Codegarden 2021

Donnerstag, 10.06.2021

Mirko Matytschak

In diesem Jahr 2021 fand die internationale Umbraco Konferenz Codegarden digital statt. Im Mittelpunkt stand die neue Version 9, die nun auf .NET Core basiert und daher auch auf Linux läuft. Ein weiterer Schwerpunkt lag auf Headless-Systemen mit Umbraco. Wir haben die wichtigsten Eindrücke von der Konferenz in Kommentaren mitgeschrieben und hier veröffentlicht.

Lesen Sie hier unsere unmittelbaren Eindrücke von den Vorträgen der Konferenz.

Kommentare

11 Kommentare zu diesem Beitrag

Mirko Matytschak · 10.06.2021 · Direkter Link

Open Source

Interessante Zahlen in der Keynote: Der Anteil aktiver Teilnehmer an Open Sorce-Projekten sank von 63% in 2019 auf 47% in 2020. Aber: Diejenigen, die teilnahmen, engagierten sich umso tiefer. 63% der Beteiligten gaben an, dass Sie ihre Engagement in dem Zeitraum vertieft haben.

Mirko Matytschak · 12.06.2021 · Direkter Link

Long Term Support

Weitere wichtige Info in der Keynote: Umbraco wird Long Term Support-Versionen haben. Die kommende Version 10 wird wohl Support bis 2025 haben und auf der LTS-Version 6 von .NET basieren. Das macht Sinn, die beiden LTS-Versionen aneinander zu koppeln.

Maximilian Vollendorf · 10.06.2021 · Direkter Link

Umbraco 9

Umbraco 9 wird noch diesen Sommer veröffentlicht. V9 basiert auf .NET Core. Tests haben ergeben, dass V9 gegenüber V8 bis zu 80% schneller sein wird. Mit .NET Core kann man ein System aufsetzen, das durchgängig auf Open Source-Produkten basiert: Linux, Webserver (Z.B. NGNIX, Apache), .NET Core, Umbraco.

Nächstes Thema: Das BackOffice wird seit je her von Entwicklern und Redakteuren geliebt. Wie wird sich das BO nun in Zukunft entwickeln? So großartig es ist, mit der Zeit ist die technologische Basis in die Jahre gekommen: Denken wir zuerst an AngularJS, die Basis des BackOffices. Es muss abgelöst werden, es ist langsam und schwerfällig. Zweitens: In einigen Teilen ist das UI inkonsistent, manche Packages benutzen unterschiedliche UI-Elemente. Drittens: Ein sehr begrenztes API für die Entwicklung eigener BackOffice-Erweiterungen wie eigene Sections oder Property-Editoren.

Das Problem beim Übergang auf eine neue BO-Technologie ist, so wenig Breaking Changes wie möglich zu produzieren. Viele bestehende, auch populäre Packages, oder projektspezifiche Erweiterungen sollen auch weiterhin laufen.

Der Plan ist, eine UI-Library zu entwickeln. Die Lösung werden Webcomponents baiserend auf LIT (Google) sein.
Es muss eine BackOffice extension-API definiert werden.
Leicht und intuitiv zu erweitern
Es wird keine Framework-Dependency geben.
Bei der Entwicklung für das neueb BackOffice wird TypeScript Pflicht sein.

Wann wird das neue BackOffice veröffentlicht? Ziel ist es, 2022 damit an den Start zu gehen.

Nächstes Thema: Deploy on Premise. Mit diesem Package kann man nicht nur Content und Assets von einer Staging-Instanz auf eine Live-Instanz deployen, sondern auch Schema und Settings. In der Umbraco Cloud schon länger vorhanden, wird nun das Deploy-Tool für die Nutzung auf dem eigenen Server oder einer beliebigen Cloud-Instanz möglich.

Mirko Matytschak · 10.06.2021 · Direkter Link

.NET 6

Scott Hunter zeigt gerade, wie man in vier Code-Zeilen ein komplettes Web-API mit .NET 6 schreibt. Das ist schon sehr cool!

using Microsoft.AspNetCore.Builder;
var app = WebApplication.Create(args);
app.MapGet("/", () => "Hello World!");
app.Run();

Mirko Matytschak · 11.06.2021 · Direkter Link

Offensive Security

Es gab einen excellenten Vortrag über Offensive Security auf Umbraco. Offensive Security ist der Ansatz, selbst als Hacker zu agieren und zu versuchen, die Sicherheitsmechanismen der eigenen Systeme zu überwinden. Die gezeigten Szenarios waren Backoffice Rights Elevation, um Administratorrechte zu erhalten, sowie Code Execution mittels Views, die ja via Backoffice abgespeichert werden können.

