Seitenentwurf:Setup:BlueSpice Betriebshandbuch

Zielsetzung

Ziel dieser Betriebsanleitung ist es, Ihnen eine reibungslose und erfolgreiche Ausführung von BlueSpice in Ihrer IT-Umgebung zu ermöglichen. Sie soll Ihre Fragen als Entscheider, IT-Prüfer und Serveradministratoren unter anderem zu folgenden Fragen beantworten:

• Woher bekomme ich Informationen über BlueSpice und die Entwicklung von BlueSpice?
• Was muss ich beim Betrieb von BlueSpice beachten?
• Wie kann ich BlueSpice sichern und überwachen?

Die aktuellste Version finden Sie unter https://de.wiki.bluespice.com/wiki/Setup:BlueSpice_Betriebshandbuch. Dieses Handbuch enthält allgemeine Informationen. Sie können es jederzeit auf Ihr lokales BlueSpice kopieren und entsprechend Ihren Prozess- und Dokumentationsanforderungen ändern. Da sich die IT-Umgebung im Laufe der Zeit durch Aktualisierungen und Umstrukturierungen ändern kann, ist es ratsam, die Informationen im Betriebshandbuch auf Aktualität zu überprüfen.

Der Aufbau dieses Handbuchs basiert auf den Empfehlungen des Bundesamtes für Informationssicherheit, die hier zu finden sind.

Überblick

Systemüberblick

BlueSpice ist eine webbasierte Client-Server-Anwendung. Auf der Serverseite werden ein Webserver (Apache, IIS, Nginx), die Skriptsprache PHP, eine Datenbank (MySQL oder MariaDB), ein JAVA-Anwendungsserver (Tomcat oder Jetty)und Elasticsearch verwendet. Auf dem Server sind mehrere Binärdateien erforderlich, z. B. phantomJS und Imagemagick. Bis Version BlueSpice ≤ 3.2.x wird zusätzlich ein NodeJS-Dienst (Parsoid) verwendet.

BlueSpice kann in einer verteilten Umgebung ausgeführt werden. Alle Dienste können auf einzelnen Servern (Webserver + PHP, Datenbank, Anwendungsserver, Elasticsearch) bereitgestellt werden. Ein häufiges Szenario besteht darin, den Webserver und PHP horizontal zu skalieren.

In der Regel besteht eine Inhouse-Installation von BlueSpice aus einer Produktionsumgebung und einer entsprechenden Testumgebung. In Szenarien mit erhöhten SLAs wird vor der Produktion eine zusätzliche QS-Umgebung als Zwischenschritt verwendet.

Eigentümer, Verantwortliche und Kontakte

Die Entwicklung und Pflege von BlueSpice erfolgt durch:

Hallo Welt! GmbH

Bruderwöhrdstraße 29

93055 Regensburg

Deutschland

https://www.hallowelt.com

Bei technischen Fragen wenden Sie sich bitte an den Hallo Welt! GmbH-Support unter support@hallowelt.com.

Bei Fragen zu Ihrem Vertrag wenden Sie sich bitte an das Verkaufsteam der Hallo Welt! GmbH unter sales@hallowelt.com .

Betriebszeiten

In der Regel werden BlueSpice-Instanzen rund um die Uhr ausgeführt. Der Betrieb wird von der IT-Abteilung des Unternehmens oder deren Dienstleistern verwaltet. Hallo Welt! bietet Unterstützung und Anleitung während der Bürozeiten (8 - 18 Uhr MEZ / MESZ).

