הגדרת SCCM Client Push
פרקי ההרצאה: הגדרת SCCM Client Push
תמלול ההרצאה: הגדרת SCCM Client Push
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת SCCM Client Push» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם ברוכים הבאים להרצאה על התקנת קליינט דרך פוש ממקום מרכזי אחד אנחנו לוקחים, מצרפים מחשב חדש לדומיין ואנחנו רוצים לא ידנית לצרף מחשב לסיסטם סנטר זאת אומרת לא להתקין ידנית קליינט על המחשב כמו שעשינו לפני כן אלא אנחנו רוצים לעשות התקנה מתוך ממשק ניהול
מרכזי עכשיו הבעיה היא קודם כל שממשק ניהול מרכזי לא יודע שיש לנו תחנת עבודה חדשה זה בכלל לא מופיע פה ברגע שהיא הייתה מופיעה כאן הייתי עושה לה right-click ו-install client, אבל קודם כל היא צריכה להופיע פה ברשימה והיא לא מופיעה.
אנחנו צריכים להגיד ל-System Center שילך ל-Active Directory ל-Domain Controller וימשוך משם רשימת המחשבים.
זה נקרא Discovery Method, שיגלה לבד מ-Active Directory איזה מחשבים חדשים נוספו שם. שימו לב: Configure Settings that Configuration Managers use to find computers system from active directory זאת אומרת יש לי לגלות יוזרים יש לי לגלות מחשבים יש לי לגלות קבוצות
ויש לי לגלות בכלל את הכל אז אני רוצה עכשיו רק מחשבים computer systems שימו לב הגילוי על ידי discovery על ידי השיטה של מחשבים היא disabled היא מבוטלת אני עושה לו אוקיי שם לו v כדי שהיא תעבוד ואומר לו איפה לחפש בואו נעשה עכשיו uu חדש בואו נעשה OU חדש וכל מי שנשים שם יתגלה אוטומט.
כמובן שאני יכול לשים אותו על כל הדומיין או לשים אותו על OU של מחשבים על דיפולטים, אני לא רוצה. אני רוצה להראות לכם הרבה שיטות עבודה ולכן אני לא רוצה שיגלה הכל אוטומט.
אם הייתי רוצה שיגלה הכל אוטומט הייתי שם פה על הקומפיוטרס הזה, כי מחשב ברירת מרדל נכנס לתוך הקומפיוטרס כאן. אז אני עושה OU חדש, אני אקרא לו TLV ובתוך ה-TLV תל אביב, אני אעשה OU חדש ונקרא לראה איזה קומפס, אוקיי, או פיסיס, אוקיי, יפה.
וברגע ש-10.2 הזה ייכנס לכאן, הוא יתגלה על ידי המערכת. בואו נבדוק את זה. עוד פעם, אני נכנס לתוך Active Directory System Discovery Properties, אתם רואים זה כאן, שהוא Disabled כרגע, שזה קומפיוטר, System זה קומפיוטר, זו הכוונה.
אני עושה לו שקודם כל יתחיל לעבוד. דבר שני, שיחפש בתוך TLV פיסיס, שימו לב זה בשפת ה-LDAP ככה כותבים הוא U שווה U שווה DC פסיק DC פסיק זאת שפת ה-LDAP עם איזה חשבון אני מתחבר לאקטיב דירקטורי אם לקומפיוטר אקאונט הזה אין הרשאות באקטיב דירקטורי אפשר להגיד לו שיתחבר עם יוזרנם ופסוורד אחרים
לתוך האקטיב דירקטורי המחשב הזה הוא חבר באקטיב דירקטורי ויש לו זכות לקרוא מה שקורה בתוך תיקייה שימו לב המחשב הזה אין לו שום הרשאות מיוחדות זאת אומרת אם אני לוקח את ה-System Center את המחשב של סיסטם סנטר, את המחשב.
שימו לב, הוא חבר רק בדומיין קומפיוטרס. הוא לא אדמיניסטרטור, הוא סתם מחשב בדומיין, אין לו שום הרשאות מיוחדות. תזכרו את זה כי אחרי זה נחזור לנקודה הזאת יותר מאוחר.
ואז אני עושה אוקיי ואומר לו תגלה לי מחשבים באקטיב דירקטורי מתוך OU כזה. תעשה את זה כל 7 יום מ-0 תעבור על כל האקטיב דירקטורי וכל 5 דקות תבדוק אם יש אובייקט חדש.
