Wie man Authentifizierung und Passwortschutz in Jitsi Meet aktiviert

Jitsi Meet verfügt über zwei separate Schutzmechanismen: Die Serverauthentifizierung legt fest, wer ein Meeting erstellen darf, während ein Raumpasswort Personen ohne Passwort den Beitritt zum Raum verwehrt. Diese Mechanismen lösen unterschiedliche Probleme. Auf einem selbstgehosteten Server konnte die ältere Prosody-Konfiguration mit „sicherer Domäne“ die Eingabe von Benutzername und Passwort für die Erstellung von Räumen erfordern, während Gäste weiterhin beitreten konnten. Das aktuelle Jitsi-Handbuch kennzeichnet diese Methode für Neuinstallationen als veraltet und empfiehlt stattdessen die tokenbasierte Authentifizierung. Bestehende Administratoren können die unten beschriebene Vorgehensweise als Kompatibilitätsleitfaden nutzen, sollten neue Bereitstellungen jedoch auf Basis einer unterstützten Token- oder Identitätsanbieterkonfiguration planen.

Raumpasswörter sind eine separate Funktion, die während des Meetings genutzt wird und neben der Serverauthentifizierung weiterhin nützlich ist. Legen Sie ein Passwort fest, nachdem der Raum gestartet wurde, teilen Sie es über einen privaten Kanal mit und testen Sie den Beitrittsprozess mit einem zweiten Browser, bevor Sie Teilnehmer einladen.

Welche Art von Schutz benötigen Sie?

Für kleine Meetings genügen unter Umständen ein eindeutiger Raumname und ein Raumpasswort. Organisationen, die eine kontobasierte Raumerstellung benötigen, sollten zusätzlich die Serverauthentifizierung konfigurieren. Bei neuen, selbstgehosteten Installationen empfiehlt es sich, vor der Auswahl einer Implementierung den aktuellen Authentifizierungsleitfaden von Jitsi sowie die entsprechenden Informationen zur Token-Authentifizierung zu prüfen.

Wie kann man einen Jitsi-Raum mit einem Passwort schützen?

Starten Sie das Meeting, öffnen Sie das Menü „Sicherheit“ oder „Meeting-Optionen“ in der Symbolleiste, wählen Sie die Passwort-Aktion und geben Sie ein sicheres Raumpasswort ein. Menübezeichnung und Symbol können je nach Client-Version variieren. Läuft das Meeting bereits, wirkt sich die Passwortvergabe auf zukünftige Beitritte aus; bereits beigetretene Teilnehmer werden nicht automatisch abgemeldet. Senden Sie das Passwort separat vom Meeting-Link, wenn Vertraulichkeit wichtig ist.

Die FAQ von Jitsi erklären, dass das Raumpasswort nach Ende des Meetings gelöscht wird. Daher sollte nicht davon ausgegangen werden, dass es bei wiederkehrenden Meetings erhalten bleibt. Legen Sie es für jedes neue Meeting erneut fest und überprüfen Sie das Verhalten in Ihrer Umgebung. Jeder, der das Passwort erhält oder an den es weitergeleitet wird, kann möglicherweise beitreten. Ein Passwort ist daher nicht dasselbe wie eine Benutzerzugriffsliste. Weitere Informationen finden Sie in den offiziellen Jitsi-FAQs zum Thema Meeting-Schutz .

Was ändert sich durch die Serverauthentifizierung?

Im klassischen „sicheren Domänen“-Design authentifiziert Prosody die Ersteller von Räumen anhand lokaler Konten. Jitsi ermöglicht dann nicht authentifizierten Teilnehmern die Verbindung über eine Gastdomäne. Dies ist sinnvoll, wenn nur Mitarbeiter Räume erstellen sollen, Teilnehmer aber keine Konten benötigen. Es ist nicht erforderlich, dass sich jeder Teilnehmer anmeldet. Wenn sich jeder Benutzer authentifizieren muss, muss der Gastzugriff deaktiviert oder durch die Identitäts- und Zugriffsrichtlinie Ihres aktuellen Authentifizierungsdesigns ersetzt werden.

Die Jitsi-Dokumentation kennzeichnet diese ältere Methode mit sicherer Domäne als veraltet für Neuinstallationen. Fahren Sie nur fort, wenn Sie diese Einschränkung verstehen und einen kompatiblen Server betreiben. Bevor Sie Änderungen vornehmen, ermitteln Sie, wie Jitsi installiert wurde, notieren Sie sich Ihren Jitsi Meet-Hostnamen, sichern Sie die Prosody-, Jicofo- und Webkonfigurationsdateien und halten Sie eine aktive Administrator-Sitzung oder -Konsole bereit, falls ein Syntaxfehler den Dienst unterbricht.