System- und Revisionshistorie

Alle BlueSpice Versionen sind im BlueSpice Helpdesk dokumentiert: https://de.wiki.bluespice.com/wiki/Setup:Release_Historie

Alle Änderungen können in unseren aktuellen und archivierten Release Notes nachvollzogen werden: https://de.wiki.bluespice.com/wiki/Setup:Release_Notes

Dokumentation

BlueSpice pflegt eine Online-Dokumentation, die ständig auf dem neuesten Stand gehalten wird: https://de.wiki.bluespice.com

Ein Benutzerhandbuch steht zur Verfügung: https://de.wiki.bluespice.com/wiki/Benutzerhandbuch

Die Administration ist hier dokumentiert: https://de.wiki.bluespice.com/wiki/Adminhandbuch

Zusätzlich gibt es ein Benutzerforum: https://sourceforge.net/p/bluespice/_list/tickets

Neuigkeiten zum Produkt finden Sie in unserem Blog: https://bluespice.com/de/kategorie/news-wissen/

Außerdem versenden wir regelmäßig einen BlueSpice Newsletter. Hier können Sie sich anmelden: https://bluespice.com/de/

Folgen Sie uns für weitere Informationen auf Twitter: https://twitter.com/BlueSpice_DACH

Installationsanleitung Windows/Linux (inklusive Upgradeanleitung)

BlueSpice pflegt eine Online-Installationsanleitung: https://de.wiki.bluespice.com/wiki/Setup:Installationsanleitung

Systemarchitektur und Schnittstellen

Der folgende Abschnitt gibt einen Überblick über die Komponenten von BlueSpice und wie diese miteinander und mit ihrer Umgebung interagieren.

Systemintegration

BlueSpice ist eine Webanwendung, die in Ihre IT-Umgebung integriert werden kann, insbesondere LDAP und E-Mail.

Serverarchitektur

Intern besteht BlueSpice aus mehreren Komponenten, die Teile der Funktionalität bereitstellen.

Vertikal verteilte Architektur

Für eine einfache Skalierung können einige Dienste auf andere physische oder virtuelle Server ausgelagert werden.

Horizontal verteilte Architektur

Für hohen Datenverkehr oder hohe Verfügbarkeitsanforderungen kann BlueSpice horizontal skaliert werden.

Komponenten und Verantwortlichkeiten

Server, Betriebssystem, Lizenzen und Software-Infrastruktur werden normalerweise von der IT Ihres Unternehmens verwaltet.

Hallo Welt! verwaltet normalerweise die Anwendung und die erforderlichen Komponenten.

Es können besondere vertragliche Vereinbarungen bestehen.

Externe Schnittstellen (zu anderen Organisationen)

Technisch gesehen kann BlueSpice so eingerichtet werden, dass es vollständig in sich geschlossen arbeitet (wenden Sie sich an unseren Support, wenn Sie Fragen zu Ihrer Instanz haben). Auf dem Server werden keine externen Quellen abgefragt. In der Standardinstallation gibt es Inhaltsmodule, die Daten aus externen Quellen auf der Clientseite (Browser) beziehen:

• draw.io: Das Diagrammwerkzeug wird direkt von draw.io geladen. Der gesamte Inhalt verbleibt im BlueSpice-Wiki.
• maps: Eingebettete Karten werden von Google oder OpenStreetMap gesammelt.
• widgets: Der Zweck von Widgets besteht darin, Inhalte aus öffentlichen Quellen wie YouTube anzuzeigen.

• Chemische Formeln: Das Rendering von chemischen Formeln verwendet einen externen Dienst über die REST-API von Wikimedia.

Auf derorganisatorischen Seite bietet das Team von Hallo Welt! GmbH normalerweise 3rd-Level Support für abonnierte BlueSpice-Instanzen. Die Hallo Welt! GmbH arbeitet mit der internen IT des Unternehmens sowie mit IT-Infrastrukturanbietern der Kunden zusammen.

IT-interne Schnittstellen

Eine Standardinstallation von BlueSpice stellt eine Verbindung zu den folgenden Diensten her, um voll funktionsfähig zu sein:

• Benutzerverzeichnis: BlueSpice kann so konfiguriert werden, dass es sich bei einem Unternehmensbenutzerverzeichnis (normalerweise Active Directory) authentifiziert. Die verwendeten Protokolle sind LDAP und SAML.
• E-Mail: BlueSpice muss mit einem E-Mail-Server verbunden sein, um Benachrichtigungen senden zu können.

API

BlueSpice verfügt über eine API-Schnittstelle.

