= PHP als eigener Prozess =

Normalerweise starten PHP-Prozesse im Managed Webspace als FastCGi-Prozess unter Kontrolle des Apache Webserver. Der Apache übernimmt die Skalierung und startet bei Bedarf weitere Prozesse nach.

Nutzer:innen eines Managed Server können alternativ PHP-FPM Nutzen. Sie starten einen FPM-Prozess unter der eigenen Kontrolle. Dieser Hauptprozess übernimmt die Skalierung und Kontrolliert den Lifecycle von PHP-Prozessen nach den wünschen der Webseitenbetreiber:in.

== Konfiguration von FPM ==

Hier nur ein minimales Beispiel. Für die Optimierung sein auf die entsprechende Originaldokumentation verwiesen.

~/php-fpm$ cat ~/php-fpm/php-fpm.conf

[global]
pid = /home/pacs/xyz00/users/username/php-fpm/php-fpm.pid
error_log = /home/pacs/xyz00/users/username/php-fpm/php-fpm.log

[www]
listen = 127.0.0.1:30080
listen.allowed_clients = 127.0.0.1
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3
;pm.process_idle_timeout = 10s;
;pm.max_requests = 500

== Apache Konfiguration ==

Der FPM-Server wird über das Apache Modul "mod_proxy_fcgi" angesteuert. Dazu legt man im Verzeichnis
~/doms/hs-example.de/ eine Datei .htaccess an.

$ cat doms/hs-example.de/.htaccess
RewriteEngine on
RewriteRule ^(.*)\.php(/.*)?$ fcgi://127.0.0.1:30080/home/doms/hs-example.de/htdocs-ssl/$1.php$2 [proxy,last]

== Start und Autostart des FPM-Prozess ==

Der FPM-Prozess wird wie folgt gestartet:

/usr/sbin/php-fpm8.2 --fpm-config php-fpm/php-fpm.conf --php-ini php-fpm/php.ini --nodaemonize

Eine Unit für SystemD könnte wie folgt aussehen:

[Unit]
Description=PHP FPM Service

[Service]
Type=simple
WorkingDirectory=%h
Environment="PATH=/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin"
ExecStart=/usr/sbin/php-fpm8.2 --fpm-config %h/php-fpm/php-fpm.conf --php-ini %h/php-fpm/php.ini --nodaemonize
StandardOutput=file:%h/var/php-fpm.log
StandardError=inherit
Restart=always
PrivateTmp=true

[Install]
WantedBy=default.target

2024-10-29T11:20:02Z

Peh: erste komplette Version

== IMAP Postfach migrieren ==

Für neue Mitglieder ist es eine der ersten Aufgaben, das E-Mail Postfach zu Hpostsharing umzuziehen.

Dazu wird mit Hilfe von HSAdmin ein Postfach (ein "User" unter Linux) und eine oder mehrere E-Mail-Adressen angelegt.

Achtung: Wenn eine Domain umgezogen werden soll, erfolgt der Umzug der Domain in der Regel erst nach diesem Schritt! Viele andere Provider mehen das Löschen einer Domain gleich um Anlass auch alle E-Mails aus den zugehörigen Postfächern zu löschen, oder die Postfächer sind ohne die Domain nicht mehr erreichbar.

Zur Migration der Daten kann man das Tool '''offlineimap''' verwenden.

=== Konfiguration ===

Zur Konfiguration wird im neu angelegten Postfach-Account bei Hostsharing eine Datei '''.offlineimaprc''' angelegt.

Für ein Postfach bei Mailbox.org müsste die Konfiguration für einen Umzug so aussehen:

<syntaxhighlight lang="ini" line>
[general]
accounts = Umzug

[Account Umzug]
localrepository = Local
remoterepository = Remote

[Repository Local]
type = Maildir
localfolders = ~/Maildir
nametrans = lambda folder: 'INBOX' if folder == '' else re.sub('^\.', '', folder)

[Repository Remote]
type = IMAP
remotehost = imap.mailbox.org
remoteuser = alteadresse@mailbox.org
remotepass = mailbox-org-password
sslcacertfile = OS-DEFAULT
nametrans = lambda folder: '' if folder == 'INBOX' else '.' + folder
</syntaxhighlight>

Lokal greift das Tool '''offlineimap''' direkt auf das Maildir-Verzeichnis zu. Daher müssen die Ordner mit Hilfe der "nametrans"-Regeln in die physischen Ordnernamen des "Maildir++"-Formats umgewandelt werden (Der INBOX-Ordner entfällt in der Hostsharing-Konfiguration, andere Ordner beginnen mit dem Punkt ".").

