System Center Configuration Manager и как с ним бороться

Из серии «хозяйке на заметку».

Если при импортировании кастомных классов инвентаризации вы видите сообщение «The following classes for which you are trying to import settings do not exist.  Import the required class definitions and then try to import the settings again.»

то убедитесь, что вы добавляете классы не в кастомной политике, а в политике по умолчанию.

После установки операционной системы через MDT видим следующее:

C:\Windows\debug\NetSetup.LOG:

NetpJoinDomain
HostName: VM1
NetbiosName: VM1
Domain: firma.com
MachineAccountOU: (NULL)
Account: FIRMA\Administrator
Options: 0x1
NetpLoadParameters: loading registry parameters…
NetpLoadParameters: DNSNameResolutionRequired not found, defaulting to ‘1’ 0x2
NetpLoadParameters: DomainCompatibilityMode not found, defaulting to ‘0’ 0x2
NetpLoadParameters: status: 0x2
NetpValidateName: checking to see if ‘firma.com’ is valid as type 3 name
NetpCheckDomainNameIsValid for firma.com returned 0x54b, last error is 0x0
NetpCheckDomainNameIsValid [ Exists ] for ‘firma.com’ returned 0x54b
NetpJoinDomainOnDs: Domain name is invalid, NetpValidateName returned: 0x54b
NetpJoinDomainOnDs: Function exits with status of: 0x54b
NetpJoinDomainOnDs: NetpResetIDNEncoding on ‘(null)’: 0x0
NetpDoDomainJoin: status: 0x54b

Event ID 4097:

The machine VM1 attempted to join the domain firma.com but failed. The error code was 1355.

В моей домашней лаборатории два DHCP-сервера: один на роутере от провайдера и его нельзя отключить, а второй на сервере в лабе. После долгого разбирательства выяснил, что вместо локального домена было обращение по внешнему имени. Происходило это потому, что роутер выдавал IPv6-адреса своих DNS и разрешение имён шло через них. Было принято решение отключить IPv6 для корректного входа в домен, что я и сделал командой

reg add HKLM\System\CurrentControlSet\Services\Tcpip6\Parameters /v DisabledComponents /t REG_DWORD /d 4294967295

и добавил этот шаг в последовательность задач перед шагом Recover From Domain:

• Empowering Enterprise Mobility;
• Enterprise Client Management with System Center Configuration Manager and Intune;
• Real-World Windows Deployment: Notes from the Field;
• What’s New and Upcoming with OS Deployment in System Center Configuration Manager and the Microsoft Deployment Toolkit;
• Infrastructure Deployment for Mobile Device Management with System Center Configuration Manager and Intune;
• Advanced Microsoft Deployment Toolkit 2013 Customizations: Dueling MDT Enhancements;
• Deploying Solutions for Windows Phone 8.1 in the Enterprise;
• Mobile Application Management with Intune;
• Windows 8.1 Deployment Using Free Tools from Microsoft;
• System Center Configuration Manager Community Jewels;
• Configuring Corporate-Owned Mobile Devices with Intune;
• Top 10 Best Practices for Operating System Deployment with System Center Configuration Manager 2012 R2;
• Compliance and Patch Management for Linux and UNIX in System Center 2012 R2.

• Deep Dive — Extending Windows To Go Management to the Datacenter;
• ConfigMgrDogs Troubleshoot ConfigMgr 2012;
• Windows Phone 8.1 in the Enterprise;
• Azure VM Security and Compliance Management with Configuration Manager and SCM.