Rights Elevation

Die Rights Elevation nutzt eine Angriffskette, die an dem Punkt beginnt, dass ein Redakteur Html-Templates verändern kann, die zur Genierierung von Pdf-Dateien dienen. Der Angreifer versucht, in dem Template Javascript auszuführen, mit dem ein Html-Element mit Inhalten gefüllt wird. Wenn dies gelingt, können in einem weiteren Schritt die Inhalte der Web.config-Datei (und ggf. der umbracoSettings.config) mit einem XmlHttpRequest gelesen und im Pdf angezeigt werden. Die Web.config-Datei enthält Passwörter, zum Beispiel für den Sql Server. Nun versucht der Angreifer, die Passwörter wiederzuverwenden, um sich im Backoffice als Admin anzumelden.

Die Moral aus der Geschicht: Verwendet nie ein Passwort für mehr als einen Zweck.

Hat man erst einmal Admin-Rechte, ist der folgende Angriff leichter.

Remote Code Execution

Der Code Execution-Angriff versucht, mit Hilfe der .NET-Methode System.Diagnostics.Process.Start einen Prozess zu starten. Wenn das gelingt, können Systeminformationen ausgegeben werden, mit Hilfe derer weitere Angriffsszenarien möglich sind.

Die Absicherung in diesem Fall besteht darin, die automatisch vom IIS angelegten Accounts für Web Sites zu benutzen. Wir werden immer wieder von IT-Abteilungen gefragt, warum wir für die Websites keine Domain-Accounts verwenden. Die Antwort ist immer der gleiche: Die Kontrolle über die Rechte dieser Accounts geht auf die Domäne über. Das vergrößert die Oberfläche des Systems und ist daher fehleranfällig. Passiert einmal ein Fehler, ist es zur Remote Code Execution, die wirklich etwas anrichten kann, nicht mehr weit.

Die IIS AppPool-Accounts dürfen nach dem Anlegen der Sites erst einmal gar nichts im System und sind ausschließlich auf dem Web Server bekannt – außerhalb des Webservers können sie also schon mal gar nicht aktiv sein.

Nun muss der Administrator die verschiedenen Ordner der Umbraco Site lesbar und – wo es nötig ist – beschreibbar für diesen Account machen. Das bin-Verzeichnis darf zum Beispiel nie beschreibbar sein. Ebenso die web.config-Datei, außer zum Zeitpunkt von Umbraco-Versions-Updates. Verzeichnisse unterhalb von App_Data sind gute Kandidaten für die Beschreibbarkeit. App_Code sollte tunlichst nicht beschreibbar sein. Wir nutzen vorgefertigte Scripts, die die Rechte für eine Umbraco-Site korrekt einstellen.

Insgesamt bleibt der Eindruck: Mit ein wenig Sorgfalt lassen sich die meisten Angriffe vermeiden.

Maximilian Vollendorf · 11.06.2021 · Direkter Link

Content Modelling Perspektiven

Dieser Talk beschäftigt sich mit dem Prozess von der Modellierung von Content bis hin zur Implementierung.

Interessant die Thematisierung des Gedankens, den wir hier im Blog und auch in unserem Vortrag während des Umbraco-Festivals in Frankfurt formuliert hatten. Vom Blob bis hin zu Content-Chunks, die layoutunabhängig erfasst und verwaltet werden. Wobei der Speaker Sam Flanagan hier die Unterteilung von Content-Typen in

Blobs
layout-zentriert
und content-zentriert

verwendet.

Blobs sind sowieso mega-out, ein einziges riesiger Datenblock ohne Strukturierung. Die reine Lehre ist der content-zentrierte Ansatz. In der Mitte definiert Sam Flanagan den layout-zentrierten Ansatz.

Dieser Ansatz entspricht nicht dem Ansatz eines durchstrukturierten, datentzentrierten Blicks, den ein Entwickler all zu gerne einnimmt. Aber ein Redakteur denkt eben doch eher visuell, er stellt sich die Content-Blöcke vor, wie sie erscheinen werden, auch wenn hier Konzepte wie responsive Design oder komponentengetriebenes Design, also wie Content auf verschiedene Geräten ausgespielt wird, mitunter vernachlässigt werden müssen.

