리눅스 데스크톱 정책 관리 툴 Bor v0.8.0 출시, Thunderbird·Edge·Firewalld 지원 추가

이런 유형의 관리 처음 접하는데 이거 어떤 오픈소스나 엔터프라이즈 솔루션이랑 경쟁하는거임? 기존 거 쓰다가 뭐가 안 맞아서 직접 만든거임?

삼바도 리눅스용 정책 지원하긴 하는데 완성도 낮고 유지보수도 잘 안됨, tamper protection도 없음. Ansible이나 Puppet 같은 IaC는 코드로 짜는게 불편한 관리자들한테 안 맞고, Bor는 도메인 컨트롤러가 아니라 노드만 관리하는거라 Windows AD, Samba, FreeIPA랑 같이 씀.

이거 딱 내가 찾던거임. 비영리단체 노트북 몇 대 수동으로 관리중인데 Linux Mint Cinnamon 지원 되면 좋겠고, 커스텀 스크립트 실행 가능한지랑 Authentik 유저 매핑이 어떻게 되는지 궁금함.

지금은 LDAP만 지원되고 OAuth/SAML 같은 엔터프라이즈 SSO는 아직 없음. Cinnamon은 테스트는 안해봤지만 dconf 기반이라 이론상 될거임. 커스텀 스크립트는 의도적으로 뺐음, 에이전트가 root로 임의 스크립트 실행하면 그냥 RCE-as-a-service 되는거라 보안 감사 자체가 불가능해짐.

폴링 주기 없이 정책 강제하는거 어떻게 하는거임? 유저가 설정 바꾸면 다시 원복되는거임?

관리자가 정한 정책은 유저가 애초에 못 건드리게 락 걸려야 하는거 아님?

push 방식임. 각 에이전트가 mTLS로 영속 gRPC 스트림 유지하고 정책이 release되는 순간 바로 반영됨. dconf는 락 파일 같이 써서 GNOME UI에서 못 바꾸게 하고, KDE는 Kiosk immutability 마커 쓰고, 나머지는 root 소유 /etc 파일이라 일반 유저가 손 못댐. 변조는 타이머 아니라 inotify로 부모 디렉토리 감시해서 즉시 잡아냄.

이거 애들 노트북 스크린타임 강제하는데 iOS나 안드로이드보다 효과적으로 쓸 수 있음?

직접 지원은 안하지만 PAM으로 어떻게든 구성 가능할듯, 좋은 아이디어네. 포르노 차단이나 브라우저에 DoH 강제해서 성인 콘텐츠 필터링 프로바이더 쓰는 것도 가능함.

mTLS랑 gRPC push 디자인 좋고 inotify로 드리프트 잡는 것도 깔끔한데, 패키지 postinstall이 관리 파일 덮어쓰는 중에 서버에서 새 정책 동기화되면 어떻게 됨? LDAP 전용 인증이면 도메인 안 조인된 개인 노트북은 어떻게 붙임?

기본 enrollment는 5분짜리 임시 토큰 기반이고 UI에서 생성함, 도메인 조인 머신은 Kerberos 쓰지만 선택사항임. 파일이 패키지에 의해 덮어써지면 에이전트가 즉시 롤백함. 여러 정책이 같은 속성 건드리면 priority 값으로 우선순위 정함.

SCAP 지원해서 DISA STIG 강제하는데 쓰고싶음.

mTLS 대신 SSH로 정책 배포 안한 이유 궁금하고, 문서 다이어그램은 Mermaid로 바꾸는게 나을듯 지금은 ASCII 짬뽕처럼 보임.

정책은 mTLS로 보안된 영속 gRPC 스트림으로 배달되고 각 노드는 enrollment때 내장 CA에서 고유 인증서 받아서 SSH 키 관리 부담이 없음. 에이전트가 outbound로 연결해서 NAT나 방화벽 뚫려있어도 인바운드 포트 안 열어도 됨. SSH push였으면 전체 fleet에 shell 접속 가능한 서버를 유지해야해서 공격 표면이 훨씬 커짐.

일부 조직은 유저 노트북에 SSH 자체가 돌아가는걸 원치 않으니까 이게 오히려 장점일듯.