System Center Configuration Manager и как с ним бороться

При попытке обновить MDT Deployment share и получить загрузочные образы видим такую ошибку:

В первую очередь проверяем, используем ли мы последний Windows 10 ADK и существуют ли файлы на диске. Далее пробуем монтировать файл вручную при помощи DISM и видим ошибку «1314 A required privilege is not held by the client»:

В dism.log видим следующую ошибку:

[2316] [0xd0000061] WimApplyPrivileges:(139)
[2316] [0xd0000061] RestoreAllData:(863)
[2316] [0xd0000061] WIMApplyImageInternal:(709)
[2316] [0x80070522] ImageStubMountDirectory:(985): A required privilege is not held by the client.
[2316] [0x80070522] WIMMountImageHandle:(1275): A required privilege is not held by the client.
Error DISM DISM WIM Provider: PID=2316 TID=3052 «Failed to mount the image.» — CWimImageInfo::Mount(hr:0x80070522)

Проблема крылась локальной политике безопасности «Managing auditing and security log». После добавления учётной записи проблема исчезла, т.е. даже если мы работаем под учётной записью, обладающей правами локального администратора, этого недостаточно.

WSUSCtrl.log:

System.Net.WebException: The request failed with HTTP status 503: Service Unavailable.~~ at Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServer(Object[] args)~~ at Microsoft.UpdateServices.Administration.AdminProxy.GetUpdateServer()~~ at Microsoft.SystemsManagementServer.WSUS.WSUSServer.ConnectToWSUSServer(String ServerName, Boolean UseSSL, Int32 PortNumber)

Failed to set WSUS Local Configuration. Will retry configuration in 1 minutes

WCM.log:

System.Net.WebException: The request failed with HTTP status 503: Service Unavailable.~~ at Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServer(Object[] args)~~ at Microsoft.SystemsManagementServer.WSUS.WSUSServer.ConnectToWSUSServer(String ServerName, Boolean UseSSL, Int32 PortNumber)

ScanAgent.log:

CScanJob::OnScanComplete -Scan Failed with Error=0x80072ee2

CScanJobManager::OnScanComplete- failed at CScanJob::OnScanComplete with error=0x80072ee2

ScanAgent.log:

CScanJob::OnScanComplete -Scan Failed with Error=0x80244022

CScanJobManager::OnScanComplete- failed at CScanJob::OnScanComplete with error=0x80244022

WindowsUpdate.log:

GetAuthorizationCookie failure, error = 0x80244022, soap client error = 10, soap error code = 0, HTTP status code = 503

Failed to initialize Simple Targeting Cookie: 0x80244022

PopulateAuthCookies failed: 0x80244022

RefreshCookie failed: 0x80244022

RefreshPTState failed: 0x80244022

Sync of Updates: 0x80244022

SyncServerUpdatesInternal failed: 0x80244022

Failed to synchronize, error = 0x80244022

Exit code = 0x80244022

WUAHandler.log:

OnSearchComplete — Failed to end search job. Error = 0x80244022.

Scan failed with error = 0x80244022.

Проверьте статус пула приложений и прокси. В моём случае WsusPool был остановлен, что совпало со сбоем корпоративного прокси-сервера:

Столкнулись с ситуацией, когда клиенты массово не могут зарегистрироваться на точке управления, что видно из апплета в Панели управления, который не показывает информацию о самоподписанном сертификате.

CcmMessaging.log:

Successfully queued event on HTTP/HTTPS failure for server ‘FR-Server.grp’.

Post to http://FR-Server.grp/ccm_system_windowsauth/request failed with 0x87d00231.

[CCMHTTP] ERROR: URL=http://FR-Server.grp/ccm_system_windowsauth/request, Port=80, Options=224, Code=0, Text=CCM_E_BAD_HTTP_STATUS_CODE

Raising event:Raising event:instance of CCM_CcmHttp_Status{ DateTime = «20170421111806.430000+000»; HostName = «FR-Server.grp»; HRESULT = «0x87d0027e»; ProcessID = 4064; StatusCode = 403; ThreadID = 884;};

ClientIDManagerStartup.log:

[RegTask] — Client is not registered. Sending registration request for GUID:DE58A634-DCC5-443A-A3CF-78B8699B5EDF …

RegTask: Failed to send registration request message. Error: 0x87d00231

RegTask: Failed to send registration request. Error: 0x87d00231

LocationServices.log:

1 assigned MP errors in the last 10 minutes, threshold is 5.

2 assigned MP errors in the last 10 minutes, threshold is 5.

