Eu am un DC si un server cu ConfigMgr 2007 SP2 R3 instalat, ambele pe Windows Server 2008 R2.

Rulam serversetup.exe din directorul x64.

Parcurgem wizard-ul.

Daca baza de date a ConfigMgr-ului este un server remote, alegem a doua optiune (Basic topology with remote reporting database). Eu voi folosi prima optiune pentru ca am SQLul instalat pe acelasi server.

Introducem service account-ul de SQL sau userul persoanei care ruleaza setup-ul. Nu este obligatoriu ca acest cont sa fie domain admin. Mai mutl, primiti o avertizare in cazul in care wizardul vede contul ca domain admin si va trebuie sa dati un OK ca sa continuati.

Implicit, pe serverul unde este instalat ConfigMgr si FEPul, se va instala si clientul de antivirus. Politica implicita pe care o va avea o gasiti mai jos marcata.

Consola FEPului dupa instalare.

In primul rand, cream politice necesare (pentru servere, statii de lucru sau chiar servere cu roluri bine definite: DC, Exchange, SQL, DHCP etc. Astea sunt ok pentru ca au setate deja exceptiile pentru fiecare rol in parte).

Daca pe o colectie sunt asignate mai multe politici, se aplica politica cu prioritate mai mare (coloana Precedence).

Asignezi politica pentru servere pe colectia cu calculatoarele de tip server pe care va fi instalat cu succes FEPul. Aceasta colectie se creaza la instalare, o sa vedeti mai jos o parte din colectiile create implicit.

(Toate subcolectiile din colectia FEP Collections au fost create la instalare).

Aplicam politica pe colectia Deployed Servers. Server cu FEP se vor pune automat in aceasta colectie, fara sa mai facem noi ceva manual.

Daca avem politici pentru servere cu roluri specifice (DC, Exchange etc.), va trebui sa cream o alta colectie, sa punem serverul in acea colectie si sa asignam politica pe ea. Inca nu am gasit o alta metoda de a face asta, in cazul in care exista o alta metoda…

La Advertisements – FEP Policies vedem toate politice, inclusiv cele doua default care se aplica cand se instaleaza clientul de antivirus pe statie.

Mai jos vedem toate pachetele create la instalare.

Pachetul Deployment contine programul de instalare si dezinstalare al antivirusului.

Vedeti la comentariu ca zice ceva de dezinstalarea antivirusului existent. Da, FEPul poate dezinstala – pana acum – urmatoarele programe antivirus: Symantec Endpoint Protection 11, Symantec Corporate Edition 10, McAfee VirusScan Enterprise 8.5 si 8.7, Trend Micro OfficeScan 8.0 si 10.0, Forefront Client Security inclusiv Operations Manager agent.

Copiem pachetul pe un Distribution Point.

Verificam daca s-a copiat cu succes.

Cream o colectie noua in care vom pune calculatoarele pe care vrem sa instalam FEPul. Putem sa punem si servere si desktopuri aici, stie FEP sa faca distinctia intre ele si sa le puna in colectia necesara peste care se va aplica politica.

Cream si advertisementul…

Dupa instalare, e nevoie de repornirea statie pentru ca inainte de instalarea clientului antivirus propriu-zis, se instaleaza un hotfix care necesita restart.

In scurt timp, vom vedea statiile in colectie. Nu mai ramane mult timp pana la aplicarea politicii.

Apasand pe sageata in jos de langa Help si selectand About Forefront Endpoint Protection, vedem starea definitiilor si politica aplicata pe statia respectiva.

Produsul are 3 mari diferente fata de Forefront Client Security:

1. Nu are consola lui proprie
2. Are ca cerinta obligatorie existenta unei infrastructuri de Configuration Manager 2007 SP2 R2 sau R3.
3. Nu mai foloseste MOMul, cel putin eu nu am vazut…

De ce are nevoie de ConfigMgr? Pentru ca au bagat consola antivirusului in el. Crearea si asignarea politicilor se face din consola ConfigMgr-ului.

