System Center Configuration Manager и как с ним бороться

Из серии «хозяйке на заметку».

Если при импортировании кастомных классов инвентаризации вы видите сообщение «The following classes for which you are trying to import settings do not exist.  Import the required class definitions and then try to import the settings again.»

то убедитесь, что вы добавляете классы не в кастомной политике, а в политике по умолчанию.

Записал третий доклад.

1. Обзор продукта, установка и базовая настройка
2. Установка клиентов
3. Инвентаризация файлов и комплектующих:

Инвентаризация файлов, программ и комплектующих. Расширение инвентаризации, сбор файлов.
4. Учёт запуска программ и управление лицензиями.
5. Запросы и коллекции.
6. Отчёты.
7. Установка пакетов.
8. Установка приложений.
9. Установка обновлений.
10. Установка операционных систем.
11. Антивирусная защита.
12. Проверка соответствия.
13. Удалённое управление и управление электропитанием.
14. Ролевое администрирование.
15. Обслуживание и мониторинг сервера.
16. Миграция с SCCM 2007.
17. Мультисайтовая иерархия.

Хотел расширить инвентаризацию при помощи MIF-файлов, как это делал для SCCM 2007, но столкнулся с ошибкой при обработке отчёта инвентаризации точкой управления.

MP_Hinv.log:

NOID MIF Processing is turned off. Instances will be discarded.

dataldr.log:

CGroup::AddGroup — WARNING: Could not find group PCINFO in the group map, this group in the inventory report will be ignored.

А всё потому, что ConfigMgr 2012 «на лету» не умеет создавать новый WMI-класс и таблицы в базе при получении MIF-файла. Теперь это нужно делать вручную перед сбором MIF-файлов. Как обтекаемо сказано в документации, «Before you can add information from MIF files to the Configuration Manager database, you must create or import class information for them.»

Поэтому теперь, если в ConfigMgr понадобится добавить информацию о зелёном компьютере с серийным номером 17456235, от и без того старого метода в виде сбора MIF-файлов придётся отказаться в пользу опроса ключей реестра (в этом поможет RegKeytoMof) или дополнительных атрибутов Active Directory.

В логе можно увидеть, что отчёт инвентаризации отправляется.

scxcm.log:

Begin preparation of the formal server report.  This may take a little time.

Completed preparation of the formal server report.

Inventory: Successfully sent report

Но в MP_Hinv.log нет информации о принятии этого отчёта точкой управления. Автоматическое одобрение клиентов включено, но на клиентов *nix не распространяется.

Клиента нужно одобрить вручную, по правому клику выбрав Approve.

После этого нужно перезагрузить службу клиента, заново запросить политики и провести цикл инвентаризации:

/opt/microsoft/configmgr/bin/ccmexec -s

/opt/microsoft/configmgr/bin/ccmexec -d

/opt/microsoft/configmgr/bin/ccmexec -rs policy

/opt/microsoft/configmgr/bin/ccmexec -rs hinv

MP_Hinv.log:

Hinv Retry: ******************* Start of Task *********************

Hinv Sax: loading D:\Program Files\Microsoft Configuration Manager\inboxes\auth\dataldr.box\HinvAttachmentFDM7GMV1.xml

Full report from client sles, action description = Hardware

Date property year value is less than 1980 — 19700101000000.000000+000; year will be adjusted by MIF processing on site server

Date property year value is less than 1980 — 19700101000000.000000+000; year will be adjusted by MIF processing on site server

Hinv Task: Translate report attachment to file «D:\Program Files\Microsoft Configuration Manager\inboxes\auth\dataldr.box\H4RI23SC.MIF» returned 0

Hinv Retry: ******************* End of Task *********************

Двухсотстраничное пособие по WMI и расширению инвентаризации для SMS 2003, которое компания SMS Expert раньше продавала за 50 евро, сейчас доступно бесплатно. Некоторая часть информации устарела и не применима для Configuration Manager 2012, но лишним для администратора ConfigMgr не будет.

Для скачивания нужно зарегистрироваться здесь.

Теперь в Resource Explorer удобно просматривать произошедшие изменения. Можно увидеть, что добавлялось или удалялось между циклами инвентаризации. Например, установленное ПО. Видно, что был установлен 7-Zip и удалён WSUS:

Изменения в сервисах:

Общие папки:

И т.д.

Ради любопытства сравнил представления SCCM 2007 и CM 12, в которых хранятся данные инвентаризации. Получилось 87 (2007) против 137 (2012). Сравнение проводилось на инсталляцих по умолчанию, т.е. после установки классы инвентаризации не расширялись. Вывод? Устанавливайте ConfigMgr 2012. 🙂

Скачать таблицу.

Опубликовано видео с четырёх семинаров по System Center 2012 Configuration Manager Microsoft University Весна 2012, которые вёл я в феврале в Microsoft Ukraine. Видео можно скачать или посмотреть в онлайне.

