Informationen zu Ermittlungsmethoden für Configuration Manager

Gilt für: Configuration Manager (Current Branch)

Configuration Manager-Erkennungsmethoden finden verschiedene Geräte in Ihrem Netzwerk, Geräte und Benutzer aus Active Directory oder Benutzer aus Microsoft Entra ID. Um eine Ermittlungsmethode effizient verwenden zu können, sollten Sie die verfügbaren Konfigurationen und Einschränkungen kennen.

Ermittlung der Active Directory-Gesamtstruktur

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Active Directory-Gesamtstruktur-Konto (benutzerdefiniert)

• Computerkonto des Standortservers

Im Gegensatz zu anderen Active Directory-Ermittlungsmethoden werden bei der Ermittlung der Active Directory-Gesamtstruktur keine Ressourcen ermittelt, die Sie verwalten können. Stattdessen ermittelt diese Methode Netzwerkadressen, die in Active Directory konfiguriert sind. Er kann diese Positionen in Grenzen konvertieren, die Sie in Ihrer gesamten Hierarchie verwenden können.

Wenn diese Methode ausgeführt wird, durchsucht sie die lokale Active Directory-Gesamtstruktur, jede vertrauenswürdige Gesamtstruktur und andere Gesamtstrukturen, die Sie im Knoten Active Directory-Gesamtstrukturen der Configuration Manager-Konsole konfigurieren.

Verwenden Sie die Ermittlung der Active Directory-Gesamtstruktur für Folgendes:

• Ermitteln Sie Active Directory-Standorte und Subnetze, und erstellen Sie dann Configuration Manager-Grenzen basierend auf diesen Netzwerkadressen.

• Identifizieren Sie Supernets, die einem Active Directory-Standort zugewiesen sind. Konvertieren Sie jedes Supernet in eine IP-Adressbereichsgrenze.

• Veröffentlichen in Active Directory Domain Services (AD DS) in einer Gesamtstruktur, wenn die Veröffentlichung in dieser Gesamtstruktur aktiviert ist. Das angegebene Konto in der Active Directory-Gesamtstruktur muss über Berechtigungen für diese Gesamtstruktur verfügen.

Sie können die Ermittlung der Active Directory-Gesamtstruktur in der Configuration Manager-Konsole verwalten. Wechseln Sie zum Arbeitsbereich "Verwaltung", und erweitern Sie " Hierarchiekonfiguration".

• Ermittlungsmethoden: Aktivieren Sie die Ermittlung der Active Directory-Gesamtstruktur auf der obersten Ebene Ihrer Hierarchie. Sie können auch einen Zeitplan für die Ausführung der Ermittlung angeben. Konfigurieren Sie diese so, dass automatisch Begrenzungen von den erkannten IP-Subnetzen und Active Directory-Standorten erstellt werden. Die Ermittlung der Active Directory-Gesamtstruktur kann nicht an einem untergeordneten primären Standort oder an einem sekundären Standort ausgeführt werden.

• Active Directory-Gesamtstrukturen: Konfigurieren Sie die anderen zu ermittelnden Gesamtstrukturen, geben Sie jedes Konto der Active Directory-Gesamtstruktur an, und konfigurieren Sie die Veröffentlichung für jede Gesamtstruktur. Überwachen Sie den Ermittlungsprozess. Fügen Sie IP-Subnetze und Active Directory-Standorte als Configuration Manager-Grenzen und Mitglieder von Begrenzungsgruppen hinzu.

Um die Veröffentlichung für Active Directory-Gesamtstrukturen für jeden Standort in Ihrer Hierarchie zu konfigurieren, verbinden Sie Ihre Configuration Manager-Konsole mit dem Standort der obersten Ebene in Ihrer Hierarchie. Auf der Registerkarte "Veröffentlichen " im Dialogfeld "Eigenschaften " einer Active Directory-Site können nur der aktuelle Standort und die zugehörigen untergeordneten Standorte angezeigt werden. Wenn die Veröffentlichung für eine Gesamtstruktur aktiviert ist und das Schema dieser Gesamtstruktur für den Configuration Manager erweitert wird, werden die folgenden Informationen für jeden Standort veröffentlicht, der für die Veröffentlichung in dieser Active Directory-Gesamtstruktur aktiviert ist:

• SMS-Site-<site code>

• SMS-MP-<site code>-<site system server name>

• SMS-SLP-<site code>-<site system server name>

• SMS-<site code>-<Active Directory site name or subnet>

Aktionen für die Ermittlung der Active Directory-Gesamtstruktur werden in den folgenden Protokollen aufgezeichnet:

• Alle Aktionen, mit Ausnahme von Aktionen im Zusammenhang mit der Veröffentlichung, werden in der Datei ADForestDisc.Log im <Ordner InstallationPath>\Logs auf dem Standortserver aufgezeichnet.

