Softwareverteilung beschränken

[mfrank 10]

Hallo zusammen,

 

ich habe einen 2K8R2 DC und diverse Clients mit XP und Win7 Pro (32 und 64 bit). Ebenfalls habe ich einen unglaublichen Versionswildwuchs diverser Software, den ich gerne etwas lichten würde.

 

Das Lichten soll über die Softwareverteilung per AD gehen. Zum Beispiel möchte ich alle Rechner, auf denen ein Firefox mit einer Version ungleich 14.0.1 läuft, aktualisieren. Rechner, auf denen kein Firefox installiert ist, sollen keinen bekommen.

 

Geht das überhaupt? Wenn ja: wie?

 

 

Viele Grüße

MFrank

[NorbertFe 2.104]

Gehen würde das, aber das ist erstens ziemlich aufwändig, da du die Bedingungen alle selbst schreiben müßtest und zweitens spätestens wenn du auf neue Versionen oder De-Installationen bestehst, regelmässig in "Probleme" rennst. GPOs zur Softwareverteilung sind eben nur eine Krücke. Da solltest du lieber gleich auf was richtiges (Der Markt an SoftwareDeployment-SW ist groß) setzen.

 

Bye

Norbert

[Sunny61 811]

Du kannst natürlich auch den WSUS in Verbindung mit dem Local Update Publisher nutzen. Beim LUP kannst Du auch Bedingungen vorgeben. Testen mußt Du selbst.

Deployment von MSP-Updates über WSUS: Teil 1 (Konfiguration) | How the ESCde does IT

Deployment von MSP-Updates über WSUS: Teil 2 (Paketerstellung für Adobe Reader X) | How the ESCde does IT

Local Update Publisher

SourceForge.net: localupdatepubl

[Doso 77]

Vielleicht mal überlegen eine "richtige" Softwareverteilung einzuführen. Als Beispiel sei hier der SCCM von Microsoft genannt, gibt aber sehr viele Anbieter in dem Bereich. Mit der Sofwareverteilung direkt über das AD stößt man sehr schnell an seine Grenzen.

[DavidS 11]

Hallo mfrank,

 

über wieviele Clients reden wir denn ? 20 - 30 - 150 ?

 

Bis zu einer begrenzten Anzahl von Clients ist die Softwareverteilung über das Active Directory mehr als ausreichend. Die Erstellung von MSI Paketen dauert mitunter länger, ist aber nachhaltiger und weniger Supportanfällig.

 

Voraussetzung dafür ist jedoch eine konsequente "Software-Politik", d.h. wozu den Firefox nutzen wenn es "onboard" den Internet Explorer gibt ? Ich würde ehrlich gesagt davon abraten den Firefox generell einzusetzen (zuviele neue Versionen, kompliziertes Frickeln von MSI Paketen).

 

Des Weiteren sei als Voraussetzung genannt dass die Mitarbeiter keine Admin und/oder Hauptbenutzer-Rechte haben an den lokalen Arbeitsstationen. Ansonsten hilft die größte Softwareverteilung nichts, wenn die Anwender lustig Pakete frei de-und installieren können.

[mfrank 10]

Hallo zusammen,

 

vielen Dank für die reichhaltigen Rückmeldungen.

 

Glaubt mir, ich würde auch gerne eine Softwareverteilung einsetzen. Das fällt aber auf absehbare Zeit mangels manpower aus. Also muß die Krückenlösung AD herhalten. Nicht schön, aber eben nicht zu ändern.

Wir reden hier über insgesamt ca. 200 Clients in verschiedenen Domänen, aber alle am gleichen Standort. Die User haben von ganz wenigen Ausnahmen abgesehen keine Adminrechte.

Ist dieser LUP zuverlässig und für den Einsatz in einer Produktivumgebung geeignet? Es regen sich nämlich leichte Bedenken in mir, den WSUS für Dinge zu mißbrauchen, die er eigentlich nicht kann.

 

Viele Grüße

MFrank

[NorbertFe 2.104]

Der WSUS kann das insgesamt sicher besser als die AD Softwareverteilung. ;) Wie kommst du eigentlich darauf, dass der WSUS dafür nicht vorgesehen ist?

