התקנה של SCCM CLIENT דרך GPO

תמלול ההרצאה: התקנה של SCCM CLIENT דרך GPO

הטקסט המלא של הדקות הראשונות בהרצאה «התקנה של SCCM CLIENT דרך GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאה הזאת אנחנו נתקין אג'נט של סיסטם סנטר דרך גרופוליסי כי קיבלנו הוראה מסניף שלנו בניו יורק שאסור לפתוח פורטים לפוש אסור לפתוח שירות של פייל אנד פרינט שיירינג אסור לפתוח בתחנה שיתופים למה? כי מסיבות של אבטחה בגלל שאסור לפתוח פורטים של שיתוף בתחנות בניו יורק אנחנו רוצים להתקין אג'נט את הסוכן שלנו בלי לפתוח פורטים ולכן

2. 00:28

   אנחנו נשתמש בגרופוליסי למה בגרופוליסי אפשר להתקין משהו בלי לפתוח פורטים כי אנחנו לא צריכים להתחבר לשיתוף שמה לשים שמה דברים ואז להריץ פקודות מרחוק אנחנו לא צריכים לעשות את כל זה מרחוק כי בגרופוליסי מייקרוסופט כבר שתלו לנו סוכן תוך כדי התקנה של ווינדוס שיושב שמה ויבצע את הפקודות שלנו אנחנו לא נצטרך

3. 00:53

   אנחנו מבחוץ לבוא מי זה הסוכן הזה שלנו שיעשה לנו את כל הפקודות של גרופוליסי זה הסרוויס שנקרא Group Policy Client. הסרוויס הזה יושב בתוך הווינדוס, וזה חלק מתוך הווינדוס המובנה.

4. 01:10

   בואו נראה את זה, נכתוב Services ונראה את הסרוויס של Group Policy Client. הנה הוא, Group Policy Client זה הסרוויס שרץ ברקע, מתחבר לשרד DC ומושך פקודות לביצוע, ואני לא צריך מבחוץ לבוא בכוח, יש לי את הסוכן הזה בפנים פה.

5. 01:27

   טוב, אז בואו נלך ל-DC, לניו יורק, זה אנחנו רוצים להתקין. איך אנחנו מתקינים? אנחנו עושים פוליסה חדשה, אנחנו צריכים כלי של Group Policy Management, נעשה Refresh, New York.

6. 01:42

   שימו לב, allow-push הזה, זה בעצם ה-firewall, אני מוחק אותו ברמת הדומיין כולו, שם אותו רק ברמת תל אביב, בתל אביב אישרו לנו לפתוח פורטים.

7. 01:55

   אז זה פותח לי את הפורטים בשביל ה-push, בואו נעשה את זה client, push, client, push, open port ו-admin, ובניו יורק לא מאשרים לנו לפתוח פורטים, אז אנחנו עושים פוליסה חדשה ונקרא לזה GPO Deploy של SCCM Agent או Client GPO Deploy.

8. 02:19

   נכנסים וברמת מחשב אנחנו עושים התקנה של סופטוור בעזרת MSI. איפה ה-MSI הזה נמצא? ואומרים שאני לא זוכר איפה נמצא ה-MSI להתקנה, אז אנחנו הולכים לגוגל, כותבים gpo scm msi deploy, לוקחים איזה כמה לינקים ורואים מה הכי טוב לנו.

9. 02:44

   הנה, יש לנו פה איזה משהו של group policy installation, והנה אנחנו רואים פה את הנתיב. תיקיית ההתקנה של Program Files Configuration Manager Installation Directory בין i386.

10. 02:57

    יפה מאוד, בואו נלך לתיקייה הזאת בשרת של System Center ל-C Program Files Configuration Manager. היה שם בין ובפנים i386, נכון? זה היה פה בתיקייה הזאת, וזה הקובץ של MSI, CCM Setup MSI בתוך בין i386, בואו נראה, בתוך בין i386, CCM Setup MSI. יפה מאוד, על התיקייה הזאת

11. 03:22

    אני עושה רייט קליק, פרופרטיז, ואני עושה עליה שיירינג, שיתוף, שיירינג, אדוונס שיירינג, ונותן ל-Everyone Read, בואו נקרא לזה אז זה gpo-deploy.scm ניתן לזה איזה שם יפה בשיתוף ccm-gpo-deploy אז זה השם של השיתוף בפרמישן אם נתנו

12. 03:49

    ל-everyone read וגם ב-security אנחנו צריכים לתת ל-everyone read אז everyone מקבל read ב-security גם כי הכי מחמיר תופס אז everyone read ו-sharing גם everyone read יופי בואו נראה עכשיו שזה יעבוד לנו אנחנו באים לשרת מרחוק srv2016-ccm.lab.practical.com האמת שזה לא חובה לרשום ממש ככה את כל הנתיב

13. 04:26

    יש לו סאפיקס אוטומטי dns סאפיקס אוטומטי בואו נראה את כל השיתופים יש לנו sms gpu deploy שעשינו יופי ופה אנחנו צריכים ccm-setup.msi הנה כל הנתיב אני לוקח אותו מעתיק אותו ועושה פה פקאג' חדש ושם את כל הנתיב הזה Assign.

14. 04:54

    אז יש לי פקאג' חדש שמצביע על הנתיב הזה. בואו נראה שזה עובד וזהו, זה צריך לפרוס לי אותו. עכשיו אני עוד פעם רוצה לשים את תשומת לבכם על זה שאין לי פה פורטים פתוחים וזה היתרון הכי משמעותי שלו.

15. 05:10

    בואו נראה שזה אכן יעבוד ונבדוק שבאמת אין פורטים פתוחים. gp-update/force כולם היום משוגעים על האבטחה gp-update/force בואו נעשה CMD, העברתי את המחשב ל-OU הנכון או לא?

16. 05:27

    איפה המחשב? המחשב עדיין לא בדומיין, או שהוא כן בדומיין. לא, הוא עדיין ב-Work Group. בואו נכניס אותו לדומיין, lab.practic.com, יוזר אחד, אני רוצה להראות לכם שיוזר אחד זה יוזר פשוט שמצרף מחשבים לדומיין, היה לי מלא ויכוחים עם מנהלי רשת שלא יודעים שיוזר רגיל יכול לצרף להם מחשבים לדומיין,

17. 05:55

    ועכשיו אני מעביר אותו מפה לכאן, לניו יורק, העברתי אותו מקומפיוטרס, לניו יורק והוא אמור לקבל התקנה אוטומטית בוא נראה ניכנס עם יוזר של הרשת בוא נבדוק מה מה קורה לו ניכנס לטאסק מנאג'ר ונראה בדיטלס האם ccm setup עובד שימו לב ccm setup עובד יופי ניתן לו להבאות תוך כדי שהוא עובד אני רוצה להראות לכם שבפיירוול באדוונסט פיירוול באינבאונד רולס שלו פייל אנד פרינק שיירינג

18. 06:31

    איפה הנה פייל אנד פרינק שיירינג תסתכלו אין לו v ירוק הוא סגור port 445 סגור כמו שדרישות האבטחה ביקשו מה שהיה כשעשינו push היינו צריכים לפתוח את זה כדי שהסיסטם סנטר יוכל לשים שמה קבצים עכשיו אני לא צריך שהסיסטם סנטר יוכל שמה לשים קבצים כי הגרופוליסי agent הסרוויס של גרופוליסי מושך לבד את הקבצים

19. 07:01

    ובוא נראה שזה באמת הצליח איפה הוא הנה ccm exec עובד מדהים מדהים מדהים בוא נלך לשרת ונראה שזה אכן עבד. והנקודה הכי מעניינת שזה עבד, בלי לפתוח WMI לניהול מרחוק, בלי לפתוח File and Print Sharing, הכל נשאר סגור. בואו נראה את ה-WMI, אתם רואים WMI, הנה הוא, אתם רואים כל מה שקשור ל-WMI, הכל

20. 07:31

    סגור. אתם רואים כל ה-WMI, הכל סגור, NV ירוק.