• Veröffentlichungsaktionen der Active Directory-Gesamtstrukturermittlung werden in den Dateien "hman.log " und "sitecomp.log " im <Ordner "InstallationPath>\Logs" auf dem Standortserver aufgezeichnet.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Active Directory-Gruppenermittlung

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Active Directory-Gruppenermittlungskonto (benutzerdefiniert)

• Computerkonto des Standortservers

Verwenden Sie diese Methode, um Active Directory Domain Services zu durchsuchen, um Folgendes zu ermitteln:

• Lokale, globale und universelle Sicherheitsgruppen.

• Die Mitgliedschaft in Gruppen.

• Begrenzte Informationen zu den Computern und Benutzern der Mitglieder einer Gruppe, auch wenn diese Computer und Benutzer von einer anderen Ermittlungsmethode zuvor nicht ermittelt wurden.

Diese Ermittlungsmethode dient dazu, Gruppen und die Gruppenbeziehungen von Gruppenmitgliedern zu identifizieren. Standardmäßig werden nur Sicherheitsgruppen ermittelt. Wenn Sie auch die Mitgliedschaft in Verteilergruppen ermitteln möchten, müssen Sie im Dialogfeld "Eigenschaften" der Active Directory-Gruppenermittlung auf der Registerkarte "Option" das Kontrollkästchen für die Option "Mitgliedschaft in Verteilergruppen ermitteln" aktivieren.

Die Active Directory-Gruppenermittlung unterstützt nicht die erweiterten Active Directory-Attribute, die mithilfe der Active Directory-Systemermittlung oder der Active Directory-Benutzerermittlung identifiziert werden können. Da diese Ermittlungsmethode nicht für die Ermittlung von Computer- und Benutzerressourcen optimiert ist, sollten Sie diese Ermittlungsmethode ausführen, nachdem Sie die Active Directory-Systemermittlung und die Active Directory-Benutzerermittlung ausgeführt haben. Dies liegt daran, dass diese Methode einen vollständigen Ermittlungsdatensatz (DDR) für Gruppen erstellt, aber nur einen begrenzten DDR für Computer und Benutzer, die Mitglieder von Gruppen sind.

Sie können die folgenden Ermittlungsbereiche konfigurieren, die steuern, wie diese Methode nach Informationen sucht:

• Speicherort: Verwenden Sie einen Speicherort, wenn Sie einen oder mehrere Active Directory-Container durchsuchen möchten. Diese Bereichsoption unterstützt eine rekursive Suche der angegebenen Active Directory-Container. Dieser Prozess durchsucht jeden untergeordneten Container unter dem von Ihnen angegebenen Container. Sie wird fortgesetzt, bis keine weiteren untergeordneten Container gefunden werden.

• Gruppen: Verwenden Sie Gruppen, wenn Sie eine oder mehrere bestimmte Active Directory-Gruppen durchsuchen möchten. Sie können die Active Directory-Domäne so konfigurieren, dass die Standarddomäne und Gesamtstruktur verwendet wird, oder die Suche auf einen einzelnen Domänencontroller beschränken. Darüber hinaus können Sie eine oder mehrere Gruppen angeben, die durchsucht werden sollen. Wenn Sie nicht mindestens eine Gruppe angeben, werden alle Gruppen durchsucht, die am angegebenen Speicherort einer Active Directory-Domäne gefunden wurden.

Aktionen für die Active Directory-Gruppenermittlung werden in der Datei adsgdis.log<InstallationPath>\LOGS im Ordner auf dem Standortserver aufgezeichnet.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Active Directory-Systemermittlung

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Active Directory-Systemermittlungskonto (benutzerdefiniert)

• Computerkonto des Standortservers

Verwenden Sie diese Ermittlungsmethode, um die angegebenen Speicherorte der Active Directory Domain Services nach Computerressourcen zu durchsuchen, die zum Erstellen von Sammlungen und Abfragen verwendet werden können. Sie können den Configuration Manager-Client auch auf einem ermittelten Gerät installieren, indem Sie die Clientpushinstallation verwenden.

Standardmäßig ermittelt diese Methode grundlegende Informationen über den Computer, einschließlich der folgenden Attribute:

• Name des Computers

• Betriebssystem und Version

• Active Directory-Containername

• IP-Adresse

• Active Directory-Standorte

• Zeitstempel der letzten Anmeldung

Um einen DDR für einen Computer erfolgreich zu erstellen, muss die Active Directory-Systemermittlung in der Lage sein, das Computerkonto zu identifizieren und dann den Computernamen erfolgreich in eine IP-Adresse aufzulösen.

Im Dialogfeld "Eigenschaften der Active Directory-Systemermittlung" auf der Registerkarte "Active Directory-Attribute " können Sie die vollständige Liste der erkannten Standardobjektattribute anzeigen. Sie können die Methode auch zum Ermitteln erweiterter Attribute konfigurieren.

