System Center Configuration Manager и как с ним бороться

WSUSCtrl.log:

System.Net.WebException: The request failed with HTTP status 503: Service Unavailable.~~ at Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServer(Object[] args)~~ at Microsoft.UpdateServices.Administration.AdminProxy.GetUpdateServer()~~ at Microsoft.SystemsManagementServer.WSUS.WSUSServer.ConnectToWSUSServer(String ServerName, Boolean UseSSL, Int32 PortNumber)

Failed to set WSUS Local Configuration. Will retry configuration in 1 minutes

WCM.log:

System.Net.WebException: The request failed with HTTP status 503: Service Unavailable.~~ at Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServer(Object[] args)~~ at Microsoft.SystemsManagementServer.WSUS.WSUSServer.ConnectToWSUSServer(String ServerName, Boolean UseSSL, Int32 PortNumber)

ScanAgent.log:

CScanJob::OnScanComplete -Scan Failed with Error=0x80072ee2

CScanJobManager::OnScanComplete- failed at CScanJob::OnScanComplete with error=0x80072ee2

ScanAgent.log:

CScanJob::OnScanComplete -Scan Failed with Error=0x80244022

CScanJobManager::OnScanComplete- failed at CScanJob::OnScanComplete with error=0x80244022

WindowsUpdate.log:

GetAuthorizationCookie failure, error = 0x80244022, soap client error = 10, soap error code = 0, HTTP status code = 503

Failed to initialize Simple Targeting Cookie: 0x80244022

PopulateAuthCookies failed: 0x80244022

RefreshCookie failed: 0x80244022

RefreshPTState failed: 0x80244022

Sync of Updates: 0x80244022

SyncServerUpdatesInternal failed: 0x80244022

Failed to synchronize, error = 0x80244022

Exit code = 0x80244022

WUAHandler.log:

OnSearchComplete — Failed to end search job. Error = 0x80244022.

Scan failed with error = 0x80244022.

Проверьте статус пула приложений и прокси. В моём случае WsusPool был остановлен, что совпало со сбоем корпоративного прокси-сервера:

Пожалуй, пришла пора нарушить молчание, длившееся с октября прошлого года. В октябре со мной случились сложный пятимесячный проект по MBAM и щенок, которые забрали всё моё свободное время.

Как только появилось свободное время, пришла пора ехать на мой пятый MVP Summit, на котором я сейчас и нахожусь:

Между тем, количество подписчиков Youtube-канала уже перевалило за тысячу, за что вам большое спасибо.

Так вот, по поводу экзамена. В него, помимо вопросов о базовом функционале ConfigMgr, теперь входят «облачные» вопросы: управление интернет-клиентами, cloud management gateway, гибридная инфраструктура с мобильными устройствами и прочее. Бета-экзамен нужно сдать до 31-го мая. Подготовиться к экзамену можно при помощи официальных экзаменов, которые вышли в прошлом году, о которых я писал здесь.

Описание экзамена можно найти здесь, а акционный код на 80% скидку — здесь.

Возникла ситуация, когда кто-то из команды администраторов ConfigMgr отредактировал Task Sequence, и нам нужно было найти человека, который внёс изменения. Сделать это можно через статусные сообщения Packages Created, Modified, or Deleted:

Выбираем период времени:

Нам нужно статусное сообщение ID 30001:

Список всех статусных сообщений можно найти здесь.

Работаю над проектом по миграции с Windows 7 на Windows 10. Заказчик для оформления закупок новых ноутбуков попросил найти компьютеры старых неподдерживаемых моделей и контакты пользователей, которые «связаны» через User Device Affinity.

SELECT        TOP (100) PERCENT v_GS_COMPUTER_SYSTEM.Name0 AS [Computer name], dbo.v_R_User.Full_User_Name0 AS [User name], v_UserMachineRelationship.UniqueUserName AS [User account], 
                         dbo.v_GS_COMPUTER_SYSTEM.Model0 AS Model, dbo.v_UserMachineIntelligence.ConsoleMinutes AS [Console usage, minutes], dbo.v_R_User.Mail0 AS [Email account], 
                         dbo.v_UserMachineIntelligence.LastLoginTime AS [Last login time]
FROM            dbo.v_GS_COMPUTER_SYSTEM INNER JOIN
                         dbo.v_UserMachineRelationship ON v_GS_COMPUTER_SYSTEM.ResourceID = v_UserMachineRelationship.MachineResourceID INNER JOIN
                         dbo.v_UserMachineIntelligence ON v_UserMachineRelationship.MachineResourceID = v_UserMachineIntelligence.MachineResourceID INNER JOIN
                         dbo.v_R_User ON dbo.v_UserMachineRelationship.UniqueUserName = dbo.v_R_User.Unique_User_Name0
WHERE        (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6330%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6320%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6230%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6420%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E65250%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6430U%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Precision M3800%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%OptiPlex 960%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%OptiPlex 790%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%OptiPlex 780%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Latitude E6220%') OR
                         (dbo.v_GS_COMPUTER_SYSTEM.Model0 LIKE N'%Precision T3600%')
ORDER BY [Computer name], [Console usage, minutes] DESC

Windows Defender Advanced Threat Protection:

• Automated response with Windows Defender ATP;
• Windows Defender ATP now extends beyond Windows clients;
• Windows Defender ATP machine learning: Detecting new and unusual breach activity;
• Next-gen preventative protection with Windows Defender Advanced Threat Protection.

