OpenBIS für Anfänger

Tue, 06 Sep 2016 00:00:00 +0000

Wenn Sie – so wie wir derzeit – darüber nachgedacht haben, von Papier auf elektronische Laborjournale umzusteigen , sind Sie vielleicht schon auf die Lösung OpenBIS gestoßen. Sie möchten OpenBIS installieren, wissen aber nicht, wie Sie vorgehen sollen? Mir ging es genauso, und deshalb habe ich es so lange versucht, bis es geklappt hat. Glücklicherweise habe ich Unterstützung vom ETHZ OpenBIS-Team und unserem lokalen IT-Support erhalten, aber natürlich können diese den Mangel an Kenntnissen über Jetty und PostgreSQL nicht ausgleichen.Wenn ihr es nur kurz ausprobieren wollt, ist es vielleicht einfacher, das VirtualBox-Image herunterzuladen, auf dem bereits alles vorinstalliert und vorkonfiguriert ist ( https://wiki-bsse.ethz.ch/display/bis/openBIS+ELN-LIMS+Virtual+Machine ). Ich hatte jedoch keine schnelle Hardware, um das VirtualBox-Image auszuführen, und kam zu dem Schluss, dass es auf einem alten Computer als Bare-Metal-System schnell genug laufen würde. Die folgenden Anmerkungen basieren auf meinen Erinnerungen und den endgültigen Konfigurationsdateien, die funktioniert haben. Ich werde den Server jedoch trotzdem noch einmal von Grund auf neu einrichten und dabei ausschließlich die unten aufgeführten Schritte ausführen, um sicherzustellen, dass ich nichts Wichtiges übersehen habe. In der Zwischenzeit möchte ich diese Informationen jedoch bereits veröffentlichen. Ich hätte mich gefreut, wenn ich eine Anleitung nach dem Motto „OpenBIS-Installation für Dummies“ gefunden hätte. Um eine sehr lange Supportdauer zu gewährleisten, habe ich mich bei der Installation für Ubuntu 16.04 Server entschieden (das VirtualBox-Image verwendet Ubuntu 14.04 Desktop) und die neueste Version von OpenBIS 16.05.1 (man muss sich für ein Konto registrieren, um die Software herunterladen zu können). Das Plugin für das elektronische Labor-Notizbuch (ELN) ist in dieser Version enthalten. Dabei tritt ein Problem mit der Java-7-Unterstützung auf (diese wird nicht mehr lange gepflegt, und ich werde bald versuchen, OpenBIS ELN mit Java 8 auszuführen, aber diese Anleitung verwendet ein Java-7-PPA für Ubuntu 16.04).1. Führen Sie eine Neuinstallation von Ubuntu 16.04.1 Server durch. Legen Sie während der Installation den Administratorbenutzer „openbis“ an. Wenn Sie zur Softwareauswahl aufgefordert werden, wählen Sie zusätzlich zu den Standard-Systemdienstprogrammen OpenSSH und PostgreSQL aus. Nach der ersten Anmeldung (als Benutzer „openbis“) aktualisieren und upgraden Sie die gesamte Software auf die neueste Version und installieren Sie Emacs (oder einen Texteditor Ihrer Wahl) sowie unzip: sudo apt install unzip emacs24-nox 2. Installieren Sie Java 7. Hier ist eine Möglichkeit, wie du das machen kannst:sudo add-apt-repository ppa:openjdk-r/ppa sudo apt-get update sudo apt-get install openjdk-7-jre-headless3. Um PostgreSQL korrekt einzurichten, ändern Sie die Konfigurationsdatei /etc/postgres/9.5/main/pg_hba.conf. Bei allen Zeilen, die mit peer enden, sollte peer in trust geändert werden! Laden Sie anschließend PostgreSQL neu: sudo systemctl reload postgreql4. Wenn Sie die Installation auf einer virtuellen Maschine wie VirtualBox durchführen, ist es sinnvoll, die Gast-Utilities zu installieren, da dies die Arbeit erleichtert (virtualbox-guest-utils). Legen Sie einen gemeinsam genutzten (permanenten, automatisch gemounteten) Ordner an und fügen Sie „openbis“ zur Gruppe „vboxsf“ hinzu: sudo usermod -a -G vboxsf openbis4. Legen Sie die komprimierte openBIS-Installationsdatei im Home-Verzeichnis des Benutzers „openbis“ ab.5. Entpacken Sie das Installationsprogramm:tar -xvzf openBIS-installation-standard-technologies-S233.0-r36799.tar.gz6. Wechseln Sie in das entpackte Verzeichnis: cd openBIS-installation-standard-technologies-S233.0-r36799 7. Ändern Sie die folgenden Einträge in der Datei „console.properties“: INSTALL_PATH=/home/openbis/DSS_ROOT_DIR=/home/openbis/dataELN-LIMS = truePATHINFO_DB_ENABLED = trueINSTALLATION_TYPE = serverFür