Kiosksysteme mit Porteus Kiosk aufsetzen und verwalten
Nur anschauen...
Veröffentlicht in Ausgabe 06/2021 - PRAXIS
In erstaunlich vielen Situationen benötigen IT-Verantwortliche ein möglichst dummes Terminal, das seinen Benutzern lediglich eingeschränkten Zugriff auf das Netzwerk ermöglicht. Solche Kiosksysteme liefern etwa in Museen zusätzliche Informationen über die Ausstellungsstücke, werben im Supermarkt für Sonderangebote oder nehmen in einem Fast-Food-Restaurant Bestellungen entgegen. Auch in Unternehmen können stark eingeschränkte Arbeitsplätze lohnenswert sein, etwa um Terminals für freie Mitarbeiter bereitzustellen. Die Einrichtung und Wartung dieser Systeme gelingt besonders leicht mit der Linux-Distribution Porteus Kiosk [1]. Dank einer ausgeklügelten grafischen Konfigurationsoberfläche benötigen Sie noch nicht einmal Linux-Kenntnisse.
Beschränkt auf den Browser
Porteus Kiosk richtet auf einem Rechner vollautomatisch ein minimales Linux-System mit grafischer Benutzeroberfläche ein, auf dem ausschließlich der Browser im Vollbildmodus läuft. Als Administrator haben Sie die Wahl zwischen Firefox und Chrome, deren Funktionsumfang Sie gezielt beschneiden dürfen. So lassen sich unter anderem die Steuer- und Adressleisten verstecken. Des Weiteren dürfen Sie die abrufbaren Seiten in White- und Blacklists festschreiben. Damit nageln Sie das Kiosksystem im Museum auf zwei Seiten mit Informationen über die ausgestellte Meißen-Vase fest.
Bei Bedarf können Sie sogar jede Interaktion verbieten und ausschließlich Screenshots anzeigen. Auf diese Weise verwandelt sich Porteus Kiosk in eine reine Anzeige, die etwa im Supermarkt Sonderangebote präsentiert. Umgekehrt lässt sich das Kiosksystem über die Remote-Clients Remmina und den Citrix Receiver in einen Thin Client verwandeln. Mehrere Porteus-Kiosk-Installationen verwaltet und überwacht der ebenfalls kinderleicht einzurichtende Porteus-Server. Porteus unterstützt von Haus aus Touchscreens und Drucker. Über Letztgenannte können Kunden wichtige Informationen oder eine Rechnung mit nach Hause nehmen.
In erstaunlich vielen Situationen benötigen IT-Verantwortliche ein möglichst dummes Terminal, das seinen Benutzern lediglich eingeschränkten Zugriff auf das Netzwerk ermöglicht. Solche Kiosksysteme liefern etwa in Museen zusätzliche Informationen über die Ausstellungsstücke, werben im Supermarkt für Sonderangebote oder nehmen in einem Fast-Food-Restaurant Bestellungen entgegen. Auch in Unternehmen können stark eingeschränkte Arbeitsplätze lohnenswert sein, etwa um Terminals für freie Mitarbeiter bereitzustellen. Die Einrichtung und Wartung dieser Systeme gelingt besonders leicht mit der Linux-Distribution Porteus Kiosk [1]. Dank einer ausgeklügelten grafischen Konfigurationsoberfläche benötigen Sie noch nicht einmal Linux-Kenntnisse.
Beschränkt auf den Browser
Porteus Kiosk richtet auf einem Rechner vollautomatisch ein minimales Linux-System mit grafischer Benutzeroberfläche ein, auf dem ausschließlich der Browser im Vollbildmodus läuft. Als Administrator haben Sie die Wahl zwischen Firefox und Chrome, deren Funktionsumfang Sie gezielt beschneiden dürfen. So lassen sich unter anderem die Steuer- und Adressleisten verstecken. Des Weiteren dürfen Sie die abrufbaren Seiten in White- und Blacklists festschreiben. Damit nageln Sie das Kiosksystem im Museum auf zwei Seiten mit Informationen über die ausgestellte Meißen-Vase fest.
