Subversion

Subversion ist ein sog. Version-Kontrollsystem. Diese Systeme sind dazu gedacht, einen Datenbestand (meistens Programmcode oder Text-Dokumente) zu verwalten und Änderungen zu dokumentieren. Damit können z.B. mehrere Autoren an einem Programm schreiben und es ist jederzeit möglich, einzelne Änderungen zu verfolgen oder rückgängig zu machen.

Auch für HTML- oder PHP-Dateien ist Subversion sehr empfehlenswert.

Funktionsweise

Subversion arbeitet immer mit einem sog. Repository in dem das System seine Aufzeichnungen speichert und einer Working copy, die den aktuellen Stand enthält und in der der Benutzer seine Änderungen direkt durchführt.

Allerdings gibt es verschiedene Möglichkeiten, wie das Subversion-Programm auf sein Repository zugreift.

lokales Repository

Im trivialen Fall ist das Repository einfach ein Verzeichnis auf der selben Festplatte. Dann muss der Benutzer, der Subversion aufruft nur Lese- und Schreibrechte in dem Verzeichnis haben und kann sofort mit Subversion arbeiten. Diese Variante ist nur zu empfehlen, wenn nur wenige (besser: nur ein) benutzer an immer dem selben Rechner arbeitet.

Diese Variante ist auf schokokeks.org zwar ohne weiteres nutzbar, wir empfehlen aufgrund der genannten Einschränkungen jedoch die Einrichtung eines Servers wie folgt...

Subversion-Server

Meistens ist es praktischer, einen zentralen Server zu haben, auf dem das Repository gespeichert ist. Es ist damit möglich von verschiedenen Computern mit verschiedenen Benutzern zu arbeiten und alle Änderungen trotzdem zentral zu erfassen.

Bei uns ist die Vorkehrung vorhanden um Subversion über WebDAV zu betreiben. Webdav erweitert das normale HTTP-Protokoll um eine direkte Upload-Fähigkeit und einige andere Techniken zur Datei-Manipulation. Das Subversion-Modul im Webserver sorgt nun einerseits dafür, dass das Subversion-Programm direkt mit dem Server kommunizieren kann und dort die Änderungen verwaltet werden, andererseits besteht aber zudem die Möglichkeit mit einem ganz normalen Browser auf den jeweils aktuellen Stand des Repositories zuzugreifen. Dieses Feature ist besonders interessant, wenn neben den Autoren der Daten auch Besucher einzelne Daten herunterladen können sollen (das ist natürlich konfigurierbar), denn diese brauchen dann keine weitere Software als einfach den Browser. Ob man für den Zugriff Benutzernamen und Passwort eingeben muss lässt sich frei konfigurieren.

Im folgenden werde ich technisch beschreiben, wie der Subversion-via-Webdav-Zugriff eingerichtet werden kann. Beachten Sie, es ist noch nicht möglich, diese Änderungen vollständig selbst durchzuführen, ein Administrator muss die Konfiguration des Webservers darauf anpassen (s. unten). Bitte melden Sie sich also bei einem Administrator nachdem die Vorbereitungen erfüllt sind.

Einrichtung des Webdav-Zugriffs

Bitte lesen Sie zum Verständnis auch den Artikel zu WebDAV im allgemeinen. Es werden trotzdem alle Schritte hier nochmals erklärt.

Vorbereitung

Auch als einfacher Benutzer können Sie schon vieles selbst vorbereiten. Dazu brauchen Sie nur einen SSH-Zugang.

Repository erstellen

Als erster Schritt muss ein Repository erstellt werden. Wechseln Sie dazu in ein dafür vorgesehenes Verzeichnis (oder erstellen Sie eines). In diesem Beispeil werde ich davon ausgehen, dass das Repository in dem Verzeichnis /home/bernd/subversion/repositories erstellt wird und den Name test trägt. Dieses Repository ist nur zu Test-Zwecken notwendig. Es kann später auch wieder gelöscht werden, wenn es nicht gebraucht wird. Der Subversion-Server arbeitet nach dem Prinzip, dass man ein Verzeichnis vorgibt, in dem sich dann mehrere Repositories befinden können. Man sollte also zwingend ein spezielles Verzeichnis nur für Subversion-Repositories vorsehen.

Zusätzlich werden später noch zwei Dateien gebraucht, die ebenfalls zum Subversion-System gehören, jedoch nicht in diesem repositories-Verzeichnis sein sollten. Es empfiehlt sich also, zwei Verzeichnisebenen anzulegen, wie in diesem Beispiel. Wo sich diese befinden ist zwar letztlich egal, nur muss der Webserver ein Zugriffsrecht auf alle Verzeichnisse bekommen, die er durchqueren muss.

Ich muss für obiges Beispiel nun also folgende Befehle ausführen:

Erstellen des Verzeichnisses:

mkdir -p /home/bernd/subversion/repositories

Setzen der Standard-Rechte, alle Daten die dort ab sofort abgelegt werden, sollen für den Webserver lese- und schreibbar sein:

setfacl -m default:u:apache:rwx /home/bernd/subversion/repositories

Erstellen des Repositories:

cd /home/bernd/subversion/repositories
svnadmin create test

Dem Webserver das Recht geben, dieses Verzeichnis auch zu betreten:

setfacl -m u:apache:x /home/bernd /home/bernd/subversion /home/bernd/subversion/repositories

(Hierbei ist wichtig, dass der Webserver auf alle Zwischen-Ebenen mindestens ein x-Recht bekommt um das Verzeichnis zu durchqueren.)

