Proxyserverunterstützung im Konfigurations-Manager

Gilt für: Konfigurations-Manager (Current Branch)

Einige Konfigurations-Manager-Komponenten erfordern Verbindungen mit dem Internet. Wenn in Ihrer Umgebung Internetdatenverkehr über einen Proxyserver kommunizieren muss, konfigurieren Sie diese Systeme für die Verwendung des Proxys.

• Ein Computer, der einen Standortsystemserver hostet, unterstützt eine einzelne Proxyserverkonfiguration. Alle Standortsystemrollen auf diesem Computer verwenden dieselbe Proxykonfiguration. Wenn Sie separate Proxyserver für unterschiedliche Rollen oder Instanzen einer Rolle benötigen, platzieren Sie diese Rollen auf separaten Standortsystemservern.

• Wenn Sie neue Proxyservereinstellungen für einen Standortsystemserver konfigurieren, der bereits über eine Proxyserverkonfiguration verfügt, wird die ursprüngliche Konfiguration überschrieben.

• Standardmäßig verwenden Verbindungen mit dem Proxy das Systemkonto des Computers, der die Standortsystemrolle hostet.

• Wenn das Computerkonto nicht authentifiziert werden kann, kann der Standortsystemserver Anmeldeinformationen des Benutzers speichern, um eine Verbindung mit dem Proxyserver herzustellen. Bei diesen Anmeldeinformationen handelt es sich um das Konto des Standortsystemproxyservers.

• Wenn Sie die Konfigurations-Manager Konsole auf administrativen Arbeitsstationen installieren, verwenden einige Verbindungen die Proxykonfiguration.

Standortsystemrollen, die einen Proxy verwenden

Die folgenden Standortsystemrollen stellen eine Verbindung mit dem Internet her und können bei Bedarf einen Proxyserver verwenden:

Asset Intelligence-Synchronisationspunkt

Diese Standortsystemrolle stellt eine Verbindung mit Microsoft her und verwendet eine Proxyserverkonfiguration auf dem Computer, auf dem der Asset Intelligence-Synchronisierungspunkt gehostet wird.

Cloudverteilungspunkt

Die Rolle "Cloudverteilungspunkt" wird in Microsoft Azure ausgeführt. Sie konfigurieren diese Standortsystemrolle nicht für die Verwendung eines Proxys. Legen Sie die Proxykonfiguration auf dem primären Standortserver fest, der den Cloudverteilungspunkt verwaltet.

Für diese Konfiguration gilt für den primären Standortserver:

• Muss in der Lage sein, eine Verbindung mit Microsoft Azure herzustellen, um Inhalte einzurichten, zu überwachen und an den Cloudverteilungspunkt zu verteilen.

• Verwendet standardmäßig das Systemkonto des Computers, um die Verbindung herzustellen. Bei Bedarf kann auch das Standortsystemproxyserverkonto verwendet werden.

• Verwendet Windows-Webbrowser-APIs.

Verbindungspunkt für Cloudverwaltungsgateway

Der Verbindungspunkt für das Cloudverwaltungsgateway (Cloud Management Gateway, CMG) ist eine lokale Rolle, die mit dem CMG-Dienst in Azure kommuniziert. Weitere Informationen finden Sie unter Übersicht über CMG.

Verteilungspunkt

Wenn Sie einen Konfigurations-Manager Verteilungspunkt für Microsoft Connected Cache aktivieren, kann er ab Konfigurations-Manager Version 2603 oder nach der Installation von KB33247081 über einen Proxyserver für den Internetzugriff kommunizieren. Frühere Versionen erfordern eine direkte Internetverbindung oder einen Proxy, der relative URIs unterstützt. Weitere Informationen finden Sie unter Microsoft Connected Cache.

Exchange Server-Connector

Diese Standortsystemrolle stellt eine Verbindung mit einem Exchange Server her. Es verwendet eine Proxyserverkonfiguration auf dem Computer, der den Exchange Server Connector hostet.