• Anweisungen zum Umgang mit der API finden Sie hier: https://www.mediawiki.org/wiki/API:Main_page/de
• Eine umfassende Liste der API-Module finden Sie hier: https://de.wiki.bluespice.com/w/api.php

Installation und Systemvoraussetzungen

Systemvoraussetzungen

Die aktuellen Systemvoraussetzungen sind hier dokumentiert: https://de.wiki.bluespice.com/wiki/Setup:Systemanforderungen

Softwarekatalog

Alle BlueSpice-Komponenten sind im Softwarekatalog aufgeführt: https://de.wiki.bluespice.com/wiki/Setup:Softwarekatalog

Konfigurationsänderungen

Konfigurationsänderungen können in Minor und Major Releases auftreten. Bitte beachten Sie die hier bereitgestellten Upgrade-Informationen: https://de.wiki.bluespice.com/wiki/Setup:Installationsanleitung/Upgrade

Aufnahme und Unterbrechung des Betriebs

Neustart

Um BlueSpice zu starten, müssen alle erforderlichen Dienste ausgeführt werden. Bitte stellen Sie sicher, dass Sie die Dienste in der hier angegebenen Reihenfolge starten:

Datenbank

• Linux: service mysql start ODER systemctl start mysql
• Windows: services.msc

Anwendungsserver (Tomcat oder Jetty)

• Linux: service jetty9 start ODER systemctl start jetty9
• Windows: services.msc

Elasticsearch

• Linux: service elasticsearch start ODER systemctl start elasticsearch
• Windows: services.msc

Parsoid (nicht erforderlich ab BlueSpice 4.0)

• Linux: pm2 start /opt/parsoid/bin/server.js ODER systemctl start parsoid
• Windows: services.msc

Memcache

• Linux: service memcached start ODER systemctl start memcached
• Windows: services.msc

Webserver

• Linux: service apache2 start ODER systemctl start apache2
• Windows: services.msc

Shutdown

Um BlueSpice herunterzufahren, müssen alle erforderlichen Dienste gestoppt werden. Bitte stellen Sie sicher, dass Sie die Dienste in der hier angegebenen Reihenfolge beenden:

Webserver

• Linux: service apache2 stop ODER systemctl stop apache2
• Windows: services.msc

Parsoid (nicht erforderlich ab BlueSpice 4.0)

• Linux: pm2 stop /opt/parsoid/bin/server.js ODER systemctl stop parsoid
• Windows: services.msc

Anwendungsserver (Tomcat oder Jetty)

• Linux: service jetty9 stop ODER systemctl stop jetty9
• Windows: services.msc

Elasticsearch

• Linux: service elasticsearch stop ODER systemctl stop elasticsearch
• Windows: services.msc

Database

• Linux: service mysql stop ODER systemctl stop mysql
• Windows: services.msc

Konfigurationsänderungen

Nach Änderungen an der Konfiguration muss der Dienst mit der geänderten Konfiguration neu gestartet werden.

Webserver

• Linux: service apache2 restart
• Windows: services.mmc

Parsoid (nicht erforderlich ab BlueSpice 4.0)

• Linux: pm2 restart /opt/parsoid/bin/server.js
• Windows: services.mmc

Anwendungsserver (Tomcat oder Jetty)

• Linux: service jetty9 restart
• Windows: services.mmc

Elasticsearch

• Linux: service elasticsearch restart
• Windows: services.mmc

Database

• Linux: service mysql restart ODER systemctl restart mysql
• Windows: services.mmc

Ungeplanter Serverausfall

Identifizieren Sie, welcher Dienst nicht ausgeführt wird und starten Sie diesen Dienst neu.

