Linux-Agent installieren

Unter Linux gibt es kein Installationsprogramm zum Herunterladen und keinen Build, auf den Sie warten müssten. Die Konsole gibt Ihnen eine Befehlszeile, Sie fügen sie auf dem Server ein, und das war es.

Dieser Leitfaden deckt die Installation, die Überprüfung und die Diagnose ab und vor allem, was der Linux-Agent im Vergleich zu dem für Windows leistet und was nicht. Genau das bestimmt, was Sie einem Kunden mit Linux-Servern versprechen können.

Was ihn vom Windows-Agent unterscheidet

Wenn Sie vom Installieren des Windows-Agents kommen, ändert sich Folgendes:

Den Befehl holen

Gehen Sie zu Kunden, öffnen Sie den Kunden, Registerkarte Geräte, Bereich Installer, Schaltfläche + Installer erstellen. Sie benötigen die Berechtigung Geräte verwalten.

Im Dialog die Registerkarte Linux. Diese Registerkarte hat keine Felder zum Ausfüllen: Sie zeigt den Befehl und sonst nichts. Schaltfläche Befehl kopieren.

Der Befehl sieht so aus:

curl -fsSL https://app.kairoslink.io/install/TOKEN | sudo bash

Der Token steht in der URL, nicht in einer Datei. Er trägt die Registrierungsdaten dieses Kunden, dieselben, die auch das MSI für Windows mitbringt. Behandeln Sie ihn wie ein Passwort: Wer ihn besitzt, kann diesem Kunden Geräte hinzufügen.

Der Befehl läuft nicht ab. Anders als das MSI, das nach 7 Tagen stirbt, funktioniert diese Zeile, solange die Zugangsdaten des Kunden aktiv bleiben. Sie können sie in Ihrer internen Dokumentation aufbewahren und wiederverwenden.

Voraussetzungen

Es sind vier, und das Skript prüft sie in dieser Reihenfolge:

1. Root. Nicht verhandelbar: Das sudo im Befehl steht nicht ohne Grund da.
2. systemd. Das ist die zwingende Voraussetzung. Ohne systemd lässt sich der Agent nicht installieren.
3. Architektur x86_64. Einen Agent für ARM gibt es nicht. Wenn Sie ARM-Server verwalten, sind sie heute nicht abgedeckt.
4. Eine erkannte Distribution. Die wichtigsten Familien sind geprüft: Debian und Ableger, Red Hat und Ableger, SUSE.

Steht Ihre Distribution nicht auf der Liste, erfüllt aber die anderen drei Voraussetzungen, lässt sich die Installation mit --forzar-distro erzwingen. Das funktioniert, liegt aber außerhalb dessen, was geprüft wurde.

Ausgehendes Internet über 443 zur Konsole. Wie unter Windows baut der Agent jede Verbindung ausgehend auf: Es sind weder eine öffentliche IP noch eingehende Ports nötig.

Die Binärdatei ist statisch gelinkt (musl): Sie hängt nicht von der glibc der Distribution ab, es gibt also keine Abhängigkeiten zu installieren und keine Versionskonflikte. Veröffentlicht wird sie über GitHub Releases, aber der Rechner muss GitHub nicht erreichen: Die Konsole leitet die Dateien des Agents weiter, der Download kommt also immer von der KairosLink-Domain, genau wie unter Windows und macOS.

Wenn der Server über einen Proxy geht

Es gibt eine Falle, die Sie kennen sollten: Das erste curl läuft unter Ihrem Benutzer, die Downloads innerhalb des Skripts laufen aber unter sudo, und das löscht die Umgebungsvariablen.

Braucht der Server einen Proxy, verwenden Sie sudo -E, damit die Variablen erhalten bleiben.

Installieren

Sie fügen den Befehl in das Terminal des Servers ein und er läuft von selbst. Das Skript prüft die Voraussetzungen, lädt die Dateien herunter, prüft ihre Integrität, schreibt die Konfiguration, installiert den Dienst und startet ihn.

Eine gelungene Installation endet so:

[  OK  ] El servicio io.kairoslink.agent.service esta ACTIVO
[ INFO ] El equipo deberia aparecer en el panel en menos de un minuto.
[ INFO ] Fingerprint de este equipo: ...

