System Center Configuration Manager 中国研发团队

系统管理的快速通道 – ConfigMgr 2012 SP1中的“客户端通知”功能

2012-11-08T01:04:01Z

概述

ConfigMgr已经发布的产品线采用的是从客户端主动获取策略的通讯机制。当管理员在一个很大的企业内部部署任务，客户端可能要过几分钟甚至几个小时才能接收到这个任务，然后才执行它，最后再向服务器发送结果。这对一般的任务是适当的，但是对于那些重要的、时间敏感的的任务就会成为一个大问题（例如：杀毒操作）。这对数据中心里的那些只有有限时间预留给管理任务的服务器来说，延时就会表现的非常明显。因此，如果可以把IT管理任务更快的递送给客户端会非常有帮助。在ConfigMgr 2012 SP1中，我们在客户端和服务器之间引入“客户端通知”渠道。

“客户端通知”是什么？

“客户端通知”是应广大客户需求，在ConfigMgr 2012 SP1中引入的一个全新的、令人兴奋的基础设施组件，它提供了一种能够让ConfigMgr客户端实时执行管理任务的机制。这种通讯渠道是从服务器主动发送到客户端，它不依赖于客户端的主动索取。通过“客户端通知”组件，客户端和ConfigMgr的管理点可以建立起持久的连接；这样服务器就能够通过这个连接渠道通知客户端去实时获取并执行紧急的任务。在ConfigMgr 2012 SP1中，所有System Center Endpoint Protection的操作和“下载计算机策略”的客户端操作都是通过这个渠道进行的。

如何使用“客户端通知”

1．设置客户端通知端口

默认情况下，客户端通知采用TCP 协议端口10123进行通讯。在ConfigMgr的主管理界面上，点击“管理”，展开“站点配置”，点击“站点”，选择一个“站点”，打开“属性”对话框，在这个属性对话框的“端口”页上，用户可以设置TCP协议端口。用户可能还需要设置管理点、客户端、和任何中间计算机的防火墙，允许通讯通过这个新的端口。反之，客户端通知也能够采用HTTP和HTTPS模式。

2．通知Endpoint Protection Agent尽可能快地执行相应的操作

在Endpoint Protection的操作中，完全扫描和快速扫描是一次性的操作，它完全只依赖客户端通知渠道传送；其他的操作既可以通过客户端通知渠道，也可以通过一般的传统的策略渠道传送。从客户端通知这个视角，任务的有效期是1小时。举例说明：如果客户端在任务激发时处于离线状态，这个最初的任务是会失败的；如果该客户端在任务发送后1小时内连接上来，那么通知管理器会再次发送这个任务到客户端；如果客户端在1小时后连接上来，任务会被视做过期，不会再被发送。

3．通知客户端立刻下载计算机策略

下载计算机策略是ConfigMgr 2012 SP1中新加的一种客户端操作。它能够不受客户端策略轮询时间间隔的限制，尽可能快地让客户端或者集合去下载计算机策略。在ConfigMgr主管理界面中，点击“资产和符合性”，再点击“设备集合组”，选择设备集合中需要的计算机去下载，右键点击计算机，然后点击“客户端通知”下的“下载计算机策略”。当在集合上执行这个操作时，所有属于这个集合的在线的客户端都会被通知到。当然也可以同时选择多台计算机来完成下载，从而不需要对这整个集合进行下载操作。

客户端将迅速地向管理点请求计算机策略，如下图所示：

4．监视客户端的操作状态

在ConfigMgr主操作界面中，点击“监视”，再点击“客户端操作”来监视客户端的操作状态。如果任务成功被执行，结果会计算到“成功“列。

“客户端通知”是如何工作？

“客户端通知”是一个端到端的基础组件，由在站点服务器上的“通知管理器”，管理点上的“通知服务器”，以及在客户端上“通知代理”三部分构成。

1）通知管理器

通知管理器是站点服务器的一个组件，它的主要功能是对客户端通知的有效操作产生主动发送消息，并更新客户端的在线状态和更新站点数据库中客户端通知发送结果。

2）通知服务器

通知服务器是在管理点上的服务器组件，它被自动部署和安装到管理点上（包括辅助站点）。通知服务器主要有以下功能：

l 支持TCP和HTTP中任何一种通讯协议来做客户通讯；

l 对站点数据库上的通知服务代理队列进行监听，监测“主动发送消息”产生的时间；

l 通过这个通讯渠道发送消息给在线的客户端，并周期性的把推送结果生成文件，最终存到站点数据库里。可以在ConfigMgr主管理界面中“客户端操作”中，查看这些结果。

l 维护在线客户端列表信息，周期性的将这些在线信息生成文件并发送给站点服务器。

3）通知代理

通知代理是一个客户端组件，它被装载在CCMEXEC.exe中。在客户端初始化阶段，它与通知服务器建立持久连接。对于通过辅助站点进行通讯的客户端，它会在辅助站点管理点上和通知代理之间建立起连接。它会先尝试用TCP模式，如果连接建立失败，再用备选的HTTP模式（如：防火墙或者互联网代理服务器不允许TCP通讯）。如果连接中断，通知代理会尝试再连接。

“客户端通知”支持TCP和HTTP两种通讯协议。多数情况下“客户端通知”采用TCP协议模式，这需要在防火墙上设置允许通讯的端口；HTTP协议模式是备选方案，采用该协议模式，不需要额外的设置。这两种协议模式的工作流程类似，下面以TCP协议模式为例阐述其工作流程：

1）“客户端通知”基础设施在默认情况下是端到端有效的。在客户端进行初始化的过程中，通知代理会尝试与相应管理点上的通知服务器建立起TCP协议模式的长连接。一旦成功，通知代理会每15分钟发送一个保持存在的消息，用于保持连接。如果客户端不能建立起TCP模式的连接，通知代理就会尝试使用HTTP模式。

2）在安装管理点的那台计算机上，通知服务器会接受客户端发来的连接请求，当然这些连接请求必须要通过传输层安全(TLS: Transport Layer Security)认证检查。因此，通知服务器要管理所有的激活连接，并每5分钟将在线的状态数据生成文件，这些文件会被存放在<Site Server Install Dir>\inboxes\bgb.box\.

3）通知管理器会从“bgb.box”的在线文件（*.BOS）中读取状态数据，然后去站点数据库上更新相应的在线表示信息。

4）当管理员在ConfigMgr的主管理界面上初始化一个客户端的操作时，这个操作会被会生成一个客户端通知消息，并被放置到数据库服务代理队列中。

5）通知服务器监测这个通知消息，并从服务代理队列中拿出这个消息，然后通过这个持久通道发给保持连接的客户端。

6）通知代理在这个通讯渠道收到消息后，会根据消息的具体内容执行响应操作：或者通知Endpoint Protection客户端执行一个操作（比如：快速扫描），或者通知客户端尽可能快地请求计算机策略。通知结果会被发送回代理服务器。

7）通知服务器会周期性地对这些任务发送结果进行归总并且把总归总结果文件存放在<Site Server Install Dir>\inboxes\bgb.box文件目录里。

8）通知管理器会处理这些任务结果文件（*.BTS），并更新站点数据库。

疑难问题解决：

1. 通知管理器和通知服务器提供了丰富的状态消息，这些消息可以帮助你监视客户端通知任务。在ConfigMgr的主管理界面中，点击“监视”，展开“系统状态”，再点击“组件状态”，选择SMS_NOTIFICATION_SERVER或者SMS_NOTIFICATION_MANAGER组件，然后点击“显示消息”，就可以看到这些组件的状态消息。

2. 也可以用下列的日志文件去帮助解决“客户端通知”中遇到的问题。

Component	Log
Notification Manager （通知管理器）	<smssiteserver setup dir>\logs\bgbmgr.log
Notification Server （通知服务器）	<mp setup dir>\logs\BGBServer.log <sms_ccm dir or client setup dir>\logs\BgbHttpProxy.log For installation issues: <mp setup dir>\logs\BgbSetup.log <mp setup dir>\logs\bgbisapiMSI.log
Notification Agent （通知代理）	<client setup dir>\logs\CcmNotificationAgent.log

常见问题

问：客户端通知是否支持移动设备和Mac计算机？

答：客户端通知只支持基于Windows操作系统的客户端和embedded客户端

问：客户端通知如何实现负载平衡？

答：通知代理能够识别出管理该客户端的管理点上的通知服务器。如果分配的管理点发生了改变，通知代理就会关闭连接，然后连接到新分配的管理点上的通知服务器。这样可以平衡连接的负载。

问：能否在ConfigMgr的主管理界面上看到客户端的在线状态？

答：目前版本不支持，会在��面的版本中考虑。

问：WMI(Windows Management Instrumentation)中哪个类定义了客户端计算机的在线状态？

答：ConfigMgr提供了WMI类“SMS_CN_ClientStatus”，它定义客户端计算机在线状态信息。其中的属性“OnlilneStatus”用来代表客户端计算机的在线状态；为“1”表示在线，为“0”表示离线。属性“ChannelType”是代表客户端通知渠道采用的通讯协议；为“0”代表TCP协议，为“1”代表HTTP协议。

注：这个类的名字可能在后面的版本中会有变化。

问：任务一旦被创建，多长时间会被重新发送？

答：1小时。

问：哪些进程中包含通知服务器的代码？

答：在smsexec.exe、 dllhost.exe（管理TCP协议的侦听服务器）和w3wp.exe（HTTP ISAPI）这三个进程中执行通知服务器代码。

问：为什么客户端通知代理不能建立TCP协议的连接？

答：多数情况下是防火墙设置上的TCP 协议10123端口没有打开。

问：当下载计算机策略时，管理点会超负荷吗？

答：通知服务器采用发送限流机制来执行，保证不会超负荷。默认情况下，1秒钟会通知42台客户端，这样能够控制管理点的负荷。这个值能够通过修改注册表： “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SMS\NotificationServer\Task Throttle Param”的这个键值来控制。但是，非经特别授权，不推荐对大的集合（如：all systems）采用此种修改键值方法。

问：如何确定每个管理点上连接了多少台客户端？

答：采用下面的SQL语句就可以得到： “select B.ServerName, A.OnlineClients as 'Online Clients' from Bgb_Server B left join dbo.v_BgbServerCurrent A on A.ServerID=B.ServerID order by 2”。

问：客户端的服务启动后，是否立刻和通知服务器建立起连接？

答：在连接代理服务器前，通知代理会在0到10分钟内随机选个数字作为休息时间数，这么做的目的是避免在很多电脑同时开机的情况下，过度占用网络带宽。（比如：在工作日刚开始时）

问：当客户端进入睡眠或者离线状态，通知服务器能否知道？

答：可以。如果通知服务器在20分钟内从通知代理那里接收不到任何信息，它会断掉连接，并把客户端在线连接状态设置为离线状态。

问：如果客户端离线，又上线，客户端能否从通知服务器那里接收到错过的任务？

答：当客户端再次上线，如果发送的任务已过期，通知服务器不会再进行通知。如果发送的任务还有效，通知服务器会再发送一遍到客户端。

问：如果客户端连接到辅助站点的管理点上，客户端将连接到哪个通知服务器上？

答：客户端会连接到代理管理点的通知服务器上。

问：通过Internet连接的客户端是否可以使用客户端通知渠道？

答：可以，好比就是当采用TCP协议连接的通讯失败时，客户端依然可以利用HTTP协议去连接通知服务器。

问：通知服务器是否支持集群SQL服务器？

答：支持。

问：通知服务器是否支持站点数据库副本的管理点？

答：支持。

问：漫游的客户端是否能连接上本地的管理点上的通知服务器？

答：不可以。只有当客户端利用代理管理点时，全球漫游的客户端只能连接到分配给它的管理点上通知服务器。

总结

希望这篇文章能够有助于大家更好地理解ConfigMgr 2012 SP1新提供的客户端通知基础架构组件，并能从中找到解决相应疑难问题的方法。

徐喜春（Randy Xu）

白小西译

为System Center Update Publisher 2011部署数字证书示例

2011-08-08T16:53:00Z

英文原文http://blogs.technet.com/b/jasonlewis/archive/2011/07/12/system-center-updates-publisher-signing-certificate-requirements-amp-step-by-step-guide.aspx

System Center Update Publisher 2011是一个可以通过System Center Configuration Manager 部署第三方软件补丁的程序: http://technet.microsoft.com/en-us/systemcenter/bb741049 。

为了发布软件补丁到WSUS服务器并部署软件补丁到客户端，你需要为System Center Update Publisher 2011生成一个数字证书。您可以通过System Center Update Publisher 2011界面生成一个self-signed(自签署)的数字证书，或用你已有的公钥基础设施生成数字证书。

System Center Update Publisher 2011要求数字证书满足以下要求:

1. 允许私钥被倒出

2. 有数字签名功能

3. 密钥长度为2048或更长

本文将一步一步演示如何使用Windows Server 2008 R2 certification authority (CA) 和Group Policy(组策略)为System Center Update Publisher 2011生成并部署数字证书

第一步: 在Certification Authority上创建和签发签名证书模板

在运行Certification Authority的机器上, 点击开始, 管理工具, Certification Authority。
展开Certification Authority (CA)的名字, 选中证书模板。
右键单击 证书模板, 然后点击管理打开证书模板控制台。
在结果窗格中, 右键单击在模板显示名称 列显示代码签名的条目, 然后单击 复制模板。选择 “Windows Server 2003， Enterprise Edition（2）” 选框然后单击确定。

在新模板的属性对话框, 常规选项卡, 为站点服务器模板输入模板显示名称, 例如SCUPCodeSigning。

6. 单击请求处理 选项卡, 启用允许到处私钥。

7. 单击使用者名称选项卡, 选择用 Active Directory 中的信息生成

8. 单击扩展选项卡, 确保密钥用法包括数字签名。

9. 单击安全选项卡, 选中Authenticated Users 授予它读取和注册权限。

10. 其他保留默认值。单击确定然后关掉证书模板控制台。

11. 在 Certification Authority控制台上右键单击 证书模板, 单击新建，然后单击 要颁发的证书模板。

12. 在启用证书模板对话框, 选择刚刚新建的模板, SCUPCodeSigning, 然后单击确定。

第二步: 获取签名证书

1. 再加入域的机器上, 开始搜索框, 输入 mmc.exe, 然后回车。

2. 在空的控制台上, 单击文件, 然后点击添加/删除管理单元。

3. 在添加或删除管理单元对话框中, 从可用的管理单元中选择证书, 单击添加。

4. 在证书管理单元对话框中, 选择我的用户帐户, 然后单击完成。

5. 在添加或删除管理单元对话框中, 单击确定。

6. 在控制台上展开证书- 当前用户, 展开个人然后单击证书。

7. 右键单击证书, 然后单击 所有任务单击 申请新证书…

8. 跟从证书注册向导选择上面新建好的证书模板, 在属性里面设置一个友好名称然后单击注册:

9. 注册成功后, 你可以在证书- 当前用户-> 个人-> 证书下面找到该证书。

10. 右键单击该证书然后点击 所有任务-> 导出。跟随证书导出向导为第三步导出不要私钥的证书存为 scup.cer。

11. 再次导出证书, 这次在证书导出向导的第二页选择是，导出私钥, 存为 SCUPCodeSign.pfx。

第三步: 通过组策略分发签名证书到WSUS/ConfigMgr客户端

1. 在域控制器上, 单击开始, 单击管理工具, 然后点击组策略管理。

2. 展开到你所在的域, 右键单击这个域然后选择 在这个域中创建GPO并在此处链接。

注意: 此步骤创建一个新的组策略来自定义设置相对于编辑Active Directory域服务安装的默认域策略是更好的做法。通过在域级别分发这个组策略, 该组策略将应用于域中的所有计算机。然而, 在生产环境中, 你可以通过在组织单位级别分发组策略来限制策略只应用到选中的计算机上。

