Zum Hauptinhalt springen

Verwendung des Admin-Panels für ONLYOFFICE Docs

Übersicht​

Ab Version 9.1 bietet das ONLYOFFICE Admin Panel eine sichere Weboberfläche zur Verwaltung der Serverkonfiguration und -überwachung. In dieser Anleitung wird erklärt, wie Sie das Authentifizierungssystem einrichten und verwenden.

Ersteinrichtung​

Standardmäßig ist das Admin Panel deaktiviert. Folgen Sie den Anweisungen auf der Seite http://example.com/welcome, um es zu starten.

example.com ist der Name des Servers, auf dem ONLYOFFICE Docs installiert ist.

Erstmalige Installation​

Wenn Sie das Admin Panel zum ersten Mal starten, ist eine Ersteinrichtung erforderlich:

  1. Öffnen Sie die Weboberfläche des Admin Panels.

    Klicken Sie auf der Seite http://example.com/welcome auf Admin Panel. Klicken Sie im angezeigten Dialogfenster auf Open Admin Panel.

  2. Erstellen Sie den ersten Administrator.

    Der Server erkennt automatisch, dass kein Admin-Passwort konfiguriert ist. Es öffnet sich eine Seite mit Befehlen zum Erstellen des ersten Administrators. Der erste Administrator kann nur vom Host aus erstellt werden.

    Admin Panel – Ersten Administrator erstellen

    Verwenden Sie den Befehl, der zu Ihrer Installation passt:

    Linux:

    sudo documentserver-admin create-admin

    Docker:

    docker exec -it <container> documentserver-admin create-admin

    Ersetzen Sie <container> durch die ID oder den Namen des Containers. Um sie zu ermitteln, führen Sie docker ps aus.

    Kubernetes:

    kubectl exec -it <pod> -- documentserver-admin create-admin

    Ersetzen Sie <pod> durch den Namen des Pods. Um ihn zu ermitteln, führen Sie kubectl get pods aus.

    Windows:

    "%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" create-admin

    Folgen Sie den Anweisungen der Befehlszeile, um das Administratorpasswort festzulegen.

  3. Laden Sie die Seite neu und melden Sie sich an.

    Laden Sie die Admin Panel-Seite neu, geben Sie das erstellte Passwort ein und klicken Sie auf Anmelden.

    Admin Panel-Dashboard nach erfolgreicher Einrichtung

    Die Datei runtime.json wird erstellt, die die im Admin Panel geänderten Einstellungen enthält. Sie hat Vorrang vor anderen Konfigurationsdateien wie local.json, default.json, production.json usw.

    Die Datei runtime.json befindet sich hier:

    • Für Linux – /var/www/onlyoffice/Data/runtime.json

    • Für Docker – /var/www/onlyoffice/Data/runtime.json (geben Sie zunächst den ONLYOFFICE Docs-Container mit dem Befehl docker exec -it <containerid> bash ein)

    • Für Windows – %ProgramData%/ONLYOFFICE/Data/runtime.json

      Standardmäßig ist ProgramData ein versteckter Ordner in Windows Server. Sie können versteckte Elemente in den Datei-Explorer-Optionen aktivieren, um ihn anzuzeigen.

Sicherheitshinweise​

  • Der erste Administrator kann nur vom Host aus mit documentserver-admin create-admin erstellt werden.
  • Das Administratorpasswort wird als passwordHash in runtime.json gespeichert.
  • Es wird kein Passwort übertragen oder protokolliert — es werden nur sichere Hashes gespeichert.

Reguläre Anmeldung​

Nach Abschluss der Ersteinrichtung:

  1. Navigieren Sie zu http://example.com/admin.

  2. Geben Sie Ihr Admin-Passwort ein.

  3. Klicken Sie auf Anmelden.

    Reguläre Anmeldeseite des Admin Panels

  4. Ihre Sitzung ist 1 Stunde lang gültig.

Sitzungsdetails​

  • Sitzungen verwenden sichere HTTP-only-Cookies.
  • Sie laufen nach 1 Stunde Inaktivität automatisch ab.
  • Der Schutz SameSite=Strict wird gegen CSRF-Angriffe angewendet.