Der laufende Betrieb

Benutzerverwaltung

• Alle Benutzer werden in der Anwendung verwaltet. Einzelheiten finden Sie unter: https://de.wiki.bluespice.com/wiki/Handbuch:Erweiterung/BlueSpiceUserManager

Wiederkehrende Hintergrundaufgaben

BlueSpice ist so eingerichtet, dass einige Aufgaben im Hintergrund ausgeführt werden. Diese sind:

• maintenance/runJobs.php

Genauere Informationen finden Sie unter: https://de.wiki.bluespice.com/wiki/Setup:Installationsanleitung/Optimierungen/Cronjobs

Backup

Eine detaillierte Backupanleitung finden Sie hier: https://de.wiki.bluespice.com/wiki/Setup:Installationsanleitung/Kompendium/Backup

Überwachung

Abgesehen von den allgemeinen zu überwachenden Parametern (Speicherplatz, CPU-Auslastung, Speichernutzung) können die folgenden Dienste auf Verfügbarkeit überwacht werden:

• Webserver: Pingen Sie die Anmeldeseite des Wikis an: <wiki_url>/Special:Login
• Datenbank: Überprüfen Sie die Datenbankverbindung mit der Authentifizierung mit Benutzername und Kennwort.
• Parsoid: Überprüfen Sie die Verbindung von Port 8000 über 127.0.0.1 (nicht erforderlich ab BlueSpice 4.0)
• Elasticsearch: Überprüfen Sie die Verbindung von Port 9200 über 127.0.0.1

Wenn einer dieser Dienste nicht verfügbar ist, ist BlueSpice entweder nicht betriebsbereit oder unterliegt funktionalen Einschränkungen.

Fehlersuche

Beachten Sie bei Fehlern die Fehlerprotokolle:

• Öffnen Sie im Webbrowser die Konsole und suchen Sie nach JavaScript-Fehlern.
• Überprüfen Sie das Fehlerprotokoll und das PHP-Fehlerprotokoll des Webservers.

Sicherheit

Um die Sicherheit von Server und Applikation zu gewährleisten sind folgende Punkte zu beachten.

• Halten Sie das Server-Betriebsystem und installierte Software aktuell
• Stellen Sie sicher, dass Patchlevel-Releases zeitnah eingespielt werden
• Stellen Sie sicher, dass die Verbindung zum Client verschlüsselt ist (HTTPS)
  • Nutzen Sie nach Möglichkeit keine selbst-signierten Zertifikate
• Stellen Sie sicher, dass auf einem Produktiv-System keine Debug-Einstellungen aktiviert sind. Anderfalls könnten Fehlermeldungen sensible Informationen (z.B. Dateisystemfade und Datenbank-Einträge) enthalten.
  • Optional: Konfigurieren Sie den Webserver so, dass im Falle eines Fehlers (HTTP Status Code 5xx) nicht die Applikation selbst, sondern eine statische Fehlermeldungsseite erscheint. Hinweis: bei einer solchen Konfiguration ist es unter Umständen nicht möglich dem Benutzer die Fehlerreferenznummer zuzeigen, was das Auffinden von Fehlerdetails im Log erschwert.
• Stellen Sie sicher, dass nur Einstiegspunkte und statische Ressourcen aus dem extensions/ und skins/-Verzeichnis zugreigbar sind
  • Einstiegspunkte:
    • /api.php
    • /dynamic_file.php
    • /index.php
    • /load.php
    • /nsfr_img_auth.php (/img_auth.php wird von BlueSpice nicht verwendet)
    • /opensearch_desc.php
    • /rest.php
    • /thumb.php (wird standardmäßig von BlueSpice nicht verwendet)
    • /webdav.php
  • Statische Ressourcen:
    • *.css
    • *.gif
    • *.jpg
    • *.jpeg
    • *.js
    • *.png
    • *.svg
    • *.ttf
    • *.woff
    • *.woff2
  • Verhindern Sie explizit Zugriff auf Dateisystemorte und Dateitypen, welche sensible Daten enhalten können (insbesondere .git/, *.json)
  • Verhindern Sie direkten Zugriff auf das images/-Verzeichnis. Hochgeladene Dateien werden ausschließlich über den nsfr_img_auth.php-Einstiegspunkt (s.o.) an den Benutzer ausgeliefert
• Installieren Sie einen Virenscanner auf dem Server, welcher vom Benutzer hochgeladene Dateien überprüft.
• Verwenden Sie Zwei-Faktor-Authentifizierung. Nutzen Sie entweder die Wiki-eigenen Funktionen, oder (empfohlen) aktivieren Sie die entsprechenden Funktionen in dem von Ihnen verwendeten Authentifizierungsanbieter (z.B. bei der Verwendung von OpenIDConnect oder SAML als Authentifizierungsmethode).