3. 在新建GPO 对话框中为新建组策略对象输入名称, 例如 SCUP Signing Certificate, 然后点击确定。

4. 在结果窗格中, 在链接的组策略对象选项卡, 右键单击新建的组策略, 然后单击编辑。

5. 在组策略管理编辑器, 展开计算机配置下面的策略然后展开到Windows 设置/ 安全设置/ 公钥策略/ 受信任的根证书颁发机构。

6. 单击操作菜单, 然后点击导入。跟随证书导入向导导入在第二步生成的scup.cer。

7. 在组策略管理编辑器中, 展开计算机配置下面的策略, 然后展开到 Windows 设置/ 安全设置/ 公钥策略/ 受信任的发行者。

8. 单击操作菜单, 然后点击导入。跟随证书导入向导导入在第二步生成的scup.cer。

9. 关闭组策略管理。

注意:

这里要导入 scup.cer, 不是SCUPCodeSign.pfx。不要将包含私钥的数字证书发布到客户端。

您需要这个证书才能够成功地将软件补丁发布到WSUS服务器。要想策略立刻在WSUS服务器上生效, 可以运行 “gpupdate /force /target:Computer” 。

第四步: 在System Center Update Publisher 2011中使用签名证书

1. 打开 System Center Update Publisher 2011 控制台。

2. 单击Menu icon 然后单击Options。

3. 在System Center Updates Publisher Options 对话框中选择 Update Server。

4. 单击Browse 然后选择在第二步创建导出的SCUPCodeSign.pfx。输入密码然后单击确定。

5. 单击OK 保存并关闭System Center Updates Publisher Options对话框

现在您可以通过System Center Update Publisher 2011发布更新并使用System Center Configuration Manager部署更新给用户了。

注意: 以上范例使用的证书模板代码签名的 使用者类型是用户。如果使用的证书模板的使用者类型是计算机, 那么在第二步, 要用计算机帐户打开证书库来申请注册证书。其他步骤是相同的。

-- 吕敏芳，杜冬梅

Configuration Manager 2012 Beta 2 中的Active Directory Forest Discovery and Publishing

2011-07-06T02:18:00Z

背景

在很多大型的组织中，网络配置，活动目录域服务以及Configuration Manager 通常都进行独立管理。网络拓扑或活动目录结构的更改必须在团队之间保持及时的沟通，以确保Configuration Manager边界设定的精确性。正确的边界信息可以保证应用程序和软件更新有效的部署到所有被管理的客户端。在客户端漫游的情况下，保持可用并且最新的边界设置显得尤为重要。现在在Configuration Manager 2012 Beta2中，活动目录林发现功能的引入和站点发布功能的改进将使企业能够集中管理跨林站点系统角色，而无需像SCCM 2007那样要在远端目录林中部署多余的站点。

域林发现和站点发布概述

为了提高不断变化的网络环境的可管理性，Configuration Manager 2012 Beta 2引入了活动目录域林发现。有了这个功能，站点可以发现与企业相关的活动目录森林及其中的域，站点和IP子网。因为域用户或者域成员计算机账号都有权限查询目录林的信任关系，活动目录林模块可以返回其他目录林及其信任方向的信息。系统可以连接到所有的森林并构建一个完整的企业环境映射。通过使用特定的凭据，它还可以跨林边界发现，从而无需关心域林之间的信任关系，实现按需发现。通过AD林发现获得的信息，还可以直接作为边界或边界组输出。AD发现所获得的数据是动态更新的，对于已经不在AD域服务中的数据将从站点数据库中移除。当客户端请求MP或DP的时候，这些被发现的信息也会被用来确保它们拿到的是最佳站点系统。

对每个目录林指定的凭据即可用于森林发现也可用于站点发布。有了凭据，站点就能发布站点配置信息到远程受信任或不受信任的域林，发布的信息包括站点系统位置和功能，边界，客户端计算机需要的认证站点系统的安全信息，MP的通信模式（HTTPS/HTTP），以及用于寻找最合适的MP或DP进行通信的网络信息。这使得客户端计算机更易于在受信任的林的服务器中查找到针对用户组或者用户账号部署的程序。

如何使用AD域林发现

1) 启用域林发现

AD域林发现是位于Configuration Manager 控制台的管理工作区中的一种新的发现方法。它可以在中心站点（CAS，central Administrator Site）和主站点（Primary Site）启用。辅助站点（secondary Site ）不支持AD林发现。

要启用AD域林发现，需要打开活动目录林发现方法属性的对话框��并通过选中"启用活动目录林发现"的复选框启用发现方法。AD林发现的范围涵盖域林中的AD站点和IP子网，用户有两个更灵活的选择来配置是否想创建基于自动发现结果的AD站点类型边界或子网类型边界。林发现可以以周/小时/天来定义运行时间。林发现方法会自动创建边界，但仍需手动将边界添加到边界组，并关联到一个站点以确保提供给客户端有效的内容或边界被用于站点分配。

AD域林发现方法可以通过从功能区或用鼠标右击菜单中选择"立即运行完整发现"按需运行。

2) 监控域林发现的运行状态

AD 域林发现的运行进度可以通过查看域林发现日志（SCCM安装目录）\Logs\ADForestDisc.log或查看AD域林发现组件状态信息来查看。在Comfiguration Manager控制台点击Monitoring，展开System Status，单击Component Status，选择SMS_AD_Forest_Discovery_Manager, 然后单击右键选择Show Messages 来查看组件的状态信息。

3) 检查森林发现结果，并利用它们来创建边界组

AD域林发现完成后，可以通过在管理工作区选择AD域林查看发现的信息，每个发现的域林的信息和状态都被一一列出。默认情况下，域选项卡列出在此AD域林中发现的所有域。如果您右键单击其中一个可用的列标题，您可以通过选择Functional Level 来添加显示信息。AD 站点选项卡列出在此目录林中所有已发现的AD站点。IP子网选项卡列出所有发现的 IP 子网。IP子网与每个 AD 站点相关联，并被保留在数据库中。发现状态包括发现及发布的状态。

在Active Directory 站点选项卡中，可以从详细信息列表中选择一个或多个AD站点和IP子网，用鼠标右键单击，或使用功能区将其添加到新的或已存在的边界组中。

4) 发现其他的域林资源

通过使用默认的设置，将自动发现与执行AD林发现的站点所在森林有信任关系的域林。若要发现与站点所在森林没有任何信任关系的域林，需要添加一个新的AD域林并使用在要添加的域林中具有读取权限的帐户。

5) 发布站点信息到目标域林

站点跨林发布会把站点和站点系统角色信息写到AD域服务当中。发布功能要求目标域林的AD Schema被Configuration Manager Schema 扩展，并且AD域林发现账户对目标域林AD中的系统容器具有完全的控制权限。您可以通过在域林属性对话框勾选"Publish sites to the Active Directory forest"选项来启用域林发布功能。

显示在AD域林列表视图中的发布状态是整个SCCM架构所有站点的发布状态摘要。如果整个架构中有一个站点发布“失败”，那么最终发布状态将显示“失败”。如果要查看已发布的站点信息：打开AD用户和计算机、连接到域林中的域控制器，并转到“视图” > “高级功能”。站点和MP信息发布在“System”->“System Management”节点下。

故障排除指南

要排查站点跨林发布遇到的问题，需要在执行发布的站点上检查组件SMS_Hierarchy_Manager 和 SMS_Site_Component_Manager的状态消息。对于发现的森林，只要其启用了发布功能，那么每一个站点都会向此森林发布站点及站点角色信息。如果发布失败，每个站点的Hman.log 文件和sitecomp.log 文件会记录失败的原因。下面是一些发布失败的典型原因。

1) 域林的 AD 架构不可扩展。若要解决此问题，以拥有Schema Admin权限的账户登录到森林中，然后从Configuration Manager 2012 安装CD中运行extadsch.exe以扩展Schema。

2) 站点服务器的计算机帐户没有足够的权限写入目标林中AD System容器。若要解决此问题，请给站点服务器的计算机帐户完全控制System容器及其所有子对象的权限。

3) 用于站点发布的特定帐户没有足够的权限写入目标林中AD System容器。若要解决此问题，请给特定计算机帐户完全控制系统容器和所有子对象的权限。

4) 用于发布的备用凭据 (如活动目录林帐户的特定帐户）只适用于单个站点。在 Beta 2，在其中一个站点上设置的账户无法被另一个站点使用，这是目前的一个功能局限。若要解决此问题，请从Configuration Manager控制台连接到不能发布信息的站点，在活动目录林节点中，修改AD林的属性，并重新设置帐户。在发现方法节点中，运行AD林发现触发从该站点发布。

5) 发布状态是层次结构中所有站点的发布结果的汇总。当发布状态指示"失败"时，通过查看站点状态消息或日志文件来验证每个站点包括中心站点、主站点和辅助站点是否已经完成站点发布。

--徐喜春 (Randy Xu)

System Center Updates Publisher 2011正式发布了!

2011-06-06T09:02:07Z

我们很高兴地宣布， System Center Updates Publisher 2011已经正式发布。该版本的主要发布动力来自客户在过去几年中对于System Center Updates Publisher的喜爱以及建议。尤其在去年MMS2010，我们得到了对于System Center Updates Publisher 4.5 版本的很多很好的意见和反馈。基于这些反馈, 为了向客户和合作伙伴的产品提供更好的产品,我们才开始了System Center Updates Publisher 2011的研发。System Center Updates Publisher 2011有非常多的新功能, 下面列出了其中的一些:

System Center Updates Publisher 2011的新功能
•更简单的安装,不需要数据库
•改进的用户界面，可以更好地控制管理软件更新
•改进的适用规则创作体验
•极大地提高了批量导入补丁的速度和管理软件的性能
•新增了创建软件更新包(Software Update Bundle)的功能
•新增了可以在定义软件更新时定义先决条件 (prerequisite)以及取代其他软件更新(superseded) 的功能
•新增了“自动”发布类型: System Center Updates Publisher 2011可以查询Configuration Manager来确定是否选定的软件更新应该发布软件包内容或只需要发布元数据到WSUS数据库.
•新增了软件更新清理向导，你可以使用软件更新清理向导清除WSUS服务器上存在，但不存在于System Center Updates Publisher数据库中的软件更新

要下载System Center Updates Publisher 2011和学习更多关于System Center Updates Publisher的知识请访问：http://technet.microsoft.com/en-us/systemcenter/bb741049.aspx

本文翻译自:

http://blogs.technet.com/b/jasonlewis/archive/2011/05/24/system-center-updates-publisher-2011-has-released.aspx

Configuration Manager R3中增量发现的传输站点设置

2011-04-05T02:11:00Z

增量发现

在R3中我们引入了新的增量发现方法，因此我们在传输站点设置中也加入了相应的设置：启用Active Directory增量发现和增量发现间隔。这个全新的设置可应用于以下发现方法。

Active Directory 系统发现

Active Directory 安全组

Active Directory 系统组发现

Active Directory 用户发现

R3中增量发现的站点间传输的最佳实践是在传输设置时同时勾选

这样能够保证增量发现设置和增量发现间隔同时从源站点被传输到目标站点，但是由于R3中增量发现功能的特性，不同情况下增量发现设置传输的设置会产生不同的结果。以下就是对增量发现设置传输的��现的详细说明。

当增量发现被开启后，以下发现方法组件的属性会被做相应的设置。

PROPERTY <Startup Schedule><0001170000500008><><0>

PROPERTY <Enable Incremental Sync><><><1>

PROPERTY <Full Sync Schedule><0001170000500008><><0>

上述增量发现被开启的情况下，Startup Schedule中的值代表的是增量发现间隔而Full Sync Schedule中的值代表的是完全发现间隔。

而当增量发现被关闭后，在SP2中的默认设置，上述属性有另外一个含义。Startup Schedule中的值代表的是完全发现间隔，而Full Sync Schedule中的值会被忽略。如下表所示

属性	增量发现开启	增量发现关闭
Startup Schedule	增量发现间隔	完全发现间隔
Enable Incremental Sync	1	0
Full Sync Schedule	完全发现间隔	N/A

因此，在传输站点设置的过程中，我们需要处理上述属性意义的变化。也就导致了我们在做“启用Active Directory增量发现和增量发现间隔”设置传输的时候，需要判断源站点和目标站点的增量发现是否开启。下表列举了各种源站点和目标站点不同情况下，传输站点设置的行为。此表不仅适用于在线的站点设置传输，而且还同样适用于导出XML文件，再将XML文件导入的站点设置传输。

R3 站点（增量发现开启） -> R3 站点（增量发现开启）
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Full Sync Schedule = Full Sync Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Startup Schedule*
	Full Sync Schedule = Full Sync Schedule* Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Startup Schedule*

R3 站点（增量发现开启） -> R3 站点（增量发现关闭）
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Startup Schedule = Full Sync Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Full Sync Schedule = Startup Schedule Startup Schedule = Startup Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Startup Schedule* Full Sync Schedule = Full Sync Schedule*

R3 站点（增量发现关闭） -> R3 站点（增量发现开启）
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Full Sync Schedule = Startup Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Full Sync Schedule Full Sync Schedule = Full Sync Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Startup Schedule* Full Sync Schedule = Full Sync Schedule*

R3 站点（增量发现关闭） -> R3 站点（增量发现关闭）
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Startup Schedule = Startup Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Full Sync Schedule = Full Sync Schedule*
	Enable Incremental Sync = Enable Incremental Sync* Startup Schedule = Startup Schedule* Full Sync Schedule = Full Sync Schedule*

R3 站点（增量发现关闭） -> SP2 站点
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Startup Schedule = Startup Schedule*
	Nothing changes on target site
	Startup Schedule = Startup Schedule*

R3 站点（增量发现开启） -> SP2 站点
传输站点设置界面上的选择	目标站点属性的变化（*指源站点属性）
	Startup Schedule = Full Sync Schedule*
	Nothing changes on target site
	Startup Schedule = Full Sync Schedule*

-- 徐超豪

ConfigMgr Inventory (软硬件清单)介绍

2011-02-10T08:56:21Z

概述

清单（Inventory）是SMS和SCCM客户使用最多的一个功能之一，包括硬件清单，软件清单。硬件清单主要提供每台计算机的系统信息，如可用磁盘空间、处理器类型和操作系统等。软件清单主要收集文件类型、版本等文件的详细信息，还可以在相应的客户端系统收集文件。

清单基础 - Windows 管理规范和sms_def.mof文件

硬件清单功能主要通过查询客户端计算机上的多个数据存储，如注册表和 Windows 管理规范 (WMI) 命名空间类来从客户端计算机收集数据。其中，WMI是Windows的一项核心管理技术，管理员可以通过WMI管理本地和远程计算机。几乎Windows中所有默认提供的软硬件组件都会通过WMI来暴露其内部信息，如硬盘的大小等硬件信息；还包括已经安装了的软件、操作系统等非硬件信息。清单也是通过WMI来实现的。想进一步了解WMI，可以访问（http://technet.microsoft.com/zh-cn/library/ee692772.aspx ）。