Bei Bedarf können Sie sogar jede Interaktion verbieten und ausschließlich Screenshots anzeigen. Auf diese Weise verwandelt sich Porteus Kiosk in eine reine Anzeige, die etwa im Supermarkt Sonderangebote präsentiert. Umgekehrt lässt sich das Kiosksystem über die Remote-Clients Remmina und den Citrix Receiver in einen Thin Client verwandeln. Mehrere Porteus-Kiosk-Installationen verwaltet und überwacht der ebenfalls kinderleicht einzurichtende Porteus-Server. Porteus unterstützt von Haus aus Touchscreens und Drucker. Über Letztgenannte können Kunden wichtige Informationen oder eine Rechnung mit nach Hause nehmen.
Keine automatischen Updates
Porteus Kiosk dürfen Sie auch im kommerziellen Umfeld kostenlos einsetzen. Regelmäßige Updates rückt der polnische Entwickler allerdings erst nach dem Abschluss eines kostenpflichtigen Support-Vertrags heraus. Ohne ihn müssen Sie die Kiosksysteme immer manuell über die zweimal im Jahr aktualisierten Startmedien auf den neuesten Stand bringen.
Porteus Kiosk benötigt lediglich einen 64-Bit-fähigen x86-Prozessor mit mindestens 1 GByte Hauptspeicher. Die Arbeit an einer 32-Bit-Version haben die Entwickler mittlerweile eingestellt. Aufgrund einer fehlenden ARM-Fassung bleibt der eigentlich für Kiosksysteme prädestinierte Raspberry Pi ebenfalls außen vor. Die Porteus-Entwickler empfehlen als Alternative Atom-basierte Systeme, wie den Rock Pi X.
In jedem Fall muss der Rechner mit einem Datenträger ausgestattet sein, von dem das Kiosksystem booten kann. Da Porteus weitestgehend im Hauptspeicher läuft, genügt hier ein relativ langsamer Flash-Speicher mit mindestens 2 GByte Fassungsvermögen. Die Inbetriebnahme des Kiosksystems erfolgt wahlweise von CD, DVD, einem USB-Stick, einem weiteren Flash-Medium oder via PXE.
Startmedien erstellen
Porteus steht in gleich drei Geschmacksrichtungen zum Download bereit. Wenn Sie ein Kiosksystem einrichten möchten, greifen Sie zum "Porteus Kiosk". Sollen die Nutzer auch auf Google- und Clouddienste zugreifen können, installieren Sie hingegen die "Porteus Cloud". Dabei handelt es sich um ein entsprechend angepasstes Porteus-Kiosksystem, das unter anderem eine Taskleiste einblendet.
Noch einen Schritt weiter geht der "Porteus ThinClient". Er bringt standardmä-ßig Remmina mit und lockert weitere Restriktionen. So dürfen Anwender Dateien aus dem Internet herunterladen. Die Einrichtung der drei Systeme erfolgt nach dem gleichen Prinzip, wobei im Folgenden exemplarisch der Porteus Kiosk im Vordergrund steht.
Aus dem heruntergeladenen ISO-Image erzeugen Sie ein Bootmedium, wie etwa eine CD oder einen USB-Stick. Bei einem Flash-Medium hilft Ihnen unter Linux "dd", Windows-Nutzern raten die Porteus-Entwickler zum "Win32DiskImager". Die ebenfalls für solche Zwecke populären Werkzeuge "Rufus" und "Unetbootin" erzeugen unter Umständen fehlerhafte USB-Sticks. In jedem Fall booten Sie vom erstellten Startmedium den zum Kiosksystem auserkorenen Rechner.
Netzwerk konfigurieren
Direkt nach dem Start meldet sich der "Kiosk Wizard", der Sie durch die Konfiguration führt. Wählen Sie zunächst per "Set keyboard layout" die Tastaturbelegung. Für eine deutsche Variante ist der Punkt "de(nodeadkeys)" in der Regel der richtige. Holen Sie bei Bedarf das "Virtual keyboard" auf den Schirm. Via "Restart" können Sie jederzeit die Fragen noch einmal von vorne durchlaufen. Das Verhalten ist jedoch etwas inkonsistent: Sobald Sie gleich den Browser ausgewählt haben, springt "Restart" nur noch zum dann folgenden Bildschirm aus Bild 4 zurück. Sollte sich irgendwann ein neu geöffnetes Fenster nicht schließen lassen, nutzen Sie die Tastenkombination "Alt + Tab".