diesen Test habe ich das Passwort des Keystores nicht geändert, aber Sie sollten dies aus Sicherheitsgründen tun, wenn Sie den Server im Produktivbetrieb einsetzen!8. Führen Sie das Installationsprogramm aus (nicht als root, sondern als openbis-Benutzer):./run-console.sh9. Wenn das Installationsprogramm Sie auffordert, das Passwort für den openBIS-Benutzer „admin“ einzugeben, geben Sie das Passwort ein, das Sie verwenden möchten, wenn Sie sich als Admin in die Weboberfläche einloggen.10. Wenn die Installation abgeschlossen ist, wechseln Sie in das Verzeichnis ~/openbis/servers/openBIS-server/jetty/etc und bearbeiten Sie die Datei service.properties. Eigentlich müssen Sie nichts ändern, damit die Installation funktioniert, aber wir mussten das System für die Anmeldeauthentifizierung über LDAP konfigurieren.authentication-service = file-authentication-service => authentication-service = file-ldap-authentication-serviceWenn Sie ausschließlich LDAP verwenden (d. h. authentication-service = ldap-authentication-service), müssen im LDAP-Verzeichnis bestimmte spezielle Benutzer vorhanden sein. Wir authentifizieren über den LDAP-Server unserer Universität nur reguläre Benutzer des Systems; daher muss sich beispielsweise der Admin-Benutzer lokal authentifizieren. Dieser Admin-Benutzer wird während der Installation eingerichtet, aber damit dies funktioniert, müssen sowohl die Datei- als auch die LDAP-Authentifizierung aktiviert sein. Dies ist die Adresse unseres LDAP-Servers, wie sie in der Datei „service.properties“ angegeben ist. Sie enthält die Authentifizierungsbasis, die Sie bei Ihren Systemadministratoren erfragen müssen: ldap.server.url = ldap://ldap2015.it.helsinki.fi/OU=people,DC=helsinki,DC=fiDies ist der LDAP-Benutzer und sein Passwort auf dem LDAP-Server (fragen Sie mich nicht, warum die LDAP-Leute für ein so einfaches Konzept solch komplizierte Wortmonster verwenden):ldap.security.principal.distinguished.name = OU=openbis,OU=login,DC=helsinki,DC=fi``ldap.security.principal.password = PASSWORTDie folgenden Parameter sind spezifisch für unseren LDAP-Server. Wir verwenden OpenLDAP, und da OpenBIS TLS offenbar nicht unterstützt, nutzen wir SSL:ldap.security.protocol = ssl``ldap.security.authentication-method = simple``ldap.queryTemplate = (&(%s))OpenBIS erfordert HTTPS. Sie können entweder das selbstsignierte Zertifikat (von der ETHZ bereitgestellt) beibehalten oder ein eigenes Zertifikat installieren. Wenn Sie das selbstsignierte Zertifikat beibehalten, erhalten alle Benutzer eine Warnung, wenn sie versuchen, sich beim Webdienst anzumelden. Es scheint ein weiteres Problem zu geben, da das Hochladen von Dateien mit dem selbstsignierten Zertifikat offenbar nicht funktioniert, da die HTTPS-Anfrage über Port 8444 nicht zu einer Sicherheitswarnung führt, die den Benutzern im Browserfenster angezeigt wird und die sie übergehen könnten.Daher blieb uns nichts anderes übrig, als ein echtes Zertifikat zu beschaffen, was dank der Leute von Let’s Encrypt heute glücklicherweise einfacher ist als noch vor einem Jahr. Dennoch hat es einige Zeit gedauert, bis wir die Zertifikatsangelegenheiten richtig hinbekommen haben. Wir betreiben den OpenBIS-Server innerhalb des Universitätsnetzwerks, und er ist von außen nicht sichtbar. Benutzer, die von außen darauf zugreifen möchten, müssen ein VPN verwenden. Daher mussten wir einen temporären „falschen“ Server mit demselben Namen auf einer öffentlich erreichbaren IP-Adresse einrichten und ein Let’s Encrypt-Zertifikat generieren (Let’s Encrypt ist für Jetty noch nicht automatisiert). Ich habe die automatisierte Methode für Apache2 auf meinem eigenen Server bei Digital Ocean verwendet und anschließend die beiden wichtigen Dateien (fullchain1.pem und privkey1.pem) aus dem Verzeichnis /etc/letsencrypt/archive/eln.jeltsch.org abgerufen und auf unseren OpenBIS-Server verschoben. Um sie in das richtige Format für den Java-Keystore zu konvertieren, habe ich folgende Befehle verwendet:openssl pkcs12 -export -out keystore.pkcs12 -in