Was zu installieren ist
- Windows: ein Installationsprogramm.
- Linux: ein RPM-Paket für Rocky Linux, AlmaLinux und RHEL 8, 9 und 10.
- Linux: ein DEB-Paket für Ubuntu.
- Linux: ein portables Archiv, das keine Administratorrechte benötigt.
- Gäste installieren nichts: Sie nehmen über einen Webbrowser teil.
Der Player wird kostenlos und ohne Konto von der Download-Seite heruntergeladen.
Administratorrechte
- Das Windows-Installationsprogramm, das RPM-Paket und das DEB-Paket werden von einem Administrator installiert.
- Das portable Archiv wird vom Benutzer entpackt und gestartet, ohne Administratorrechte.
- Einen Port in der Firewall eines Arbeitsplatzes öffnet ein Administrator. Das ist nur für Sitzungen nötig, die im Studionetzwerk gehostet werden (siehe unten).
- Gäste im Browser benötigen keine Rechte und kein Konto.
Netzwerk: Online-Sitzungen
Online-Sitzungen laufen über das Relay. Die Arbeitsplätze bauen nur ausgehende Verbindungen auf: In Richtung Studio muss nichts geöffnet werden.
- Mit ausgehendem TCP 443 zu beiden Namen funktioniert alles. Das Video nutzt dann TURN über TLS, mit etwas mehr Latenz.
- Die Anmeldung über das Studiokonto (SSO) nutzt den Browser des Systems, um den Identitätsanbieter des Studios zu erreichen, über HTTPS auf Port 443.
- Bei einem im Studio installierten Relay (Enterprise-Angebot) verwenden Sie die Namen, die Ihnen die Person nennt, die es betreibt.
Zur Prüfung von einem Arbeitsplatz des Studios aus:
curl -sS https://review.bernardengine.com/api/v1/health
Erwartet: eine JSON-Antwort, die "status":"ok" enthält.
Netzwerk: Sitzungen im Studionetzwerk
Eine im lokalen Netzwerk gehostete Sitzung nutzt weder das Relay noch das Internet. Die anderen Player verbinden sich mit dem Arbeitsplatz des Hosts über TCP-Port 9000 (Standardwert, änderbar).
Öffnen Sie diesen Port nur auf dem Arbeitsplatz des Hosts, für eingehende Verbindungen aus dem internen Netzwerk. Online-Sitzungen brauchen ihn nicht.
- Windows: Das Installationsprogramm fügt die Firewall-Regeln für die Profile Domäne und Privat hinzu, nie für das Profil Öffentlich.
- Wenn eine Gruppenrichtlinie (GPO) die Windows-Firewall verwaltet und lokale Regeln ignoriert, fügen Sie die Regel in der Richtlinie hinzu: eingehend TCP 9000, Profile Domäne und Privat.
firewalld (Rocky Linux, AlmaLinux, RHEL):
sudo firewall-cmd --permanent --zone=<zone> --add-service=bernard-review
sudo firewall-cmd --reload
ufw (Ubuntu):
sudo ufw allow from <subnet> to any port 9000 proto tcp
Ersetzen Sie <zone> durch die Zone des internen Netzwerks und <subnet> durch das Subnetz des Studios.
Proxy und Zertifizierungsstelle
- Ein HTTP-Proxy muss CONNECT zu beiden Namen des Relays auf Port 443 erlauben.
- Nehmen Sie beide Namen von der TLS-Inspektion aus: Ein Proxy, der den Verkehr entschlüsselt, unterbricht TURN über TLS.
- Schließen Sie inaktive Verbindungen nicht nach weniger als 120 Sekunden.
- Ein HTTP-Proxy überträgt kein UDP: Hinter einem Proxy allein nutzt das Video TURN über TLS.
- Ein im Studio installiertes Relay kann Zertifikate der Zertifizierungsstelle des Studios verwenden, mit Namen aus dem internen DNS.
Geheimnisse
- Der Player speichert seine Anmeldegeheimnisse im Anmeldeinformationsspeicher des Betriebssystems.
- Das Relay speichert Sitzungspasswörter, Tokens und Codes als Hashwerte, nie im Klartext.
Was der Player nicht tut
- Allein genutzt, lokal oder im Studionetzwerk, sendet der Player keine Daten an AArts Lab.
- In der aktuellen Version des Dienstes werden die Mediendateien des Studios nicht an AArts Lab gesendet: Sie bleiben auf den Rechnern des Studios.
- Video, Sprache und Chat werden nicht aufgezeichnet: Der Stream existiert nur während der Sitzung.
Für eine Sicherheitsfrage oder um das Sicherheitsdossier anzufordern: Kontaktformular