Porteus kann immer nur genau eine Netzwerkschnittstelle einrichten und nutzen. Über diese muss das System zumindest während der Installation ins Internet gehen können. Sofern Sie die Kiosksysteme später über den Porteus-Server verwalten möchten, müssen die Clients zudem den Server über die entsprechende Netzwerkschnittstelle erreichen. Im Assistenten klicken oder tippen Sie auf die passende Verbindungsart und hinterlegen die notwendigen Einstellungen beziehungsweise Zugangsdaten. Läuft der Netzwerkverkehr nicht über einen Proxy, belassen Sie bei der entsprechenden Frage alle Vorgaben und gehen direkt einen Schritt weiter.
Abhängig vom gewählten Browser stehen teils unterschiedliche Einstellungen zur Auswahl. So lässt sich beispielsweise der Citrix Receiver nur in Firefox aktivieren. Die Porteus-Entwickler empfehlen Chrome nur im Zusammenhang mit der Cloudvariante, in allen anderen Fällen hingegen Firefox. Bei der anschließenden Zusammenfassung kontrollieren Sie im unteren Teil die Zeitangabe und ändern sie gegebenenfalls via "Set time". Im nächsten Schritt lädt der Assistent den Browser aus dem Internet. Der dafür notwendige Verbindungsaufbau kann etwas dauern, wobei am oberen Rand immer wieder Fehlermeldungen erscheinen (wie in Bild 3 dargestellt).
Zugriff reglementieren
Anschließend legen Sie fest, welche Einschränkungen auf dem Kiosksystem gelten sollen. Dazu folgen Sie dem Punkt "Launch the Kiosk Wizard to create new configuration". Die Einstellungen selbst sind durch die jeweiligen Hinweise weitgehend selbsterklärend. Idealerweise gehen Sie einmal alle Punkte von oben nach unten durch. Bei einigen Settings öffnet sich nach dem Aktivieren ein neues Fenster, das passende Informationen abfragt. Möchten Sie eine solche Einstellung später noch einmal korrigieren, deaktivieren und aktivieren Sie diese einmal kurz.
Ein Museum könnte den Browser auf ausgewählte Seiten des hauseigenen Webservers festnageln. Dazu aktivieren Sie die "Homepage" und tragen die passende URL ein, wie etwa "http://example.com/ meissen". Knipsen Sie die "Whitelist" an und hinterlegen Sie dort die gleiche URL. Porteus gibt dabei automatisch Unterseiten frei, im Beispiel funktioniert folglich auch der Zugriff auf "http://example.com/ meissen/vasen". Im Gegensatz zu vielen anderen Whiltelists dürfen Sie hier das Wildcart-Zeichen "*" nicht verwenden.
Prüfen Sie unbedingt auch, ob die Seiten Weiterleitungen enthalten: Wenn Sie in der Whitelist "http://www.it-administrator.de" eintragen, kann Porteus später nicht auf "https://www.it-administrator.de" zugreifen. Sollte "http://www.it-administrator.de" direkt auf die HTTPS-Variante weiterleiten, sehen Besucher in der Folge nur ein Schlosssymbol beziehungsweise eine entsprechende Fehlermeldung. Sie müssen daher auch die HTTPS-Fassung der URL in der Whitelist hinterlegen oder auf die Protokollangabe verzichten.
Fehlt in Ihrem Netzwerk ein DNS-Resolver, kann Porteus keine Domainnamen auflösen. Sie müssen dann mit IP-Adressen arbeiten oder die benötigten Hostnamen manuell ihren jeweiligen IP-Adressen zuordnen. Dazu aktivieren Sie "Hostname aliases" und hinterlegen dann im neuen Fenster in jeder Zeile eine IP-Adresse und den zugehörigen Hostnamen. Die Informationen landen dann in der "hosts"-Datei des zugrundeliegenden Linux-Systems.
