http://edge.technet.com/Media/Windows-InTune-Under-the-Hood/

Windows Intune este un serviciu “cloud based” destinat administrarii si managementului sistemelor din companiile mici si mijlocii. Am spus ca este cloud based, ceea ce inseamna ca va fi vandut sub forma de abonament. Ceva in genul “vreau sa am Windows Intune pentru 50 de sisteme” si platesti doar pentru numarul de sisteme pe care le ai. Automat in subscriptia asta primesti si licente pentru Windows 7 Enterprise si multe alte chestii gen APP-V, DART, DEM si AGPM.

Cum functioneaza? Prin instalarea unui client local pe statii care comunica via HTTPS cu serviciile “din nor”. Administratorul se conecteaza la portalul web Intune si poate vedea care este status-ul sistemelor indiferent unde se afla (si admin-ul si statiile).

Admin-ul poate gestiona update-urile, partea de antivirus, si poate face un inventory hardware si software al sistemelor. Integrat in acest sistem este si partea de remote assistance care merge peste HTTPS via Windows Intune fara a mai fi nevoie de alt serviciu suplimentar.

Tot ce mai lipseste este software deployment.

Un scurt video cu Windows Intune gasiti aici.

Între timp am mai adăugat imaginea de Windows 7 Enterprise x86 și imaginea de boot x86 în WDS. Am dat drumul repede o mașină virtuală, am boot-am de pe imaginea x86 ca să am acces la Windows 7 Enterprise x86 și am început să-mi fac cafeaua de noapte Între timp WSUS-ul și-a făcut treaba, eu doar am mai instalat Outlook 2010. Buun…

Acum, ca să pregătesc calculatorul pentru imagine, trebuie să rulez Sysprep ca să șterg toate datele unice ale unui sistem (de exemplu nume și SID). Înainte de a rula sysprep, sistemul trebuie scos din domeniu.

Notați-vă/modificați parola contului de admin local pentru orice eventualitate.

Rulez Sysprep

În Run scriu Sysprep. Din Explorer, fac dublu click pe Sysprep.exe. Alegem Enter System Out-of-Box Experience (OOBE), bifăm Generalize și alegem Shutdown la Shutdown Options.

OOBE este pentru ca următoarea boot-are să se facă în Windows Welcome (gen OEM). Generalize ca să se șteargă informațiile hardware specifice/unice. Shutdown ca să facă shutdown și nu restart pentru că încă nu avem iso-ul cu Windows PE.

Toată chestia asta o putem rula și direct în command prompt: c:\Windows\System32\sysprep\sysprep.exe /oobe /generalize /shutdown.

Sysprep a început să-și facă treaba și va da shutdown la sistem.

După ce am făcut oprit mașina, trebuie să creăm o imagine de boot nouă cu care vom face captura mașinii pe care am rulat Sysprep.

În consola WDS, selectăm Boot Images și alegem o imagine de boot adăugată anterior. În cazul meu Microsoft Windows Setup (x86). Facem click dreapta și selectăm Create Capture Image.

Introducem numele și descrierea imaginii și selectăm un director în care vom salva imaginea.

După ce imaginea a fost creată, bifăm căsuța Add image to the Windows Deployment Server now pentru a adăuga imaginea în consola WDS.

În acest moment putem porni mașina cu sysprep și folosi F12 pentru network boot. Din lista cu imagini, alegem Capture image x86.

La Volume to capture, selectăm partiția D: pentru că C: este partiția ”system reserved” pe care o crează Windows 7 la instalare.

Îi dăm un nume și descriere imaginii și selectăm Next.

Selectăm locația undw vom salva fișierul WIM. Eu o salvez pe partiția E:

Bifăm Upload image to WDS… pentru a adăuga automat imaginea în consola WDS.

Introducem numele serverului și testăm conexiunea cu butonul Connect.

Alegem grupul pe care îl avem creat in WDS și alegem Next pentru a începe captura.