Passwort ändern​

So ändern Sie Ihr Admin-Passwort:

  1. Melden Sie sich beim Admin Panel an.
  2. Wechseln Sie zur Seite Passwort ändern.
  3. Geben Sie Ihr aktuelles Passwort ein.
  4. Geben Sie Ihr neues Passwort ein.
  5. Bestätigen Sie das neue Passwort.
  6. Klicken Sie auf Änderungen speichern.

Admin Panel – Seite „Passwort ändern&quot;

Ihre Sitzung bleibt nach der Passwortänderung aktiv.

Details zum Passwort-Hash​

  • Algorithmus: PBKDF2-SHA256 (600.000 Iterationen, OWASP 2023).
  • Plattformübergreifend: Der Hash kann über Python oder Node.js generiert werden.

Passwort-Hash extern generieren​

OpenSSL 3.0+ (empfohlen – MCF-Format):

PASSWORD="YourPassword"; I=600000; S=$(openssl rand -base64 16 | tr -d '\n'); H=$(openssl kdf -binary -keylen 32 -kdfopt digest:SHA256 -kdfopt pass:UTF8:"$PASSWORD" -kdfopt salt:base64:"$S" -kdfopt iter:$I PBKDF2 | base64 | tr -d '\n'); echo "\$pbkdf2-sha256\$$I\$$S\$$H"

Node.js:

node -e "const crypto=require('crypto');const p=process.argv[1];const s=crypto.randomBytes(16);const sb=s.toString('base64').replace(/\+/g,'.').replace(/=/g,'');crypto.pbkdf2(p,s,600000,32,'sha256',(e,k)=>{const h=k.toString('base64').replace(/\+/g,'.').replace(/=/g,'');console.log('\$pbkdf2-sha256\$600000\$'+sb+'\$'+h)})" "YourPassword"

OpenSSL-Version prüfen:

openssl version
# OpenSSL 3.0.0 oder neuer - ✓ openssl kdf-Befehl verwenden
# OpenSSL 1.x - ✓ openssl keyutl-Befehl verwenden

Fügen Sie den resultierenden Hash zur Datei runtime.json hinzu:

{
  "adminPanel": {
    "passwordHash": "$pbkdf2-sha256$600000$..."
  }
}

Passwort zurücksetzen / Wiederherstellung​

Wenn Sie Ihr aktuelles Passwort kennen, verwenden Sie die Seite Passwort ändern im Admin Panel.

Wenn Sie Ihr Admin-Passwort vergessen haben, führen Sie den folgenden Befehl auf dem Server aus:

Linux:

sudo documentserver-admin reset-admin-password

Docker:

docker exec -it <container> documentserver-admin reset-admin-password

Ersetzen Sie <container> durch die ID oder den Namen des Containers. Um sie zu ermitteln, führen Sie docker ps aus.

Kubernetes:

kubectl exec -it <pod> -- documentserver-admin reset-admin-password

Ersetzen Sie <pod> durch den Namen des Pods. Um ihn zu ermitteln, führen Sie kubectl get pods aus.

Windows:

"%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" reset-admin-password

Folgen Sie den Anweisungen der Befehlszeile, um ein neues Administratorpasswort festzulegen.

Fehlerbehebung​

Admin Panel ist noch nicht konfiguriert​

Problem: Die Admin Panel-Seite zeigt weiterhin an, dass kein Administratorkonto existiert.

Lösungen:

  • Erstellen Sie den ersten Administrator vom Host aus mit documentserver-admin create-admin.
  • Führen Sie den Befehl für Docker innerhalb des ONLYOFFICE Docs-Containers aus: docker exec -it <container> documentserver-admin create-admin. Ersetzen Sie <container> durch die ID oder den Namen des Containers aus docker ps.
  • Nachdem die Befehlszeile abgeschlossen ist, laden Sie die Admin Panel-Seite neu und melden Sie sich mit dem erstellten Passwort an.