איזה שדות מתוך אקטיב דירקטורי אתה שומר מקומית אצלך ב-SQL שלך, כדי שאני אוכל לעשות כל מיני פעולות אחרי זה.
זאת אומרת, אני יכול להגיד לו רק פעולות על מחשבים מ-employee number מסוים, עבור עובד מסוים. זאת אומרת, אני יכול לתת לו קבוצות לפי המאפיין כלשהו, וזה המאפיינים שיש לי ברירת מחדל במערכת שה-System Center חייב אותו, ואני יכול להוסיף לו עוד דברים, לדוגמה כתובת מייל.
אבל זה מחשב, זה פחות חשוב. בקיצור, שדות שיש בסכמה של האקטיב דירקטורי ואני בוחר פה מה אני רוצה לשמור מקומית בנוסף לשדות הקיימים וכל זה נשמר בתוך sql המקומי של סיסטם סנטר כל מה שהגדרתי בסופו של דבר enable ואיפה לחפש שימו לב נורא חשוב להגיד לו איפה לחפש
כי אחרת הוא לא יודע איפה לחפש ולא יחפש כלום עושים אוקיי אוקיי עכשיו כדי לא לחכות אני עושה right click run full discovery now עושה לו yes הולך לאסטס ואין לי פה כלום.
למה אין לי כלום? הוא לא גילה שום דבר, כי הקבוצה של PCS פה ריקה. אז מה אני עושה? אני לוקח את ה-10-2 הזה וגורר אותו לכאן, עושה לו yes, הוא כבר לא נמצא ב-U של Computers, אלא נמצא ב-U של תל אביב PCS.
בואו נראה אם זה התגלה לבד, עוד לא התגלה לבד. אין לי כוח לחכות לו 5 דקות, אני בא לכאן, עושה right-click, run, full discovery now, חוזר חזרה ל-assets, devices והוא עכשיו אמור להתגלות סיסטם סנטר עובד קצת לאט אז בוא ניתן לו שתי דקות אני אלך להכין לי קפה אנחנו יכולים לעשות רייט קליק אינסטול קליינט לעשות נקסט לעשות אינסטול
קליינט סופטור און ספציפייט סייט זאת אומרת אני לוקח ומשייך אותו לסייט מסוים סייט זה אתר פיזי שבתוכו יש שרתים אני אומר הקליינט הזה לאיזה אתר פיזי הוא שייך יפה מאוד ואנחנו רואים שהפקודה התקבלה והכל עובד ומצוין ואנחנו הולכים למחשב השני בואו נבדוק מה קורה אצלו שמה באמת רגליים אדמיניסטרטור אני נכנס עם יוזר של domain admin כדי שיהיו לי הרשאות גם על
המחשב המקומי של אדמיניסטרטור וגם אני אוכל לגשת לשיתופים בשרת בלי בעיה הנה התחנה עלתה בוא נראה מה קורה ב-task manager מה שמעניין אותי זה ccm ואני לא רואה אותו אני לא רואה פה ב-c שימו לב ההתקנה לא הצליחה מה מה אנחנו עושים בשביל לגלות מה הבעיה של ההתקנה?
למה היא לא הצליחה? איפה זה נפל? בואו נלך לתיקייה בכונן C שלנו. נלך לחפש לוגים. C.2 Windows, אנחנו בתחנת העבודה.
CCM, אני לא רואה פה תיקייה של CCM. שימו לב, אין פה תיקייה של CCM. אוקיי, זאת אומרת בתחנה אין מה לחפש כי אין לוגים בתחנה, זה היה שלב לפני כן. מה השלב הלפני כן?
זה בעיה בשרת. אז אנחנו הולכים לשרת, הולכים לתיקיית הלוגים, שימו לב פה לא מופיע שום דבר פה אין כלום אין שום מידע אני לא רואה פה שום מידע חוץ מזה שאין פה agent אבל מה הבעיה אני לא יודע אני לא מבין מה הבעיה אני הולך לתיקיית פרוגרם פיילס מייקרוסופט קונפיגוריישן מנאג'ר שזה
ccm פרוגרם פיילס ccm tools בתוך הtools יש ccm trace זה הכלי שפותח לי את הלוגים ואיפה הלוגים נמצאים בתיקיית פרוגרם פיילס לוגס ופה יש את כל הקבצים של הלוגים עבור כל דבר יש לו לוג משלו אני מעניין אותי ccm ccm זה זה הלוג של הקליינטים, אני פשוט זוכר את זה בעל פה, מי שלא זוכר בעל פה יכול לרשום את ccm client ובגוגל למצוא שזה הלוג שלו,
והנה אנחנו רואים כאן את הבעיה, fail to connect לאדמין דולר, אתם רואים? הוא ניסה להתחבר ל-10.02.practice.com/adminedollar שזה תיקיית וינדוס שלו, c-dolar windows, using machine account, עם החשבון של המשין אקאונט של מי? של הסיסטם סנטר למעשה, חשבון מחשב של סיסטם
סנטר אין לו אישור להתחבר לתחנה הזאתי להדמין דולר שלה. הבנתם את הבעיה? זאת הבעיה שלו, הוא לא הצליח. בואו ננסה להתחבר אנחנו.