Aktionen für die Active Directory-Systemermittlung werden in der Datei adsysdis.log im <InstallationPath>\LOGS Ordner auf dem Standortserver aufgezeichnet.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Active Directory-Benutzerermittlung

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Active Directory-Benutzerermittlungskonto (benutzerdefiniert)

• Computerkonto des Standortservers

Verwenden Sie diese Ermittlungsmethode, um Active Directory Domain Services nach Benutzerkonten und zugehörigen Attributen zu durchsuchen. Standardmäßig ermittelt diese Methode grundlegende Informationen zum Benutzerkonto, einschließlich der folgenden Attribute:

• Benutzername

• Eindeutiger Benutzername, der den Domänennamen enthält

• Domäne

• Active Directory-Containernamen

Im Dialogfeld "Eigenschaften der Active Directory-Benutzerermittlung" auf der Registerkarte "Active Directory-Attribute " können Sie die vollständige Standardliste der erkannten Objektattribute anzeigen. Sie können die Methode auch zum Ermitteln erweiterter Attribute konfigurieren.

Aktionen für die Active Directory-Benutzerermittlung werden in der Datei adusrdis.log<InstallationPath>\LOGS im Ordner auf dem Standortserver aufgezeichnet.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Microsoft Entra Benutzerermittlung

Verwenden Sie Microsoft Entra User Discovery, um Ihr Microsoft Entra-Abonnement nach Benutzern mit einer modernen Cloudidentität zu durchsuchen. Bei der Benutzerermittlung von Microsoft Entra können die folgenden Attribute gefunden werden:

• objectId
• displayName
• mail
• mailNickname
• onPremisesSecurityIdentifier
• userPrincipalName
• tenantID
• onPremisesDomainName
• onPremisesSamAccountName
• onPremisesDistinguishedName

Diese Methode unterstützt die vollständige und Delta-Synchronisierung von Benutzerattributen aus Microsoft Entra ID. Diese Informationen können dann zusammen mit den Ermittlungsdaten verwendet werden, die Sie von den anderen Ermittlungsmethoden sammeln.

Aktionen für Microsoft Entra Benutzerermittlung werden in der Datei SMS_AZUREAD_DISCOVERY_AGENT.log auf dem obersten Standortserver der Hierarchie aufgezeichnet.

Informationen zum Konfigurieren der Microsoft Entra-Benutzerermittlung finden Sie unter Konfigurieren von Azure Services für die Cloudverwaltung. Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren der Microsoft Entra-Benutzerermittlung.

Microsoft Entra Benutzergruppenermittlung

Sie können Benutzergruppen und Mitglieder dieser Gruppen über Microsoft Entra ID ermitteln. Bei der Microsoft Entra-Benutzergruppenermittlung können die folgenden Attribute gefunden werden:

• objectId
• displayName
• mailNickname
• onPremisesSecurityIdentifier
• tenantID

Aktionen für Microsoft Entra Ermittlung von Benutzergruppen werden in der Datei "SMS_AZUREAD_DISCOVERY_AGENT.log" auf dem obersten Standortserver der Hierarchie aufgezeichnet. Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren der Microsoft Entra-Benutzergruppenermittlung.

Ermittlung des Takts

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Computerkonto des Standortservers

Die Taktermittlung unterscheidet sich von anderen Configuration Manager-Ermittlungsmethoden. Es ist standardmäßig aktiviert und wird auf jedem Computerclient statt auf einem Standortserver ausgeführt, um einen DDR zu erstellen. Um den Datenbankdatensatz von Configuration Manager-Clients zu verwalten, deaktivieren Sie die Erkennung des Takts nicht. Zusätzlich zur Verwaltung des Datenbankeintrags kann diese Methode die Erkennung eines Computers als neuen Ressourceneintrag erzwingen. Sie kann auch den Datenbankeintrag eines Computers, der aus der Datenbank gelöscht wurde, erneut auffüllen.

Die Ermittlung des Takts wird nach einem Zeitplan ausgeführt, der für alle Clients in der Hierarchie konfiguriert ist. Der Standardzeitplan für die Ermittlung des Takts ist auf alle sieben Tage festgelegt. Wenn Sie das Intervall für die Ermittlung des Takts ändern, stellen Sie sicher, dass es häufiger ausgeführt wird als der Site-Wartungstask Alte Ermittlungsdaten löschen. Diese Aufgabe löscht inaktive Clientdatensätze aus der Standortdatenbank. Sie können den Task "Gelöschte alte Ermittlungsdaten " nur für primäre Standorte konfigurieren.

Sie können die Taktermittlung auch manuell auf einem bestimmten Client ausführen. Führen Sie den Sammlungszyklus für Ermittlungsdaten auf der Registerkarte "Aktion" in der Configuration Manager Systemsteuerung eines Clients aus.

Wenn die Heartbeat-Ermittlung ausgeführt wird, wird ein DDR erstellt, der die aktuellen Informationen des Clients enthält. Der Client kopiert diese kleine Datei dann auf einen Verwaltungspunkt, damit ein primärer Standort sie verarbeiten kann. Die Datei ist etwa 1 KB groß und enthält die folgenden Informationen:

• Netzwerkadresse

• NetBIOS-Name

• Version des Client-Agents

• Details zum BetriebsStatus

Die Ermittlung des Takts ist die einzige Ermittlungsmethode, die Details zum Status der Clientinstallation bereitstellt. Dazu wird das Clientattribut der Systemressource aktualisiert, um den Wert Ja festzulegen.