Windows 10:

• Windows Analytics: Proactively remediating end-user impacting issues with Device Health;
• Deploying Windows 10: An overview of what’s new and future direction;
• Servicing Windows 10: Understanding the Windows as a service process and improvements;
• How Microsoft deploys Windows 10 and implements Windows as a service internally;
• Enhance your security posture on Windows 10;
• Next-Gen AV: Windows Defender Antivirus unleashed;
• How to design and complete your successful move to Windows 10 and WaaS;
• Deploying and managing Windows Defender application control in the real world;
• Learn how to service Windows 10 using Windows Update for Business;
• Architect a modern and secure desktop for your organization;
• An overview of Windows Analytics: New tools to help improve Windows experiences;
• New modern management features for IT pros;
• Reducing the network impact of Windows 10 feature and quality updates;
• Make Windows devices more secure by taking them out of your existing infrastructure;
• Deploy & manage Windows Enterprise subscriptions just like O365 using the cloud;
• Deploying Windows 10: User-driven cloud deployment with Windows AutoPilot;
• Manage Windows devices in the complex hybrid cloud world of today.

Microsoft Intune:

• Mobile device and app management overview with Microsoft Intune;
• Use MDM Migration Analysis Tool to accelerate move from group policy to MDM.

ConfigMgr:

• How to achieve “stress-free OSD” with Windows 10 and Microsoft System Center;
• Deploying and updating Office 365 ProPlus using System Center Configuration Manager;
• System Center Configuration Manager overview and roadmap.

Azure Active Directory:

• Productivity and protection for your employees, partners, and customers with Azure Active Directory;
• Windows devices in Azure Active Directory: Why should I care?;
• Shut the door to cybercrime with Azure Active Directory risk-based identity protection;
• Surviving identity management in a hybrid world;
• Managing enterprise applications, permissions, and consent in Azure Active Directory;
• Azure Active Directory best practices from around the world.

Microsoft Cloud App Security:

• Microsoft Cloud App Security deep dive: Learn how to deploy and manage.

Microsoft Advanced Threat Analytics:

• Deploy and get started with Microsoft Advanced Threat Analytics;
• Protect, detect and respond to cyber-attacks with threat protection;
• Learn About Microsoft Advanced Threat Analytics Futures.

Azure Information Protection:

• Protecting complete data lifecycle using Microsoft information protection capabilities;
• Accelerate Azure information protection deployment and adoption;
• Deploying and managing Windows Information Protection (WIP) with Azure Information Protection;
• Discover what’s new in Azure Information Protection and learn about the roadmap and strategy.

Microsoft Enterprise Mobility + Security:

• Secure access to Office 365, SaaS and on-premises apps with Microsoft Enterprise Mobility + Security;
• Build applications to secure and manage your enterprise using Microsoft Graph;
• Overview: Modern Windows 10 and Office ProPlus management with Enterprise Mobility + Security;
• Modernize deployment & servicing of Windows 10 & Office ProPlus with Enterprise Mobility + Security;
• Manage mobile productivity with Microsoft Enterprise Mobility + Security (EMS).

На прошлой неделе я выступал с докладами на конференции AzureDay 2017 в Киеве. Спасибо всем пришедшим!

• Защита корпоративных ресурсов и информации при помощи Azure;
• Управление устройствами и мобильными приложениями при помощи Azure Intune.

Несколько раз звучал вопрос: «А можно ли это бесплатно попробовать?». Есть несколько вариантов потренироваться с Azure Intune перед реальным внедрением:

• 90-дневные пробные лицензии Microsoft Enterprise Mobility + Security;
• годовая подписка Microsoft Cloud Essentials, позволяющая учиться работе с облачными сервисами;
• лабораторная работа Getting Hands-on with Microsoft Enterprise Mobility + Security с живым инструктором.

Всё, что вам нужно для последнего варианта — это четыре часа свободного времени и браузер с интернетом. В августе я прошёл эти лабораторные работы и имею только положительные впечатления.

После теоретической части вы получаете логин/пароль для доступа к лабораторной среде и вместе с инструктором пошагово выполняете большое количество лабораторных работ, среди которых:

— управление enterprise applications, подключение их с разными типами аутентификации к своим облачным приложениям;
— Azure AD Conditional Access и MFA;
— конфигурирование self-service-доступа к приложениям;
— Azure AD join и MFA;
— сброс пароля через портал самообслуживания;
— конфигурирование динамической группы Azure AD;
— конфигурирование Azure AD Identity Protection MFA и пользовательских политик риска
— обзор возможностей Cloud App Security и Microsoft ATA;
— и многое другое.

Нам не хватило времени пройти лабораторные работы по Azure Intune и Azure Information Protection, но у вас остаются учётные данные доступа к лабораторной среде и вы можете поработать с этими сервисами в другое удобное для вас время. В общем, я всячески рекомендую тем, кому лень регистрировать свою временную подписку и читать много документации.

