Zentraler MegBes-Server – Inventur und Administration
Zentraler MegBes-Server – Inventur und Administration
Zweck und Status
Diese Seite dokumentiert den geprüften Istzustand, das Berechtigungsmodell und das Inventurverfahren des zentralen MegBes-Servers. Sie ist die technische Grundlage für Wartung, Fehlerdiagnose und das spätere Anlegen neuer Kundencontainer.
Stand der Bestandsaufnahme: 7. August 2026. Die erste Übersicht ist geprüft; Mounts, Firewall, Plesk-Proxy-Zuordnungen, Backups und Wiederherstellungswege werden noch vertieft inventarisiert. Vorläufige Beobachtungen sind ausdrücklich als solche gekennzeichnet.
Serverbasis
| Merkmal | Geprüfter Stand |
|---|---|
| Hosting | IONOS-Server mit Plesk |
| Betriebssystem | Ubuntu 24.04.4 LTS, x86_64 |
| Plesk | Plesk Obsidian 18.0.79.5 |
| Container-Laufzeit | Docker 29.7.2 |
| Arbeitsspeicher | 15,55 GiB für die Container verfügbar |
| Docker-Netzwerke | Standardnetzwerke `bridge`, `host` und `none`; keine benannten projektspezifischen Netzwerke |
| Docker-Volumes | Keine benannten Volumes; persistente Daten werden voraussichtlich über Bind-Mounts bereitgestellt und müssen noch geprüft werden |
Die öffentliche IP-Adresse, Zugangsdaten und weiteren sicherheitsrelevanten Verbindungsdaten werden nicht auf dieser Seite veröffentlicht. Sie liegen in der geschützten System- beziehungsweise Passwortdokumentation.
Berechtigungsmodell für Administration
Für automatisierte Prüfung und unterstützte Administration existiert der eigene Serverbenutzer `clawtronics` mit separatem ED25519-Schlüssel.
Der Benutzer:
- besitzt keine Mitgliedschaft in der Gruppe `docker`,
- besitzt keinen pauschalen Root- oder sudo-Zugang,
- darf nur ausdrücklich freigegebene, root-eigene Hilfsskripte ohne Passwort ausführen,
- kann die freigegebenen Skripte selbst nicht verändern,
- erhält neue Rechte stufenweise und nur für einen dokumentierten Betriebszweck.
Der aktuelle Read-only-Befehl `/usr/local/sbin/megbes-discovery` liefert ausschließlich Plesk-Version, Container, Images, Docker-Netzwerke, Docker-Volumes und eine momentane Ressourcenübersicht. Containeränderungen, `docker exec`, Datenbankzugriffe und Dateisystemänderungen sind nicht freigegeben.
Die Gruppe `docker` wird nicht vergeben, da deren Mitgliedschaft praktisch Root-Rechte ermöglicht. Erweiterungen werden als eng begrenzte, root-eigene Hilfsskripte umgesetzt.
Aktueller Containerbestand
Zum Prüfzeitpunkt liefen 13 Container ohne sichtbare Neustartschleife.
