- Bildschirmsperre: Hook läuft dort als Benutzer und ließ das Entsperren
scheitern; ohne root beendet er sich jetzt ohne Fehler.
- Wiederherstellung: ein schon entsperrtes Home ließ jeden Schlüssel durch;
der Hook sperrt jetzt vor der Prüfung.
- Anmeldebildschirm: kurze Meldungszeilen (slick-greeter schneidet ab);
passwort-hinweis zeigt während der Wiederherstellung keinen QR-Code und
startet den Anmeldebildschirm nicht neu, sonst wäre die Meldung weg.
- Dialog: "Später" passt jetzt zum Text.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Konten mit "verschluesseln" werden ohne Home angelegt; der PAM-Hook
home-verschluesselung verschlüsselt es bei der ersten Anmeldung mit dem
Passwort und einem zufälligen Wiederherstellungsschlüssel, den ein Dialog
nach der Anmeldung einmalig zeigt. Nach einem Passwort-Reset fragt der
Hook nach dem Schlüssel (Eingabe im Passwortfeld) und hängt das Home auf
das neue Passwort um. Sperren beim Abmelden über logind und user@.service.
fscrypt wird nur eingerichtet, wenn ein Konto es verlangt; nur ext4.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
useradd übernahm den Modus aus login.defs; je nach Distribution 0755,
dann las der Gast im unverschlüsselten Home mit.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Paket-Updates von shim/GRUB schrieben nach EFI/ubuntu bzw. EFI/debian,
die Firmware startet aber EFI/tuxflotte. Auf VM 107 (Mint, Secure Boot)
geprüft: veraltete Kette erneuert, zweiter Lauf ohne Änderung,
Paket-Neuinstallation schreibt nach EFI/tuxflotte und EFI/BOOT, Neustart
mit Secure Boot über den neuen Eintrag. roadmap/secure-boot-verschluesselung.md
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Auf VM 107 (26.10.2026) lief der Agent parallel; dpkg -i wartet nicht
auf die Sperre. Bis zu 10 Versuche im Abstand von 30 s.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Tipp10, Xournal++, Bluefish, Geany, Shutter (mit Editor) aus den
Distributionsquellen; VS Code und DBeaver aus den Hersteller-Repos;
Zoom per Flathub; BlueJ und Pulsar (statt des eingestellten Atom) als
fest gepinnte .deb mit Prüfsumme; Webex als .deb, nur wenn es fehlt.
grundsystem: Autostart von mintreport per dpkg-divert abgeschaltet.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Auf Liebherr-84 blieb die Cinnamon-Sitzung nach dem Abmelden im Zustand
closing; der Hinweis wurde gesetzt, der Anmeldebildschirm aber nicht neu
gestartet. Gilt ebenso für persoenliche-konten.py und den Abbau.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Der Anmeldebildschirm liest BackgroundFile aus der LightDM-Erweiterung
(org.freedesktop.DisplayManager.AccountsService), auf Liebherr-84 blieb das
Bild deshalb aus. Weitere Fehleingabe zeigt den Hinweis neu, wenn er nicht
sichtbar ist.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Rolle personalisierung baut bei present und absent Konto, Kiosk, PAM-Zeile,
Wächter und LightDM-Konfiguration ab; Wrapper erst nach Neustart von
LightDM. persoenliche-konten.py startet LightDM nach angelegtem,
gesperrtem, entsperrtem oder entferntem Konto neu (nur ohne
Benutzersitzung); Hilfsskript wird immer abgelegt, damit der Schnellweg
auch beim ersten Konto greift.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Auf Lehrergeräten gehört der private Schlüssel der Gruppe
tuxflotte-veyon-master mit gast und allen regulären Konten (UID 1000-59999);
das Konten-Hilfsskript nimmt neue Konten gleich beim Anlegen auf. Ohne
Lehrerrolle und beim Abwählen wird die Gruppe entfernt.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Secret aus agent.credentials im Header (no_log), Adresse aus agent.env.