默认情况下硬件清单客户端代理（hardware Inventory Agent）能够报告100多种不同 WMI 类的大约 1,500 种常用的硬件属性。这些设置是在主站点服务器上的 SMS_def.mof 文件中指定。在主站点服务器计算机上，导航到 <ConfigMgr安装目录>\inboxes\clifiles.src\hinv 目录，即可打开该站点的sms_def.mof文件。下面摘录其中的一小段（为了可读性，略有精简）

[ SMS_Report (TRUE),

SMS_Group_Name ("CD-ROM"),

SMS_Class_ID ("MICROSOFT|CDROM|1.0") ]

class Win32_CDROMDrive : SMS_Class_Template

{

[SMS_Report (TRUE) ]

uint16 Availability;

[SMS_Report (TRUE) ]

string Caption;

[SMS_Report (TRUE) ]

string Description;

[SMS_Report (TRUE), key ]

string DeviceID;

[SMS_Report (TRUE) ]

string Drive;

[SMS_Report (TRUE) ]

string SystemName;

[SMS_Report (TRUE) ]

string VolumeName;

[SMS_Report (FALSE) ]

string VolumeSerialNumber;

};

Sms_def.mof 主要包括两部分信息：

命名空间类定义（Class Schema): 比如上述片段定义了光驱对应的类Win32_CDROMDrive, 并指出了其包括的属性，比如硬件ID （DeviceID），名称和大小等等信息。

是否收集的信息（SMS Report): 比如，上述片段定义了该光驱信息应该被收集，包括很多属性，但是光驱的序列号不用收集。

关于硬件清单一个常见的误解是，即认为硬件清单只能报告客户计算机的硬件信息，其实不然。SMS和SCCM的硬件清单，更确切的说应该是基于WMI的清单，命名为硬件清单只是因为历史原因并一直沿用下来。如果你打开上述的sms_def.mof文件，可以看到里面还包括了当前系统安装的程序信息（Win32Reg_AddRemovePrograms）等等非硬件信息。

清单收集过程

当在站点配置启用硬件清单收集后，站点服务器将把清单收集信息以策略（Policy)的形式，通过客户端的管理点（Management Point, MP）下发到客户端，客户端清单代理根据收集的客户端清单信息创建清单报表，并将其发送到客户端的管理点。随后，管理点将清单信息转发到站点服务器，将清单信息存储在站点数据库中。

完整清单和增量清单

当硬件清单客户端代理列出客户端系统清单时，返回的第一个清单报表始终是完整清单(Full Sync )。客户端清单代理将把上一次包括的信息存储在客户端WMI的一个存储库中（WMI Repository），这样后续清单报表通过比较和上一次报告的差异，仅包含增量或更改后的清单信息即增量清单（Delta Sync），以节约网络带宽。在站点服务器上，清单按照被接收的顺序进行处理，根据站点服务器上的上一次清单和本次增量信息，合成客户端的完整信息存储到站点数据库中。如果客户端的增量清单报表丢失或顺序混乱，将被站点服务器拒绝，客户端在下一次执行清单操作时，将重新请求完整清单报表（Resync）。

使用软硬件清单

当硬件清单收集从客户端收集上来之后，可以通过下述方法进一步使用（此处仅列出部分可能的用途）：

通过资源浏览器查看信息

技术支��

比如，技术支持人员可以查看制定计算机的详细信息，来帮助解决客户机的潜在问题。

及时发现硬件丢失

资源浏览器中还包括硬件的更改历史，据此管理员可以及早发现内存丢失等问题。

通过报表查看进一步信息

如通过硬件-内存目录下的“内存不足的计算机”报表，可以辅助硬件更新采购的决策。

创建集合

您可以通过查询客户端硬件清单信息来构建集合。例如，您可以创建安装了不被允许的软件或者公司没有购买软件许可的软件的计算机的集合。

配置和扩展硬件清单

硬件清单从设计之初就考虑到了可扩展性，允许客户和第三方公司来扩展。

对于常见的软硬件信息，一般都包括在了sms_def.mof文件中，只是某些不常用的信息，默认设置为了不收集（SMS_Report设置成了False），这时候只需要使用记事本软件把对应的SMS_Report更改为True即可。

对于sms_def.mof中也没有的信息，可以首先到网站或者供应商处找到该信息对应的MOF定义，然后加入到sms_def.mof文件中即可。

需要特别注意的是，更改sms_def.mof文件是一件容易出错的事情，同时容易引起问题，最好在测试环境中测试通过了再搬到产品环境中。

如果想了解更多有关SMS_Def.mof文件的信息，和如何扩展硬件清单，可以参阅http://technet.microsoft.com/zh-cn/library/bb680609.aspx 。

总结

上述简单介绍了产品中的清单功能，包括清单的基本使用，实现的流程和用途，以及如何扩展该功能。在后续的Blog中，我们将进一步介绍在下一代产品SCCM 2012版本中的该功能的改进和增强。

--张川波

ConfigMgr 2012 Beta 2 Program

2010-12-09T07:08:00Z

ConfigMgr 2012 Beta 2 将于明年3月份发布。如果您想在正式发布前体验，学习ConfigMgr 2012 ，或者向产品组提出建议或者反馈，那这将是一个很好的机会。

现在我们提供了各种方式以方便各位体验ConfigMgr 2012:

(注意，在访问以下链接前，请先在connect上加入ConfigMgr的Beta 计划：http://go.microsoft.com/fwlink/?LinkId=193914)

· 方式一：可以加入我们的Beta 2 TAP (技术先行体验计划)

TAP是微软产品组提供给客户的体验计划, 您可以在这个计划中试用我们尚未发布的Beta产品，在此过程中，您可以获得来自产品部门的直接支持，我们会协助您安装，部署，试用ConfigMgr 2012。

如果您有兴趣加入Beta 2 TAP，可以先从这里开始：

第一步：访问这个调研，并提交用户信息：https://www.surveymonkey.com/s/vNext_Beta2_nomination

第二步：如果您的信息满足我们的要求，我们会直接与您进行联系。

第三步：我们会提供更多的信息以支持您在企业中部署我们的Beta系统。

为了方便中国客户加入TAP，您可以直接发邮件给 msdchina@microsoft.com，我们会协助您完成相关流程。

· 方式二：可以加入我们的Open Beta 计划

关于Open Beta 和TAP的区别可以参见这个网站: https://connect.microsoft.com/ConfigurationManagervnext/content/content.aspx?ContentID=22474

大致上Open Beta没有任何条件限制，任何人都可以加入，只要自行下载安装程序，自行部署试用即可。如有问题可以在Newsgroup（https://connect.microsoft.com/ConfigurationManagervnext/community/discussion/richui/default.aspx）中提问，我们会尽力帮助解答这些问题。

· 方式三：下载VHD文件试用

如果觉得自行部署安装ConfigMgr 仍然比较复杂，更简单的方式是下载我们的VHD试用。可以在这里下载Beta 1 的VHD: http://www.microsoft.com/downloads/en/details.aspx?displaylang=en&FamilyID=1b23c540-9b9f-4d41-a05d-d4b216061957&utm_source=feedburner&utm_medium=twitter&utm_campaign=Feed:+MicrosoftDownloadCenter+%28Microsoft+Download+Center%29

当Beta 2 发布之后，相应的VHD也会发布在http://connect.microsoft.com 上供下载。

其他资源：

ConfigMgr 2012 overview: https://connect.microsoft.com/ConfigurationManagervnext/Downloads/DownloadDetails.aspx?DownloadID=25995

ConfigMgr Beta program 主页：https://connect.microsoft.com/ConfigurationManagervnext

如果还有其他问题，请联系我们： msdchina@microsoft.com

谢谢！

有关CM 2007 Active Directory Domain的常见问题

2010-11-16T02:50:00Z

我已经看客户询问有关活动目录域服务适用于配置管理器中的问题的数目不断增加。美国科技教育不是例外促使我写了一些常问的问题。

产品文档中此信息虽然我能理解为什么它有时很难找到一种特定的情况下确切的答案只是因为有太多可能出现的变动。一个包含此信息的大量的文档主题是多源目录林的配置管理器。

有关于配置管理器中的一个活动目录相关问题请参阅是否它解决此博客张贴内容中。如果看不到列出的问题通过电子邮件与您的问题或建议的 SMSDocs@Microsoft.com。

问：在他们在不同的域，站点系统服务器时，配置管理器可以管理客户端？

答案：是的。在这里的唯一潜在知是在混合模式下站点时，您必须配置管理点与 FQDN 自动审批工作。提示：请检查名称解析（NetBIOS 和 FQDN）正在两个域之间。

我的网站系统中的所有服务器的站点是否都有问题：要在相同的域中吗？

答：没有，在同一站点中的站点系统可以从不同的域在同一林中，以下的除外：

SMS 提供程序
报告点
站点数据库服务器：

我的网站系统中的所有服务器的站点是否都有问题：为来自同一个林中吗？

答：大多数情况下，是的。有几个例外情况：

系统健康验证程序点
基于网络的站点系统
服务器定位点（最安全的做法是在同一林中安装此）
PXE 服务点（最安全的做法是在同一林中安装此）

问：在他们在不同的目录林中，从站点服务器时，配置管理器可以管理客户端？

答：是，与此配置不需要任何的 PKI 证书或安装任何站点系统服务器到这另一个林中。最重要的事情来记住这是这些客户端不能访问发布的活动目录域服务-站点服务器的站点信息，即使有这两个林之间的信任。这意味着在安装这些客户端时，他们需要完成站点分配一个服务器定位点。请确保已安装服务器定位点和这些客户端可以访问它，这样做的最简单方法是使用 SMSSLP 属性，当您安装客户端。更多的信息请参阅如何创建服务器定位点在配置管理器与指定的配置管理器在客户端计算机的服务器定位点。

此外：

请确保您有两个林-之间名称解析客户端可以解决配置管理器原位站点系统服务器的名称和站点系统服务器可以解决客户端计算机的名称。
没有客户端域和站点服务器的域之间的信任时，您需要一个网络访问帐户，这些客户端无法访问分发点。更多的信息，请参阅如何配置网络访问帐户。
如果网站是在混合模式下，并且有是在客��端之间的不信任，域和站点服务器的域如果网站配置为 自动批准在受信任的域中的计算机，默认选项，您必须手动批准这些客户端这些客户端不会获批准。
如果网站是在本机模式下，并且客户端将使用内联网通信，客户端必须安装使用允许 HTTP 通讯的漫游和站点分配的选项。执行此操作的最简单方法是使用 /native:fallback 或 /native:crlandfallback 属性，当您安装客户端。更多的信息请参阅如何配置 HTTP 通信漫游和站点分配。此外应确保您的 PKI 解决方案旨在跨越两个林。
如果要通过使用活动目录查找方法发现这些客户端必须有充分的林信任的地方。但是，只有客户端推送安装需要计算机被发现。有关其他客户端安装方法和它们的依赖项的详细信息，请参阅配置管理器客户端部署的前提条件。

问：我要支持从另一个的目录林中的客户端，安装，这些客户端在同一个目录林中，或在站点服务器的目录林中的服务器定位点吗？

答：技术上，您可以安装服务器定位点或森林中。然而，作为一个安全的最佳做法安装在站点服务器的森林中。如果在两个林之间防火墙请注意，服务器定位点通过 HTTP 要求未经身份验证的客户端连接。如果这是对您的安全策略，一个备用的配置，这些客户端，并要求的 PKI 证书和网站是在本机模式下的只有网络客户端管理进行配置。此配置不需要这些客户端与服务器定位点。更多的信息请参阅问题"是它可以管理从另一个目录林中的客户端，通过使用 HTTPS 连接只吗？"

问：可以安装客户端在另一个林中而无需下载客户端安装源文件从管理点吗？

答案：是的。将客户端安装源文件复制到文件服务器上的客户端的森林管理点或站点服务器从。然后，使用 CCMSetup 属性 /source： <path> 安装客户端时。客户端安装源代码文件位于配置管理器 2007年站点服务器和管理点上的 <InstallationPath> \Client 文件夹中。

问：我的客户端通信的两个林之间的防火墙上打开需要哪些端口？

答：安装客户端，请参阅端口使用在配置管理器客户端部署。注意客户端推送安装是最少的防火墙友好的安装方法，因为它需要 SMB 和 RPC。客户端安装将取决于您正在使用的配置管理器功能后，可能会使用的端口。业务端口的一个列表，请参阅端口的配置管理器中使用。

问：是否可以管理从另一个目录林中的客户端，通过使用 HTTPS 连接只吗？

是的，答：在本机模式下您的站点是否配置网络连接的本机模式站点系统并安装这些客户端仅网络客户端管理。有关此配置的详细信息，请参阅提示和技巧：使用内联网的 Internet-Only 客户端管理。

问：我可以安装辅助站点在另一个林中吗？

答复：第在林 A 中时您的主站点配置管理器不支持在森林 B.中安装辅助站点在这种情况下必须在林 B 中安装的主站点，或使用在林 A 中的主站点管理 B.森林中的客户端

问：什么额外的配置是需要如果我安装在另一个林中的网站？

答：如果您在站点之间使用安全密钥交换，使用层次结构维护工具（Preinst.exe）来配置手动密钥交换。更多的信息，请参阅如何手动交换公共密钥的站点。

如果必须将域用户帐户配置为发件人地址属性的每个站点中的站点地址帐户的两个目录林信任关系之间没有信任关系。如果在站点之间充分林信任您可以使用站点服务器的计算机帐户。

问：我可以安装站点系统在域控制器上吗？

答案：是的。没有任何技术的限制，您可以防止在域控制器上安装任何站点系统角色。但是，对于安全最佳做法这不是建议在生产环境中。

问：我可以安装站点系统（而不是在一个活动目录林）的独立服务器上吗？

答复：第所有站点系统必须都属于一个 Active Directory 林中。这包括分支分发点和基于互联网的网站系统。

任何配置管理器功能或操作问题：是否需要特定的域或林功能级别吗？

答复：第唯一的例外是需要一个完整的目录林信任时本身需要的 Windows Server 2003 的最小森林水平。一个完整的目录林信任时，需要为以下：

发现在另一个林中的计算机
允许仅站点服务器开始从该站点系统数据传输，这是一个基于互联网的网站系统，以确保从 intranet 器只启动连接的外围网络中安装的配置选项的选项。

配置管理器是否支持所有版本的活动目录域服务包括 Windows Server 2008 R2？

答案：是的。但是，对于支持版本，客户端和站点系统上的操作系统始终检查版本的配置管理器，您正在运行的支持的配置文档。

问：我需要再次扩展架构，如果创建新的配置管理器网站，或者添加新域的计算机吗？

答复：第活动目录架构扩展用于在整个的森林，因此您需要扩展架构的配置管理器中只有一次如果您配置管理器层次结构包含在目录林内部。唯一的例外是，如果您在另一个的目录林中创建一个新的主站点，并且您希望将发布到活动目录域服务这个新站点。在这种情况下扩展新的目录林的架构（和配置系统管理容器的安全权限）。

问：我需要扩展架构再次为配置管理器升级到更高版本的配置管理器（，例如配置管理器 SP2) 或后提高我 Active Directory 域或目录林功能级别吗？

答复：第如果您已扩展为配置管理器中的活动目录架构，您不需要再为这些方案对其进行扩展。但是，如果您从 SMS 2003 升级到配置管理器中，您应扩展架构的配置管理器可以从新的站点更改，发布到活动目录域服务中受益。