Einstellungen​

Die Seite Einstellungen des ONLYOFFICE Admin Panels bietet eine Reihe von Tools zur Überwachung der Serverkonfiguration, Verwaltung von Zertifikaten, benutzerdefinierten Schriftarten usw. Im Folgenden finden Sie eine kurze Beschreibung der Möglichkeiten dieses Abschnitts.

Admin Panel – Seite „Einstellungen&quot;

Konfiguration​

Mithilfe dieser Registerkarte können Sie:

  • Die Serverkonfiguration anzeigen. Die endgültige Konfiguration wird hier mit allen Parametern angezeigt, die durch alle Konfigurationsdateien neu definiert wurden. Sensible Parameter (Passwörter, Schlüssel, Geheimnisse) werden als REDACTED angezeigt.
  • Den Inhalt der Konfigurationsdatei kopieren.
  • Alle Konfigurationseinstellungen auf ihre Standardwerte zurücksetzen. Diese Aktion kann nicht rückgängig gemacht werden.

Lizenz​

Mithilfe dieser Registerkarte können Sie Ihre Produktlizenz hochladen und die Lizenzinformationen anzeigen:

  • Build: Typ (Enterprise Edition, Developer Edition), Modus (Test, Produktion), Veröffentlichungsdatum.
  • Lizenz: Startdatum, Datum, bis zu dem die Lizenz gültig ist.
  • Verbindungslimit für Editoren und Live-Viewer.

Klicken Sie auf die Schaltfläche Jetzt kaufen, um eine Lizenz zu erwerben. Sie werden zur entsprechenden Seite der offiziellen ONLYOFFICE-Website weitergeleitet.

So laden Sie die Lizenz hoch:

  1. Klicken Sie auf die Schaltfläche Durchsuchen, um die Lizenzdatei auszuwählen.
  2. Klicken Sie auf die Schaltfläche Lizenz anwenden.

PDF-Signierung​

Mithilfe dieser Registerkarte können Sie ein PKCS#12-Zertifikat (.p12/.pfx) zum Signieren eingereichter PDF-Formulare hinzufügen. Ausgefüllte PDF-Formulare werden beim Einreichen durch Klicken auf die Schaltfläche Abschließen & Einreichen signiert.

Um ein .p12/.pfx-Zertifikat aus vorhandenen Dateien (einem privaten Schlüssel und einem .crt/.pem-Zertifikat) zu erstellen, können Sie openssl über die Befehlszeile verwenden:

openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

So erstellen Sie ein Zertifikat von Grund auf:

  1. Generieren Sie einen privaten Schlüssel:

    openssl genrsa -out privatekey.key 2048

  2. Erstellen Sie eine Zertifikatssignierungsanforderung (CSR):

    openssl req -new -key privatekey.key -out request.csr

  3. Generieren Sie ein selbstsigniertes Zertifikat:

    openssl x509 -req -days 365 -in request.csr -signkey privatekey.key -out certificate.crt

  4. Erstellen Sie die PKCS#12-Datei:

    openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Sobald Sie Ihr .p12/.pfx-Zertifikat erhalten haben, können Sie es in das Feld „Zertifikatsdatei" im Admin Panel hochladen. Wenn das Zertifikat passwortgeschützt ist, geben Sie Ihr Passwort in das Feld „Zertifikats-Passphrase" ein. Speichern Sie dann die Einstellungen.

HTTPS / SSL​

Mithilfe dieser Registerkarte können Sie ein neues CA-signiertes Zertifikat des Dienstes letsencrypt.org installieren, um das sichere HTTPS-Protokoll zu aktivieren.

hinweis

Die Ports 80 und 443 müssen geöffnet sein, um Let's Encrypt-Zertifikate erfolgreich zu generieren. Ein A-Eintrag in Ihren DNS-Einträgen muss Ihren Domainnamen auf die IP-Adresse des Servers verweisen, auf dem ONLYOFFICE Docs installiert ist.