Aktionen zur Ermittlung des Takts werden auf dem Client in der InventoryAgent.log Datei im %Windir%\CCM\Logs Ordner protokolliert.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Netzwerkerkennung

Konfigurierbar: Nein

Standardmäßig aktiviert: Nein

Konten , die Sie verwenden können, um diese Methode auszuführen:

• Computerkonto des Standortservers

Verwenden Sie diese Methode, um die Topologie Ihres Netzwerks sowie Geräte in Ihrem Netzwerk zu ermitteln, die über eine IP-Adresse verfügen. Die Netzwerkerkennung durchsucht Ihr Netzwerk nach IP-fähigen Ressourcen, indem sie die folgenden Quellen abfragt:

• Server, auf denen eine Microsoft-Implementierung von DHCP ausgeführt wird
• ARP-Caches (Address Resolution Protocol) in Netzwerkroutern
• SNMP-fähige Geräte
• Active Directory-Domänen

Bevor Sie die Netzwerkermittlung verwenden können, müssen Sie die auszuführende Ermittlungsebene angeben. Sie konfigurieren auch einen oder mehrere Erkennungsmechanismen, die es der Netzwerkerkennung ermöglichen, Netzwerksegmente oder Geräte abzufragen. Sie können auch Einstellungen konfigurieren, mit denen Ermittlungsaktionen im Netzwerk gesteuert werden können. Schließlich definieren Sie einen oder mehrere Zeitpläne für die Ausführung der Netzwerkerkennung.

Damit diese Methode eine Ressource erfolgreich ermitteln kann, muss die Netzwerkerkennung die IP-Adresse und die Subnetzmaske der Ressource identifizieren. Die folgenden Methoden werden verwendet, um die Subnetzmaske eines Objekts zu identifizieren:

• Router-ARP-Cache: Die Netzwerkermittlung fragt den ARP-Cache eines Routers ab, um Subnetzinformationen zu finden. In der Regel haben Daten in einem Router-ARP-Cache nur eine kurze Lebensdauer. Wenn die Netzwerkerkennung den ARP-Cache abfragt, verfügt der ARP-Cache daher möglicherweise nicht mehr über Informationen zum angeforderten Objekt.

• DHCP: Die Netzwerkermittlung fragt jeden DHCP-Server ab, den Sie angeben, um die Geräte zu ermitteln, für die der DHCP-Server eine Lease bereitgestellt hat. Die Netzwerkerkennung unterstützt nur DHCP-Server, auf denen die Microsoft-Implementierung von DHCP ausgeführt wird.

• SNMP-Gerät: Die Netzwerkermittlung kann ein SNMP-Gerät direkt abfragen. Damit die Netzwerkermittlung ein Gerät abfragen kann, muss auf dem Gerät ein lokaler SNMP-Agent installiert sein. Konfigurieren Sie außerdem die Netzwerkerkennung so, dass der Community-Name verwendet wird, den der SNMP-Agent verwendet.

Wenn die Ermittlung ein IP-adressierbares Objekt identifiziert und die Subnetzmaske des Objekts bestimmen kann, erstellt sie einen DDR für dieses Objekt. Da verschiedene Gerätetypen eine Verbindung mit dem Netzwerk herstellen, erkennt die Netzwerkermittlung Ressourcen, die den Configuration Manager-Client nicht unterstützen. Zu den Geräten, die zwar ermittelt, aber nicht verwaltet werden können, gehören beispielsweise Drucker und Router.

Die Netzwerkermittlung kann mehrere Attribute als Teil des erstellten Ermittlungsdatensatzes zurückgeben. Zu diesen Attributen gehören:

• NetBIOS-Name

• IP-Adressen

• Ressourcendomäne

• Systemrollen

• SNMP-Communityname

• MAC-Adressen

Die Netzwerkerkennungsaktivität wird in der Netdisc.log Datei auf dem Standortserver aufgezeichnet InstallationPath>\Logs , der die Ermittlung ausführt.

Weitere Informationen zum Konfigurieren dieser Ermittlungsmethode finden Sie unter Konfigurieren von Ermittlungsmethoden.

Ebenen der Netzwerkermittlung

Wenn Sie die Netzwerkermittlung konfigurieren, geben Sie eine von drei Ermittlungsebenen an:

Mit jeder inkrementellen Stufe erhöht die Netzwerkermittlung die Aktivität und die Nutzung der Netzwerkbandbreite. Berücksichtigen Sie den Netzwerkdatenverkehr, der generiert werden kann, bevor Sie alle Aspekte der Netzwerkermittlung aktivieren.

