Eine Identität für alles: zentrale Anmeldung über Proxmox, NetBird und Guacamole
Jedes System hat seine eigene Benutzerliste, und beim Ausscheiden einer Person muss man an alle denken. Ein zentraler Identitätsanbieter löst das. Dieser Beitrag zeigt, wie Proxmox, NetBird und Guacamole daran angebunden werden – und warum die Datensicherung eine Ausnahme bleibt.
Das Wichtigste in Kürze
- Ein zentraler Identitätsanbieter macht aus vielen Benutzerlisten eine: Wer ausscheidet, verliert mit einem Schritt alle Zugänge.
- Proxmox VE, NetBird und Guacamole lassen sich per OpenID Connect anbinden; der zweite Faktor gilt dann überall gleich.
- Nicht alles gehört an die zentrale Identität. Die Datensicherung bleibt bewusst getrennt – sonst reicht ein übernommenes Konto für alles.
Eine typische Frage beim Ausscheiden eines Mitarbeiters lautet: Wo hatte er überall Zugang? In gewachsenen Umgebungen ist die ehrliche Antwort eine Liste, die niemand vollständig kennt. Das Konto im Verzeichnisdienst wird gesperrt, das Postfach umgeleitet – und der Zugang zur Virtualisierung, zum Fernzugriff oder zum Zugangsportal bleibt manchmal monatelang stehen.
Identitäts- und Zugriffsverwaltung, im Fachjargon IAM, bündelt diese Zugänge an einer Stelle. Dieser Beitrag zeigt, wie das mit den quelloffenen Bausteinen aussieht, die wir in Digitale Souveränität im Mittelstand vorgestellt haben – und wo man die Bündelung bewusst durchbricht.
Das Prinzip: eine Quelle, viele Anwendungen
Im Mittelpunkt steht ein Identitätsanbieter. Er kennt die Personen, ihre Gruppen und ihre Anmeldeverfahren einschließlich des zweiten Faktors. Die einzelnen Systeme prüfen Kennwörter nicht mehr selbst, sondern leiten die Anmeldung dorthin weiter und erhalten eine Bestätigung zurück – über den Standard OpenID Connect oder, bei manchen Systemen, SAML.
Welcher Identitätsanbieter passt, hängt vom Bestand ab:
- Microsoft Entra ID, wenn Microsoft 365 ohnehin im Einsatz ist. Die Konten existieren bereits, der zweite Faktor ist idealerweise schon eingerichtet – wie in Microsoft 365 sicher einrichten beschrieben.
- Keycloak oder Authentik, wenn der Anbieter im eigenen Haus betrieben werden soll. Beide sind quelloffen und können ihrerseits an einen vorhandenen Verzeichnisdienst angebunden werden.
Welches System wie angebunden wird
| System | Anbindung | Was man gewinnt |
|---|---|---|
| Proxmox VE | OpenID Connect als Anmeldebereich (Realm); alternativ LDAP oder Active Directory | Verwaltungszugang mit zentralem zweiten Faktor, Gruppen aus dem Anbieter |
| NetBird | OpenID Connect | Netzzugang endet mit dem Konto |
| Apache Guacamole | OpenID Connect oder SAML | Portalzugang nach Gruppen, siehe Guacamole absichern |
| Proxmox Backup Server | Technisch möglich (OpenID Connect, LDAP, Active Directory) | Bewusst nicht – siehe unten |
Proxmox VE kann beim ersten Anmelden Benutzer automatisch anlegen und die Gruppen aus dem Identitätsanbieter übernehmen. Die eigentlichen Rechte vergibt man dann an diese Gruppen: Die IT-Verwaltung darf alles, der Anwendungsbetreuer nur seine Maschinen. Werden die Gruppen bei jeder Anmeldung abgeglichen, entfallen die Rechte, sobald eine Person im Identitätsanbieter aus der Gruppe genommen wurde.
