Bereitstellen von Clients auf Windows-Computern in Konfigurations-Manager

Gilt für: Konfigurations-Manager (Current Branch)

Dieser Artikel enthält Details zum Bereitstellen des Konfigurations-Manager-Clients auf Windows-Computern. Weitere Informationen zum Planen und Vorbereiten der Clientbereitstellung finden Sie in den folgenden Artikeln:

• Clientinstallationsmethoden
• Voraussetzungen für die Bereitstellung von Clients auf Windows-Computern
• Sicherheit und Datenschutz für Konfigurations-Manager-Clients
• Bewährte Methoden für die Clientbereitstellung

Clientpushinstallation

Es gibt drei Hauptmethoden, um Clientpush zu verwenden:

• Wenn Sie die Clientpushinstallation für einen Standort konfigurieren, wird die Clientinstallation automatisch auf Computern ausgeführt, die vom Standort erkannt werden. Diese Methode wird auf die konfigurierten Grenzen des Standorts beschränkt, wenn diese Grenzen als Begrenzungsgruppe konfiguriert sind.

• Starten Sie die Clientpushinstallation, indem Sie den Clientpushinstallations-Assistenten für eine bestimmte Sammlung oder Ressource innerhalb einer Sammlung ausführen.

• Verwenden Sie den Clientpushinstallations-Assistenten, um den Konfigurations-Manager-Client zu installieren, mit dem Sie das Ergebnis abfragen können. Die Installation ist nur dann erfolgreich, wenn eines der von der Abfrage zurückgegebenen Elemente das ResourceID-Attribut der Systemressourcenklasse ist.

Wenn der Standortserver keine Verbindung mit dem Clientcomputer herstellen oder den Setupvorgang nicht starten kann, wird die Installation automatisch stündlich wiederholt. Der Server versucht es bis zu sieben Tage lang erneut.

Um den Clientinstallationsprozess nachverfolgen zu können, installieren Sie einen Fallback-Status-Punkt, bevor Sie die Clients installieren. Wenn Sie einen Fallback status Punkt installieren, wird er automatisch Clients zugewiesen, wenn sie mit der Clientpushinstallationsmethode installiert werden. Um den Fortschritt der Clientinstallation nachzuverfolgen, zeigen Sie die Clientbereitstellungs- und Zuweisungsberichte an.

Clientprotokolldateien enthalten ausführlichere Informationen zur Problembehandlung. Für die Protokolldateien ist kein Fallback-Statuspunkt erforderlich. In der Datei "CCM.log" auf dem Standortserver werden alle Probleme aufgezeichnet, die auftreten, wenn der Standortserver eine Verbindung mit dem Computer herstellt. Die CCMSetup.log Datei auf dem Client zeichnet den Installationsvorgang auf.

Konfigurieren des Standorts für die automatische Verwendung von Clientpush für ermittelte Computer

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Verwaltung, erweitern Sie Standortkonfiguration, und wählen Sie den Knoten Standorte aus.

2. Wählen Sie den Standort aus, für den Sie die automatische standortweite Clientpushinstallation konfigurieren möchten.

3. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe Einstellungen die Option Clientinstallationseinstellungen und dann Clientpushinstallation aus.

4. Wählen Sie auf der Registerkarte Allgemein im Eigenschaftenfenster der Clientpushinstallation die Option Automatische standortweite Clientpushinstallation aktivieren aus.

5. Ab Version 1806 ist beim Aktualisieren der Website eine Kerberos-Überprüfung auf Clientpush aktiviert. Die Option " Verbindungsfallback auf NTLM zulassen " ist standardmäßig aktiviert, was dem vorherigen Verhalten entspricht. Wenn die Website den Client nicht mithilfe von Kerberos authentifizieren kann, versucht sie, die Verbindung mithilfe von NTLM erneut herzustellen. Die empfohlene Konfiguration für eine verbesserte Sicherheit besteht darin, diese Einstellung zu deaktivieren, die Kerberos ohne NTLM-Fallback erfordert.

   Es wird empfohlen, diese Option nach Möglichkeit in vorhandenen Umgebungen zu deaktivieren, um die Sicherheit zu erhöhen.

   Hinweis

   Wenn der Standortserver Clientpush verwendet, um den Konfigurations-Manager-Client zu installieren, stellt er eine Remoteverbindung mit dem Client her. Ab Version 1806 kann die Site eine gegenseitige Kerberos-Authentifizierung verlangen, indem sie vor dem Herstellen der Verbindung keinen Fallback auf NTLM zulässt. Diese Erweiterung trägt dazu bei, die Kommunikation zwischen dem Server und dem Client zu sichern.

   Abhängig von Ihren Sicherheitsrichtlinien bevorzugt oder erfordert Ihre Umgebung möglicherweise bereits Kerberos gegenüber der älteren NTLM-Authentifizierung. Weitere Informationen zu den Sicherheitsüberlegungen dieser Authentifizierungsprotokolle finden Sie in der Windows-Sicherheitsrichtlinieneinstellung zur Einschränkung von NTLM.

   Um dieses Feature verwenden zu können, müssen sich Clients in einer vertrauenswürdigen Active Directory-Gesamtstruktur befinden. Kerberos in Windows basiert auf Active Directory für die gegenseitige Authentifizierung.

6. Ab Version 2207 wird beim Aktualisieren der Website die Option "Verbindungsfallback auf NTLM zulassen" bei neuen Standortinstallationen standardmäßig deaktiviert. Es wird empfohlen, die Sicherheit zu erhöhen.