Verwaltungspunkt

Die Microsoft Entra-Tokenüberprüfung wird im Systemkontext (lokales System) mithilfe des .NET Framework HTTP-Stapels ausgeführt. Wenn der Verwaltungspunkt über einen Proxy mit dem Internet verbunden ist, muss der Proxy für das lokale Systemkonto über seine WinINET-Einstellungen (Windows-Internet oder Internetoptionen) verfügbar sein.

WinINET-Proxy im Systemkontext konfigurieren

Verwenden Sie eine der folgenden Methoden, um den Proxy für das lokale Systemkonto auf dem Verwaltungspunktserver festzulegen:

• Registrierung: Legen Sie die folgenden Werte fest unter HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings:

  • ProxyEnable (DWORD) = 1
  • ProxyServer (String) = <proxyservername>:<portnumber>, z. B. proxy.domain.example.com:80
  • ProxyOverride (String) = optionale Proxy-Umgehungsliste, z. B. <local>

• Internetoptionen im Systemkontext: Öffnen Sie die Internetoptionen als lokales Systemkonto und konfigurieren Sie den LAN-Proxy. Verwenden Sie beispielsweise PsExec , um den Browser als Systemkonto zu starten:

  PsExec.exe -i -s "C:\Program Files\Internet Explorer\iexplore.exe"
  

  Gehen Sie dann zu Internetoptionen>, Verbindungen>, LAN-Einstellungen und konfigurieren Sie den Proxyserver.

Nachdem Sie den Proxy geändert haben, starten Sie den SMS_EXECUTIVE Dienst auf dem Verwaltungspunkt neu, damit die neue Einstellung wirksam wird.

Überprüfen und Problembehandlung

Wenn der Verwaltungspunkt die Microsoft Entra-Endpunkte nicht erreichen kann, protokolliert der CCM_STS_ManagedBase.log Verwaltungspunkt einen MISE12034 Fehler mit einem zugrunde liegenden SocketException oderHttpRequestException. Mit Microsoft Entra verbundene Clients können dann kein Token abrufen und protokollieren einen vorübergehenden Fehler wie z. B0x87d00231. in ClientIDManagerStartup.

Um die Konnektivität vom Verwaltungspunkt im Systemkontext zu bestätigen, führen Sie den folgenden Befehl als lokales Systemkonto aus (z. B. mit PsExec.exe -i -s cmd):

Invoke-WebRequest "https://login.microsoftonline.com/<TenantID>/.well-known/openid-configuration" -UseBasicParsing

Weitere Informationen zu dieser Anforderung finden Sie unter Verwaltungspunkt erfordert Internetzugriff für die Microsoft Entra-Tokenüberprüfung.

Dienstverbindungspunkt

Diese Standortsystemrolle stellt eine Verbindung mit dem Konfigurations-Manager-Clouddienst her, um Versionsupdates für Konfigurations-Manager herunterzuladen. Es wird ein Proxyserver verwendet, der auf dem Computer konfiguriert wird, auf dem der Dienstverbindungspunkt gehostet wird.

Softwareupdatepunkt

Diese Standortsystemrolle verwendet den Proxy, wenn sie eine Verbindung mit Microsoft Update herstellt, um Patches herunterzuladen und Informationen zu Updates zu synchronisieren. Wie bei jeder anderen Standortsystemrolle müssen Sie zuerst die Proxyeinstellungen für das Standortsystem konfigurieren. Konfigurieren Sie dann die folgenden Optionen speziell für den Softwareupdatepunkt:

• Verwenden eines Proxyservers zum Synchronisieren von Softwareupdates

• Verwenden eines Proxyservers beim Herunterladen von Inhalten mithilfe automatischer Bereitstellungsregeln

  Hinweis

  Diese Einstellung ist zwar verfügbar, wird aber nicht von Softwareupdatepunkten an sekundären Standorten verwendet.

