Как развернуть пользовательские обои и политики на всех клиентах Pardus.

Централизованная установка обоев состоит из двух частей: копирование изображения в место, доступное для чтения всем клиентам, а затем настройка рабочего стола для его использования. Если пользователям не требуется замена изображения, блокируются только соответствующие настройки рабочего стола. Для Pardus Liderahenk обеспечивает централизованное управление через сервер Lider, консоль Lider и агенты Ahenk на управляемых системах. В числе документированных задач — запуск скриптов и передача файлов; политики объединяют профили и назначаются группам пользователей.

Иллюстративный сценарий: представьте себе гипотетический школьный округ с 30 рабочими станциями Pardus. ИТ-отдел хочет, чтобы на клиентских компьютерах Pardus GNOME использовались одни и те же утвержденные обои для рабочего стола, а также чтобы были заданы определенные правила для браузеров и сессий. Этот пример объясняет рабочий процесс; это не отчет о реальном развертывании или тестировании. В шагах используется общесистемный механизм dconf GNOME. Pardus также предлагает XFCE, для которого требуется отдельная настройка обоев.

В примечаниях к выпуску Pardus 25 описаны версии GNOME и XFCE (GNOME 48.4 и XFCE 4.20.2 в этих примечаниях). Точные названия консолей Liderahenk могут различаться в зависимости от версии, поэтому приведенные ниже названия относятся к функциональным областям, а не гарантируют идентичность экранов. В официальной документации Liderahenk описана модель задач, профилей и политик, а также роль клиента Ahenk.

1. Составьте список клиентов и выберите подходящий объем работ.

Разделите компьютеры с GNOME и XFCE в округе. Ключ dconf для GNOME не установит обои для XFCE. Запишите имя хоста каждого пилотного компьютера, версию Pardus, среду рабочего стола, подключение к Ahenk и группу вошедших в систему пользователей. В сеансе GNOME проверьте:

printf '%s\n' "$XDG_CURRENT_DESKTOP"
gsettings list-keys org.gnome.desktop.background

Если клиент не использует GNOME, исключите его из этого профиля и создайте отдельный рабочий процесс XFCE. Проверьте, заданы ли параметры сессии DCONF_PROFILE; пользовательский профиль может не считывать значение по умолчанию /etc/dconf/profile/user.

Для гипотетического района создайте или подтвердите небольшую пилотную группу, содержащую репрезентативные рабочие станции GNOME. Не стоит сразу же настраивать систему под каждого зарегистрированного клиента. Пилотный проект может выявить проблемы с масштабированием изображений, отсутствующие зависимости или ошибки в масштабе группы еще до того, как будут изменены настройки всех рабочих столов.

2. Подготовьте и проверьте файл с обоями.

Выберите изображение с достаточным разрешением для целевых дисплеев, сохраните стабильное имя файла и разместите его во внутреннем HTTPS-каталоге, доступном для клиентов. Запишите ожидаемый дайджест SHA-256 из утвержденного исходного файла. Изображение должно быть доступно для чтения пользователями настольных компьютеров, но для записи — только администраторам. Указание системного пути, например, /usr/local/share/backgrounds/позволяет избежать зависимости от домашнего каталога конкретного пользователя.

В документации Liderahenk для Ahenk передача файлов указана как функция задачи. Используйте её для пилотной группы, если установленная вами версия поддерживает необходимое место назначения и права доступа. В качестве альтернативы, используйте доверенный скрипт Bash для получения образа с внутреннего HTTPS-сервера. В любом случае, проверьте полученный файл перед применением настроек. Не добавляйте пароли, долгосрочные токены или закрытые ключи в скрипт политики.

