Planning and Managing Windows 7 Desktop Deployments and Environments

Transcriptie

1 Planning and Managing Windows 7 Desktop Deployments and Environments 1. Preparing to Deploy Windows 7 Business Desktops Desktop Client Lifecycle Procurement: welke regelgeving heb ik in mijn bedrijf? Hardware: Plan / Buy. Deployment: uitrol van desktop versie. Hardware: Deploy. - Inventariseer Netwerk / Hardware en Applicaties - Creer een strategie voor de Applicaties die niet in de standaard meelopen - Maak een image - Maak een proces van oppakken en migreren van user data - Backup alle data voor migratie - Creer een totaal migratie proces - Geef gebruikersinstructies Management: beheer van applicaties en versies en drivers. Hardware: Operate / Support / Upgrade. Retirement: uitfaseren naar een andere desktop versie. Hardware: Retire. Afhankelijk van de hoeveelheid machines of het aantal specials is het zinvol om: - Basic Handmatig uit te rollen - Lite Touch gestandaardiseerd uit te rollen - Zero Touch uit te rollen De specialistische kennis moet wel aanwezig zijn in de organisatie. Microsoft Tools die je ondersteunen: - Planning MAP, Microsoft Assessment and Planning Toolkit, Hardware en Applicatie Compatibiliteit analyse en reporting. ACT, de Application Compatibility Toolkit, zie hoofdstuk 2. ELF, Enterprise Learning Framework. Microsoft online help, zoals Technet. MDT, Microsoft Deployment Toolkit, zie hoofdstuk 7 en 8. MDOP, Microsoft Desktop Optimization Pack, een set tools om de Desktop te managen. App-V, Group Policies, Error Monitoring, enz. SCCM, Software Deployment Server met SQL Server en op iedere Client een Agent en reporting. - Building MDT Deployment Workbench Windows AIK, Windows Automated Installation Kit, 2.0, zie hoofdstuk 5. USMT, User State Migration Tool, zie hoofdstuk 9. Page 1

2 - Deploying MDT Deployment Workbench WDS, Windows Deployment Services, zie hoofdstuk 6. SCCM, Software Deployment Server met SQL Server en op iedere Client een Agent voor analyse en server overview reporting. USMT, User State Migration Tool, zie hoofdstuk 9. WET, Windows Easy Transfer, niet te adviseren, zie hoofdstuk 9. WSUS, Windows System Update Server, voor de deployment van alle Service Packs en Updates. Gekoppeld aan SCCM, zie hoofdstuk 11. Windows 7 kan in XP mode draaien. Dit is een XP gevirtualiseerde machine via Virtual PC met een applicatie bovenop je Windows 7. Niet snel te adviseren. Onderzoek alternatieven. Windows 7 heeft meerdere versies: Voor Consumers: Home Premium Voor Bedrijven: Professional Voor extra Media mogelijkheden: Ultimate Voor Grote Bedrijven: Enterprise Een Windows 7 image is veelal groot, en kan bij uitrol veel netwerk bandbreedte gebruiken. - Multicasten, 1 to N kan hierin helpen - Voor buitenlocaties met slechte onderlinge lijnen kan er een WDS transportserver of SCCM distributionpoint ingezet worden. Je kunt Windows 7 30 dagen gebruiken, daarna moet je Activeren: - Retail, in de winkel gekocht zit er al een key op - OEM, voorgeinstalleerde Windows 7, zelf key invoeren - Volume Licensing Activation * MAK kan een hoeveelheid computers activeren. Er is een lokale centrale MAK server, deze gaat iedere keer online naar Microsoft ter verificatie. Er kan een proxy tussen gezet worden voor een buitenlocatie. De activatie periode is oneindig. MAK is voor kleinere en minder complexe netwerk omgevingen. * KMS ondersteund lokale activatie voor computers in een KMS managed environment. Er is een lokale centrale KMS server met een license key pool. kan gevonden worden door een Client via DNS per 180 dagen. KMS is voor complexe en grote netwerk omgevingen. Vanaf de client kun je alleen in de registry zien of MAK of KMS gebruikt wordt. De slmgr.vbs leest deze registry settings ook uit. Page 2