Einstellungen sichern
Sind alle Einstellungen beisammen, gehen Sie einen Schritt weiter. Der Assistent zeigt Ihnen jetzt noch einmal kompakt die gewählte Konfiguration an. Genau die können Sie jetzt auf einem angeschlossenen Datenträger konservieren und dann bei anderen Kiosk-Installationen wiederverwenden. Damit sparen Sie nicht nur Arbeit, Sie können Porteus auch zunächst auf Ihrem eigenen System im Büro starten und dann dort in Ruhe die Einstellungen für die Teminals in der Ausstellung zusammenklicken.
Um die Konfiguration zu sichern, rufen Sie "Save config" auf, stöpseln ein mit FAT, NTFS oder XFS formatiertes Medium ein und warten, bis es Porteus mit einer Meldung eingebunden hat. Den Datenträgerinhalt blendet Porteus im Verzeichnis "/media" ein, Sie können die entsprechende Vorgabe belassen. Vergeben Sie unter "Config name" einen passenden Dateinamen und speichern Sie die Konfiguration. Die Einstellungen landen in einer Textdatei mit UTF-8-Zeichenencodierung. In ihr können Sie die Konfiguration bei Bedarf noch einmal nachbearbeiten. Jede Zeile enthält ein Schlüssel/Wert-Paar, das genau eine Einstellung repräsentiert. "connection=wired" steht beispielsweise für eine Verbindung via Netzwerkkabel. Alle möglichen Einstellungen fasst die entsprechende Seite in der Porteus-Dokumentation zusammen [2].
Bei einer weiteren Installation laden Sie die Konfigurationsdatei im Schritt aus Bild 4 über den unteren rechten Punkt wieder ein. Alternativ angelt sich Porteus die Datei via "Load kiosk configuration from the network location" von einem Webserver via HTTP. Die Option rechts oben "Point kiosk to remote management configuration" erledigt das Gleiche, das installierte Porteus holt jedoch unter der angegebenen URL bei jedem Neustart die Konfiguration ab. Durch einen Tausch der entsprechenden Datei auf dem Webserver können Sie so schnell die Einstellungen des Systems ändern, ohne Porteus erneut installieren zu müssen.
Zielsystem aufsetzen
Zwei Schritte weiter wählen Sie den Datenträger, auf dem der Assistent das System einrichten soll. Lassen Sie ihn per "Quick formatting" löschen. Das sichere Löschen per "Erase the device 'byte after byte'" ist nur dann notwendig, wenn es sich um eine gebrauchte Festplatte handelt und das Kiosksystem in der Öffentlichkeit steht. Starten Sie schließlich die Installation per "Install system".
Der Installationsassistent kopiert jetzt das rund 1 GByte große Startmedium auf den internen Datenträger und erstellt im restlichen freien Bereich eine Partition mit XFS-Dateisystem. Auf ihm landen bei den Cloud- und Thin-Client-Varianten im Verzeichnis "/home/guest" alle heruntergeladenen Dateien der Benutzer. Einsehen und abrufen lassen die sich wiederum im Browser über die "file:///"-URL. Das gelingt allerdings nur, wenn Sie vorher in der Konfiguration das "File Browsing" erlaubt haben. Zusätzlich sollten Sie immer auch den Zugriff über die Black- und Whitelist passend einschränken. Andernfalls können die Anwender auch alle Systemdateien betrachten. Der Zugriff über "file:///" ersetzt einen Dateimanager, der in allen drei Porteus-Fassungen fehlt.
Die Partition mit dem XFS-Dateisystem lässt der Installationsassistent unangetastet, wenn Sie anstelle der Formatierung den Punkt "Perserve persistent partition" wählen. Auf diese Weise können Sie ein Porteus-System auch aktualisieren, ohne bestehende Daten zu verlieren. Nach dem abschließenden Neustart ist das Kiosksystem bereits einsatzbereit.
