Umzug auf neuen Depot Server

[tim.v]

Hallo,

als erstes möchte ich mitteilen das ich mir div. ältere Beiträge zur Thema: "Depot Server ändern" und Depot Server Umzug" sowie Matrix Artikel wie:
https://help.matrix42.de/010_SUEM/020_U ... rum_Server
und
https://help.matrix42.de/010_SUEM/020_U ... einrichten
angeschaut habe, kann aber für unsere Situation derzeit daraus nichts ableiten

Ist-Zustand:

AgentKonfig: General Settings: Use assigned Empirum Server, Exclude Empirum Master Server, FallBack Server = DepotServer1

PCs & VMs:
Haben, warum auch immer direkt am Client den Master Server eingetragen aber über die Konfiggruppen den Depot-Server1

Notebooks:
Haben, warum auch immer auch direkt am Client den Master Server eingetragen aber über die Konfiggruppen den Depot-Server1 und Depot-Server2 (der nur durch den Tunnel erreichbar ist).

Alles läuft so weit gut.

Soll Zustand:

PCs und VM:
Sollen Depot-Server 3 (neu, ersetzt Depot-Server 1) erhalten

Notebooks:
Sollen Depot-Server 3 (neu, ersetzt Depot-Server 1 und Depot-Server 4 (neu ersetzt Depot Server 2) erhalten


Da aber in allen unseren Clients der Master Server direkt, warum auch immer, eingetragen ist - greifen derzeit keine individuellen DepotServer-Zuweisungen über Zuweisungsgruppen um z.B. für einen Vorabtest-Phase erst einmal nur wenige mit dem neuen Depot auszustatten.
Es sei den ich lösche den Datenbank-Server aus einem Client-Objekt..., dann kann wirken die Zuweisungen via Zuweisungsgruppen und die Clients switchen brav hin und her.

Frage 1:
Wie kann für alle Clients den Empirum-Server entfernen, sodass der Client NUR noch die über die Gruppen zugewiesenen Empirum-Server verwendet!?
In der Datenbank habe ich dazu die Tabelle "CompEmpServer" gefunden, die die individuellen (NICHT die Gruppen) Empirum-Server-Zuweisngen enthält. Lösche ich da eine Zeile eines Clients, wird artig die Ini neu geschrieben und der Client hat keinen individuellen Empirum-Server mehr (EMC). Ist aber ganz schön heiß da so einzugreifen!?

Frage 2:
Wie kann Ich überhaupt das Depot wechseln ohne das das Vorgänger-Depot über eine längere Zeit parallel online zu lassen, bis alle Clients endlich die Info über Ihre neuen Depots erhalten haben? :-/

Ich weiß war viel Text, aber ich bin über jegliche Antwort sehr dankbar.

LG
Tim

[Frank Dethlefsen]

Moin!

1. Neue Depot-Server installieren.
2. Neue Depot-Server den jeweiligen Clients zu weisen, die alten entfernen.
3. DNS-Aliases setzen von alten den Depot-Servern, die entsprechend auf die neuen Depot-Server zeigen.
4. Alte Depot-Server ausschalten.

[tim.v]

Hallo Frank,

das mit dem DNS-Alias ist eine gute Idee

Aber hast du noch eine Idee wie ich den EmpirumServer (Master Server) aus allen Clients entfernen kann!?
Wie gesagt ich weiß überhaupt gar nicht wie der dort hinein kam? Wir haben noch nie die Clients direkt mit dem Master-Server kommunizieren lassen

LG
Tim

[Frank Dethlefsen]

Hallo Tim,

vielleicht es nur eine einmal ungewollte schwenk der EmpirumServer-Varibale auf den Master-EmpirumServer. Vermutlich ist der Master-EmpirumServer auch von Clients erreichbar und bleibt deshalb dabei.

Test mal folgendes:
1. Stoppe den Matrix42UAF-Dienst auf einem betroffenen Client.
2. Lösche in den erweiterten Systemeinstellungen die Umgebungsvariable EmpirumServer.
3. Starte den Computer neu.
4. Welcher EmpirumServer wird nun gesetzt. Siehe cmd.exe > Set EmpirumServer bzw. "Info über" vom UEM Agent Systray-Icon?