3 assigned MP errors in the last 10 minutes, threshold is 5.

4 assigned MP errors in the last 10 minutes, threshold is 5.

Assigned MP error threshold reached, moving to next MP.

И никакой подробной информации в ClientLocation.log:

Current AD forest name is MEGAdomain.grp, domain name is MEGAdomain.grp

Domain joined client is in Intranet

Current assigned management point is the only assigned management point.

Источник проблемы нашёлся в логах IIS, который отбрасывал запросы клиентов с кодом 403:

10.160.52.36 GET /SMS_MP/.sms_aut MPLIST1&CM1 80 — 10.160.18.104 SMS+CCM+5.0 — 200 0 0 433 42

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.48.72 ccmhttp — 403 18 0 1393 50

10.160.52.36 CCM_POST /ccm_system/request — 80 — 10.160.68.234 ccmhttp — 200 0 0 8583 118

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.68.234 ccmhttp — 403 18 0 1393 39

10.160.52.36 POST /SMS_FSP/.sms_fsp — 80 — 10.160.68.234 ccmhttp — 200 0 0 149 36

10.160.52.36 POST /SMS_FSP/.sms_fsp — 80 — 10.160.68.234 ccmhttp — 200 0 0 149 36

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.4.244 ccmhttp — 403 18 0 1393 52

10.160.52.36 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.159.46 ccmhttp — 403 18 0 1393 85

Что и подтвердилось попыткой зайти напрямую на IIS:

Поскольку в продуктивной среде у нас была только одна точка управления, я решил её не трогать и установить на временный сервер вторую точку, которая сразу же начала корректно принимать запросы:

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 124

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 125

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 125

10.160.52.202 CCM_POST /ccm_system_windowsauth/request — 80 — 10.160.52.154 ccmhttp — 401 2 5 0

10.160.52.202 CCM_POST /ccm_system/request — 80 — 10.160.154.4 ccmhttp — 200 0 0 141

10.160.52.202 CCM_POST /ccm_system_windowsauth/request — 80 MEGAdomain\pc-ext 10.160.52.154 ccmhttp — 200 0 0 46

10.160.52.202 GET /SMS_MP/.sms_aut MPLIST 80 — 10.160.154.4 SMS+CCM+5.0 — 200 0 0 31

ccmsetup.log:

File ‘C:\Windows\ccmsetup\MicrosoftPolicyPlatformSetup.msi’ doesn’t exist.

File ‘C:\Windows\ccmsetup\WindowsFirewallConfigurationProvider.msi’ doesn’t exist.

File ‘C:\Windows\ccmsetup\SCEPInstall.exe’ doesn’t exist.

File ‘C:\Windows\ccmsetup\client.msi’ doesn’t exist.

Using branch cache option.

Adding file ‘http://SCCM.firma.com:80/SMS_DP_SMSPKG$/BFG00001/x64/MicrosoftPolicyPlatformSetup.msi’ to BITS job, saving as ‘C:\Windows\ccmsetup\MicrosoftPolicyPlatformSetup.msi’.

Adding file ‘http://SCCM.firma.com:80/SMS_DP_SMSPKG$/BFG00001/x64/WindowsFirewallConfigurationProvider.msi’ to BITS job, saving as ‘C:\Windows\ccmsetup\WindowsFirewallConfigurationProvider.msi’.

Adding file ‘http://SCCM.firma.com:80/SMS_DP_SMSPKG$/BFG00001/SCEPInstall.exe’ to BITS job, saving as ‘C:\Windows\ccmsetup\SCEPInstall.exe’.

Adding file ‘http://SCCM.firma.com:80/SMS_DP_SMSPKG$/BFG00001/x64/client.msi’ to BITS job, saving as ‘C:\Windows\ccmsetup\client.msi’.

Starting BITS download for client deployment files.

Download Update: A recoverable error has occurred.  A retry attempt will be made.

Download Update: A recoverable error has occurred.  A retry attempt will be made.

Download Update: Copy job has been queued.

Download Update: Copy job has been queued.

Первым делом я проверил доменные политики и ограничения BITS, если таковые имелись:

Затем я проверил настройки клиента, в которых тоже не было никаких ограничений для BITS:

Continue reading ‘установка клиента SCCM — Download Update: Copy job has been queued.’ »

Сегодня столкнулись с ошибкой миграции с версии 2012 R2 на 1610: после определения Source Hierarchy сбор данных заканчивается ошибкой и следующими записями в migmctrl.log:

 ERROR: [Worker]:                         System.Data.SqlClient.SqlException (0x80131904): Invalid column name ‘IsBuiltIn’.