7. Wählen Sie die Systemtypen aus, auf die Konfigurations-Manager die Clientsoftware übertragen soll. Wählen Sie aus, ob der Client auf Domänencontrollern installiert werden soll.

8. Geben Sie auf der Registerkarte "Konten" mindestens ein Konto an, das der Konfigurations-Manager verwenden soll, wenn eine Verbindung mit dem Zielcomputer hergestellt wird. Wählen Sie das Symbol "Erstellen " aus, geben Sie den Benutzernamen und das Kennwort (nicht mehr als 38 Zeichen) ein, bestätigen Sie das Kennwort, und wählen Sie dann OK aus. Geben Sie mindestens ein Clientpushinstallationskonto an. Dieses Konto muss über lokale Administratorrechte auf dem Zielcomputer verfügen, um den Client installieren zu können. Wenn Sie kein Clientpushinstallationskonto angeben, versucht Konfigurations-Manager, das Standortsystemcomputerkonto zu verwenden. Domänenübergreifender Clientpushvorgang schlägt fehl, wenn das Standortsystemcomputerkonto verwendet wird.

   Hinweis

   Um Clientpush von einem sekundären Standort zu verwenden, geben Sie das Konto am sekundären Standort an, das den Clientpush initiiert.

   Weitere Informationen zum Clientpushinstallationskonto finden Sie im nächsten Verfahren Verwenden des Clientpushinstallations-Assistenten.

9. Geben Sie auf der Registerkarte Installationseigenschaften alle erforderlichen Installationseigenschaften an.

   Wenn Sie das Active Directory-Schema für Konfigurations-Manager erweitert haben, veröffentlicht die Website die angegebenen Clientinstallationseigenschaften in Active Directory Domain Services. Wenn CCMSetup ohne Installationseigenschaften ausgeführt wird, liest es diese Eigenschaften aus Active Directory.

   Hinweis

   Wenn Sie die Clientpushinstallation auf einem sekundären Standort aktivieren, legen Sie die SMSSITECODE-Eigenschaft auf den Konfigurations-Manager-Standortcode des übergeordneten primären Standorts fest. Wenn Sie das Active Directory-Schema für Konfigurations-Manager erweitert haben, legen Sie diese Eigenschaft auf AUTO fest, um automatisch die richtige Standortzuweisung zu finden.

Verwenden des Clientpushinstallations-Assistenten

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Verwaltung, erweitern Sie Standortkonfiguration, und wählen Sie den Knoten Standorte aus.

2. Wählen Sie den Standort aus, für den Sie die automatische standortweite Clientpushinstallation konfigurieren möchten.

3. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe Einstellungen die Option Clientinstallationseinstellungen und dann Clientpushinstallation aus.

4. Geben Sie auf der Registerkarte Installationseigenschaften alle erforderlichen Installationseigenschaften an.

   Wenn Sie das Active Directory-Schema für Konfigurations-Manager erweitert haben, veröffentlicht die Website die angegebenen Clientinstallationseigenschaften in Active Directory Domain Services. Wenn CCMSetup ohne Installationseigenschaften ausgeführt wird, liest es diese Eigenschaften aus Active Directory.

5. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Assets und Konformität.

6. Wählen Sie im Knoten Geräte mindestens einen Computer aus. Oder wählen Sie eine Sammlung von Computern im Knoten Gerätesammlungen aus.

7. Wählen Sie auf der Registerkarte Start im Menüband eine der folgenden Optionen aus:

   • Um den Client auf ein oder mehrere Geräte zu übertragen, wählen Sie in der Gruppe "Geräte " die Option "Client installieren" aus.

   • Um den Client in eine Sammlung von Geräten zu übertragen, wählen Sie in der Gruppe "Sammlung " die Option "Client installieren" aus.

8. Überprüfen Sie auf der Seite "Bevor Sie beginnen" des Assistenten zum Installieren von Konfigurations-Manager-Clients die Informationen, und klicken Sie dann auf "Weiter".

9. Wählen Sie auf der Seite "Installationsoptionen " die entsprechenden Optionen aus.

10. Überprüfen Sie die Installationseinstellungen, und schließen Sie dann den Assistenten ab.

Installation auf Basis von Softwareupdates

Bei einer softwareupdatebasierten Clientinstallation wird der Client an einem Softwareupdatepunkt als Softwareupdate veröffentlicht. Verwenden Sie diese Methode für eine erstmalige Installation oder ein Upgrade.

Wenn der Konfigurations-Manager-Client auf einem Computer installiert ist, empfängt der Computer die Clientrichtlinie vom Standort. Diese Richtlinie enthält den Namen und Port des Softwareupdatepunktservers, von dem Softwareupdates abgerufen werden sollen.

Wenn der Konfigurations-Manager-Client nicht auf einem Computer installiert ist, konfigurieren Sie ein Gruppenrichtlinienobjekt und weisen Sie es zu. Die Gruppenrichtlinie gibt den Servernamen des Softwareupdatepunkts an.

Sie können einer auf Softwareupdates basierenden Clientinstallation keine Befehlszeileneigenschaften hinzufügen. Wenn Sie das Active Directory-Schema für Konfigurations-Manager erweitert haben, fragt die Clientinstallation automatisch die Installationseigenschaften bei Active Directory Domain Services ab.