Die bewusste Ausnahme: die Datensicherung
Eine zentrale Identität hat eine unbequeme Eigenschaft: Wer sie übernimmt, hat Zugriff auf alles, was daran hängt. Für die meisten Systeme ist das ein vertretbarer Preis, weil der zweite Faktor und die zentrale Überwachung den Schutz insgesamt erhöhen.
Für die Datensicherung gilt das nicht. Sie ist die letzte Verteidigungslinie, wenn alles andere übernommen wurde. Hängt der Verwaltungszugang des Backup-Servers an derselben Identität, kann ein Angreifer mit einem übernommenen Administratorkonto auch die Sicherung beseitigen. Deshalb bleibt der Proxmox Backup Server bewusst außen vor – mit eigenem Konto, eigenem Kennwort und eigenem zweiten Faktor, wie in Backups, die ein Angreifer nicht löschen kann beschrieben.
Die Faustregel: Alles, womit täglich gearbeitet wird, gehört an die zentrale Identität. Alles, was im Ernstfall die Wiederherstellung trägt, bleibt davon getrennt. Das ist kein Widerspruch, sondern dieselbe Überlegung aus zwei Richtungen.
Notfallzugänge je System
Fällt der Identitätsanbieter aus, darf das nicht bedeuten, dass niemand mehr an die Virtualisierung kommt. Jedes angebundene System behält deshalb ein lokales Notfallkonto – bei Proxmox VE etwa das lokale Administratorkonto. Diese Konten werden nicht im Alltag benutzt, ihre Kennwörter liegen versiegelt verwahrt, und ihre Nutzung wird bemerkt.
Eintritt, Wechsel, Austritt
Der eigentliche Nutzen einer zentralen Identität zeigt sich in drei alltäglichen Vorgängen:
- Eintritt. Eine neue Person wird im Identitätsanbieter angelegt und in die passenden Gruppen gesetzt. Damit hat sie die Zugänge, die ihre Aufgabe verlangt – ohne Einzelfreischaltungen in jedem System.
- Wechsel. Wechselt jemand die Abteilung, wird die Gruppe geändert. Die alten Rechte entfallen, statt sich über die Jahre anzusammeln.
- Austritt. Das Konto wird deaktiviert. Neue Anmeldungen an Netzzugang, Portal und Virtualisierung sind ab diesem Moment nicht mehr möglich; bestehende Sitzungen enden spätestens mit ihrem Ablauf. Wie kurz diese Fristen sind, legt man bei der Einrichtung fest.
Aufwand
Die Anbindung der einzelnen Systeme ist jeweils in wenigen Stunden erledigt, sofern der Identitätsanbieter steht. Wird er neu aufgebaut, kommt dessen Einrichtung hinzu – und vor allem die Arbeit an einem Gruppenkonzept, das zu den tatsächlichen Aufgaben im Haus passt. Wer Entra ID bereits sauber betreibt, ist deutlich schneller am Ziel.
Wo die Grenzen liegen
- Der Identitätsanbieter wird zum kritischen System. Er braucht eine Absicherung, Überwachung und Sicherung, die seiner Bedeutung entspricht.
- Nicht jede Anwendung spricht OpenID Connect. Ältere Fachanwendungen kennen oft nur eigene Benutzerlisten. Sie bleiben ein Punkt auf der Austrittsliste.
- Ein Identitätsanbieter ersetzt kein Berechtigungskonzept. Er macht die Umsetzung einfacher, aber die Frage, wer was braucht, muss weiterhin jemand beantworten.
Fazit
Eine zentrale Identität für Proxmox VE, NetBird und Guacamole macht aus vielen Benutzerlisten eine und sorgt dafür, dass Zugänge mit dem Konto enden. Der zweite Faktor gilt überall gleich, Gruppen steuern die Rechte. Entscheidend ist die bewusste Ausnahme: Die Datensicherung bleibt getrennt, damit ein übernommenes Konto nicht auch die Wiederherstellung gefährdet.
Wir bauen solche Anbindungen auf, an Entra ID ebenso wie an selbst betriebene Anbieter – siehe Automatisierung & Open Source und Cloud & Microsoft 365.