După ce am selectat Finish, putem să creăm o mașină nouă, folosim F12 și alegem Microsoft Windows Setup (x86).

Și mai departe urmează o instalare normală de SO cu WDS.

Alegem imaginea creată la pasul anterior.

Când instalarea s-a finalizat, confirmăm că avem Outlook 2010 instalat și sistemul este actualizat la zi.

Când mai am timp, o să scriu un articol despre instalarea automată, fără intervenția utilizatorului.

Cam asa ar trebui sa arate procesul de deployment al sistemelor de operare.

P.S. Nu uitati sa cititi System Requirements pentru WDS, in special partea cu DHCP!

In Server Manager selectam Add Roles.

Selectam Windows Deployment Services si mergem pana la capat cu Next.

Dupa instalare, rolul trebuie configurat.

Click dreapta pe numele serverului si selectam Configure Server

Eu voi selecta discul D: pentru stocarea imaginilor si fisierelor.

O sa scot debifez si “Add images to server now” pentru ca vreau sa adaug imagile dupa configurare.

Dupa ce am dat Finish serverul nostru WDS este configurat.

Pentru a putea instala sisteme noi aevm nevoie de cel putin o imagine de boot si una de sistem de operare. Acum voi folosi imaginile de pe DVD-ul cu Windows Server 2008 R2 urmand ca data viitoare cand nu o sa am somn sa fac o instalare customizata pe care o voi putea adauga ca imagine pe acest server.

Pentru a adauga o imagine de boot facem click dreapta pe Boot Images si alegem Add Boot Image.

Pe DVD, in directorul Sources gasim fisierul boot.wim

Pentru a adauga imaginea unui SO facem click dreapta pe Install Images si alegem Add Install Image.

Trebuie sa cream un grup in care vom pune imaginea respectiva. Grupurile astea cica ne-ar ajuta daca avem mai ulte imagini similare, cu permisiuni separate pe grupuri, OUuri, departamente etc. De exemplu sa nu poata instala cineva de la HR o imagine care este facuta pentru cei de la Financiar.

Eu am denumit grupul Default pentru ca niciodata nu am folosit mai mult de un grup.

Pe DVD, tot in directorul Sources gasim fisierul install.wim

Sunt sigur ca nu o sa folosesc nici o versiune Core, deci le debifez. La fel cu Datacenter si Web. Nu am treaba cu aceste editii in mediul virtual de acasa.

Putem debifa si “Use the default name and description…” daca vrem sa denumim imaginile dupa placul nostru. Eu le voi lasa default pentru simplitate.

Imaginile de server le-am adaugat pentru ca vreau sa fie acolo cand o sa am nevoie de ele. Pentru demo, am mai adaugat o imagine de Windows 7 Enterprise x64 folosind pasii de mai sus.

Acum nu ne ramane decat sa boot-am un calculator (masina virtuala in cazul meu) in retea (F12) si sa urmam “Vrajitorul” aka Wizard

Restart…

Ultimul restart…

Calculatorul e pus si in domeniu automat.

Implicit, calculatoul se pune in OU-ul Computers in formatul %61Username%#.

OU-ul si formatul de nume se pot configura in proprietatile serverului WDS.

Formatul de nume poate fi de forma:

%First: the first name of the user.
%Last: the last name of the user.
%Username: the user name of the user.
%MAC: the MAC address of the computer.
%n#: an incremental n-digit number.
%0n#: an incremental n-digit number, with zeros added before the digit.

Le-am gasit cu greu aici.

Cam atat despre initierea in Windows Deployment Services.

Evident, toti pasii de mai sus pot fi automatizati (serial, partitii, aplicatii, chiar si numarul de telefon de la helpdesk poate fi introdus in imagine ) folosind un fisier xml creat cu Windows AIK. Dar, despre asta intr-un alt articol.