Это основная часть этапа загрузки и проверки. Замените пример URL-адреса и дайджеста значениями из вашего утвержденного конвейера обработки ресурсов:

set -euo pipefail
WALLPAPER_URL='https://assets.example.org/pardus/company-wallpaper.jpg'
EXPECTED_SHA256='replace-with-the-approved-64-character-sha256-digest'
DEST='/usr/local/share/backgrounds/company-wallpaper.jpg'
TMP="$(mktemp)"
trap 'rm -f "$TMP"' EXIT
curl --fail --silent --show-error --location --output "$TMP" "$WALLPAPER_URL"
echo "$EXPECTED_SHA256  $TMP" | sha256sum --check --status
install -D -o root -g root -m 0644 "$TMP" "$DEST"

В примере со школьным округом пилотный скрипт должен останавливаться, если загрузка или проверка контрольной суммы не удается. Это предотвратит использование клиентами усеченного или неутвержденного файла. Если вместо этого используется передача файлов Liderahenk, сравните контрольную сумму установленного файла на пилотном клиенте с контрольной суммой исходного файла.

3. Установите фоновое изображение GNOME и решите, следует ли его заблокировать.

GNOME документирует общесистемный фон через userпрофиль dconf и локальную системную базу данных. Приведенная ниже конфигурация устанавливает обои и использует масштабирование в качестве стиля отображения. Создавайте профиль только в том случае, если он не существует; если он уже существует, сохраните остальные строки из его базы данных.

sudo install -d -m 0755 /etc/dconf/profile /etc/dconf/db/local.d

if [ ! -f /etc/dconf/profile/user ]; then
  printf 'user-db:user\nsystem-db:local\n' | sudo tee /etc/dconf/profile/user >/dev/null
elif ! grep -Fxq 'system-db:local' /etc/dconf/profile/user; then
  printf '\nsystem-db:local\n' | sudo tee -a /etc/dconf/profile/user >/dev/null
fi

sudo tee /etc/dconf/db/local.d/00-company-wallpaper >/dev/null <<'EOF'
[org/gnome/desktop/background]
picture-uri='file:///usr/local/share/backgrounds/company-wallpaper.jpg'
picture-options='zoom'
EOF
sudo dconf update

Если установленная схема GNOME поддерживает эту опцию picture-uri-dark, и вы хотите использовать один и тот же образ в светлом и темном режимах, добавьте этот ключ в файл ключей после подтверждения с помощью команды `pip install gsettings list-keys org.gnome.desktop.backgroundpardus`. Не следует предполагать, что все настройки присутствуют во всех образах Pardus.

По умолчанию пользователи могут переопределять многие системные параметры своими собственными значениями dconf. Если требуется только предоставить рекомендуемые обои, остановитесь перед этапом блокировки; пользователи сохраняют возможность персонализировать их. Если политика требует фиксированного фона, создайте файл блокировки с одним путем к настройкам на каждой строке:

sudo install -d -m 0755 /etc/dconf/db/local.d/locks
sudo tee /etc/dconf/db/local.d/locks/00-company-wallpaper >/dev/null <<'EOF'
/org/gnome/desktop/background/picture-uri
/org/gnome/desktop/background/picture-options
EOF
sudo dconf update

Добавляйте ключ /org/gnome/desktop/background/picture-uri-darkв файл блокировки только в том случае, если вы также настроили и проверили этот ключ. Блокировка — это компромисс в плане удобства использования: пользователи больше не смогут изменять выбранные настройки с помощью обычных элементов управления GNOME. Лучше ограничить список заблокированных параметров, чем блокировать несвязанные с ними настройки. В руководстве администратора GNOME объясняется поведение профиля, файла ключа, обновления базы данных и блокировки.

4. Передайте конфигурацию через Liderahenk.

Оформите повторяющиеся шаги в виде скрипта Bash, поддерживаемого администратором, и используйте описанную в документации Lider Console задачу или профиль скрипта для клиентов Ahenk. В первую очередь нацельтесь на пилотную группу клиентов. В документации Liderahenk задачи описываются как немедленная или запланированная работа для клиентов с Ahenk, профили — как единицы конфигурации, объединенные в политики, а политики — как параметры, назначаемые группам пользователей и получаемые при входе в систему.

