DSGVO-Stuff: Rechner nach angemeldetem User durchsuchen

[RubberDog]

Moin,

die Frage geht Richtung Jura - ich erwarte keine Einwandfreie, rechtliche Beurteilung, aber manch eine/-r hier hat vielleicht Erfahrung damit.

 

Ich bin Sys-Admin in einer Bildungseinrichtung und habe eine 4-stellige Anzahl User.
Ein Teil dieser User nutzt auch Linux-Rechner, die wir in einem "Pool" zur Verfügung stellen.
 

Nun gibt es keine lokalen Profile, sondern zentral. Heisst, die /home/-Verzeichnisse werden via NFS am jeweiligen PC gemountet.
Es kommt häufiger mal vor, dass Nutzer sich nicht von einem PC abmelden, dort beispielsweise FireFox offen lassen, und Tage später jammernd ankommen, weil sie FireFox (an einem anderen PC) nicht öffnen können.

Es gäbe die Möglichkeit, dass der User die Lock-Datei(-en) manuell aus seinem /home/ löscht, allerdings läuft er dabei immer auch ein wenig Gefahr, sich das Profil völlig zu zerschießen.

Alternativ könnte ich - um nichts zu speichern - manuell jeden PC durchgehen und schauen, ob die Person noch angemeldet ist. Das frisst aber massig Zeit und ist ineffektiv ohne Ende.

Und jetzt endlich meine Frage:

Darf ich, aus Datenschutzrechtlicher Sicht, auf Anfrage des Nutzers ein Script laufen lassen welches sich auf allen Rechnern des Pools einloggt, den Output von "who" in einer Datei speichert (wobei pro PC eine Datei angelegt würde, zwecks simpler Zuordnung), und nach einem "grep $USERNAME /pfad/zu/den/dateien" alle direkt wieder via "rm -f datei*" löscht?

Dem anfragenden User dürfte das recht sein, allerdings erfasse ich ja automatisiert auch sämtliche andere User, die gerade dort eingeloggt sind - wenn via SSH, sogar mit der IP.

[Han_Trio]

Das zentrale Problem scheint ja das hier zu sein:
 

vor 3 Stunden schrieb RubberDog:

ein Script laufen lassen welches sich auf allen Rechnern des Pools einloggt, den Output von "who" in einer Datei speichert (wobei pro PC eine Datei angelegt würde, zwecks simpler Zuordnung), und nach einem "grep $USERNAME /pfad/zu/den/dateien" alle direkt wieder via "rm -f datei*" löscht

Muss das denn überhaupt in dieser Form gespeichert werden? So wie ich es verstanden habe, könnte man doch auch den output von "who" direkt in grep weiterpipen, so würde als End-output jeweils nur der gesuchte User auftauchen.

Also, dann würde die Info über andere User zwar de facto abgegriffen, aber nirgendwo gespeichert bzw. einsehbar sein.

[Maniska]

Und wenn du dir ein Script bastelst, dass Nachts einfach alle User abmeldet?

Natürlich werden dann ggf. auch Daten verloren gehen, aber das lernen deiner User dann schnell

[RubberDog]

vor 3 Minuten schrieb Maniska:

Und wenn du dir ein Script bastelst, dass Nachts einfach alle User abmeldet?

Natürlich werden dann ggf. auch Daten verloren gehen, aber das lernen deiner User dann schnell

Dann werden die User mich schnell massakrieren, da teilweise mehrtägige Berechnungen auf den Kisten laufen.
Leider keine möglichkeit ?

[allesweg]

Andere Herangehensweise: ins Profil eine Datei "AngemeldetAufFolgendenRechnern" ablegen & den Rechner darin speichern? Beim LogOff natürlich wieder raus löschen... 

[Maniska]

Ah, ok. Dann ist das natürlich blöd...

Und "nur" die üblichen Verdächtigen unter den Prozessen abschießen, oder die Lock Dateien killen?

Bei servergespeichtern Profilen müsstest du dort doch auch hin kommen und kannst dann entweder auf Zuruf oder automatisiert die Dateien killen. Also wenn es der User händisch machen könnte...?

Bzw was willst du mit deinem Script erreichen? Wenn du weißt, wo der User angemeldet ist, was machst du dann?

[RubberDog]

vor 3 Minuten schrieb Maniska:

Wenn du weißt, wo der User angemeldet ist, was machst du dann?

Ihm das mitteilen, weil er dann normalerweise neben mir steht. Dann kann er sich entweder selbst dort wieder anmelden, oder wenn belegt, zumindest via SSH seine Prozesse killen.

vor 5 Minuten schrieb Maniska:

Und "nur" die üblichen Verdächtigen unter den Prozessen abschießen, oder die Lock Dateien killen?

Dazu müsste ich dann ja wissen auf welchem Rechner, oder aber in den Daten des Users rumfuchteln.
Da jeder hier ein paar GB bekommt, und dort machen kann was er / sie möchte, und viele auch einiges an privatem Kram dort lagern, vermeiden wir die administrativen Zugriffe so gut es geht.

 

vor 10 Minuten schrieb allesweg:

ins Profil eine Datei "AngemeldetAufFolgendenRechnern" ablegen & den Rechner darin speichern

Der lokale root der Rechner hat keinen Zugriff auf die /home/ Verzeichnisse, dazu müsste ich dann entweder ein Script in jedem Userverzeichnis hinterlegen, oder das ganze von root auf dem Server der Profile erledigen lassen.
Ausserdem müsste man das denen allen mitteilen, und sie müssten es kapieren.
Die Erfahrungen hier sagen, dass das leider schwierig würde.

[RubberDog]

vor 2 Stunden schrieb Han_Trio:

Muss das denn überhaupt in dieser Form gespeichert werden? So wie ich es verstanden habe, könnte man doch auch den output von "who" direkt in grep weiterpipen, so würde als End-output jeweils nur der gesuchte User auftauchen.

Also, dann würde die Info über andere User zwar de facto abgegriffen, aber nirgendwo gespeichert bzw. einsehbar sein.

Stimmt, da kam ich vorhin gar nicht drauf.
Da ich sowieso via for-Schleife ne SSH-Verbindung zu jedem Rechner aufbauen müsste, kann ich bei nem positiven return von grep (den ich nicht mal sehen muss) einfach den Namen des jeweiligen Rechners echo'en lassen.

Vielen Dank für die Idee!

[awesomenik]

vor 7 Stunden schrieb RubberDog:

Dazu müsste ich dann ja wissen auf welchem Rechner

Wieso schaust du eigentlich nicht auf dem Server, welcher Client mit dem Home-Verzeichnis des Users verbunden ist?