3 2. Assessing Application Compatibility in Windows 7 Compatibility Testen is belangrijk: - Installeer en controleer installatie opties - Check Group Policies - Test combinaties van Applicaties - Backup alle data eerst - Check grote files en Object Linking en Embedding - Test Hardware - Test Terminal Services - en met databases - 32 / 64 bit - Internet Explorer versie - Drivers - User Account Control - Security Oplossingen voor Compatibiliteit kunnen liggen in: - Service Packs installeren, dit is verplicht door Microsoft - Updates, zijn niet verplicht en worden niet ondersteund door Microsoft - Cumulatieve Updates, zijn niet verplicht en worden wel ondersteund door Microsoft - (security) Configuratie aanpassen - de applicatie zelf Upgraden - gebruik een andere applicatie - de App-V, applicatie virtualisatie gebruiken - de ACT Toolkit gebruiken Structurelere oplossingen kunnen zijn: - Standardiseer gesupporte applicaties - Kijk welke applicaties niet meer gebruikt worden en kunnen retiren. - Gebruik en test in OTAP omgevingen - Geef gebruikerstrainingen Page 3

4 ACT, de Application Compatibility Toolkit 5.5 De ACT heeft een database en een eventuele aparte logging service en share. Op de ACT applicatie server kun je een data collection package maken. Deze data collection package kun je installeren op niet Windows 7 client desktops om bijvoorbeeld alle applicaties en msi's op die client te inventariseren. Deze rapporteren terug aan de ACT logging service via het ACT Client Agent proces. Op de ACT applicatie server zie je dan alle applicaties en msi's van de clients. Hier kun je dan Categorien, Prioriteiten, Compatibility Issues en Solutions registreren en organiseren. De ACT Compatibility Administrator concentreert zich op het OS, upgrades, drivers, enz. De ACT Application Compatibility Manager kan de compatibility van MSI packages controleren door ze te installeren op een desktop en de ACT tooling daar overheen te halen. In de SQL Server database komen dan problemen en oplossingsvoorstellen. ACT kan extra informatie uit de ACT community downloaden. Daarnaast zitten in ACT nog extra tools als de Standard User Analyzer en de Compatibility Administrator. Deze analyseren en kunnen de compatibiliteit fixen van applicaties onder Windows 7. Het fixen is bijvoorbeeld door registry settings van de applicatie aan te passen, zoals faken dat hij draait in een Windows XP SP editie of dat hij verplicht als Administrator moet opstarten. 3. Evaluating Windows 7 Deployment Methods Er zijn verschillende manieren van deployment. In volgorde van handmatig tm volledig geautomatiseerd: - In Place Deployment (Upgrade) Updgraden van bestaande XP of VIsta op oude hardware. De user state blijft behouden. - Wipe and load (Refresh) User state op share zetten met USMT (WET niet te adviseren) en doet een schone Windows 7 installatie op Oude hardware en zet de user state terug. - Side by Side Deployment (Replace) User state op share zetten met USMT (WET niet te adviseren) en doet een schone Windows 7 installatie op Nieuwe hardware en zet de user state terug. - Lite Touch Deployment Er is een Windows 7 Image, maar wordt handmatig geinitieerd vanaf een Share. Maar er moet tijdens de installatie op de client toch nog handmatige instellingen worden gedaan. Taalinstellingen of specials met exentrieke drivers voor randapperatuur. - Zero Touch Deployment De Image wordt automatisch via SCCM geinitieerd. De infrastructuur en bijbehorende kennis moet wel aanwezig zijn. Er is geen handmatige actie meer op de Client vereist. Computers in de nacht aanzetten kan met WakeUp on LAN. Page 4

5 4. Designing Standard Windows 7 Images Zorg voor een dikke image, zorg dat alle hardware drivers en taal instellingen, Service Packs, updates, cumulatieve updates en security updates geinstalleerd zijn. Beter veel voorinstalleren, dan veel nazorg achteraf. Windows 7 Installation Architecture In een.wim file (Windows Imaging file format) kun je de image opbouwen met ImageX en DISM (Deployment Image Servicing an Management) van Windows AIK. In bijvoorbeeld unattend.xml answer files staat welk antwoord er tijden de GUI installatie vragen beantwoord moet worden. Met Windows SIM kun je deze answer files maken. Windows PE preinstallation environment is een minimaal OS dat voorbereid is op een Windows 7 installatie. Een basis of reference image kan op meerdere machines gezet worden. De PC naam en de SID (Security Identifier) moeten uniek zijn, met Sysprep maak je dit image uniek. Met diskpart kun je disks, partities en volumes managen. Imaging Process Envisioning, Planning (Image strategy / prepare image building), Developing (Image building, Deployment method), Stabilizing (Testing), Deploying Image Strategy Dik, Core applicaties, alle drivers en language packs Dun, Geen applicaties, weinig drivers en language packs Gebruik Hybrid. Maak een image, met alle drivers en language packs. Slipstream ook de service packs en (cumulatieve) updates en security fixes in de image. Zet alle basis en bedrijfs applicaties niet op de image, maar stream deze met App-V. Over het algemeen zijn de frequentie van image builds, het aantal images voor de verschillende gebruikersgroepen, de aanwezigheid van SCCM in het netwerk, en netwerk traffic beslis factoren voor je image strategie. Image Servicing Methods, de onderhouds methoden van de basis reference Windows Image Offline, het updaten van de image zonder de image op te starten met Windows Setup, een.xml answer file tijdens setup om de image te updaten Online, met een running OS, de Windows Image in audit mode draaien en updaten Met Deployment Image Servicing and Management (DISM) kun je een basis reference Windows Image servicen Images delen over lokaties kan met Domain Distributed File System Replicatie. Page 5

6 5. Deploying Windows 7 by Using Windows AIK Windows Automated Installation Kit 2.0 is een collectie van tools. De meeste start je af in de Windows AIK command shell. Het bevat: - Windows SIM - ImageX - DISM - Windows PE - USMT - VAMT Building a Reference Windows 7 Image using Windows SIM and Sysprep. Maak een answer.xml file met windows SIM en maak de identiteit uniek of generiek met sysprep. Pre Installation Environment Windows PE kan een computer op laten starten zonder OS geinstalleerd. Een vervanging van de MS-DOS boot disks. Vanuit Windows PE kan je een Windows 7 image starten vanaf bijvoorbeeld een netwerk lokatie. Windows PE zelf is heeft ook een image. Je kunt met DISM je WIndows PE Image aanpassen. Capturing, Applying, and Servicing a Windows 7 Image Met ImageX en DISM, beide command line tools, kun je windows 7 basis reference images managen. Bijvoorbeeld met imagex /check /capture kun je van een windows 7 machine een basis reference image.wim file maken. Met imagex /apply kun je een basis reference image.wim file gebruiken om een machine te installeren. Page 6

7 6. Deploying Windows 7 by using Windows Deployment Services Windows Deployment Services, een server role (WDS, het vroegere RIS) bestaat uit: - Server elements De Full WDS Server: Deployment Server / Transport Server: ondersteund pre boot execution environment (PXE) en bevat tevens de opstart PE en installatie.wim en.vhd images. Tevens configureer je het boot menu voor de Client. Je kunt de MAC adressen van de netwerkkaart van de machines koppelen aan bepaalde installatie images om ervoor te zorgen dat bepaald machines bepaal de specifieke gebruikersgroep images krijgen. Met WDSUtil.exe kun je command line hetzelfde doen als de WDS GUI. Enkel de Transport Server, elke buitenlocatie heeft er 1 nodig om clients te voorzien van een OF op basis van een image. TFTP wordt gebruikt om de image tussen locaties te repliceren. - Client elements Windows PXE boot communiceert met server componenten om een OS te installeren, middels F12. - Management elements WDS tooling voor server, OS images en accounts. WDS heeft DHCP / DNS nodig en werkt niet met Windows Server Core. Het IP nummer plan moet bekend zijn om met WDS te starten. WDS is een modulaire professionelere concurrent van ImageX en DISM en bundelt onderliggende tooltjes. WDS is een onderdeel van MDT, van hoofdstuk 7 en 8. Met MDT kun je ook Applicaties toevoegen aan Images. Een nog professionelere concurrent is SCCM. 7. Deploying Windows 7 by using Lite Touch Installation (LTI) Build Server, hier kun je de Images servicen. Bevat de Deployment Share, met de Windows PE en Windows 7 installatie images. Data Server, om desktop backup data en User State data op te slaan. Application Installation Server, hier staan de sources van bedrijfs applicatie installaties WDS / MDT Server, hier staat de PXE engine op die luistert naar de Client Requests. SQL Server Database Server, alle MDT settings worden hierin opgeslagen. Task Sequence, een krachtig stappenplan met Voor en Na de installatie Image. Vooraf, bijvoorbeeld: voldoet de Client aan de Hardware eisen? Achteraf, bijvoorbeeld: hang de geïnstalleerde Windows 7 machine in het Domain. Werkt samen met de answer file, samen kun je naar Zero Touch Installation toewerken. Er zijn Task Sequence templates beschikbaar, deze kun je gebuiken om een image te capturen en om een image te deployen. Dit alles om een Windows 7 OS naar de Client Machines de deployen. MMC,.net Framework 2.0, Powershell 2.0 en Windows AIK 2.0 zijn prerequisties voor MDT. De MDT Deployment Workbench is de Management GUI van MDT. BitLocker is een tool die de disk encrypt. Handig voor Laptops voor de buitendienst. De coderingssleutels kunnen op meerdere manieren opgeslagen worden. Op een chip op het moederbord of usb. Page 7