Hardwareprobleme lösen
Touchscreen, Drucker und alle übrigen Hardwarekomponenten funktionieren nur, wenn das zugrundeliegende Linux-System passende Treiber mitbringt. Nachrüsten lassen sie sich nur mit großem Aufwand oder der Hilfe der Porteus-Macher. Während bei den Touchscreens nur ausprobieren hilft, finden Sie eine Liste mit allen unterstützten Druckern auf der Porteus-Website [3]. Sofern Ihr Touch-screen merkwürdig reagiert, aktivieren Sie in den Einstellungen des "Kiosk Wizard" die "Touchscreen calibration".
Der Wizard hilft auch bei anderweitigen Hardwareproblemen: Sofern etwa eine Webanwendung zu viel Hauptspeicher schluckt, lagert Porteus einige Daten in ein "SWAP file" aus, das Windows-Anwender als Auslagerungsdatei kennen. Da auch Passwörter und andere sensible Daten darin landen könnten, sollten Sie diese Funktion nur im Notfall einsetzen. Alternativ oder ergänzend quetscht Porteus mit der "zRAM compression" mehr Daten in den Hauptspeicher.
Sollte Porteus die Bildschirmauflösung nicht korrekt erkannt haben, schalten Sie die "Screen settings" ein. Sofern die dort gewählten Einstellungen keine Besserung ergeben, wählen Sie ganz unten unter den "Debugging Options" einen anderen "GPU driver". Probieren Sie die Einstellungen von oben nach unten durch, "FBDEV" sollte mit jeder Grafikkarte funktionieren. Gerne verursacht auch das Power-Management Probleme. Sollte Ihr Terminal nicht aus dem Ruhemodus wieder aufwachen, verzichten Sie auf die Nutzung der "Power Saving Options".
Werbetafel wiedergeben
Soll das Terminal nur ein Video oder Bildtafeln anzeigen und somit als Werbetafel dienen, wenden Sie sich bei der Konfiguration unter den "Power Saving Options" dem Screensaver zu. Er kann nicht nur den Bildschirm schwarz schalten und so schonen, sondern auch eine Diashow oder einen Film abspielen. Dazu verpacken Sie zunächst alle Einzelbilder der Diashow in ein ZIP-Archiv. Die Bilder müssen dabei im JPG- oder PNG-Format vorliegen.Um die Funktionen von Azure AD Premium zu testen, rufen Sie das Azure AD Admin Center [2] auf. Über den Punkt "Dashboard" können Sie mit dem Link "Azure AD Premium testen" auswählen, welche Funktionen Sie testen wollen. Neben der Möglichkeit, Azure AD Premium P2 zu testen, können Sie hier auch Enterprise Mobility and Security E5 buchen. Hier sind, neben Premium P2-Funktionen, auch die Funktionen von EMS verfügbar. Nach Aktivierung der Testperiode stehen 100 Lizenzen für Azure AD Premium P2 für 30 Tage zur Verfügung. Beim Buchen der Testversion von EMS E5 haben Sie Zugriff auf 250 Lizenzen. Letzteres E5 wird separat von den Azure-Diensten lizenziert.
Sofern Porteus nur holprig oder gar nicht bootet, schalten Sie probeweise in den "Additional Components" den "UEFI Support" ab. Damit startet Porteus im alten BIOS-Modus und überredet somit vor allem einige ältere Rechner zur Zusammenarbeit. Linux-Experten können zudem unter den "Debugging Options" weitere "Kernel parameter" hinterlegen und so den Start gezielt beeinflussen.
Bei anhaltenden Problemen aktivieren Sie ganz unten den "Kiosk Debug Mode". Das Kiosksystem präsentiert dann bei einem Start einen ausführlichen Bericht. Darin sollte die blockierende Komponente oder der Fehler leicht zu identifizieren sein. Porteus öffnet den Bericht als Startseite im Browser und schaltet zudem die Whitelist ab. Der Debug-Modus eignet sich folglich nicht für ein produktives System.
