OpenBIS für Anfänger

Tue, 06 Sep 2016 00:00:00 +0000

Wenn Sie – so wie wir derzeit – darüber nachgedacht haben, von Papier auf elektronische Laborjournale umzusteigen , sind Sie vielleicht schon auf die Lösung OpenBIS gestoßen. Sie möchten OpenBIS installieren, wissen aber nicht, wie Sie vorgehen sollen? Mir ging es genauso, und deshalb habe ich es so lange versucht, bis es geklappt hat. Glücklicherweise habe ich Unterstützung vom ETHZ OpenBIS-Team und unserem lokalen IT-Support erhalten, aber natürlich können diese den Mangel an Kenntnissen über Jetty und PostgreSQL nicht ausgleichen.Wenn ihr es nur kurz ausprobieren wollt, ist es vielleicht einfacher, das VirtualBox-Image herunterzuladen, auf dem bereits alles vorinstalliert und vorkonfiguriert ist ( https://wiki-bsse.ethz.ch/display/bis/openBIS+ELN-LIMS+Virtual+Machine ). Ich hatte jedoch keine schnelle Hardware, um das VirtualBox-Image auszuführen, und kam zu dem Schluss, dass es auf einem alten Computer als Bare-Metal-System schnell genug laufen würde. Die folgenden Anmerkungen basieren auf meinen Erinnerungen und den endgültigen Konfigurationsdateien, die funktioniert haben. Ich werde den Server jedoch trotzdem noch einmal von Grund auf neu einrichten und dabei ausschließlich die unten aufgeführten Schritte ausführen, um sicherzustellen, dass ich nichts Wichtiges übersehen habe. In der Zwischenzeit möchte ich diese Informationen jedoch bereits veröffentlichen. Ich hätte mich gefreut, wenn ich eine Anleitung nach dem Motto „OpenBIS-Installation für Dummies“ gefunden hätte. Um eine sehr lange Supportdauer zu gewährleisten, habe ich mich bei der Installation für Ubuntu 16.04 Server entschieden (das VirtualBox-Image verwendet Ubuntu 14.04 Desktop) und die neueste Version von OpenBIS 16.05.1 (man muss sich für ein Konto registrieren, um die Software herunterladen zu können). Das Plugin für das elektronische Labor-Notizbuch (ELN) ist in dieser Version enthalten. Dabei tritt ein Problem mit der Java-7-Unterstützung auf (diese wird nicht mehr lange gepflegt, und ich werde bald versuchen, OpenBIS ELN mit Java 8 auszuführen, aber diese Anleitung verwendet ein Java-7-PPA für Ubuntu 16.04).1. Führen Sie eine Neuinstallation von Ubuntu 16.04.1 Server durch. Legen Sie während der Installation den Administratorbenutzer „openbis“ an. Wenn Sie zur Softwareauswahl aufgefordert werden, wählen Sie zusätzlich zu den Standard-Systemdienstprogrammen OpenSSH und PostgreSQL aus. Nach der ersten Anmeldung (als Benutzer „openbis“) aktualisieren und upgraden Sie die gesamte Software auf die neueste Version und installieren Sie Emacs (oder einen Texteditor Ihrer Wahl) sowie unzip: sudo apt install unzip emacs24-nox 2. Installieren Sie Java 7. Hier ist eine Möglichkeit, wie du das machen kannst:sudo add-apt-repository ppa:openjdk-r/ppa sudo apt-get update sudo apt-get install openjdk-7-jre-headless3. Um PostgreSQL korrekt einzurichten, ändern Sie die Konfigurationsdatei /etc/postgres/9.5/main/pg_hba.conf. Bei allen Zeilen, die mit peer enden, sollte peer in trust geändert werden! Laden Sie anschließend PostgreSQL neu: sudo systemctl reload postgreql4. Wenn Sie die Installation auf einer virtuellen Maschine wie VirtualBox durchführen, ist es sinnvoll, die Gast-Utilities zu installieren, da dies die Arbeit erleichtert (virtualbox-guest-utils). Legen Sie einen gemeinsam genutzten (permanenten, automatisch gemounteten) Ordner an und fügen Sie „openbis“ zur Gruppe „vboxsf“ hinzu: sudo usermod -a -G vboxsf openbis4. Legen Sie die komprimierte openBIS-Installationsdatei im Home-Verzeichnis des Benutzers „openbis“ ab.5. Entpacken Sie das Installationsprogramm:tar -xvzf openBIS-installation-standard-technologies-S233.0-r36799.tar.gz6. Wechseln Sie in das entpackte Verzeichnis: cd openBIS-installation-standard-technologies-S233.0-r36799 7. Ändern Sie die folgenden Einträge in der Datei „console.properties“: INSTALL_PATH=/home/openbis/DSS_ROOT_DIR=/home/openbis/dataELN-LIMS = truePATHINFO_DB_ENABLED = trueINSTALLATION_TYPE = serverFür diesen Test habe ich das Passwort des Keystores nicht geändert, aber Sie sollten dies aus Sicherheitsgründen tun, wenn Sie den Server im Produktivbetrieb einsetzen!8. Führen Sie das Installationsprogramm aus (nicht als root, sondern als openbis-Benutzer):./run-console.sh9. Wenn das Installationsprogramm Sie auffordert, das Passwort für den openBIS-Benutzer „admin“ einzugeben, geben Sie das Passwort ein, das Sie verwenden möchten, wenn Sie sich als Admin in die Weboberfläche einloggen.10. Wenn die Installation abgeschlossen ist, wechseln Sie in das Verzeichnis ~/openbis/servers/openBIS-server/jetty/etc und bearbeiten Sie die Datei service.properties. Eigentlich müssen Sie nichts ändern, damit die Installation funktioniert, aber wir mussten das System für die Anmeldeauthentifizierung über LDAP konfigurieren.authentication-service = file-authentication-service => authentication-service = file-ldap-authentication-serviceWenn Sie ausschließlich LDAP verwenden (d. h. authentication-service = ldap-authentication-service), müssen im LDAP-Verzeichnis bestimmte spezielle Benutzer vorhanden sein. Wir authentifizieren über den LDAP-Server unserer Universität nur reguläre Benutzer des Systems; daher muss sich beispielsweise der Admin-Benutzer lokal authentifizieren. Dieser Admin-Benutzer wird während der Installation eingerichtet, aber damit dies funktioniert, müssen sowohl die Datei- als auch die LDAP-Authentifizierung aktiviert sein. Dies ist die Adresse unseres LDAP-Servers, wie sie in der Datei „service.properties“ angegeben ist. Sie enthält die Authentifizierungsbasis, die Sie bei Ihren Systemadministratoren erfragen müssen: ldap.server.url = ldap://ldap2015.it.helsinki.fi/OU=people,DC=helsinki,DC=fiDies ist der LDAP-Benutzer und sein Passwort auf dem LDAP-Server (fragen Sie mich nicht, warum die LDAP-Leute für ein so einfaches Konzept solch komplizierte Wortmonster verwenden):ldap.security.principal.distinguished.name = OU=openbis,OU=login,DC=helsinki,DC=fi``ldap.security.principal.password = PASSWORTDie folgenden Parameter sind spezifisch für unseren LDAP-Server. Wir verwenden OpenLDAP, und da OpenBIS TLS offenbar nicht unterstützt, nutzen wir SSL:ldap.security.protocol = ssl``ldap.security.authentication-method = simple``ldap.queryTemplate = (&(%s))OpenBIS erfordert HTTPS. Sie können entweder das selbstsignierte Zertifikat (von der ETHZ bereitgestellt) beibehalten oder ein eigenes Zertifikat installieren. Wenn Sie das selbstsignierte Zertifikat beibehalten, erhalten alle Benutzer eine Warnung, wenn sie versuchen, sich beim Webdienst anzumelden. Es scheint ein weiteres Problem zu geben, da das Hochladen von Dateien mit dem selbstsignierten Zertifikat offenbar nicht funktioniert, da die HTTPS-Anfrage über Port 8444 nicht zu einer Sicherheitswarnung führt, die den Benutzern im Browserfenster angezeigt wird und die sie übergehen könnten.Daher blieb uns nichts anderes übrig, als ein echtes Zertifikat zu beschaffen, was dank der Leute von Let’s Encrypt heute glücklicherweise einfacher ist als noch vor einem Jahr. Dennoch hat es einige Zeit gedauert, bis wir die Zertifikatsangelegenheiten richtig hinbekommen haben. Wir betreiben den OpenBIS-Server innerhalb des Universitätsnetzwerks, und er ist von außen nicht sichtbar. Benutzer, die von außen darauf zugreifen möchten, müssen ein VPN verwenden. Daher mussten wir einen temporären „falschen“ Server mit demselben Namen auf einer öffentlich erreichbaren IP-Adresse einrichten und ein Let’s Encrypt-Zertifikat generieren (Let’s Encrypt ist für Jetty noch nicht automatisiert). Ich habe die automatisierte Methode für Apache2 auf meinem eigenen Server bei Digital Ocean verwendet und anschließend die beiden wichtigen Dateien (fullchain1.pem und privkey1.pem) aus dem Verzeichnis /etc/letsencrypt/archive/eln.jeltsch.org abgerufen und auf unseren OpenBIS-Server verschoben. Um sie in das richtige Format für den Java-Keystore zu konvertieren, habe ich folgende Befehle verwendet:openssl pkcs12 -export -out keystore.pkcs12 -in fullchain1.pem -inkey privkey1.pemkeytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype PKCS12 -destkeystore keystore.jksDer erste Befehl fragt nach einem Export-Passwort. Es spielt keine Rolle, was Sie eingeben (ich habe 12345678 verwendet). Der zweite Befehl fragt nach einem Passwort für den Ziel-Keystore. Geben Sie hier „changeit“ ein, falls Sie das Standard-Keystore-Passwort („changeit“) während der Einrichtung nicht geändert haben. Anschließend werden Sie auch nach dem Passwort für den Quell-Keystore gefragt (das ist das oben von mir verwendete „12345678“).Anschließend musst du noch den Inhalt dieses Keystores zum bereits vorhandenen Keystore hinzufügen. Dafür gibt es wahrscheinlich viele Möglichkeiten, aber ich habe ein grafisches Tool namens Keystore Explorer verwendet. Man öffnet einfach beide Keystores (dafür benötigt man das Passwort „changeit“), löscht den bestehenden Eintrag für die ETHZ und fügt den einzigen (letsencrypt) Eintrag aus dem neu generierten Keystore hinzu. Ersetze die Dateien „keystore“ und „openBIS.keystore“ im Verzeichnis ~/openbis/servers/openBIS-server/jetty/etc/ durch den geänderten Keystore. Beide Dateien sind identisch; ich weiß derzeit nicht, welchen Sinn diese Duplizierung hat. Außerdem musst du ~/openbis/servers/datastore_server/etc/openBIS.keystore durch die neue Version des Keystores ersetzen. Aus irgendeinem Grund funktionierte das Hochladen nicht. Um das Hochladen zu ermöglichen, muss in der Datei „service.properties“ des Datastore-Servers die Host-Adresse des Datastore-Servers angegeben werden: https://eln muss lauten => https://eln.jeltsch.org. Da wir für die Zertifikatserstellung einen anderen Host verwendet hatten, kam es zu einer Nichtübereinstimmung der Hostnamen, und wir mussten die Hostname-Einstellungen manuell überschreiben: Ändern Sie diese in den Dateien /etc/hostname und /etc/hosts und starten Sie anschließend den Server neu. Der Installer übernahm jedoch nur den ersten Teil des vollständigen Namens für die service.properties-Dateien des Datastore-Servers. Der Name unseres Servers lautet eln.jeltsch.org, was zu https://eln führte, was in unserem Netzwerk nicht aufgelöst werden konnte, da wir das Let’s Encrypt-Zertifikat auf einem anderen Server signieren ließen. Nachdem wir die „service.properties“-Dateien geändert und den Server neu gestartet hatten, waren wir endlich bereit, den Server zu testen: 11. Starten des Servers: Melden Sie sich als Benutzer „openbis“ am Server an. cd ~/openbis/bin/./allup.sh 12. Rufen Sie auf einem anderen Computer in Ihrem Webbrowser die Adresse „https://eln.jeltsch.org:8443/openbis/webapp/eln-lims“ auf. Wenn Sie kein öffentlich vertrauenswürdiges Zertifikat installiert haben, warnt Sie der Browser nun, dass die Verbindung nicht sicher ist. Klicken Sie einfach auf „Erweitert“ und bestätigen Sie die Sicherheitsausnahme. Sie müssen sich als „admin/PASSWORD“ (das Sie bei der Installation festgelegt haben) anmelden. Es gibt einige Anleitungen zur Verwendung des ELN. Die Mitarbeiter in meinem Labor haben mir jedoch mitgeteilt, dass die Benutzeroberfläche nicht sehr intuitiv ist und ich ihnen die Grundlagen beibringen muss. Ich halte es für sinnvoll, in einem Tutorial die typische Konfiguration in einem typischen kleinen Life-Science-Labor zu beschreiben: welche Arbeitsbereiche mit welchen Zugriffsrechten für wen, sowie häufige Szenarien (z. B. wenn bestimmte Reagenzienlisten für Außenstehende zugänglich sein müssen usw.). Außerdem habe ich viele Verbesserungsvorschläge. Es wäre zum Beispiel schön, mehr „ELN-Vorschauen“ für hochgeladene Dokumente zu erhalten. Derzeit lassen sich Bilder in der Vorschau anzeigen, PDF-Dateien jedoch nicht (ich habe SVG-Dateien noch nicht ausprobiert, aber wir verwenden sie recht häufig für Bildannotationen). Dies ist sicherlich nicht mein letzter Beitrag zu OpenBIS, und bis wir das System in den produktiven Einsatz nehmen (voraussichtlich Anfang nächsten Jahres), muss ich noch viel lernen.

