System Center Configuration Manager и как с ним бороться

Сегодня на Microsoft Ignite была представлена новая версия ConfigMgr — System Center Configuration Manager Technical Preview.

System Center Configuration Manager Technical Preview имеет ряд новшеств, среди которых стоит отметить следующие:

• последовательность задач для обновления с Windows 7/8/8.1 на Windows 10;
• размещение сервера ConfigMgr в виде виртуальной машины Microsoft Azure;
• управление устройствами Windows 10 через локальную инфраструктуру (с интеграцией Microsoft Intune) без хранения данных в облаке.

System Center Configuration Manager Technical Preview поддерживает до десяти клиентов Windows 7/8/8.1/10 и не поддерживает обновление с предыдущих версий, соответственно, предназначен для использования в лабораторной среде.

На следующей неделе выйдет Service Pack 2 для System Center Configuration Manager 2012 SP1/R2. Среди основных новшеств:

• поддержка всех недавно вышедших дополнений в Microsoft Intune;
• поддержка до 150 тысяч клиентов на отдельный сайт (до 600 тысяч для иерархии);
• поддержка SQL Server 2014.

Кроме этого, в третьем квартале 2015 года планируется обновление MDT 2013, позволяющее устанавливать Windows 10.

Microsoft Intune также получит обновлённый функционал в виде запрета различных действий в Outlook, поддержки Windows 10 и многое другое.

• Официальный анонс об Enterprise Mobility Suite (EMS);
• Официальный анонс о Microsoft Intune;
• Официальный анонс о System Center Configuration Manager Technical Preview;
• Создание политик OMA-URI для Windows 10;
• Скачать System Center Configuration Manager Technical Preview;
• Требования для System Center Configuration Manager Technical Preview и новые возможности.

Появились записи моих докладов в Microsoft Ukraine в этом месяце. Напомню, серия семинаров была посвящена установке операционных систем при помощи Microsoft Deployment Toolkit 2013 и System Center 2012 R2 Configuration Manager. Каждый семинар посетило около 80 человек. Спасибо всем пришедшим. 🙂

• Установка операционных систем при помощи MDT и SCCM, ч.1;
• Установка операционных систем при помощи MDT и SCCM, ч.2;
• Установка операционных систем при помощи MDT и SCCM, ч.3;
• Установка операционных систем при помощи MDT и SCCM, ч.4.

Качество звука в некоторых моментах делает мне больно.:(

Два дня назад была выпущена новая версия MDT — Microsoft Deployment Toolkit 2013 Update 1Preview.

Основные новые возможности:

• Поддержка Windows 10 Technical Preview (для сценариев LTI) и Windows Assessment and Deployment Kit (ADK) for Windows 10 Technical Preview
• Разделение больших WIM-файлов при создании offline-media для UEFI
• Полностью пересмотренная логика версий Windows, включая изменения сравнений строчных и целочисленных данных (“10” !> “6” но 10 > 6) и новые функции ZTIUtility, GetMajorMinorVersion
• Небольшие изменения интерфейса консоли

Версия Preview содержит много ошибок, предназначается для ознакомления и развёртывания в лабах.

Для скачивания Microsoft Deployment Toolkit 2013 Update 1 Preview нужно:

1. Зарегистрироваться на сайте Microsoft Connect и присоединиться к программе оценки MDT
2. Скачать Windows Assessment and Deployment Kit (Windows ADK) for Windows 10 Technical Preview
3. Установить MDT 2013 Update 1Preview

• Обзор новых возможностей

Если у меня будет возможность, на семинарах в Киеве я покажу развёртывание Windows 10 Technical Preview через MDT 2013 Update 1 Preview.

Если вы в процессе установки операционной системы хотите заблокировать какое-то обновление, например, установку Internet Explorer 11 при подготовке эталонного образа, вам нужно добавить параметр WUMU_ExcludeKB001=ID_обновления. Все последующие заблокированные обновления будут выглядеть как WUMU_ExcludeKB002, WUMU_ExcludeKB003 и т.д.

