Archiv der Kategorie: Windows 8

ADMINOMAT checkt Windows Defender Updates

Seit Version 2.08 hat die Software ADMINOMAT ein Tool an Board, das ohne jegliche Installation auf den Clients Informationen über den Status des Windows Defender auf den Endgeräten ausliest.

Es sind dies das Datum des letzten Scans, die Art des Scans (Quick vs Vollständig) sowie das Signature Datum der so genannten „Bedrohungsdefinition“.

 

Vorgangsweise:

  1. ADMINOMAT starten und gewünschte OU im Active Directory auswählen
  2. Menüband -> ANSICHT -> Detailfelder…
  3. „Microsoft Windows Defender“ anklicken
  4. –> es werden die Clients, die online sind, per WMI kontaktiert und die gewünschten Daten eingelesen
    (Hinweis: Dieser Vorgang kann etwas Zeit in Anspruch nehmen)

 

Defender_Check

Hinweis:
Durch Auswahl eines Clients in der Anzeige erscheint ein weiteres Fenster, in dem unter anderem (nebst sehr vielen anderen Funktionen) auch ein Scan bzw. ein Download der aktuellsten Signatur-Updates remote gestartet werden kann!

Start_Scan

Gebrauchte Lizenzen – eine echte Alternative zu Open Source

Bei steigender Budgetknappheit ist es nahe liegend, dass nebst der Kosten für Hardware und externes Consulting auch jene für Lizenzen in den Fokus rücken.

Selbstverständlich ist hier die Verwendung von OpenSource-Betriebssystemen eine veritable Alternative.
Meine jahrzehntelange Erfahrung im Bereich der Server-Administration, aber auch im direkten Kontakt mit Endbenutzern zeigen mir aber, dass die Kostenersparnis nur dann eintritt, wenn eine weitreichende Akzeptanz seitens der User vorhanden ist.

Dies inkludiert die Bereitschaft zur Aneignung neuer Kompetenzen in Eigenregie. Sobald diese Bereitschaft fehlt, kann der Schuss schnell nach hinten losgehen:
Die Schulungskosten steigen, die Motivation und Arbeitsleistung nimmt ab.

Oft scheitert die Idee des Umstiegs auf Linux-Betriebssysteme aber auch einfach an Spezialanwendungen, die Windows als Betriebssystem fordern.

Eine Lösung für die Problematik kann hier sicherlich in der Anschaffung von gebrauchten Lizenzen liegen.
Die Kosten der Anschaffung sinken – bei gleichzeitiger Akzeptanz der User, da sie mit der gewohnten Umgebung weiter arbeiten können.

Hinsichtlich der Legalität dieser Lösung gibt es bei Einhaltung einiger Tipps keinerlei Bedenken – es sind genügend Erkenntnisse der Höchstgerichte vorhanden!

Beachtet werden sollte lediglich, dass die Lizenzen von etablierten und seriösen Unternehmen erworben werden.

Empfohlen kann hier sicherlich die Firma USC mit Sitz in Deutschland werden, die sich seit Jahren als kompetenter Partner in Lizenzfragen einen guten Namen in der Fachpresse erworben hat.

Nebst dem übersichtlichen und umfangreichen Webshop für gebrauchte Software-Lizenzen finden sich auf der Website auch noch ein paar Tipps, wie man seriöse von unseriösen Angeboten unterscheiden kann.

Ein Blick auf deren Angebot sowie die Preisliste lohnt sich in jedem Fall!

PDF erstellen mit webPDF

 Problem: Häufige Updates  Adobe Acrobat Reader

Am 19. 6. 2016 wurde die aktuellste Version [15.016.20041] von Acobe Acrobat (Reader) DC als optionales Update released. Sollte man die automatischen Updates nicht deaktiviert haben, werden User durch entsprechende Meldungen auf Updates hingewiesen, was uns AdministratorInnen wiederum Arbeit beschert.

Seit Anfang 2016 wurden bis zum heutigen Tag (Stand: 22. 6. 2016) 6 Updates angeboten, was für SystemadministratorInnen einen – für mich zumindest – inakzeptablen Mehraufwand bedeutet, den es zu vermeiden gilt.

Die Deaktivierung der automatischen Updates bzw. Unterdrückung der Meldung bringt hier nur bedingten Erfolg, da die zu den Updates führenden Sicherheitsrisiken bzw. Bugs dadurch nicht behoben werden.

Mir erscheint als einzig tragbare und wartungsfreieste Lösung ein zentralisierter Ansatz sinnvoll, dh, eine Serverlösung, auf die Benutzer zugreifen.

Aus Sicht des Datenschutzes müssen dabei Lösungen, die als Service im Web angeboten werden, vermieden werden, da unternehmensinterne Daten keinesfalls aus der Hand gegeben werden dürfen!

