Der Praxisleitfaden für Tags bei Enginsight
Tags bei Enginsight sind ein mächtiges Instrument zur Verwaltung Ihrer Assets: Mit ihnen können Sie sich Ihren Arbeitsalltag entscheidend vereinfachen, indem sie ihre Assets zu sinnvollen Gruppen zusammenfassen und diese zentral und sogar automatisiert verwalten. Klären wir zunächst das Wichtigste.
IT Assets & Tags: Der Praxisleitfaden für Tags bei Enginsight
IT-Admins kennen das Szenario: Es ist Dienstagmorgen und der Update-Manager zeigt 23 ausstehende Sicherheitsupdates an. Manche betreffen nur die Linux-Server, manche nur die Windows-Clients in der Buchhaltung. Von der Geschäftsführung kam kürzlich außerdem die Bitte, den Fileserver zu überwachen – dort lägen wichtige Dateien, die keinesfalls unbefugt verändert oder gelöscht werden dürfen. Daneben soll außerdem das neue ERP-System eingeführt werden und täglich melden sich mindestens fünf bis zehn Mitarbeitende, die Support benötigen.
Das ist der fordernde Alltag, wenn man als IT-Admin rund 150 Hosts alleine betreut. Wir zeigen, wie man in einem typischen Betrieb mit zwei Standorten, gemischten Betriebssystemen, unterschiedlichen Anforderungen pro Abteilung mit Tags in der Enginsight-Plattform sich das Leben etwas einfacher machen kann.
Die Lösung steckt nämlich in einem Prinzip, das in der Systemadministration so alt ist wie Gruppenrichtlinien: Geräte logisch gruppieren und Aktionen auf die Gruppe anwenden statt auf Einzelgeräte. In Enginsight geht das über Tags. Wer sie einmal sauber aufsetzt, muss sie nicht ständig nachpflegen – dafür sorgt der Tag Manager. Dieser Beitrag zeigt Schritt für Schritt, wie das geht. Am Ende steht eine funktionierende Tag-Struktur, die Updates, Policies und Monitoring für die gesamte Umgebung skalierbar macht.
Schritt 1: Globale Tags anlegen – das Ordnungssystem für die gesamte Plattform
Bevor Regeln greifen können, braucht die Plattform ein Ordnungssystem. In Enginsight sind das die globalen Tags. Ein globaler Tag besteht aus einem Label (also einer Kategorie wie „Betriebssystem“) und einem oder mehreren Werten (also in etwa wie „Windows 11“, „Debian“), die das Label ausdifferenzieren. Jeder Wert lässt sich farblich kennzeichnen, was in langen Host-Listen für Orientierung sorgt.
Für unser Beispiel legen wir drei Tags an, die häufige Sortierkriterien im Admin-Alltag abdecken. Der erste Tag trägt das Label „Betriebssystem” mit den Werten „Windows 11“, „Windows Server 2022“ und „Debian“. Dieser Tag bestimmt später, welche Updates relevant sind. Windows-Clients bekommen kumulative Updates über den Windows-Update-Dienst, Linux-Server laufen über den Paketmanager. Der zweite Tag heißt „Standort” mit den Werten „Jena” und „Erfurt”. Er hilft beim Eingrenzen, wenn ein Problem nur an einem Standort auftritt. Der dritte Tag „Funktion” unterscheidet zwischen „Endgerät”, „Server” und „Fileserver”. Das ist die Grundlage eine Policy, die wir anlegen wollen: Fileserver brauchen Verzeichnisüberwachung, Clients nicht.
Diese drei Tags sind in wenigen Minuten angelegt – unter Hosts → Management → Globale Tags → Globalen Tag hinzufügen. Dabei wird jeder Wert einzeln benannt, optional beschrieben und mit einer Farbe versehen. Damit erstellen wir ein einfaches Ordnungssystem, auf das alles Weitere aufbaut: Policies, Update-Steuerung, Alarmierung. Ohne Tags bleibt jede dieser Funktionen an Einzelhosts gebunden. Mit Tags wird daraus ein skalierbares System.
Globale Tags lassen sich übrigens auch importieren und exportieren. Damit können IT-Admins backuppen und sich Zeit sparen, wenn neue Instanzen für Unterorganisationen aufgesetzt werden sollen. Möglich ist das in derselben Ansicht unter Globale Tags rechts oben im Menüfeld über Globale Tags exportieren. Daneben befindet sich im Menüpunkt Globalen Tag hinzufügen als Unterpunkt Importieren. Der Export erfolgt als Zip-Datei, in der sich JSON-Dateien mit den ausgewählten Tags befinden. Diese lassen sich dann bei einer neuen Enginsight-Instanz bequem über die Import-Funktion wieder aufspielen.