Sie finden diese Einstellungen auf der Registerkarte "Proxy- und Kontoeinstellungen " in den Eigenschaften des Softwareupdatepunkts.

Andere Features, die den Proxy verwenden

Die folgenden Features verwenden den Proxy des Standortsystems, das die Rolle des Dienstverbindungspunkts hostet:

• Microsoft Entra Benutzerermittlung
• Microsoft Entra Benutzergruppenermittlung
• Synchronisieren von Ergebnissen einer Sammlungsmitgliedschaft mit Microsoft Entra-Gruppen

Konfigurieren des Proxys für einen Standortsystemserver

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Verwaltung. Erweitern Sie Standortkonfiguration, und wählen Sie dann den Knoten Server- und Standortsystemrollen aus.

2. Wählen Sie den Standortsystemserver aus, den Sie bearbeiten möchten. Klicken Sie im Detailbereich mit der rechten Maustaste auf die Standortsystemrolle , und wählen Sie Eigenschaften aus.

3. Wechseln Sie in den Eigenschaften des Standortsystems zur Registerkarte Proxy . Konfigurieren Sie die folgenden Proxyeinstellungen:

   • Proxyserver beim Synchronisieren von Informationen aus dem Internet verwenden: Wählen Sie diese Option aus, um dem Standortsystemserver die Verwendung eines Proxyservers zu ermöglichen.

   • Proxyservername: Geben Sie den Hostnamen oder FQDN des Proxyservers in Ihrer Umgebung an.

   • Port: Geben Sie den Netzwerkport an, an dem mit dem Proxyserver kommuniziert werden soll. Standardmäßig wird Port 80 verwendet.

   • Verwenden Sie Anmeldeinformationen, um eine Verbindung mit dem Proxyserver herzustellen: Bei vielen Proxyservern muss sich ein Benutzer authentifizieren. Standardmäßig verwendet der Standortsystemserver sein Computerkonto, um eine Verbindung mit dem Proxyserver herzustellen. Aktivieren Sie diese Option bei Bedarf, klicken Sie auf Festlegen, und wählen Sie dann ein vorhandenes Konto aus, oder geben Sie ein neues Konto an. Bei diesen Anmeldeinformationen handelt es sich um das Konto des Standortsystemproxyservers. Weitere Informationen finden Sie unter Konten, die im Konfigurations-Manager verwendet werden.

4. Wählen Sie OK aus, um die neue Proxyserverkonfiguration zu speichern.

Konfigurations-Manager-Konsole

Wenn Sie die Konfigurations-Manager Konsole auf einer administrativen Arbeitsstation installieren, verwenden einige Verbindungen die Proxykonfiguration. Die Konsole kann aufgrund einer Proxykonfiguration möglicherweise keine Verbindung mit dem Standort herstellen. Zur Problembehandlung können Sie die Konsolenkonfigurationsdatei ändern. Microsoft.ConfigurationManagement.exe.config Standardmäßig befindet sich diese Datei in C:\Program Files (x86)\Microsoft Endpoint Manager\AdminConsole\bin. Öffnen Sie sie in Windows Notepad oder einem anderen XML-Editor.

Ändern Sie diese ursprüngliche Einstellung:

  <system.net>
    <defaultProxy useDefaultCredentials="true" />
  </system.net>

Fügen Sie das folgende Element mit dem defaultProxy Element hinzu: <proxy usesystemdefault="False"/></defaultProxy>

Zum Beispiel:

  <system.net>
    <defaultProxy useDefaultCredentials="true"><proxy usesystemdefault="False"/></defaultProxy>
  </system.net>

Nächste Schritte

Wenn Ihre organization die Netzwerkkommunikation mit dem Internet mithilfe einer Firewall oder eines Proxygeräts einschränkt, müssen Sie den Zugriff auf Internetendpunkte zulassen. Weitere Informationen finden Sie unter Anforderungen an den Internetzugriff.