--Carol Bailey

本文由机器自动翻译，微软不对翻译内容负责，您可以从这里获得原文和翻译信息：查看信息

公告：客户端安装和配置 SuperFlow 发布

2010-10-29T01:18:00Z

配置管理器IX队兴奋地宣布的新的客户端安装和分配 SuperFlow 版本。

此 SuperFlow 提供了有关如何规划、安装、管理和监视配置管理器 2007年客户端的详细的步骤。它还包括故障排除信息和进一步，您可以使用更多地了解客户端安装和工作分配的资源。

你会发现这和所有其他在 http://go.microsoft.com/fwlink/?LinkId=183297的 SuperFlows。

一个 SuperFlow 是什么？

SuperFlow 交互式内容模型提供用于查看文档的结构化和互动界面。每个 SuperFlow 包含有关一个特定的配置管理器 2007年数据流、工作流或过程的全面信息。根据在 SuperFlow 的重点会发现概述的信息包括详细的信息、程序、示例日志条目、最佳做法、现实世界的情况、故障排除信息、安全信息、动画或其他信息的步骤。每个 SuperFlow 还包括如 Web 站点或本地文件复制到您的计算机安装了 SuperFlow 时的相关资源的链接。

您的反馈，SuperFlows 是非常重要，我们，为我们改善和扩展可用 SuperFlows 的范围。请使用中，SuperFlow 包含的链接，让我们知道您的想法和给我们的任何新的 SuperFlows 建议您想看看。

--Rob Stack

本文由机器自动翻译，微软不对翻译内容负责，您可以从这里获得原文和翻译信��：查看信息

管理ConfigMgr客户端补丁

2010-09-14T02:40:00Z

管理ConfigMgr客户端补丁

在ConfigMgr升级过程中，一些Service Pack或者hotfix要求在客户端安装补丁程序而不仅仅是在服务器端。这篇文章主要讨论客户端补丁部署的一些技巧：如何在客户端请求安装方式安装ConfigMgr客户端的同时安装一个ConfigMgr客户端补丁；如何卸载一个ConfigMgr客户端补丁以及如何在手动创建一个部署ConfigMgr客户端补丁的包/程序时得到正确的报告。

如何通过客户端请求安装的方式安装CONFIGMGR客户端补丁

http://support.microsoft.com/kb/907423/zh-cn介绍了一个适用于SMS2003客户端安转的方法，它依然适用于ConfigMgr客户端。具体步骤如下：

1. 打开SMS站点服务器上的SMS管理控制台

2. 导航到客户端安装方法，并双击客户端请求安装

3. 打开客户端请求安装的属性对话框，点击客户端标签

4. 在安装属性框中输入适当的参数：

SMSSITECODE=AUTO PATCH=\\SERVER\SMSCLIENT\i386\patches\update1.msp

点击确定。

使用该设置后，所有新安装的客户端将会在CCM客户端安装后安装在参数中指定的客户端补丁。

注意：只有一个更新（.msp文件）可在安装客户端的同时安装。如果您尝试安装多个更新时，可能会导致客户端安装失败。

如何卸载一个ConfigMgr客户端补丁

ConfigMgr客户端补丁不会出现在添加/删除程序中。您需要使用命令行来卸载客户端补丁。下面一步一步演示如何通过CONFIGMGR软件分发模块来卸载一个ConfigMgr客户端补丁。

1. 找出你的客户端产品代码。

你可以在客户端的注册表里面找到产品代码信息：HKLM\Software\Microsoft\SMS\Mobile\ProductCode。

2. 找出补丁代码

你可以在注册表中找到：HKLM\SOFTWARE\Microsoft\Updates\Configuration Manager Client\4.00.6221.1000\CONFIGMGR2007AC-SP1-KBxxxxxx-x86.msp\ (补丁ID)

3. 创建一个包和一个程序包含以下设置：

在常规选项中做如下设置

命令行: msiexec /package {产品代码} /uninstall {补丁代码} /q REINSTALL=ALL REINSTALLMODE=maus

运行之后：程序重新启动计算机

在环境选项卡进行如下设置:

程序可以运行：无论用户是否登陆

· “程序重新启动计算机”设置并不意味着卸载之后计算机会被重新启动。卸载一个ConfigMgr客户端补丁会重新启动“SMS Agent Host”服务。如果你不使用这个设置，ConfigMgr客户端会认为重新启动“SMS Agent Host”服务是非正常的，就会报告该程序运行失败。如果您选择“程序重新启动计算机”选项，则ConfigMgr客户端会认为“SMS Agent Host”服务被重新启动是预期的，这样您就能得到这个播发的正确的状态报告。

4. 分发这个程序给客户端

如何手动创建CONFIGMGR客户端补丁安装包/程序

如果您安装一个包含客户端组建的ConfigMgr补丁，您可以选择补丁安装程序为您创建一个包和程序。如果由于某些原因，您需要手动创建一个包/程序来部署客户端补丁，您可以按下面一步一步操作：

（以下内容引用于ACReadme.txt。你可以在<SMS安装路径>\logs\<更新ID>目录下找到ACReadme.txt:。

1. 创建一个包，填写以下所需资料：

数据源选项卡-源目录：

\\<站点服务器>\sms_<sitecode>\client\<platform>\hotfix\<updateid>（如\\Server1\CONFIGMGR_123\client\I386\hotfix\KB977384）

2. 此外，为了确保客户端补丁程序返回准确的状态报表，您必须在“报表”一项填写正确的MIF文件名。例如，如果Msp文件名是：“SCCM2007AC-KB891073-x86.msp”，那么您需要输入“CMclient.SCCM2007AC-KB891073-x86.mif”（不包括引号）。

因为这个客户端补丁程序在安装完成后会停止并重新启动“SMS Agent Host”服务，所以ConfigMgr客户端不能监测到这个补丁程序的运行返回代码，必须依靠服务重启后找到一个状态匹配的MIF来检测程序运行的结果是否成功。如果MIF文件没有找到，即使安装成功，ConfigMgr客户端仍然会报告安装失败（1603）。

3. 在这个新的包里，创建一个程序并填写以下所需信息：

常规选项卡-命令行：Msiexec /p <文件名> /L*v <日志文件> /q REINSTALL=ALL REINSTALLMODE=mous

<文件名>是补丁提供的.msp文件的文件名。通常情况下，文件名的形式是：CONFIGMGR2007AC-<补丁ID>-<平台>.msp

例: msiexec.exe /P SCCM2007AC-KB891073-X86.msp /L*v %temp%\SCCM2007AC-KB891073-X86.log /q REINSTALL=ALL REINSTALLMODE=mous

4. 指定该程序“运行”为最小化并设置“运行之后后”选项为程序重新启动计算机。

· 同上“程序重新启动计算机”设置并不意味着卸载之后计算机会被重新启动。卸载一个ConfigMgr客户端补丁会重新启动“SMS Agent Host”服务。如果你不使用这个设置，ConfigMgr客户端会认为重新启动“SMS Agent Host”服务是非正常的，就会报告该程序运行失败。如果您选择“程序重新启动计算机”选项，则CONFIGMGR客户端会认为“SMS Agent Host”服务被重新启动是预期的，这样您就能得到这个播发的正确的状态报告。

安装ConfigMgr补丁的已知问题：

您可以在ccmsetup.exe的命令行中指定属性值来修改client.msi的行为。这里的设置可以包括例如DNSSUFFIX, FSP, SMSMP, SMSSLP 等属性。不过，这些设置在以下情况下会失效：

· 运行ConfigMgr客户端修复程序

· 安装一个客户端补丁程序，且在安装命令行中没有再次指定这些属性；

· 在ccmsetup.exe的命令行中使用了PATCH参数

解决办法: 当你用软件分发来向ConfigMgr客户端部署ConfigMgr补丁，你需要修改程序命令行来包含这些设置。你可以在http://technet.microsoft.com/zh-cn/library/bb680980.aspx 查到client.msi的所有属性。

如果你在你的环境中使用客户端推送安装，你应该能够从客户端请求安装的属性对话框找到并重新使用您的Client.msi设置。

---Minfang Lv

ACT Connector 与 ACT 5.6

2010-06-28T09:22:00Z

Application Compatibility Toolkit Connector (ACT Connector) 可以帮助IT管理员收集企业里计算机和应用程序的兼容性信息，进而帮助管理员制定Windows部署的计划。ACT Connector的运行要依赖于Microsoft Application Compatibility Toolkit 5.5 (ACT 5.5) 。在今年的6月7日，ACT发布了新版本：ACT 5.6。

那么ACT Connector能与ACT 5.6兼容吗？答案是肯定的。不过有一个局限，就是ACT Connector目前还不能利用到ACT 5.6里面新增加的64位操作系统兼容性的支持。ACT Connector汇总上来的应用程序兼容性数据都是仅仅针对32位操作系统的。

假如您直接从ACT 5.5升级到ACT 5.6，并且依照ACT配置向导（ACT Configuration Wizard）的提示完成ACT数据库的升级，那么您可以像以前一样继续正常使用ACT Connector的功能。具体步骤如下：在升级到ACT 5.6以后，运行如下图所示的ACT配置向导，并且选择旧有的ACT数据库。在数据库名称的旁边，您可以看到有一个新的Update按钮出现。点击Update按钮，然后按照弹出对话框中的说明来更新旧的ACT数据库。

另外，有可能您直接安装了ACT 5.6，而不是从ACT 5.5升级而来。在这种情况下，不要使用Configuration Manager控制台中Application Compatibility Toolkit Connector/Application Compatibility Toolkit Server节点下的Configure ACT Server来配置ACT 5.6数据库；而要使用在这篇文章(http://blogs.technet.com/b/configurationmgr/archive/2009/07/01/support-for-act-5-5-with-the-act-connector.aspx)中描述的VB脚本(ActConfig.vbs)来配置ACT数据库。如果ACT数据库位于一个SQL命名实例上，那么在传给ActConfig.vbs的ACT Server参数中应当包含命名实例的名称。比如：ActConfig.vbs <Site server> <Site code> <ACT Server>\<SQL named instance> <ACT database> <Machine Account>.

如果在全新安装ACT 5.6的情况下，您用了ACT Connector提供的Configure ACT Server来配置ACT 5.6的数据库，将会导致一系列关于invalid column的错误信息。这是因为ACT Connector依赖于ACT数据库中的一些表，而这些表的schema在ACT 5.6中有所改变。要解决这个问题，需要卸载ACT 5.6再重新安装，并且创建一个新的ACT数据库。然后您可以用上边提到过的VB脚本ActConfig.vbs来配置ACT数据库。

综上所述，如果您从ACT 5.5升级到ACT 5.6，只要您用ACT Configuration Wizard正确配置了ACT数据库，那么ACT Connector可以继续正常工作。如果您创建了一个ACT 5.6的全新安装，那么请不要用ACT Connector的Configure ACT Server向导来配置ACT数据库，而要用上边提到的ActConfig.vbs脚本。

---- Martin Li

ConfigMgr v.Next Beta 1 正式发布

2010-06-21T14:54:00Z

我们非常高兴地与大家分享System Center Configuration Manager 的最新消息，下一代产品的Beta 1 版本已经发布。新的ConfigMgr 提供了强大而灵活的面向用户的客户端管理功能。提供给系统管理员统一的方式以管理用户各种客户端。对于最终用户来说，通过这些被管理的客户端，不管用户身在何处，他们都能自如地访问数据。

相对于ConfigMgr 2007，下一代ConfigMgr的改进主要体现在以下三方面：

以用户为中心的应用程序管理：

提供用户自助式的软件管理门户
允许管理员以用户为中心，而非面向设备的方式来管理各种应用程序。

简化基础架构：

提供统一的基础架构以管理不同的平台，包括台式机，笔记本和手机
全新的权限管理体系
自动化的内容分发机制
重新设计了核心基础架构以提高可扩性

简化的客户端管理：

客户端可自动发现并修复不符合IT策略的问题
更好的客户端健康检测及自动修复功能
加强了远程控制功能
改进了操作系统部署功能

目前Beta1 已经可以下载，如果您有兴趣试用Beta 1, 请访问这里。如果您想了解更多的信息，请访问这里。

欢迎大家下载并尝试我们的最新产品，我们热切地等待您的宝贵意见和反馈。

Configuration Manager 2007 客户端内容下载故障排除指导

2010-03-29T03:09:52Z

英文原文链接：http://blogs.technet.com/configmgrteam/archive/2010/01/14/troubleshooting-client-content-download-in-configuration-manager-2007.aspx

Configuration Manager 2007的软件分布��创建包开始到客户端内容安装完结束。但是客户端经常在内容下载的过程中遇到很多问题。以下是从TechNet论坛上找到的一些例子：

http://social.technet.microsoft.com/Forums/en-US/configmgrswdist/thread/b26d330c-2074-44ed-aa2b-c9040c853ed7

http://social.technet.microsoft.com/Forums/en-US/configmgrswdist/thread/c2d7d528-5105-453b-9532-09264ea52d90?prof=required

这篇博文提供了有关客户端内容下载经常遇到的问题的解决方法。先简单概述下整体情况，然后指导如何跟踪所涉及的各个过程，包括从客户端下载软件政策一直到安装软件。

步骤 1：跟踪客户端上的播发（Advertisement）

步骤 2：跟踪客户端上内容的位置请求

步骤 3：跟踪管理点（Management Point）上内容的位置响应

第四步：确定客户端边界及其对内容定位与下载的影响

步骤 5：跟踪内容下载

步骤 6：排除后台智能传输服务(BITS)故障

在这里假定包已成功发布到标准分布点(Standard Distribution Point)，包的一个播发(Advertisement)被指向到一个群集。为排除故障，在客户端和管理点上都启用了调试日志记录(Debug Logging)。有关如何配置调试日志记录的说明，请参阅 http://support.microsoft.com/kb/833417。

当客户端政策被触发时，目标群集中的客户端即可获取播发(Advertisement)。如果你需要配置客户端策略的说明，请参阅如何配置管理器客户端的启动政策。

更多有关记录文件的信息，包括它们的位置，请参阅 Configuration Manager 2007 中的记录文件列表。

第一步：跟踪客户端上的播发

从客户端上的记录文件execmgr.log开始，寻找播发(Advertisement)的ID。在记录文档中应该可以看到播发ID的参考值，类似下面所示：

<SoftwareDeploymentMessage MessageType='Execution'>

<AdvertisementID>CAR20000</AdvertisementID>

<PackageID>CAR00003</PackageID>

……

</SoftwareDeploymentMessage>'

第二步：跟踪客户端上内容位置请求

确定客户端收到播发(Advertisement)之后，打开客户端上的记录文档LocationServices.log。如果播发请求内容下载，客户端会向管理点(Management point)询问可用的内容的链接地址。记录文档LocationServices.log记录了客户端发送的内容位置请求信息。通过在execmgr.log文件中引用的PackgeID的值可以找到它。类似下面所示：

ContentLocationRequest :
<ContentLocationRequest SchemaVersion="1.00">
<Package ID="CAR00003" Version="1"/>
…..
</ContentLocationRequest>

第三步：跟踪管理点(Management Point)上的内容位置响应

收到内容位置请求之后，管理点会返回包含位置内容的URL列表。你可以使用管理点上的记录文件MP_Location.log来跟踪请求（内容位置请求xml段(ContentLocationRequest xml segment)）和响应（内容位置回复xml段(ContentLocationReply xml segment)）。

管理点返回的有效的URL列表供客户端用来下载内容，这个列表类似下面：

MP LM: Message Body :

<ContentLocationRequest SchemaVersion="1.00" ExcludeFileList=""><Package ID="CAR00003" Version="1"/>

