Ubuntu mit Gruppenrichtlinien verwalten

Fr 20. Mai 2022, Lioh Möller

Windows Server Administratoren sind sie bekannt: die Gruppenrichtlinien. Mit der nun vorliegenden Entwicklung namens adsys aus dem Hause Canonical ist es erstmalig möglich auch Ubuntu Clients über GPOs (Group Policy Objects) zu verwalten.

Dazu jedoch ist einiges an Vorbereitung nötig. Zunächst müssen die sogenannten Administrative Templates in das Active Directory integriert werden. Diese sind im Git-Repository des Projektes zu finden.

Der geneigte Administrator muss sich entscheiden, ob nur LTS-Versionen unterstützt werden sollen, oder auch non-LTS Veröffentlichungen. In folgendem Beispiel gehen wir von der Verwendung von Ubuntu in der LTS Variante aus.

Die Vorlagen bestehen aus zwei XML-Dateien. Bei Ubuntu.admx handelt es sich um die eigentliche Vorlage und bei Ubuntu.adml um die englischsprachigen Übersetzungen. Weitere Sprachen werden aktuell nicht angeboten.

Im AD wird die admx Datei in folgendem Ordner hinterlegt: \\meinedomain.tld\SYSVOL\meinedomain.tld\Policies\PolicyDefinitions. Die Sprachdatei muss sich in dem Ordner \\meinedomain.tld\SYSVOL\meinedomain.tld\Policies\PolicyDefinitions\en-US befinden.

Nach dem Erstellen einer Group Policy auf der gewünschten OU, sind die neuen Einstellungen in den Bereichen Computer Configuration und User Configuration sichtbar. Gruppenrichtlinien für Computerobjekte werden auf einer OU erstellt, welche die zuvor angebundenen Ubuntu Clients enthält. Benutzerspezifische Richtlinien können auf OUs, welche Benutzerobjekte enthalten, hinterlegt werden.

Auf dem Ubuntu Client wird die Anwendung adsys benötigt, welche mit folgendem Befehl installiert werden kann:

sudo apt install adsys

Der Computer muss darüber hinaus mittels sssd an das Active Directory gebunden worden sein.

Sofern eine Policy, wie beispielsweise ein vordefiniertes Hintergrundbild greift, wird diese automatisch während des Logins appliziert. Auch Scripte lassen sich auf diese Weise ausführen.

Der Aufbau der Gruppenrichtlinien ähnelt dabei den von Windows her bekannten Objekten.

Not Configured nimmt keine Anpassung vor, Enabled aktiviert die Einstellung mit den gewünschten Werten und Disabled verbietet eine manuelle Änderung der Option durch den Benutzer direkt auf dem Client.

Quelle: https://github.com/ubuntu/adsys