Wenn Sie z. B. die Netzwerkermittlung zum ersten Mal verwenden, können Sie nur mit der Topologieebene beginnen, um Ihre Netzwerkinfrastruktur zu identifizieren. Konfigurieren Sie dann die Netzwerkermittlung neu, um Objekte und deren Gerätebetriebssysteme zu ermitteln. Sie können auch Einstellungen konfigurieren, die die Netzwerkermittlung auf einen bestimmten Bereich von Netzwerksegmenten beschränken. Auf diese Weise können Sie Objekte an Netzwerkspeicherorten ermitteln, die Sie benötigen, und unnötigen Netzwerkverkehr vermeiden. Auf diese Weise können Sie auch Objekte von Edgeroutern oder von außerhalb Ihres Netzwerks ermitteln.

Optionen für die Netzwerkermittlung

Konfigurieren Sie eine oder mehrere dieser Optionen, um die Netzwerkerkennung für die Suche nach IP-adressierbaren Geräten zu aktivieren.

DHCP

Geben Sie jeden DHCP-Server an, den die Netzwerkermittlung abfragen soll. Die Netzwerkerkennung unterstützt nur DHCP-Server, auf denen die Microsoft-Implementierung von DHCP ausgeführt wird.

• Die Netzwerkerkennung ruft Informationen mithilfe von Remoteprozeduraufrufen an die Datenbank auf dem DHCP-Server ab.

• Die Netzwerkerkennung kann sowohl 32-Bit- als auch 64-Bit-DHCP-Server nach einer Liste der Geräte abfragen, die bei jedem Server registriert sind.

• Damit die Netzwerkermittlung einen DHCP-Server erfolgreich abfragen kann, muss das Computerkonto des Servers, der die Ermittlung ausführt, Mitglied der Gruppe DHCP-Benutzer auf dem DHCP-Server sein. Diese Zugriffsebene ist beispielsweise vorhanden, wenn eine der folgenden Anweisungen wahr ist

  • Der angegebene DHCP-Server ist der DHCP-Server des Servers, auf dem die Ermittlung ausgeführt wird.

  • Der Computer, auf dem die Ermittlung ausgeführt wird, und der DHCP-Server befinden sich in derselben Domäne.

  • Zwischen dem Computer, auf dem die Ermittlung ausgeführt wird, und dem DHCP-Server besteht eine bidirektionale Vertrauensstellung.

  • Der Standortserver ist Mitglied der Gruppe DHCP-Benutzer.

• Wenn die Netzwerkerkennung einen DHCP-Server aufzählt, werden nicht immer statische IP-Adressen erkannt. Die Netzwerkermittlung findet keine IP-Adressen, die Teil eines ausgeschlossenen IP-Adressbereichs auf dem DHCP-Server sind. Es werden auch keine IP-Adressen erkannt, die für die manuelle Zuweisung reserviert sind.

Domänen

Geben Sie jede Domäne an, die von der Netzwerkermittlung abgefragt werden soll.

• Das Computerkonto des Standortservers, der die Ermittlung ausführt, muss über Berechtigungen zum Lesen der Domänencontroller in jeder angegebenen Domäne verfügen.

• Um Computer aus der lokalen Domäne zu ermitteln, müssen Sie den Computersuchdienst auf mindestens einem Computer aktivieren. Dieser Computer muss sich im gleichen Subnetz wie der Standortserver befinden, auf dem die Netzwerkerkennung ausgeführt wird.

• Die Netzwerkermittlung kann jeden Computer ermitteln, den Sie vom Standortserver aus anzeigen können, wenn Sie im Netzwerk surfen.

• Die Netzwerkerkennung ruft die IP-Adresse ab. Anschließend pingt es mithilfe einer ICMP-Echoanforderung (Internet Control Message Protocol) jedes gefundene Gerät an. Der Ping-Befehl hilft zu bestimmen, welche Computer derzeit aktiv sind.

SNMP-Geräte

Geben Sie jedes SNMP-Gerät an, das von der Netzwerkermittlung abgefragt werden soll.

• Die Netzwerkermittlung ruft den ipNetToMediaTable Wert von jedem SNMP-Gerät ab, das auf die Abfrage antwortet. Dieser Wert gibt Arrays von IP-Adressen zurück, bei denen es sich um Clientcomputer oder andere Ressourcen wie Drucker, Router oder andere IP-adressierbare Geräte handelt.

• Um ein Gerät abzufragen, müssen Sie die IP-Adresse oder den NetBIOS-Namen des Geräts angeben.

• Konfigurieren Sie die Netzwerkermittlung so, dass der Community-Name des Geräts verwendet wird, oder das Gerät lehnt die SNMP-basierte Abfrage ab.

Einschränken der Netzwerkermittlung

Wenn die Netzwerkerkennung ein SNMP-Gerät am Rand Ihres Netzwerks abfragt, kann sie Informationen über Subnetze und SNMP-Geräte identifizieren, die sich außerhalb Ihres unmittelbaren Netzwerks befinden. Verwenden Sie die folgenden Informationen, um die Netzwerkermittlung einzuschränken, indem Sie die SNMP-Geräte konfigurieren, mit denen die Ermittlung kommunizieren kann, und indem Sie die abzufragenden Netzwerksegmente angeben.