Wünschenswert wäre es also, eine Lösung zu finden, die folgende 3 Kriterien erfüllt:

  1. Keine Clientinstallation (um die bereits bekannten Probleme wie Updates etc zu verhindern)
  2. Daten dürfen das Unternehmen nicht verlassen
  3. Intuitive Handhabung für die BenutzerInnen

Lösung: PDF erstellen mit webPDF

Ich wurde nun fündig anhand der Lösung von WebPDF. Hier wurden konsequent die oben gelisteten Forderungen umgesetzt.

Das Konzept im groben Überblick:

Es wird auf einem beliebigen (auch virtualisierten) Rechner innerhalb der Infrastruktur WebPDF installiert (Betriebssystem ab Windows XP Pro bzw. Server 2003 bis Server 2012 R2 bzw. Linux) – und das wars auch schon!
Die BenutzerInnen greifen mittels Weboberfläche auf den Service zu, wodurch eine Clientinstallation entfällt! Darüber hinaus kann dieser Dienst natürlich auch – zb via VPN oder SSL – an verschiedenen Unternehmensstandorten genutzt werden. Zeitraubende Updates auf den Clients gehören damit der Vergangenheit an!

Da ein Bild mehr als 1000 Worte sagt:

webpdf_technical_concept_deu_ph

WebPDF arbeitet mit allen gängigen Dateiformaten, von Office-Dateien über Bilddateien bis hin zu Websites oder Mails, und erstellt daraus ein PDF. Mit an Board ist eine weiters eine PDF-OCR Funktion sowie die Möglichkeit, PDF-Dateien zu signieren.

Darüber hinaus gibt es für Entwickler entsprechende Schnittstellen, sodass aus selbst erstellten Anwendungen auch direkt auf den zentralen Service zugegriffen werden kann. Eine Integration in SAP, Exchange etc ist ebenfalls einfachst zu realisieren.

Interessant für zertifizierte Unternehmen ist auch, dass der ISO-Standard 19005-2:2012 (PDF/A-3) eingehalten wird!

 

Java 8 Update 73 ausrollen via ADMINOMAT anstatt GPO

Problem:
Java lässt sich seit Version 8 nur mehr sehr mühsam mittels Gruppenrichtlinie (GPO) ausrollen.

Lösung:
Anstatt dem Rollout mittels .msi und GPO verteilen wir das JAVA-Update nun per silent Installation per psexec und ADMINOMAT.

Voraussetzungen:
Es muss ein funktionierendes Active Directory vorhanden sein – und ihr seid Mitglied der Domänen-Admins!
a) psexec von Mark Russinovich – download zum Beispiel hier
b) adminomat – download hier

Vorgangsweise:
die nachfolgenden Schritte können auf JEDEM Client in der Domäne durchgeführt werden!
Einzige Einschränkung: ihr müsst als Domänen-Admin angemeldet sein

1.) Adminomat.rar downloaden entpacken an beliebigen Ort (auch USB-Stick o. ä.). Von dort startet das Programm ohne installation – und zwar auf jedem Client [ab Windows XP] und Server [ab Windows Server 2003] !

2.) psexec downloaden und in den selben Ordner entpacken, in dem auch adminomat.exe gespeichert ist.
Dies kann auch ein Ordner auf einem Netzlaufwerk oder einem USB-Stick sein

3.) Download der aktuellen JAVA-Version als Offline-Setup, zum Beispiel hier

4.) Java-Installationsdatei (zb jre-8u73-windows-i586.exe) auf ein Netzlaufwerk kopieren, auf dem zumindest alle User LESEN dürfen

5.) ADMINOMAT starten, einlesen der MAC- und IP-Adressen vom Windows-DHCP-Server bestätigen

6.) Falls erwünscht, kann vorerst für eine gesamte OU eingelesen werden, welche JAVA-Version aktuell auf den Clients installiert ist:

a) Ansicht anpassen bzw. erweitern um „Software_Lookup“

Auswahl: ONLINEINFO und die gesuchte Software eingeben (Platzhalter wie * wird automatisch ergänzt)

Detailansicht:
[auf diesen Clients sind offensichtlich mehrere Java-Versionen parallel am laufen…]

7.) Das Rollout starten:
a) Auswahl der gewünschten Clients, die das Update von JAVA erhalten sollten, in dem man Haken setzt
b) „psexec“ rechts oben auswählen
c) den Pfad zum Share mit der installationsdatei angeben inkl der nötigen Flags

Erklärung:

Flags, die zu psexec gehören MÜSSEN am Beginn eingegeben werden!
hier: /V /C [dadurch wird die jre-8u73-windows-586.exe zuerst zum Client kopiert, bevor sie gestartet wird]
WICHTIG: die Flags /s /i /d für psexec sind bereits im adminomat hinterlegt und müssen nicht mehr gewählt werden!!!

