Předpoklady

Model distribucí z Distribuce, které v kurzu potkáte, balíčky z Kap. 6 Balíčky, repozitáře a aktualizace.
Kurz je serverový; tato kapitola pokrývá situaci, kdy se Linux objeví na stole: vývojářská stanice, stanice správce nebo firemní desktop pod Intune.
Lab je volitelný a běží v samostatné VM v Parallels; serverové VM z Kap. 1 Lab nemění.

Značení tvrzení: V ověřeno v uvedeném zdroji, D obecná znalost, ověřit na cílové verzi, neověřeno nepotvrzeno, k rozhodnutí rozhodnutí podle prostředí. Úroveň sekce (řádek pod nadpisem): Základ = nutné první den, Rozšíření = užitečné, Reference = k dohledání.

21.1 Server a stanice: co se mění

Úroveň: Základ

Jádro, balíčky, systemd, práva i SSH fungují na stanici stejně jako na serveru. Liší se vrstva nahoře a provozní priority.

Oblast	Server	Stanice
Grafické prostředí	Žádné (správa přes SSH, Cockpit)	Desktop, správce přihlášení, zvuk, tisk
Síť	netplan / NetworkManager, pevná konfigurace (Kap. 8 Síť, DNS a firewall)	NetworkManager s Wi-Fi a VPN z grafického rozhraní
Aplikace	Balíčky distribuce	Balíčky distribuce + Flatpak / Snap
Aktualizace	Plánované okno, restart řízeně	Na pozadí, uživatel restartuje sám
Distribuce	LTS / podnikové s dlouhou podporou	LTS i rychlejší (Fedora) podle role uživatele
Správa	Ansible, Azure Arc, Update Manager	Intune (Ubuntu Desktop, RHEL), případně Ansible
Šifrování disku	Podle platformy (Azure: encryption at host)	LUKS při instalaci

Pro správce Windows je nejbližší srovnání Windows Server Core a Windows 11: stejný základ, jiná role. Na serveru grafické prostředí neinstalujte (21.7).

Pojmy v této kapitole

Pojem	Vysvětlení jednou větou
Desktopové prostředí (DE)	Celé grafické prostředí: panel, okna, nastavení, správce souborů (GNOME, KDE Plasma)
Wayland / X11	Protokol mezi aplikacemi a obrazovkou; Wayland je nástupce staršího X11
Display manager	Přihlašovací obrazovka (GDM, SDDM); obdoba přihlašovací obrazovky Windows
Flatpak	Formát aplikací nezávislý na distribuci, v sandboxu, hlavní katalog Flathub
Snap	Obdobný formát od Canonical, výchozí pro část aplikací na Ubuntu
Immutable distribuce	Systémová část je jen pro čtení a mění se celá najednou, s návratem na předchozí verzi
Rolling release	Distribuce bez velkých verzí, aktualizuje se průběžně (Arch)

21.2 Z čeho se skládá linuxová plocha

Úroveň: Základ

Zdrojový zápis diagramu

flowchart TB
  A["Aplikace (Firefox, terminál, Office online v Edge)"] --> T["Knihovny GUI: GTK, Qt"]
  T --> D["Desktopové prostředí: GNOME, KDE Plasma, Cinnamon, XFCE"]
  D --> W["Zobrazovací protokol: Wayland (dnes výchozí), X11 přes XWayland"]
  W --> K["Jádro: ovladače GPU, vstupní zařízení"]
  L["Display manager: GDM, SDDM"] --> D

Ve Windows je vše od jádra po plochu jeden produkt. V Linuxu jsou vrstvy vyměnitelné: stejná distribuce může běžet s GNOME i s KDE a stejné prostředí může běžet na různých distribucích. Odtud tolik kombinací (Ubuntu s GNOME, Kubuntu s KDE, Fedora KDE).

Wayland je dnes výchozí session v GNOME i KDE Plasma D. RHEL 10 odstranil klasický Xorg server; starší aplikace pro X11 běží přes kompatibilní vrstvu XWayland V (RHEL 10 Release Notes, Removed features). Praktické dopady: sdílení obrazovky a vzdálená plocha jdou přes rozhraní prostředí (portály), starší nástroje pro snímání obrazovky nebo automatizaci myši nemusí fungovat D.

bash

echo "$XDG_SESSION_TYPE"          # wayland or x11
echo "$XDG_CURRENT_DESKTOP"       # GNOME, KDE, ...
loginctl list-sessions            # sessions on the machine
systemctl status display-manager  # GDM / SDDM service