Fehlerbehebung

Wenn ein oder mehrere Dienste nicht funktionieren:

• Überprüfen Sie die verfügbaren Systemressourcen, insbesondere den freien Speicherplatz.
• Starten Sie alle Dienste neu.

Wenn das Problem weiterhin besteht, wenden Sie sich an den BlueSpice-Support.

Leistungskennziffern

Server

Es gelten folgende Standardparameter für Server:

• Speicherplatz < 80% Auslastung.
• Die CPU-Auslastung sollte nicht länger als 1 Sekunde auf 100% ansteigen.
• Die Systemauslastung (load average) sollte nicht mehr als die Anzahl der CPU-Kerne betragen.
• Die durchschnittliche Speichernutzung sollte 90% nicht überschreiten.
• Vermeiden Sie bei GNU / Linux-Systemen eine hohe Auslastung des Swap-Speicherplatzes.

Für eine Standard-Servergröße (4 Kerne, 8 GB RAM) ist die Anzahl der durchschnittlichen gleichzeitigen Benutzer auf 25 pro Server optimiert. Dies bedeutet, dass ein Server ungefähr 125 gleichzeitige Benutzer verarbeiten kann.

Das PHP-Fehlerprotokoll sollte keine Fehlermeldungen vom Typ FATAL oder WARNING anzeigen.

Client

Die Referenzseite Spezial:Version sollte unter 4 Sekunden ohne Browser-Cache und unter 2,5 Sekunden mit aktiviertem Browser-Cache geladen werden.

Bekannte Beschränkungen

Funktionale Beschränkungen

Funktionalität:

• Webserver: Erforderlich für BlueSpice-Grundoperationen.
• Datenbank: Erforderlich für BlueSpice-Grundoperationen.
• Tomcat: erforderlich für PDF und VisualDiff.
• Elasticsearch: Erforderlich für ExtendedSearch und verschiedene Titelauswahlfelder. Wird auf die Standard-MediaWiki-Suche zurückgreifen, falls nicht verfügbar.
• PhantomJS: Erforderlich zum Rendern von Artikelvorschau-Bildern.
• Parsoid: Erforderlich für VisualEditor (nicht erforderlich ab BlueSpice 4.0).

Alle Dienste außer dem Webserver und der Datenbank sind optional. Wenn nicht vorhanden, ist die genannte Funktionalität nicht verfügbar.

Technische Beschränkungen

Updates vom Typ "major" and "minor" können aufgrund von Datenbankmigrationsvorgängen eine Systemausfallzeit erfordern.

Kapazitätsbezogene Beschränkungen

Die Antwortzeiten hängen von den Serverressourcen ab, vor allem von der CPU-Leistung.

Die Anzahl der gleichzeitigen Benutzer, die ein Server verarbeiten kann, hängt direkt von der Speichergröße des Servers und der CPU-Leistung ab.

Bitte beachten Sie: Wir empfehlen dringend ein separates Testsystem. Dies kann zur Vorbereitung von Updates/Upgrades, zum Debuggen und zum Sammeln von Größeninformationen verwendet werden. Wenn kein Testsystem vorhanden ist, können gelegentliche Ausfallzeiten auftreten, wenn Debugging- und Wartungsvorgänge durchgeführt werden.

Archivierung und Löschen von Daten

Bewegungsdaten (Stark wachsende Daten)

Die folgenden Speicherorte speichern Bewegungsdaten, die bei Datenverlust nicht wiederhergestellt werden können und regelmäßig gesichert werden müssen:

• In der Datenbank werden die meisten Daten von BlueSpice gespeichert, einschließlich Artikel, Benutzer und Aktionsprotokolle.
• Der Ordner images speichert alle hochgeladenen Dateien.

In Elasticsearch sind einige sekundäre Daten (für BlueSpice Social und Statistics) gespeichert. Diese Daten können vollständig aus den in der Datenbank gespeicherten Primärdaten wiederhergestellt werden.