Schritt 2: Der Tag Manager – einmal einrichten, nie wieder manuell nachpflegen
Das Problem ohne Automatisierung
Die drei Tags aus dem ersten Schritt existieren jetzt in der Plattform. Aber sie sind noch keinem Host zugewiesen. Weil bei 150 Hosts manuelle Zuweisung aber Stunden von konzentriertem Arbeiten und Durchklicken bedeuten würde, bringt Enginsight eine Funktion mit, die die Zuweisung automatisiert. Das macht sich nicht nur beim Aufsetzen bezahlt, sondern insbesondere dann, wenn nächste Woche in Erfurt zehn neue Laptops mit unterschiedlichen Betriebssystemen dazukommen, zwei alte ausgemustert werden und ein Server ein OS-Upgrade bekommen soll. Hier gilt: Je besser die Organisation und die Änderungen in ihr abgebildet werden, desto besser funktioniert auch Enginsight.
Regeln statt Handarbeit
Der Tag Manager löst das Automatisierungsproblem folgendermaßen: Er vergibt und entzieht Tags automatisch, basierend auf Bedingungen, die einmal definiert werden. Danach läuft die Zuordnung von selbst und es kann bequem skaliert werden – von 150 Hosts auf 1000 oder mehr. Enginsight läuft auch stabil in Organisationen mit weit mehr als 10.000 Hosts.
Wie funktioniert das Ganze nun? Jede Bedingung besteht aus zwei Teilen: einer Kategorie und einem Muster bzw. einem regulären Ausdruck (Regex), das gegen diese Kategorie geprüft wird. Die Kategorien sind vordefinierte Systemeigenschaften, die der Pulsar Agent von jedem Host erhebt. Sie decken drei Bereiche ab:
Hostname und Alias bilden die erste Gruppe. Wer eine saubere Namenskonvention hat, wie etwa JEN-PC- für Clients in Jena und SRV-FS- für Fileserver, nutzt den Hostnamen als zuverlässigstes Zuordnungskriterium. Die zweite Gruppe umfasst Betriebssystem-Eigenschaften wie os.name, os.platform, os.platformFamily und os.platformVersion bis hin zur os.kernelVersion. Damit lassen sich alle Windows-Rechner, alle Debian-Server oder alle Hosts mit einem bestimmten Kernel automatisch erkennen. Die dritte Gruppe sind Hardware-Eigenschaften auf Basis von SMBIOS-Daten: Hersteller, Produktname, Seriennummer, BIOS-Version und weitere. Das ist nützlich, wenn eine bestimmte Hardware-Generation ein BIOS-Update braucht oder Geräte eines bestimmten Herstellers gruppiert werden sollen.
So richten wir unsere Tag Manager ein
Für unser Beispiel legen wir vier Tag Manager an unter Hosts → Management → Tag-Manager → Tag-Manager hinzufügen:
Der erste erkennt Windows-11-Clients. Bedingung: Kategorie os.platform, mit dem Regex-Pattern Microsoft Windows 11(?:\s+\S+)*. Zugewiesener Tag: „Betriebssystem: Windows 11”. Der zweite funktioniert analog für Debian-Server: Kategorie os.platform, Pattern debian, UND Hostname beginnt mit SRV-. Zugewiesener Tag: „Betriebssystem: Debian”.
Der dritte Tag Manager nutzt die Namenskonvention für den Standort: Hostname beginnt mit JEN- → Tag „Standort: Jena”; ein vierter erkennt per Hostnamen SRV-FS- alle Fileserver und weist den Tag „Funktion: Fileserver” zu.
Bedingungen lassen sich mit UND und ODER verknüpfen und beliebig verschachteln. Wer differenziertere Regeln braucht, baut einfach tiefere Bedingungsbäume. Die Plattform stellt das als hierarchische Struktur dar. Allerdings kennt Enginsight keine anderen logischen Operatoren. Wer eine Gruppe an Hosts ausschließen möchte, kann das bequem im Tag Manager über Zugeordnete Referenzen → Ausnahmen definieren machen.