Ca si Forefront Client Security, FEP-ul nu e rocket science de instalat. Cateva next-uri si introducerea unor detalii si atat. Nu am facut capturi de ecran ca sa le pot publica aici dar am documentat pasii in mare parte, vedeti mai jos. Cum am avut nevoie sa testez antivirusul intr-o infrastructura bazata pe Windows Server 2003, pasii de mai jos pot fi putin diferiti pe servere cu Windows Server 2008.\

Server1: DC (Windows Server 2003 R2 SP2 x86)

Server2: SQL (Windows Server 2003 R2 SP2 x64)

Server3: ConfigMgr (Windows Server 2003 R2 SP2 x86)

_______________________________________________

1. DC

• Install AD, DNS, DHCP

2. SQL

• Install IIS, sqlncli_x64.msi (http://www.microsoft.com/downloads/en/details.aspx?FamilyID=d09c1d60-a13c-4479-9b91-9e8b9d835cdc) then SQL Server 2005 SP3 x64 with all components (default instance) using SQL service account (SQLSvc)
• Add ConfigMgr service account (ConfigMgrSvc) to local SQL groups and ConfigMgr computer account (CONFIGMGR$) to local Administrators group
• Use sqlprov.exe (c:\Program Files (x86)\Microsoft SQL Server\90\Shared\) to provision SQL and Configmgr service accounts

3. DC

• Extend AD Schema
• Add permissions to ConfigMgr computer account on System container in AD

4. ConfigMgr

• Install IIS, BITS, WebDAV, Report Viewer Redistributable 2008 SP1, WSUS 3.0 SP2, WDS, using ConfigMgr service account.
• Create group policy settings for Windows Updates (use FQDN for server name)
• Install hotfix http://support.microsoft.com/kb/942841
• Install hotfix http://support.microsoft.com/kb/940848
• Install ConfigMgr 2007 SP2 (default roles) using ConfigMgr service account
• Install hotfix http://support.microsoft.com/kb/977384 and create the hotfix package
• Install hotfix http://support.microsoft.com/kb/2271736
• Install ConfigMgr 2007 R3
• Install sqlncli.msi or sqlncli_x64.msi and SQLServer2005_XMO.msi or SQLServer2005_XMO_x64.msi
• Install FEP 2010
• Create desktop and server policy
• Assign policy to collection

Apropo, daca nu puteti sa treceti de pasul cu restartul de la prerechizite, dati un ochi aici.

Deschidem consola Forefront Client Security și selectăm tabul Policy Management.

Selectăm New pentru a crea o politică nouă.

Îi dăm un nume și introducem un comentariu, ca să știm și peste 2 ani ce face politica respectivă

În tabul Protection selectăm dacă dorim protecție antivirus și/sau antispyware.

Selectăm când și cum să se scaneze calculatoarele (Full sau Quick) și dacă dorim scanare de tipul Security State Assessment.

Practic, SSA scanează unele aplicații, servicii, parole care nu expiră, utilizatorul Guest activat, actualizări neinstalate etc., ceva gen Microsoft Baseline Security Analyzer.

Mai multe detalii despre Security State Assessment găsiți aici http://technet.microsoft.com/en-us/library/bb418876.aspx, inclusiv lista cu tot ce se scanează.

În tabul Advanced configurăm când calculatoarele verifică dacă sunt definiții noi și, foarte important, putem alege dacă permitem verificarea de definiții de pe Microsoft Updates când calculatoarele nu au acces la WSUS.

Jos, la Client options, selectăm dacă permitem utilizatorilor să modifice setările făcute sau dacă au acces la consola antivirusului sau văd doar iconița acestuia în task bar.

În tabul Overrides specificăm ce se întâmplă dacă un virus anume este găsit sau o vulnerabilitate dintr-o anumită clasificare.

În tabul Reporting specificăm nivelul de raportare. Din experiența mea, nivelul 3 pare a fi cel mai ok.

După ce am creat politica, aceasta trebuie trimisă la clienți (calculatoare). Selectăm Deploy.

Metoda de deployment diferă în funcție de infrastructura fiecăruia. În cazul meu, toate serverele sunt într-un OU, deci metoda cea mai simplă pentru mine va fi să creez politica pe OUul respectiv.

Dacă ne uităm acum in Group Policy Management Console, o să vedem politica creată pe OUul specificat de mine. Politica ia un nume ciudat dar ar fi bine să nu-i schimbăm numele.