Die rechte Seite der Zeilen "remoteuser" und "remotepass" muss natürlich jeweils angelpasst werden.

OfflineIMAP

2024-10-28T18:02:07Z

Peh: Die Seite wurde neu angelegt: „== IMAP Postfach migrieren == Für neue Mitglieder ist es eine der ersten Aufgaben, das E-Mail Postfach zu Hpostsharing umzuziehen. Dazu wird mit Hilfe von HSAdmin ein Postfach (ein "User" unter Linux) und eine oder mehrere E-Mail-Adressen angelegt. Achtung: Wenn eine Domain umgezogen werden soll, erfolgt der Umzug der Domain in der Regel erst nach diesem Schritt! Viele andere Provider mehen das Löschen einer Domain gleich um Anlass auch alle E-Mails…“

LLDAP

2024-09-30T18:46:23Z

Peh: Kategorien

== LDAP Kontoverwaltung mit LLDAP ==

LLDAP ist ein LDAP Server, der in der Programmiersprache Rust implementiert ist. LLDAP verwendet eine relationale Datenbank zum Speichern der Accounts und Gruppen. LLDAP läßt sich als eigener Daemon betreiben. Er bringt ein einfaches Webfrontend für die Verwaltung der Konten und Gruppen und eine Funktion zum Passwort-Rücksetzen mit.

=== Vorbereitungen in HSAdmin ===

Mit Hilfe von HSAdmin werden im ersten Schritt ein Service-User, eine Domain und ein PostgreSQL-User mit PostgreSQL-Datenbank angelegt. Der Service-User heißt im folgenden "''xyz00-lldap''", die Domain "''account.hs-example.de''", PostgreSQL-User und -Datenbank heißen beide "''xyz00_lldap''". Das PostgreSQL-Passwort sei "''pg_password_99''".

=== Download und entpacken ===

Die aktuelle Version von LLDAP ist v0.5.0.

Ich melde mich als User "''xyz00-lldap''" und lade das Binärpaket mit wget:

<syntaxhighlight lang="bash">
wget https://github.com/lldap/lldap/releases/download/v0.5.0/amd64-lldap.tar.gz
tar xzf amd64-lldap.tar.gz
mv amd64-lldap lldap
</syntaxhighlight>

=== Konfiguration ===

Die Konfiguration erfolgt über eine Datei "''lldap_config.toml''" im Verzeichnis "''~/lldap''". die Datei erstelle ich wie folgt:

<syntaxhighlight lang="bash">
cd ~/lldap
touch lldap_config.toml
vim lldap_config.toml
</syntaxhighlight>

der Inhalt nach dem Bearbeiten ist zum Beispiel:

<syntaxhighlight lang="toml">
verbose=true
ldap_host = "127.0.0.1"
ldap_port = 33891
http_host = "127.0.0.1"
http_port= 33881
http_url = "https://account.hs-example.de"
jwt_secret = "generierte-zufallszeichenkett-als-secret"
ldap_base_dn = "dc=hs-example,dc=de"
ldap_user_dn = "admin"
ldap_user_email = "webmaster@hs-example.de"
ldap_user_pass = "ldap-admin-password-generieren"
force_ldap_user_pass_reset = false
database_url = "postgres://xyz00_lldap:pg_password_99@localhost/xyz00_lldap"
key_seed = "generierte-zufallszeichenkette"

[smtp_options]
enable_password_reset = true
server = "localhost"
port = 4025
smtp_encryption = "NONE"
from="LLDAP Admin <webmaster@hs-example.de>"

[ldaps_options]
enabled = false
</syntaxhighlight>

Bei der Installation sollten folgende Einstellungen angepasst werden:
* die Ports für LDAP und HTTP
* Die Domain "''hs-example.de''" bzw. "''account.hs-example.de''"
* Der Account-Präfix "''xyz00''"
* Die Passworte und Secret-Zeichenketten
* "''verbose''" soltle auf "''false''" geändert werden, wenn alles läuft.