В MDT вам нужно добавить параметр в CustomSettings.ini:

В Configuration Manager этот параметр нужно добавить в виде переменной последовательности задач:

Курс по установке Windows 8.1 на Surface Pro 3 через MDT и ConfigMgr 2012 можно найти здесь.

После установки операционной системы через MDT видим следующее:

C:\Windows\debug\NetSetup.LOG:

NetpJoinDomain
HostName: VM1
NetbiosName: VM1
Domain: firma.com
MachineAccountOU: (NULL)
Account: FIRMA\Administrator
Options: 0x1
NetpLoadParameters: loading registry parameters…
NetpLoadParameters: DNSNameResolutionRequired not found, defaulting to ‘1’ 0x2
NetpLoadParameters: DomainCompatibilityMode not found, defaulting to ‘0’ 0x2
NetpLoadParameters: status: 0x2
NetpValidateName: checking to see if ‘firma.com’ is valid as type 3 name
NetpCheckDomainNameIsValid for firma.com returned 0x54b, last error is 0x0
NetpCheckDomainNameIsValid [ Exists ] for ‘firma.com’ returned 0x54b
NetpJoinDomainOnDs: Domain name is invalid, NetpValidateName returned: 0x54b
NetpJoinDomainOnDs: Function exits with status of: 0x54b
NetpJoinDomainOnDs: NetpResetIDNEncoding on ‘(null)’: 0x0
NetpDoDomainJoin: status: 0x54b

Event ID 4097:

The machine VM1 attempted to join the domain firma.com but failed. The error code was 1355.

В моей домашней лаборатории два DHCP-сервера: один на роутере от провайдера и его нельзя отключить, а второй на сервере в лабе. После долгого разбирательства выяснил, что вместо локального домена было обращение по внешнему имени. Происходило это потому, что роутер выдавал IPv6-адреса своих DNS и разрешение имён шло через них. Было принято решение отключить IPv6 для корректного входа в домен, что я и сделал командой

reg add HKLM\System\CurrentControlSet\Services\Tcpip6\Parameters /v DisabledComponents /t REG_DWORD /d 4294967295

и добавил этот шаг в последовательность задач перед шагом Recover From Domain:

• Empowering Enterprise Mobility;
• Enterprise Client Management with System Center Configuration Manager and Intune;
• Real-World Windows Deployment: Notes from the Field;
• What’s New and Upcoming with OS Deployment in System Center Configuration Manager and the Microsoft Deployment Toolkit;
• Infrastructure Deployment for Mobile Device Management with System Center Configuration Manager and Intune;
• Advanced Microsoft Deployment Toolkit 2013 Customizations: Dueling MDT Enhancements;
• Deploying Solutions for Windows Phone 8.1 in the Enterprise;
• Mobile Application Management with Intune;
• Windows 8.1 Deployment Using Free Tools from Microsoft;
• System Center Configuration Manager Community Jewels;
• Configuring Corporate-Owned Mobile Devices with Intune;
• Top 10 Best Practices for Operating System Deployment with System Center Configuration Manager 2012 R2;
• Compliance and Patch Management for Linux and UNIX in System Center 2012 R2.

• Deployment Fundamentals, Vol. 5: Building a Real-World Infrastructure with Windows Server 2012 R2, Mdt 2013, and Powershell;
• System Center 2012 R2 Configuration Manager Unleashed: Supplement to System Center 2012 Configuration Manager (SCCM) Unleashed;
• Microsoft System Center Configuration Manager Advanced Deployment.