Wenn Sie das Active Directory-Schema nicht erweitert haben, verwenden Sie die Gruppenrichtlinie, um Clientinstallationseinstellungen bereitzustellen. Diese Einstellungen werden automatisch auf alle auf Softwareupdates basierenden Clientinstallationen angewendet. Weitere Informationen finden Sie im Abschnitt Bereitstellen von Clientinstallationseigenschaften und im Artikel Zuweisen von Clients zu einem Standort.

Verwenden Sie die folgenden Verfahren, um Computer ohne Konfigurations-Manager-Client für die Verwendung des Softwareupdatepunkts zu konfigurieren. Es gibt auch ein Verfahren zum Veröffentlichen der Clientsoftware am Softwareupdatepunkt.

Konfigurieren eines Gruppenrichtlinienobjekts zum Angeben des Softwareupdatepunkts

1. Verwenden Sie die Gruppenrichtlinien-Verwaltungskonsole, um ein neues oder vorhandenes Gruppenrichtlinien-Objekt zu öffnen.

2. Erweitern Sie Computerkonfiguration, Administrative Vorlagen und Windows-Komponenten, und wählen Sie dann Windows Update aus.

3. Öffnen Sie die Eigenschaften der Einstellung "Internen Pfad für den Microsoft Updatedienst angeben", und wählen Sie dann "Aktiviert" aus.

4. Legen Sie den internen Updatedienst für die Erkennung von Updates fest: Geben Sie den Namen und Port des Softwareupdatepunktservers an.

   • Wenn Sie das Konfigurations-Manager-Standortsystem für die Verwendung eines vollqualifizierten Domänennamens (FQDN) konfiguriert haben, verwenden Sie dieses Format.

   • Wenn das Konfigurations-Manager-Standortsystem nicht für die Verwendung eines vollqualifizierten Domänennamens konfiguriert ist, verwenden Sie ein Kurznamenformat.

   Tipp

   Informationen zum Ermitteln der Portnummer finden Sie unter Ermitteln der von WSUS verwendeten Porteinstellungen.

   Beispiel im FQDN-Format: http://server1.contoso.com:8530

5. Legen Sie den Intranetstatistikserver fest: Diese Einstellung wird in der Regel mit demselben Servernamen konfiguriert.

6. Weisen Sie das Gruppenrichtlinien-Objekt den Computern zu, auf denen Sie den Client installieren und Softwareupdates erhalten möchten.

Veröffentlichen des Konfigurations-Manager-Clients am Softwareupdatepunkt

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Verwaltung, erweitern Sie Standortkonfiguration, und wählen Sie den Knoten Standorte aus.

2. Wählen Sie den Standort aus, für den Sie eine softwareupdatebasierte Clientinstallation konfigurieren möchten.

3. Klicken Sie auf der Registerkarte Start des Menübands in der Gruppe Einstellungen auf Clientinstallationseinstellungen und dann auf Software- Update-Based Clientinstallation.

4. Wählen Sie "Softwareupdatebasierte Clientinstallation aktivieren" aus.

5. Wenn die Clientversion der Site aktueller ist als die Version auf dem Softwareupdatepunkt, wird das Dialogfeld "Höhere Version des erkannten Clientpakets" geöffnet. Wählen Sie Ja aus, um die aktuellste Version zu veröffentlichen.

   Hinweis

   Wenn Sie die Clientsoftware noch nicht am Softwareupdatepunkt veröffentlicht haben, ist dieses Dialogfeld leer.

Das Softwareupdate für den Konfigurations-Manager-Client wird nicht automatisch aktualisiert, wenn es eine neue Version gibt. Wenn Sie die Website aktualisieren, wiederholen Sie dieses Verfahren, um den Client zu aktualisieren.

Installation von Gruppenrichtlinien

Verwenden Sie die Gruppenrichtlinien in Active Directory Domain Services, um den Konfigurations-Manager-Client zu veröffentlichen oder zuzuweisen. Der Client wird beim Starten des Computers installiert. Wenn Sie eine Gruppenrichtlinie verwenden, wird der Client unter "Software" in der Systemsteuerung angezeigt. Der Benutzer kann es von dort aus installieren.

Verwenden Sie das Windows Installer-Paket CCMSetup.msi für Gruppenrichtlinie-basierte Installationen. Diese Datei befindet sich im <ConfigMgr installation directory>\bin\i386 Ordner auf dem Standortserver. Sie können dieser Datei keine Eigenschaften hinzufügen, um das Installationsverhalten zu ändern.

• Wenn Sie das Active Directory-Schema für Konfigurations-Manager erweitert und die Domäne auf der Registerkarte Veröffentlichen im Dialogfeld Standorteigenschaften ausgewählt haben, durchsuchen Clientcomputer automatisch Active Directory Domain Services nach Installationseigenschaften. Weitere Informationen finden Sie unter Informationen zu Clientinstallationseigenschaften, die in Active Directory Domain Services veröffentlicht wurden.

• Wenn Sie das Active Directory-Schema nicht erweitert haben, lesen Sie den Abschnitt zur Bereitstellung von Clientinstallationseigenschaften für Informationen zum Speichern von Installationseigenschaften in der Windows-Registrierung von Computern. Der Client verwendet diese Installationseigenschaften bei der Installation.

Weitere Informationen finden Sie unter Verwendung von Gruppenrichtlinien zur Remoteinstallation von Software.