Запись с камеры в зале:

• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.1
• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.2
• Установка операционных систем при помощи SC 2012 CM RC2, ч.1
• Установка операционных систем при помощи SC 2012 CM RC2, ч.2
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.1
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.2
• Дополнительный функционал SC 2012 CM RC2

Запись с моего рабочего стола:

• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.1
• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.2
• Установка операционных систем при помощи SC 2012 CM RC2, ч.1
• Установка операционных систем при помощи SC 2012 CM RC2, ч.2
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.1
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.2
• Дополнительный функционал SC 2012 CM RC2

По моим подсчётам на семинары приходило от 40 до 90 человек. Спасибо всем пришедшим. Спасибо за хвалебные отзывы и критику. Дальше будет ещё лучше. 🙂

Как известно, через консоль в инвентаризацию файлов можно добавить определённые папки, но нельзя исключить какие-то папки или диски (например, это большой файловый архив, папка с инсталляционными файлами на сервере и т.д.):

Сделать это можно, создав скрытый пустой файл Skpswi.dat и поместив его в корень диска или папки, которые нужно исключить из инвентаризации файлов. Это работает ещё с SMS 2003.

На последнем прошедшем семинаре я повторно получил от бывшего коллеги вопрос (Саша, этот пост для тебя, я знаю, ты читаешь :)): «Как разным уровням техподдержки дать разный доступ к удалённому управлению компьютерами внутри одной коллекции, чтобы одни имели View Only, а другие — Full Control?». Этот вопрос я получил ещё в сентябре в прошлом цикле семинаров, но попробовать руки дошли только сейчас.

Я ответил, что политики суммируются и политики с наивысшим приоритетом, соответственно, перекрывают политики с приоритетом ниже. Например, если в политике с приоритетом 2 будет отключён агент, а в политике с приоритетом 1 будет включён, но в итоге на клиенте агент будет включён.

Если в политике с приоритетом 2 будет включена инвентаризация двух классов, а в политике с приоритетом 1 будет включена инвентаризация одного из этих классов, то будут инвентаризироваться оба класса. То же самое имеет силу, например, в инвентаризации файлов: если в политике с приоритетом 2 будет включена инвентаризация .exe и .mp3, а в политике с приоритетом 1 будет включена инвентаризация .exe и .txt, то будут инвентаризироваться файлы с этими тремя расширениями:

Collection: Namespace = \\.\root\ccm\invagt; Query = SELECT Name, Path, LastWriteDate, Size, CompanyName, ProductName, ProductVersion, ProductLanguage, FileVersion, FileDescription FROM FileSystemFile WHERE Name = ‘*.exe’ AND Path = ‘*\\*’ AND SkipWindirFolders = TRUE AND IsCompressed = FALSE AND IsEncrypted = FALSE; Timeout = 14400 secs.
Collection: Input context, scan rate in milliseconds = 2
Collection: Input context, skip file name = skpswi.dat
Collection: Namespace = \\.\root\ccm\invagt; Query = SELECT Name, Path, LastWriteDate, Size, CompanyName, ProductName, ProductVersion, ProductLanguage, FileVersion, FileDescription FROM FileSystemFile WHERE Name = ‘*.exe|*.txt’ AND Path = ‘*\\*’ AND SkipWindirFolders = TRUE AND IsCompressed = FALSE AND IsEncrypted = FALSE; Timeout = 14400 secs.
Collection: Input context, scan rate in milliseconds = 2
Collection: Input context, skip file name = skpswi.dat
Collection: Namespace = \\.\root\ccm\invagt; Query = SELECT Name, Path, LastWriteDate, Size, CompanyName, ProductName, ProductVersion, ProductLanguage, FileVersion, FileDescription FROM FileSystemFile WHERE Name = ‘*.exe|*.mp3’ AND Path = ‘*\\*’ AND SkipWindirFolders = TRUE AND IsCompressed = FALSE AND IsEncrypted = FALSE; Timeout = 14400 secs.
Inventory: Collection Task completed in 1008.859 seconds
Inventory: Temp report = C:\Windows\CCM\Inventory\Temp\7114f20f-abac-42cd-a77c-1258d695bbfb.xml
Collection: 3/3 inventory data items successfully inventoried.

Что же до удалённого управления, то я был не совсем прав: настройки удалённого управления — ключи реестра и правило суммирования политик не применимо к этим настройкам, т.е. политика с высшим приоритетом перекроет остальные.

Получаем следующее:

Политика 2, petya, View Only, приоритет 2, коллекция 1

Политика 1, vasya, Full Control, приоритет 1, коллекция 1

Результат: vasya на коллекцию 1 будет иметь Full Control, у petya будет access denied.

Политика 2, vasya, petya, Full Control, приоритет 2, коллекция 1

Политика 1, petya, View Only, приоритет 1, коллекция 1

Результат: petya на коллекцию 1 будет иметь View Only, vasya будет иметь access denied.

С этой проблемой я на выходных обратился за помощью к разработчикам. Меня поддержал мой австралийский коллега, который столкнулся с такой же проблемой и оставил заявку на исправление, на что Senior Program Manager Wally Mead нам ответил следующее: