User Forum

Hallo Zusammen,
nun ist Schwarmwissen gefragt!
Unser Kunde hat Anforderungen die nicht einfach zu lösen sein werde.
Derzeitiger Stand:
Alle Clients dürfen erst ab 19Uhr unter der Woche mit dem Agenten aktiv sein.
Patchen geschieht via WOL nur an einem Wochenende. Da kommt das erste Problem, viele arbeiten im WLAN und fahren das System herunter und stellen es erst dann in die Dockingbase. Somit ist für WOL die falsche MAC hinterlegt.
Das heisst es sind nicht salle Aktuell und diese werden von unserem Team Aufgelistet und zum Kunden geschickt, der Informiert die User das sie das Gerät abend angeschaltet lassen sollen.

So soll es neu aussehen.
Jeder IT-Arbeitsplatz soll mit zwei neuen Funktionen ausgestattet werden:
1) Abfrage seines Patch-Status auf dem Gerät (aktuell, nicht aktuell oder mit Farben als Ampel System anzeigen)
heute erkennt der Mitarbeiter seinen aktuellsten Patch Stand nicht selbständig.
2) Der Patch Prozess kann durch den Mitarbeiter selber (per sofort) ausgelöst werden.
Jeder Mitarbeiter kann die Aktualisierung seines Patch Stands sofort auslösen.

(Die User haben kein Kiosk und das Aufpoppen des Agenten wo man die Installation vercheben könnte wird als Störend empfunden und soll nicht sein.)

Der ordentliche Patch Ablauf soll weiterhin durch Iuns an regelmässigen Terminen durchgeführt werden.
Die Überwachung des Patch Stands pro Mitarbeiter erfolgt täglich.
- Liegt der Termin der letzten Aktualisierung weiter als 40 Tage zurück, erhält der Mitarbeiter 1x eine Mail, dass er in den nächsten Tagen den Patch Prozess auslösen muss.
- Liegt der Termin der letzten Aktualisierung weiter als 50 Tage zurück, erhält der Mitarbeiter 1x eine Mail, dass sein Gerät in 7 Tagen automatisch beim Anmelden gepatcht wird.
- Liegt der Termin der letzten Aktualisierung weiter als 57 Tage zurück, wird direkt bei seiner Anmeldung der Patch Prozess ausgelöst.

Jemand ne produktive Idee?

Bei uns gibt es nur Empirum kein Workflow, Asset oder AD Anbindung.

Dank im voraus.

Patch-Stand anzeigen auf dem Client geht recht einfach über die Statusanzeige der Webconsole:
http://srvwsm001:8080/empirum/tabs.jsp? ... IMAGOVERUM
Wichtig ist hier "tabs.jsp" und die Anmeldung via user, password, usw.
Computername dann per Variable übergeben.

Patchen anstoßen könnte man über eris_ui.exe /P (polling intervall auslösen)

Termin der letzten Aktualisierung wäre über die Log-Tabelle in der Datenbank auslesbar.
Dann auf der Basis EMails generieren. Workflow Studio wäre hier natürlich hilfreich...

Auf jeden Fall kann man auch einiges im Patch Management per Empirum SDK konfigurieren (PowerShell).

Hallo
vielen Dank für die Infos wo man ansetzen könnte.
Leider befinden wir uns im Finanzsektor in CH und daher haben die User quasi 0 Rechte. WebConsole gibt es nicht auf Kundenseite mal schauen was man da machen kann. Allerdings sind die user nicht im EMP. Erfasst daher musste man mit Service Usern arbeiten... hm.

Patchen anstoßen könnte man über eris_ui.exe /P (polling intervall auslösen)
Bei nicht aktiven Agentfenster?

Der link funktioniert leider nicht.
Ich weiss als wir noch das M42 Lizenzmgmt hatten incl. dem Asset, hatte jeder System Owner seine eingen Seite wo man seine Systeme sieht incl. Ausstattung.

Empirum SDK bin ich nocht auf Kriegsfuss, da ich für die autom. zuordnung neuer Systeme alle Kundenstrukturen mit einer Kennzahl versehen musste, da man scheinbar noch immer kein Pfad angeben kann, oder wir nur zu dusselig sind. Unter jedem Kunden befinden sich die gleichen Strukturen vom Namen her, aber das ist eine andere Geschichte.

Ich schaue mir das mal an mit der Webconsole.
Danke

Webconsole: Optional selbst scripten per Empirum SDK. Man kann den Status der Patchmgmt Pakete via Get-empirumpackagestate abprüfen.

Agentfenster = Zeitfenster? Das kann man ggf. per Verteiloptionen übersteuern.

Link: Klar geht der nicht - ist nur ein Beispiel zur Integration

SDK: Man muss nicht die GruppenIDs nehmen, man kann auch per Gruppennamen die SW zuweisen.

Hendrik_Ambrosius wrote: ↑14. Jun 2019, 16:27 Webconsole: Optional selbst scripten per Empirum SDK. Man kann den Status der Patchmgmt Pakete via Get-empirumpackagestate abprüfen.

Agentfenster = Zeitfenster? Das kann man ggf. per Verteiloptionen übersteuern.

Link: Klar geht der nicht - ist nur ein Beispiel zur Integration

SDK: Man muss nicht die GruppenIDs nehmen, man kann auch per Gruppennamen die SW zuweisen.

Ich sehe schon, per Textaustausch wird das ewig dauern.

Bin mir nicht sicher wie ein User die Verteiloption anpassen soll, so das er das Zeitfenster übersteuert? Wenn wir angeben "Zeitfenster ignorieren" dann Patcht er ja loss ohne das er es soll.

SDK: Gruppenname geht nur wenn eindeutig, ich habe in den Strukturen 15x PRD somit findet das SDK nicht das richtige, zumindest wüsste ich nicht wie ich ihn auf den Pfad bekomme. Ich musste alle mit einer eindeutigen ID versehen Kunde 1 =00_Kundenname/00_PRD Kunde 2 = 01_Kundeenname/01_PRD damit es eindeutig wird.

Webconsole hab ich mal auf die schnelle angeschaut, da sieht man alle Missingpatches auch die, die garnicht für das System Approved sind da andere Patchklasse.
Ausserdem würde die Userverwaltung sicher dne Rahmen sprengen.

Vieleicht sollte ich mal wieder ein Tag jemanden von euch Buchen für ein Workshop. Die meisten die bisher hier waren, waren geschockt wie komplex wir hier arbeiten müssen und das wir hindernisse haben die sonst keiner hat.

Trotzdem erstmal danke und schönes WE, vielleicht kann man den Kunden mit den UEM Funktionen etwas von seinen Anforderungen runter holen.

Ich dachte er sollte auch lospatchen dann sofort? Das Kommando dazu kann ja per SDK in dem Moment erstellt werden wenn er auf einen Knopf irgendwo klickt.
EWC: Es ging mir nur um den Gesamtstatus für die PM-Pakete. Nicht die einzelnen Patches.
Vielleicht sollte doch mal über Workflows nachgedacht werden wenn die Anforderungen danach sind.
Auch schönes WE!