FAQs

1. Welche Gerätetypen unterstützt Jelina?

Die unterstützten Gerätetypen finden Sie in der Geräteübersicht.

2. Können mehrere Gerätetypen in einer Flotte kombiniert werden?

Der Gerätetyp der Flotte dient nur als Hinweis für die Bedienenden. Sie können beliebige Gerätetypen hinzufügen.

Weichen die tatsächlichen Gerätetypen vom Flottentyp ab, kann dies die in der Flotte konfigurierten Updaterichtlinien für System, Kernel und Jelinvisor beeinflussen.

3. Was unterscheidet Production- und Development-Modus?

Production: Im Produktionsmodus sind alle Ports außer denen für die Kommunikation mit JelinaCloud gesperrt. Zusätzliche Ports können über das Feld ports in Compose freigegeben werden.

Development: Dieser Modus entspricht ebenfalls den Jelina-Vorgaben, enthält jedoch weniger Sicherheitsbeschränkungen. Wenn Sie direkt auf dem Gerät entwickeln möchten, können Sie den Entwicklungsmodus verwenden.

4. Bleiben bisherige Release-Dienste nach einem Flotten- oder Release-Wechsel erhalten?

Ein Gerät kann jeweils nur ein Release installiert haben. Beim Wechsel lädt es zunächst das neue Release herunter, entfernt anschließend die bisherigen Dienste und installiert dann das neue Release.

Nach dem Verschieben in eine andere Flotte installiert das Gerät entsprechend deren Konfiguration das dort festgelegte Release.

5. Greift JelinaCloud auf meine Geräte, meinen Quellcode und meine Programmdienste zu?

Die Berechtigungsverwaltung stellt sicher, dass ausschließlich autorisierte Benutzer auf Ihre Geräte zugreifen können. Das gilt auch für Jelina-Administratoren.

6. Wie erlaube ich dem Jelina-Team den Zugriff?

Grundsätzlich hat das Jelina-Team keine Berechtigung zum Zugriff auf Ihre Flotten. Wenn Sie bei einem Problem Unterstützung benötigen, können Sie dem Team vorübergehend Zugriff auf eine bestimmte Flotte erteilen.

Dieser Zugriff ist beschränkt: Das Jelina-Team kann keine Informationen in Ihrer Flotte löschen und erhält nur einen Teil der Administratorrechte. Der Zweck ist die schnelle Unterstützung bei der Problemlösung.

7. Warum kann ich mich selbst nicht aus der Mitgliederliste löschen?

Wenn Sie sich selbst löschen, verlieren Sie Ihre Mitgliedschaft in der Organisation oder Flotte. Um ein versehentliches Ausscheiden bei der Mehrfachauswahl von Mitgliedern zu verhindern, wird dieser Vorgang derzeit nicht unterstützt.

8. Warum lassen sich Systembenachrichtigungen nicht löschen?

Systembenachrichtigungen enthalten wichtige Mitteilungen der Jelina-Administratoren. Damit diese Informationen nicht übersehen oder vergessen werden, können sie derzeit nicht gelöscht werden.

9. Unterstützt Remote-SSH die Anmeldung mit Zertifikaten?

Ja. Konfigurieren Sie zunächst CA und Principals auf dem Gerät selbst. Ein Administrator speichert anschließend Benutzerzertifikat, passenden privaten Benutzerschlüssel und erforderliche Passphrase in der Schlüsselverwaltung der Flotte oder des Geräts und erfasst und bestätigt die Hostidentität. Auf der Verbindungsseite wählen Sie „OpenSSH-Benutzerzertifikat“ und die gespeicherten Zugangsdaten. Dort gibt es keine Uploadfunktion; eine Synchronisierungsbestätigung des Geräts ist nicht erforderlich.

Verwendet werden OpenSSH-Benutzerzertifikate. RDP und VNC nutzen weiterhin Passwörter. HTTPS-Zertifikate und SSH-Hostzertifikate eignen sich nicht für diese Anmeldeart. Siehe SSH-Schlüssel- und Zertifikatsauthentifizierung.

10. Warum scheitert die Verbindung trotz erfolgreichem Zertifikatsimport?

Prüfen Sie, ob das Zielsystemkonto Zertifikate zulässt, ob Nutzungsrechte vorhanden sind und ob Zertifikatsgültigkeit, CA- und Principal-Konfiguration sowie bestätigte Hostidentität stimmen. CA und Principals des Geräte-SSH-Dienstes müssen weiterhin selbst konfiguriert werden. Bei vorhandener gerätespezifischer Konfiguration erfolgt kein automatischer Wechsel zu Flottenzugangsdaten.

Die Einrichtung beschreibt Fernzugriffsverwaltung.

11. Verweigert das Gerät nach der Deaktivierung eines Zertifikats sofort auch direkten SSH-Zugriff?

Deaktivierung oder Widerruf gespeicherter Zugangsdaten verhindert nur deren weitere Verwendung durch die Plattform und wird nicht automatisch auf das Gerät übertragen. Ein Widerruf ist nicht rückgängig zu machen und löscht den verschlüsselten privaten Schlüssel dieses Eintrags, widerruft jedoch keine anderen separat gespeicherten Einträge. Um direkten SSH-Zugriff am Gerät zu verhindern, muss ein Administrator dort Berechtigungen entfernen oder Widerrufsregeln konfigurieren.