8 8. Deploying Windows 7 by using Zero Touch Installation (ZTI) Designing en Performing Zero Touch Installation door middel van System Center Configuration Manager 2007 SP2 (SCCM) en Microsoft Deployment Toolkit 2010 (MDT). SCCM en MDT geïntegreerd bevatten: - PXE service die luistert naar PXE boot requests. - Images en Packages Boot Image, OS image, Microsoft Deployment files op de deployment share, SCCM Client Agent op de Client die management interactie heeft met SCCM Server, Device driver Packages is een aparte package om drivers te distribueren, USMT package om User State te capturen en restoren, Custom settings package met unattended files en customsettings.ini, Sysprep files package met specifieke sysprep files voor een package. Daarnaast natuurlijk de bedrijfs applicatie packages. - Task Sequences, voor gescript capturen of deployen van Images - Collections zijn structuur indelingen binnen SCCM. Een collection heeft een filter, op bijvoorbeeld een IP range of Active Directory groep. Een Advertisement bepaald dan welke Packages en Images te deployen via Collections naar bepaalde Clients. Een SCCM distribution point is hetzelfde als een WDS Transport Server. SCCM is erg groot, elk onderdeel van SCCM is een apart project met bijbehorend beheer en customization voor jou organisatie. Inheritance voor Group Policy Objects, ezelsbruggetje: LSD OOO Local Policies, Site Policies, Domain Policies, \OU=, \OU=, OU=, waarbij de laatste voor gaat. Page 8

9 9. Migrating User State by using WET and USMT 4.0 Met User State wordt bedoeld: - User Pereferences - User Data - Application settings Verschillende Scenario's: Replace, bij nieuwe hardware. De User State op een netwerk share plaatsen en op een geinstalleerde nieuwe machine de User State terugplaatsen. Refresh, Source en Destination van de User State is dezelfde Machine. Kan met een In-Place Update zijn, dan blijft de User State staan. Maar ook via een netwerk share nadat er een schoon OS is geïnstalleerd. Windows Easy Transfer (WET) Met een network cross-cable en de WET tool overpompen van user state van machine naar machine. User State Migration Tool (USMT) Collect User State, alle applicaties sluiten en ScanState draaien Prepare the Destination, installeer het OS en alle applicaties Restore User State, draai LoadState User State Data dat kan worden gemigreerd is: * User Data: Folders, File Types en Access Control List, de user accounts * gesupporte Operating System Components * door de gebruiker aangepaste Settings van gesupporte Applicaties Met config.xml files kun je standaard USMT gedrag beïnvloeden door wat USMT wel of niet mee migreert. Hardlinken is het ontdubbelen van bestanden op de User State netwerk share. Kan alleen met het Refresh Scenario, want voor performance redenen blijven bestanden op de oude machine staan. Online migratie is scanstate draaien op de Windows machine die draait zelf. Offline migratie is scanstate draaien vanaf een ander Windows OS dan het Windows OS waar de User State van gecollect wordt. Dit kan een andere machine zijn of dezelfde machine, maar dan bijvoorbeeld alleen geboot met Windows PE. Immers scanstate loopt alleen slim door de directory structuur van een Windows OS heen. Page 9

