Agentverteilung geht nicht

Viper9000 · Post by **Viper9000** » 25. Oct 2007, 11:38

Hi,

@Loginscript: Ich glaube, wir reden ein bißchen aneinander vorbei. Ich meinte nur an welcher Stelle du das Skript (Batchfile oder so) du es in der Gruppenrichtlinie einklinkst - bei Computer oder bei User. Beim Computer heißt es nunmal Startup-Script und beim User Logon Script. Du wirst es schon hinbekommen.

@PCs in Datenbank: Korrektur ich meinte Haken PXE fähig gesetzt, wenn er das erste mal bootet.

Gruß Viper

PS: Viel Erfolg

hwk06 · Post by **hwk06** » 25. Oct 2007, 19:59

Hi Viper,

hab es hinbekommen. Läuft mit Skript (LogonSkript) Problem ist, dass, wenn sich ein Standarddomainuser anmeldet, er das Passwort eines berechtigten Accounts möchte, um die Installation fertig zu stellen. Skript wird der Domänenadmin übergeben und im Agent selbst steht auch der Domadmin???

Thx

Björn

Hendrik_Ambrosius · Post by **Hendrik_Ambrosius** » 25. Oct 2007, 21:09

Das sollte nicht sein, wenn die mit dem FDN-Bulli-Creator bearbeitete EXE benutzt wird.
Oder sind Sie einen anderen Weg gegangen?

Viper9000 · Post by **Viper9000** » 26. Oct 2007, 08:53

Hi Björn,

an welcher Stelle hängst du deine EXE bzw. das Skript ein. Probier es doch mal als Startup-Skript für den Rechner!! Wenn du das Skript für jeden DomainUser, der sich an dem Rechner anmeldet ausführst, versuchst du jedes mal den Agent erneut zu installieren, sofern du keine Prüfroutine drin hast. Warum? Der Agent muss nur einmal für den Rechner installiert werden und nicht für jeden User. Es wäre also vom Ansatz richtiger den Agent beim Rechnerstart (StartupSkript) auszuführen und dabei mit einer Logdatei oder so zu checken, ob er nicht schon installiert wurde. Wenn du den Agent per Logon-Skript ausführst und der DomainUser kein Lokaler Admin ist, dann kann er die Dienste nicht installieren. Wenn du mit einem Tool versuchst das Passwort eines Admins zu übergeben, dann scheint dies nicht zu klappen. Dies kann ich aber jetzt nicht beurteilen, weil ich nicht weiß mit welchem Tool du es gemacht hasst. Das Passwort im Agent ist für die Agentinstallation selbst irrelevant.

Zusammenfassend würde ich es so machen. Nimm dein Skript ohne Admin-Passwortübergabe - sprich Batch File mit Installationskommando für die AgentNT.exe und pack es in das Startup-Skript des Rechners (ggf. Checkroutine ob Agent bereits drauf). Beim Rechner werden die Skripte mit LocalSystem Rechten installiert. DA HAST DU KEINE RECHTE PROBLEME, sofern die Quelle wo die Datei (AgentNT.exe) auch ein PC lesen darf - sprich Domain Computers (oder everyone) müssen dort lesende Rechte haben. Solltest du den Agent auch auf Domain Controllern installieren wollen, dann muss die Gruppe Domain Controllers auch lesend berechtigt werden.

Gruß Viper

hwk06 · Post by **hwk06** » 26. Oct 2007, 09:52

Hey Viper,

werd ich so umsetzen. Hab es jetzt erstmal mit dem LoginSkript noch fertig gemacht mit Abfrage Rechnername. Das läuft soweit. Nur die Installation der Dienste macht nicht mit. Dann werde ich lieber mit deiner Lösung vorlieb nehmen.
Ist dann auf jeden Fall sinnvoller. Es wird auch geprüft, ob der Agent schon vorhanden ist. Dann sollte es kein Problem sein.

Danke dir vielmals

Gruss

Björn

hwk06 · Post by **hwk06** » 26. Oct 2007, 10:03

@Hendrik Habe es noch nicht mit dem FDN-Bulli-Creator versucht. Bisher nur die Empirum Agent Best Practices umgesetzt.

Das werde ich aber auch versuchen. Ist eigentlich gar nicht verkehrt, dann habe ich freie Wahl, wie ich das mit Skript verteile.

Nochmals Danke

Björn

Hendrik_Ambrosius · Post by **Hendrik_Ambrosius** » 26. Oct 2007, 12:28

FDN-Bulli ist viel einfacher als der Weg aus den Best Practices.