Manuelle Installation

Installieren Sie die Clientsoftware manuell mithilfe von CCMSetup.exe auf Computern. Sie finden dieses Programm und die zugehörigen unterstützenden Dateien im Ordner "Client" im Installationsordner "Konfigurations-Manager" auf dem Standortserver. Die Website gibt diesen Ordner für das Netzwerk frei:

\\<site server name>\SMS_<site code>\Client\

<site server name> ist der primäre Standortservername. <site code> ist der primäre Standortcode, dem der Client zugewiesen ist. Um CCMSetup.exe über die Befehlszeile auf dem Client auszuführen, stellen Sie eine Verbindung mit diesem Netzwerkspeicherort her, und führen Sie dann den Befehl aus.

CCMSetup.exe kopiert alle erforderlichen Komponenten auf den Clientcomputer und ruft das Windows Installer-Paket (Client.msi) auf, um den Client zu installieren. Sie können Client.msi nicht direkt ausführen.

Um das Verhalten der Clientinstallation zu ändern, geben Sie Befehlszeilenoptionen für CCMSetup.exe und Client.msi an. Stellen Sie sicher, dass Sie CCMSetup-Parameter angeben, die mit / beginnen, bevor Sie Client.msi-Eigenschaften angeben. Zum Beispiel:

CCMSetup.exe /mp:SMSMP01 /logon SMSSITECODE=AUTO FSP=SMSFP01

In diesem Beispiel führt der Client für die Installation die folgenden Optionen aus:

Weitere Informationen finden Sie unter Informationen zu Clientinstallationsparametern und -eigenschaften.

Beispiele für die manuelle Installation

Diese Beispiele beziehen sich auf Active Directory-verbundene Clients in einem Intranet. Sie verwenden die folgenden Werte:

• MPSERVER: Server, der den Verwaltungspunkt hostet
• FSPSERVER: Server, auf dem der Fallback-Statuspunkt gehostet wird
• ABC: Standortcode
• contoso.com: Domänenname

Angenommen, Sie haben alle Standortsystemserver mit einem Intranet-FQDN konfiguriert und die Standortinformationen in Active Directory veröffentlicht.

Führen Sie die folgenden Schritte auf dem Clientcomputer aus:

1. Melden Sie sich als lokaler Administrator an.
2. Laufwerk Z zu zuordnen.\\MPSERVER\SMS_ABC\Client
3. Wechseln Sie die Eingabeaufforderung zu Laufwerk Z.

Führen Sie dann einen der folgenden Befehle aus:

Handbuch Beispiel 1

CCMSetup.exe

Mit diesem Befehl wird der Client ohne zusätzliche Parameter oder Eigenschaften installiert. Der Client wird automatisch mit den in Active Directory Domain Services veröffentlichten Clientinstallationseigenschaften konfiguriert, einschließlich der folgenden Einstellungen:

• Standortcode: Für diese Einstellung muss der Netzwerkspeicherort des Clients in einer Begrenzungsgruppe enthalten sein, die Sie für die Clientzuweisung konfiguriert haben.
• Verwaltungspunkt.
• Fallback status point.
• Kommunizieren Sie nur über HTTPS.

Weitere Informationen finden Sie unter Informationen zu Clientinstallationseigenschaften, die in Active Directory Domain Services veröffentlicht wurden.

Manuelles Beispiel 2

CCMSetup.exe /MP:mpserver.contoso.com /UsePKICert SMSSITECODE=ABC CCMHOSTNAME=server05.contoso.com CCMFIRSTCERT=1 FSP=server06.constoso.com

Dieser Befehl setzt die automatische Konfiguration außer Kraft, die von Active Directory Domain Services bereitgestellt wird. Es ist nicht erforderlich, dass Sie den Netzwerkspeicherort des Clients in eine Begrenzungsgruppe einschließen, die für die Clientzuweisung konfiguriert ist. Stattdessen gibt die Installation die folgenden Einstellungen an:

• Websitecode
• Intranet-Verwaltungspunkt
• Internetbasierter Verwaltungspunkt
• Fallback-Status-Punkt, der Verbindungen aus dem Internet akzeptiert
• Verwenden Sie ein PKI-Zertifikat (Public Key Infrastructure) für die Client-Public-Key-Infrastruktur (sofern verfügbar) mit der längsten Gültigkeitsdauer

Installation von Anmeldeskripts

Konfigurations-Manager unterstützt die Verwendung von Anmeldeskripts zur Installation der Konfigurations-Manager-Clientsoftware. Verwenden Sie die in einem Anmeldeskript CCMSetup.exe Programmdatei, um die Clientinstallation auszulösen.

Bei der Installation von Anmeldeskripts werden dieselben Methoden wie bei der manuellen Clientinstallation verwendet. Geben Sie den /logon Installationsparameter für CCMSsetup.exe an. Wenn eine Version des Clients bereits auf dem Computer vorhanden ist, verhindert dieser Parameter die Installation des Clients. Dieses Verhalten verhindert jede Neuinstallation des Clients bei jeder Ausführung des Anmeldeskripts.

Wenn Sie keine Installationsquelle mithilfe des /Source Parameters angeben und kein Verwaltungspunkt angegeben ist, von dem die /MP Installation abgerufen werden soll, sucht CCMSetup.exe den Verwaltungspunkt durch Suche Active Directory Domain Services. Dieses Verhalten tritt nur auf, wenn Sie das Schema für Konfigurations-Manager erweitert und die Site in Active Directory Domain Services veröffentlicht haben. Alternativ kann der Client DNS verwenden, um einen Verwaltungspunkt zu finden.