| Container | Image beziehungsweise Release | Hostbindung | Aufgabe |
|---|---|---|---|
| `megbes-status` | `tinetronics/megbes-status:AUGUST-2026-2-RELEASE` | alle IPv4-Schnittstellen, Port 9990 | zentraler Status-Monitor |
| `megbes-external-tine` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 32770 | Kundenprojekt Tine |
| `megbes-external-limes` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 32780 | Kundenprojekt Limes |
| `megbes-external-gkp` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 32769 | Kundenprojekt GKP |
| `megbes-external-bayam` | `MARCH-2026-1-RELEASE` | nur localhost, Port 32768 | Kundenprojekt BayAM |
| `megbes-external-miqua` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 32779 | Kundenprojekt MiQua |
| `megbes-external-messe` | `MARCH-2026-1-RELEASE` | alle IPv4- und IPv6-Schnittstellen, Port 32771 | Kundenprojekt Messe |
| `megbes-external-hon` | `MARCH-2026-1-RELEASE` | nur localhost, Port 9997 | Kundenprojekt HoN |
| `mediawiki` | `mediawiki:latest` | nur localhost, Port 49155 | internes MegBes-Wiki |
| `mongodb` | `mongo:7.0.12` | alle IPv4-Schnittstellen, Port 49154 | zentrale MongoDB |
| `megbes-external-nowalux` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 34615 | Kundenprojekt NowaLux |
| `megbes-external-miquaguide` | `MARCH-2026-1-RELEASE` | alle IPv4- und IPv6-Schnittstellen, Port 32774 | Kundenprojekt MiQua Guide |
| `megbes-external-gse` | `MARCH-2026-1-RELEASE` | alle IPv4-Schnittstellen, Port 32805 | Kundenprojekt GSE |
Die Hostbindung zeigt, an welchen Schnittstellen Docker lauscht. Sie beweist allein noch keine Erreichbarkeit aus dem Internet; dafür müssen zusätzlich Plesk-, Firewall- und Providerregeln geprüft werden.
Erste Betriebsbeobachtungen
- Alle 13 Container liefen zum Prüfzeitpunkt seit rund sechs Stunden.
- Die momentane CPU- und Speicherauslastung war unauffällig.
- Der Status-Monitor nutzt den derzeit bekannten aktuellen Release `AUGUST-2026-2-RELEASE`.
- Die zehn Kundencontainer von `megbes-external` verwenden `MARCH-2026-1-RELEASE`, obwohl das Image `AUGUST-2026-1-RELEASE` lokal vorhanden ist. Daraus folgt kein automatischer Updateauftrag; Freigabe, Kompatibilität und Rückkehrweg sind projektweise zu prüfen.
- MediaWiki sowie BayAM und HoN sind nur an localhost gebunden.
- Die Bindung von MongoDB an alle IPv4-Schnittstellen ist sicherheitsrelevant und muss gegen Firewall, Authentisierung und tatsächlichen Verwendungszweck geprüft werden.
- Mehrere MegBes-Ports sind an alle Schnittstellen gebunden. Ob dies erforderlich ist oder Plesk als lokaler Reverse Proxy genügt, wird projektweise geprüft.
Inventurplan
Die folgenden Punkte werden ausschließlich lesend aufgenommen, bevor Betriebsänderungen erfolgen:
- Container-Mounts, Datenpfade und Eigentümer
- Restart-Policies, Healthchecks und Ressourcenbegrenzungen
- Plesk-Domains, Reverse-Proxy-Ziele und Zertifikatszuordnungen
- Host-Firewall und tatsächlich öffentlich erreichbare Ports
- MongoDB-Authentisierung und Netzwerkbindung, ohne Geheimwerte auszugeben
- Ablage und Sicherung der MongoDB- und MediaWiki-Daten
- Backup-Zeitpläne, Aufbewahrung und vorhandene Wiederherstellungstests
- freier Speicherplatz, Logwachstum und Docker-Datennutzung
- Herkunft und Startparameter jedes Containers
- standardisierter Ablauf für Update, Rollback und neuen Kundencontainer
Regeln für Änderungen
- Vor jeder Änderung werden betroffene Container, Konfiguration, Mounts, Ports und aktueller Image-Stand gesichert beziehungsweise dokumentiert.
- Geheimwerte werden weder in Befehlsausgaben noch im Wiki gespeichert.
- Ein Container wird nur mit bekanntem Rückkehrweg ersetzt.
- Datenbank- und Volume-Änderungen erfolgen erst nach geprüfter Sicherung.
- Neustarts, Updates und neue Kundencontainer benötigen einen ausdrücklichen Auftrag.
- Nach Änderungen werden Anwendung, Logs, Status-Monitor und mindestens ein kontrollierter Projektablauf geprüft.
Siehe auch Megbes-external unter Plesk und Wartung, Backups und Fehlerdiagnose.