Exista destul de multe metode pentru a monitoriza aparitia unui anumit eveniment in event viewer. Avem tool-uri, scripturi, agenti de monitorizare, iar de la Windows Vista in sus putem sa declansam anumite activitati la aparitia unui eveniment folosind Task Scheduler.

Astazi o sa prezint un mod de a face acest lucru folosind un script VBS (asta si pentru ca poate fi folosit cam pe orice versiune de Windows):

strComputer = “.”

Set objWMIService = GetObject(“winmgmts:{(Security)}\\” & _
        strComputer & “\root\cimv2″)

Set colMonitoredEvents = objWMIService.ExecNotificationQuery _  �
    (“Select * from __InstanceCreationEvent Where ” _
        & “TargetInstance ISA ‘Win32_NTLogEvent’ ” _
            & “and TargetInstance.EventCode = ’7035′ “)

Do
    Set objLatestEvent = colMonitoredEvents.NextEvent
        Wscript.Echo “Un serviciu a fost oprit”
        Wscript.Echo “————————”
        Wscript.Echo “User: ” & objLatestEvent.TargetInstance.User
        Wscript.Echo “Time: ” & objLatestEvent.TargetInstance.TimeWritten
        Wscript.Echo “Category: ” & objLatestEvent.TargetInstance.Category
        Wscript.Echo “Event Code: ” & objLatestEvent.TargetInstance.EventCode
        Wscript.Echo “Message: ” & objLatestEvent.TargetInstance.Message
        Wscript.Echo “Record Number: ” & objLatestEvent.TargetInstance.RecordNumber
        Wscript.Echo “Source Name: ” & objLatestEvent.TargetInstance.SourceName
        Wscript.Echo “Event Type: ” & objLatestEvent.TargetInstance.Type
        Wscript.Echo

        Wscript.Echo objLatestEvent.TargetInstance.Message
        Wscript.Echo
Loop

Scriptul monitorizeaza aparitia evenimentului cu ID-ul 7035 (vedeti linia cu TargetInstance.EventCode = ’7035′; pentru a monitoriza alt event modificati aceasta linie) in oricare din logurile sistemului. In momentul in care apare va afisa detalii despre eveniment. ID-ul 7035 apare la oprirea sau pornirea unui serviciu in Windows. Evenimentele de start si stop au acelasi cod (7035 si 7036) asa ca e putin mai greu sa deosebesti intre oprirea si pornirea unui serviciu doar din ID-ul eventului. Ca exemplu l-am pornit pe un server din command prompt:

Si am restartat serviciul DNS Client:

La cateva secunde iata ce se intampla in command prompt:

Exemplul cu restartul de serviciu nu este cel mai bun exemplu tocmai pentru ca nu exista event-uri separate pentru start si stop, insa e suficient ca sa intelegeti ca functioneaza. Scriptul poate fi modificat foarte usor pentru a face altceva, nu numai a afisa informatii pe ecran. Trebuie doar sa introduceti codul in bucla Do … Loop din script.

Sursa: Hey, Scripting Guy!

În principiu, trebuie făcute 3 lucruri pentru a exporta și importa actualizările de pe un server pe altul:

1. Trebuie să ne asigurăm că setările de limbă și metoda de download aleasă sunt la fel pe ambele servere.
2. Trebuie să copiem actualizările de pe primul server pe al doilea.
3. Trebuie să copiem metadata de pe primul server pe al doilea.

Deci, la pasul 1 verificăm ca setările din Options – Update Files and Languages să fie la fel pe ambele servere.

La pasul 2 copiem actualizările de pe primul server pe al doilea. Putem folosi orice metodă dorim (backup, xcopy etc.) pentru a copia fișierele necesare pe al doilea server.

Trebuie copiat tot conținutul directorului X:\WSUS\WSUSContent unde X: este directorul unde WSUS stochează acualizările. Întreg conținutul directorului trebuie copiat în aceași locație (WSUS\WSUSContent) pe al doilea server.