Der Umstieg von Papier auf elektronische Laborjournale

Tue, 26 Jul 2016 00:00:00 +0000

Elektronische Laborjournale (ELN) sind die Zukunft. Auch wenn diese Aussage selbstverständlich erscheint, ist noch nicht klar, welche Software sich durchsetzen wird und welche wieder vom Markt verschwinden wird. Als ich vor etwa drei Jahren zum ersten Mal einen Blick auf den ELN-Markt warf, gab es nur eine Handvoll Lösungen. Mittlerweile gibt es bereits etwa hundert verschiedene Softwareunternehmen, die versuchen, von diesem Trend zu profitieren. Noch besorgniserregender ist die Tatsache, dass die Liste der Anbieter bereits etwa 20 eingestellte Produkte enthält … Daher ist die Entscheidung für eine Software eine schwerwiegende Entscheidung für ein Labor und erst recht für ein ganzes Institut. Viele Punkte müssen berücksichtigt werden. Um nur einige davon zu nennen: – Wie sicher ist es, dass die Software in zehn Jahren noch verfügbar ist und unterstützt wird? Wenn das Unternehmen verschwindet, könnten Ihre Daten ebenso verloren gehen. Alle Anbieter werden behaupten, dass Ihre Daten sicher sind. Angesichts der weit verbreiteten Täuschung von Kunden und Behörden durch Unternehmen sollten Sie realistisch bleiben. Denken Sie nur an VW… – Wie hoch ist die Anfangsinvestition und wie hoch sind die laufenden Kosten? Wenn Speicherplatz in Rechnung gestellt wird, mag der Preis anfangs niedrig sein, aber unterschätzen Sie nicht, wie viele Daten Sie mit all den neuen hochauflösenden Bildgebungs- und Sequenzierungstechnologien ansammeln werden. Sobald Sie mit Superauflösung arbeiten, können leicht viele GB pro Woche anfallen. SciNote bietet beispielsweise 100 GB Speicherplatz für zwei Teams, der je nach Art Ihrer Forschung innerhalb weniger Wochen voll sein kann. Ich habe versucht herauszufinden, wie man Speicherplatz über 100 GB hinaus erwerben kann, aber ich habe keine Möglichkeit gefunden. Ich hoffe, dass die Benutzerfreundlichkeit ihres ELN nicht auf dem gleichen Niveau liegt… – Wie frei sind Ihre Daten? Können Sie Ihre Daten bei Bedarf problemlos (und automatisiert in regelmäßigen Abständen) extrahieren? In welchem Format können Sie Ihre Daten erhalten? Wenn es sich nur um PDF- oder Word-Dateien handelt, vergessen Sie es lieber gleich. Sie sollten einen echten Datenbank-Dump erhalten, mit dem sich andere Systeme befüllen lassen. Ich würde keinem Unternehmen trauen, das mir im Voraus mitteilt, dass es bald pleitegehen wird und ich meine Daten retten sollte… – Wo werden die Daten physisch gespeichert? Das bestimmt beispielsweise, welchem Recht die Daten unterliegen und wer Zugriff darauf hat. Wie sehr können Sie darauf vertrauen, dass ein kleines Unternehmen im Ausland Ihre Daten vertraulich und sicher aufbewahrt? Erinnern wir uns doch alle an die Datenlecks, von denen Sony, LinkedIn, die IRS, T-Mobile, UPS und JP Morgan Chase betroffen waren … Einige Anbieter bieten internes Hosting an, doch die Preise scheinen für viele akademische Labore zu hoch zu sein, um dies zu einer praktikablen Alternative zu machen.– Open Source scheint eine Lösung für viele dieser Probleme zu sein. Angesichts der schwindenden Unterstützung für die Recheninfrastruktur durch die Universität müssen die Wartungsanforderungen eines solchen Systems jedoch sehr gering sein, damit dies realisierbar ist. – Wenn es als „kostenlos“ vermarktet wird, was ist dann mit „kostenlos“ gemeint? Oft reicht das „kostenlose“ Angebot für ernsthafte Arbeit nicht aus und ist daher irreführend. „Kostenlos“ im Sinne von „kostenlosem Bier“ reicht ebenfalls nicht aus … Viele Labore benötigen zudem die Freiheit, die Software an ihre spezifischen Bedürfnisse anzupassen, was proprietäre Lösungen ohne öffentliche APIs ausschließt. In meinem Labor haben wir einige der verfügbaren Lösungen getestet. Unser Schwerpunkt lag auf Open-Source-Lösungen, da nur diese es ermöglichen, die Software umfassend zu testen. Bislang haben wir Folgendes ausprobiert:

OpenBIS on Michael’s Domain

OpenBIS für Anfänger

Der Umstieg von Papier auf elektronische Laborjournale