Paket- und Programminstallation

Verwenden Sie den Konfigurations-Manager zum Erstellen und Bereitstellen eines Pakets und Programms, das die Clientsoftware für ausgewählte Geräte aktualisiert. Konfigurations-Manager stellt eine Paketdefinitionsdatei bereit, die die Paketeigenschaften mit normalerweise verwendeten Werten füllt. Passen Sie das Verhalten der Clientinstallation an, indem Sie zusätzliche Befehlszeilenparameter und Eigenschaften angeben.

Erstellen eines Pakets und Programms für die Clientsoftware

Gehen Sie wie folgt vor, um ein Konfigurations-Manager-Paket und -Programm zu erstellen, das Sie auf Konfigurations-Manager-Clientcomputern bereitstellen können, um die Clientsoftware zu aktualisieren.

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Softwarebibliothek, erweitern Sie Anwendungsverwaltung, und wählen Sie den Knoten Pakete aus.

2. Wählen Sie auf der Registerkarte Start des Menübands in der Gruppe Erstellen die Option Paket aus Definition erstellen aus.

3. Wählen Sie auf der Seite Paketdefinition des Assistenten Microsoft aus der Herausgeberliste aus, und wählen Sie Konfigurations-Manager Clientupgradeaus der Paketdefinitionsliste aus.

4. Aktivieren Sie auf der Seite "Files (Quelldateien")die Option "Immer Dateien aus einem Quellordner abrufen".

5. Wählen Sie auf der Seite "Quellordner " die Option "Netzwerkpfad (UNC-Name)" aus. Geben Sie dann den Netzwerkpfad des Servers und der Freigabe ein, die die Clientinstallationsdateien enthält.

   Hinweis

   Der Computer, auf dem die Konfigurations-Manager-Bereitstellung ausgeführt wird, muss Zugriff auf den angegebenen Netzwerkordner haben. Andernfalls schlägt die Clientinstallation fehl.

   Wenn Sie Eigenschaften der Clientinstallation ändern möchten, ändern Sie die CCMSetup.exe Befehlszeile auf der Registerkarte "Allgemein" im Dialogfeld "Eigenschaften des Konfigurations-Manager-Agent-Programms im Hintergrund des Upgrades". Die Standardinstallationseigenschaften lauten /noservice SMSSITECODE=AUTO:

6. Verteilen Sie das Paket an alle Verteilungspunkte, die das Clientupgradepaket hosten sollen. Stellen Sie das Paket dann in Gerätesammlungen bereit, die Clients enthalten, die Sie aktualisieren möchten.

MDM-verwaltete Windows-Geräte in Intune

Stellen Sie den Konfigurations-Manager-Client auf Geräten bereit, die bei Microsoft Intune registriert sind.

Dieses Verfahren gilt für einen herkömmlichen Client, der mit einem Intranet verbunden ist. Es werden herkömmliche Clientauthentifizierungsmethoden verwendet. Um sicherzustellen, dass sich das Gerät nach der Installation des Clients in einem verwalteten Zustand befindet, muss es sich im Intranet und innerhalb einer Konfigurations-Manager-Standortgrenze befinden.

Informationen zum Installieren des Konfigurations-Manager-Clients auf einem Windows-Gerät mithilfe von Microsoft Entra-Identität finden Sie unter Installieren und Zuweisen von Konfigurations-Manager-Clients mit Microsoft Entra ID zur Authentifizierung.

Nachdem Sie den Konfigurations-Manager-Client installiert haben, kann die Registrierung von Geräten bei Intune nicht aufgehoben werden. Sie können den Konfigurations-Manager-Client und die MDM-Registrierung gleichzeitig verwenden. Weitere Informationen finden Sie unter Übersicht über die gemeinsame Verwaltung.

Installieren des Konfigurations-Manager-Clients mithilfe von Intune

1. Fügen Sie Intune eine Windows-Branchen-App hinzu, die die Konfigurations-Manager-Clientinstallationsdatei CCMSetup.msienthält. Sie finden diese Datei im \bin\i386 Ordner des Installationsverzeichnisses von Konfigurations-Manager auf dem Standortserver.

2. Geben Sie im Intune-Softwareherausgeber Befehlszeilenparameter ein. Verwenden Sie beispielsweise den folgenden Befehl mit einem herkömmlichen Client in einem Intranet:

   CCMSETUPCMD="/MP:<FQDN of management point> SMSMP=<FQDN of management point> SMSSITECODE=<your site code> DNSSUFFIX=<DNS suffix of management point>"

   Hinweis

   Ein Beispiel für einen Befehl zur Verwendung mit einem Windows-Client mit Microsoft Entra-Authentifizierung finden Sie unter Vorbereiten internetbasierter Geräte für die gemeinsame Verwaltung.

3. Weisen Sie die App einer Gruppe der registrierten Windows-Computer zu.

Installation des Betriebssystemimages

Installieren Sie den Konfigurations-Manager-Client auf einem Referenzcomputer, den Sie zum Erstellen eines Betriebssystemabbilds verwenden.

Vorbereiten des Clientcomputers für die Imageerstellung

1. Installieren Sie die Konfigurations-Manager Clientsoftware manuell auf dem Referenzcomputer. Weitere Informationen finden Sie unter Manuelles Installieren von Konfigurations-Manager-Clients.

   Wichtig

   Geben Sie in den CCMSetup.exe Befehlszeileneigenschaften keinen Konfigurations-Manager Standortcode für den Client an.

2. Geben Sie net stop ccmexec an einer Eingabeaufforderung ein, den SMS-Agenten-Hostdienst (CcmExec.exe) auf dem Referenzcomputer zu beenden.