  1. Geben Sie Ihren Domainnamen in das Feld Domain ein.
  2. Geben Sie Ihre E-Mail-Adresse in das Feld E-Mail ein.
  3. Klicken Sie auf die Schaltfläche Zertifikat installieren.

Schriftarten​

Mithilfe dieser Registerkarte können Sie neue benutzerdefinierte Schriftarten hinzufügen:

  1. Klicken Sie auf die Schaltfläche Durchsuchen, um Schriftartdateien auszuwählen, oder ziehen Sie sie hierher und legen Sie sie ab.
  2. Klicken Sie auf die Schaltfläche Generieren.

Verwalten Sie Ihre hinzugefügten benutzerdefinierten Schriftarten:

  • Filtern Sie alle Schriftarten nach Name, um die gewünschte zu finden.
  • Aktivieren Sie die Option „Nur benutzerdefinierte anzeigen", um nur benutzerdefinierte Schriftarten in der Liste anzuzeigen.
  • Aktivieren Sie die Option „Alle benutzerdefinierten zum Löschen markieren" und klicken Sie auf die Schaltfläche Generieren, um die ausgewählten benutzerdefinierten Schriftarten zu entfernen.

Dienste​

Mithilfe dieser Registerkarte können Sie öffentliche API-Endpunkte für bestimmte Dienste aktivieren oder deaktivieren.

hinweis

Wenn ein Dienst deaktiviert wird, werden seine öffentlichen API-Anfragen sofort mit HTTP 403 abgelehnt. Integrationen, die auf die deaktivierten Endpunkte angewiesen sind, funktionieren nicht mehr, bis der Dienst wieder aktiviert wird.

Admin Panel – Registerkarte „Dienste&quot;

Folgende Optionen sind verfügbar:

  • Öffentliche API für Konvertierung. Aktivieren oder deaktivieren Sie die Konvertierungsendpunkte. Das Deaktivieren kann Konnektoren beeinträchtigen, die den Konvertierungsdienst verwenden. Von den Editoren initiierte Konvertierungen sind nicht betroffen.
  • Öffentliche API für Document Builder. Aktivieren oder deaktivieren Sie die Endpunkte zur Dokumenterstellung.
  • KI-Funktionen. Aktivieren oder deaktivieren Sie die KI-Tools in den Editoren und den Endpunkt /ai-proxy. Durch das Deaktivieren werden die KI-Tools aus der Plugin-Liste entfernt, die an die Editoren gesendet wird, und /ai-proxy-Anfragen werden abgelehnt.

Herunterfahren​

Mithilfe dieser Registerkarte können Sie ONLYOFFICE Docs-Benutzer zwangsweise trennen, um Datenverluste zu vermeiden, wenn Sie ONLYOFFICE Docs aus Gründen wie Anwendungsaktualisierungen oder Server-Neustarts stoppen müssen.

  1. Klicken Sie auf die Schaltfläche Herunterfahren, um neue Editor-Verbindungen zu blockieren und bestehende Sitzungen zu schließen. Wenn der Server auf diese Weise gestoppt wird, werden die Benutzer ordnungsgemäß von den Editoren getrennt und ihre Änderungen werden gespeichert.
  2. Klicken Sie auf die Schaltfläche Fortsetzen, um den Server in den normalen Modus zurückzuversetzen und neue Editor-Verbindungen zuzulassen.

Erweiterte Optionen​

Mithilfe dieser Registerkarte können Sie erweiterte Sicherheits- und Dokumentassemblierungsoptionen konfigurieren.

hinweis

Das Deaktivieren der Überprüfung macht den Server anfällig für Man-in-the-Middle-Angriffe. Verwenden Sie dies nur als vorübergehende Lösung bei der Integration mit Diensten, die selbstsignierte oder anderweitig nicht vertrauenswürdige Zertifikate haben. Aktivieren Sie die Überprüfung wieder, sobald ordnungsgemäße Zertifikate installiert sind.

