Cockpit zur Administration von Linux-Servern - Linux im Unternehmen

Cockpit zur Administration, für wen ist das wichtig?

Die Command-Line von Linux ist gerade für Einsteiger oder Windows Umsteiger eine extreme Belastung. Wie finde ich die richtigen Commands, welche Dateien sind für welche Anwendungen und was muss bei Änderungen dann noch gemacht werden?

Für Einsteiger ist das sehr häufig der Anfang vom Ende, das System läuft nicht so richtig, Fehler werden nicht gefunden und der Frust ist groß. Mit Cockpit kann sich gerade der Einsteiger die Arbeit sehr einfach machen. Alle grundsätzlichen Funktionen sind zu finden, das Grundsystem ist sehr schnell und einfach in den Griff zu bekommen.
Mit der Zeit kann man sich dann auch in die Commandline einarbeiten und der Einstieg ist damit gesichert.

Installation und Grundlagen von Cockpit

Linux im Unternehmen - Cockpit für die Administration in Linux

Im Video angesprochene Befehle als Copy & Paste:

su -

apt update
apt install cockpit

vi /etc/group
hinter die Zeile mit sudo A 

:wq

exit

Unterschied zwischen sudoers und der sudo Gruppe

Der grundlegende Unterschied zwischen der sudo-Gruppe und der sudoers-Datei liegt in der Art der Rechteverwaltung (pauschal vs. granulare Kontrolle). Während die Gruppe eine einfache Methode ist, um eine Gruppe von Benutzern mit vollen Administratorrechten auszustatten, dient die sudoers-Datei zur detaillierten Konfiguration, wer welche Befehle ausführen darf.

Und deswegen haben wir in diesem Beispiel auch die Gruppe gewählt, da unser User ja quasi alle Berechtigungen braucht, die für das System denkbar sind. Man könnte jetzt natürlich jeden Befehl analysieren, der durch Cockpit ausgeführt wird und diesen dann in der sudoers-Datei genau eintragen. Aber dann ist Cockpit nicht mehr für den Einsteiger geeignet.

Sicherheit

Cockpit stellt die Webseite unter dem Port 9090 zur Verfügung. Der Zugriff ist auch verschlüsselt, soweit so gut. Wenn aber der Server im Internet steht und jeder Zugriff auf diesen Port 9090 mit Cockpit hat, dann wird es nicht gut ausgehen. Klar ein komplexes Passwort und 2FA sichert es schon deutlich weiter ab. Aber immer noch kann jeder auf den Port zugreifen.

Deswegen sollte die Firewall auf dem Server so konfiguriert werden, so das nur wenige IP-Adressen Zugriff auf diesen Port haben. Besser noch ist kein Zugriff auf diesen Port aus dem Internet, nur über einen VPN-Zugang zum internen Netz beim Provider. Aber das wird nur bei größeren Umgebungen möglich sein. Der einzelne Server ist mit restriktiven Firewalleinstellungen schon recht gut geschützt.

Eine Konfiguration für ufw könnte so aussehen:
ufw allow from 192.168.1.10 to any port 9090

Hierbei muss die 192.168.1.10 von der externen Router-Adresse im Büro ersetzt werden. So sollte dann auch ssh abgesichert werden, dann mit Port 22.