System Center Configuration Manager и как с ним бороться

Как-то нам со свежеиспечённым ConfigMgr MVP было скучно и мы решили разобраться, как работает автообновление клиентов в 2012. Точнее, я сейчас готовлю второй видеоурок по установке клиентов, и метод automatically upgrade не описан в документации. Описание появилось несколько дней назад, но, опять же, довольно скудное.

Вова начал рыть внутрь, а я стоял рядышком и помогал.

Хочу обратить внимание, что это лишь наше личное мнение и функционал может работать не так, как мы считаем. Мало того, функционал может измениться с выходом SP1 RTM.

Итак, автоматическое обновление клиентов включается на уровне сайта и применяется ко всем клиентам иерархии. Версия клиента меняется при установке на сайт-сервер hotfix, CU или SP. Обновление включается Hierarchy Setting:

На вкладке видна последняя версия клиента и количество дней, в течение которых клиент после обновления политик должен обновиться.

Continue reading ‘автообновление клиентов в Configuration Manager 2012’ »

Сегодня попросили помочь с развёрнутой инфраструктурой 2007 и 2012, где клиентов сайта SCCM 2007 стали постепенно обновлять инсталляцией поверх клиентами сайта 2012. Жалобы — клиент не привязывается к сайту.

Что видно в LocationServices.log:

Won’t send a client assignment fallback status point message because the last assignment error matches this one.
LSRefreshSiteCode: Group Policy Updated the assigned site code <SC7>, which is different than the existing assigned site code <>. Will attempt re-assignment.
Won’t send client assignment fallback status point message because last assignment message was sent too recently.
Processing GroupPolicy site assignment.
Assigning to site ‘SC7’
LSIsSiteCompatible : Verifying Site Compatibility for <SC7>
Attempting to retrieve lookup MP(s) from AD
The MP name retrieved is ‘isp-backup.firma.com.ua’ with version ‘6487’ and capabilities ‘<Capabilities SchemaVersion=»1.0″>
</Capabilities>’
MP ‘isp-backup.firma.com.ua’ is compatible
Current AD forest name is FIRMA.COM.UA, domain name is FIRMA.COM.UA
Lookup Management Points from AD:
Name: ‘isp-backup.FIRMA.com.ua’ HTTPS: ‘N’ ForestTrust: ‘N’
Retrieved lookup MP(s) from AD
LSGetSiteVersionFromAD : Successfully retrieved version ‘4.00.6487.0000’ for site ‘SC7’
LSIsSiteVersionCompatible : Site Version ‘4.00.6487.0000’ is not compatible.
LSIsSiteCompatible : Site <SC7> Version ‘4.00.6487.0000’ is not compatible.
LSVerifySiteAssignment : Client cannot be assigned to site <SC7>.

ClientIDManagerStartup.log:

RegTask: Failed to refresh site code. Error: 0x80070032

В Active Directory опубликована информация о двух сайтах и, как видно из лога, клиент пытается подвязаться к сайту 2007 (версия сайта — 4.00.6487.0000) , а не к сайту 2012, версия RTM которого — 5.00.7711.0000.

Происходит это из-за того, что границы, указанные в настройках сайтов, совпадают и мы сталкиваемся с тем, что в документации названо «непредсказуемым поведением клиента». Кроме того, клиенты CM 2012 не могут обслуживаться сайтом 2007.

Помните: границы сайтов не должны пересекаться!

Опубликовано видео с четырёх семинаров по System Center 2012 Configuration Manager Microsoft University Весна 2012, которые вёл я в феврале в Microsoft Ukraine. Видео можно скачать или посмотреть в онлайне.

Запись с камеры в зале:

• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.1
• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.2
• Установка операционных систем при помощи SC 2012 CM RC2, ч.1
• Установка операционных систем при помощи SC 2012 CM RC2, ч.2
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.1
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.2
• Дополнительный функционал SC 2012 CM RC2

Запись с моего рабочего стола:

• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.1
• Обзор возможностей SC 2012 CM RC2 и установка приложений, ч.2
• Установка операционных систем при помощи SC 2012 CM RC2, ч.1
• Установка операционных систем при помощи SC 2012 CM RC2, ч.2
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.1
• Установка обновлений при помощи SC 2012 CM RC2 + Endpoint Protection, ч.2
• Дополнительный функционал SC 2012 CM RC2

По моим подсчётам на семинары приходило от 40 до 90 человек. Спасибо всем пришедшим. Спасибо за хвалебные отзывы и критику. Дальше будет ещё лучше. 🙂

• SCCM 2012 Settings Management;
• Simple Setup for Primary Site;
• Site Assignment;
• Client Installation;
• Boundary groups;
• Managing Client Settings.

