In den vergangenen Jahren haben wir Guardian Schritt für Schritt aufgebaut und in unseren Blogbeiträgen von 2023 und 2024 über das Konzept und erste Ergebnisse berichtet. Guardian ist die Komponente in Nubus, die eine zentrale Frage beantwortet: Darf diese Person diese Aktion ausführen? Heute möchten wir offen berichten, was wir in der Zwischenzeit gelernt haben – und welche Konsequenzen wir daraus ziehen.
Inhaltsverzeichnis
Was wir ursprünglich gebaut haben – und warum es zu viel war
Die bisherige Umsetzung basierte auf dem Open Policy Agent und war eine vollständige Eigenentwicklung: eine eigene Verwaltungsoberfläche, Regeln in der Nischensprache Rego, gespeichert in einer Datenbank.
In der Integration – vor allem in den Univention Directory Manager – zeigte sich, dass die Wartungslast unverhältnismäßig hoch war und das Konzeptmodell nicht gut zu einem dynamisch erweiterbaren System wie UDM passte. Auch aus diesem Grund wurde die als Preview verfügbare Erweiterung des UDM um Rollenbasierte Administration auch ohne Anbindung an den Guardian implementiert. Viele Probleme waren nicht bloß Implementierungslücken, sondern grundlegender Natur. Um sie sauber zu lösen, hätten wir das System ohnehin in weiten Teilen neu bauen müssen.
Ein schlanker Neustart mit Cerbos
Wir haben uns entschieden, Guardian neu aufzusetzen – schlanker, klarer und wartbarer. Der Kern bleibt: Guardian entscheidet, ob eine Aktion erlaubt ist oder nicht. Was sich ändert, ist die Technologie dahinter.
Statt des selbst entwickelten OPA-basierten Stacks setzen wir künftig auf Cerbos, ein etabliertes Open-Source-Projekt mit aktiver Community. Cerbos übernimmt genau die Aufgabe, für die wir bisher viel eigenen Code geschrieben haben – und es tut das zuverlässig, gut dokumentiert und mit einer lesbaren Regelsprache: YAML-Dateien mit einfachen Bedingungsausdrücken, die sich wie normale Konfiguration lesen lassen.
Was das für Betreiber*innen bedeutet
Da Guardian bisher noch nicht offiziell als produktreif veröffentlicht wurde, ist diese Kurskorrektur der richtige Moment: Wir räumen konzeptionelle Schulden aus dem Weg, bevor die Komponente in den produktiven Einsatz geht. Die bisherige Management-UI und die zugehörige REST-API werden nicht weitergeführt; stattdessen entsteht von Anfang an ein System, das von Grund auf zu den tatsächlichen Anforderungen passt.
Für alle, die Nubus oder UCS betreiben, wird Guardian einfacher zu handhaben. Weniger Komponenten bedeuten weniger Aufwand beim Einrichten, Aktualisieren und Betreiben der Umgebung. Regeländerungen lassen sich mit denselben Werkzeugen nachvollziehen und rückgängig machen, die im Rest der Infrastruktur ohnehin genutzt werden.
Da Guardian bisher nicht in den Standardkomponenten von Nubus oder UCS verwendet wurde, hat diese Änderung keine Auswirkung auf bestehende Installationen und Konfigurationen – auch nicht auf den Preview der rollenbasierten Administration in UDM.
Was noch kommt
Die neue Cerbos-basierte Guardian-Komponente nimmt konkrete Form an. Noch in Arbeit sind Aspekte wie erweiterbare Regeln für kundenspezifische Anwendungsfälle oder der Umgang mit Nubus-Erweiterungen wie UDM Extensions. Das sind lösbare Aufgaben – keine offenen Fragen.
Ein erstes produktreifes Release für den Einsatz mit Univention-Software steht kurz bevor. Wir halten Sie hier auf dem Laufenden!
Wir freuen uns über Rückmeldungen – ob in den Kommentaren oder direkt über unser Help Forum.