3. Löschen Sie die SMSCFG.INI-Datei aus dem Windows-Ordner auf dem Referenzcomputer.

4. Entfernen Sie die Zertifikate aus dem SMS-Zertifikatspeicher des lokalen Computers.

5. Entfernen Sie alle anderen gültigen Clientauthentifizierungszertifikate, die im Speicher des lokalen Computers auf dem Referenzcomputer gespeichert sind. Wenn Sie beispielsweise PKI-Zertifikate verwenden, entfernen Sie die Zertifikate aus dem persönlichen Speicher für Computer und Benutzer, bevor Sie einen sicheren Computer abbilden.

6. Wenn die Clients in einer anderen Konfigurations-Manager-Hierarchie als der Hierarchie des Referenzcomputers installiert sind, entfernen Sie den vertrauenswürdigen Stammschlüssel vom Referenzcomputer.

   Hinweis

   Wenn Clients Active Directory Domain Services nicht abfragen können, um einen Verwaltungspunkt zu finden, verwenden sie den vertrauenswürdigen Stammschlüssel, um vertrauenswürdige Verwaltungspunkte zu bestimmen. Wenn Sie alle abgebildeten Clients in derselben Hierarchie wie die des Master Computers bereitstellen, lassen Sie den vertrauenswürdigen Stammschlüssel aktiviert.

   Wenn Sie die Clients in unterschiedlichen Hierarchien bereitstellen, entfernen Sie den vertrauenswürdigen Stammschlüssel. Stellen Sie außerdem diesen Clients den neuen vertrauenswürdigen Stammschlüssel zur Verfügung. Weitere Informationen finden Sie unter Planen des vertrauenswürdigen Stammschlüssels.

7. Verwenden Sie Ihre Bildverarbeitungssoftware, um ein Image des Referenzcomputers zu erstellen.

8. Stellen Sie das Image auf den Zielcomputern bereit.

Arbeitsgruppencomputer

Konfigurations-Manager unterstützt die Clientinstallation für Computer in Arbeitsgruppen. Installieren Sie den Client auf Arbeitsgruppencomputern mit der unter "Manuelles Installieren von Konfigurations-Manager-Clients" angegebenen Methode.

Voraussetzungen

• Installieren Sie den Client manuell auf jedem Arbeitsgruppencomputer. Während der Installation muss der interaktive Benutzer über lokale Administratorrechte verfügen.

• Um auf Ressourcen in der Konfigurations-Manager-Standortserverdomäne zuzugreifen, konfigurieren Sie das Netzwerkzugriffskonto für den Standort. Geben Sie dieses Konto in der Komponente des Softwareverteilungsstandorts an. Weitere Informationen finden Sie unter Websitekomponenten.

Begrenzungen

• Arbeitsgruppenclients können keine Verwaltungspunkte in Active Directory Domain Services finden. Stattdessen verwenden sie DNS oder einen anderen Verwaltungspunkt.

• Globales Roaming wird nicht unterstützt. Arbeitsgruppenclients können keine Standortinformationen von Active Directory Domain Services abfragen.

• Active Directory-Ermittlungsmethoden können Computer in Arbeitsgruppen nicht ermitteln.

• Sie können keine Software für Benutzer von Arbeitsgruppencomputern bereitstellen.

• Sie können die Clientpushinstallationsmethode nicht verwenden, um den Client auf Arbeitsgruppencomputern zu installieren.

• Arbeitsgruppenclients können Kerberos nicht für die Authentifizierung verwenden und benötigen möglicherweise eine manuelle Genehmigung.

• Sie können einen Arbeitsgruppenclient nicht als Verteilungspunkt konfigurieren. Konfigurations-Manager erfordert, dass Verteilungspunktcomputer Mitglieder einer Domäne sind.

Installieren des Clients auf Arbeitsgruppencomputern

Überprüfen Sie die Voraussetzungen, und befolgen Sie dann die Anweisungen im Abschnitt Manuelles Installieren von Konfigurations-Manager-Clients.

Arbeitsgruppe Beispiel 1

In diesem Beispiel werden die folgenden Aktionen ausgeführt:

• Installiert den Client für die Intranetclientverwaltung
• Legt den Standortcode fest.
• Gibt das DNS-Suffix zum Suchen eines Verwaltungspunkts an

CCMSetup.exe SMSSITECODE=ABC DNSSUFFIX=constoso.com

Arbeitsgruppenbeispiel 2

In diesem Beispiel muss sich der Client an einem Netzwerkstandort befinden, der in einer Begrenzungsgruppe konfiguriert ist. Wenn diese Anforderung nicht erfüllt ist, funktioniert die automatische Standortzuweisung nicht. Der Befehl enthält einen Fallback-Status-Punkt auf dem Server FSPSERVER. Mit dieser Eigenschaft können Sie die Clientbereitstellung verfolgen und Clientkommunikationsprobleme identifizieren.

CCMSetup.exe FSP=fspserver.constoso.com

Internetbasierte Clientverwaltung

Wenn der Configuration Manager-Standort die internetbasierte Clientverwaltung für Clients unterstützt, die sich manchmal in einem Intranet und manchmal im Internet befinden, haben Sie zwei Optionen, wenn Sie Clients im Intranet installieren:

• Schließen Sie die Eigenschaft CCMHOSTNAME=<internet FQDN of the internet-based management point> Client.msi bei der Installation des Clients ein, z. B. mithilfe der manuellen Installation oder des Clientpushs. Wenn Sie diese Methode verwenden, weisen Sie den Client direkt dem Standort zu. Die automatische Site-Zuweisung kann nicht verwendet werden. Ein Beispiel für diese Konfigurationsmethode finden Sie im Abschnitt "Manuelles Installieren von Konfigurations-Manager-Clients".

