Open Source in Behörden einführen: Fahrplan für den Betrieb

cd /srv/fileserver

# Makrohaltige Dokumente und Access-Datenbanken einsammeln
find . -type f \( -name '*.xlsm' -o -name '*.docm' -o -name '*.accdb' -o -name '*.mdb' \) \
  > /root/inventar-makros.txt
wc -l /root/inventar-makros.txt

# Wie viele davon hat im letzten Jahr überhaupt jemand geöffnet?
find . -name '*.xlsm' -atime -365 | wc -l

Das Alter zählt mehr als die Menge. Eine Tabelle mit Makros, die seit vier Jahren niemand geöffnet hat, ist kein Migrationsaufwand, sondern ein Archivfall. Prüf vorher mit findmnt /srv/fileserver, ob das Dateisystem Zugriffszeiten überhaupt führt: relatime reicht dafür aus, bei noatime ist die Auswertung wertlos.

soffice --headless --convert-to ods --outdir /tmp/konv /srv/stichprobe/*.xlsx
soffice --headless --convert-to odt --outdir /tmp/konv /srv/stichprobe/*.docx

# Die Differenz zeigt nur, was gar nicht konvertiert wurde
ls /srv/stichprobe | wc -l
ls /tmp/konv       | wc -l

Nimm eine echte Stichprobe aus dem laufenden Betrieb, keine Beispieldateien. Die Probleme stecken in Serienbrieffeldern, verknüpften Tabellen, Formularsteuerelementen und Pivot-Auswertungen, nicht im Fließtext. Die Zählung zeigt nur, was technisch scheitert. Belastbar wird die Zahl erst, wenn Leute aus dem Fachbereich die konvertierten Dateien öffnen und markieren, welche Nacharbeit brauchen. Dieser Anteil gehört in die Projektplanung.

sudo realm discover behoerde.local
sudo realm join --user=admin.migration behoerde.local

# RHEL / Rocky / Alma
sudo authselect select sssd with-mkhomedir --force
# Debian / Ubuntu
sudo pam-auth-update --enable mkhomedir

id vorname.nachname
sudo realm permit --groups 'behoerde.local\Abteilung-IT'

realm join schreibt /etc/sssd/sssd.conf und /etc/krb5.conf. Setz in der sssd.conf use_fully_qualified_names = False und fallback_homedir = /home/%u, sonst heißen die Heimatverzeichnisse benutzer@behoerde.local und jedes Skript, das mit Pfaden arbeitet, stolpert über das @-Zeichen. Nach jeder Änderung: sss_cache -E und Dienst neu starten, sonst antwortet der Cache mit alten Daten. Gruppenrichtlinien, sudo-Regeln und die Fehlersuche beim Beitritt behandelt die Seite Linux-Server per SSSD und realmd ans Active Directory binden.

# CIFS per Kerberos, kein Passwort in einer Datei
sudo mount -t cifs //fs01.behoerde.local/abteilung /mnt/abteilung \
  -o sec=krb5,cruid=$(id -u),uid=$(id -u),gid=$(id -g),vers=3.1.1

klist

# Drucker treiberlos über IPP Everywhere
sudo lpadmin -p abt-kopierer -E -v ipp://drucker01.behoerde.local/ipp/print -m everywhere
lpstat -t

-m everywhere nutzt IPP Everywhere und kommt ohne herstellerspezifischen Treiber aus. Deshalb ist die Druckerlandschaft heute selten das Hindernis, das sie vor zehn Jahren war. Prüf trotzdem die Endverarbeitung wie Heften, Lochen und Kostenstellenabrechnung, dort hört die Standardisierung auf und dort sitzt der Ärger.

#cloud-config
autoinstall:
  version: 1
  locale: de_DE.UTF-8
  keyboard:
    layout: de
  identity:
    hostname: vw-client-0001
    username: lokaladmin
    password: "$6$..."        # mit: mkpasswd -m sha-512
  ssh:
    install-server: true
  packages:
    - libreoffice
    - sssd-ad
    - cifs-utils
    - ansible-core
  late-commands:
    - curtin in-target -- systemctl enable ansible-pull.timer   # eigene Unit, siehe unten

In der RHEL-Familie erledigt Kickstart dasselbe. Prüf die Datei vorher mit ksvalidator /srv/tftp/ks/client.ks und übergib sie beim Start als inst.ks=http://install.behoerde.local/ks/client.ks. Beide Wege haben gemeinsam, dass die Installation reproduzierbar ist und keine Handgriffe enthält, die niemand dokumentiert hat.