<AssignedSite SiteCode="PS2"/>

<ClientLocationInfo LocationType="SMSPackage" UseProtected="0" AllowCaching="0" BranchDPFlags="0" UseInternetDP="0" AllowHTTP="1" AllowSMB="1" AllowMulticast="1" AllowFileStreaming="0">

……

<LocationRecords><LocationRecord>

<SMBPath Name="\\[ServerName]\SMSPKGC$\CAR00003"/>

<URL Name="http://[ServerName/SMS_DP_SMSPKGC$/CAR00003" Signature="http://[ServerName]/SMS_DP_SMSSIG$/CAR00003.1.tar"/>

……

如果管理点(Management Point)没有位置给客户端用于内容的下载，结果将类似如下所示：

No Locations found. MP_LocationManager 10/14/2009 10:52:08 AM 4768 (0x12A0)

如果你看到“No Locations found”出现在MP_Location.log中，请确定包已经通过页面服务器(Site Server)上的记录文件distmgr.log成功安装在了分布点(Distribution Points)上。

第四步：确定客户端边界及其对内容定位与下载的影响

在MP_Location.log的例子中，管理点(Management Point)返回一串有效的URL列表给客户端用于内容下载，文件中的SiteLocality=”Local”把客户端认为是在页面的快速边界(Fast Boundary)之中的，所以客户端的位置被认为是“本地的(local)”。页面位置(SiteLocality)的其它两个属性分别是Remote和Fallback。

Remote 认为客户端是在慢速不可靠的边界(Slow and Unreliable Boundary)中

Fallback 认为客户端不属于任何边界

如果客户端是在一个慢速不可靠的页面边界中，内容位置回复信息类似如下：

ContentLocationReply : <ContentLocationReply SchemaVersion="1.00">
<ContentInfo PackageFlags="0"/><Sites><Site>
<MPSite SiteCode="PS1" MasterSiteCode="PS1" SiteLocality="REMOTE"/>
……
</ContentLocationReply>

如果想在慢速不可靠边界中的客户端上安装软件，确保播发(Advertisement)的配置中下面的选项是启用的：“Download content from distribution point and run locally”。当客户端是在慢速不可靠的边界中时，播发的默认设置是“Do not run program”。

注意：慢速不可靠边界中的客户端不能安装软件可能也存在有效的原因。这个设定应用于所有在慢速不可靠的边界中的客户端而不能应用于单独的客户端。如果你想改变设置，可能会潜在地影响到很多客户端。更多的信息，请看在慢速不可靠的网络边界中的客户端是否应该下载内容。

当SiteLocality="FALLBACK"，得到的作用和处于慢速不可靠边界的客户端一样。这种情况下内容位置的返回类似如下：

ContentLocationReply : <ContentLocationReply SchemaVersion="1.00">
<ContentInfo PackageFlags="0"/>
<Sites><Site>
<MPSite SiteCode="PS1" MasterSiteCode="PS1" SiteLocality="FALLBACK"/>
……
</ContentLocationReply>

第五步: 跟踪内容下载

客户端尝试从返回的内容位置列表中的第一个分布点(Distribution Point)下载内容,这个过程将在客户端上记录在ContentTransferManager.log文件中，如下面的例子所示：

CTM dumping locations returned by Location Service: ContentTransferManager 10/8/2009 2:42:56 PM 3204 (0x0C84)

Source: 'http://[ServerName]/SMS_DP_SMSPKGC$/CAR00003' Locality: Local Version: 6221 Capability: <Capabilities SchemaVersion="1.0"/>Signatures: http://[ServerName]/SMS_DP_SMSSIG$/CAR0000.1.tar' ContentTransferManager 10/8/2009 2:42:56 PM 3204 (0x0C84)

Source: '\\[ServerName]\SMSPKGC$\CAR00003' Locality: Local Version: 6221 Capability: <Capabilities SchemaVersion="1.0"/>Signatures: '' ContentTransferManager 10/8/2009 2:42:56 PM 3204 (0x0C84)

然后在客户端上通过查看文件 DataTransferService.log 看是否有创建下载文件到客户端的工作。记录的入口(log entry)如下所示：

DTSJob {BC1A0EAB-A1D7-48BE-AD1E-CFE85F63C1B0} created to download from 'http://NOVA42306.NOVA42304DOM.net/SMS_DP_SMSPKGC$/CAR00003' to 'C:\Windows\system32\CCM\Cache\CAR00003.1.System'. DataTransferService 10/8/2009 2:42:56 PM 3204 (0x0C84)

连续的记录入口类似如下：

Execute called for DTS job '{BC1A0EAB-A1D7-48BE-AD1E-CFE85F63C1B0}'. Current state: 'PendingDownload'. DataTransferService 10/8/2009 2:43:07 PM 3788 (0x0ECC)

...

Starting BITS download for DTS job '{BC1A0EAB-A1D7-48BE-AD1E-CFE85F63C1B0}'. DataTransferService 10/8/2009 2:43:07 PM 3788 (0x0ECC)

上面的最后一行说明内容是从启用BITS的分布点下载的（配置管理器SCCM的分布点属性Allow clients to transfer content from this distribution point using BITS, HTTP, and HTTPS为：General tab）。注意如果BITS的下载失败，内容下载将会退回使用SMB，并且文件的下载将会通过FileBITS.log文件来记录监视。

第六步: 解决BITS的问题

如果内容是使用BITS来下载,下载的进度在多种情况下都可能停滞，bitsadmin是一个非常实用的用于排除内容下载状态故障的工具。例如：

bitsadmin/list/allusers

使用这条命令来寻找与故障排除任务相关的工作ID，在其他的bitsadmin命令中，你会需要这些信息。这条命令列出了所有正在进行中的BITS下载工作，从列表中找到和你的包ID相关的工作，记录这些工作ID。

bitsadmin/getinfo jobid

使用这条命令获得更多的关于指定工作的信息。从输出结果中，如果你注意到下载过程在任何一个特定的文件或路径处停止，使用下面的命令来手动下载文件看下是否可行: bitsadmin /transfer MyJob /download /priority normal [http://remote-file-url] [SysDrive]\LocalFileName

在某个文件或路径处下载停止是很典型的情况，下面列举一些常见的问题和解决方法：

一些文件的扩展名原本就被IIS阻止。检查包里是否有文件包含这些扩展名，使用下面KB的文章把applicationHost.config文件中的被阻止的扩展名去掉。http://support.microsoft.com/kb/942045/

一些路径被IIS默认设置为隐藏。包里出现的一些典型的路径如"bin"和"log"文件夹。这些路径被IIS隐藏，BITS就无法下载宿主在这些路径下的文件。按下面KB的文章从applicationHost.config中去除这些限制：http://support.microsoft.com/kb/942047/。更多信息请：http://blogs.iis.net/bills/archive/2008/03/23/how-to-un-block-directories-with-iis7-web-config.aspx

一些文件或路径包含一些特殊符号，如"+"有双转义序列，被IIS默认为拒绝的。按下面KB的文章设定applicationHost.config文件中的allowDoubleEscaping为true。 http://support.microsoft.com/kb/942076/

发表你的评论，如果想知道更多类似的故障排除的文章，请给我留言，我会尽快回复。

-- Bhaskar Krishnan

--译: 鲍瑞敏

Configmgr 微软技术先行体验计划

2010-03-10T09:41:27Z

我们最近开放了下一版本Configuration Manager 的技术先行体验计划(TAP计划)。该计划目标是让我们产品的客户有机会第一时间体验我们最新的产品，提供反馈和建议从而帮助我们改进我们的产品，在正式发布产品时能更好地服务客户。

对于我们产品的客户来说，该计划提供了：

- 第一时间了解并实践最新产品的机会

- 您的反馈意见将有机会直接被产品团队采纳，并包含在正式发布版本中。从而使产品能更好地符合您的需求

- 与微软产品团队建立联系，深入了解产品战略，发展方向及深层的技术

- 在部署使用产品过程中，可以得到微软产品部门的直接支持。

在2010年我们将推出ConfigMgr 下一个版本的Beta 试用版。客户对于试用版的反馈和建议是我们成功发布最终产品的关键。在下一个版本中，我们将注重于以下几个方面：

- 全新的软件分发管理：通过提供新构建的软件分发管理模式，我们让管理员以最自然的方式来管理软件，控制哪些用户可以使用哪些软件。管理员可以以用户为中心来管理系统中的所有台式机，笔记本，移动设备等。

- 新的架构体系：下一代ConfigMgr的架构体系得到了极大地优化，从而可以更好地支持大批量的客户机管理，减少网络带宽消耗，提高系统整体响应速度。Client Health功能让被管理的设备始终处于健康状态。新的用户管理界面，权限管理模式提高了系统管理员日常工作的效率。

- 其他改进：包括移动设备管理，增强的补丁管理功能等

我们期待用户加入我们的技术先行体验计划来与我们共同改进我们的产品。但由于资源有限，我们无法保证每一个申请的客户都能加入该项目。我们会仔细评估每一个我们收到的请求来选择最合适的客户。

技术先行体验计划并非唯一试用Beta版的途径，我们会在今年晚些时候提供对公众的Beta版试用，敬请关注我们的博客。我们会及时更新相应的信息。

如果您对该技术先行体验计划有兴趣请发邮件到msdchina@microsoft.com

更详细的该计划信息请参阅这里

更多关于System Center Configuration Manager的产品信息请参阅这里

- Configuration Manager中国研发团队

新春快乐，虎年大吉

2010-02-13T05:57:00Z

今天是大年三十，Configuration Manager中国研发团队的全体同事谨祝各位虎年心想事成，万事如意。也希望在新的一年里，通过这个博客，可以和大家有更好的交流和互动。

ConfigMgr 2007 SP2中Windows 7操作系统部署如何进行用户状态迁移

2009-11-16T11:33:04Z

ConfigMgr 2007 SP2中Windows 7操作系统部署如何进行用户状态迁移

我们刚刚在Windows 7正式发布的同一天发布了System Center Configuration Manager 2007的最新版本，ConfigMgr 2007 SP2。其中Windows 7的操作系统部署是SP中一个重要的特性。伴随着Windows 7的正式发布，很多企业都计划在其内部进行Windows 7的安装和部署。但是企业部署Windows 7所遇到的一大挑战就是如何迁移用户数据，如何能够在不影响员工正常工作的前提下对员工所使用的PC客户端进行操作系统的升级部署是很多企业所面临的课题。而ConfigMgr 2007 SP2不仅提供了一套自动化，灵活的企业部署Windows 7的解决方案，而且还提供了一套完整的操作系统部署中用户状态迁移的管理方案。下面我们就来详细介绍如何利用ConfigMgr 2007 SP2进行操作系统部署中的用户状态迁移。

什么是用户状态（User State）

1．用户目录下的文件，例如My Documents，IE的收藏夹等

2．操作系统设置，例如桌面背景等

3．某些应用程序的设置，例如Microsoft Office的一些设置等

以上所有可被迁移的用户数据我们都将其称为用户状态（User State）。上述三种是默认情况下会被迁移的用户状态，当然也可以通过设置USMT的Config XML文件来进行一些更为复杂的用户状态迁移。

用户状态迁移的分类

1．跨计算机的用户状态迁移

当企业的PC进行更新换代的时候，比如说购置了新的机器，在新的机器上安装完Windows 7操作系统之后，往往需要将现有员工在旧有操作系统上的用户状态迁移到新的机器上。

2．本机的用户状态迁移

当企业管理员对员工现有的计算机进行操作系统重部署时，例如从Windows XP或者Windows Vista升级部署成Windows 7，该计算机上的用户状态也需要随之迁移。

下面就来介绍两种不同的用户状态迁移如何在ConfigMgr 2007 SP2中实现。

如何进行跨计算机的状态迁移

1．首先需要在ConfigMgr2007 SP2站点里面建立一个状态迁移点，State Migration Point，简称SMP。点击站点数据库->站点管理->[Site Code]->站点设置->站点系统->[站点]->新建角色，创建一个状态迁移。

2．在状态迁移点里面可以做以下设置SMP可保存的用户状态的最大数目，SMP正常工作所需要的最低磁盘空间以及SMP的删除策略，即当用户状态被恢复后在SMP上保存的时间。

3．创建计算机关联，在旧有计算机和目标计算机之间创建一个计算机关联。点击站点数据库->计算机管理->操作系统部署->计算机关联，新建一个计算机关联。默认设置下，所有源计算机用户帐户的用户状态都会被迁移，管理员也可以在计算机关联的用户账户选项页中设置需要进行用户状态迁移的用户帐户。

4．创建USMT 4.0的软件分发包，在ConfigMgr 2007 SP2的界面上，点击站点数据库->计算机管理->软件分发->包，新建包，来创建USMT 4.0的软件包。USMT 4.0是Windows Automated Installation Kit中自带的一个工具，它默认的安装位置是：C:\Program Files\Windows AIK\Tools\USMT。

5．创建捕获用户状态的任务序列，用户可以创建一个自定义的任务序列来对旧有计算机的用户状态进行捕获，并将该任务序列分发给旧有计算机。捕获用户状态的任务序列执行完毕后会将所捕获的状态保存在SMP的一个文件共享路径上，SMP会设置其ACL使该用户状态仅能被目标计算机读取。

6．创建操作系统部署的任务序列，并在任务序列最后增加还原用户状态的步骤。将该任务序列分发给目标计算机。当目标计算机执行操作系统部署的任务序列时，会自动从SMP上找到对应的用户状态，并通过USMT将其恢复在目标计算机全新安装的操作系统上。最后目标计算机会通知SMP，用户状态已经成功恢复，SMP开始用户状态保存的倒计时计数。

至此，操作系统部署不仅完成了用户状态从旧有的机器到新买入机器的迁移，也完成了从旧有操作系统到新操作系统的迁移。

如何进行本机快速用户状态迁移

本机的用户状态迁移也可以采用前面提到的利用SMP进行网络状态迁移的方法，尤其当操作系统部署需要重新对磁盘进行分区，或者需要格式化硬盘的情形下，捕获的用户状态无法保存在本机上。当操作系统部署中不进行磁盘分区格式化操作的话，在ConfigMgr 2007 SP2中，我们可以利用USMT 4.0的新特性进行基于Hardlink的快速用户状态迁移。通过Hardlink进行用户状态迁移，不需要进行任何文件拷贝工作，USMT会为所有需要迁移的文件创建Hardlink，并将其保存在一个用户状态保存目录，当磁盘被清除并重新部署操作系统的时候，任务序列不会清除该目录，当操作系统部署完成后，还原用户状态步骤会从该目录恢复用户状态。

下图所示的操作系统任务序列就是一个利用USMT 4.0 Hardlink技术进行本机快速用户状态迁移的例子。在捕获用户文件和设置组中，我们不再需要请求用户状态存储步骤和发布用户状态存储步骤，只需要设置三个内置任务序列变量：

OSDStateStorePath：它用来指定保存用户状态的目录。

OSDMigrateAdditionalCaptureOptions：它用来设置额外的USMT中scanstate.exe的执行参数。

OSDMigrateAdditionalRestoreOptions：它用来设置额外的USMT中loadstate.exe的执行参数。

有了这样一个任务序列，在操作系统部署的过程中，就可以用USMT 4.0特有的Hardlink 在本机进行一个快速的用户状态迁移。如果不设置OSDMigrateAdditionalCaptureOptions和OSDMigrateAdditionalResotreOptions中关于Hardlink的设置，那么任务序列就会进行一个文件拷贝的本机用户状态迁移，其性能相比使用Hardlink略为逊色。

综上所述，ConfigMgr 2007 SP2不仅为企业提供Windows 7操作系统部署的解决方案，还为企业提供了一个便捷的用户状态迁移解决方案。该方案不仅能够实现快速的本机用户状态迁移，还可以通过状态迁移点实现跨计算机的用户状态迁移，为企业内部操作系统从Windows XP或者Windows Vista升级部署到Windows 7提供了便利。

——徐超豪

Configuration Manager SP1 OOB管理的疑难解答更新

2009-10-29T05:53:12Z

我们最近为SCCM 2007SP2更新了文档库，其中包括对疑难解答文档的修订。这些修订有些也适用于SCCM 2007 SP1，但我们无法在SP1的每月更新中发布它们,因为它们包含SP2的内容.我在这里公布一些有关OOB管理的内容,它们可能对一些已有的SP1用户有用,这样他们不用等到SP2发布才能看到这些信息.