10 10. Designing, Configuring and Managing the Client Environment Denk na over de Client Configuration. Standaardisatie levert een lagere total cost of ownership voor de organisatie en een voorspelbare gebruikersinterface met voorspelbare uitrol van security patches Group Policy Settings voor Windows 7 vanuit de Administrator voor het gehele Domain. Hieronder vallen Computer / User Configuration, Windows en Security Settings en Account Policies. Deze zijn niet meer aan te passen door de gebruiker. - Group Policy Preferences, dit zijn Group Policy Settings, maar kunnen nog wel verandert worden door de gebruiker. - Local Group Policies, dit zijn ook Group Policy Setting, maar dan alleen voor 1 machine of 1 user. Niet te adviseren, dit is niet te beheren. - Logon Scripts, scripts die runnen bij opstarten van een machine of inloggen van een user op een machine. Bijvoorbeeld om drives te mappen naar server shares..adm,.admx,.inf bestanden kunnen Adminstrative Templates zijn, hiermee kun je Computer en User Configuration registry settings van de desktops beïnvloeden. Standaard System Settings in Windows Settings zijn: Security en Internet Explorer En via de Administrative Templates: Control Panel, Printers, Windows Explorer, Desktop, Start Menu en Taskbar, System Logon. Aanpassingen kun je maken in de Group Policy Management Editor, of in SCCM. Je kunt een Group Policy Object (GPO) linken naar meerdere OU=. Je kunt GPO's Enforcen en de Inheritance Blocken. Je kunt GPO's backuppen en restoren. Gebruik geen Loopback Processing Mode. Bij Internet Explorer Settings moet je rekening houden met Privacy en Security Instellingen. Security Settings kun je ook vastleggen in Group Policy Objects: - AppLocker Rules, applicaties alleen maar te gebruiken op bijvoorbeeld bepaalde hardware, voor bepaalde users, of niet te gebruiken is als de applicatie.vbs scripts bevat. - BitLocker Rules, encryptie voor de harddisk - 10 User Account Control (UAC) settings, voor user en administrative rechten - Firewall Rules, Netwerk rules en Machine Rules. Het wel of niet doorlaten van informatie vanaf Internet / het Netwerk. - Windows Defender / Microsoft Security Essentials in combinatie met WSUS. Troubleshooting Group Policy kan met de Group Policy Results / Modeling Reports. Hiermee kun je als Administrator simuleren als een user inlogt, wat zijn Group Policy's zijn / gaan worden in een overzicht. Op de client kun je de Group Policies geforceerd uitrollen met het commando gpupdate /force. Page 10

11 11. Planning and Deploying Applications and Updates to Windows 7 Clients Application Deployment. Via: - GPO, Package Publish (voorinstalleren) en Assign (Shortcut, en installeren bij aanklikken). - SCCM, Maak een Package, een distribution point en een Advertisement om te Deployen. - APP-V, De applicatie wordt gestreamed gevirtualiseerd via een Package aangebieden. - Terminal Server Remote APP, De applicatie wordt gevirtualiseerd en via een MSI Package aangeboden over het RDP protocol. MED-V is Microsoft Enterprise Desktop Virtualization. Geen applicatie virtualisatie, maar desktop virtualisatie. Microsoft Office 2007 deployment. Bepaal de installatie requirements, maak een plan voor je bestaande data migratie. En moet Office in de basis Image of niet? Met de Office Customization Tool kun je een config.xml / config.msp maken om de features van Office te bepalen Let op er moet veel en goed getest worden met bestaande Macro's, Databases, en Add-Ins. En geef Gebruikers trainingen. Troubleshooting heeft veelal te maken met Activation, Muli-Languility, Upgrade / setup issues en file version issues. WSUS en Desktop Updates. WSUS is Windows Server Update Services. Deze contacteert Microsoft voor beschikbare updates. Dit is een WSUS Server met een Administrator Console en een SQL Server database. Integreer deze met SCCM. Backup je database van WSUS goed. Hier staat in welke machine welke security updates hebben geïnstalleerd. Op de Client staat Automatic Updates, om beschikbare updates binnen te krijgen. Met wuauclt /detectnow en wuauclt /r /reportnow forceer je de client om te connecten met de WSUS server om zich beschikbaar te stellen voor updates. Ook kun je met Group Policies automatic updaten. Met de Group Policy Management Editor, onder Administrative Templates > Windows Components > Automatic Updates. Page 11