הנה, אתם רואים, הוא אומר, תקשיב, יש לי פה בעיה להתחבר לשיתוף ולהתחיל להעתיק לשם קבצים, בגלל זה גם לא ראינו את התיקייה. בואו נראה אם אנחנו יכולים להתחבר.
10-2, נכון, ככה הוא ניסה להתחבר. בואו נעתיק את זה פשוט. ננסה אנחנו להתחבר. לראות אם זה בעיה של computer account או בעיה של שיתוף באופן כללי ואנחנו רואים שגם אנחנו לא מצליחים להתחבר בשיתוף רגיל למחשב למה בגלל הפיירוול שלו כנראה שיש לו שם פיירוול שמפריע טוב בוא נלך לפתוח פורטים בפיירוול בצורה מרכזית כדי לא לעשות את זה על כל מחשב
בנפרד אז אני הולך לכאן לפני שאני פותח פורטים בפיירוול בוא נבדוק בדיוק באינטרנט מה הפורטים שצריך לפתוח אז אנחנו רוצים SCCM פוש קליינט פורטס, איזה פורטים לפתוח? הנה כתוב פה קליינט פוש אינסטליאשן, אנחנו צריכים פייל אנד פרינק שיירינג ו-WMI, WMI זה להריץ פקודות מרחוק,
זה ממשק ניהול מרוחק, Windows מנג'מנט אינטרפס, מרחוק אפשר לנהל את הווינדוס דרך WMI, להביא פקודות לווינדוס, אנחנו צריכים WMI ואנחנו צריכים פייל אנד פרינק שיירינג, זה למעשה מה שאנחנו צריכים בשביל קליינט פוש אינסטליאשן, שני הדברים האלו בואו נאפשר אותם בגרופוליסי אנחנו הולכים פותחים כלי שנקרא גרופוליסי מנג'מנט והולכים ל-OU שלנו ונצמיד לו פוליסה
שנקראת אתם יודעים מה בואו נעשה פוליסה ברמת כל הדומיין ונקרא לזה SCCM Client Push Allow זה השם שאני המצאתי עושה אדיט הולך לפוליסה ברמת המחשב Windows Settings ויש פה Security ופה יש Firewall.
יפה מאוד, וב-Firewall, בחוקי כניסה למחשב, שימו לב, זה החוקים שהולכים להיות פרוסים על כל המחשבים על תחנות העבודה. אני עושה Right Click, New Rule, חוק חדש, מותר להיכנס בשיתוף וב-WMI, למזלי זה Pre-Defined, מוגדר מראש, ויש לי פה File and Print Sharing.
אתם רואים, זה שיתופים וזה כולל גם פינגים, שימו לב, יש פה חוקים מוכנים מראש, smb-in זה בדיוק port 445 של שיתופים ו-icmpv4 זה למעשה הפינגים.
זה שני הדברים שאני צריך ואני כבר מאפשר את כל ה-file-and-print sharing, את כל סוגי השיתופים, גם ישנים, גם חדשים. אני עושה להם allow, finish. זה עשינו share, שיתוף.
אם אנחנו לא נעשה עכשיו wmi זה שוב יכשל כי הוא לא יצליח להריץ פקודה מרחוק ונעשה ישר חוק חדש, נעשה predefined, נחסוך זמן ואנחנו עושים windows, מנג'מנט Windows מנג'מנט אינסטרומנט אינסטרומנטיישן wmi allow פייניש סיישן wmi אפליה פרינק שיירינג בתוך פוליסה מצויין אאוטבאונד אני לא צריך כי מתחנה החוצה הכל
פתוח כברירת מחדל יופי עשינו את זה בדיטלס פה אנחנו יכולים לראות כל ההגדרות שעשינו בבקשה זה כל ההגדרות שעשינו אפשר לראות כאן ואנחנו הולכים לתחנה הולכים cnd gp-update/force שימשוך את הפוליסה מגרופוליסי, force זה אומר ליישם אותה בכוח כאן ועכשיו, אנחנו הולכים לfirewall windows advanced firewall,
אנחנו יכולים לראות שפה file and print sharing פתאום פתוחים לכל הפרופילים בפורט 445 ואם אני עושה דאבל קליק אני לא יכול לשנות כאן כלום למרות שאני אדמיניסטרטור מקומי של התחנה, כן אני אדמיניסטרטור של הרשת כי זה הכל מנוהל על ידי Group Policy, System Administator דרך
Group Policy נתן את ההוראות האלו וגם אדמיניסטרטור מקומי לא יכול לשנות את החוק הזה. שימו לב אם אני אכנס לחוק אחר שהוא לא מנוהל בצורה מרכזית, נניח אחד מעליו, אני יכול לשנות מה שאני רוצה איך שאני רוצה.