Danach müssen wir zwei Dateien erstellen, deren Inhalt später erklärt wird. Hier müssen Sie nur erstellt werden, damit wir deren Rechte korrekt setzen können:

touch /home/bernd/subversion/users /home/bernd/subversion/acl
setfacl -m u:apache:r /home/bernd/subversion/users /home/bernd/subversion/acl

Nun ist das Erstellen der Daten abgeschlossen und theoretisch kann nun schon der Administrator die Einträge im Webserver vornehmen. Er braucht dazu:

• die Web-Adresse, unter der das Repository erreichbar sein soll
• den kompletten Pfad zum Repository (in diesem Beispiel /home/bernd/subversion/repositories)
• die Dateinamen und Pfade der
  • users- und
  • acl-Datei.
• eine kurze Mitteilung, ob das Repository grundsätzlich auch anonym erreichbar sein soll (der anonyme Zugriff kann dann mithilfe der acl-Datei für einzelne Pfade wieder entzogen werden. Siehe nächsten Abschnitt)

Es ist sowohl möglich, einen eigenen Host-Eintrag einzurichten (z.B. svn.schokokeks.org) oder es kann ein Unterverzeichnis einer bestehenden Website dazu benutzt werden (z.B. www.schokokeks.org/svn).

Benutzer und ACL einrichten

Zu den beiden letztgenannten Dateien komme ich nun. Die Datei users enthält eine Liste der erlaubten Benutzer. Für diejenigen, die sich mit Apache-Authentifizierung auskennen: Es ist eine ganz normale .htpasswd-Datei. Diese kann mit dem Programm /usr/sbin/htpasswd2 erstellt und bearbeitet werden. In der Hilfe des Programms wird erklärt, wie man damit Benutzer anlegt und verändert:

/usr/sbin/htpasswd2 /home/bernd/subversion/users bernd

würd z.B. einen Benutzer bernd anlegen und nach dem gewünschten Passwort fragen. Mehr dazu mit

/usr/sbin/htpasswd2 --help

Wenn man nun mindestens einen Benutzer angelegt hat, dann kann man mit Hilfe der ACL (Access control list) festlegen, was dieser Benutzer darf und was z.B. der anonyme Benutzer (ohne Authentifizierung) darf.

Ich gehe im Folgenden davon aus, dass der Benutzer bernd der Administrator ist und zugriff auf alles haben soll, ein nicht angemeldeter Benutzer soll im Repository test jedoch nur Zugriff auf das Unterverzeichnis trunk (Laut subversion-Dokumentation soll trunk den grade aktuellen Stand wiederspiegeln) bekommen. Dazu erstelle ich folgende ACL-Datei:

[test:/]
bernd:rw

[test:/trunk]
*:r
bernd:rw

Nicht aufgeführte Benutzer für eine bestimmte Sektion haben keinen Zugriff. Wenn der Eintrag *:r nicht gesetzt wird, dann wird eine Anmeldung mit gültigen Benutzerdaten unbedingt verlangt.

Mehr Informationen und Hintergründe zur Konfiguration von Subversion finden Sie (auf englisch) im Subversion book.

Administrator-Arbeit

In der zentralen Konfiguration des Webservers ist alles für den Einsatz von Subversion vorbereitet, er muss nur noch für die gewünsche Domainden Eintrag erstellen oder anpassen.

Folgendes Setup würde das Repository von oben unter der Adresse https://svn.bwurst.org verfügbar machen:

<VirtualHost 87.106.4.7:443 [2001:8d8:81:1310:0:2:1:1]:443>
        ServerName svn.bwurst.org
        ServerAdmin bernd@schokokeks.org

        <IfModule mod_dav_svn.c>
                <Location />
                DAV svn
                SVNParentPath /home/bernd/subversion/repositories
                AuthType Basic
                AuthName "bwurst.org subversion repository"
                AuthUserFile /home/bernd/subversion/users
                Require valid-user
                <IfModule mod_authz_svn.c>
                        Satisfy any
                        AuthzSVNAccessFile /home/bernd/subversion/acl
                </IfModule>
                </Location>
        </IfModule>
        SSLEngine On
        SSLCertificateFile conf/openssl/bwurst.org.crt
        SSLCertificateKeyFile conf/openssl/bwurst.org.key
</VirtualHost>

Danach sollte ein Zugriff der Benutzers bernd auf https://svn.bwurst.org/test möglich sein, wie in der obigen ACL angegeben. Das Verzeichnis trunk existiert im Moment noch nicht, daher kann dieses nicht anonym gelesen werden.

Anonymer Zugriff

Im obigen Beispiel ist die Zeile Satisfy any dafür verantwortlich, dass auch anonyme Benutzer auf das Repository zugreifen dürfen (sofern Sie zusätzlich in der acl-Datei für bestimmte Pfade mit *:r bzw *:rw entsprechende Zugriffsrechte freigegeben haben, wie oben beschrieben). Da es sicherheitskritisch sein kann, wenn man diesen Umstand nicht weiß, schalten wir dies nur ein, wenn der Benutzer es möchte. Ggf. also bitte melden.

Später weitere repositories anlegen

Wenn der SVN-über-DAV-Zugang einmal eingerichtet ist, können beliebig viele Repositories ohne Administrator-Arbeit erstellt und verwaltet werden.

Dazu muss einfach im Verzeichnis das die Repositories enthält (im Beispiel /home/bernd/subversion/repositories) der Befehl svnadmin create foobar ausgeführt werden, wobei foobar der Name des neuen Repositories ist.

Eventuell müssen die Verzeichnisrechte angepasst werden: setfacl -R -m u:apache:rwx foobar/

Zudem ist in den meisten Fällen nötig, dass man in der oben erstellten Datei acl einen neuen Eintrag äquivalent zum alten erstellt.