Stammdaten (Langsam wachsende Daten)

Die folgenden Speicherorte speichern Stammdaten, deren Wiederherstellung bei Datenverlust einen erheblichen Aufwand erfordert und die regelmäßig gesichert werden sollten:

• Konfiguration:
  • LocalSettings.php und LocalSettings.BlueSpice.local.php enthalten die Grundkonfiguration einschließlich Site-Name, Sicherheitsschlüssel und Datenbankzugriff.
  • Der Ordner settings.d enthält Informationen zu aktivierten Erweiterungen.
  • Der Ordner extensions/BlueSpiceFoundation/config enthält Informationen zur Einrichtung der Namensräume und zur Konfiguration der Berechtigungen. Ab der Version 4.3.0 werden diese Konfigurationen in der Datenbank vorgehalten. Eine Ausnahme bildet die Cloud-Edition.

• Vorlagen und Skins
  • Der Ordner extensions/BlueSpiceFoundation/data enthält PDF-Vorlagen.

Log-Dateien und Fehler-Dateien

• Php Fehler-Log: /var/log/php-fpm.log (nur für den php-fpm Dienst)
• Apache Zugriffs-Log: /var/log/apache2/*access.log
• Apache Fehler-Logs: /var/log/apache2/*error.log (einschließlich PHP Fehlern)
• Browserkonsole
• Parsoid-Log: pm2 logs ODER /var/log/parsoid.log(systemd und init.d) (nicht erforderlich ab BlueSpice 4.0)
• Elasticsearch: /var/log/elasticsearch/
• Tomcat: Standardmäßig ist die Protokollierung deaktiviert. Je nach System kann die Protokollierung über Konfigurationen werden.
• Windows Ereignisprotokoll: MS Windows Logs sind nicht im txt-Format. Der Zugang ist über das Ereignisprotokoll möglich.

Sicherheitsbestimmungen

Internetzugang

Für Standardvorgänge benötigt BlueSpice keinen Internetzugang. BlueSpice tätigt keine ausgehenden Anrufe. Weitere Informationen finden Sie im Abschnitt Externe Schnittstellen.

In unserer Standardeinstellung greift der Client auf draw.io zu, um Diagramme zu bearbeiten. Hier werden nur Anwendungsdaten von der Webseite geladen. Es werden keine Inhaltsdaten an draw.io weitergegeben. Auf Anfrage kann Hallo Welt! eine On-Premise-Version von draw.io installieren (zusätzliche Gebühren fallen an).

Zugriff auf unterstützende Dienste

Tomcat, Elasticsearch und PhantomJS empfangen Daten von BlueSpice-Kernkomponenten. Sie sind unabhängig von Zugriffsrechten und haben vollen Zugriff auf alle auf BlueSpice gespeicherten Daten. Es wird daher empfohlen, den Zugriff auf diese Dienste auf localhost oder die IP-Adresse des Webservers zu beschränken. Wenn Hallo Welt! die Installation durchführt, ist dies die Standardeinstellung. Ein externer Zugang zu diesen Diensten sollte nicht erlaubt sein.

Datenschutz

Die Einhaltung der DSGVO wird von der BlueSpice Datenschutzzentrale übernommen. Weitere Informationen finden Sie hier: https://de.wiki.bluespice.com/wiki/Handbuch:Erweiterung/BlueSpicePrivacy

Rechtliche Informationen

Alle rechtlichen Informationen, einschließlich des Subskriptionsvertrags, der DSGVO-Informationen, des Vertrags über Auftragsverarbeitung (AVV) und der Antibestechungsrichtlinien sowie den Softwarekatalog finden Sie auf der BlueSpice-Homepage: https://bluespice.com/de/vertraege-und-richtlinien/

Wird im Wiki von einem "Artikel" gesprochen, so ist damit in der Regel der Inhalt einer Einzelseite gemeint. Im Zusammenhang mit im Wiki erstellten Büchern ist ein Artikel oft gleichbedeutend mit einem Buchkapitel.