Wie aktiviert man die Legacy-Secure-Domain-Konfiguration bei einer Debian- oder Ubuntu-Paketinstallation?

1. Ändern Sie die virtuellen Hosts von Prosody.

Öffnen Sie die Prosody-Datei für Ihren Jitsi-Hostnamen (normalerweise ) /etc/prosody/conf.avail/jitsi.example.com.cfg.lua. Ersetzen Sie den unten stehenden Beispiel-Hostnamen durch Ihre tatsächliche Domain. Ändern Sie im Haupt-Virtual-Host den Authentifizierungsmodus auf gehashte interne Passwörter. Fügen Sie anschließend den Gast-Virtual-Host hinzu.

VirtualHost "jitsi.example.com"
    authentication = "internal_hashed"

VirtualHost "guest.jitsi.example.com"
    authentication = "jitsi-anonymous"
    c2s_require_encryption = false

Behalten Sie die übrigen vorhandenen Optionen und Module bei. Erstellen Sie keine DNS-Einträge oder ein öffentliches Zertifikat für guest.jitsi.example.com; in dieser Konfiguration handelt es sich um eine interne Jitsi-Domäne.

2. Informieren Sie den Webclient über die Gastdomäne.

Öffnen Sie das bestehende Objekt /etc/jitsi/meet/jitsi.example.com-config.jsund fügen Sie darin neue Einträge hinzu . Behalten Sie die vorhandenen und anderen Einträge bei und achten Sie sorgfältig auf die Kommas:anonymousdomainhostsdomain

hosts: {
    domain: 'jitsi.example.com',
    anonymousdomain: 'guest.jitsi.example.com'
},

3. Aktivieren Sie die Authentifizierung in Jicofo.

Bearbeiten /etc/jitsi/jicofo/jicofo.conf. Fügen Sie die Authentifizierungseinstellungen innerhalb des bestehenden jicofoBlocks hinzu; erstellen Sie keinen doppelten Block der obersten Ebene:

jicofo {
  authentication {
    enabled = true
    type = XMPP
    login-url = "jitsi.example.com"
  }
}

Falls die Datei bereits einen jicofoAbschnitt enthält, fügen Sie diese Eigenschaften dort ein. Konfigurationssyntax und generierte Dateien können je nach Paketversion variieren. Vergleichen Sie daher das Ergebnis mit der aktuellen Handbuchseite für Ihre Installation, bevor Sie die Dienste neu starten.

4. Starten Sie die Dienste neu und erstellen Sie ein Konto.

Nachdem Sie die Änderungen überprüft haben, starten Sie die Dienste als Administrator neu:

sudo systemctl restart prosody
sudo systemctl restart jicofo
sudo systemctl restart jitsi-videobridge2

Registrieren Sie ein Konto als Raumersteller in Prosody. Ersetzen Sie die Platzhalter; verwenden Sie niemals die Beispieldomäne oder ein schwaches Passwort auf einem Live-Server:

sudo prosodyctl register <username> jitsi.example.com <strong-password>

Jedes Konto ist mit dem Jitsi-Hostnamen verknüpft. Erstellen Sie separate Konten, anstatt die Administrator-Zugangsdaten gemeinsam zu nutzen, wenn Sie den Zugriff später widerrufen müssen. Die Dokumentation zu sicheren Domänen in Jitsi listet die paketspezifischen Konfigurationspfade und den Registrierungsbefehl auf. Dort wird auch ausdrücklich darauf hingewiesen, dass diese Methode veraltet ist.

Wie unterscheidet sich die Einrichtung in Docker?

Bearbeiten Sie keine Dateien innerhalb laufender Container und kopieren Sie keine Debian-Paketpfade in eine Docker-Bereitstellung. In der offiziellen Docker Compose-Konfiguration wird die Authentifizierung über die Umgebungsvariablen-Datei der Bereitstellung konfiguriert. Das Handbuch dokumentiert diese relevanten Werte für die interne Kontoauthentifizierung:

ENABLE_AUTH=1
ENABLE_GUESTS=1
AUTH_TYPE=internal

Lassen Sie den Gastzugriff aktiviert, wenn Teilnehmer ohne eigenes Konto beitreten können sollen. Bei aktiviertem Gastzugriff können nicht authentifizierte Benutzer gemäß der konfigurierten Gastkonfiguration beitreten; sie werden nicht automatisch zu authentifizierten Raumerstellern. Wenden Sie die Umgebungsänderungen mithilfe des Compose-Workflows für Ihre Bereitstellung an und überprüfen Sie die Protokolle, falls die Dienste nicht ordnungsgemäß starten.

