Linux im Unternehmen einführen: dein Fahrplan vom Pilot zum Regelbetrieb

# Welche Bauteile stecken drin, und lädt ein Treiber?
lspci -k | grep -A3 -E 'Network|VGA|Audio'
lsusb

# Firmware-Aktualisierungen über LVFS, bei Notebooks entscheidend
fwupdmgr refresh
fwupdmgr get-devices
fwupdmgr get-updates

# Drucken ohne Herstellertreiber?
driverless
lpinfo -m | grep -i everywhere

# Ruhezustand und Aufwachen, der häufigste Rückläufer
systemctl suspend
journalctl -b -g 'PM:' --no-pager | tail -20

# RHEL, Rocky, AlmaLinux
sudo dnf install -y realmd sssd adcli oddjob oddjob-mkhomedir \
  samba-common-tools

# Debian, Ubuntu
sudo apt install -y realmd sssd sssd-tools adcli oddjob oddjob-mkhomedir \
  samba-common-bin packagekit

realm discover ad.firma.de
sudo realm join --user=beitritt ad.firma.de

# Gegenprobe
realm list
id anna@ad.firma.de

[sssd]
domains = ad.firma.de
services = nss, pam

[domain/ad.firma.de]
id_provider = ad
access_provider = ad
ad_gpo_access_control = enforcing
use_fully_qualified_names = False
fallback_homedir = /home/%u
default_shell = /bin/bash
cache_credentials = True
krb5_store_password_if_available = True

# RHEL, Rocky, AlmaLinux: Kickstart vom Webserver, Bootparameter im Installer
#   inst.ks=https://provision.firma.de/ks/arbeitsplatz.cfg

# Vorlage aus einer bereits installierten Maschine ziehen
sudo cat /root/anaconda-ks.cfg

# Kickstart-Datei vor dem Ausrollen prüfen
sudo dnf install -y pykickstart
ksvalidator /srv/www/ks/arbeitsplatz.cfg

# Ubuntu: autoinstall über cloud-init, Bootparameter
#   autoinstall ds=nocloud-net;s=https://provision.firma.de/ubuntu/
cloud-init schema --config-file user-data

- name: Arbeitsplatz herrichten
  hosts: linux_clients
  become: true
  tasks:
    - name: Basispakete
      ansible.builtin.package:
        name: [firefox, libreoffice, remmina]
        state: present

    - name: Unternehmenszertifikat verteilen
      ansible.builtin.copy:
        src: files/firma-ca.crt
        dest: "{{ '/etc/pki/ca-trust/source/anchors/firma-ca.crt'
                  if ansible_facts['os_family'] == 'RedHat'
                  else '/usr/local/share/ca-certificates/firma-ca.crt' }}"
        mode: '0644'
      notify: ca aktualisieren

  handlers:
    - name: ca aktualisieren
      ansible.builtin.command: >-
        {{ 'update-ca-trust' if ansible_facts['os_family'] == 'RedHat'
           else 'update-ca-certificates' }}

# RHEL, Rocky, AlmaLinux
sudo dnf install -y dnf-automatic
sudo sed -i 's/^apply_updates =.*/apply_updates = yes/' /etc/dnf/automatic.conf
sudo systemctl enable --now dnf-automatic.timer

# Debian, Ubuntu
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

# Ist ein Neustart fällig?
needs-restarting -r                                        # EL-Familie
test -f /var/run/reboot-required && echo 'Neustart fällig' # Debian, Ubuntu

sudo dnf install -y openscap-scanner scap-security-guide

# Welche Profile bringt die Distribution mit?
oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

# Bewerten, Bericht schreiben
sudo oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
  --results /var/log/oscap-$(date +%F).xml \
  --report  /var/log/oscap-$(date +%F).html \
  /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml