Что выбрать: Applications или Packages? - вот в чем вопрос

Хочу поделиться опытом использования Applications (приложения) и Packages (пакеты) в System Center Configuration Manager 2012. Когда использовать одно, а когда другое. Использование Application очень удобно в том случае, когда вам нужно разлить какой-то софт и, даже в случае его непреднамеренного удаления - он заново приедет. Для этого существуют Detection Methods (методы обнаружения установки приложения). Это может быть как MSI Product Code, так и наличие какого-либо файла, либо ветки в реестре, либо можно использовать какой-то кастомный скрипт для определения установки. Ну и тут, собственно, все просто. Назначили установку софта на коллекцию, он установился. Какой-то хулиган с правами администратора взял и удалил софт. При повторном цикле оценки развертывания приложения софт будет установлен. То же самое можно сделать и в случае с удалением софта: если софт нужно удалять и проверять, чтобы он заново не появился - вам на помощь придут Applications.

Application Deployment. BITS. Мониторинг заливки контента.

Итак, как мы знаем, System Center Configuration Manager в качестве транспорта использует BITS (фоновая интеллектуальная служба). Вы создали application, разлили его на Distribution Point, назначили его Deployment и сидите и ждете на клиенте... Все хорошо, если от Distribution Point до клиента хороший канал, а вот если канал не очень хороший - связь может прерываться, кто-то может выключить или перезагрузить клиентскую машину. И вот тут-то хотелось бы видеть - идет ли у нас заливка контента и есть ли какие-то задание у BITS.

Clear install flag - не панацея.

Рано или поздно многие из вас столкнутся с проблемой: на машине с именем Wks1 переустановили систему, удалили старую учетную запись машины из домена и ввели эту машину в домен с тем же именем Wks1. И тут начинается самое интересное: в базе данных System Center Configuration Manager у нас есть старый объект с этим же именем Wks1, он числится как Client: Yes, Active: Yes. Недополучив несколько Heartbeat'ов - Active станет No. На помощь вроде бы должен прийти встроенный Maintenance Task - Clear Install Flag. Его задача состоит в том, чтобы у неактивных клиентов менять статус Client на No и Push Installation срабатывал бы заново. Но тут есть проблема: Heartbeat, допустим, рекомендуемо раз в сутки. Уже неудобно. Машину переустановили и хотели бы разлить на нее сразу софт, получить на нее удаленное управление. Тут я вижу несколько решений:

Reporting Services. Маленькая хитрость во время установки.

SQL для SCCM у нас установлен в дефолтный instance, но вот порт используется нестандартный. При разворачивании Reporting Services нужно указать instance и адрес сервера Reporting Services. Как указать порт? По умолчанию стучится на порт 1433, но если у вас несколько инстансов и тот, который нужен под reporting болтается на нестандартном порту? Пытались через двоеточие 172.16.0.1:12345, но не прокатило. Оказывается, нужно указывать порт через запятую. Да-да. 172.16.0.1, 12345.

Distribution Point - запретить использовать локальный диск.

Небольшая заметочка. Чтобы запретить DP использовать какой-нибудь локальный диск под свои нужды, в корне диска нужно создать пустой файл no_sms_on_drive.sms

Application Deployment - requirements. Требования при установке приложения.

Более подробно об установке приложений и пакетов расскажу позже. Сейчас коротко о маленьких грабельках, на которые наступил. Имеем две версии 7-zip: x86 и x64. Версия x86 прекрасно встает на x64 платформу, но вот не появляется меню по правой кнопочке. Было решено, что будем ставить разные версии. Создал тестовую коллекцию, в которую включил машину, как оказалось, x64, а в требованиях приложения было указано, что требуется х86 платформа. Собственно, тыкаем обновить политику машинки, а в логах видим:

Группы, группы и еще раз группы. О силе Distribution Point Groups.

Представьте себе ситуацию, что вы имеете довольно крупную базу пакетов/приложений, у вас несколько Distribution Points, которые были созданы одновременно и контент на них вы лили тоже сразу же. Тут наступает момент, что вы добавляете еще одну Distribution Point. И тут вас поджидает засада... Как залить все пакеты/приложения на новую DP? Можно, конечно, в свойствах пакета ставить галку, что этот пакет может быть скачан по требованию. Я же предложу вам использовать группирование Distribution Points. Все что вам нужно - добавить нужные DP в группу и при распространении контента на DP указать эту группу. При добавлении новой DP вы добавляете ее в группу и весь контент, назначенный на эту группу поедет на нее. Задумайтесь над этим при планировании структуры, чтобы потом не переназначать DP на пакеты/приложения, когда их база будет очень и очень большой.

Или кто-то знает другие варианты?

Compliance Settings - Соответствие требованиям. Теория.

Сегодня поговорим о такой вещи, как Compliance Settings. Думаю, что правильнее по-русски это будет звучать, как Соответствие требованиям. Удобно использовать для создания каких-либо коллекций, которые отвечают определенным требованиям, например, содержат какую-то ветку/параметр в реестре, файл или папку на диске, это может быть запрос к AD, SQL запрос, WQL запрос. Но можно и просто создавать их для того, чтобы что-то посчитать, узнать где есть сколько-то чего-то...

System Center 2012 Configuration Manager Right Click Tool.

Между делом, хочу порекомендовать вам утилиту, которая существенно облегчает жизнь администратору System Center Configuration Manager, называется она Right Click Tool. Существует версия и для SMS 2007. Она позволяет запускать Действия, которые доступны у пользователя в панели управления-configuration manager-actions, такие как... Лучше посмотрите скриншоты:

System Center Endpoint Protection - оповещения и подписки.

Итак, вот мы установили System Center Endpoint Protection, можем составлять отчетики, смотреть Dashboard, но нашим филиальским админам было бы очень неплохо иметь возможность получать оповещения о найденных угрозах на почту. Нам нужно, чтобы при обнаружении у клиента вирусной угрозы срабатывал триггер, а после этого создавалось бы письмо. 

1. Клиент ловит вирус, SCEP его ловит, лечит/помещает в карантин и отправляет серверу информацию.

2. Сервер принимает информацию, вздергивает триггер.

3. На триггер оформлена подписка, при срабатывании триггера отправляем письмо.