Erstellen Sie einen internen Benutzer über den Prosody-Dienst, anstatt die generierte Containerkonfiguration zu ändern. Das offizielle Handbuch beschreibt das Öffnen einer Shell im Prosody-Container und die Registrierung eines Benutzers prosodyctl. Der Konfigurationspfad und die XMPP-Domäne hängen von der Compose-Version ab. Im dokumentierten Docker-Image befindet sich die Prosody-Konfiguration unter `<Prosody-Konfigurationsverzeichnis>` /config/prosody.cfg.lua, und die Beispiel-XMPP-Domäne lautet `<Prosody -Domäne meet.jitsi>`. Verwenden Sie die exakten Befehle und Werte, die für Ihre ausgecheckte Version dokumentiert sind. Informationen zu Umgebungsvariablen, Kontoerstellung und dem Verhalten der generierten Konfiguration finden Sie im offiziellen Docker-Leitfaden für Self-Hosting .

Wie lässt sich die Wirksamkeit des Schutzes bestätigen?

• Öffnen Sie ein privates Browserfenster und versuchen Sie, einen neuen Raum zu erstellen. Bei der klassischen Einrichtung sollten Sie zur Eingabe der Anmeldedaten aufgefordert werden.
• Melden Sie sich mit dem neuen Konto an und erstellen Sie einen Raum. Überprüfen Sie, ob das Meeting geladen wird und der Gastgeber über die erforderlichen Moderatorrechte verfügt.
• Treten Sie über einen anderen Browser als Gast bei. Wenn Gäste zugelassen sind, sollte der Beitritt auch ohne Erstellerkonto funktionieren; fügen Sie das Raumpasswort oder das Lobbypasswort hinzu, wenn Sie eine zusätzliche Zugangskontrolle benötigen.
• Legen Sie ein Raumpasswort fest und versuchen Sie anschließend, über ein neues privates Fenster ohne und mit Passwort beizutreten. Vergewissern Sie sich, dass ein bereits im Raum befindlicher Teilnehmer verbunden bleibt, wenn das Passwort festgelegt wird.
• Starten Sie nach Beendigung des Testmeetings einen neuen Raum und prüfen Sie, ob das Passwort erneut festgelegt werden muss, wie in den FAQ von Jitsi beschrieben.

Wenn die Anmeldeaufforderung nicht erscheint, überprüfen Sie die Prosody-Hostnamen, den Jicofo-Block, den Clientwert anonymousdomainund die Serviceprotokolle. Ein häufiger Konfigurationsfehler ist die Verwendung einer Gastdomäne, die in Prosody und dem Haupthostnamen nicht übereinstimmt config.js, oder das Hinzufügen eines zweiten Jicofo-Blocks anstatt den bestehenden zu erweitern. Wenn Gäste keine Verbindung herstellen können, überprüfen Sie, ob der Gastzugriff bewusst aktiviert wurde und ob die konfigurierte Gastdomäne mit dem Haupthostnamen übereinstimmt.

Was sollten Sie für eine Neuinstallation wählen?

Verwenden Sie für eine neue Bereitstellung nicht die veraltete Methode für sichere Domänen, es sei denn, es liegt ein triftiger Kompatibilitätsgrund vor. Jitsis aktuelle Dokumentation zum Selbsthosting empfiehlt die Token-Authentifizierung für Neuinstallationen, während der umfassendere Authentifizierungsleitfaden die Integration neuerer Identitätsanbieter beschreibt. Diese Ansätze erfordern zusätzliche Konfigurationen für Aussteller, Signaturen oder Identitätsanbieter und sind nicht mit einem Prosody-Raumpasswort austauschbar. Wählen Sie das Modell, das Ihren Anforderungen entspricht, und verwenden Sie gegebenenfalls Raumpasswörter oder eine Lobby als separate Steuerungsmöglichkeiten auf Meeting-Ebene.

Kurz gesagt: Verwenden Sie Konto- oder Token-Authentifizierung, um festzulegen, wer Räume erstellen kann, und vergeben Sie ein Raumpasswort, um spätere Beitritte auf Personen zu beschränken, die das Passwort kennen. Testen Sie beide Vorgehensweisen unabhängig voneinander, da die Aktivierung der einen nicht automatisch die andere aktiviert.

Offizielle Referenzen

• Jitsi Meet: Authentifizierung
• Jitsi Meet: Sichere Domäneneinrichtung (veraltet)
• Jitsi Meet: Token-Authentifizierung
• Jitsi Meet: Leitfaden zum Selbsthosting mit Docker
• Jitsi Meet: Häufig gestellte Fragen und Schutz von Meetings