ansible-pull -U https://git.behoerde.local/it/client-baseline.git \
  -i localhost, local.yml \
  --vault-password-file /etc/ansible/vault-pass

systemctl list-timers ansible-pull.timer
journalctl -u ansible-pull.service -n 30 --no-pager

ansible-pull dreht die Richtung um: Der Client holt sich seinen Sollzustand, statt dass ein zentraler Server ihn erreichen muss. In Verwaltungsnetzen mit vielen segmentierten Standorten ist das oft der einzige Weg, der ohne neue Firewall-Freigaben und ohne Ausnahmegenehmigung auskommt. Die Units ansible-pull.service und ansible-pull.timer liefert kein Paket mit, du legst sie selbst an, am besten in einem eigenen Paket aus dem internen Repository.

<oor:data xmlns:oor="http://openoffice.org/2001/registry">
  <oor:component-data oor:name="Setup" oor:package="org.openoffice">
    <node oor:name="Office">
      <node oor:name="Factories">
        <node oor:name="com.sun.star.text.TextDocument">
          <prop oor:name="ooSetupFactoryDefaultFilter" oor:finalized="true">
            <value>writer8</value>
          </prop>
        </node>
      </node>
    </node>
  </oor:component-data>
</oor:data>

Eine eigene .xcd-Datei neben den mitgelieferten gilt für alle Benutzer des Systems und wird bei Paketupdates nicht angefasst, weil sie zu keinem Paket gehört. Ohne oor:finalized="true" darf jeder die Vorgabe im Dialog wieder umstellen, und die Änderung landet in ~/.config/libreoffice/4/user/registrymodifications.xcu. Genau dort suchst du auch, wenn eine Vorgabe scheinbar nicht greift.

sudo install -d /usr/lib/libreoffice/share/template/common/behoerde
sudo cp briefkopf.ott vermerk.ott \
     /usr/lib/libreoffice/share/template/common/behoerde/

# Greift eine Vorgabe nicht, liegt es fast immer am Benutzerprofil
mv ~/.config/libreoffice/4/user ~/.config/libreoffice/4/user.alt
soffice --headless --terminate_after_init

Das Verschieben des Profils ist der schnellste Test der Frage „liegt es an meiner Vorgabe oder an einer alten Benutzereinstellung“. LibreOffice legt beim nächsten Start ein frisches Profil an, das alte bleibt als Sicherung liegen.

# Debian 13, Ubuntu 24.04 und neuer: FreeRDP 3, Befehl xfreerdp3
sudo apt install -y freerdp3-x11
# RHEL / Rocky / Alma: Befehl heißt xfreerdp
sudo dnf install -y freerdp

xfreerdp3 /v:ts01.behoerde.local /d:behoerde /u:"$USER" /sec:tls \
  /app:program:"C:\\Fachverfahren\\start.exe" \
  /dynamic-resolution /drive:home,"$HOME"

RemoteApp zeigt nur das Fenster der Anwendung, nicht den kompletten Windows-Desktop. Für die Beschäftigten ändert sich damit fast nichts, und du sparst dir eine Portierungsdiskussion, die technisch ohnehin ins Leere läuft. Rechne den Terminalserver aber ehrlich in die Kosten ein, inklusive seiner Lizenzen und seines Betriebs.

# /etc/rsyslog.d/10-zentral.conf
# *.*  @@log01.behoerde.local:514;RSYSLOG_SyslogProtocol23Format

sudo rsyslogd -N1            # Syntaxprüfung, bevor der Dienst neu startet
sudo systemctl restart rsyslog
logger -p local0.info "Testeintrag Migration"

# Auf dem Sammler kontrollieren, ob die Meldung ankam
sudo grep -h "Testeintrag Migration" /var/log/messages /var/log/syslog 2>/dev/null

@@ steht für TCP, ein einzelnes @ für UDP. Bei UDP verlierst du Meldungen genau dann, wenn viel passiert, also im Vorfall. Über Standortgrenzen hinweg nimmst du besser TLS auf Port 6514, das braucht zusätzlich die gtls-Konfiguration in rsyslog. Wie ein zentraler Log-Stack insgesamt aussieht, zeigt Logs zentral sammeln mit rsyslog, Loki und OpenSearch. Leg die Aufbewahrungsfrist gemeinsam mit dem Datenschutz fest und schreib sie auf, bevor der erste produktive Client steht.