SCCM OOB无法在Disjoint Namespace环境下成功provision

Disjoint Namcespace是指机器所在的域的后缀同机器的DNS后缀不一致。如一台机器的DNS是computer1.corp.fabrikam.com 而它在Active Directory域的FQDN是na.corp.fabrikam.com。SCCM OOB并不支持Disjoint Namespace环境。

解决方案

对于Disjoint Namespace环境没有一定的解决方案。

机器无法在OOB的模式下provision，因为机器在provision之前已经在SCCM中有客户端记录

如果机器在provision之前已经被SCCM发现并生成客户端记录，那么之后在OOB的模式下provision会失败。因为在这种情况下，使用导入向导导入计算机记录时，会导致Site code信息的丢失。

解决方案

这一问题已经在SCCM 2007 SP2中解决。如果您的环境不能升级到SCCM 2007 SP2，那么您需要在导入计算机记录之前先手动删除服务器中的机器记录。另外一种方法是使用in-band的provision模式。

解决方案

一种方法是在安装操作系统时，使用导入计算机时相同的机器名称。这样操作系统会将该机器名称通过DHCP自动注册到DNS中。当机器没有安装任何操作系统时，管理员需要手动创建DNS记录。注册的FQDN必须和导入到SCCM中的机器记录相符。您可以从机器的ME BIOS中获取机器当前使用的IP。如果您知道机器的MAC地址，您也可以从DHCP中获取机器的IP。

对于新的尚未provision的AMT机器，执行以下步骤：

1. 在DHCP中为该机器保留一个DHCP记录并提供相应的MAC地址。

2. 手动在DNS中注册DNS记录。所注册的FQDN必须和导入到SCCM中的机器记录相符。所注册的IP必须和机器在DHCP中的记录相符。

低权限用户使用OOB console的IDER功能失败。

当用户计算机上使用了UAC时（Windows Vista和Windows Server 2008引入了UAC），OOB console的IDER功能需要用户使用管理员权限启动OOB console。要确定这个问题，用户可以在Oobconsole.log文件中查找以IMR_IDEROpenTCPSession<number> with user =开始的记录项，此日志文件位于文件夹<ConfigMgrInstallationPath> \ AdminUI \ 中。记录项内容为：

fail with result:0x2, description:Invalid Parameter

解决方案

把启动OOB console的用户帐户添加到本地Administrators组中。

——Carol Bailey

译：邵辉

System Center Configuration manager 2007 SP2 发布!

2009-10-28T08:57:29Z

2009年10月22日，在Windows 7公开发布的同一天， System Center Configuration Manager 2007 SP2也正式发布。这是微软在巩固Configuration management市场领导地位的过程中又一个重要里程碑。作为部署Windows 7的重要方式，Configuration Manager 2007 SP2与微软最重要的操作系统一起发布，意味着我们已经为企业大规模升级部署Windows 7铺平了道路，企业客户可以立即得到一套完整的Windows 7 部署解决方案。

令我们非常自豪的是，这次的SP2研发工作完全由中国研发团队负责，我们在规定的期限之前提前完成了所有的任务。我们的软件开发工程师，测试开发工程师及项目经理精诚合作，高效且高质量地完成了包括iAMT, Windows 7 部署等核心功能的开发，测试，发布工作。成功发布此产品，意味着我们中国研发团队的成熟度又上了一个台阶，也是迎接新的挑战的一个起点。

SP2中主要的新功能包括：

· 对Windows 7 和 Windows Server 2008 完全支持，客户可以部署、管理他们的windows 7客户端以及服务器系统。

· 第二代的Intel AMT 集成，包括对AMT固件升级的支持，以及对无线配置管理、802.1x等重要新功能的支持。

· 对BranchCache的支持，客户在分公司的时候，可以利用Windows Server 2008 R2中的新技术以大大减少网络流量。

· 更加完善的64位支持，包括远程控制，App-v以及2007 OpsMgr agent。

详细信息请参考：http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=3318741a-c038-4ab1-852a-e9c13f8a8140#tm

——吴芳辉

ConfigMgr SP1 Out-of-Band的最佳安全实践

2009-09-14T10:18:16Z

最近，我们更新了ConfigMgr 2007 SP2文档中的Out-of-Band部分，着重对最佳安全实践部分进行了修订。这其中的一些修订对SP1也适用，但必须等到SP2发行用户才能看到。为了让用户及时获取信息，这里列举了那些SP1用户同样适用的部分。

在修订最佳安全实践的同时，也更新了推荐使用的带内设置集查询。过去的查询包括了未进行设置的AMT计算机以及由于AMT远程管理账户或MEBx账户改变而不能被带外服务点 (OOBSP) 设置的AMT计算机。后面一种情况通常也表示我们需要对AMT设置和发现账户进行配置。

更新后的查询排除了不受信任的ConfigMgr客户机，这当中包括被阻塞和未被认可的计算机。这正是最佳的安全实践：只对信任的机器进行设置。在sp2中，这一安全实践被强制实施，但sp1中并无此要求，因此修订后的查询自动排除了这些机器。在带内设置时，修订后的查询如下：

Select SMS_R_System.*

from SMS_R_System inner join SMS_CM_RES_COLL_SMS00001 on SMS_CM_RES_COLL_SMS00001.ResourceId = SMS_R_System.ResourceId

where (AMTStatus = 1 or AMTStatus = 2) and SMS_CM_RES_COLL_SMS00001.IsApproved = 1 and SMS_CM_RES_COLL_SMS00001.IsBlocked = 0

ConfigMgr 2007 sp1 Out-of-Band的最佳安全实践

购置AMT计算机之前，请对固件进行自定义。如果一台支持Out-of-Band管理的计算机在网络上，就能够通过BIOS扩展来自定义其固件参数，以大大提高安全性。您可以向您的计算机制造商询问能对哪些BIOS扩展进行设置，然后确定参数。详细步骤请参考决定是否需要从计算机制造商获取自定义固件映像。如果您的AMT计算机没有您需要使用的固件参数，可能可以手动指定。关于如何手动配置BIOS扩展，请参考因特尔的说明书、您的计算机制造商的说明书或者Intel vPro（博锐）专家中心：微软vPro管理技术网站(http://go.microsoft.com/fwlink/?LinkId=132001)。您可以通过自定义以下选项来提高安全性：

· 将所有外部CA的指纹更换成内部CA的指纹。这将可以防止恶意服务器对您的AMT计算机进行设置，而且您也不用再向外部的CA购买证书。关于如何定位内部根CA的证书指纹，请参考如何查找用于 AMT 设置的内部根证书的证书指纹。

· 不要使用默认的MEBx密码。您可以设置自己的密码，并在ConfigMgr中为其指定设置、发现账户。这将可以防止恶意服务器利用默认密码对您的AMT计算机进行设置。详细信息可参考关于 MEBx 帐户和如何添加 AMT 设置和发现帐户。

· 更改默认的设置服务器的参数。恶意计算机可以将自己的名称设置为默认的服务器名，以此冒充设置服务器。对于攻击者来说，计算机名往往容易获知，因此使用IP地址来指定设置服务器要比使用其计算机名来的安全的多。然而在用不同的站点对多个AMT计算机进行设置的时候，无法使用一个IP地址来标识服务器，这时，如果您使用名字解决方案，就必须对DNS进行配置。另外，请注意保护好您的DNS记录，如果记录被篡改，带外服务点将无法正常工作。

· 为设置另设一个端口。设置时，使用自定义的端口要比默认端口更安全。如果您使用带外设置，可以在Out-of-Band属性的常规选项卡下配置您的端口。

用带内设置代替带外设置。在使用带内设置时，尤其是本机模式下，用户可以方便的使用已经建立好的客户机与配置管理系统之间的信任关系。而在导入带外设置计算机时，如果不受信的计算机支持指定SMBIOS GUID（又称UUID），则也有可能被成功设置。在这之后，计算机会在活动目录域服务中自动生成账户，并且获得一张企业CA的服务器认证证书。因此，如果恶意计算机被成功设置，将导致其权限的提升，进而这个账户将能够通过认证，获取网络上的信息。另外，攻击者也可以利用获得了认证的证书冒充有效的DNS服务器或设置服务器，将AMT计算机诱至其下。如果您不是非要使用带外设置，可以通过以下方法减少此类安全风险：

· 在服务端，为防止恶意计算机在带外被设置，您可采取以下措施：不要使用带外计算机导入向导来向ConfigMgr数据库中添加新的计算机；设置Windows防火墙，阻止与带外服务器（OOBSP）默认端口（9971）的连接；不要在DNS中注册带外服务点的别名。另外，严格限制网络的物理连接，密切监视客户机也是十分必要的。

· 在客户端，为防止恶意计算机利用默认密码设置您的AMT计算机，您可以在AMT BIOS扩展中为MEBx账户自定义密码，并且在ConfigMgr中的AMT设置和发现账户中添加这个账户。详细信息请参考：关于 MEBx 帐户和如何添加 AMT 设置和发现帐户。

如果您的计算机没有安装操作系统，则不能进行带内设置。这时，可以使用操作系统部署（OSD）来安装操作系统和ConfigMgr 2007 SP1客户端，之后即可进行带内设置。带内设置与带外设置的不同之处在于，前者不会在活动目录域服务中添加账户，也不需要提供企业CA颁发的服务器认证证书。关于操作系统部署的详细信息，请参考Configuration Manager 中的操作系统部署。如果您由于未安装ConfigMgr 2007 SP1或AMT计算机的版本不在ConfigMgr支持的范围内而不能进行带内设置，请安装ConfigMgr 2007 SP1客户端并升级固件到其支持的版本。关于COnfigMgr所支持的AMT版本，请参考Out-of-Band概述。

对于被ConfigMgr 2007 SP1站点阻止的AMT计算机，请手动撤销证书并在活动目录中删除其账户。AMT计算机在被ConfigMgr 2007 SP1站点阻止之后，仍然能够接受其Out-of-Band管理，如果一台AMT计算机因不再受信而被阻止，请手动实行如下操作：

· 在CA上撤销为不受信AMT计算机所颁布的证书。

· 在活动目录域服务中，禁止或删除不受信AMT计算机的账户。

控制设置证书的请求和安装。向设置服务器请求设置证书时，需要提供计算机的安全环境，以使证书直接安装到本地计算机中。如果您一定要从另一计算机获取证书，必须导出私钥，使用其他的安全控制，才能在严格的限制之下将证书导入本地证书库。

确保在已有证书过期之前申请新的设置证书。证书过期将导致设置失败，如果您从外部CA获取设置证书，请为更新、配置Out-of-Band管理点预留时间。

*注意：ConfigMgr会在正在使用设置证书距离过期还有40天或40天以下时产生7210号状态报警信息。在您更换成新的证书之前，这一信息每天会产生一次。如果距证书过期时间仅有的不到15天，报警消息会变成7211号。当然，新证书的有效期必须足够大，否则仍然会根据其有效期产生报警信息。

如果设置证书被撤销，将其从带外服务点系统服务器的证书库和Out-of-Band组件配置属性中删除。因为AMT计算机在接受设置时不会去检查证书吊销列表，所以一旦AMT设置证书被撤销，您必须手动阻止ConfigMgr再次使用它来设置AMT计算机。您可以首先在带外服务点系统服务器中将该证书删除，然后安装新的设置证书，并在Out-of-Band属性中对其进行配置。如果暂时没有有效的AMT设置证书，那么在获得有效的证书之前，您应当删除服务器带外服务点的角色。

如果您需要撤销由内部CA颁发的设置证书，请在证书授权控制台中撤销。ConfigMgr 2007 SP1中不提供撤销设置证书的功能。

使用专门的证书模板来设置AMT计算机。如果您的企业CA使用的是Windows Server企业版，可以通过复制网络服务器证书模板的方法来新建一个证书模板。但必须保证只有CConfigMgr站点服务器具有读取、注册权限，也不要添加其他默认的服务器认证能力。使用专门的证书模板的好处是，您能更好的管理和控制用户的使用权限，不会有权限提升的情况发生。但如果您的Windows Server是标准版的，就不能创建专门的证书模板，这种情况下，您可以禁止除了ConfigMgr站点服务器之外的所有计算机的读取和注册权限。

使用Out-of-Band代替LAN唤醒。尽管这两种方案都能够启动计算机来进行更新、公告，但前者更加安全。Out-of-Band使用标准工业安全协议来提供认证、加密服务，并与现有的公钥基础设施（PKI）部署结合，能独立于产品来管理安全控制。详细信息请参考在带外管理开机命令和 LAN 唤醒的唤醒数据包之间选择。

使用专门的组织单位来发布AMT计算机。其好处是，您可以更好的管理和控制设置时创建的活动目录账户，并保证他们不会被授予更多的权限。

使用组策略来限制AMT账户的用户权限。对活动目录中的AMT账户权限进行限制能阻止权限提升，在攻击者窃取这些账户后也能其减少可能的攻击面。具体方法是：为AMT账户建立一个在设置过程中能够自动创建的安全组，并将该组添加到\计算机设置\Windows 设置\安全设置\本地策略\用户权限分配下的组策略设置中，如下：

· 拒绝从网络接入本机

· 拒接以批作业模式登录

· 拒绝以服务模式登录

· 拒绝从本地登录

· 拒绝从终端服务登录

请对所有计算机采用这些组策略设置，如果有必要，定期据检查、修改组成员，确保其包含了活动目录域服务中的所有AMT账户。

为带内设置建立专门的集合。不要使用已有的集合进行带内设置。较好的做法是建立基于查询的集合，具体步骤请参考如何针对 AMT 设置计算机。当站点在混杂模式下时，必须确保这些计算机都已被批准，关于批准的详细信息，请参考关于 Configuration Manager 中的客户端批准和如何批准 Configuration Manager 客户端。

限制具有媒体重定向和PT管理权限的用户。获得媒体重定向的权利几乎相当于获得了到计算机的物理访问。一般的攻击者需要物理连接才能打开计算机，使用媒体重定向的人只需要加载一个备用的操作系统，就可以对计算机硬盘上的数据进行远程攻击。另外，PT管理权限自动包含了包括媒体重定向在内的所��AMT权限，因此也必须对其进行限制。

使用IDE 重定向来从备用媒体启动时，安全地检索和存储图像文件。用 IDE 重定向启动备用媒体时，尽量将图像文件存储在运行Out-of-Band控制台的计算机上。如果必须将它们存储在网络上，请确保使用SMB签名连接来防止其在传输过程中被篡改。在这两种情况下，保护存储的文件都是为了防止未经授权的访问（例如，使用 NTFS 权限和加密文件系统）。

