Softwareverteilung mit GPO

[robotto7831a 10]

Hallo zusammen,

 

ich habe mal eine Frage zur Softwareveretilung mit GPO's. Wenn ich z. B. den Adobe Reader 7 und die zwei Patche per GPO verteilen will in welcher Reihenfolge werden diese abgearbeitet?

 

In der Reihe wie ich die angelegt habe oder ist das zufällig?

 

Frank

[grizzly999 11]

Hast du einzelne GPOs für die Pakete erstellt? Dann - wenn die alle am selben Objekt verlinkt sind - von unten nach oben. Wenn du innerhlab EINER GPO mehrere Pakete eingebunden hast (nicht empfohlen) dann sollten die von oben nach unten abgearbeitet werden

 

grizzly999

[robotto7831a 10]

Stimmt an die Reihenfolge habe ich gar nicht gedacht.

 

Frank

[Kossner 10]

Ich bin gerade dabei mich mit dem Thema Softwareverteilung per GPO auch etwas zu beschäftigen.

 

Das die ganze Sache natürlich nicht so flexibel wie ein Softwareverteilungssystem ist, ist mir schon klar. Aber so etwas kostet eben auch..... :rolleyes:

 

Nun ist mir aber eine Sache eingefallen:

 

Was mache ich, wenn ein einzelner Client ein Problem mit der Softwareinstallation hat und ich diese wieder von ihm entfernen möchte? Klar kann ich das MSI-Paket aus der GPO löschen, aber dann wird ja bei allen Clients (die mit dem GPO verknüpft sind) die Software wieder deinstalliert!

 

Wenn ich den besagten Client aus der Gruppe (die mit der GPO verlinkt ist) entferne, passiert gar nichts! Wenn ich am Client die Software manuell deinstalliere und einen Neustart durchführe, ist sie wieder drauf! Und das obwohl zu diesem Zeitpunkt der Client gar nicht mehr Mitglied der GPO (bzw. Gruppe) ist!

[mcse_killer76 10]

Zum Thema GPOs:

 

die Abarbeitung der GPOs geht von unten nach oben, bei kollidierenden Einstellungen hat jedoch die obere von beiden "das Sagen" (wenn nicht erzwungen wird).

Gut, ist bei der Softwareverteilung weniger interessant, sollte aber kurz angemerkt sein.

 

@Kossner:

Moment... ein Client ist kein Mitglied einer Gruppe sondern einer OU. An diese OU ist dann die GPO gelinkt. In welche OU hast Du den Rechner verschoben? Wird dort vielleicht (ob direkt oder durch Vererbung) diese Software-GPO angewendet?

[Kossner 10]

Sorry...hab mich etwas missverständlich ausgedrückt! ;) Die GPO ist mit der Domäne verknüpft und wird über eine Filterung durch eine Sicherheitsgruppe angewendet. Mitglied dieser Gruppe ist eben der Client.

 

Wenn ich diesen Client aus der Gruppe nehme, passiert gar nichts. Die Software muß aber von diesem Client wieder deinstalliert werden, ohne das die anderen Clients davon betroffen sind!

[grizzly999 11]

Ist in der Richtlinie auch der Haken gesetzt "Software entfernen, wenn der Client aus dem Verwaltungbereich fällt" ?

 

 

grizzly999

[mcse_killer76 10]

Ok, Du verknüpfst also die GPO mit der Domäne und filterst das Ganze dann so, dass die GPO nur für die Sicherheitsgruppe angewendet wird. Hab ich das so richtig verstanden?

 

Dir ist schon klar, dass das von hinten durch die Brust geschossen ist?

Wie steht es mit OUs? Du kannst ganz einfach die GPO mit der Domäne verknüpfen und die Vererbung für die entsprechenden OUs blockieren oder noch einfacher Du verknüpfst die GPO direkt mit den OUs, für die diese gelten soll. So sieht es zumindest MS.... Man kann OUs auch verschachteln ;-)

 

Ich kann Dir diese Vorgehensweise nur dringend empfehlen!!!