Steuerung aus der Ferne
Für die Fernwartung können Sie in den Einstellungen einen SSH- und VNC-Server auf dem Kiosksystem aktivieren. Alternativ überwachen Sie die Terminals mit dem Porteus-Server. Dieser besteht aus einem minimalen Desktop-System, in dem eine "Administration Panel" genannte Anwendung die Kiosksysteme fernsteuert.
Die frei erhältliche "Basic"-Fassung des Servers verrät allerdings nur, welche Kiosksysteme gerade online sind. Ein Monitoring und die Steuerung der Terminals bleiben der kostenpflichtigen "Premium"-Variante vorbehalten. Sie schlägt mit 300 Euro pro Jahr zu Buche – zuzüglich der Kosten für Updates.
In jedem Fall verlangt der Server mindestens 2 GByte Hauptspeicher, ansonsten gelten die gleichen Voraussetzungen wie für Porteus Kiosk. Falls Sie den Server in eine virtuelle Maschine stecken möchten, müssen Sie dieser mindestens 64 MByte Grafikspeicher spendieren. Die Kommunikation mit den Terminals erfolgt SSL-verschlüsselt über den Port 443, wobei die Kiosksysteme die Kommunikation initiieren.
Passen Sie gegebenenfalls Ihre Firewalls entsprechend an. Die Installation des Servers erfolgt wie bei Porteus Kiosk. Nach dem Neustart landen Sie direkt im Administrationspanel. In der derzeit noch leeren Liste landen alle verbundenen Kiosksysteme. Bei seinem Start geht der Server automatisch ins Internet. Sollte ihm das verwehrt sein, dauert der Systemstart einige Minuten.
Installieren Sie jetzt die Kiosksysteme. Bei ihrer Konfiguration aktivieren Sie unter "Central Management" den Punkt "Porteus Kiosk Server". Im Eingabefeld hinterlegen Sie den Domainnamen oder die IP-Adresse des Servers und die Portnummer 443, also beispielsweise "192.168. 1.101:443". Verpassen Sie dann dem Kiosksystem eine eindeutige Identifikationsnummer, die im Bereich zwischen 1024 und 65535 liegen muss. Über diese IDs kann der Server die Clients unterscheiden. Im Fall der Vorgabe "automatic" wählt das System die ID selbst.
Es kann sich dennoch lohnen, sie selbst zu vergeben: Da das Administration Panel die Clients nach IDs sortiert, können Sie über die Nummer die Sortierreihenfolge festlegen. Zudem lassen sich die Clients in Gruppen ordnen. So stehen beispielsweise im Museum die Terminals mit den IDs 2000 bis 2999 auf der zweiten Etage, die ab der ID 3000 in der dritten.
Auf die Kiosksysteme greift der Server später via SSH und VNC zu. Sofern Sie diese Dienste noch nicht aktiviert haben, schaltet sie Porteus jetzt automatisch ein. Sie müssen sich dann entsprechende Passwörter ausdenken und hinterlegen. Alle weiteren vorgeschlagenen Einstellungen können Sie übernehmen. Nach der Installation und einem Neustart verbindet sich das Kiosksystem automatisch mit dem Server. Aktualisieren Sie das Administration Panel via "Refresh list". In der Premium-Fassung des Servers wenden Sie über die Drop-down-Box "Select action" eine Aktion auf das gerade selektierte Kiosksystem an. Unter anderem lässt sich so ein Terminal neu starten.
Fazit
Mit Porteus Kiosk steht in wenigen Mausklicks ein maßgeschneidertes Kiosksystem bereit. Ob sich die Cloud- und Thin-Client-Varianten lohnen, hängt von Ihren Anforderungen ab. Der Server ist hingegen in den meisten Fällen entbehrlich: Wer sich mit Linux-Systemen auskennt, wartet die Terminals per SSH und VNC. Über diese Wege lassen sich die Kiosksysteme zudem in entsprechende Managementsysteme wie Ansible einbinden.
(dr)
Link-Codes
[1] Porteus Kiosk: https://porteus-kiosk.org/
[2] Einstellungen in der Porteus-Dokumentation: https://porteus-kiosk.org/parameters.html/
[3] Liste der unterstützten Drucker: https://porteus-kiosk.org/files/supported-printers.txt/