Dacă din consola Forefront modificăm politica, obligatoriu trebuie să-i dăm din nou Deploy.

Să vedem cum arată clientul de antivirus pe un server care a primit și a instalat deja FCS folosind WSUSul.

Două lucruri mai trebuie făcute pentru a avea o infrastructură funcțională 100%:

1. Crearea unui group policy pentru Windows Update. Acesta trebuie configurat să permită instalarea automată a actualizărilor care nu deranjează utilizatorii și nici nu cer restart (Allow Automatic Updates immediate installation) și specificarea serverului de WSUS (Specify intranet Microsoft update service location).
2. În consola WSUS, la Options – Automatic Approvals, trebuie creată o regulă care va aproba și instala definițiile pentru FCS.
   

Cam atât pentru o configurație minimă a produsului Forefront Client Security.

Instalarea, în mare parte, se face cu Next-Next și introducerea unor detalii mici. O să public mai jos doar pozele la pașii unde trebuie modificate anumite lucruri sau e ceva de comentat, în rest mergem pe setările implicite.

Primul pas la care ne oprim, este alegerea rolurilor pe care le vom instala. După cum știm, FCS poate fi instalat doar pe hardware x86, oficial. Neoficial, Distribution Server (practic un WSUS) poate fi și pe un server x64. Acest rol nu face altcevadecât să forțeze WSUSul să facă o sincronizare la fiecare oră. Și cum acest lucru poate fi setat din WSUS, Microsoftul neoficial suportă WSUSul instalat pe un server x64. Neoficial, pentru că, acum ceva timp echipa de produs a anunțat pe blogul său că FCS poate folosi un WSUS instalat pe x64 dar documentația produsului nu a fost actualizată cu acest mic detaliu.

Deci dacă aveți un WSUS instalat pe un server x64, nu instalați acest rol pe serverul respectiv. Doar modificați manual numarul de sincronizări pe care le va face WSUSul ținând cont de faptul că pe zi apar maxim 3 definiții pentru FCS.

Deci selectăm toate rolurile în afară de Distribution Server.

La pasul următor alegem serverul pe care avem instalat SQL-ul și pe care se va instala MOMul. În cazul meu serverul se cheamă Forefront.

Management group name îl voi lăsa implicit și o să specific doar un utilizator de domeniu care are acces read și write la SQL server.

În pagina următoare specificăm serverul pe care se va instala baza de date a FCS. Eu am modificat dimensiunea bazei de date pentru că nu am nevoie de 15 GB pentru ea.

Pe pagina următoare nu modificăm nimic.

Se verifică dacă sunt îndeplinite cerințele software și hardware. În cazul meu, nu e o problemă gravă deci pot să continui.

Se instalează FCS și dacă totul este ok, apăsăm Close.

Din meniul Start -  All Programs, deschidem Microsoft Forefront Client Security Console.

Și acum începe configurarea. Aici specificăm fiecare rol pe ce server este (în caz că nu am instalat totul pe același server).

Se verifică dacă cele specificate există și pot fi accesate.

Și acum se fac ultimele configurări și setări necesare FCSului.

Gata. Avem FCSul instalat.

Pentru a instala clientul de antivirus și antispyware pe calculatoare în domeniu, e nevoie de crearea de politici. Lucru pe care îl voi face în articolul viitor.

FCS este un produs care chiar mi-a plăcut. Sincer. Este foarte ușor de instalat, configurat, folosit și administrat.

Dacă încep să vorbesc despre System Requirements, o să o fac un pic altfel. Nu o să înșir toată lista cu SO și resurse necesare pe care le putem folosi, ci o să spun doar ce nu putem folosi sau nu este suportat. Fac asta pentru că ce suportă este deja de mult timp pe piață și nu toate produsele noi sunt suportate.

Deci, aici găsiți toată lista cu cerințele necesare: http://technet.microsoft.com/en-us/library/bb404245.aspx

Din toată pagina aia trebuie să reținem următoarele:

Pentru server:

- Nici un rol al FCS nu poate fi instalat pe un SO x64, deci Windows Server 2008 R2 dispare. Asta oficial, neoficial – vă spun mai târziu.

- SQL Server 2008 iarăși nu este suportat, doar SQL 2005 cu SP1 (pe Windows Server 2003), SP2 sau SP3 (pe Windows Server 2008).

- Minim WSUS 3.0 cu SP1. Cine mai are WSUS 2.0… nu știu de ce îl mai aveți…

Pentru client:

- Nu este suportat Windows 2000 fara SP4 și Rollup 1, XP fără SP2.

Dacă vreți să știți ce porturi trebuie să deschideți, aici găsiți toate detaliile: http://technet.microsoft.com/en-us/library/bb404251.aspx

Acum că știm ce nu putem folosi, să trecem mai departe și să instalăm FCS cu toate rolurile pe un singur server. Dacă aveți nevoie să împărțiți rolurile pe mai multe servere, găsiți aici tot ce vă trebuie: http://technet.microsoft.com/en-us/library/bb418915.aspx

Eu am un Windows Server 2008 cu SP2, actualizat la zi și membru în domeniu. Mai departe o să instalez toate prerechizitele necesare.

1. Microsoft .NET Framework Version 1.1 – http://www.microsoft.com/downloads/details.aspx?familyId=262D25E3-F589-4842-8157-034D1E7CF3A3&displaylang=en
2. Microsoft .NET Framework 1.1 Service Pack 1 – http://www.microsoft.com/downloads/details.aspx?FamilyID=A8F5654F-088E-40B2-BBDB-A83353618B38&displayLang=en
3. Microsoft .NET Framework 3.0 (teoretic, ar trebui să fie instalat deja, verificați în Server Manager/Features) – http://www.microsoft.com/downloads/details.aspx?FamilyID=10CC340B-F857-4A14-83F5-25634C3BF043&displaylang=en
4. Folosind Server Manager instalăm IIS și ASP.NET.
   1. Server Manager, click dreapta Roles și selectăm Add Roles.
   2. La Select Server Roles selectăm Web Server (IIS). Next de două ori.
      
   3. Dacă nu sunt selectate deja, selectăm următoarele servicii:
      - Static Content
      - Default Document
      - HTTP Redirection
      - Directory Browsing
      - ASP.NET
      - ISAPI Extension
      - ISAPI Filters
      - Windows Authentication
      - Dynamic Content Compression
      - IIS Metabase Compatibility
      - IIS 6 WMI CompatibilityDacă ni se cere să adăugăm servicii adiționale, acceptăm valorile implicite.

       

   4. Next și Install.
5. Microsoft Report Viewer 2008 SP1 – http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=bb196d5d-76c2-4a0e-9458-267d22b6aac6
6. SQL Server 2005 și SQL Server 2005 Service Pack 3.
   1. Instalăm SQL 2005 folosind setările implicite în afară de:
      La Feature Selection selectăm doar:
      Database Services, Reporting Services, Integration Services, Client Components
      

      La Service Account folosim un cont de domeniu și bifăm SQL Server Account:

      

   2. Instalăm SQL Server 2005 SP3.
7. Folosind Server Manager instalăm Group Policy Management Console.
   1. Server Manager, click dreapta Features și selectăm Add Features.
   2. La Select Features selectăm Group Policy Management. Next și Install.
      
8. Folosind Server Manager instalăm Windows Server Update Services 3.0 SP2.
   1. Server Manager, click dreapta Roles și selectăm Add Roles.
   2. La Select Server Roles selectăm Windows Server Update Services.
      
   3. Instalăm WSUS folosind setările implicite în afară de:
      La Database Options selectăm Use an existing database server on this computer.
      

      La Web Site Selection selectăm Create a Windows Server Update Services 3.0 SP2 Web site

      

      În Configuration Wizard, la Choose Product selectăm Forefront Client Security.

      

      La Choose Classifications selectăm Critical, Definition, Security, Service Packs și Updates.

      

9. Ultimul pas pe care îl vom face înainte de a instala FCS este să adăugăm site-ul de reporting la Local Intranet. În cazul meu, voi adăuga http://forefront.
10. Instalăm ultimele actualizări Microsoft.

În următorul articol vom instala FCS cu toate rolurile pe un singur server.