Das Anlegen der Datenbank-Tabellen erfolgt und ein ersten Start des Servers erfolgt mit den Befehlen:

<syntaxhighlight lang="bash">
cd ~/lldap
./lldap create_schema
./lldap run
Ctrl-C
</syntaxhighlight>

=== Proxy-Konfiguration ===

Für den Zugriff auf das Admin-Frontend über den Browser konfiguriere ich die Domain:

<syntaxhighlight lang="bash">
cd ~/doms/account.hs-example.de
rm -rf subs/www subs-ssl/www htdocs-ssl
ln -s $HOME/lldap/app htdocs-ssl
touch htdocs-ssl/.htaccess
vim htdocs-ssl/.htaccess
</syntaxhighlight>

Mit dem Inhalt:

<syntaxhighlight lang="apache">
DirectoryIndex disabled
RewriteEngine On
RewriteBase /

RewriteCond %{DOCUMENT_ROOT}/%{REQUEST_FILENAME} !-f
RewriteRule .* http://127.0.0.1:33881%{REQUEST_URI} [proxy]
RequestHeader set X-Forwarded-Proto "https"
</syntaxhighlight>

Achtung: Port 33881 wie in der Konfig-Datei anpassen!

=== LLDAP als Service einrichten ===

LLDAP soll als Service unter Kontrolle von SystemD laufen.

<syntaxhighlight lang="bash">
cd ~
mkdir -p .config/systemd/user
mkdir var
vim .config/systemd/user/lldap.service
</syntaxhighlight>

Inhalt der Datei:

<syntaxhighlight lang="toml">
[Unit]
Description=LLDAP Service

[Service]
WorkingDirectory=%h/lldap
Environment="PATH=/usr/local/bin:/usr/bin:/bin"
ExecStart=%h/lldap/lldap run
StandardOutput=file:%h/var/lldap.log
StandardError=inherit
Restart=always
PrivateTmp=true
NoNewPrivileges=true

[Install]
WantedBy=default.target
</syntaxhighlight>

Aktivieren und Starten des Dienstes:

<syntaxhighlight lang="bash">
cd ~
systemctl --user daemon-reload
systemctl --user enable lldap.service
systemctl --user start lldap.service
</syntaxhighlight>

Wenn alles gut gegangen ist, kann mann sich als "''admin''" mit dem Passwort aus der Zeile "''ldap_user_pass''" unter https://account.hs-exampel.de anmelden.

=== weitere Verbesserungen ===

Bisher ging es darum, schnell einen LDAP-Dienst aufzusetzen. Leider lädt die fertig kompilierte Distribution, die wir hier benutzt haben, ihre Fonts, das CSS und JavaScript aus CDN-Netzwerken und von Google Servern. Das wollte ihr vermutlich nicht. Ich habe dazu den folgenden Issue im Github-Tracker gefunden: https://github.com/lldap/lldap/issues/93 Wenn ich richtig verstehe, kann man selbst eine Distribution erstellen, die die entsprechenden Ressourcen lokal hostet.

=== Links ===

* [https://github.com/lldap/lldap Github Projekt LLDAP]
* [https://github.com/lldap/lldap/tree/main?tab=readme-ov-file#client-configuration Client-Konfigurationsbeispiele]

----
[[Kategorie:HSDoku]]
[[Kategorie:Installationsanleitungen]]
[[Kategorie:Software]]
[[Kategorie:SSO]]

LLDAP

2024-09-30T18:44:27Z

Peh: /* Links */

2024-09-30T18:02:58Z

Peh: Proxy-Konfig

LLDAP

2024-09-30T17:55:47Z

Peh: /* Konfiguration */

LLDAP

2024-09-30T17:52:32Z

Peh: /* Konfiguration */

LLDAP

2024-09-30T17:44:28Z

Peh: /* Konfiguration */

LLDAP

2024-09-30T17:43:42Z

Peh: /* Download und entpacken */