Handbuch

Deutsch

English

Deutsch

English

Darstellung

Installation ​

Für Nova gibt es zwei vorbereitete Installationswege. Beide bauen das Image aus deploy/Dockerfile und betreiben Nova zusammen mit PostgreSQL 16. Die Vorlagen liegen im Verzeichnis deploy/; die Befehle unten laufen in dem Verzeichnis, das deploy/ enthält. Was vorher bereitstehen muss, beschreibt Voraussetzungen.

Einzelner Server mit Docker Compose ​

Die Vorlage deploy/docker-compose.yml startet Nova und PostgreSQL als Container. Die Datenbank liegt in einem eigenen Docker-Volume und übersteht Neustarts und Updates.

  1. Konfiguration anlegen. deploy/.env.example nach deploy/.env kopieren und darin mindestens SECRET_KEY, NOVA_ENCRYPTION_KEY und ein eigenes DB_PASSWORD setzen; RUN_DUMMIES bleibt auf 0. Die beiden Schlüssel lassen sich so erzeugen, der zweite mit Python und dem Paket cryptography:
    bash
    openssl rand -hex 32
python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"
  2. Für den TLS-Proxy vorbereiten. In deploy/.env APP_BIND=127.0.0.1 setzen, damit Nova nur auf dem Server selbst erreichbar ist, dazu TRUST_PROXY=1 und SESSION_COOKIE_SECURE=1.
  3. Bauen und starten.
    bash
    docker compose -f deploy/docker-compose.yml --env-file deploy/.env up -d --build app
docker compose -f deploy/docker-compose.yml --env-file deploy/.env logs -f app
    Der erste Aufruf baut das Image und dauert einige Minuten. Nova ist bereit, sobald das Protokoll zeigt, dass Gunicorn auf Port 8000 lauscht. Die Vorlage enthält außerdem den Dienst handbook, der dieses Handbuch ausliefert; für Nova wird er nicht gebraucht.
  4. TLS-Proxy einrichten. Ein Webserver auf dem Server nimmt HTTPS entgegen und leitet an http://127.0.0.1:8000 weiter. Die nginx-Vorlagen unter deploy/nginx/ zeigen die Einstellungen: die Kopfzeilen Host, X-Forwarded-For, X-Forwarded-Proto und X-Forwarded-Host weiterreichen, Uploads bis 25 MB zulassen und Zeitlimits von 120 Sekunden setzen. Das Zertifikat kann zum Beispiel certbot von Let's Encrypt beziehen.

Nicht ohne TLS betreiben

Ohne vorgeschalteten Proxy liefert Nova nur unverschlüsseltes HTTP aus. Vor dem Einsatz mit echten Daten gehört ein TLS-Proxy davor.

SAP BTP, Kyma Runtime ​

Die Vorlagen unter deploy/kyma/ betreiben Nova in einem Kyma-Cluster: ein Deployment für Nova, PostgreSQL als StatefulSet mit eigenem Volume und eine APIRule, die Nova per HTTPS über das Kyma-Gateway erreichbar macht – unter https://nova-iam.‹Cluster-Domain›.

  1. Zugang und Namespace. kubectl mit der Kubeconfig des Clusters einrichten; die Anmeldung läuft über das OIDC-Plugin kubelogin. Einen Namespace anlegen, zum Beispiel nova-iam. Liegt das Image in einer privaten Registry, zusätzlich ein Image-Pull-Secret anlegen.
  2. Image bereitstellen. Das Image aus deploy/Dockerfile bauen, in die Registry laden und in deployment.yaml eintragen. Jede neue Version bekommt ein neues Tag: Ein Tag, das ein Knoten bereits geladen hat, lädt er nicht erneut.
  3. Secret anlegen. Nova und PostgreSQL lesen ihre Umgebung aus dem Secret nova-secrets, Vorlage secret.example.yaml: POSTGRES_DB, POSTGRES_USER, POSTGRES_PASSWORD, DB_NAME, DB_USER, DB_PASSWORD (gleich POSTGRES_PASSWORD), SECRET_KEY und NOVA_ENCRYPTION_KEY. Weitere Variablen wie SESSION_COOKIE_SECURE=1 oder NOVA_SMTP_* kommen als zusätzliche Schlüssel hinzu. Die echten Werte gehören nicht in versionierte Dateien.
  4. Für den Produktivbetrieb anpassen. Die Vorlage ist für eine Demo ausgelegt: In deployment.yaml RUN_DUMMIES auf "0" setzen und dummies-expose.yaml nicht anwenden. replicas: 1 und die Strategie Recreate bleiben – so laufen nie zwei Instanzen gleichzeitig.
  5. Anwenden.
    bash
    kubectl -n nova-iam apply -f deploy/kyma/postgres.yaml
kubectl -n nova-iam apply -f deploy/kyma/deployment.yaml
kubectl -n nova-iam apply -f deploy/kyma/apirule.yaml
kubectl -n nova-iam rollout status deploy/nova-iam

Der erste Start ​

Beim Start legt Nova das Datenbankschema an und bringt es bei jedem weiteren Start auf den aktuellen Stand. Beim ersten Start schreibt Nova außerdem Grunddaten, darunter:

  • ein Administratorkonto mit voreingestelltem Kennwort, das Administratoren gleich nach der ersten Anmeldung ändern sollten,
  • die Berechtigungen „Admin“, „Manager“, „Security“ und „SoD Reviewer“,
  • die voreingestellten Hintergrund-Jobs, siehe Überwachung und Jobs,
  • zwei Beispiel-Zielsysteme, die auf lokale Testdienste zeigen: „SCIM Dummy Target“ und „LDAP Directory“.

Danach binden Administratoren unter „Systeme“ die eigenen Zielsysteme an, siehe Zielsysteme – Überblick. Wie Updates und Sicherungen laufen, beschreibt Updates und Sicherung.

Nova IAM