Admin Panel – Registerkarte „Erweitert&quot;

Folgende Optionen sind verfügbar:

  • TLS/SSL-Zertifikate überprüfen (rejectUnauthorized). Remote-Zertifikate für ausgehende HTTPS-Anfragen validieren.
  • Integrität heruntergeladener Dateien überprüfen (checksumVerification). Heruntergeladene Inhalte anhand von Integritäts-Headern prüfen.
  • Dokument im Originalformat zusammenstellen (assemblyFormatAsOrigin). Das ursprüngliche Dokumentformat bei der endgültigen Zusammenstellung beibehalten.

IP-Filterung​

Auf der Seite IP-Filterung können Sie festlegen, welche Hosts dieser Server kontaktieren darf. Fügen Sie eine Regel hinzu, die einen Host benennt, damit der Server ihn kontaktieren kann. Die Auffangregel * gilt für jeden Host.

Vertrauenswürdige WOPI-Hosts erforderlich steuert, ob die Auffangregel * ausreicht, um einem Host zu vertrauen. Wenn die Option aktiviert ist (Standard), zählt nur eine Regel, die den Host ausdrücklich benennt — die Auffangregel nicht.

Regeln werden von oben nach unten ausgewertet, und die erste zutreffende Regel wird angewendet. Fügen Sie die Regel für Ihren WOPI-Speicherhost oberhalb der Auffangregel * hinzu.

Admin Panel – Seite „IP-Filterung&quot;

Netzwerkanfragen​

Die Registerkarte Netzwerkanfragen steuert, welche Aufrufer diesen Server erreichen dürfen und wie ausgehende Verbindungen gefiltert werden.

Admin Panel – Registerkarte „Netzwerkanfragen&quot;

Folgende Optionen sind verfügbar:

  • IP-Filterung für Anfragen verwenden. Die IP-Regeln auf eingehende Anfragen anwenden. Wenn die Option deaktiviert ist, werden Client-Adressen nicht geprüft; ausgehende WOPI-Ziele werden weiterhin durch dieselben Regeln autorisiert.
  • Private IP-Adressen zulassen. Ausgehende Anfragen an private Adressbereiche und Loopback zulassen. Ein WOPI-Host wird dadurch nicht als vertrauenswürdig eingestuft.
  • Meta-IP-Adressen zulassen. Ausgehende Anfragen an 0.0.0.0 und :: zulassen. Cloud-Metadaten- und Link-Local-Adressen bleiben für WOPI gesperrt.

WOPI-Einstellungen​

Auf der Seite WOPI-Einstellungen können Sie die WOPI-Unterstützung für die Dokumentbearbeitung konfigurieren, einschließlich vertrauenswürdiger WOPI-Hosts, Kompatibilitätseinstellungen für SharePoint-Integrationen, des Verhaltens bei Dokumentsperren und der Verwaltung von Verschlüsselungsschlüsseln.

Verwenden Sie den Schalter WOPI oben auf der Seite, um die WOPI-Unterstützung vollständig zu aktivieren oder zu deaktivieren.

Admin Panel – Seite „WOPI-Einstellungen&quot;

Vertrauenswürdige WOPI-Hosts​

In diesem Abschnitt legen Sie fest, welche Dokumentspeicher-Hosts dieser Server kontaktieren darf. Die Liste der vertrauenswürdigen Hosts wird auf der Seite IP-Filterung verwaltet, nicht auf der Seite WOPI-Einstellungen.

Vertrauenswürdige WOPI-Hosts erforderlich steuert, ob die Auffangregel * auf der Seite IP-Filterung ausreicht, um einem Host zu vertrauen. Wenn die Option aktiviert ist (Standard), zählt nur eine Regel, die den Host ausdrücklich benennt — die Auffangregel nicht. Die Regeln der IP-Filterung werden immer für WOPI-Ziele verwendet; diese Option schaltet diese Filterung nicht ab.

Wenn keine vertrauenswürdigen WOPI-Hosts konfiguriert sind, wird eine Warnung angezeigt, und Dokumente können erst geöffnet werden, wenn Sie eine Regel hinzufügen, die Ihren Speicherhost benennt.