Если в логе посмотреть строку выше, то видно, что ConfigMgr пытается мигрировать информацию о группах границ и задача сбора информации из исходной инфраструктуры заканчивается статусом Failed, хотя и границы, и группы границ мигрируются успешно:

[Worker]:                                 Query against Legacy Site , @rowversion=00-00-00-00-00-EC-7C-E3, @SourceSiteCode=C00:                   SELECT Name AS EntityName,                      CONVERT(NVARCHAR(256), GroupID) AS ObjectKey,                      0 AS ObjectTypeID,                      0x0 AS rowversion,                      ‘U’ AS ChangeAction,                      CONVERT(NVARCHAR(256), GroupID) AS UniqueID                  FROM BoundaryGroup WHERE isnull(IsBuiltIn,0) = 0

Колонка IsBuiltIn отсутствует в таблице в dbo.BoundaryGroup в версиях Configuration Manager младше 1606. Её можно создать вручную, как описано в workaround,

или применить Update 1 для System Center Configuration Manager 1610, который вышел вчера:

Заметки на полях.

Сейчас провожу внутреннее обучение для коллег в виде курса по SCCM vNext и в нескольких лабораторных инфраструктурах были встречены следующие ошибки:

ccmsetup.log:

Failed to send status 309. Error (87D00215)

Failed to download from DP ‘http://SCCMNEXT.firma.com/SMS_DP_SMSPKG$/TP400002’, error 0x800706d9.

Enumerated all 1 DP locations but none of them is good. Fallback to MP.

Failed to download client files by BITS. Error 0x800706d9

Решение проблемы: сделать исключение на фаерволле для BITS (порт TCP 80) или выключить фаерволл, но не останавливать службу Windows Firewall (если это лабораторная среда).

ccmsetup.log:

InstallFromManifest failed 0x80070642

Failed to get client version for sending state messages. Error 0x8004100e

Failed to send status 311. Error (87D00215)

Failed to connect to policy namespace. Error 0x8004100e

CcmSetup failed with error code 0x80070642

Решение проблемы: сделать восстановление WMI — открыть %windir%\System32\WBEM или \SysWOW64\WBEM и запустить

FOR /f %s in ('dir /b /s *.dll') do regsvr32 /s %s
Net stop /y winmgmt
FOR /f %s in ('dir /b *.mof *.mfl') do mofcomp %s
Net start winmgmt

ccmsetup.log:

GetDPLocations failed with error 0x80072ee7

Failed to get DP locations as the expected version from MP ‘SCCM.contoso.com’. Error 0x80072ee7

Failed to get client version for sending state messages. Error 0x8004100e

Решение проблемы: проверить доступность контроллера домена — настройки IP/DNS/etc.

При установке клиента встретилась ошибка в ccmsetup.log:

Failed to receive ccm message response. Status code = 500

GetDPLocations failed with error 0x80004005

Failed to get DP locations as the expected version from MP ‘http://SCCMNEXT.firma.com’. Error 0x80004005

Failed to find DP locations from MP ‘http://SCCMNEXT.firma.com’ with error 0x80004005, status code 500. Check next MP.

Проблема с точкой управления, которая повторяется каждые 30 секунд, видна в mpcontrol.log:

Call to HttpSendRequestSync failed for port 80 with status code 500, text: Internal Server Error

Проблема была найдена и заключалась в том, что на сайт-сервере был удалён WSUS, но сайт WSUS Administration остался в IIS. При открытии http://sccmnext.firma.com/sms_mp/.sms_aut?MPlist и http://sccmnext.firma.com/sms_mp/.sms_aut?MPcert была ошибка HTTP 500.19, error code 0x8007007e. Решение было найдено здесь.

Я удалил сайт WSUS Administration и отключил компрессию XPress в WSUS при помощи

%windir%\system32\inetsrv\appcmd.exe set config -section:system.webServer/httpCompression /-[name='xpress']

FAILURE (5616): 1: Verify BCDBootEx

Litetouch deployment failed, Return Code = -2147467259 0x80004005

Failed to save environment to (80070057)

Failed to run the action:  Install Operating System.

Unknown error (error 000015F0; Source: Unknown)

The execution of the group (Install) has failed and the execution has aborted.  An action failed.

Operation aborted (Error: 80004004: Source:  Windows)

Failed to run the last action: Install Operating System.  Execution of task sequence failed.