Strikter Modus: Die Struktur hält sich selbst aktuell
Beim Anlegen jedes Tag Managers aktivieren wir den strikten Modus. Das heißt: Sobald eine Bedingung für einen Host nicht mehr zutrifft, wird der Tag automatisch wieder entfernt. Ein Server bekommt ein neues Betriebssystem und der alte OS-Tag verschwindet. Der Tag Manager weist den passenden neuen zu. Ein Rechner wird von Jena nach Erfurt umgezogen und umbenannt und der Standort-Tag aktualisiert sich. Diese Form der Automatisierung erleichtert IT-Admins den Alltag.
Der Aufwand für diese vier Tag Manager liegt bei etwa einer halben Stunde. Ab jetzt pflegt sich die gesamte Tag-Struktur selbst. Jeder neue Host, der einen Pulsar Agent bekommt, wird automatisch einsortiert. Und jede Aktion, die auf Tags basiert – ob Patch oder Alarm – greift ab diesem Moment zuverlässig auf die richtigen Gruppen.
Schritt 3: Tags schon bei der Installation mitgeben
Angenommen Freitagnachmittag kommen fünf neue Laptops in die Erfurter Niederlassung. Der Pulsar Agent wird auf jedem Host installiert und die Geräte sollen sofort in der richtigen Gruppe landen und nicht erst beim nächsten Durchlauf des Tag Managers. Das geht direkt im Installationsskript. Globale Tags werden in der Notation ~Label:Wert übergeben, mehrere Tags kommagetrennt. Für unsere neuen Erfurter Clients sieht das so aus:
Diese Zeile wird dem Installationsskript hinzugefügt und funktioniert unter Linux und Windows gleichermaßen. Voraussetzung: Die globalen Tags müssen vorher über die Plattform angelegt sein, wie in Schritt 1 beschrieben. Hostspezifische Tags lassen sich ebenfalls mitgeben, als einfache kommagetrennte Liste ohne Tilde-Präfix. Etwas ausführlicher lässt sich das in unserer Knowledge-Base nachlesen.
Der Tag Manager übernimmt den Rest. Das Betriebssystem-Tag kommt automatisch über die Regel, Standort und Funktion stehen ab der ersten Minute.
Schritt 4: Carpe diem: Nutze den Tag und starte entspannt in den Morgen
Zurück zum Ausgangsszenario. Dienstagmorgen, der Update Manager zeigt ausstehende Sicherheitsupdates. Aber diesmal ist die Lage übersichtlich. Es gibt einige Sicherheits-Updates mit mittlerem Schweregrad (busybox und bind9-host) und eins mit hohem (systemd).
Der Admin wählt die kritischen Updates aus, klickt auf „Updates installieren” und wählt unter „Update-Umfang” die Option „Manuelle Host-Auswahl”. Dort gibt er den Tag „Standort: Jena” an – und die Sicherheitsupdates laufen auf allen Debian-Hosts, ohne einen einzigen Hostnamen manuell auszuwählen. Die Clients in Erfurt kommen nach Rücksprache erst am Mittwoch dran, ebenfalls per Tag.
Noch einfacher, wenn keine sachlichen Gründe dagegen sprechen, kann aktualisiert werden, wenn man statt manueller Host-Auswahl „Betroffene Hosts (Empfehlung)“ auswählt. Dann werden einfach alle Hosts, die den Security-Patch benötigen upgedatet.
Das ist der Punkt, an dem sich die halbe Stunde Einrichtung auszahlt. Nicht bei der ersten Aktion, sondern bei jeder weiteren. Jede Policy, jedes Update, jeder Alarm, der auf Tags basiert, ist eine Aktion, die nie wieder Host für Host durchgeführt werden muss. Und wenn im nächsten Quartal zehn neue Geräte dazukommen, landen sie automatisch in den richtigen Gruppen und bekommen die richtigen Einstellungen ohne dass jemand daran denken muss.
Was wir eingerichtet haben
In vier Schritten ist aus einer unsortierten Hostliste eine strukturierte Umgebung geworden. Drei globale Tags – Betriebssystem, Standort, Funktion – geben der Plattform ein Ordnungssystem. Vier Tag Manager halten die Zuordnung automatisch aktuell, auch wenn Hosts dazukommen, wegfallen oder sich ändern. Neue Geräte landen über das Installationsskript ab der ersten Minute in der richtigen Gruppe. Und Updates, Policies und Monitoring greifen jetzt auf Gruppen statt auf Einzelhosts und skalieren damit nachvollziehbar und übersichtlich.
Mit der Enginsight-Plattform kann man viel umsetzen. Wie die Bitte der Geschäftsleitung, die Fileserver zu überwachen, praktisch umgesetzt werden kann, erfahren Sie im nächsten Artikel.