• Enabling Enterprise Mobility with Windows Intune, Microsoft Azure, and Windows Server;
• Microsoft System Center 2012 Configuration Manager: MVP Experts Panel;
• Managing Windows 8.1 and Windows RT 8.1 Using Mobile Device Management;
• What’s New in Enterprise Management with Microsoft System Center Configuration Manager and Windows Intune;
• Empowering Your Users and Protecting Your Corporate Data;
• Enrollment and Management of Mobile Devices with Microsoft System Center Configuration Manager and Windows Intune;
• Deploying Windows 8.1 in the Enterprise;
• Microsoft System Center Configuration Manager Community Jewels;
• Infrastructure Deployment for Mobile Device Management with Microsoft System Center Configuration Manager and Windows Intune;
• Real-World Windows 8.1 Deployment Notes from the Field;
• Building the Perfect Windows 8.1 Image;
• Protecting Your Corporate Data with Microsoft System Center Configuration Manager and Windows Intune;
• Top OS Deployment Issues with Answers from Experts;
• What’s New with OS Deployment in Configuration Manager and the Microsoft Deployment Toolkit;
• Application Management with Microsoft System Center Configuration Manager and Windows Intune;
• Troubleshooting Windows 8.1 Deployments: In-Depth.

Случайно заглянув в Monitoring, увидел, что компонент SMS_PACKAGE_TRANSFER_MANAGER стал «красным».

Message ID 8211:

Package Transfer Manager failed to update the package «CAS00007», Version 5 on distribution point SERVER-DP2.COM.UA. Review PkgXferMgr.log for more information about this failure.

Possible cause: Site server does not have sufficient rights to the source directory.
Solution: Verify that the site server computer account has at least Read access to the directory you specify as the source directory.

Possible cause: There is not enough disk space available on the distribution point.
Solution: Verify that there is enough free disk space available on the distribution point.

Немного разобравшись в ситуации, понял, что обновление, которое входит в два пакета, не может быть добавлено на половину удалённых точек распространения.

PkgXferMgr.log:

ExecStaticMethod failed (80041001) SMS_DistributionPoint, FinalizeContent

CSendFileAction::SendFiles failed; 0x80041001

Sending failed. Failure count = 2, Restart time = 30.04.2014 12:54:44 FLE Daylight Time

smsdpprov.log с удалённой точки распространения:

MoveFile failed for \\?\C:\SCCMContentLib\DataLib\e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e.CAS00007.temp to \\?\C:\SCCMContentLib\DataLib\e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e

FileRename failed; 0x800700b7

CContentDefinition::Finalize failed; 0x800700b7

Failed to finalize content ‘e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e’ for package ‘CAS00007’. Error code: 0X800700B7

MoveFile failed for \\?\C:\SCCMContentLib\DataLib\e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e.CAS00008.temp to \\?\C:\SCCMContentLib\DataLib\e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e

FileRename failed; 0x800700b7

CContentDefinition::Finalize failed; 0x800700b7

Failed to finalize content ‘e09353bb-e231-4ec9-9d7b-cb1b3e7d7f8e’ for package ‘CAS00008’. Error code: 0X800700B7

Первым делом я обновил пакеты, что не дало результата. Потом я удалил пакеты и пытался добавить их заново, но получал те же ошибки. distmgr.log подозрительно молчал, не показывая каких-либо ошибок. Оказалось, что «сбойные» файлы после удаления пакета оставались на месте:

Удалить файлы не получалось, захватить права на себя — тоже. На момент устранения неполадок перезагрузка серверов была некритична, поэтому я перезагрузил сервера и без каких-либо проблем смог удалить файлы.

После этого добавление пакетов прошло без ошибок.

Установить обновления перед захватом эталонного образа очень просто: через Windows Update или WSUS, а потом вручную запускать sysprep, монтировать capture .iso или иной вариант. У меня же была другая задача: в процессе Build and Capture через MDT подключиться к локальному WSUS, который существует в компании, и установить обновления оттуда, т.е. провести установку обновлений в полностью автоматическом режиме.

Во-первых, в процессе скачивания обновлений можно получить ошибку.