Bewahren Sie diesen Fingerprint auf. Es ist derselbe Wert, den die Konsole festhält, und damit der direkteste Weg, einen physischen Server seiner Zeile in der Geräteliste zuzuordnen.

Kommt der Dienst nicht hoch, gibt das Skript den Status und 40 Zeilen Protokoll aus und bricht mit einem Fehler ab.

Nützliche Optionen

Das Installationsprogramm nimmt Parameter entgegen. Die gebräuchlichsten:

Ohne Internetzugang installieren

Erreicht der Server die Konsole nicht, hat der Dialog ein Menü Dateien des Agents mit direkten URLs.

Laden Sie die vier Dateien herunter, legen Sie sie alle in denselben Ordner auf dem Server und führen Sie aus:

chmod +x install.sh
sudo ./install.sh --token TOKEN --local

Das chmod ist nötig, weil ein Download über HTTP das Ausführungsbit nicht erhält.

Massenweise Installation

Die Konsole hat kein Werkzeug für die Massenverteilung unter Linux. Es gibt keine Entsprechung zur GPO-Bereitstellung unter Windows.

Die Zeile curl | sudo bash eignet sich bestens für Ansible, cloud-init oder eine Schleife über SSH, aber das bauen Sie selbst mit Ihren eigenen Werkzeugen, und die Konsole führt über die Kampagne kein Protokoll.

Was installiert wird

Der Dienst heißt io.kairoslink.agent und startet mit dem Rechner.

Die Pfade sind nicht konfigurierbar: Sie sind in die Binärdatei einkompiliert.

Ein Sicherheitsdetail, das zählt: agent.conf enthält den Registrierungs-Token des Kunden im Klartext, geschützt durch die Berechtigungen 0600. Ein Backup des /etc dieses Servers trägt die Zugangsdaten des gesamten Kunden mit sich. Behalten Sie das im Hinterkopf, wenn Sie Ihre Backups planen.

Überprüfen

Auf dem Server:

systemctl is-active io.kairoslink.agent
journalctl -u io.kairoslink.agent -f

In der Konsole die Ansicht Geräte. Wie unter Windows bestätigt nicht die bloße Zeile in der Liste, dass er lebt, sondern die Spalte Zuletzt gesehen.

Was er leistet und was nicht

Das ist es, was bestimmt, was Sie einem Kunden mit Linux-Servern verkaufen können.

Was funktioniert

• Monitoring der Ressourcen und Warnungen, mit der Datenträgerbelegung pro Dateisystem
• Patchen mit apt und dnf: ausgewählte, alle oder nur Sicherheitsupdates, mit Fortschritt in Echtzeit, Verlauf und geplantem Neustart
• Die Steuerung der automatischen Updates der Distribution, pro Kunde einstellbar unter Kunden, Geräte, Bereich Patch-Steuerung des Betriebssystems. Diese Einstellung gibt es nur für Linux: Unter Windows übernimmt Windows Update das Patchen
• Eine Befehlskonsole für Bash, mit KI-Unterstützung, die in Bash arbeitet und PowerShell ablehnt
• Dienste als systemd-Units, Prozesse, Aufgaben aus cron und Timer, Anwendungen und der Dateiexplorer

Was fehlt

• Die Fernwartung. Für Linux gibt es keinen Remote-Desktop. Unter Windows und unter macOS gibt es ihn
• Das Update aus der Konsole. Der Linux-Agent wird aktualisiert, indem Sie den Installationsbefehl erneut ausführen, nicht über die Ansicht Agents
• Die Massenverteilung aus der Konsole
• Ein natives Paket. Es gibt kein .deb, kein .rpm und kein Repository: Der Agent erscheint nicht im Paketmanager
• ARM

Registerkarten, die auf einem Linux-Gerät nicht erscheinen

Sechs Registerkarten bleiben ausgeblendet, weil es keine ehrliche Entsprechung gibt:

Eine Falle, die Sie kennen sollten

Der Linux-Agent läuft in einer gehärteten systemd-Umgebung, und alles, was er ausführt, erbt das. Unter anderem sieht er /usr als schreibgeschützt.