Ein Content-Modelling-Konzept sollte dann, so unser Fazit, die richtige Balance zwischen den beiden Konzepten layout-zentriert und content-zentriert finden. Auf jeden Fall ein sehr anregender Talk.

Mirko Matytschak · 11.06.2021 · Direkter Link

Umbraco 9 auf Linux

Umbraco 9 lässt sich auf Linux installieren und wird dort den gleichen Funktionsumfang aufweisen, wie eine Installation auf Windows. Da Microsoft auch den Sql Server auf Linux anbietet (auch die Express-Versionen), kann man eine komplette Umbraco Hosting-Lösung unter Linux anbieten.

Sql Server ist auch als Docker-Image erhältlich, das für Entwicklungszwecke auch auf dem Mac läuft. Da dort auch die Entwicklungsumgebungen Visual Studio und Visual Studio Code laufen, kann die Entwicklung wahlweise auf Windows, Linux und dem Mac vorgenommen werden.

Für das Deployment können wir Umbraco Sites nun komplett an die IT-Infrastruktur der Kunden anpassen. Ist Linux vorherrschend, wird Linux verwendet, ist Windows angesagt, wird Windows verwendet. Darüber hinaus gibt es die Möglichkeit, verschiedene Cloud-Lösungen zu installieren. Hier bietet sich vor allem Azure an.

Maximilian Vollendorf · 11.06.2021 · Direkter Link

Umbraco Headless

Für Umbraco 9 wird auch wieder eine Headless-Lösung zur Verfügung stehen. Ein Vorgeschmack gibts schon mal im Codegarden:

Mirko Matytschak · 11.06.2021 · Direkter Link

Headless, aber nicht kopflos

Gleich mehrere Talks behandelten das Thema Headless Umbraco. Headless Umbraco ist eine Umbraco-Instanz, die nur aus einem Backoffice besteht und deren Contents mit GraphQL ausgelesen werden können. Das Umbraco HQ bietet eine solche Instanz unter dem Namen "Heartcore" als Service auf Azure an. Aber man kann auch eine normale Umbraco-Instanz mit einer GraphQL-Implementierung ausstatten. Damit sind On-Premise-Installationen möglich.

Die eigentliche Site, die die Contents ausliefert, liest diese Contents und rendert sie als HTML. Dafür stehen verschiedene Technologien zur Verfügung. Gezeigt wurden Variationen mit Next.js, Blazor, .NET Core und dem Static Site Generator Gridsome, der auf vue.js basiert. Damit haben wir jetzt alle Möglichkeiten:

Windows Backoffice + Window Delivery (das war bislang die einzige Möglichkeit)
Windows Backoffice + Unix Delivery
Unix Backoffice + Windows Delivery
Unix Backoffice + Unix Delivery

Dazu kommen noch die Cloud-Varianten. Sowohl das Backoffice als auch die Delivery Sites können wahlweise oder zusammen in der Cloud laufen. Damit können wir uns mit ein- und demselben Toolset an beliebige IT-Landschaften unserer Kunden anpassen.

Sören Deger · 11.06.2021 · Direkter Link

Story Books

Für das neue Backoffice, welches 2022 an den Start gehen soll und auf Webcomponents basieren wird, wird es ein sogenanntes "Story Book" geben. Dieses wird alle Komponenten des Backoffices, wie z.B. Buttons, Überschriften, Listen u.ä. enthalten. Als Entwickler kann man in diesem Story Book die benötigte Komponente suchen, die Parameter anpassen (z.B. den Buttontext) und das vollständige Markup dieser Komponente kopieren um dieses in der eigenen Solution einzubinden.

Durch den Einsatz dieses Story Books wird zum einen der Entwicklungsaufwand reduziert und es wird sichergestellt, dass alle Backoffice-Komponenten auf die gleichen Umbraco-Basisstyles zugreifen und dadurch diese besser updatefähig sind und es bei neueren Version des CMS Umbraco zukünftig weniger Probleme gibt.

Maximilian Vollendorf · 11.06.2021 · Direkter Link

Zum Abschluss noch ein skål

Und ein Supertak nach Odense

Codegarden 2021

Einen Kommentar verfassen