21.3 Výběr desktopového prostředí

Úroveň: Rozšíření

Prostředí	Pro koho	Silné stránky	Slabší stránky
GNOME	Výchozí volba, podniková podpora	Výchozí na Ubuntu, Fedoře a RHEL; nejlépe vyladěný Wayland; jednotné ovládání	Méně nastavení bez rozšíření; rozšíření se po upgradu rozbíjejí D
KDE Plasma	Uživatelé z Windows, více monitorů	Rozvržení blízké Windows, podrobná nastavení, dobré škálování na různých DPI D	Víc možností = víc konfigurace
Cinnamon	Přechod z Windows	Tradiční panel a nabídka Start, výchozí v Linux Mint	Menší ekosystém mimo Mint
XFCE, LXQt	Starší HW, VM	Nízké nároky	Podpora Waylandu se teprve rozvíjí D
Dlaždicové správce oken (Sway, Hyprland)	Práce převážně z klávesnice	Minimální nároky, přesné rozvržení	Notifikace, zámek obrazovky a lišty se skládají ručně

Rozhodovací postup:

Je stanice ve správě Intune? → GNOME (jediné podporované prostředí pro zápis do Intune, 21.6) V.
Omezené zdroje (starý HW, VM s 2 GB RAM)? → XFCE.
Uživatel chce co nejvíc připomínat Windows? → KDE Plasma nebo Cinnamon.
Jinak → výchozí prostředí zvolené distribuce. Nejméně problémů má kombinace, kterou distribuce testuje.

Rozšíření GNOME mají plný přístup k uživatelské session D; na firemních stanicích je povolujte jako software, ne jako doplněk vzhledu.

21.4 Výběr distribuce pro stanici

Úroveň: Rozšíření

Distribuce = základ systému + správce balíčků + model vydávání + délka podpory. Prostředí (21.3) je samostatná volba.

Modely vydávání

Model	Příklad	Charakter	Windows obdoba
LTS	Ubuntu 24.04 LTS, Debian	Pět a více let podpory, starší verze aplikací	LTSC
Podnikový s dlouhým cyklem	RHEL, AlmaLinux	Hlavní verze na roky, menší verze průběžně	Windows Server
Pololetní	Fedora	Nová verze zhruba po šesti měsících, podpora přibližně 13 měsíců D	Feature updates Windows 11
Rolling	Arch, openSUSE Tumbleweed	Bez velkých upgradů, vždy nejnovější, vyšší riziko regrese	Insider Preview (přibližně)
Immutable	Fedora Silverblue / Kinoite, RHEL image mode	Systém jen pro čtení, atomická aktualizace a návrat	–

Rozhodovací postup

Zdrojový zápis diagramu

flowchart TD
  A{"Firemní stanice ve správě Intune?"} -- ano --> B["Ubuntu Desktop LTS (GNOME) nebo RHEL 9/10"]
  A -- ne --> C{"Potřebujete dlouhou podporu a klid?"}
  C -- ano --> D{"Chcete co nejpodobnější Windows?"}
  D -- ano --> E["Linux Mint (Cinnamon)"]
  D -- ne --> F["Ubuntu Desktop LTS"]
  C -- ne --> G{"Vývoj, nejnovější nástroje, SELinux?"}
  G -- ano --> H["Fedora Workstation"]
  G -- ne --> I{"Nemá se systém rozbít aktualizací?"}
  I -- ano --> J["Fedora Silverblue / Kinoite"]
  I -- ne --> F

Distribuce	Základ	Podpora	Aplikace navíc	Vhodné pro
Ubuntu Desktop LTS	vlastní (Debian)	5 let, rozšíření přes Ubuntu Pro V	Snap (výchozí pro část aplikací, např. Firefox D), Flatpak lze doplnit	Firemní stanice, Intune, největší komunita
Linux Mint	Ubuntu LTS	Podle základu Ubuntu LTS D	Flatpak; Snap standardně blokovaný D	Přechod z Windows, domácí použití
Zorin OS	Ubuntu LTS	Vydání se zpožděním za Ubuntu D	Snap i Flatpak	Přechod z Windows; podniková správa neověřeno
Fedora Workstation	nezávislá (RPM)	Přibližně 13 měsíců, upgrade dvakrát ročně D	Flatpak	Vývojáři, správci, SELinux ve výchozím stavu
RHEL Workstation	RHEL	Dlouhý cyklus RHEL, placená subscription	Flatpak	Podniková podpora, Intune
Fedora Silverblue / Kinoite	Fedora (immutable)	Jako Fedora	Flatpak, vývoj v kontejnerech (Toolbx)	Stanice, které nemají „ujíždět“; sdílené stroje

Pro správce kurzu, který chce stanici pro práci se servery: Fedora Workstation nebo Ubuntu LTS. Obě mají stejné nástroje (ssh, az, pwsh, ansible) jako servery v kurzu. k rozhodnutí firemní standard pro linuxové stanice (distribuce, prostředí, správa).

