Firefox zentral verwalten über GPOs und policies.json

Seit der Version 60 enthält Firefox eine neue Policy Engine, mit der sich viele Ein­stellungen zen­tral fest­legen lassen. Das Regel­werk kann man je nach Platt­form und Vor­lieben über Gruppen­richt­linien oder eine Konfi­gurations­datei im JSON-Format definieren. Der AutoConfig-Mecha­nismus ist vorerst noch an Bord.

Auch schon in früheren Versionen von Firefox boten sich Möglich­keiten, den Browser zentral verwalten. Die entsprechende Unterstützung stammte aber entweder von Drittan­bietern oder setzte auf Verfahren, die nicht die Management-Funktionen des Betriebs­systems nutzten. Dazu zählte bis zuletzt die populäre CCK2-Erweiterung zur Wizard-gestützten Erzeugung von AutoConfig-Dateien.

OS-spezifische Bereitstellung von Regeln

Die seit der Version 60 in den Browser integrierte Policy Engine stellt somit einen großen Fortschritt beim Einsatz von Firefox in Unter­nehmen dar. Sie lässt im Extended Support Release (ESR) eine weit­gehende Konfiguration der Software zu. AutoConfig-Dateien werden noch unterstützt, sind aber nun weit­gehend obsolet.

Die Policy Engine kann ihre Einstel­lungen aus mehreren Quellen beziehen, so dass sie sich besser in verschiedene Platt­formen integrieren lässt. Unter Windows liest sie die ver­schiedenen Parameter aus der Registry aus, die sich ihrerseits über GPOs setzen lassen.

ADMX-Templates mit 73 Einstellungen

Gleichzeitig mit der Freigabe von Firefox 60 hat Mozilla die ADMX-Templates veröffentlicht, mit denen sich der Browser per GPO konfigurieren lässt. Sie enthalten aktuell 73 Einstellungen, mithin mehr, als Microsoft für Edge bietet. Sie sind sowohl unter dem Zweig Computer- als auch Benutzer­konfiguration verfügbar.

Hier finden sich vor allem Optionen, mit denen sich Features von Firefox blockieren lassen, wenn sie in Unter­nehmen nicht erwünscht sind. Das betrifft etwa die Möglichkeit, Add-ons zu installieren, ein Master-Passwort zu setzen, den integrierten PDF-Betrachter oder Private Browsing zu nutzen.

Außerdem lassen sich auf diesem Weg die Proxy-Einstellungen zentral setzen, nachdem Firefox dafür nicht wie Chrome oder Edge die Windows-Einstellungen übernimmt. Eigene Wege beschreitet der Mozilla-Browser auch bei Zerti­fikaten, für die er selbst einen Speicher enthält.

Die Einstellung Windows-Zertifikatspeicher nutzen bewirkt aber, dass er auf den Store des Betriebs­systems zurückgreift. Auf diese Weise lässt sich Firefox sehr einfach dazu bewegen, Zertifikaten zu vertrauen, die von einer Enterprise CA ausgestellt wurden, also beispielsweise von einer Active Directory Zerti­fizierungs­stelle.

Administrative Vorlagen installieren

Die Support-Site von Mozilla verweist auf eine Download-Seite auf Github, die mehrere komprimierte Archive enthält. Im Ordner Windows finden sich dort die Dateien mozilla.admx und firefox.admx, die ADML-Sprachdateien sind unter en-US nur nur auf Englisch enthalten.

Lädt man die Templates aber direkt aus dem Github-Repository herunter, dann bekommt man zusätzlich auch die deutschen Sprach­dateien. Die Qualität der Übersetzung ist aller­dings auf einem ähnlichen Niveau wie bei Microsoft, nämlich nicht besonders gut.

Um die Vorlagen im GPO-Editor verfügbar zu machen, kopiert man sie entweder lokal in das Verzeichnis %SystemRoot%\PolicyDefinitions oder bei der Nutzung eines Central Store nach
\\FQDN\SYSVOL\FQDN\policies\PolicyDefinitions.

Die Einstellungen befinden sich dann im GPO-Editor für Computer und Benutzer unter Richtlinien => Administrative Vorlagen => Mozilla => Firefox.

Alternative mittels JSON-Datei

Unter allen Betriebs­systemen lässt sich die Konfi­gurations­datei policies.json einsetzen. Sie muss bloß in ein Verzeichnis namens distribution unterhalb des Programm­ordners von Firefox kopiert werden. Unter Windows würde sich für ein zentrales Management die Verteilung dieser Datei per Group Policy Preferences anbieten.

Damit man sich nicht mit dem manuellen Editieren von JSON-Strukturen herumschlagen muss, hat Sören Hentzschel ein Add-on namens Enterprise Policy Generator entwickelt. Es erlaubt die Konfiguration des Browsers über eine GUI, das Ergebnis lässt sich dann im JSON-Format exportieren.

Installation von Firefox

Während Mozilla mit der neuen Policy Engine große Fortschritte beim Einsatz des Browsers in Unternehmen macht, fehlt für die zentrale Installation noch eine befriedigende Lösung. Zwar besteht die Möglichkeit, den Installer individuell anzupassen, aber dieser liegt für Windows nur als .exe-Datei vor.

Für die Distribution der Software über Gruppen­richtlinien wäre aber ein MSI-Paket erforderlich. Dieses ist aber weiterhin nicht verfügbar.