 

Aber zu Deinem Problem: bist Du sicher, dass die Filterung richtig funktioniert, d.h. die GPO nicht doch auf andere Rechner angewendet wird?

[Kossner 10]

@ Grizzly999,

 

natürlich ist der Haken gesetzt gewesen. Daran habe ich auch schon gedacht... ;)

 

@ mcse_killer76

 

Ja, das hast du richtig verstanden!

 

Ich erstelle also eine OU "Softwaredeinstallation", verschiebe den/die betreffenden Clients hinein und blockiere auf Domänenebene die GPO für diese? Wird dadurch die Software wieder deinstalliert?

 

Mir geht es um die Deinstallation der Software. Wenn ein neue Version der Software erscheint, will ich nicht bei allen Clients in einem Rutsch die alte deinstallieren, sondern eben gruppenweise.

[grizzly999 11]

@ Grizzly999,

 

natürlich ist der Haken gesetzt gewesen. Daran habe ich auch schon gedacht... ;)

 

@ mcse_killer76

 

Ja, das hast du richtig verstanden!

 

Ich erstelle also eine OU "Softwaredeinstallation", verschiebe den/die betreffenden Clients hinein und blockiere auf Domänenebene die GPO für diese? Wird dadurch die Software wieder deinstalliert?

 

Mir geht es um die Deinstallation der Software. Wenn ein neue Version der Software erscheint, will ich nicht bei allen Clients in einem Rutsch die alte deinstallieren, sondern eben gruppenweise.

Wenn du sie korrekt deinstallieren willst, dann solltest du ein Paket mit der Software machen und in dem Paket die Auswahl "Softwarepaket entfernen" auswählen. http://support.microsoft.com/default.aspx?scid=kb;en-us;314934

 

grizzly999

[Kossner 10]

@ grizzly999:

 

Eine zusätzliche GPO zur vorhandenen erstellen?

 

Die vorhande will ich ja nicht bearbeiten, weil dann ja die Software von allen Clients entfernt wird!

 

Vielleicht stehe ich nur auf dem Schlauch....sorry! :suspect:

[Kossner 10]

Eine gute Nachricht: jetzt funktioniert es! :)

 

Ich habe am Wochenende in meiner Test-Domäne die ganze Situation nochmal 1:1 durchgespielt und es hat funktioniert. Bei gesetztem Haken "Anwendung deinstallieren, wenn sie außerhalb des Verwaltungsbereiches liegt" und ich den Computer aus der Domänen-Gruppe wieder entferne, die mit dem GPO gefiltert wird, wird nach einem Neustart des Clients diese Software auch wieder entfernt! So sollte es auch sein.... :)

 

Foglich muß in der Test-Domäne in der Firma irgendwo der Wurm drin sein, da es ja so nicht funktioniert hatte. Aber lieber tauchen die Fehler in der Test-, als in der Produktivumgebung auf. :D

[g0r3 10]

so wie ich das verstanden hab muss ich auf einen "sauberen rechner" (damit meine ich einen aufdem die zu installierende anwendung noch nie vorher drauf war) die software mittels "Veritas discoverer" installieren und anschließend das fertiggestellte paket in die gpo einfügen.

 

ich hab versucht ms outlook 2003 auf diesem weg zu verteilen. allerdings machte ich den fehler dass ich die anwendung auf meiner workstation installiert hatte mit dem discoverer. der hacken dasran ist dass ich outlook 2003 schon drauf hatte. das heisst dass der "before snapshot" falsche daten erhält weil die schon vorhanden sind.

gibt es eine andere lösung? ich wirde gerne alle pakete die via GPO verteilt werden sollen an meiner workstation fertig machen. jedoch habe ich schon viele selber drauf, was wie oben erwähnt zu problemen führt.

 

thanx