fullchain1.pem -inkey privkey1.pemkeytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype PKCS12 -destkeystore keystore.jksDer erste Befehl fragt nach einem Export-Passwort. Es spielt keine Rolle, was Sie eingeben (ich habe 12345678 verwendet). Der zweite Befehl fragt nach einem Passwort für den Ziel-Keystore. Geben Sie hier „changeit“ ein, falls Sie das Standard-Keystore-Passwort („changeit“) während der Einrichtung nicht geändert haben. Anschließend werden Sie auch nach dem Passwort für den Quell-Keystore gefragt (das ist das oben von mir verwendete „12345678“).Anschließend musst du noch den Inhalt dieses Keystores zum bereits vorhandenen Keystore hinzufügen. Dafür gibt es wahrscheinlich viele Möglichkeiten, aber ich habe ein grafisches Tool namens Keystore Explorer verwendet. Man öffnet einfach beide Keystores (dafür benötigt man das Passwort „changeit“), löscht den bestehenden Eintrag für die ETHZ und fügt den einzigen (letsencrypt) Eintrag aus dem neu generierten Keystore hinzu. Ersetze die Dateien „keystore“ und „openBIS.keystore“ im Verzeichnis ~/openbis/servers/openBIS-server/jetty/etc/ durch den geänderten Keystore. Beide Dateien sind identisch; ich weiß derzeit nicht, welchen Sinn diese Duplizierung hat. Außerdem musst du ~/openbis/servers/datastore_server/etc/openBIS.keystore durch die neue Version des Keystores ersetzen. Aus irgendeinem Grund funktionierte das Hochladen nicht. Um das Hochladen zu ermöglichen, muss in der Datei „service.properties“ des Datastore-Servers die Host-Adresse des Datastore-Servers angegeben werden: https://eln muss lauten => https://eln.jeltsch.org. Da wir für die Zertifikatserstellung einen anderen Host verwendet hatten, kam es zu einer Nichtübereinstimmung der Hostnamen, und wir mussten die Hostname-Einstellungen manuell überschreiben: Ändern Sie diese in den Dateien /etc/hostname und /etc/hosts und starten Sie anschließend den Server neu. Der Installer übernahm jedoch nur den ersten Teil des vollständigen Namens für die service.properties-Dateien des Datastore-Servers. Der Name unseres Servers lautet eln.jeltsch.org, was zu https://eln führte, was in unserem Netzwerk nicht aufgelöst werden konnte, da wir das Let’s Encrypt-Zertifikat auf einem anderen Server signieren ließen. Nachdem wir die „service.properties“-Dateien geändert und den Server neu gestartet hatten, waren wir endlich bereit, den Server zu testen: 11. Starten des Servers: Melden Sie sich als Benutzer „openbis“ am Server an. cd ~/openbis/bin/./allup.sh 12. Rufen Sie auf einem anderen Computer in Ihrem Webbrowser die Adresse „https://eln.jeltsch.org:8443/openbis/webapp/eln-lims“ auf. Wenn Sie kein öffentlich vertrauenswürdiges Zertifikat installiert haben, warnt Sie der Browser nun, dass die Verbindung nicht sicher ist. Klicken Sie einfach auf „Erweitert“ und bestätigen Sie die Sicherheitsausnahme. Sie müssen sich als „admin/PASSWORD“ (das Sie bei der Installation festgelegt haben) anmelden. Es gibt einige Anleitungen zur Verwendung des ELN. Die Mitarbeiter in meinem Labor haben mir jedoch mitgeteilt, dass die Benutzeroberfläche nicht sehr intuitiv ist und ich ihnen die Grundlagen beibringen muss. Ich halte es für sinnvoll, in einem Tutorial die typische Konfiguration in einem typischen kleinen Life-Science-Labor zu beschreiben: welche Arbeitsbereiche mit welchen Zugriffsrechten für wen, sowie häufige Szenarien (z. B. wenn bestimmte Reagenzienlisten für Außenstehende zugänglich sein müssen usw.). Außerdem habe ich viele Verbesserungsvorschläge. Es wäre zum Beispiel schön, mehr „ELN-Vorschauen“ für hochgeladene Dokumente zu erhalten. Derzeit lassen sich Bilder in der Vorschau anzeigen, PDF-Dateien jedoch nicht (ich habe SVG-Dateien noch nicht ausprobiert, aber wir verwenden sie recht häufig für Bildannotationen). Dies ist sicherlich nicht mein letzter Beitrag zu OpenBIS, und bis wir das System in den produktiven Einsatz nehmen (voraussichtlich Anfang nächsten Jahres), muss ich noch viel lernen.

Anlegestelle on Michael’s Domain

OpenBIS für Anfänger