Linux-Desktops lassen sich mit dem quelloffenen Werkzeug Bor zentral per Richtlinie steuern, ohne Skripte und ohne Active Directory. Ein Dienst auf jedem Rechner stellt geänderte Konfigurationsdateien wieder her und meldet die Abweichung an den Server. Genau diese Schicht fehlte Verwaltungen wie Schleswig-Holstein bisher.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Auf dem Linux-Desktop fehlt bis heute das Gegenstück zur Windows-Gruppenrichtlinie, mit der Administratoren tausende Arbeitsplätze aus einer Konsole konfigurieren. Das Projekt Bor schließt diese Lücke für Firefox, Chrome und den KDE-Plasma-Desktop.[1] Für Behörden im Umstieg liegt darin der Unterschied zwischen Pilotprojekt und Rollout.
Das Wichtigste in Kürze
- Ein zentraler Server verteilt Konfigurationsrichtlinien über einen verschlüsselten gRPC-Datenstrom an angemeldete Linux-Rechner.
- Verwaltet werden bisher drei Ziele: Firefox ESR, Chrome samt Chromium und der KDE-Plasma-Desktop, jeweils auch als Flatpak.
- Ein Dateiwächter erkennt Änderungen an verwalteten Dateien und stellt den Sollzustand wieder her.
- Der IT-Grundschutz des BSI verlangt in SYS.2.1.A44 ein Managementsystem für alle Client-Einstellungen.
Was verteilt Bor an die Arbeitsplätze?
Bor besteht aus einem Server mit Weboberfläche und einem schlanken Go-Dienst auf jedem Rechner. Der Server hält die Richtlinien in einer PostgreSQL-Datenbank, der Dienst holt sie über einen dauerhaft offenen gRPC-Datenstrom ab und schreibt sie in die Systemverzeichnisse.
Ein neuer Rechner meldet sich mit einem Einmal-Token aus der Oberfläche an, danach weist sich jeder Agent mit einem eigenen Zertifikat aus.[1] Die Zertifikate laufen nach 90 Tagen ab und erneuern sich selbst. Rollen, Rechte und ein Prüfprotokoll gehören zum Lieferumfang, ebenso die Anbindung an LDAP oder Active Directory. Für privilegierte Zugriffe auf Server bleibt JumpServer die quelloffene Antwort, Bor kümmert sich um den Arbeitsplatz.
Warum fehlt Linux diese Verwaltungsschicht?
Zentrale Konfiguration kennt Linux durchaus, aber verteilt über dconf-Sperren, KDE-Kiosk-Marker und wurzelgeschützte Dateien unter /etc. Ein gemeinsames Verteilsystem darüber fehlte, und die üblichen Ersatzwerkzeuge stammen aus der Serverwelt.
Ansible und Puppet verteilen ausführbaren Code und setzen Skriptkenntnis voraus. Beide stammen aus der Serververwaltung. Bor verteilt stattdessen nur Konfigurationsdateien, stellt sie nach jeder Manipulation wieder her und protokolliert jede Änderung mitsamt Nutzer und Zeitstempel. Der Bedarf wächst mit jedem Umstieg: Frankreich tauscht in seiner Verwaltung Windows gegen Linux, und auch außerhalb Europas entstehen Rechner ohne Windows und ohne Intel.
Ohne eine zentrale Verwaltungsschicht bleibt jede Linux-Migration ein Pilotprojekt. Bor schließt die Lücke ausgerechnet dort, wo Schleswig-Holstein nach dem Office-Tausch als Nächstes ansetzt.
— Markus Seyfferth, Chefredakteur Dr. Web
Das leistet Bor heute
- Richtlinien in Echtzeit über gRPC verteilen
- Verwaltete Dateien nach Manipulation wiederherstellen
- Rollen, Rechte und Prüfprotokoll in der Weboberfläche
- Anmeldung per Einmal-Token, Authentisierung per mTLS
- Pakete für Debian, RPM, Alpine und Arch Linux
Auf der Roadmap
- systemd-Einheiten steuern
- Paketverwaltung einbinden
- Netzwerkregeln und FirewallD-Zonen setzen
- XDG-Desktop-Portale verwalten
Gruppenrichtlinien und Intune verteilen Client-Einstellungen seit Jahrzehnten aus einer Konsole.
dconf-Sperren, KDE-Kiosk-Marker und Dateien unter /etc, verteilt per Ansible oder Puppet.
SYS.2.1.A44 verlangt ein Managementsystem für alle Client-Einstellungen und zentrale Verteilung.
Was heißt das für Verwaltungen im DACH-Raum?
Der IT-Grundschutz des BSI verlangt im Baustein SYS.2.1, Anforderung A44, alle Client-Einstellungen über ein Managementsystem zu verwalten und Konfigurationsänderungen zentral zu verteilen.[2] Für Windows erledigen das Gruppenrichtlinien und Intune, für Linux fehlte bisher eine schlanke Antwort.
Schleswig-Holstein hat fast 80 Prozent seiner rund 30.000 Arbeitsplätze auf LibreOffice umgestellt, die Steuerverwaltung ausgenommen. Über 15 Millionen Euro gesparten Lizenzkosten stehen 9 Millionen Euro einmalige Migrationskosten im Jahr 2026 gegenüber.[3] Der Wechsel des Betriebssystems folgt danach, und parallel bauen SAP und Telekom die Bundes-Cloud, während Cancom Behörden-Arbeitsplätze am Fließband bestückt.
Legen Sie vor einem Linux-Pilotprojekt fest, welche Einstellungen Sie technisch erzwingen müssen und welche der Nutzer selbst ändern darf. Prüfen Sie danach an einem absichtlich manipulierten Client, ob der Agent den Sollzustand wirklich zurückschreibt. Bor steht unter der LGPL v3 und läuft als Server-Container unter Podman oder Docker.
Quellen
[1] VuteTech: „Bor — Enterprise Linux Desktop Policy Management“
[2] BSI: IT-Grundschutz-Kompendium, Baustein SYS.2.1 „Allgemeiner Client“
[3] Landesregierung Schleswig-Holstein: „LibreOffice ersetzt Microsoft: Schon fast 80 Prozent der Arbeitsplätze auf quelloffene Office-Lösung umgestellt“
Mehr Newshunger?
- Frankreich tauscht Windows gegen Linux
- Huaweis erster HarmonyOS-Desktop: der PC ohne Windows und ohne Intel
- Service Factory Nord: Wie Cancom 100.000 Behörden-Arbeitsplätze am Fließband bestückt
- Zscaler auf STACKIT: Souveräne Cloud-Sicherheit beginnt am Entschlüsselungspunkt
- Linux auf älterer Hardware: der komplette Leitfaden zur Wiederbelebung