 

Bye

Norbert

[Sunny61 811]

Ist dieser LUP zuverlässig und für den Einsatz in einer Produktivumgebung geeignet? Es regen sich nämlich leichte Bedenken in mir, den WSUS für Dinge zu mißbrauchen, die er eigentlich nicht kann.

 

Bei uns läuft diese Kombination seit einem Jahr produktiv und völlig problemlos. Wir stellen den Reader, Flash Player, Java, F-Secure für Clients, XPhone UC Commander den Clients zur Verfügung. Die Interactive Guides für Office 2010 haben wir darüber auch zur Verfügung gestellt. Im Gegensatz zur Verteilung im AD bekommst Du hier auch einen Bericht, welcher Client bereits das Paket installiert hat. Es werden alle vorhandenen Techniken benutzt, die auch von den Windows Updates benutzt werden.

 

Dem WSUS ist das vollkommen egal, der stellt nur zur Verfügung. Die Clients holen sich die Updates, und dabei ist es vollkommen egal, ob das ein Windows Update, Servicepack oder ein MSI für den Adobe Reader ist. Installiert wird mit System Rechten, genauso wie bei den Windows Updates.

 

Die API die dafür benutzt wird, ist bereits vorhanden. Es ist also nichts verwerfliches daran.

Local Publishing of Updates and Applications

Es gibt auch ein Script von MS: Script Publish an MSP Package into a WSUS Server

 

Schnapp dir ein oder zwei Clients zum testen, dann bekommst Du ein Gefühl dafür.

bearbeitet 23. Juli 2012 von Sunny61

[mfrank 10]

Hallo,

 

ich war mißtrauisch, ob der WSUS mit den Dateien anderer Hersteller so problemlos zusammenspielt. Das er grundsätzlich für die Softwareverteilung gut geeignet ist, ist klar ;-)

 

Dann werde ich das mal testen, sobald ein bißchen Zeit über ist.

 

Vielen Dank für alle Rückmeldungen.

 

 

Viele Grüße

MFrank

[Poehli 10]

Wenn du nicht über WSUS und LUP gehen möchtest kann ich dir das Verfahren per Script empfehlen, funktioniert auch sehr gut.

Über die Ausbildung des Vergleichsparameter instversion == newversion regelst du in welchem Fall installiert wird.

Wenn Clients ohne FF auch nichts bekommen sollen müßten die anderen entweder in eine Gruppe ( wie dort beschrieben), oder die Abfrage im Script muss erweitert werden ob der FF Pfad in der Registry exsistiert.

 

Ich hatte das Verfahren eine Weile im Einsatz da es der einzige Weg ist .exe Dateien per GPO zu verteilen, UND man bekommt sogar noch eine LOG Datei.

 

 

Zwischenzeitlich bin ich zu LUP gewechselt. Sollte man aber bissl Zeit mitbringen für die Umstellung.

Und die alten GPO Freigaben erst mal lassen weil die teilweise bei Updates für die Deinstallation gebraucht werden.

 

NACHTRAG:

 

Ach ja, es gibt noch einen guten Grund FF per Script zu verteilen - die Konfigurationsdateien für den FF die man als Admin mitverteilen kann. Das geht nämlich über LUP nicht so ohne weiteres, es sei denn man verwendet statt des originalen FF die immer etwas hinterherhinkende Third Party .msi Variante von Frontmotion in individueller Modifizierung.

 

Als weitere Alternative bliebe dir selber eine richtige msi von FF zu erstellen: so gehts.

bearbeitet 25. Juli 2012 von Poehli

[Pohlmann 10]

Vielleicht hilft euch mein Beitrag als Anreiz weiter.

Mein Unternehmen nutzt seit mittlerweilen drei Jahren ein externes Tool um die Verwaltung von Computern im Netzwerk per Softwareverteilung zu überwachen und zu steuern.

 

Vorteile: Einfach Paketierung, leicht ans AD anbindbar

Nachteile: Lizenzkosten je Client bzw. Clientpaket (<100)