Subnetze

Konfigurieren Sie die Subnetze, die die Netzwerkerkennung abfragt, wenn sie die SNMP- und DHCP-Optionen verwendet. Mit diesen beiden Optionen wird nur in den aktivierten Subnetzen gesucht.

Beispielsweise kann eine DHCP-Anforderung Geräte von Standorten in Ihrem gesamten Netzwerk zurückgeben. Wenn Sie nur Geräte in einem bestimmten Subnetz ermitteln möchten, geben Sie dieses spezifische Subnetz auf der Registerkarte Subnetze im Dialogfeld "Eigenschaften der Netzwerkerkennung " an und aktivieren Sie es. Wenn Sie Subnetze angeben und aktivieren, beschränken Sie zukünftige DHCP- und SNMP-Ermittlungsaufgaben auf diese Subnetze.

SNMP-Communitynamen

Damit die Netzwerkermittlung ein SNMP-Gerät erfolgreich abfragen kann, konfigurieren Sie die Netzwerkermittlung mit dem Communitynamen des Geräts. Wenn die Netzwerkermittlung nicht mithilfe des Community-Namens des SNMP-Geräts konfiguriert ist, lehnt das Gerät die Abfrage ab.

Maximale Anzahl von Sprüngen

Wenn Sie die maximale Anzahl von Router-Hops konfigurieren, beschränken Sie die Anzahl der Netzwerksegmente und Router, die die Netzwerkermittlung mithilfe von SNMP abfragen kann.

Die Anzahl der von Ihnen konfigurierten Hops begrenzt die Anzahl der Geräte und Netzwerksegmente, die die Netzwerkermittlung abfragen kann.

Beispielsweise wird bei einer reinen Topologieermittlung mit 0 (null) Router-Hops das Subnetz ermittelt, in dem sich der ursprüngliche Server befindet. Er umfasst alle Router in diesem Subnetz.

Das folgende Diagramm zeigt, was eine reine Topologie-Netzwerkermittlungsabfrage findet, wenn sie auf Server 1 mit 0 angegebenen Router-Hops ausgeführt wird: Subnetz D und Router 1.

Das folgende Diagramm zeigt, was eine Abfrage zur Topologie- und Clientnetzwerkermittlung findet, wenn sie auf Server 1 mit 0 angegebenen Router-Hops ausgeführt wird: Subnetz D und Router 1 sowie alle potenziellen Clients in Subnetz D.

Um eine bessere Vorstellung davon zu bekommen, wie mehr Router-Hops die Menge der erkannten Netzwerkressourcen erhöhen können, betrachten Sie das folgende Netzwerk:

Bei der Ausführung einer reinen Topologie-Netzwerkermittlung von Server 1 mit einem Router-Hop werden die folgenden Entitäten ermittelt:

• Router 1 und Subnetz 10.1.10.0 (gefunden mit Zero Hops)

• Subnetze 10.1.20.0 und 10.1.30.0, Subnetz A und Router 2 (beim ersten Hop gefunden)

Serverermittlung

Konfigurierbar: Nein

Zusätzlich zu den vom Benutzer konfigurierbaren Ermittlungsmethoden verwendet Configuration Manager einen Prozess mit dem Namen Serverermittlung (SMS_WINNT_SERVER_DISCOVERY_AGENT). Diese Ermittlungsmethode erstellt Ressourceneinträge für Computer, die Standortsysteme sind, z. B. ein Computer, der als Verwaltungspunkt konfiguriert ist.

Gemeinsame Funktionen der Active Directory-Gruppen-, System- und Benutzerermittlung

Dieser Abschnitt enthält Informationen zu Features, die den folgenden Ermittlungsmethoden gemeinsam sind:

• Active Directory-Gruppenermittlung

• Active Directory-Systemermittlung

• Active Directory-Benutzerermittlung

Diese drei Ermittlungsmethoden sind in Konfiguration und Betrieb ähnlich. Sie können Computer, Benutzer und Informationen zu Gruppenmitgliedschaften von Ressourcen ermitteln, die in Active Directory Domain Services gespeichert sind. Der Ermittlungsprozess wird von einem Ermittlungs-Agent verwaltet. Der Agent wird auf dem Standortserver an jedem Standort ausgeführt, für den die Ermittlung konfiguriert ist. Sie können jede dieser Ermittlungsmethoden so konfigurieren, dass ein oder mehrere Active Directory-Speicherorte als Standortinstanzen in der lokalen Gesamtstruktur oder in Remotegesamtstrukturen durchsucht werden.

Wenn die Ermittlung eine nicht vertrauenswürdige Gesamtstruktur nach Ressourcen durchsucht, muss der Ermittlungs-Agent in der Lage sein, Folgendes zu beheben, um erfolgreich zu sein:

• Um eine Computerressource mithilfe der Active Directory-Systemermittlung zu ermitteln, muss der Ermittlungs-Agent in der Lage sein, den FQDN der Ressource aufzulösen. Wenn der FQDN nicht aufgelöst werden kann, versucht er dann, die Ressource anhand ihres NetBIOS-Namens aufzulösen.

• Um eine Benutzer- oder Gruppenressource mithilfe der Active Directory-Benutzerermittlung oder Active Directory-Gruppenermittlung zu ermitteln, muss der Ermittlungs-Agent in der Lage sein, den FQDN des Domänencontrollernamens aufzulösen, den Sie für den Active Directory-Speicherort angeben.

Für jeden angegebenen Speicherort können Sie individuelle Suchoptionen konfigurieren, z. B. eine rekursive Suche nach den untergeordneten Active Directory-Containern des Standorts. Sie können auch ein eindeutiges Konto konfigurieren, das verwendet wird, wenn dieser Speicherort durchsucht wird. Dieses Konto bietet Flexibilität bei der Konfiguration einer Ermittlungsmethode an einem Standort, um mehrere Active Directory-Speicherorte in mehreren Gesamtstrukturen zu durchsuchen. Sie müssen nicht ein einzelnes Konto konfigurieren, das über Berechtigungen für alle Speicherorte verfügt.

Wenn jede dieser drei Ermittlungsmethoden an einem bestimmten Standort ausgeführt wird, kontaktiert der Configuration Manager-Standortserver an diesem Standort den nächstgelegenen Domänencontroller in der angegebenen Active Directory-Gesamtstruktur, um Active Directory-Ressourcen zu finden. Die Domäne und die Gesamtstruktur können sich in jedem unterstützten Active Directory-Modus befinden. Das Konto, das Sie jeder Standort-instance zuweisen, muss über die Leseberechtigung für die angegebenen Active Directory-Standorte verfügen.

Die Ermittlung durchsucht die angegebenen Speicherorte nach Objekten und versucht dann, Informationen zu diesen Objekten zu sammeln. Ein DDR wird erstellt, wenn genügend Informationen zu einer Ressource identifiziert werden können. Die erforderlichen Informationen variieren je nach verwendeter Ermittlungsmethode.

Wenn Sie dieselbe Ermittlungsmethode so konfigurieren, dass sie an verschiedenen Configuration Manager-Standorten ausgeführt wird, um die Abfrage lokaler Active Directory-Server zu nutzen, können Sie jeden Standort mit einem eindeutigen Satz von Ermittlungsoptionen konfigurieren. Da Ermittlungsdaten für jeden Standort in der Hierarchie freigegeben werden, vermeiden Sie Überschneidungen zwischen diesen Konfigurationen, um jede Ressource effizient ein einziges Mal zu ermitteln.

In kleineren Umgebungen sollten Sie jede Ermittlungsmethode nur an einem Standort in Ihrer Hierarchie ausführen. Diese Konfiguration reduziert den Verwaltungsaufwand und die Möglichkeit, dass mehrere Ermittlungsaktionen dieselben Ressourcen erneut ermitteln. Wenn Sie die Anzahl der Websites minimieren, auf denen die Ermittlung ausgeführt wird, verringern Sie die gesamte Netzwerkbandbreite, die von der Ermittlung verwendet wird. Sie können auch die Gesamtzahl der DDRs reduzieren, die erstellt werden und von Ihren Standortservern verarbeitet werden müssen.

Viele der Konfigurationen der Ermittlungsmethode sind selbsterklärend. In den folgenden Abschnitten finden Sie weitere Informationen zu den Ermittlungsoptionen, die möglicherweise zusätzliche Informationen erfordern, bevor Sie sie konfigurieren.

Die folgenden Optionen stehen für die Verwendung mit mehreren Active Directory-Ermittlungsmethoden zur Verfügung:

• Delta-Ermittlung

• Filtern veralteter Computerdatensätze nach Domänenanmeldung

• Filtern veralteter Datensätze nach Computerkennwort

• Benutzerdefinierte Active Directory-Attribute durchsuchen

Deltaermittlung

Verfügbar für:

• Active Directory-Gruppenermittlung

• Active Directory-Systemermittlung

• Active Directory-Benutzerermittlung

Die Deltaermittlung ist keine unabhängige Ermittlungsmethode, sondern eine Option, die für die entsprechenden Ermittlungsmethoden verfügbar ist. Die Delta-Ermittlung durchsucht bestimmte Active Directory-Attribute nach Änderungen, die seit dem letzten vollständigen Ermittlungszyklus der anwendbaren Ermittlungsmethode vorgenommen wurden. Die Attributänderungen werden an die Configuration Manager-Datenbank übermittelt, um den Ermittlungsdatensatz der Ressource zu aktualisieren.