La pasul 3, copiem fișierul metadata de pe primul server pe al doilea folosind utilitarul wsusutil.exe.

Ca să exportăm metadata, deschidem o fereastră command prompt și navigăm către C:\Program Files\Update Services\Tools (dacă SO este instalat pe discul C:). Folosim comanda wsusutil.exe export NumeleFișieruluiMetadata.cab NumeleFișieruluiLog.log. De exemplu wsusutil.exe export AllUpdates.cab Export.log va avea ca rezultat un fișier AllUpdates.cab și unul Export.log în directorul cu wsusutil.exe.

Acum nu ne rămânde decât să copiem conținutul directorului WsusContent pe al doilea server și să importăm fișierul cu metadata, AllUpdates.cab pe al doilea server de WSUS. Ca și la export, folosim același utilitar, wsusutil.exe, din linie de domandă dar cu switch-ul import în loc de export. De exemplu: wsusutil.exe import AllUpdates.cab Import.log, evident dacă fișierul AllUpdates.cab se află în același director cu wsusutil.exe; dacă nu, atunci specificăm calea către fișier.

Să vorbim despre Update views.

Consola WSUS implicit grupează update-urile în 4 grupuri: All, Critical, Security și WSUS Updates. Pentru început, este suficient. Dar dacă vrem să creăm reguli automate de aprobare și instalare a unor anumite actualizări și să facem managementul lor mai ușor, ne-ar prinde căteva categorii în plus pentru sortarea sau filtrarea actualizărilor.

Pentru aceasta, din consola WSUS, selectăm Updates, facem click dreapta și selectăm New Update View…

Pentru a crea un grup (view) care să ne arate doar actualizările de Forefront Client Security de exemplu (am ales acest produs pentru că sunt mai puține actualizări pentru el), în fereastra Add Update View la pasul 1 selectăm Updates are for a specific product. La pasul 2 facem click pe any product și selectăm doar produsul care ne interesează. La pasul 3 introducem numele grupului, eu i-am spus Forefront updates.

Acum dacă selectăm Forefront Updates view o să vedem toate actualizările pentru produsul Forefront Client Security în funcție de tipul selectat în timpul configurării (Definition updates, Security, Critical etc.). Dacă nu apare nimic în listă, verificați dacă aveți selectat produsul respectiv pentru sincronizare (Options – Products and Classifications).

Să trecem la Computer groups.

La ce ne folosește? Păi, ca să avem un control mai bun al actualizărilor: ce actualizări la ce calculatoare se duc, când și cum. De reținut că un calculator întotdeauna va face parte din grupul All Computers indiferent de grupul în care este mutat.

WSUSul ține toate calculatoarele într-un grup, în Computers – All Computers. Un calculator este atribuit grupului Unassigned Computers până în momentul în care este mutat în alt grup.

Dacă vrem să grupăm calculatoarele în mai multe grupuri, după departament, rol, BU, SO orice vrem noi, facem click dreapta pe All Computers și selectăm Add Computer Group.

Introducem numele grupului și… Add.

În acest moment am un grup dar nu am nici un calculator în el. Există două posibilități de a adăuga calculatoare în grup: Group Policy sau manual. Acest lucru îl setăm în Options – Computers.

Prima opțiune e foarte simplă: mutăm calculatoarele manual cu click dreapta pe computer și alegem Change Membership.

Selectăm grupul dorit și OK.

A doua opțiune e un pic mai complicată. Doar un pic Și asta depinde de Active Directory…

Folosim Group Policy Management pentru a crea o politică nouă de distribuție a actualizărilor. Dacă tot am creat grupul Domain Controllers, am să creez o politică pentru Domain Controllers.

Edităm politica. Navigăm către Computer Configuration – Policies – Administrative Templates – Windows Components – Windows Update. Selectăm Enable client-side targeting.

Selectăm Enabled și introducem numele grupului dorit.