В SCCM 2012 RC2 добавили возможность автоматического обновления клиента (опция включается в Hierarchy Settings):

Если в иерархии будут найдены клиенты с версией ниже указанной, то они автоматически обновятся.

Данная функция не является полноценной заменой массовому обновлению клиентов, но может помочь, когда при массовом обновлении некоторые компьютеры были выключены или в иерархии есть клиенты SCCM 2007.

В System Center 2012 Configuration Manager разработали механизм оценки здоровья клиента и возврата его в рабочее состояние, если клиент «поломался». Про оценку состояния клиента я уже немного писал. В этом посте я немного расскажу о «внутренностях» процесса.

Раз в час проверяется, запущено ли само задание «Configuration Manager Health Evaluation», вызывающее ccmeval.exe.

CcmEvalTask.log:

Successfully check CcmEval running state CcmEvalTask 25.11.2011 11:39:45 27436 (0x6B2C)
Successfully check CcmEval running state CcmEvalTask 25.11.2011 12:40:54 32976 (0x80D0)
Successfully check CcmEval running state CcmEvalTask 25.11.2011 13:39:51 33684 (0x8394)

ccmeval.exe из файла CcmEval.xml, который находится там же в папке с клиентом, вычитывает параметры, по которым будет проверяться состояние здоровья клиента. Здесь, например, проверяется тип старта сервиса клиента и, если служба стартует не автоматически, то тип старта будет изменён на Automatic:

<HealthCheck Description=»Verify/Remediate SMS Agent Host service startup type.» ID=»13F46523-5B82-417d-A363-A644E80CAD76″ Type=»Services» DependsOn=»8883C683-04C8-4228-BB76-2EDD666BA781″>
<Applicability Platform=»ALL» OS=»ALL» ClientVersion=»ALL»/>
<PARAM Order=»1″ Description=»Service Check»>
ServiceStartupType
</PARAM>
<PARAM Order=»2″ Description=»Service Name»>
CcmExec
</PARAM>
<PARAM Order=»3″ Description=»Expected Service Startup State»>
Automatic
</PARAM>
<Remediate>
<PARAM Order=»1″ Description=»Services Remediation»>
ServiceStartupType
</PARAM>
<PARAM Order=»2″ Description=»Service Name»>
CcmExec
</PARAM>
<PARAM Order=»3″ Description=»Desired Service Startup State»>
Automatic
</PARAM>
</Remediate>
</HealthCheck>

Continue reading ‘Client Health’ »

Теперь отказоустойчивость MP можно строить не только на NLB-кластере, но и поднимать несколько точек управления в одном сайте, а клиент сам будет выбирать, с какой точкой ему связаться.

Если в сайте есть несколько MP, то можно выбрать, какие из них будут активны для этого сайта:

В 2012 появился новая функция сайта — Fallback Site.

Fallback Site — это сайт, к которому могут привязаться клиенты, не попавшие в обслуживаемые границы других сайтов иерархии.

В InventoryAgent.log на клиенте видно, что инвентаризация собирается и успешно отправлется:

Inventory: Temp report = C:\WINDOWS\system32\CCM\Inventory\Temp\a98b401f-2983-4db4-bd8c-014b10e85e01.xml
Inventory: Starting reporting task.
Reporting: 344 report entries created.
Inventory: Reporting Task completed in 0.828 seconds
Inventory: Successfully sent report. Destination:mp:MP_HinvEndpoint, ID: {C4533A8C-6CF4-4727-BF80-A59E8F3BE6FA}, Timeout: 80640 minutes MsgMode: Signed, Not Encrypted
Inventory: Cycle completed in 44.937 seconds
Inventory: Action completed.

Точка управления в лог MP_Hinv пишет, что данные от клиента получены:

Delta report from client TEST, action description = Hardware MP_HinvEndpoint 08.03.2011 21:56:16
Hinv Task: Translate report attachment to file «D:\Program Files (x86)\Microsoft Configuration Manager\inboxes\auth\dataldr.box\H0CUTSCD.MIF» returned 0 MP_HinvEndpoint 08.03.2011 21:56:16

Но поместить эти данные в базу не может, что видно из dataldr.log:

CMachineSource::InsertMachine — could not validate machine
Cannot process MIF H0CUTSCD.MIF, moving it to D:\Program Files (x86)\Microsoft Configuration Manager\inboxes\auth\dataldr.box\BADMIFS\eb4lsv1j.MIF

Инвентаризации по клиенту нет и в консоли SCCM компьютер помечен, как Client=No. Понятно, что проблема в DDR-записи компьютера, которого сервер SCCM считает устаревшим. После принудительного создания DDR и отправки инвентаризации получаем другую ошибку в dataldr.log:

