vom Client aus erreichbar.
Nur für die Anmeldung über Kerberos: Die Pakete keyutils und krb5-user (Debian, Ubuntu) beziehungsweise krb5-workstation (RHEL) sind installiert.

Hinweis: agorum core unterstützt die SMB-Versionen 2.0.2, 2.1, 3.0, 3.0.2 und 3.1.1. Lassen Sie die Option vers weg, damit Client und Server die höchste gemeinsame Version aushandeln. Welche Versionen serverseitig freigegeben sind, sehen Sie unter SMB-Einstellungen vornehmen.

Das agorum core dms drive (SMB) unter Linux verbinden

Sie verbinden das Netzlaufwerk mit dem Befehl mount. Öffnen Sie dazu ein Terminal und geben Sie den Befehl mit den entsprechenden Parametern ein.

Parameter	Beschreibung
-t cifs	Dateisystem-Typ "Common Internet File System"
//<Servername des agorum core Servers>/<Freigabe>	Freigabe auf dem agorum core Server. Standard-Freigabe ist dms, weitere Freigaben sind möglich.
/mnt/dms	Ziel-Ordner (Mount-Punkt). Er muss vorhanden sein.
-o	Leitet die Mount-Optionen ein
username=<USER>	Benutzername in agorum core
credentials=<Datei>	Datei mit Benutzername und Kennwort. Empfohlene Alternative zu username und password.
uid=<UID>, gid=<GID>	Benutzer- und Gruppen-ID, denen die eingehängten Dateien zugeordnet werden, etwa 1000
iocharset=utf8	Verwendeter Zeichensatz
file_mode=0664, dir_mode=0775	Rechte für Dateien und Ordner
sec=<Verfahren>	Authentisierungsverfahren. Ohne Angabe verwendet der Client NTLMv2 (ntlmssp).
vers=<Version>	SMB-Version. Ohne Angabe handeln Client und Server die höchste gemeinsame Version aus.

Die Zugangsdaten in einer Datei hinterlegen

Ein Kennwort in der Kommandozeile steht in der Prozessliste und in der Shell-Historie. Hinterlegen Sie die Zugangsdaten deshalb in einer Datei, die nur der Besitzer lesen darf.

Legen Sie die Datei /etc/agorum-dms.cred mit folgendem Inhalt an:
```
username=<USER>
password=<PASSWORT>
```
Schränken Sie die Rechte ein:
```
chmod 600 /etc/agorum-dms.cred
```

Variante 1: Anmeldung mit Benutzername und Kennwort (NTLMv2)

Verwenden Sie diese Variante, wenn sich die Benutzer mit ihren agorum core Zugangsdaten anmelden.

mount -t cifs //<Servername des agorum core Servers>/dms /mnt/dms -o credentials=/etc/agorum-dms.cred,uid=1000,gid=1000,iocharset=utf8,file_mode=0664,dir_mode=0775

Ergebnis: Die Freigabe ist unter /mnt/dms eingehängt. Prüfen Sie das mit:

mount | grep /mnt/dms

Hinweis: Die Optionen sec und vers entfallen bewusst. Der Client verwendet dann NTLMv2 und die höchste gemeinsame SMB-Version. Setzen Sie die Werte nur dann fest, wenn Ihre Umgebung das verlangt, etwa mit sec=ntlmssp,vers=3.1.1.

Variante 2: Anmeldung über Kerberos

Verwenden Sie diese Variante, wenn sich die Benutzer gegen ein Active Directory anmelden. In Umgebungen, in denen NTLM gesperrt ist, ist Kerberos der einzige Weg.

Voraussetzungen

Sie haben SSO über Kerberos eingerichtet. Dabei entsteht der Service Principal Name cifs/<host>.
Die Einstellung DisableExtendedSecurity steht im agorum core support tool auf false. Andernfalls ist Kerberos nicht möglich, siehe SMB-Einstellungen vornehmen.
Das Paket keyutils ist installiert.

Holen Sie ein Kerberos-Ticket:
```
kinit <benutzer>@<REALM>
```
Der Realm wird immer in Großbuchstaben geschrieben, etwa AD.MUSTERFIRMA.COM.
Prüfen Sie das Ticket:
```
klist
```

Verbinden Sie die Freigabe:

mount -t cifs //<vollqualifizierter Name des agorum core Servers>/dms /mnt/dms -o sec=krb5,cruid=$(id -u),uid=$(id -u),gid=$(id -g),iocharset=utf8

Achtung: Geben Sie bei Kerberos den vollqualifizierten Namen des Servers an, nicht die IP-Adresse. Das Service-Ticket ist an den Service Principal Name cifs/<host> gebunden. Mit einer IP-Adresse stellt der Domain-Controller kein Ticket aus und der Mount schlägt fehl.