Fehlschlag per ignore_errors sichtbar, damit der Rückfall greift.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Testorganisationen behalten die Veyon-Rolle aus 9e5bc1e; nur der
freigegebene Stand c219e3b ist ohne sie.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Nur für die Freigabe nach ansible-content-stabil (18.10.2026): Kunden
bekommen Personalisierung und Agent ad09d81, die neue Veyon-Rolle
(9e5bc1e) noch nicht. Der folgende Commit stellt sie auf main wieder her.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Legt bestätigte Konten an (Hash per chpasswd -e über stdin), sperrt
(abgelaufen, im Greeter ausgeblendet), entsperrt und entfernt nur Konten
mit eigenem Marker. Fehlende Konten in der Liste bleiben unberührt.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Golden Image und Installer verloren security.capability (ping ohne
cap_net_raw auf Liebherr-83). Liste aus den setcap-Aufrufen der postinst-
Skripte der Images: ping, mtr-packet, gst-ptp-helper, snap-confine (aus
.caps), sssd-Helfer. Setzt nur bei Abweichung (setcap -v), im User-
Namespace getestet.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Bauplan Schritt 2 (platform-docs roadmap/veyon-schluesselverteilung-
diskussion-2026-10-14.md), stellt den Handtest vom 15.10.2026 nach:
Methode 1, Schluessel als Dateien (oeffentlich 444, privat 440 root:gast,
no_log), alte tuxflotte*-Schluessel weg, Raumliste nur auf Lehrern und nur
bei Aenderung (Pruefsumme), ufw 11100 Schueler / 11400 Lehrer, Konfigurator
immer und Master auf Schuelern ausgeblendet, veyon.service an. absent
raeumt nur dort auf, wo die Rolle eingerichtet hatte.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Nur noch SMB, per x-systemd.automount (eingehaengt beim Zugriff, nofail
statt Ansible-Fehler bei fehlendem Server) und x-gvfs-show mit Namen in der
Seitenleiste. Schreibzugriff fuer alle nur mit fileserver_schreibzugriff.
Option fileserver_home_freigabe heisst jetzt fileserver_freigabe, WebDAV
entfaellt (davfs2-Zugangsdaten wurden nie hinterlegt). Merkmal laut DB am
15.10.2026 nirgends zugewiesen.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Ein Skript gleicht bei jeder Anmeldung (XDG-Autostart, auch Gastsitzung)
~/.config/gtk-3.0/bookmarks mit /etc/tuxflotte/org-ressourcen.json ab und
verwaltet nur selbst angelegte Eintraege. Nextcloud bekommt den WebDAV-
Zugang /remote.php/webdav. gvfs-backends nur nachinstalliert, wo es fehlt
und eine grafische Sitzung existiert.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Kein Katalog-Merkmal, der Server schickt den Auftrag (vorerst nur an
Organisationen mit Ausrollstufe vorab). App-Rollen lesen die Liste im
selben Lauf aus tuxflotte_auftrag_optionen['org-ressourcen'].
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
LightDM-session-wrapper leitet nur dieses Konto in einen WebKit-Kiosk
(nur Herkunft anode, keine Downloads/Dateidialoge/neuen Fenster,
Leerlauf-Abmeldung). Eigene PAM-Freigabe und logind-Drop-in, unabhängig
von guest-session. GDM wird übersprungen.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Template statt nmcli (PSK sonst per ps sichtbar), SSID als Byte-Liste,
PSK GKeyFile-escaped; eigene Datei tuxflotte-org-wlan.nmconnection, das
Installations-WLAN (tuxflotte-installations-wlan.nmconnection) bleibt
unberuehrt. Ungueltige Angaben werden uebersprungen statt den Lauf
scheitern zu lassen. Gegenstueck: provisioning-server Migration 0061,
kundenplattform optionen_felder.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Repariert Geraete, die mit dem Installer vor decc740 installiert wurden:
statische resolv.conf des Installationsnetzes, nach Ortswechsel keine
Namensaufloesung (Liebherr-83, 14.10.2026). Nur bei regulaerer Datei und
laufendem systemd-resolved; alte Datei bleibt als
/etc/resolv.conf.tuxflotte-statisch.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
adminandClaude Opus 5.5