ERROR — attempt to update non-existent row. Invalid command: exec pWorkstationStatus_DATA 1,66,’03/08/2011 21:41:14′,1,’3/8/2011 21:41′,’4294967297′,1049,120
Rollback transaction: Machine=TEST(GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD)
Remote client hardware inventory resync generated for client GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD; update/insert result = 2
Send resync command to local site for machine GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD.
STATMSG: ID=2722 SEV=I LEV=M SOURCE=»SMS Server» COMP=»» SYS=SCCM SITE=000 PID=2596 TID=6476 GMTDATE=Tue Mar 08 19:41:17.426 2011 ISTR0=»TEST» ISTR1=»» ISTR2=»» ISTR3=»» ISTR4=»» ISTR5=»» ISTR6=»» ISTR7=»» ISTR8=»» ISTR9=»» NUMATTRS=0
Cannot process MIF XH733SUDL.MIF, moving it to D:\Program Files (x86)\Microsoft Configuration Manager\inboxes\auth\dataldr.box\BADMIFS\190i3w91.MIF
STATMSG: ID=2703 SEV=W LEV=M SOURCE=»SMS Server» COMP=»» SYS=SCCM SITE=000 PID=2596 TID=6476 GMTDATE=Tue Mar 08 19:41:17.426 2011 ISTR0=»XH733SUDL.MIF» ISTR1=»D:\Program Files (x86)\Microsoft Configuration Manager\inboxes\auth\dataldr.box\BADMIFS\190i3w91.MIF» ISTR2=»» ISTR3=»» ISTR4=»» ISTR5=»» ISTR6=»» ISTR7=»» ISTR8=»» ISTR9=»» NUMATTRS=0
Done: Machine=TEST(GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD) code=2 (11 stored procs in XH733SUDL.MIF)

Удаляем все .MIF-файлы из Microsoft Configuration Manager\inboxes\auth\dataldr.box\BADMIFS, перезапускаем службу SMS_SITE_COMPONENT_MANAGER, отправляем инвентаризацию с проблемного клиента ещё раз и видим, что процесс прошёл успешно:

Processing Inventory for Machine: TEST Version 2.1 Generated: 03/08/2011 21:56:15
Begin transaction: Machine=TEST(GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD)
Commit transaction: Machine=TEST(GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD)
Done: Machine=TEST(GUID:3D8C87D1-E1B9-4571-8869-85549F640DAD) code=0 (15 stored procs in XH0CUTSCD.MIF)

В ccm.log можно встретить следующую ошибку, из-за которой установка клиента SCCM через Client Push Install не будет выполнена:

======>Begin Processing request: «AGZPORTA», machine name: «XP» SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Trying the ‘best-shot’ account which worked for previous CCRs (index = 0x0) SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Attempting to connect to administrative share ‘\\xp.firma.local\admin$’ using account ‘firma\administrator’ SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> WNetAddConnection2 failed (LOGON32_LOGON_NEW_CREDENTIALS) using account firma\administrator (00000035) SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> WNetAddConnection2 failed (LOGON32_LOGON_INTERACTIVE) using account firma\administrator (00000035) SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> The device xp.firma.local does not exist on the network. Giving up SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Trying the ‘best-shot’ account which worked for previous CCRs (index = 0x0) SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Attempting to connect to administrative share ‘\\XP\admin$’ using account ‘firma\administrator’ SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> The ‘best-shot’ account has now succeeded 4 times and failed 0 times. SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Connected to administrative share on machine XP using account ‘firma\administrator’ SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Attempting to make IPC connection to share <\\XP\IPC$> SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Searching for SMSClientInstall.* under ‘\\XP\admin$\’ SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
CWmi::Connect(): ConnectServer(Namespace) failed. — 0x800706ba SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Unable to connect to WMI on remote machine «XP», error = 0x800706ba. SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)
—> Deleting SMS Client Install Lock File ‘\\XP\admin$\SMSClientInstall.000’ SMS_CLIENT_CONFIG_MANAGER 01.01.1601 0:00:00 6008 (0x1778)

На файрволе нужно сделать исключения для служб общего доступа к файлам и принтерам и «Удалённый вызов процедур (RPC)». Если исключения созданы или файрвол отключён, то проверьте корректность А-записи в DNS: перед установкой клиета SCCM опрашивает DNS  и подключается к компьютеру по ip-адресу. Соответственно, если компьютер находится в сети, но по каким-то причинам не смог обновить в DNS свой ip-адрес на правильный, то установка завершится неудачей, что и видно из лога выше.

Пора заводить тег «Хозяйке на заметку». 🙂