Viele Grüsse
Frank

[tim.v]

Hallo Frank,

oh dann war dies ein Missverständnis
Es geht um die Serverzuweisung in der EMC. Dort ist allen Client warum auch immer, irgendwann mal der MasterServer einzeln zugewiesen worden!?

Siehe Anhang: Der neue Master ist 01, 02 und 03 sind die neuen Depots. Der Master ist im Template excluded, aber ich möchte trotzdem gern den Master aus ALLEN Clients entfernen!?

Vielleicht hast du aber noch eine Idee für folgendes Phänomen für mich?

- Leider bin ich immer noch am kämpfen.

Etliche Clients melden sich immer wieder noch bei den alten Depots und schreiben ihre Logs dahin (sehe ich im IIS-Log, da die Agents mit HTTPS angebunden sind), dies ist natürlich noch zugeordnet aber an letzter Stelle (Siehe Anhang: Alte Depots sind M01 und M04), sonst verschwinden ja für den Kontakt zum Depot die ini's und ddc's auf dem alten Server und die Clients die noch nie zum neuen Kontakt hatten wären abgehängt.

Aber was wirklich schräg ist, das die Clients dann Paket-Downloads von den neuen Depots machen!?
Als wenn sie hin und her switchen? Erstkontakt = altes Depot, Zweitkontakt = neues!? Ich verstehe es nicht und befürchte bei Abschaltung der alten Depot-Server das die Clients dann abgehängt sind!?

Per GPO verteilen wir derzeit KEINE EmpirumServer-Variable, da das ja eigentlich der Agent seit geraumer Zeit gut selbstständig macht.

- weiter weiß ich gar nicht ob das mit dem Alias-DNS klappen würde da die UEM-Agent mit HTTPS kommunizieren

LG
Tim

[Frank Dethlefsen]

Moin Tim!

Die EmpirumServer-Zuweisung kann man aus zweierlei Gründen machen:
1. Verringerung der zu synchronisieren Client-Metadaten (Computer.ddc/ini)
2. Zuweisung des Client-EmpirumServers (Agent Templates zugewiesen EmpirumServer verwenden)

Wenn möglich versuche ich ohne beide Funktionen auszukommen bzw. durch etwas Einfacheres zu ersetzen
1. Bereitstellung der Client-Metadaten (Computer.ddc/ini) überall
2. Verwendung von DHCP-Optionen oder Verwendung eins einheitliches GEO-DNS-Namens z.B. Empirum.domain.local

Vorteile:
Ein Client hat immer Zugriff auf seine Metadaten. Falls nicht, könnte es den Computer-Sicherheitsstatus gefährden, weil z.B. PM nicht läuft. Die Empirum-Konfiguration ist sehr einfach und übersichtlicher

Gibt auch andere Meinungen dazu


Frank

[tim.v]

Hi Frank,

super das mit der Bereitstellung der Client-Metadaten (Computer.ddc/ini) überall (auf den alten Depots) hat schon mal super geklappt, die Verbindungszahlen auf den alten Depots sind sofort fast gegen 0 gegangen

Bleiben mir nur noch die Clients die vor der Etablierung der neue Depots schon lange nicht mehr im Netz waren

Da wir SMB noch als FallBack haben werde ich diese Alias-Sache testen und mal schauen ob sich ein verwaister Clients mit ausschließlich den alten Depots in der INI mit Alias auch mit dem neuen verbindet

Ich werde berichten

LG
Tim

[tim.v]

Hallo,

die Alias-Sache hat funktioniert, ich musste allerdings noch folgendes für den SMB-Alias-Zugriff auf unseren 2019-Servern konfigurieren:

Der Zugriff auf die SMB-Dateiserverfreigabe ist über den DNS-CNAME-Alias nicht erfolgreich: https://learn.microsoft.com/de-de/troub ... rver-share

LG
Tim