Unknown error (Error: 000015F0: Source: Unknown)

Task Sequence Engine Failed:  Code:  enExecutionFail

Task sequence execution failed with error code:  80004005

Error Task Sequence Manager failed to execute task sequence.  Code 0x80004005.

Вариант решения проблемы: проверьте пробел(ы) в сетевом пути к общей папке MDT DeploymentShare и, если они есть, удалите их:

• Empowering Enterprise Mobility;
• What’s New and Upcoming with Microsoft Intune and System Center Configuration Manager;
• Deploying Office 365 ProPlus Using System Center Configuration Manager;
• Deploying Windows 10: Back to Basics;
• What’s New in Windows 10 Deployment;
• Getting Ready for Windows 10: Servicing Windows Client and Server in a Managed Environment Today;
• Managing Windows 10: Back to Basics;
• Deploying Microsoft Surface Pro 3 in the Enterprise;
• What’s New in Windows 10 Deployment;
• Adaptiva: Successfully Deploy Windows 10 in the Enterprise Using System Center Configuration Manager;
• Troubleshooting Windows 10 Deployment: Top 10 Tips and Tricks;
• Preparing for Windows 10 Deployment: Assessment, Compatibility, and Planning;
• Evolving Mobile Application Management for BYOD Devices with Microsoft Intune;
• Managing Windows 10 with Microsoft Intune and System Center Configuration Manager;
• Building Out a Successful Microsoft Intune Pilot;
• What’s New with OSD in System Center Configuration Manager and the Microsoft Deployment Toolkit;
• Expert-Level Windows 10 Deployment;
• Deep Dive on Android and iOS Device Management with Microsoft Intune;
• Windows 10 Mobile Device Management (MDM) in Depth;
• Windows 10 Deployment: Ask the Experts;
• How Microsoft IT Deploys Windows 10;
• Managing Your Datacenter with Microsoft System Center Configuration Manager;
• Configuring Corporate-Owned Mobile Devices with Microsoft Intune.

После установки WSUS и SUP не проходит первая синхронизация.

wsyncmgr.log:

Sync failed: WSUS update source not found on site BFT. Please refer to WCM.log for configuration error details.. Source: getSiteUpdateSource

STATMSG: ID=6703 SEV=E LEV=M SOURCE=»SMS Server» COMP=»SMS_WSUS_SYNC_MANAGER» SYS=sccmtest1.firma.com SITE=BFT PID=2144 TID=4260 GMTDATE=Thu Feb 19 02:00:00.445 2015 ISTR0=»getSiteUpdateSource» ISTR1=»WSUS update source not found on site BFT. Please refer to WCM.log for configuration error details.» ISTR2=»» ISTR3=»» ISTR4=»» ISTR5=»» ISTR6=»» ISTR7=»» ISTR8=»» ISTR9=»» NUMATTRS=0

Sync failed. Will retry in 60 minutes

В то же время в WCM.log нет никаких ошибок, только информация о бесконечных ежеминутных попытках синхронизироваться:

Attempting connection to WSUS server: sccmtest1.firma.com, port: 8530, useSSL: False

Successfully connected to server: sccmtest1.firma.com, port: 8530, useSSL: False

Category Product:a105a108-7c9b-4518-bbbe-73f0fe30012b (Windows Server 2012) not found on WSUS

Starting WSUS category sync from upstream…

WSUS sync was already in progress

WSUS sync running

WSUS sync running

WSUS sync running

Обычно после установки консоль WSUS открывать не нужно, поскольку всеми настройками WSUS управляет SUP.

Решение проблемы — открыть консоль, пройти мастер первой настройки до шага синхронизации каталога и закрыть мастер:

Результат виден в WCM.log:

Successfully connected to server: sccmtest1.firma.com, port: 8530, useSSL: False

Successfully refreshed categories from WSUS server

Attempting connection to WSUS server: sccmtest1.firma.com, port: 8530, useSSL: False

Successfully connected to server: sccmtest1.firma.com, port: 8530, useSSL: False

Subscribed Update Categories <?xml version=»1.0″ ?>~~<Categories>~~ <Category Id=»Product:a105a108-7c9b-4518-bbbe-73f0fe30012b»><![CDATA[Windows Server 2012]]></Category>~~</Categories>

Attempting connection to WSUS server: sccmtest1.firma.com, port: 8530, useSSL: False

Successfully connected to server: sccmtest1.firma.com, port: 8530, useSSL: False

После этого первая синхронизации проходит успешно, результаты которой вы можете наблюдать в wsyncmgr.log.