В случае гипотетического района, развертывание обоев следует разделять от других настроек, чтобы ошибка в скрипте изображения не осложняла диагностику правил браузера или сессии. Используйте встроенный профиль для поддерживаемой политики, например, для конфигурации браузера, доступа к USB или управления сессиями, если он соответствует требованиям. Используйте пользовательские скрипты только в том случае, если подходящего профиля не существует и поведение было протестировано на том же рабочем столе и версии Pardus.

Для настройки dconf на уровне всей машины тщательно выбирайте между задачей для группы клиентов и политикой для группы пользователей. Одноразовая задача полезна для распространения и применения файлов к известным клиентам. Политика для группы пользователей может привести к повторной настройке при входе в систему, но она затрагивает каждого соответствующего пользователя и может выполняться на другом этапе жизненного цикла сессии, чем ожидалось. Перед тем как связывать Liderahenk с широкой группой, проверьте контекст выполнения в вашей версии. Ahenk — это привилегированный агент управления, поэтому редактировать скрипты или членство в политике должны только доверенные администраторы.

5. Проверьте пилотный проект, затем расширьте его.

После того, как задача или политика будут успешно завершены, выйдите из GNOME и войдите снова; GNOME сообщает, что для вступления в силу общесистемных изменений профиля пользователям потребуется новый вход в систему. Убедитесь, что образ существует по ожидаемому пути, доступен для чтения пользователем и соответствует утвержденной контрольной сумме. Проверьте активное значение на тестовом клиенте:

gsettings get org.gnome.desktop.background picture-uri
gsettings get org.gnome.desktop.background picture-options
dconf read /org/gnome/desktop/background/picture-uri

Также убедитесь, что пользователи не смогут изменить обои, если вы их заблокировали. Просмотрите результаты выполнения задачи или политики Ahenk в консоли Lider и визуально проверьте рабочий стол. В примере со школьным округом протестируйте каждый размер экрана или макет, представленный в пилотном проекте; масштабирование обрезает края, а другие параметры изображения позволяют растягивать или обрезать изображение по краям.

Расширяйте целевую группу только после того, как пилот подтвердит образ, область действия политики и путь отката. Сохраните предыдущие обои и копию существующего профиля dconf или управляемых файлов ключей. Для отката удалите только управляемый организацией файл ключа и файл блокировки, восстановите предыдущее состояние профиля, если оно было добавлено в вашу систему развертывания, запустите команду dconf updateи попросите пользователей снова войти в систему. Не удаляйте несвязанные конфигурации dconf, принадлежащие операционной системе или другому администратору.

Что не охватывает этот метод

Этот алгоритм управляет настройками обоев рабочего стола GNOME. Он не устанавливает автоматически фон экрана входа в систему, которым GNOME управляет через отдельный профиль GDM dconf. Он также не настраивает клиенты XFCE. В любом случае, создайте и протестируйте отдельный профиль, используя соответствующую документацию по рабочему столу.

Liderahenk обеспечивает централизованное управление клиентами и пользователями, но точный набор плагинов и шаги в консоли зависят от установленной версии. Подтвердите функции скриптов, передачи файлов и политик в документации, соответствующей вашему серверу и версиям Ahenk. Текущий индекс документации содержит краткое описание задач, профилей, политик и отчетов; более подробные страницы со скриптами зависят от версии. В примечаниях к выпуску Pardus GNOME и XFCE указаны как отдельные варианты рабочего стола, поэтому перед тем, как нацеливаться на группы, проведите инвентаризацию клиентов.

Официальные ссылки

• Pardus: централизованная система управления Liderahenk
• Указатель документации Liderahenk: задачи, профили, политики и отчеты.
• Документация по задаче скрипта Liderahenk
• GNOME: Установить пользовательский фон
• GNOME: Заблокировать определенные настройки
• GNOME: профили dconf
• Примечания к выпуску Pardus 25.1