Die Deltaermittlung wird standardmäßig in einem Fünf-Minuten-Zyklus ausgeführt. Dieser Zeitplan ist wesentlich häufiger als der typische Zeitplan für einen vollständigen Ermittlungszyklus. Dieser häufige Zyklus ist möglich, weil die Deltaermittlung weniger Standort-, Server- und Netzwerkressourcen benötigt als ein vollständiger Ermittlungszyklus. Wenn Sie die Deltaermittlung verwenden, können Sie die Häufigkeit des vollständigen Ermittlungszyklus für diese Ermittlungsmethode reduzieren.

Im Folgenden sind die häufigsten Änderungen aufgeführt, die von der Deltaermittlung erkannt werden:

• Neue Computer oder Benutzer, die zu Active Directory hinzugefügt wurden

• Änderungen an grundlegenden Computer- und Benutzerinformationen

• Neue Computer oder Benutzer, die einer Gruppe hinzugefügt werden

• Computer oder Benutzer, die aus einer Gruppe entfernt werden

• Änderungen an Systemgruppenobjekten

Die Delta-Ermittlung kann zwar neue Ressourcen und Änderungen an der Gruppenmitgliedschaft erkennen, jedoch nicht, wenn eine Ressource aus Active Directory gelöscht wurde. Von der Delta-Ermittlung erstellte DDRs werden ähnlich wie DDRs verarbeitet, die durch einen vollständigen Ermittlungszyklus erstellt werden.

Sie konfigurieren die Deltaermittlung auf der Registerkarte Abrufzeitplan in den Eigenschaften für jede Ermittlungsmethode.

Filtern veralteter Computerdatensätze nach Domänenanmeldung

Verfügbar für:

• Active Directory-Gruppenermittlung

• Active Directory-Systemermittlung

Sie können die Ermittlung so konfigurieren, dass Computer mit einem veralteten Computereintrag ausgeschlossen werden. Dieser Ausschluss basiert auf der letzten Domänenanmeldung des Computers. Wenn diese Option aktiviert ist, wertet die Active Directory-Systemermittlung jeden identifizierten Computer aus. Die Active Directory-Gruppenermittlung wertet jeden Computer aus, der Mitglied einer ermittelten Gruppe ist.

So verwenden Sie diese Option:

• Computer müssen so konfiguriert sein, dass sie das lastLogonTimeStamp Attribut in Active Directory Domain Services aktualisieren.

• Die Active Directory-Domänenfunktionsebene muss auf Windows Server 2003 oder höher festgelegt sein.

Wenn Sie die Zeit nach der letzten Anmeldung konfigurieren, die Sie für diese Einstellung verwenden möchten, berücksichtigen Sie das Intervall für die Replikation zwischen Domänencontrollern.

Sie konfigurieren die Filterung auf der Registerkarte Option in den Dialogfeldern Eigenschaften der Active Directory-Systemermittlung und Eigenschaften der Active Directory-Gruppenerkennung . Wählen Sie diese Option aus, Nur Computer zu ermitteln, die sich in einem bestimmten Zeitraum bei einer Domäne angemeldet haben.

Filtern veralteter Datensätze nach Computerkennwort

Verfügbar für:

• Active Directory-Gruppenermittlung

• Active Directory-Systemermittlung

Sie können die Ermittlung so konfigurieren, dass Computer mit einem veralteten Computereintrag ausgeschlossen werden. Dieser Ausschluss basiert auf dem letzten Computerkonto-Kennwortupdate. Wenn diese Option aktiviert ist, wertet die Active Directory-Systemermittlung jeden identifizierten Computer aus. Die Active Directory-Gruppenermittlung wertet jeden Computer aus, der Mitglied einer ermittelten Gruppe ist.

So verwenden Sie diese Option:

• Computer müssen so konfiguriert sein, dass sie das pwdLastSet Attribut in Active Directory Domain Services aktualisieren.

Berücksichtigen Sie beim Konfigurieren dieser Option das Intervall für Updates dieses Attributs. Berücksichtigen Sie auch das Replikationsintervall zwischen Domänencontrollern.

Sie konfigurieren die Filterung auf der Registerkarte Option in den Dialogfeldern Eigenschaften der Active Directory-Systemermittlung und Eigenschaften der Active Directory-Gruppenerkennung . Wählen Sie diese Option aus , Nur Computer zu ermitteln, die ihr Computerkontokennwort in einem bestimmten Zeitraum aktualisiert haben.

Benutzerdefinierte Active Directory-Attribute durchsuchen

Verfügbar für:

• Active Directory-Systemermittlung

• Active Directory-Benutzerermittlung

Jede Ermittlungsmethode unterstützt eine eindeutige Liste von Active Directory-Attributen, die ermittelt werden können.

Sie können die Liste der benutzerdefinierten Attribute auf der Registerkarte " Active Directory-Attribute " in den Dialogfeldern "Eigenschaften der Active Directory-Systemermittlung" und "Eigenschaften der Active Directory-Benutzererkennung" anzeigen und konfigurieren.

Nächste Schritte

Auswählen der für den Configuration Manager zu verwendenden Ermittlungsmethoden

Konfigurieren von Entdeckungsmethoden