12. Warum wird die Fernverbindung während eines lange laufenden Befehls automatisch getrennt?

Die Verbindungsseite zeigt Leerlauf- und Höchstdauer an. Gültige Eingaben oder Ausgaben der Gegenstelle setzen den Leerlaufzähler zurück. Lange Aufgaben ohne Ein- oder Ausgabe können jedoch als inaktiv gelten; Heartbeats verlängern das anwendungsbezogene Leerlauflimit nicht. Eine aktivierte maximale Verbindungsdauer wird durch Bedienung nicht verlängert.

Prüfen Sie den angezeigten Trennungsgrund und verbinden Sie sich manuell neu. Für Regeländerungen wenden Sie sich an den Plattformadministrator. Verbindungskontingente und Zeitlimits können nicht über Flotten- oder Gerätesicherheitsrichtlinien eigenständig erweitert werden.

13. Eine Einladung bleibt im Status Waiting. Wurde die E-Mail nicht zugestellt oder ist die Einladung abgelaufen?

Waiting bedeutet nur, dass die Einladung noch nicht erfolgreich angenommen oder abgelehnt wurde. Daraus lässt sich weder Zustellung noch Lesestatus der E-Mail ableiten. Das Öffnen der E-Mail oder Einladungsseite ändert den Status nicht. Auch ein falsches angemeldetes Konto oder ein fehlgeschlagener Annahmeversuch kann dazu führen, dass die Einladung weiter wartet.

Einladungen haben derzeit keine feste automatische Ablaufzeit. Solange der Eintrag vorhanden ist und Waiting anzeigt, wird der Link nicht allein durch Zeitablauf ungültig. Nach Annahme, Ablehnung oder Löschung kann der alte Link nicht mehr verarbeitet werden. Nicht mehr benötigte Einladungen sollten Administratoren aktiv löschen.

14. Der Einladungscode wird als ungültig angezeigt. Sollte ich sofort eine neue Einladung anfordern?

Prüfen Sie zunächst, ob das angemeldete Konto zur eingeladenen E-Mail-Adresse gehört. Andere Konten können die Einladung nicht stellvertretend annehmen oder ablehnen. Melden Sie sich vom falschen Konto ab oder melden Sie sich in einem privaten Browserfenster mit dem eingeladenen Konto an und öffnen Sie den ursprünglichen Link erneut. Falls noch kein Konto besteht, registrieren Sie sich zuerst mit der eingeladenen E-Mail-Adresse.

Ist das Konto korrekt, prüfen Sie, ob die Einladung bereits angenommen, abgelehnt oder vom Administrator gelöscht wurde. Ein ungültiger Code bedeutet nicht zwangsläufig, dass eine Einladung abgelaufen ist. Erneutes Senden behebt auch keine falsche Kontozuordnung.

15. Warum wird eine Organisationseinladung als Duplikat erkannt, obwohl bisher nur eine Flotteneinladung gesendet wurde?

Die Duplikatprüfung einer Organisation berücksichtigt auch offene Einladungen ihrer Flotten an dieselbe E-Mail-Adresse. Eine Flotte prüft dagegen nur ihre eigenen offenen Einladungen. Die Prüfumfänge sind daher unterschiedlich, und Organisations- und Flotteneinladungen können gleichzeitig bestehen.

Wiederholtes Senden verschickt weder erneut eine E-Mail noch ändert es die ursprüngliche Rolle. Um erneut zu senden, die Adresse zu korrigieren oder die ausstehende Rolle zu ändern, löschen Sie zunächst die alte Einladung und erstellen dann eine neue. Werden Berechtigungen auf beiden Ebenen benötigt, sollte zuerst die Organisationseinladung abgeschlossen und danach die Flotteneinladung gesendet werden.

16. Kann eine Organisationseinladung die Organisationsrolle noch erhöhen, nachdem ich zuerst eine Flotteneinladung angenommen habe?

Eine Flotteneinladung legt bei Bedarf automatisch eine Organisationsmitgliedschaft mit der Rolle Member an und behält bereits bestehende Organisationsrollen bei. Wird danach eine alte Organisationseinladung angenommen, versucht das System erneut, eine Organisationsmitgliedschaft zu erstellen. Dabei kann ein Konflikt auftreten; Member wird nicht automatisch auf die ursprünglich eingeladene Rolle erhöht.

Nach dem Organisationsbeitritt sollte die Rolle in der Mitgliederverwaltung angepasst werden. Entfernen Sie nicht mehr benötigte offene Einladungen. Wenn nur Zugriff auf eine bestimmte Flotte erforderlich ist, genügt normalerweise die Flotteneinladung.

17. Warum kann ein Benutzer nach dem Löschen des Einladungseintrags weiterhin auf Organisation oder Flotte zugreifen?

Das Löschen einer offenen Einladung macht ihren Link ungültig. Das Löschen eines bereits angenommenen Eintrags entfernt nur den Einladungsverlauf, nicht die Mitgliedschaft oder Berechtigungen. Die im Eintrag angezeigte Rolle entspricht der ursprünglichen Einladung. Für die aktuelle Mitgliedschaft und Rolle ist die Mitgliederliste maßgeblich.

Um Zugriff zu entziehen, entfernen Sie das Mitglied oder ändern Sie seine Rolle. Prüfen Sie außerdem, ob der Benutzer über andere Organisations-, Flotten- oder Teamrollen weiterhin Zugriff erhält.

18. Müssen Geräte für die SSH-Zertifikatsanmeldung Cloud-Schlüssel synchronisieren oder den Agenten aktualisieren?

Nein. Der Geräteadministrator konfiguriert öffentliche SSH-Schlüssel oder CA und Principals selbst. Die Plattform speichert und prüft Anmeldezugangsdaten und Nutzungsberechtigungen. Das Gerät muss weder Schlüssel abrufen noch Konfigurationsversion oder Anwendungsstatus zurückmelden. Ein Agentenupdate allein für diese Funktion ist nicht erforderlich; der SSH-Dienst muss das jeweilige Authentifizierungsverfahren unterstützen.

Vor der ersten Verbindung muss ein Administrator den öffentlichen Hostschlüssel auf der Geräteseite manuell erfassen, prüfen und bestätigen. Siehe Fernzugriffsverwaltung.

19. Muss jedes Benutzerzertifikat zusammen mit seinem privaten Schlüssel auf dem Gerät abgelegt werden?

Benutzerzertifikate müssen normalerweise nicht einzeln auf dem Gerät installiert werden. Dort werden der öffentliche Schlüssel der ausstellenden CA und die zulässigen Principals konfiguriert; der Client übermittelt sein Zertifikat beim Verbindungsaufbau. Der private Benutzerschlüssel wird auf der Plattform verschlüsselt für autorisierte Verbindungen gespeichert. Der private CA-Schlüssel verbleibt ausschließlich beim Aussteller. Beide werden nicht als Vertrauenskonfiguration auf das Gerät kopiert. Den reinen öffentlichen CA-Schlüssel in authorized_keys einzutragen genügt nicht: Er benötigt eine CA-Berechtigung mit cert-authority und korrekter Principal-Beschränkung.

Ein Beispiel finden Sie unter SSH-Schlüssel- und Zertifikatsauthentifizierung.

20. Wechselt die Plattform automatisch zu Flottenzugangsdaten, wenn gerätespezifische Zugangsdaten nicht verfügbar sind?

Nein. Für dasselbe Systemkonto und Authentifizierungsverfahren hat die Gerätekonfiguration Vorrang. Bei Ablauf, Deaktivierung, Widerruf oder fehlender Nutzungsberechtigung gibt es keinen automatischen Rückfall. Nur wenn keine entsprechende Gerätekonfiguration vorhanden ist, werden Flottenzugangsdaten verwendet; ein Vererbungsschalter ist nicht nötig. Das Löschen des letzten Geräteeintrags kann die Vererbung wiederherstellen und muss ausdrücklich vom Administrator bestätigt werden.

21. Verlängert die Plattform Benutzerzertifikate automatisch?

Nein. Fordern Sie bei Ihrem CA-Administrator ein neues Zertifikat an und verwenden Sie anschließend „Schlüssel/Zertifikat aktualisieren“ in der Schlüsselverwaltung der Flotte oder des Geräts. Die Plattform nimmt keine privaten CA-Schlüssel an und stellt Zertifikate weder aus noch verlängert sie diese automatisch. Auf der Verbindungsseite werden lediglich gespeicherte Benutzerzugangsdaten ausgewählt.

22. Wie erzeuge ich unter Windows oder Linux ein unterstütztes SSH-Zertifikat?

Auf beiden Systemen können Sie mit ssh-keygen von OpenSSH ein Ed25519- oder RSA-Benutzerschlüsselpaar erzeugen. Ihr CA-Administrator stellt anschließend mit ssh-keygen -s ein OpenSSH-Benutzerzertifikat mit begrenztem Gültigkeitszeitraum und nicht leerem Principal aus. Unter Windows verwenden Sie PowerShell und den OpenSSH-Client, unter Linux die OpenSSH-Clientwerkzeuge. Es werden keine X.509-Zertifikate mit OpenSSL erstellt.

Für die normale Schlüsselanmeldung genügt ein Benutzerschlüsselpaar. Für Zertifikatsanmeldung sind zusätzlich Benutzerzertifikat und CA-Vertrauen auf dem Gerät erforderlich. Erzeugungsbefehle für Windows- und Linux-Verwaltungsrechner, Dateiverwendung, JelinaOS-Gerätekonfiguration und Cloud-Upload beschreibt SSH-Schlüssel- und Zertifikatsauthentifizierung.