• Installieren Sie den Client für die Intranetclientverwaltung, und weisen Sie dem Client dann einen internetbasierten Clientverwaltungspunkt zu. Ändern Sie den Verwaltungspunkt mithilfe der Clienteigenschaften auf der Seite Konfigurations-Manager in der Systemsteuerung oder mithilfe eines Skripts. Wenn Sie diese Methode verwenden, können Sie die automatische Clientzuweisung verwenden. Weitere Informationen finden Sie im Abschnitt Konfigurieren von Clients für die internetbasierte Clientverwaltung nach der Clientinstallation .

Wählen Sie eine der folgenden unterstützten Methoden aus, um Clients zu installieren, die sich im Internet befinden:

• Stellen Sie einen Mechanismus zur Verfügung, mit dem diese Clients vorübergehend über ein VPN eine Verbindung mit dem Intranet herstellen können. Installieren Sie dann den Client mit einer geeigneten Clientinstallationsmethode.

• Verwenden Sie eine vom Konfigurations-Manager unabhängige Installationsmethode. Verpacken Sie beispielsweise die Quelldateien der Clientinstallation auf Wechselmedien, und senden Sie sie an die Benutzer. Die Quelldateien der <installation path>\Client Clientinstallation befinden sich im Ordner auf dem Konfigurations-Manager-Standortserver. Fügen Sie auf dem Medium ein Skript hinzu, um den Clientordner manuell zu kopieren. Installieren Sie den Client aus diesem Ordner heraus, indem Sie CCMSetup.exe und alle entsprechenden CCMSetup-Befehlszeileneigenschaften verwenden.

Clients, die über das Internet verwaltet werden, müssen mit internetbasierten Standortsystemen kommunizieren. Stellen Sie sicher, dass diese Clients auch über PKI-Zertifikate (Public Key Infrastructure) verfügen, bevor Sie den Client installieren. Installieren Sie diese Zertifikate unabhängig vom Konfigurations-Manager. Weitere Informationen finden Sie unter Anforderungen an PKI-Zertifikate.

Installieren Sie Clients im Internet durch Angabe der CCMSetup-Befehlszeileneigenschaften

1. Befolgen Sie die Anweisungen im Abschnitt Manuelles Installieren von Konfigurations-Manager-Clients. Berücksichtigen Sie immer die folgenden Optionen:

   • CCMSetup Befehlszeilenparameter /source:<local path of the copied Client folder>

   • CCMSetup Befehlszeilenparameter /UsePKICert

   • Client.msi Eigenschaft CCMHOSTNAME=<FQDN of internet-based management point>

   • Client.msi Eigenschaft SMSSIGNCERT=<local path of exported site server signing certificate>

   • Client.msi Eigenschaft SMSSITECODE=<site code of internet-based management point>

   Hinweis

   Wenn die Website über mehrere internetbasierte Verwaltungspunkte verfügt, spielt es keine Rolle, welchen Sie für die CCMHOSTNAME Eigenschaft angeben. Wenn ein Konfigurations-Manager Client eine Verbindung mit dem angegebenen internetbasierten Verwaltungspunkt herstellt, sendet er dem Client eine Liste der verfügbaren internetbasierten Verwaltungspunkte am Standort. Der Client wählt zufällig eine aus der Liste aus.

2. Wenn der Client die Zertifikatssperrliste (Certificate Revocation List, CRL) nicht überprüfen soll, geben Sie den Befehlszeilenparameter /NoCRLCheckCCMSetup an.

3. Wenn Sie einen internetbasierten Fallback-status Punkt verwenden, geben Sie die Eigenschaft Client.msi anFSP=<internet FQDN of the internet-based fallback status point>.

4. Wenn Sie den Client für die reine Internetclientverwaltung installieren, geben Sie die Client.msi CCMALWAYSINF=1Eigenschaft an.

5. Legen Sie fest, ob Sie zusätzliche CCMSetup-Befehlszeilenparameter angeben müssen. Wenn der Client beispielsweise über mehr als ein gültiges PKI-Zertifikat verfügt, müssen Sie möglicherweise ein Auswahlkriterium für Zertifikate angeben. Eine Liste der verfügbaren Eigenschaften finden Sie unter Informationen zu Clientinstallationsparametern und -eigenschaften.

Internetbasiertes Beispiel

CCMSetup.exe /source: D:\Clients /UsePKICert CCMHOSTNAME=server1.contoso.com SMSSIGNCERT=siteserver.cer SMSSITECODE=ABC FSP=server2.contoso.com CCMALWAYSINF=1 CCMFIRSTCERT=1

In diesem Beispiel wird der Client mit den folgenden Verhaltensweisen installiert:

• Verwenden Sie Quelldateien aus einem Ordner auf Laufwerk D.
• Verwenden Sie ein Client-PKI-Zertifikat.
• Wählen Sie das Zertifikat mit der längsten Gültigkeitsdauer aus.
• Nur-Internet-Clientverwaltung.
• Weisen Sie dem Client die Verwendung des internetbasierten Verwaltungspunkts SERVER1 zu.
• Weisen Sie den internetbasierten Fallbackpunkt status in der Domäne contoso.com zu.
• Weisen Sie den Client dem Standort ABC zu.