将AMT设置账户的数量减至最小。您可以为AMT设置和发现指定多个账户，来发现具有管理控制器的计算机，并为其作Out-of-Band设置。但是不要指定多余的账户，不再需要的账户，应尽快将其删除。只指定需要的账户的好处是可以确保您的账户没有被授予过多的权限，同时也能减少不必要的网络流量和处理工作。关于AMT设置和发现账户，请参考确定是否配置用于带外管理的 AMT 设置和发现帐户和关于 AMT 设置和发现帐户。

——Carol Bailey

译：张婧

SCCM 2007 SP2带外 (Out-of-Band) 管理

2009-08-18T08:20:32Z

这是AMT系列中的第二篇文章，本文主要介绍了SCCM SP2中的新功能：Audit Log，以及如何使用这项功能。

1. 什么叫Audit Log？它有什么作用？

SCCM SP2引入一个新功能--------Audit Log，这项功能建立在Intel®主动管理技术(Intel® AMT) 的4.x、5.x版本上。其目的有二：它能记录重要事件的发生，也能通过跟踪破坏性行为来制止管理员的不当操作。审计人员通过审查日志，可以发现入侵行为和破坏性的操作，也能够追踪到各种问题的根本原因。

SCCM 带外管理在SP2引入了这个功能，用户可以随时方便地为计算机启用或是禁止审计功能，指定需要审计的事件。在以往，如果发生了入侵或者管理员的误操作，我们所看到的只是它导致的后果，却很难找出其根源，这也影响了我们排除问题的速度。而启用Audit Log功能后，所有指定的事件都会被记录。根据这些记录，我们能够方便的找出问题原因，以尽快排查问题。

例如，Audit log 提供了对远程控制事件的记录，任何人远程启动或关闭了该计算机，均会在Audit log中留下一条记录，标明谁，何时，做了怎样的操作。这样如果出现未授权的远程控制情况，Admin将能容易地定位到责任人。

又如，IDE重定向是一个实用却危险的功能，如果获得IDE重定向的权力，只需要加载一个备用的操作系统，就可以对计算机硬盘上的数据进行远程攻击。但Audit Log能够记录到IDE重定向会话的开、闭。一旦发现攻击，能够根据记录及时找到问题所在。

2. 怎样启用Audit Log？
1) 选择你想要审计的事件

2) 选中将启用Audit Log的计算机，右键点击，选择启用Audit Log。如果管理员修改了选中的审计事件，也可以使用此菜单项来修改后信息更新到选中的计算机。

3. 如何查看/导出SCCM中的Audit Log

打开OOB控制台，查看Audit Log。

选中一条记录后可以看到它的详细信息（事件，发起人，扩展数据）。

也可以查看Audit Log启用/禁止状态和所占用的空间。

点击“导出”，可以将Audit Log保存成csv格式的文件，该格式文件可以用Excel打开。

4. 如何禁止Audit Log

选中目标计算机，右键点击，选择禁止Audit Log即可。可以通过启用Audit Log选项再次启用Audit Log。

5. 如何清除Audit Log

选中目标计算机（或选中的Collection)，右键点击，选择清除日志。

对于4.0、5.0的AMT计算机，如果SCCM Audit Log已满85%，将不会再记录新的日志（AMT 5.1可以使用Rollover Audit 策略以避免这种情况），所以管理员应当及时清除日志。

——韦炜，张婧

巧用任务序列，让操作系统部署更轻松

2009-07-20T06:55:00Z

操作系统部署(Operating System Deployment)最早是System Center Configuration Manager 在2003版本时的一个插件，因为它强大的功能而被整合进2007作为产品的一部分。操作系统部署可以将操作系统映像部署到Configuration Manager 2007管理的计算机上或者制作可启动光盘，移动硬盘等。操作系统映像以Windows Image Format(WIM)文件格式存储，包含了某个指定版本的Windows操作系统，及其所需的应用如系统补丁，安全更新等。

任务序列(Task Sequence)是操作系统部署中的脚本工具，可以用来定制部署过程。其强大的功能几乎可以支持对任何对操作系统映像的定制需求。如支持一个内建的操作或用户自定义命令，支持自定义变量，触发条件等等。其灵活性让系统管理员有很大的发挥空间以设计巧妙的用法，本文将介绍两种用法示例，可作为用户最佳实践的参考。

1.“周二补丁日”，用任务序列更新操作系统映像

操作系统映像是操作系统部署中的重要资源，如何保持操作系统映像经常更新，及时安装最新的补丁，就是这个“周二补丁日”小技巧的要解决的问题了。管理员可以用构建和捕获操作系统映像任务序列来完成给操作系统映像升级的过程。

准备工作：将需要安装的安全补丁做成软件包。

· 首先打开新建任务序列向导，选择“构建和捕获操作系统映像任务序列”，如下图所示：

· 在操任务序列信息页面里，输入任务序列的名字、备注，并选择启动映像；

· 在安装Windows操作系统页面，选择要更新的操作系统映像文件，并输入产品密钥、管理员密码。

· 在配置网络页面上，选择加入域或工作组。

· 在安装ConfigMgr页面上，选择将用于安装 Configuration Manager 2007 客户端的 Configuration Manager 2007 包。

· 在“包括映像更新”页面上，选择合适的选项指定安装分配的软件更新。

· 做完以上步骤，在“安装软件包”页面上，我们就可以选择事先定义的包含补丁的软件包，以将这个软件包添加到操作系统映像中。如下图所示。

· 在“系统准备”页面上，指定包含 Sysprep 工具的 Configuration Manager 2007 包。

· 在“映像属性”页面上，指定更新后操作系统映像的标识信息。

· 在“抓捕映像”页面上，指定一个网络路径，用于存放抓捕创建出的操作系统映像。

完成之后，在一台干净的机器上运行这个任务序列，就可以在指定位置生成打过最新补丁的操作系统映像，从而用于其他需求了。下一次再更新操作系统影响时，可以在任务序列编辑器里替换包含新补丁的软件包，并再次运行这个任务序列。

2. 巧用变量，让同一个任务序列适应多个场合

制作操作系统映像时，经常会遇到一些部署需求场合，大部分设置相同，只有一些个性化设置不同，如给两个业务部门的新电脑部署相同操作系统，并安装不同的应用程序。这时候就需要用到任务序列中的变量。用户可以在计算机的属性页面或者集合的修改集合设定页面里设定变量和变量的值。在执行任务序列时，这些变量的值将自动替换脚本里的变量名。

下面我们用一个例子来讲解变量在任务序列里的用法。通过变量来达到用同一个任务序列给人事部和研发部部署操作系统并各自安装不同应用程序的目的。

准备工作：创建两个集合，分别叫HR New Desktops和R&D New Desktops，配置其成员规则使其内容分别为将要分发到人事部和研发部的电脑。为各种需要安装的常用软件创建软件包。

· 首先打开新建任务序列向导，选择“现有操作系统映像部署任务序列”，并完成任务序列向导。

· 其中映像可以选择上一个例子里我们捕获出来的打好最新补丁的映像文件。

· 选择新建好的任务序列，打开任务序列编辑器，如下图所示，在任务序列的末尾新建一条任务步骤，选择常规步骤中的安装软件。

· 在安装软件的任务属性中，选择安装多个应用程序，并在基本变量名称中填入相应的变量名前缀，如SoftwarePackage。

· 对每个集合设置对应的变量和变量值。如要在研发部门的桌面电脑上安装office，visual studio和adobe reader，就在R&D New Desktops集合中添加三个变量，变量名称分别为任务序列中指定的基本变量名称+三维序数（如SoftwarePackage001），变量值分别为需要部署的软件对应的包ID和程序名称，以冒号分隔，（如R2B00007: Office 2003）。如下图所示。用同样的方法在HR New Desktops集合中添加需要在人事部桌面电脑上安装的软件列表。

保存任务序列和集合设定后，在R&D New Desktops集合上运行这个任务序列时，系统就会自动在部署完操作系统后，依次安装所指定给研发部桌面电脑安装的应用程序，而在HR New Desktops集合上运行这个任务序列时则会安装给人事部指定的应用程序，从而不需要分别为不同的部门单独创建任务序列了。

小结：任务序列是操作系统部署中最复杂也是功能最强大的部分，更多高级应用可以参阅操作系统部署专题博客http://blogs.technet.com/inside_osd/ 。

—— 杨旻

客户端的安装调试简析

2009-06-08T07:04:00Z

ConfigMgr 日常工作中经常碰到的一个问题就是客户端安装完成以后无法正常工作，这里我特指一些site configuration无法通过policy的形式到达客户端.

这往往涉及到很多不同的因素. 在这篇博文里面我将会介绍几类常见的导致这种情况的原因。并且共享给大家一些简单的调试方法。

首先我们来看一下当客户端的安装完成但还没有正常工作的时候，我们会在客户机上看到什么

再让我们看看一个能够正常工作的客户端在客户机上看起来又是怎么样的

我们注意到Actions 这一页里面，一个正常工作的客户端比刚装好的客户端多了许多不同的Action 项目。而在Advanced 这一页里面，Site Code这一项也由空白变为了一个三位数的字母。这些区别意味着一个正常工作的客户端需要从MP(Management Point)获取一些配置信息，也就是我们常说的policy。

为了拿到配置信息，客户端需要完成下面几个主要步骤。

1．
1. 成功获取Site Code 并寻找到正确 MP

2．联系MP并完成客户端机器注册

下面我针对这几个主要步骤做一些常见问题的分析和调试

1. 获取Site Code并寻找到正确MP的常见问题

a. DNS 配置错误，导致客户端无法正确解析域服务器(Domain AD).

在这种情况下，客户机ping 不到AD server，需要正确设置DNS服务器地址来解决此问题或者求助网络管理员。

b. MP 安装不正确.
这种情况下，往往需要域管理员 (Domain Administrator)检查AD才能确定。如下图

如果MP安装成功，我们能够在Active Directory Users and Computers 的Domain \System\System Management路径下看到SMS-MP-<SiteCode>-<MP machine>这样的一条记录，如果你没找到这个记录，那就意味着MP安装过程出现了问题。这时候你需要查看ConfigMgr服务器上的MP安装记录。

c. Site Boundary
没有正确定义，对于自动检测Site Code的客户端来说，Boundary定义是很重要的，因为客户端会通过AD里面的Boundary定义来最终确定需要和哪个Site的MP通讯。上图显示的Domain\System\System Management 路径下的内容里不包含Boundary信息。一个正确定义了Boundary的ConfigMgr 会在Directory Users and Computers的Domain\System\System Management 路径下添加若干条Boundary 信息(AD site Name boundary除外)。

这种情况下你可以通过查看客户端的LocationServices.log来确认问题的根源。这种情况下常见的错误会显示如下

LSGetAssignedSiteFromDirectories LocationServices 5/14/2009 10:55:33 PM

LSGetGPSiteCode LocationServices 5/14/2009 10:55:33 PM

LSGetGPSiteCode: Failed to Get Site Code from Group Policy Reg key [Software\Microsoft\SMS\Mobile Client] LSJoinedToADDomain LocationServices 5/14/2009 10:55:33 PM

LSGetAssignedSiteFromAD LocationServices 5/14/2009 10:55:33 PM

LSGetADSiteName LocationServices 5/14/2009 10:55:33 PM

Current AD site of machine is MyADSite LocationServices 5/14/2009 10:55:33 PM

LSGetAssignedSiteFromSLP LocationServices 5/14/2009 10:55:33 PM

LSGetSLP LocationServices 5/14/2009 10:55:33 PM

LSGetSLPFromRegistry LocationServices 5/14/2009 10:55:33 PM

LSGetSLPFromRegistry: Failed to get SLP from Registry (80004005) LocationServices

LSJoinedToADDomain LocationServices 5/14/2009 10:55:33 PM

Attempting to retrieve SLPs from AD LocationServices 5/14/2009 10:55:33 PM

LSGetSLPFromAD LocationServices 5/14/2009 10:55:33 PM

LSWinsResolveSMSName LocationServices 5/14/2009 10:55:33 PM

Failed to resolve 'SMS_SLP' to IP address from WINS (0x00000000) LocationServices 5/14/2009 10:55:39 PM

LSGetSLP : Failed to resolve SLP from WINS, is it published LocationServices 5/14/2009 10:55:39 PM

LSGetAssignedSiteFromSLP : Unable to get the list of SLPs LocationServices 5/14/2009 10:55:39 PM

下图是正确定义了Boundary的Site

d. 除了上面所提到的部分，还有一些IIS设置的问题也会引起客户端无法与MP通讯。大家可以通过查看TechNet上的相关文章加以分析，由于这部分更多的是关于IIS的安全认证，端口设置，访问权限设置，就不在这里赘述了。

联系MP并完成客户端机器注册的常见问题

在完成了寻找site code和MP的工作后，客户端还需要完成注册的任务，从而建立起服务器端和客户端的一种信任关系，为接下来的配置做准备。

这里分为两种不同的情况，第一种为Mixed Mode下的注册。第二种为Native Mode下的注册。

两种注册都需要使用客户机上的certificate作为注册的凭证，所不同的是前者的certificate是self signed也就是无CA(Certificate Authority)认可的，而后者的certificate则是需要一个服务器端和客户端所在的域所信任的CA签发(issue)。

a. 常见问题1. 系统时间不一致。这是我们在日常工作中经常碰到的一个问题。ConfigMgr的架构要求我们将服务器和客户端放置于同一个时间之下，这里指的是将服务器和客户机时间转换为UTC时间时两者的一致性，而不是指机器本地时间的一致性。一个简单的方法就是察看客户机和服务器的系统时间，并且将两者的时区调成一致，如果这时候的系统本地时间不同，那就意味着UTC时间也不一致。

b. 常见问题2. 客户端版本高于服务器端版本。

c. 常见问题3. 客户端缺失certificate。在这种情况下需要查看本地机器的certificate store，路径为LocalMachine/SMS/Certificates，如果没有发现任何SMS certificate,那你就需要重新申请certificate(native mode下)或者重新安装你的客户端(mixed mode下)。

下图为正确的certificate store

d. 常见问题4. Certificate过期。查看Certificate store中的Certificate有效期，如果certificate过了有效期，也会引起MP拒绝客户端注册。

为了确认客户端注册成功，我们可以查看客户端的程序记录ClientIDManagerStartup.log。

如下记录表示该客户端成功注册完毕。

RegTask: Starting registration, attempt 1. ClientIDManagerStartup 5/14/2009 11:54:13 PM

RegTask: Initial backoff interval: 1 minutes ClientIDManagerStartup 5/14/2009 11:54:14 PM

RegTask: Reset backoff interval: 257 minutes ClientIDManagerStartup 5/14/2009 11:54:14 PM

GetSystemEnclosureChassisInfo: IsFixed=TRUE, IsLaptop=FALSE ClientIDManagerStartup 5/14/2009 11:54:15 PM

Computed HardwareID=2:DA8694C1A87469229D391BD546E673571A3F24E1

Win32_SystemEnclosure.SerialNumber=9797-0800-1668-5799-7798-4730-39

Win32_SystemEnclosure.SMBIOSAssetTag=8060-7573-0552-0546-2282-9167-93

Win32_BaseBoard.SerialNumber=9797-0800-1668-5799-7798-4730-39

Win32_BIOS.SerialNumber=9797-0800-1668-5799-7798-4730-39

Win32_NetworkAdapterConfiguration.MACAddress=00:1D:D8:B7:1E:9 ClientIDManagerStartup 5/14/2009 11:54:15 PM

RegTask: Client is not registered. Sending registration request... ClientIDManagerStartup 5/14/2009 11:54:15 PM

RegTask: Client registration is pending. ClientIDManagerStartup 5/14/2009 11:54:18 PM

RegTask: Client is pending registration. Sending confirmation request... ClientIDManagerStartup 5/14/2009 11:54:18 PM

RegTask: Client is pending registration. Sending confirmation request... ClientIDManagerStartup 5/14/2009 11:55:18 PM

RegTask: Client is registered. ClientIDManagerStartup 5/14/2009 11:55:18 PM

本文简单介绍了几种客户端的安装调试方法，由于篇幅的关系无法进一步深入的分析。希望这些方法对初次涉及ConfigMgr的朋友有所帮助。

-- 沈青松

Asset Intelligence 简介

2009-05-17T06:52:00Z

前言

资产管理是企业IT管理中的必不可少的一环也是繁琐的一环。本文旨在通过介绍Asset Intelligence, 让读者基本了解微软的企业资产管理方案。本文着眼于Asset Intelligence功能和使用的简要介绍，让读者对Asset Intelligence有个整体的了解；后续还会有一系列Asset Intelligence的专题文章对此功能进行更深入介绍。

本文适用于System Center Configuration Manager 2007 SP1.