Flags, die zu eurer installations.exe gehören müssen NACH der Pfadangabe angegeben werden, hier /s [silent installation]

WICHTIG WICHTIG WICHTIG:
Der Pfad zu eurer instalations.exe MUSS unter Anführungszeichen sein – die Flags nach dem letzten Anführungszeichen!!!

In unserem Beispiel ergibt sich also:

/V /C "\\SERVER\share\jre-8u73-windows-i586.exe" /s

Dadurch führt ADMINOMAT für jeden gewählten Client dann folgendes aus:
psexec /S /I /D \\myClient  /V /C „\\SERVER\share\jre-8u73-windows-i586.exe“ /s

[Anm: dies kopiert die Datei jre-8u73-windows-i586.exe auf den Client (durch /V /C am Beginn eurer Eingabe) und startet anschließend die Silent-Installation (durch /s am Ende) von Java 8 Update 73]

Der angemeldete User bemerkt davon nichts!!!
Diese Methode funktioniert auch, wenn kein User angemeldet ist!

8.) nach ein paar Minuten Geduld kann kontrolliert werden, ob alle Clients das Update erhalten haben!
Siehe Punkt 6.) dieser Anleitung

9.) DEINSTALLATION alter Java-Versionen:

a) Erhebung der SID der zu entfernenden Java-Version, zb hier
bzw selbst am Client in der Registry suchen unter dem Tree
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{26A24AE4-…

b) psexec rechts oben erneut anklicken, anstatt den Pfad zur Setup.exe anzugeben, gebt ihr folgendes in das Popup von psexec ein:

zb für Java 7 Update 67

msiexec /x {26A24AE4-039D-4CA4-87B4-2F03217067FF} /qn /norestart

Dieser Befehl wird dann per psexec auf den ausgewählten Clients durchgeführt, und bewirkt die Uninstall-Routine der entsprechenden Version!

10.) Kontrolle:
(siehe Punkt 6.)

Abschließende Anmerkung:
während der Installation kann man bei Unsicherheiten, ob das Rollout beim Client auch gestartet wurde, folgendes machen:
a.) Detailansicht für den Client durch Klick auf den Namen starten
b.) Taskmanager links in der Ansicht starten

c.) es sollten für unser Beispiel 2 Prozesse gestartet worden sein:

 

letzter Tipp:
Diese Vorgehensweise funktioniert mit einer Vielzahl von anderen Rollouts ebenso!

Weiters kann mit dieser Funktion für ganze OU’s einheitlich eine Software gestartet werden, die mit dem Systemkonto „SYSTEM“ ausgeführt wird, dh, falls eine Software keinen Silent-Mode im Rollout unterstützt, können die angemeldeten User diese auch selbst ohne Admin-Rechte installieren!

 

Adminomat kann in der Version 1.3 auch installierte Software suchen

Seit Version 1.3 kann die von uns entwickelte Software „Adminomat“ auch installierte Software auf Clients im AD anzeigen.

Anlassfall war die Frage, ob eine ausgerollte Software per GPO auch auf allen Clients angekommen ist…
(also etwas sehr häufiges)

Alle anderen wirklich lässigen Funktionen von ADMINOMAT sowie der Download unter

http://www.adminomat.at/produktvergleich/

Und da ein Bild mehr als 1000 Worte sagt:
adminomatAdminomat_DetailsAdminomat_Anzeige

Gruppenrichtlinien für Windows 8 verwalten

Viele Kolleginnen möchten/können noch nicht auf Windows Server 2012 umstellen, sondern möchten weiterhin bei Ihrem Windows Server 2008 bleiben..

Dennoch kann man auch von einem Server 2008 aus Clients mit dem Betriebssystem Windows 8 über Gruppenrichtlinien verwalten.

Dazu sind 2 Schritte erforderlich:
1.) Download der Administrativen Vorlagen unter http://www.microsoft.com/en-us/download/details.aspx?id=36991

2.) Windows8-Server2012ADMX-RTM.msi auf einem beliebigen Client starten bzw. „installieren“

3.) den Ordner PolicyDefinitions von
„C:\Program Files (x86)\Microsoft Group Policy\Windows Server 2012\“
kopieren nach
\\myDomain.at\SYSVOL\myDomain.at\Policies\

4.) Warten und Kaffee trinken, bis alle Domänencontroller miteinander diesen Ordner repliziert haben

5.) Fertig! Gruppenrichtlinienverwaltung starten -> die neuen Vorlagen sind bereits integriert!