În acest moment, fie manual fie prin Group Policy, calculatorul va fi sau urmează a fi în grupul specificat.

Initial, conditia necesara ca sa poti utiliza acest modul era sa ai in organizatie cel putin un DC cu Windows 2008 R2, deoarece modul de conectare la Active Directory este prin intermediul Active Directory Web Services, alta noutate adusa de Windows 2008 R2, nedisponibil in versiunile anterioare.

Intre timp, s-au schimbat cerintele : ai nevoie doar de Windows 7 cu RSAT instalate si de cateva update-uri pe un DC care ruleaza Windows Server 2003 SP2, 2003 R2 SP2, 2008 sau 2008 SP2. Am testat intr-un mediu virtual cu un DC Windows 2003 R2 SP2 Standard Edition si o statie Windows 7 Enterprise si voi descrie in continuare procedura:

Am instalat urmatoarele pe DC:

- .NET Framework 3.5 cu SP1 http://www.microsoft.com/downloads/details.aspx?FamilyID=AB99342F-5D1A-413D-8319-81DA479AB0D7&displaylang=en

- Windows Management Framework Core for Windows Server 2003 (include Windows PowerShell 2.0 si Windows Remote Management 2.0)

http://www.microsoft.com/downloads/details.aspx?FamilyId=f002462b-c8f2-417a-92a3-287f5f81407e&displaylang=en

- Hotfix-ul descris aici http://support.microsoft.com/kb/969166 si care poate fi descarcat de aici http://connect.microsoft.com/VisualStudio/Downloads/DownloadDetails.aspx?DownloadID=20556

- Hotfix-ul descris aici http://support.microsoft.com/kb/969429/en-us . Request download de aici http://support.microsoft.com/hotfix/KBHotfix.aspx?kbnum=969429&kbln=en-us

Dupa restart :

- am instalat Active Directory Management Gateway Service, am ales versiunea pentru Windows 2003 x86. http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=008940c6-0296-4597-be3e-1d24c1cf0dda

Pe o statie cu Windows 7 :

- am instalat Remote Server Administration Tools

http://www.microsoft.com/downloads/details.aspx?FamilyID=7d2f6ad7-656b-4313-a005-4e344e43997d&displaylang=en

- am activat, din Control Panel, Programs and Features, Turn Windows features on or off, Remote Server Administration Tools, Role Administration Tools, AD and AD LDS Tools, Active Directory Module for Windows Powershell

Dupa toate acestea, am trecut la faza de testare :

Deci functioneaza.

Si mai obtinem inca ceva odata cu instalarea Active Directory Web Services. Intram iar in Control Panel, Programs and Features, Turn Windows features on or off, Remote Server Administration Tools, Role Administration Tools, AD and AD LDS Tools, AD DS Tools,

si avem si Active Directory Administrative Center, pe care il putem folosi pentru administrarea de la distanta a Active Directory, precum si pentru search dupa diverse obiecte si atribute :

De retinut ca Active Directory Module nu poate fi importat direct pe DC-uri Windows Server 2003 sau 2008, administrarea se face doar de pe o statie cu Windows 7 cu RSAT sau cu Windows 2008 R2.

Spor la treaba.

Ca să deschidem wizard-ul de configurare, în consola WSUS selectăm Options și facem click pe ultima opțiune de jos – WSUS Server Configuration Wizard.

În prima fereastră a wizard-ului, alegem Next.

În a doua, fiecare alege ce vrea. Eu personal, într-un mediu de test, aleg Yes la astfel de întrebări.

La Choose Upstream Server, o să aleg Synchronize from Microsoft Update pentru că este primul server de WSUS din organizația mea.

Dacă aș fi avut mai multe servere de WSUS în diferite locații, poate aș fi ales a doua opțiune. Dar și asta depinde. În principiu, am observat că firmele cu mai multe servere de WSUS aleg Upstream Server-ul în funcție de banda pe care o au la internet din acea locație și/sau banda pe care o au cu sediul central.