Hendrik_Ambrosius · Post by **Hendrik_Ambrosius** » 26. Oct 2007, 12:30

...dann ist nämlich das Login-Script SEHR einfach:

REM Empirum Agent Installation
If exist %windir%\system32\empirum\swdepot.exe goto skip-agent-inst
set empirumserver=SRV123
\\%EmpirumServer%\Configurator$\User\agentnt-wrapped.exe
:skip-agent-inst

hwk06 · Post by **hwk06** » 26. Oct 2007, 12:36

Überredet

Viper9000 · Post by **Viper9000** » 26. Oct 2007, 14:12

Hallo Björn,

vorab, wie du es machst ist wirklich deine Sache, aber zwei Anmerkungen von mir:

Das Reinpacken eines Passwortes in eine Installationsdatei, um damit das Programm zu installieren, bedeutet, dass du immer bei einer Pwd Änderung des Users daran denken musst, sonst funzt die Installation nicht mehr. Deshalb ist es aus meiner Sicht nicht ideal.

Die vorgeschlagende Batchdatei von Herrn Ambrosius funktioniert eben genauso gut im Startup-Skript bloß, dass man dort die reine AgentNT.exe ohne integrierten Installationsuser (sprich wrapped) verwenden kann. Ich würde dir dennoch empfehlen die Abfrage nicht nur auf swdepot.exe zu stützen, weil beim ReRollout des Agents diese Abfrage unzureichend ist. Sprich frage die Registry auf eine Agent Version ab oder ganz einfach gebe in der Batch nach der Installation eine LogDatei aus z.B.

REM Empirum Agent Installation
If exist %windir%\system32\empirum\Agent10_2_3.log goto skip-agent-inst
set empirumserver=SRV123
\\%EmpirumServer%\Configurator$\User\agentnt.exe
echo Agent Version 10.2.3 > %windir%\system32\empirum\Agent10_2_3.log

:skip-agent-inst

Damit brauchst du beim ReRollout nur die Version im Dateinamen ändern.

Viel Erfolg und es sind alles nur Tips.

Gruß Viper

Hendrik_Ambrosius · Post by **Hendrik_Ambrosius** » 26. Oct 2007, 14:30

@Viper9000: Das ist sicherlich eine gute Idee, aber Agent Updates würde ich persönlich lieber über Empirum Pakete machen - dann hat man noch mehr Kontrolle.
Daher sieht meine simple Lösung so einen Fall oder PW-Updates auch nicht vor - meiner Ansicht nach ist das eine Lösung für den Initialrollout des Agenten, die für max. 2 Monate im Betrieb ist, dann wird es wieder entfernt.

Viper9000 · Post by **Viper9000** » 26. Oct 2007, 15:11

Hallo,

@Herrn Ambrosius: OK, hatte ich vorher nicht so verstanden. Sorry! Reinstallation oder Neuinstallationen müssen aber auch nach zwei Monaten irgendwie den Agent bekommen. Sprich per Push, Agent.bat oder GPO oder RunOnce oder...

@Björn:
Berichte mal ob es nun auf irgendeineweise geklappt hat.

Gruß Viper

Hendrik_Ambrosius · Post by **Hendrik_Ambrosius** » 26. Oct 2007, 16:06

@Viper9000: Hatte ich auch so nicht explizit geschrieben. Daher ist das nicht Ihre Schuld

Aber Agent-Update wie gesagt am besten immer per Paket, die anderen erwähnten Methoden ergeben KEIN sauberes Agent-Update, weil die User-Instanz der swdepot.exe nicht korrekt initialisiert wird. Es kann dann nach Paketverteilungen zu Reboots ohne Benutzereinwilligung kommen!

Ich würde sogar bei meinem obigen Login-Script noch ein Reboot nach dem Agent-Aufruf empfehlen. Am einfachsten über ein aus configurator$\user aufgerufenes 3rd party Tool wie psshutdown.exe.

hwk06 · Post by **hwk06** » 26. Oct 2007, 16:13

Werde ich auf jeden Fall berichten. Bin aber erst nächste Woche wieder dort. Wäre schön, wenn ich mal ein bißchen mehr Zeit bekommen würde, mich richtig mit Empirum zu befassen. Werde ich aber durchboxen. Ist jetzt wichtiger als alles Andere.

Halte Euch auf dem Laufenden.

Noch was kurz am Rande:

Kennt Ihr die Serie IT-Crowd? Läuft auf BBC. 2. Staffel grad vorbei. Die MÜSST Ihr Euch anschauen. Für uns ITler ein must have.
3(2) ITler im Keller eines Bürogebäudes. Superwitzig. In Englisch aber super zu verstehen. Ich verspreche Euch, dass Ihr Euch kaputt lacht.

Das nur zur Info

Danke und Gruss

Björn

Viper9000 · Post by **Viper9000** » 26. Oct 2007, 21:06

Hallo,

leider habe ich DVBT und damit kein BBC schade. Der Titel klingt schon Klasse.

@Hr. Ambrosius: Ich meinte die OS ReInstallation/NeuInstallation. Keine Frage für ein Agent Update bei ausgerollter älteren Version ist natürlich die Verteilung über Empirum-Softwareverteilung der richtige Weg!

Gruß Viper

User Forum

Agentverteilung geht nicht

Who is online