Admin Panel – Seite „Vertrauenswürdige WOPI-Hosts&quot;

So fügen Sie einen WOPI-Host zur Zulassungsliste hinzu:

  1. Öffnen Sie auf der Seite WOPI-Einstellungen den Abschnitt Vertrauenswürdige WOPI-Hosts. Klicken Sie in der Warnmeldung auf den Link IP-Filterung.
  2. Fügen Sie auf der Seite IP-Filterung eine Regel hinzu, die Ihren WOPI-Speicherhost benennt. Nachdem die Regel gespeichert wurde, wird dieser Host für WOPI vertrauenswürdig.
hinweis

Wenn Vertrauenswürdige WOPI-Hosts erforderlich aktiviert ist, stuft die Auffangregel * in der IP-Filterung einen Host nicht als vertrauenswürdig ein. Fügen Sie eine Regel hinzu, die den Speicherhost ausdrücklich benennt.

Kompatibilität​

In diesem Abschnitt werden die Einstellungen für WOPI-Discovery und Anfragekompatibilität für SharePoint und andere WOPI-kompatible Speicherintegrationen konfiguriert.

WOPI-Zone

Gibt die von ONLYOFFICE Docs angekündigte Discovery-Zone an. Dieser Wert muss mit der Zone übereinstimmen, die auf der SharePoint-Seite mit dem PowerShell-Befehl Set-SPWOPIZone konfiguriert ist. Verfügbare Werte:

  • external-https
  • external-http (Standard)
  • internal-https
  • internal-http

Um die aktuell konfigurierte Zone auf der SharePoint-Seite zu prüfen, verwenden Sie den folgenden PowerShell-Befehl:

Get-SPWOPIZone

Um die Zone auf der SharePoint-Seite zu ändern, verwenden Sie den folgenden PowerShell-Befehl:

Set-SPWOPIZone -Zone "external-http"

Authorization-Header senden

Wenn diese Option aktiviert ist, wird WOPI-Anfragen der Header Authorization: Bearer <access_token> hinzugefügt. Laut WOPI-Spezifikation ist dies optional, für einige SharePoint-Konfigurationen jedoch erforderlich:

  • SharePoint Subscription Edition: Diese Option muss aktiviert sein. Ohne den Authorization-Header tritt der Fehler Invalid access token auf, und die Dokumentbearbeitung schlägt fehl.
  • SharePoint 2019: Diese Option ist optional. Die Verbindung funktioniert mit dem im URI übergebenen Token, das Aktivieren des Headers verursacht jedoch keine Probleme.

Dies entspricht dem Konfigurationsparameter wopi.sendAuthorizationHeader (standardmäßig false).

Sperreinstellungen​

In diesem Abschnitt wird das Aktualisierungsintervall für Dokumentsperren in WOPI-Sitzungen konfiguriert.

Intervall für die Sperraktualisierung

Gibt an, wie oft Dokumentsperren aktualisiert werden. Verwenden Sie das Format <number><unit>, wobei die Einheit s (Sekunden), m (Minuten) oder h (Stunden) ist. Beispiele: 10m, 1h, 30s. Der Standardwert ist 10m.

Schlüsselverwaltung​

In diesem Abschnitt können Sie die WOPI-Verschlüsselungsschlüssel rotieren. Das Feld Aktueller öffentlicher Schlüssel zeigt den aktiven öffentlichen Schlüssel an, der für die Authentifizierung von WOPI-Anfragen verwendet wird.

Um die Schlüssel zu rotieren, aktivieren Sie das Kontrollkästchen Schlüssel rotieren und klicken Sie auf Änderungen speichern. Die aktuellen Schlüssel werden nach „Alt" verschoben und neue Schlüssel werden generiert.

hinweis

Rotieren Sie die Schlüssel nicht öfter als einmal in 24 Stunden. Der Speicher wird möglicherweise nicht rechtzeitig aktualisiert, was zu Authentifizierungsfehlern führen kann.