אבל החוק הזה הגיע מניהול מרכזי מלמעלה ואי אפשר לשנות אותו. עכשיו כשפתחנו את הפורטים, בואו ננסה להריץ עוד פעם את ההתקנה, או, אתם רואים, הנה נתן לי הודעת שגיאה, בואו נבדוק שעכשיו זה יעבוד לנו מהשראת של System Center, פתאום עובד.
בוא ננסה סי דולר או אדמין דולר, רואים שזה עובד. עכשיו, השאלה זה עם איזה חשבון מחשב הוא מנסה להתחבר.
הרי הוא מנסה לעשות הכל עם חשבון מחשב של סיסטם סנטר, עם החשבון מחשב של סיסטם סנטר, עם הרשאות שלו.
עכשיו יש לנו, תהיה לנו בעיית הרשאות, למה? כי המחשב הזה זה SRV 2016 סיסטם סנטר, זה חשבון מחשב. המחשב הזה הוא לא חבר בשום קבוצה, שאני יכול להוסיף אותו לדומיין אדמינס ואז הוא יקבל גישה חופשית ולא תהיה לי בעיה אבל אם אני לא רוצה להוסיף אותו לדומיין אדמינס אני יכול לעשות פה יוזר שאני אקרא לו sccm push ולתת ליוזר הזה הרשאות על תחנות
נותן לו סיסמה מאוד ארוכה כדי שאף אחד לא יגלה אותה אני לא רוצה שגם היא תתחלף ולא תפוג תוקף עכשיו sccm push הזה הוא לא חבר בשום קבוצה כי אני לא רוצה שהוא יהיה דומיין אדמין כי אם הוא יהיה דומיין אדמין הוא יהיה גם אדמיניסטרטור על כל השרתים אני לא רוצה שירתים אני רוצה שיהיה רק בתחנות עבודה,
אז מה אני עושה? אני הולך ל- Group Policy ועושה פוליסה חדשה שנקראת Windows 10 Admins, לא משנה איך שאתם רוצים, תקראו לה. אני הולך ל-Edit, ופה אני אגדיר מי יהיה האדמיניסטרטור בתחנת העבודה.
לפני כן אני לא רוצה שזה יהיה בכל הדומיין, אני רוצה לקשר אותה רק לאויום מסוים. אני אומר שתהיה מקושרת רק לאויום מסוים, אוקיי? רק לאויום מסוים ולא על כל הדומיין, כדי שזה לא יחול על שרתים, שזה יחול רק על תחנות עבודה.
אז הפוליסה הזאת תחול רק על תחנות עבודה שנמצאות ב-OU של PC's. ואנחנו הולכים ועושים Security ומחפשים פה Restricted Groups.
רסטריקטד גרופס, עושים Add Group. וכותבים שאנחנו רוצים לקבוע מי יהיה חבר בקבוצת אדמיניסטרטורס. ומי יהיה חבר בקבוצת אדמיניסטרטורס מקומית?
קודם כל זה חייב להיות אדמיניסטרטור מקומי, על פי חוקים של מייקרוסופט אסור האדמיניסטרטור מקומי לא יהיה חבר בקבוצת האדמיניסטרטורס. דבר שני, את מי אנחנו רוצים עוד?
בואו נראה מי נמצא שם עוד. את מי אנחנו רוצים עוד? Computer Management, דומיין האדמינס שם צריכים להיות, נכון?
פה, באדמיניסטרטורס המקומיים של התחנה, מי עוד חבר? אדמין, זה שעדכנו איתו את הווינדוס, אדמיניסטרטור שחייב להיות אבל הוא מבוטל ודומיין אדמינס.
אנחנו רוצים פה לעשות Add ולהוסיף פה עוד