Mai sunt unele companii care preferă să aibă mai multe servere dar să le facă management dintr-o singură locație. Asta pentru a se evita angajarea/trainingul unui angajat cu cunoștințe de WSUS. Și aici ne vine în ajutor bifa ”This is a replica of the upstream server”.

Dacă ieșirea la internet se face printr-un proxy, atunci se bifează Use a proxy server when synchronizing și se introduce numele sau IP-ul proxy-ului existent. Dacă se folosește și autentificarea la acel proxy, atunci se bifează și Use user credentials to connect to the proxy server și se introduc datele de identificare respective.

Cum eu nu folosesc proxy, o să apăs Next.

În pagina următoare vom face și prima sincronizare cu serverul Microsoft folosind setările făcute până acum. Tot acum se va interoga serverul despre produsele existente, clasificarea și limba în care sunt disponibile acestea. Trebuie reținut faptul că la această sincronizare nu se download-ează nici un update, se afișează doar lista cu update-urile existente pe Microsoft Update sau WSUS-ul celor de la Microsoft

Deci click Start Connecting.

Am revenit după 15 minute, atât a durat la mine sincronizarea. Am dat Next și am ajuns la pagina în care trebuie să aleg în ce limbă vreau să download-ez update-urile. Este recomandat să debifăm opțiunea ”Download updates in all languages, including new languages”. Această opțiune trebuie lăsată doar dacă aveți o infrastructură foarte-foarte mare, cu sisteme de operare și/sau aplicații în toate limbile enumerate mai jos. Țineți cont și de faptul că cu cât mai multe limbi alegeți, cu atât mai mult spațiu de stocare pe server veți avea nevoie.

Eu o să aleg opțiunea Download updates only in these languages și o să bifez English.

În pagina următoare alegem produsele (aplicații sau sisteme de operare) pentru care vrem să scoatem actualizările. Pentru acest articol, o să selectez doar Windows Server 2008.

Alegem tipul actualizărilor pentru produsele selectate anterior. În funcție de necesitățile fiecărei companii, se pot selecta toate sau doar unele clasificări. Eu o să merg pe setările implicite.

Alegem cum vrem să se facă sincronizarea – să o facem manual, când vrem noi, sau automat de câteva ori pe zi. De notat faptul că dacă alegem de exemplu metoda autmată și specificăm două sincronizări pe zi, prima sincronizare poate începe la maxim 30 minute după ora specificată.

Eu o să selectez Synchronize manually.

Am ajuns aproape la final. Specificăm dacă dorim să facem prima sincronizre în care se vor download-a doar metadata despre produsele și clasificările specificate anterior. Această sincronizare durează în funcție de câte produse și clasificări am selectat. Ultima dată când am configurat WSUS la un client, am selectat aproximativ jumatate din produse și clasificări și sincronizarea a durat 4 ore…

Pe ultima pagină nu mai selectăm nimic, sunt doar câteva link-uri cu ce ar mai trebui citit despre WSUS în acest moment.

Facem click pe butonul Finish pentru a închide wizard-ul și a începe prima sincronizare (aceasta începe în background, pentru a vedea cum decurge sincronizarea, trebuie selectată opțiunea Synchronizations din meniul din stânga).

Acum, că am ales doar un produs, sincronizarea a durat câteva zeci de minute. Putem vedea mai jos timpul când s-a făcut prima sincronizare (când am configurat upstream serverul și adresa de proxy) și a doua (după ce am terminat de configurat).

Observăm că prima dată nu s-a download-at informație despre nici un update, pe când la al doilea, avem info despre 275 update-uri pentru Windows Server 2008 și clasificările pe care le-am ales.

Cam atât despre configurarea inițială. Următorul articol vreau să-l scriu despre cum se crează foldere cu update-uri specifice unui anumit produs sau clasificări și despre grupuri de computere.