BDD.log и ZTIWindowsUpdate.log:

INSTALL — f49a461d-9fa0-484b-9db5-b14e9a3d9bd3 — Security Update for Windows 7 for x64-based Systems (KB2922229) — 1 MB

INSTALL — 9a5132e4-ca62-4f66-bbe2-d920e6252678 — Update for Microsoft PowerPoint 2010 (KB2837579) 32-Bit Edition — 14 MB

INSTALL — 952c45be-a107-4dae-8ccb-b3c91688bcd2 — Cumulative Security Update for Internet Explorer 8 for Windows 7 for x64-based Systems (KB2936068) — 16 MB

Scan complete, ready to install updates. Count = 181

Begin Downloading…

ZTI ERROR — Unhandled error returned by ZTIWindowsUpdate: Object doesn’t support this property or method (438)

Этот баг пришёл в MDT 2013 с MDT 2012 Update 1. Для исправления бага со скачиванием обновлений нужно исправить в файле ZTIWindowsUpdate.wsf строку:

result(» & UpdateResult.GetUpdateResult(item).ResultCode & «) : » & UpdatesToDownload.Item(item).Title, MSIT_LogType

на

result(» & UpdateResult.GetProgress.GetUpdateResult(item).ResultCode & «) : » & UpdatesToDownload.Item(item).Title, MSIT_LogType

Во-вторых, мой WSUS работал через https.

Для настройки обновлений нужно экспортировать корневой сертификат:

Next-Next-задать имя сертификата-Next-Finish.

В свойствах DeploymentShare задаём адрес WSUS вида WSUSServer=http://имя сервера:порт или https, как в моём случае:

В Task Sequence включаем шаги Windows Update (Pre-Application Installation) и Windows Update (Post-Application Installation). Импорт сертификата через командную строку и запуск certutil.exe в процессе установки не получался, поэтому я решил импортировать сертификаты через создание приложения и простейший батник:

certutil.exe -addstore Root \\server\h$\Applications\root.cer
certutil.exe -addstore TrustedPublisher \\server\h$\Applications\root.cer

Соответственно, перед этим я поместил экспортированный сертификат в общую папку. Создание приложения затруднений не вызывает, в качестве строки запуска указываем созданный .bat-файл:

И добавляем установку этого приложения в Task Sequence:

Если же WSUS работает по http, то достаточно просто указать его адрес в свойствах DeploymentShare и активировать два шага в Task Sequence.

Как я уже писал, в случае запроса имени пользователя и пароля при открытии Application Catalog сайт нужно добавить в доверенные локальные сайты.

Недавно столкнулся с тем, что этого добавления недостаточно. Пришлось включить опцию Automatic logon with current username and password при работе с локальными сайтами. В итоге групповая политика выглядит так:

Столкнулся с ещё одной ошибкой при установке операционной системы по сети: 80070002 показывает, что какой-то файл не найден. На самом деле проблема в сертификатах, если мы работаем по HTTPS.

SMSTS.log:

Error. Received 0x80072ee2 from WinHttpSendRequest.
socket ‘connect’ failed; 8007274c
sending with winhttp failed; 80072ee2
SendResourceRequest() failed. 80072ee2
Download() failed. 80072ee2.
DownloadContentAndVerifyHash() failed. 80070002.
Installation of image 1 in package CAS0001F failed to complete..
The system cannot find the file specified. (Error: 80070002; Source: Windows)

Решение очевидное: не забывать добавлять сертификат в IIS, о чём я писал ниже.

Иногда я пишу короткие заметки типа такой для себя, чтобы следующий раз быстро находить решение по поиску в блоге.:)

SMSPXE.log:

cannot connect with winhttp; 80072ee5
Failed to get information for MP: . 80072ee5.
PXE::MP_InitializeTransport failed; 0x80004005
PXE::MP_LookupDevice failed; 0x80004005
cannot connect with winhttp; 80072ee5
Failed to get information for MP: . 80072ee5.
PXE::MP_InitializeTransport failed; 0x80004005
PXE::MP_ReportStatus failed; 0x80004005
PXE Provider failed to process message.
Unspecified error (Error: 80004005; Source: Windows)

The Windows Boot Configuration Data (BCD) file does not contain a valid operation system entry:

Моя точка распространения работает по HTTPS и я… слегка забыл добавить сертификаты.

Для IIS:

Для точки распространения:

После добавления сертификатов установка операционной системы началась.