Praktische Folge: Ein Befehl, der Pakete installiert und aus der Konsole gestartet wird, kann an einer Fehlermeldung über ein schreibgeschütztes Dateisystem scheitern, in der systemd nirgends vorkommt. Dasselbe gilt für Befehle, die in das Home-Verzeichnis eines Benutzers schreiben müssen.

Das Patch-Management installiert sehr wohl Pakete und es funktioniert: Das ist anders gelöst. Scheitern kann ein von Hand abgesetzter Befehl, der in diese Pfade schreibt.

Wenn Sie von Windows kommen, ist das die größte Überraschung: Befehle, die aus Gründen scheitern, die nicht im Befehl stehen.

Wenn er nicht auftaucht

Der Befehl hat einen Fehler zurückgegeben und nichts installiert. Das Skript ist deutlich: Es sagt Ihnen, ob root fehlt, ob systemd fehlt, ob die Architektur nicht x86_64 ist oder ob die Distribution nicht auf der Liste steht. Lesen Sie die Meldung.

Das Installationsprogramm meldet OK, der Dienst ist aktiv und das Gerät erscheint nicht. Prüfen Sie das Protokoll mit journalctl -u io.kairoslink.agent -f. Die Ursachen sind dieselben wie unter Windows: gewechselter Token, gelöschter Kunde, erreichte Obergrenze des Plans oder ein Server ohne Weg zur Konsole über 443.

Das Gerät erscheint, aber die Konsole behandelt es eigenartig. Prüfen Sie, ob auf seinem Datensatz das Betriebssystem korrekt erkannt wurde.

Erneut installieren

Eine erneute Installation über eine vorhandene Installation erzeugt keinen Doppeleintrag: Das Gerät wird an seinem Hardware-Fingerprint erkannt, und /var/lib/kairoslink bewahrt zusätzlich seine Identität.

Das Skript sagt Ihnen, wenn es eine erneute Installation erkennt.

Um den Agent zu aktualisieren, führen Sie denselben Installationsbefehl erneut aus. Verwenden Sie nicht die Registerkarte Agents des Kunden: Dieser Bildschirm arbeitet mit dem Installationsprogramm für Windows.

Deinstallieren

Auf dem Server:

sudo /usr/local/bin/kairoslink-agent-uninstall.sh

Wenn Sie die Identität des Rechners behalten wollen, damit eine spätere erneute Installation nicht als neues Gerät auftaucht, gibt es die Option --conservar-estado.

Auf der Seite der Konsole verhält sich das Gerät wie unter Windows: Schafft es der Agent, sich zu melden, verschwindet es aus der Liste; wenn nicht, bleibt es Offline und Sie nehmen es mit Aus der Liste entfernen heraus.

Häufige Fragen

Muss ich vor dem Installieren etwas erstellen? Nein. Den Befehl gibt es bereits, Sie kopieren ihn und fügen ihn ein.

Läuft der Befehl ab? Nein. Er funktioniert, solange die Zugangsdaten des Kunden aktiv bleiben.

Funktioniert derselbe Befehl auf mehreren Servern desselben Kunden? Ja, ohne zeitliche Begrenzung.

Ich habe ARM-Server. Sie sind heute nicht abgedeckt. Den Agent gibt es nur für x86_64.

Meine Distribution steht nicht auf der Liste. Wenn sie systemd hat und x86_64 ist, versuchen Sie es mit --forzar-distro. Das liegt außerhalb dessen, was geprüft wurde, funktioniert aber.

Kann ich die Fernwartung auf einem Linux-Server übernehmen? Nein. Die Fernwartung funktioniert heute unter Windows und macOS, unter Linux nicht.

Wie aktualisiere ich den Linux-Agent? Indem Sie den Installationsbefehl erneut ausführen. Der Bildschirm Agents verschickt keine Updates an Linux.

Ein Befehl aus der Konsole scheitert mit "read-only file system". Das ist die Härtung durch systemd: Der Agent sieht /usr als schreibgeschützt, und alles, was er ausführt, erbt das.

Gibt es ein .deb oder ein .rpm? Nein. Installiert wird per Skript, und der Agent erscheint nicht im Paketmanager.

Kann ich ihn mit Ansible installieren? Ja. Die Befehlszeile eignet sich gut dafür, aber die Konsole bietet dazu keine Werkzeuge und hält keine Kampagne fest.