Для европейских часовых поясов ближайшие регистрации доступны на 18 сентября и 9 октября:

Коллеги, я прилечу на конференцию AzureDAY 2017, которая пройдёт в Киеве 9 сентября. Расскажу про управление мобильными устройствами и Windows 10, а также доступом к ресурсам через облако: Azure AD Conditional Access, Azure Intune и Azure Information Protection.

Присоединяйтесь!

• Установка обновлений при помощи SCCM Current Branch

Выдались свободные выходные, чтобы обкатать новую гарнитуру. Постарался рассказать все основы установки обновлений: от инсталляции WSUS до отчётов и дашбордов.

Сегодня вышло сразу два обновления — 1706 для Current Branch и 1707 для Technical Preview.

Основные новые возможности в 1706:

• инвентаризация SecureBoot и TPM;
• интеграция с Azure AD для аутентификации клиентов и устройств в облаке;
• возможность обновить версию Windows PE в визарде Update Distribution Points;
• утилита Configuration Manager Update Reset Tool, помогающая перезапустить процесс скачивания новых обновлений для ConfigMgr;
• группы в последовательности задач теперь могут раскрываться и сворачиваться;
• удобное создание и назначение скриптов PowerShell на коллекции.

Больше можно узнать в блоге разработчиков и официальной документации.

Основные новый возможности в Technical Preview 1707:

• поддержка Client Peer Cache файлов экспресс-установки обновлений для Windows 10 и Office 365;
• создание параметров для скриптов PowerShell;
• дашборд для Surface-устройств.

Больше можно узнать в блоге разработчиков и официальной документации.

Столкнулись с ситуацией, когда клиенты массово не могут зарегистрироваться на точке управления, что видно из апплета в Панели управления, который не показывает информацию о самоподписанном сертификате.

CcmMessaging.log:

Successfully queued event on HTTP/HTTPS failure for server ‘FR-Server.grp’.

Post to http://FR-Server.grp/ccm_system_windowsauth/request failed with 0x87d00231.

[CCMHTTP] ERROR: URL=http://FR-Server.grp/ccm_system_windowsauth/request, Port=80, Options=224, Code=0, Text=CCM_E_BAD_HTTP_STATUS_CODE

Raising event:Raising event:instance of CCM_CcmHttp_Status{ DateTime = «20170421111806.430000+000»; HostName = «FR-Server.grp»; HRESULT = «0x87d0027e»; ProcessID = 4064; StatusCode = 403; ThreadID = 884;};

ClientIDManagerStartup.log:

[RegTask] — Client is not registered. Sending registration request for GUID:DE58A634-DCC5-443A-A3CF-78B8699B5EDF …

RegTask: Failed to send registration request message. Error: 0x87d00231

RegTask: Failed to send registration request. Error: 0x87d00231

LocationServices.log:

1 assigned MP errors in the last 10 minutes, threshold is 5.

2 assigned MP errors in the last 10 minutes, threshold is 5.

3 assigned MP errors in the last 10 minutes, threshold is 5.

4 assigned MP errors in the last 10 minutes, threshold is 5.

Assigned MP error threshold reached, moving to next MP.

И никакой подробной информации в ClientLocation.log:

Current AD forest name is MEGAdomain.grp, domain name is MEGAdomain.grp

Domain joined client is in Intranet

Current assigned management point is the only assigned management point.

Источник проблемы нашёлся в логах IIS, который отбрасывал запросы клиентов с кодом 403:

10.160.52.36 GET /SMS_MP/.sms_aut MPLIST1&CM1 80 — 10.160.18.104 SMS+CCM+5.0 — 200 0 0 433 42

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.48.72 ccmhttp — 403 18 0 1393 50

10.160.52.36 CCM_POST /ccm_system/request — 80 — 10.160.68.234 ccmhttp — 200 0 0 8583 118

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.68.234 ccmhttp — 403 18 0 1393 39

10.160.52.36 POST /SMS_FSP/.sms_fsp — 80 — 10.160.68.234 ccmhttp — 200 0 0 149 36

10.160.52.36 POST /SMS_FSP/.sms_fsp — 80 — 10.160.68.234 ccmhttp — 200 0 0 149 36

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.4.244 ccmhttp — 403 18 0 1393 52

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.159.46 ccmhttp — 403 18 0 1393 85

Что и подтвердилось попыткой зайти напрямую на IIS:

Поскольку в продуктивной среде у нас была только одна точка управления, я решил её не трогать и установить на временный сервер вторую точку, которая сразу же начала корректно принимать запросы:

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 124

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 125

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 125

10.160.52.202 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.52.154 ccmhttp — 401 2 5 0

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 141

10.160.52.202 CCM_POST /ccm_system_windowsauth/request — 80 MEGAdomain\pc-ext 10.160.52.154 ccmhttp — 200 0 0 46

10.160.52.202 GET /SMS_MP/.sms_aut MPLIST 80 — 10.160.154.4 SMS+CCM+5.0 — 200 0 0 31