Asset Intelligence是什么？

Asset Intelligence是一个从Systems Management Server (SMS) 2003 SP3开始新增加的一个功能，主要是增强SMS的资产管理功能。而后微软在System Center Configuration Manager 2007及Service Pack 1中对这个功能进行了改进后，目前可以提供：

- 实现整个Configuration Manager架构中使用软件的资产信息(Inventory)收集及管理

- 协助管理软件许可证(software license)

具体地说，Asset Intelligence的功能可以划分为如下几部分:

- 通过扩展硬件资产信息和增加许可证管理的功能，极大地增强了资产管理功能。提高了多个WMI的类(class)对于使用中的硬件软件关键信息的收集, 如USB设备信息。具体的增加类的列表稍后会提及。

- 内置了70余个易于使用的报表。许多报表可以链接到更具体的报表，这样用户可以由浅入深地获得相关的信息，如Client Access License使用情况报表，安装有Browser Helper Object的机器报表。

- Configuration Manager 2007 SP1中，新引入了Asset Intelligence目录信息(catalog)的自定义功能。另外，Microsoft Software Assurance (SA)的客户以通过Asset Intelligence连接到System Center Online (SCO)动态地更新Asset Intelligence的目录信息；SA客户还可以通过Asset Intelligence导入Microsoft Volume Licensing Service (MVLS)软件许可证信息，将企业购买的许可证信息与实际使用情况做比较。

如何使用Asset Intelligence？

Asset Intelligence的大部分功能所需的数据来自于Configuration Manager客户端所收集的信息，这些信息通常由Hardware Inventory Agent根据定义好的类收集，以Hardware Inventory Report的形式反馈给Configuration Manager服务器，然后在服务器端实现信息的汇总、管理、展现。Hardware Inventory Agent则是通过特定的Provider，获取具体的类的信息。Provider有多种，比如：

- 通过Windows Installer获取安装软件信息的Provider

- 通过注册表获取安装软件信息的Provider

相应地，需要采取以下步骤以实现上述功能：

步骤一：开启相关硬件资产(Hardware Inventory)收集的类

以下WMI的类是Asset Intelligence所需的类。用户可以通过直接修改<ConfigMgr installation directory>\Inboxes\clifiles.src\hinv\sms_def.mof中相应的部分开启它们；或者，通过Asset Intelligence的Reporting Class Enabler – 在Configuration Manager的管理控制台(Admin Console)中，右击Asset Intelligence, 选择Edit Asset Intelligence Reporting Class Settings.你可以开启一个或多个类，没有开启的类的信息将不会被收集，相应地一些报表因此会没有数据。

· SMS_InstalledSoftware

· SMS_InstalledSoftwareMS

· SMS_SystemConsoleUsage

· SMS_SystemConsoleUser

· SMS_AutoStartSoftware

· SMS_BrowserHelperObject

· Win32_USBDevice

· SMS_Processor

· SoftwareLicensingService

· SoftwareLicensingProduct

步骤二：开启成功登录事件审核(Success Logon Event Auditing)

对于控制台使用信息(console usage)及客户访问许可(Client Access License, CAL)的报表，除了开启相应地Hardware Inventory的类外，还需要开启相应机器上的Success Logon Event的审核。用户可以在相应机器的本地安全策略或组策略中的安全策略中配置。

此外，Asset Intelligence可以从SCO下载目录信息，并且允许用户自定义目录信息。相应的，需要采取以下步骤以实现相关功能：

步骤三：安装、配置Asset Intelligence Synchronization Point

Asset Intelligence Synchronization Point作为Configuration Manager中的角色之一，用户可以像安装其他角色一样安装Asset Intelligence Synchronization Point。只是作为一个与外界同步的角色，它需要能够连接Internet（即使是通过代理服务器）。

在安装过程中，用户会被提示提供一个证书，这个证书将用于与SCO的连接身份验证。如果您是SA用户，你可以从微软免费获得这个证书。另外，该证书使用流程在SP2中将会有一定改进以满足更多用户的需求。

安装完后，用户可以在Site System中，选择相应的角色——Asset Intelligence synchronization point进行配置，包括使用的证书，代理服务器，同步周期

如果用户需要导入软件许可证信息，则需要进行以下步骤：

步骤四：导入软件资产信息

在Configuration Manager的管理控制台中，右击Asset Intelligence, 选择Import Software Licenses，用户就可以通过向导导入相应的许可证信息文件。该向导支持微软的许可证信息文件，及符合格式要求的第三方的软件许可证信息文件（需要用户自行创建）。

当然，大多数Asset Intelligence的功能要通过报表来展现，以下步骤可以查看Asset Intelligence的报表

步骤五：使用Asset Intelligence的报表

Asset Intelligence在Configuration Manager中有一个单独的报表节点：在Configuration Manager的管理控制台中的Asset Intelligence下，有一个Asset Intelligence Reports节点。用户可以通过报表名选择相应的Asset Intelligence报表。通过这些报表，用户即可全面了解企业中的各种资产信息情况。

--Vincent Jiang

Microsoft Management Summit 2009

2009-05-07T07:11:00Z

上周在拉斯维加斯，一年一度的微软管理峰会(Microsoft Management Summit, MMS) 如期举行。MMS为全世界IT Pro提供了微软IT管理领域的最新进展和深度的技术体验。此次峰会一如既往地吸引了全世界的IT管理领域的专家，共同探讨这一领域的各种主题。本次的MMS中，共有900多场精彩的演讲及用户体验活动，集中展示了微软在此领域的各个产品及解决方案。在MMS的官方站点：https://www.mms-2009.com/default.aspx，大家可以看到所有主题的列表。

MMS中有多场关于System Center Configuration Manager 产品主题的演示，为用户介绍了即将发布的Configuration Manager Service Pack 2，以及下一代Configuration Manager的各种激动人心的新功能。演讲过程中，我们欣喜地看到，赞叹、掌声及热烈的会后讨论，告诉了用户对我们设计的新功能的高度认可。

其中，特别值得一提的是管理和服务部总经理Brad Anderson在4月29日所作的演讲。在这个重要的演讲中，他邀请了Jeff Wettlaufer演示了如何使用Configuration Manager 2007 Service Pack 2 配合Intel的vPro技术，高效地部署Windows 7到企业中所有客户端。在这个Demo中，Jeff通过无线网络，现场远程启动了20台配备Intel vPro技术的笔记本，并通过OSD功能，在这些笔记本安装了Windows 7。附：Brad 和Jeff的演示视频

令我们自豪的是，在这次峰会上展示的很多大受欢迎的Configuration Manager 的功能背后，都有我们中国研发团队的辛勤努力：我们承担了Service Pack 2的主要开发工作；使Service Pack 2支持对Windows 7的部署和管理；下一代Configuration Manager的核心功能”User Centric Manager”凝结着我们团队的汗水; 而Brad演示的使用Intel vPro技术进行Out of Band Management，更是完全由我们中国研发团队所开发的。

由于名额有限，不是所有人都能有机会亲临现场观看这些精彩的演讲，为了弥补不能到场观看的遗憾，微软特地推出了”MMS 2009 Online”活动，您可以通过这个活动下载所有的PPT文件，获取包含演说及Hands-on Lab录像的DVD。如果您对MMS的内容有兴趣，请访问https://www.mms-2009.com/public/registrationoverview.aspx

调试客户端部署问题 -- 将ccmsetup作为系统服务运行

2009-04-24T07:46:00Z

我在过去一些年中常见的一个客户端部署的问题是将ccmsetup程序用作一个系统服务。绝大多数情况下，我们可以将ccmsetup程序作为系统服务正常使用。然而，也有一些情况中这么做会带来预料不到的结果，随后导致客户端部署的失败。这篇文章介绍了一些这样做带来的后果，同时介绍了这么做如何导致了客户端部署失败。

当ccmsetup运行时，它能运行于两种模式：系统服务模式或者可执行文件模式。在许多情况下，例如客户端推送(client push)安装过程中，ccmsetup默认运行于系统服务模式。当ccmsetup作为系统服务运行时，安装被分为几个不同的阶段。在第一个阶段，ccmsetup将自身拷贝到64位系统的%windir%\ccmsetup目录和32位系统的 %windir%\system32\ccmsetup目录，并且将自己注册为windows的系统服务。这样做的目的是在客户端部署过程中利用windows系统服务的内置重试机制。如果客户端的安装因为客户机器的重启而失败，ccmsetup会在重启完成后重试。在ccmsetup.log文件中，这个阶段的记录如下：

==========[ ccmsetup started in process 2348 ]========== ccmsetup 3/4/2009 11:16:10 AM
Version: 4.0.6221.1000 ccmsetup 3/4/2009 11:16:10 AM

…

Downloading c:\myinstalldir\ccmsetup.exe to C:\Windows\ccmsetup\ccmsetup.exe
File download 43% complete (262144 of 602112 bytes).   ccmsetup       3/4/2009 11:16:11 AM
File download 87% complete (524288 of 602112 bytes).   ccmsetup       3/4/2009 11:16:11 AM
File download 100% complete (602112 of 602112 bytes). ccmsetup       3/4/2009 11:16:11 AM
Download complete.     ccmsetup       3/4/2009 11:16:11 AM
Successfully created the ccmsetup service ccmsetup       3/4/2009 11:16:11 AM

从log文件中可见ccmsetup把自身拷贝到windows目录并且创建了对应的windows系统程序。随后ccmsetup退出了当前进程，作为一个windows系统服务重新开始运行。可以从ccmsetup.log中找到对应的线程重起的事实。例如，ccmsetup.log的下一行类似下面的内容:

Download complete.     ccmsetup       3/4/2009 11:16:11
Successfully created the ccmsetup service ccmsetup       3/4/2009 11:16:11 AM
==========[ ccmsetup started in process 2608 ]==========      ccmsetup       3/4/2009 11:16:11 AM
Version: 4.0.6221.1000   ccmsetup       3/4/2009 11:16:11 AM

需要注意的是，从当前进程改变为系统服务后：ccmsetup重新启动以后以本地系统帐户(local system)运行，而不是最初运行安装程序的帐户。这些信息同样也可以从ccmsetup.log文件中找到，看上去例如：

Running as user "SYSTEM" ccmsetup 3/4/2009 11:16:32 AM

当本地系统帐户对于客户端安装所需数据不具有访问权限时，这就会带来问题。例如，你从网络共享目录运行ccmsetup，这个网络共享目录包含了所有客户安装所需文件。有可能的情况是：你的当前帐户具有对其访问权限，而本地系统帐户却没有。所以当你运行ccmsetup时，第一阶段可以顺利完成，ccmsetup文件被拷贝到本地文件夹，因为这些工作通过当前帐户执行。然而当ccmsetup作为系统服务重新启动时，本地系统帐号则可能因为权限不足无法访问网络共享目录，导致ccmsetup无法下载所需的安装文件。当这个问题发生时，通常可以看到类似的消息出现：

Failed to access source file (…). Waiting for retry...

对于这个问题有几个解决方法，其中最简单的方法是将ccmsetup作为一个独立进程运行，而非系统服务。当ccmsetup作为一个独立进程运行时，整个客户端部署过程都运行于一个账户。所以，如果你的帐户具有对网络共享资源的访问权限，ccmsetup也就会具有对该资源的访问权限。

你可以通过几个不同的命令行选项来明确指定ccmsetup如何运行。如果你加上 /service 选项，ccmsetup则总是作为一个服务运行。相反地，如果你加上 /noservice选项， ccmsetup则总是作为一个独立线程运行。对于已经熟悉SMS 2003的用户来说，/noservice选项和2003中的/useronly选项具有完全相同的功能。我们在Configuration Manager中将/useronly选项重命名为/noservice，这是因为/useronly选项让人感觉客户端安装会通过低权限帐户运行，而事实却从来不是这样。

原文链接：http://blogs.technet.com/configmgrteam/archive/2009/03/13/troubleshooting-client-deployment-issues-running-ccmsetup-as-a-service.aspx

-- Configuration Manager 研发团队 Ben Yim

陈晓铮译

System Center Configuration Manager 中国研发团队

系统管理的快速通道 – ConfigMgr 2012 SP1中的“客户端通知”功能

为System Center Update Publisher 2011部署数字证书示例

Configuration Manager 2012 Beta 2 中的Active Directory Forest Discovery and Publishing

System Center Updates Publisher 2011正式发布了!

Configuration Manager R3中增量发现的传输站点设置

ConfigMgr Inventory (软硬件清单)介绍

ConfigMgr 2012 Beta 2 Program

有关CM 2007 Active Directory Domain的常见问题

公告： 客户端安装和配置 SuperFlow 发布

管理ConfigMgr客户端补丁

ACT Connector 与 ACT 5.6

ConfigMgr v.Next Beta 1 正式发布

Configuration Manager 2007 客户端内容下载故障排除指导

Configmgr 微软技术先行体验计划

新春快乐，虎年大吉

ConfigMgr 2007 SP2中Windows 7操作系统部署如何进行用户状态迁移

Configuration Manager SP1 OOB管理的疑难解答更新

SCCM OOB无法在Disjoint Namespace环境下成功provision

机器无法在OOB的模式下provision，因为机器在provision之前已经在SCCM中有客户端记录

低权限用户使用OOB console的IDER功能失败。

System Center Configuration manager 2007 SP2 发布!

ConfigMgr SP1 Out-of-Band的最佳安全实践

ConfigMgr 2007 sp1 Out-of-Band的最佳安全实践

SCCM 2007 SP2带外 (Out-of-Band) 管理

巧用任务序列，让操作系统部署更轻松

客户端的安装调试简析

Asset Intelligence 简介

前言

Asset Intelligence是什么？

如何使用Asset Intelligence？

步骤一：开启相关硬件资产(Hardware Inventory)收集的类

步骤二：开启成功登录事件审核(Success Logon Event Auditing)

步骤三：安装、配置Asset Intelligence Synchronization Point

步骤四：导入软件资产信息

步骤五：使用Asset Intelligence的报表

Microsoft Management Summit 2009

调试客户端部署问题 -- 将ccmsetup作为系统服务运行

公告：客户端安装和配置 SuperFlow 发布