So konfigurieren Sie Clients für die internetbasierte Clientverwaltung nach der Clientinstallation

Verwenden Sie eines der folgenden Verfahren, um den internetbasierten Verwaltungspunkt nach der Installation des Clients zuzuweisen. Die erste erfordert eine manuelle Konfiguration und ist für einige wenige Clients geeignet. Die zweite ist besser geeignet, um viele Clients zu konfigurieren.

Konfigurieren von Clients für die internetbasierte Clientverwaltung nach der Clientinstallation über die Konfigurations-Manager-Systemsteuerung

1. Öffnen Sie die Systemsteuerung des Konfigurations-Manager auf dem Client.

2. Geben Sie auf der Registerkarte Netzwerk den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) des internetbasierten Verwaltungspunkts als Internet-FQDN ein.

   Hinweis

   Die Registerkarte Netzwerk ist nur verfügbar, wenn der Client über ein Client-PKI-Zertifikat verfügt.

3. Wenn der Client über einen Proxyserver auf das Internet zugreift, geben Sie die Proxyservereinstellungen ein.

Konfigurieren von Clients für die internetbasierte Clientverwaltung nach der Clientinstallation mithilfe eines Skripts

PowerShell

1. Öffnen Sie einen Inline-Editor von PowerShell, z. B. PowerShell ISE oder Visual Studio Code. Sie können auch einen Text-Editor wie Editor verwenden.

2. Kopieren Sie die folgenden Codezeilen und fügen Sie sie in den Editor ein. Ersetzen Sie 'mp.contoso.com' diese durch den Internet-FQDN Ihres internetbasierten Verwaltungspunkts.

   $newInternetBasedManagementPointFQDN = 'mp.contoso.com'
   $client = New-Object -ComObject Microsoft.SMS.Client
   $client.SetInternetManagementPointFQDN($newInternetBasedManagementPointFQDN)
   Restart-Service CcmExec
   $client.GetInternetManagementPointFQDN()
   

   Hinweis

   Die letzte Zeile dient nur dazu, den neuen Wert des Internetverwaltungspunkts zu überprüfen.

   Um einen angegebenen internetbasierten Verwaltungspunkt zu löschen, entfernen Sie den FQDN-Wert des Servers in den Anführungszeichen. Die Zeile wird zu $newInternetBasedManagementPointFQDN = ''.

3. Speichern Sie die Datei mit der Erweiterung .ps1.

4. Führen Sie das Skript mit erhöhten Rechten auf Clientcomputern aus. Wenden Sie eine der folgenden Methoden an:

   • Stellen Sie die Datei mithilfe eines Pakets und eines Programms auf vorhandenen Konfigurations-Manager-Clients bereit.

   • Führen Sie die Datei lokal auf vorhandenen Konfigurations-Manager-Clients aus, indem Sie im Datei-Explorer auf die Skriptdatei doppelklicken.

Möglicherweise müssen Sie den Client neu starten, damit die Änderungen wirksam werden.

Bereitstellen von Eigenschaften der Clientinstallation

Bereitstellen von Clientinstallationseigenschaften für Gruppenrichtlinien- und softwareupdatebasierte Clientinstallationen. Verwenden Sie die Windows-Gruppenrichtlinie, um Computern Eigenschaften für die Konfigurations-Manager-Clientinstallation bereitzustellen. Diese Eigenschaften werden in der Registrierung des Computers gespeichert. Der Client liest sie bei der Installation. Dieses Verfahren ist normalerweise nicht erforderlich, kann jedoch für einige Clientinstallationsszenarien erforderlich sein, z. B.:

• Sie verwenden die Gruppenrichtlinieneinstellungen oder Softwareupdate-basierte Clientinstallationsmethoden. Sie haben das Active Directory-Schema für Konfigurations-Manager nicht erweitert.

• Sie möchten die Eigenschaften der Clientinstallation auf bestimmten Computern außer Kraft setzen.

Eine administrative Gruppenrichtlinienvorlage namens ConfigMgrInstallation.adm wird auf dem Installationsmedium von Konfigurations-Manager bereitgestellt. Verwenden Sie diese Vorlage, um Clientcomputern Installationseigenschaften bereitzustellen.

Konfigurieren und Zuweisen von Clientinstallationseigenschaften mithilfe eines Gruppenrichtlinienobjekts

1. Importieren Sie die administrative Vorlage "ConfigMgrInstallation.adm" in ein neues oder vorhandenes Gruppenrichtlinienobjekt (GPO), indem Sie einen Editor wie den Windows-Gruppenrichtlinien-Editor verwenden. Sie finden diese Datei im TOOLS\ConfigMgrADMTemplates Ordner auf dem Konfigurations-Manager-Installationsmedium.

2. Öffnen Sie die Eigenschaften der importierten Einstellung Konfigurieren der Clientbereitstellungseinstellungen.

3. Wählen Sie Aktiviert aus.

4. Geben Sie im Feld CCMSetup die erforderlichen CCMSetup-Befehlszeileneigenschaften ein. Eine Liste aller CCMSetup-Befehlszeileneigenschaften und Beispiele für deren Verwendung finden Sie unter Informationen zu Clientinstallationsparametern und -eigenschaften.

5. Weisen Sie das Gruppenrichtlinienobjekt den Computern zu, die Sie mit Konfigurations-Manager Clientinstallationseigenschaften bereitstellen möchten.