• Enabling Enterprise Mobility with Windows Intune, Microsoft Azure, and Windows Server;
• Microsoft System Center 2012 Configuration Manager: MVP Experts Panel;
• Managing Windows 8.1 and Windows RT 8.1 Using Mobile Device Management;
• What’s New in Enterprise Management with Microsoft System Center Configuration Manager and Windows Intune;
• Empowering Your Users and Protecting Your Corporate Data;
• Enrollment and Management of Mobile Devices with Microsoft System Center Configuration Manager and Windows Intune;
• Deploying Windows 8.1 in the Enterprise;
• Microsoft System Center Configuration Manager Community Jewels;
• Infrastructure Deployment for Mobile Device Management with Microsoft System Center Configuration Manager and Windows Intune;
• Real-World Windows 8.1 Deployment Notes from the Field;
• Building the Perfect Windows 8.1 Image;
• Protecting Your Corporate Data with Microsoft System Center Configuration Manager and Windows Intune;
• Top OS Deployment Issues with Answers from Experts;
• What’s New with OS Deployment in Configuration Manager and the Microsoft Deployment Toolkit;
• Application Management with Microsoft System Center Configuration Manager and Windows Intune;
• Troubleshooting Windows 8.1 Deployments: In-Depth.

Установить обновления перед захватом эталонного образа очень просто: через Windows Update или WSUS, а потом вручную запускать sysprep, монтировать capture .iso или иной вариант. У меня же была другая задача: в процессе Build and Capture через MDT подключиться к локальному WSUS, который существует в компании, и установить обновления оттуда, т.е. провести установку обновлений в полностью автоматическом режиме.

Во-первых, в процессе скачивания обновлений можно получить ошибку.

BDD.log и ZTIWindowsUpdate.log:

INSTALL — f49a461d-9fa0-484b-9db5-b14e9a3d9bd3 — Security Update for Windows 7 for x64-based Systems (KB2922229) — 1 MB

INSTALL — 9a5132e4-ca62-4f66-bbe2-d920e6252678 — Update for Microsoft PowerPoint 2010 (KB2837579) 32-Bit Edition — 14 MB

INSTALL — 952c45be-a107-4dae-8ccb-b3c91688bcd2 — Cumulative Security Update for Internet Explorer 8 for Windows 7 for x64-based Systems (KB2936068) — 16 MB

Scan complete, ready to install updates. Count = 181

Begin Downloading…

ZTI ERROR — Unhandled error returned by ZTIWindowsUpdate: Object doesn’t support this property or method (438)

Этот баг пришёл в MDT 2013 с MDT 2012 Update 1. Для исправления бага со скачиванием обновлений нужно исправить в файле ZTIWindowsUpdate.wsf строку:

result(» & UpdateResult.GetUpdateResult(item).ResultCode & «) : » & UpdatesToDownload.Item(item).Title, MSIT_LogType

на

result(» & UpdateResult.GetProgress.GetUpdateResult(item).ResultCode & «) : » & UpdatesToDownload.Item(item).Title, MSIT_LogType

Во-вторых, мой WSUS работал через https.

Для настройки обновлений нужно экспортировать корневой сертификат:

Next-Next-задать имя сертификата-Next-Finish.

В свойствах DeploymentShare задаём адрес WSUS вида WSUSServer=http://имя сервера:порт или https, как в моём случае:

В Task Sequence включаем шаги Windows Update (Pre-Application Installation) и Windows Update (Post-Application Installation). Импорт сертификата через командную строку и запуск certutil.exe в процессе установки не получался, поэтому я решил импортировать сертификаты через создание приложения и простейший батник:

certutil.exe -addstore Root \\server\h$\Applications\root.cer
certutil.exe -addstore TrustedPublisher \\server\h$\Applications\root.cer

Соответственно, перед этим я поместил экспортированный сертификат в общую папку. Создание приложения затруднений не вызывает, в качестве строки запуска указываем созданный .bat-файл:

И добавляем установку этого приложения в Task Sequence:

Если же WSUS работает по http, то достаточно просто указать его адрес в свойствах DeploymentShare и активировать два шага в Task Sequence.