21.5 Aplikace: balíčky, Flatpak, Snap

Úroveň: Rozšíření

Formát	Zdroj	Izolace	Aktualizace	Poznámka
Balíček distribuce (`apt`, `dnf`)	Repozitář distribuce	Žádná, sdílí knihovny se systémem	S aktualizacemi systému	Pro systémové nástroje a servery
Flatpak	Flathub, firemní repozitář	Sandbox, přístup přes portály	`flatpak update`, automaticky z GUI	Nezávislý na verzi distribuce
Snap	Snap Store (Canonical)	Sandbox (AppArmor)	Automaticky na pozadí	Výchozí na Ubuntu
AppImage	Web výrobce	Žádná	Ručně	Jeden spustitelný soubor, obdoba „portable“ aplikace

bash

flatpak remotes                  # configured sources (flathub)
flatpak list --app               # installed Flatpak apps
flatpak install flathub org.gimp.GIMP
snap list                        # Ubuntu: installed snaps
snap refresh --list              # pending snap updates

Obdobou je Microsoft Store (sandbox, automatické aktualizace) oproti klasickému MSI. Pro firemní stanice rozhodněte, které zdroje jsou povolené: Flathub obsahuje i aplikace, které nebalí jejich autoři, ověřené aplikace jsou označené D. k rozhodnutí povolené zdroje aplikací na stanicích (jen distribuce, Flathub ověření vydavatelé, firemní repozitář).

21.6 Firemní stanice: Intune, Entra ID, Defender

Úroveň: Rozšíření

Požadavek	Stav podle MS Learn
Podporované systémy pro Intune	Ubuntu Desktop 24.04 LTS a 26.04 LTS s prostředím GNOME, RHEL 9 a 10 V
Architektura Ubuntu	x86-64 (fyzicky, Azure VM, Hyper-V) V; ARM64 v Parallels na Apple Silicon tedy zapsat nelze
Ubuntu Server	Nepodporovaný pro zápis V
Postup	Aplikace Microsoft Intune + Microsoft Edge 102+; zápis provádí uživatel, hromadný zápis neexistuje V
Registrace	Zařízení se zapíše do Intune a zaregistruje v Entra ID; potom podmíněný přístup v Edge V
Stanice bez uživatele (kiosk)	Nepodporováno V
Konfigurace	Compliance politiky a vlastní bash skripty z Intune V
Šifrování	Doporučeno zapnout už při instalaci (LUKS) V

Zápis do Intune nezakládá přihlašování do systému účtem Entra ID: Linux se dál přihlašuje lokálním účtem (nebo AD přes SSSD, Kap. 11 Integrace s Active Directory a Entra ID), Entra ID řídí přístup k firemním aplikacím v Edge D. Defender for Endpoint na Linuxu se nasazuje zvlášť (Kap. 16 Hardening).

Při přechodu aplikace Intune na Microsoft Identity Broker 2.0.2 a novější se zařízení automaticky přeregistruje a dostane nová ID v Intune i Entra ID; skupiny, filtry a přiřazení založená na ID zařízení je pak nutné zkontrolovat V.

21.7 Grafické prostředí na serveru?

Úroveň: Základ

Na serveru grafické prostředí neinstalujte. Zvětší se počet balíčků k aktualizaci, spotřeba paměti a útočná plocha a správa se stejně dělá přes SSH. Zásada platí stejně jako volba Server Core na Windows.

Potřeba	Řešení místo GUI
Přehled a základní správa v prohlížeči	Cockpit (Cockpit: webová konzole (volitelné))
Úprava konfigurace	Editor v terminálu (Příloha D Terminálové nástroje) nebo VS Code s rozšířením Remote - SSH ze stanice D
Grafický instalátor aplikace	Tichá instalace nebo přesměrování X11 jen pro jedno spuštění (`ssh -X`) D
Aplikace, která GUI opravdu vyžaduje	Samostatná VM se stanicí, ne server

Pokud GUI na serveru už je, zjistíte to přes systemctl get-default (graphical.target oproti multi-user.target) a systemctl status display-manager (Kap. 12 Start systému, nouzové režimy a obnova). Přepnutí na textový start: sudo systemctl set-default multi-user.target V (systemd.special(7)); balíčky prostředí tím nezmizí.

21.8 Lab: stanice v Parallels (volitelné)

Úroveň: Rozšíření

Proč: vyzkoušet prostředí a formáty aplikací bez zásahu do serverových VM. Kde: Parallels. V labu: volitelně; v Azure kvůli nákladům a grafickému přístupu nedoporučujeme. Přežije restart: ano (samostatná VM).

V Parallels vytvořte VM z instalačního média Ubuntu Desktop LTS nebo Fedora Workstation v architektuře vašeho Macu (Apple Silicon: ARM64 / aarch64). Dostupnost ARM64 obrazu Ubuntu Desktop neověřeno pro vaši verzi, Fedora Workstation aarch64 existuje D. Parallels nabízí i stažení distribuce přímo v průvodci D.
Pojmenujte ji lab-desktop, 2 vCPU, 4 GiB RAM.
Po přihlášení ověřte:

bash

echo "$XDG_SESSION_TYPE $XDG_CURRENT_DESKTOP"
systemctl get-default
flatpak remotes 2>/dev/null || echo "flatpak not installed"
snap list 2>/dev/null | head
nmcli connection show

Nainstalujte jednu aplikaci z Flathubu a jednu z repozitáře distribuce; porovnejte, kde leží (flatpak info <app> oproti rpm -ql / dpkg -L).

21.9 Paralela: co by se dělalo ve Windows

Úroveň: Reference

Úkol	Linux (děláme)	Windows (srovnání)
Volba vzhledu a ovládání	Volba DE	Jedno prostředí
Obchod s aplikacemi	Flathub, Snap Store	Microsoft Store
Klasická instalace	`apt`, `dnf`	MSI, winget
Správa stanic	Intune (Ubuntu, RHEL), Ansible	Intune, GPO
Šifrování disku	LUKS	BitLocker
Textový režim	`multi-user.target`	Server Core

21.10 Návrat do výchozího stavu

Úroveň: Základ

Odstranění VM lab-desktop – vratné

Dopad: smaže volitelnou VM stanice; serverové VM se nemění. Před spuštěním: ve VM nemáte nic, co chcete zachovat. Postup: v Parallels VM vypněte a zvolte Remove → Move to Trash, nebo prlctl delete lab-desktop D. Recovery – obecný postup: VM znovu vytvořit podle 21.8. Ověření: prlctl list -a neobsahuje lab-desktop.

21.11 Typické pasti

Úroveň: Reference

Past	Příznak	Řešení
GUI na serveru „pro jistotu“	Víc aktualizací, víc paměti, víc zranitelností	`multi-user.target`, Cockpit
Fedora na stanici bez plánu upgradu	Po zhruba roce bez oprav	Plán upgradu dvakrát ročně, nebo LTS
Intune na KDE nebo Ubuntu Server	Zápis selže	Ubuntu Desktop s GNOME, RHEL 9/10
Starý nástroj pro sdílení obrazovky	Pod Waylandem nefunguje	Nástroj s podporou portálů, X11 session jen výjimečně
Rozšíření GNOME jako základ práce	Po upgradu nefungují	Minimum rozšíření, schválený seznam
Neomezené zdroje Flatpak/Snap	Aplikace mimo kontrolu správce	Povolené zdroje, ověření vydavatelé

21.12 Mini-cvičení

Úroveň: Základ

Na serverových VM zjistěte systemctl get-default a vysvětlete výsledek.
Podle rozhodovacího postupu v 21.4 vyberte distribuci pro tři role: vývojář, účetní na firemní stanici, sdílený počítač na recepci. Zdůvodněte.
(Volitelně) V lab-desktop zjistěte typ session a nainstalujte aplikaci z Flathubu.
Sepište, co by musela splnit linuxová stanice, aby šla spravovat v Intune.

Rychlá reference

Úroveň: Reference

Úkol	Linux (bash)	Windows (srovnání)
Typ session	`echo $XDG_SESSION_TYPE`	–
Prostředí	`echo $XDG_CURRENT_DESKTOP`	–
Grafický / textový start	`systemctl get-default`, `sudo systemctl set-default multi-user.target`	Server Core
Přihlašovací obrazovka	`systemctl status display-manager`	–
Flatpak aplikace	`flatpak list --app`, `flatpak update`	Microsoft Store
Snap aplikace	`snap list`, `snap refresh`	Microsoft Store
Síť z terminálu	`nmcli connection show`	`netsh wlan show profiles`

21.13 Zdroje