Parameter	Beschreibung
sec=krb5	Authentisierung über Kerberos
sec=krb5i	Authentisierung über Kerberos und erzwungenes SMB Signing
cruid=<UID>	Benutzer, dem der Kerberos-Ticket-Cache gehört. Bei sec=krb5 erforderlich, wenn der Mount mit anderen Rechten ausgeführt wird, etwa über sudo.

Das Laufwerk dauerhaft einbinden

Tragen Sie die Freigabe in die Datei /etc/fstab ein, damit sie nach einem Neustart automatisch zur Verfügung steht.

//<Servername des agorum core Servers>/dms /mnt/dms cifs credentials=/etc/agorum-dms.cred,uid=1000,gid=1000,iocharset=utf8,file_mode=0664,dir_mode=0775,_netdev 0 0

Prüfen Sie den Eintrag ohne Neustart mit:

mount /mnt/dms

Hinweis: Ein Eintrag in /etc/fstab eignet sich nicht für Kerberos, da beim Systemstart noch kein Ticket des Benutzers vorliegt. Verbinden Sie die Freigabe in diesem Fall nach der Anmeldung des Benutzers.

Das Laufwerk über den Dateimanager verbinden

Je nach Desktop-Umgebung steht Ihnen unter Linux ein Dateimanager zur Verfügung, der Netzlaufwerke verbinden kann, etwa Nautilus unter GNOME. Siehe agorum core dms drive unter Debian Linux mit Gnome verbinden.

Wenn der Mount fehlschlägt

Meldung	Ursache und Lösung
CIFS: VFS: bad security option: ntlm	Der Kernel kennt NTLMv1 nicht mehr. Entfernen Sie die Option sec=ntlm oder setzen Sie sec=ntlmssp.
mount error(13): Permission denied	Benutzername oder Kennwort sind falsch. Ist NTLM in Ihrem Active Directory gesperrt, wechseln Sie auf Kerberos.
mount error(126): Required key not available	Es liegt kein gültiges Kerberos-Ticket vor oder das Paket keyutils fehlt. Führen Sie kinit aus und installieren Sie keyutils.
mount error(2): No such file or directory	Der Freigabename ist falsch. Prüfen Sie die eingerichteten Freigaben.
mount: //…/dms is write-protected, mounting read-only	Das Paket cifs-utils fehlt oder der Benutzer hat keine Schreibrechte auf der Freigabe.

Weitere Prüfschritte finden Sie unter Probleme beim Verbinden des agorum core dms drives untersuchen.

Das agorum core dms drive unter macOS verbinden

Starten Sie das Terminal.
Legen Sie den Mount-Punkt an:
```
mkdir -p ~/dms
```
Verbinden Sie die Freigabe:
```
mount -t smbfs //<benutzer>@<Servername des agorum core Servers>/dms ~/dms
```
Ergebnis: macOS fragt das Kennwort ab und hängt die Freigabe unter ~/dms ein.

Parameter	Beschreibung
-t smbfs	Dateisystem-Typ unter macOS
//<benutzer>@<Servername>/<Freigabe>	Freigabe mit Benutzer
~/dms	Ziel-Ordner (Mount-Punkt)

Hinweise:
• macOS kennt kein Schema cifs://. Geben Sie die Freigabe wie oben gezeigt an.
• Im Finder verbinden Sie die Freigabe über Gehe zu > Mit Server verbinden und die Adresse smb://<Servername>/dms.
• Für Kerberos holen Sie zuerst mit kinit ein Ticket und verwenden anschließend den vollqualifizierten Namen des Servers.
• Dateien mit Umlaut im Namen erscheinen unter macOS unter Umständen nicht im Netzlaufwerk, siehe FAQ zu agorum core dms drive.

.DS_Store-Dateien bei einer Netzwerkverbindung unter macOS

.DS_Store-Dateien sind Apple-spezifische Dateien, die macOS automatisch anlegt, um Anzeigeeinstellungen eines Ordners zu speichern. Sie gelangen dadurch auch nach agorum core. Die Funktion des Netzlaufwerks beeinträchtigen sie nicht.

Ein Worker kann diese Dateien automatisch aus dem agorum core System löschen. Da sich diese Worker selbst timen, löscht das System die Dateien nach spätestens 10 Sekunden. Das Anlegen der Dateien durch macOS lässt sich nicht abstellen.