Stapsgewijze voorbeeldimplementatie van een beheerpunt in een niet-vertrouwd Active Directory-domein

Van toepassing op: Configuration Manager (current branch)

In dit voorbeeld ziet u hoe u een Configuration Manager Management Point (MP) installeert op een server in een Active Directory-domein dat geen wederzijdse vertrouwensrelatie heeft met het domein dat de siteserver bevat. Dit scenario komt vaak voor wanneer u het beheer wilt uitbreiden naar een perimeternetwerk (DMZ), een partnerdomein of een ander netwerksegment dat u niet volledig vertrouwt.

Raadpleeg het netwerk en de Active Directory-documentatie van uw organisatie voor procedures en aanbevolen procedures die van toepassing zijn op uw omgeving. Gebruik de stappen in dit artikel als referentie voor het vaststellen van het concept. Zie Communications across Active Directory forests voor richtlijnen bij de productie.

Testomgeving

De stapsgewijze instructies in dit artikel gebruiken de volgende testomgeving:

• Vertrouwd domein (corp.contoso.com): bevat de Configuration Manager primaire siteserver (SiteServer) en de SQL Server-sitedatabase (SQLServer). De sitecode is P01.

• Niet-vertrouwd domein (branch.fabrikam.com): bevat de server waarop het beheerpunt (DMZ-MP) wordt gehost. Er bestaat geen Active Directory-vertrouwensrelatie tussen de twee domeinen.

• Beide domeinen gebruiken DNS voor Windows Server, en voorwaardelijke doorstuurservers DNS zijn in beide richtingen geconfigureerd, zodat elk domein FQDN's in het andere domein kan omzetten.

• U kunt zich in beide domeinen aanmelden als domeinbeheerder om alle procedures uit te voeren.

Overzicht van de implementatiestappen

In de volgende tabel wordt een overzicht gegeven van deze implementatie en wordt uitgelegd waarom elke stap vereist is.

Stap 1: domeinaccounts maken

Gebruik twee toegewezen gebruikersaccounts. Configureer beide accounts met niet-verlopende wachtwoorden en verleen geen onnodige privileges.

Het sitesysteeminstallatieaccount maken in het niet-vertrouwde domein

1. Meld u aan bij een domeincontroller branch.fabrikam.com met een domeinbeheerdersaccount.

2. Open Active Directory: gebruikers en computers.

3. Vouw in het navigatievenster branch.fabrikam.com uit, klik met de rechtermuisknop op de organisatie-eenheid voor serviceaccounts en kies vervolgens Nieuwe>gebruiker.

   Tip

   Als er geen toegewezen organisatie-eenheid voor serviceaccounts bestaat, maakt u er eerst een of plaatst u de accounts in een geschikte organisatie-eenheid. Plaats serviceaccounts niet in de standaardcontainer Gebruikers in een productieomgeving.

4. Voltooi de wizard Nieuw object - gebruiker met de volgende instellingen en kies Voltooien:

   • Voornaam: svc-cm-dmzmpinstall
   • Aanmeldingsnaam gebruiker: svc-cm-dmzmpinstall
   • Wachtwoord: gebruik een sterk, niet-verlopend wachtwoord.
   • Selecteer Wachtwoord verloopt nooit en schakel het selectievakje Gebruiker moet wachtwoord wijzigen bij volgende aanmelding in.

5. Sluit Active Directory-gebruikers en -computers.

Het MP-databaseverbindingsaccount maken in het vertrouwde domein

1. Meld u aan bij een domeincontroller corp.contoso.com met een domeinbeheerdersaccount.

2. Open Active Directory: gebruikers en computers.

3. Vouw in het navigatievenster corp.contoso.com uit, klik met de rechtermuisknop op de organisatie-eenheid voor serviceaccounts en kies vervolgens Nieuwe>gebruiker.

4. Voltooi de wizard Nieuw object - gebruiker met de volgende instellingen en kies Voltooien:

   • Voornaam: svc-cm-dmzmpdbconnect
   • Aanmeldingsnaam gebruiker: svc-cm-dmzmpdbconnect
   • Wachtwoord: gebruik een sterk, niet-verlopend wachtwoord.
   • Selecteer Wachtwoord verloopt nooit en schakel het selectievakje Gebruiker moet wachtwoord wijzigen bij volgende aanmelding in.

5. Sluit Active Directory-gebruikers en -computers.

Het installatieaccount toevoegen aan de lokale groep Administrators op Management Point Server

1. Meld u aan met DMZ-MP een lokaal account of domeinbeheerdersaccount.

2. Open Computerbeheer, vouw Lokale gebruikers en groepen uit en kies Groepen.

3. Klik met de rechtermuisknop op Beheerders en kies Toevoegen aan groep.

4. Kies Toevoegen in het dialoogvenster Eigenschappen voor beheerders.

5. Voer in het dialoogvenster Gebruikers, computers, serviceaccounts of groepen selecteren in het vak Objectnaam inFABRIKAM\svc-cm-dmzmpinstall, kies Namen controleren om te valideren en kies vervolgens OK.

6. Kies OK om Eigenschappen voor beheerders te sluiten.

Stap 2: Verleen SQL Server databasemachtigingen voor het MP-verbindingsaccount

Het beheerpunt moet gegevens in de sitedatabase kunnen lezen en schrijven. Verleen deze toegang door het svc-cm-dmzmpdbconnect account toe te voegen als een SQL Server-aanmelding en de vereiste databaserollen toe te wijzen.

De SQL Server-aanmelding maken en databaserollen toewijzen

1. Meld u aan met SQLServer een SQL Server administrator-account en open SQL Server Management Studio.

2. Vouw in ObjectverkennerBeveiliging uit, klik met de rechtermuisknop op Aanmeldingen en kies vervolgens Nieuwe aanmelding.

3. Voer in het dialoogvenster Aanmelden - Nieuw op de pagina Algemeen de volgende instellingen in:

   • Inlognaam: Voer het .CORP\svc-cm-dmzmpdbconnect
   • Selecteer Windows-verificatie.

4. Kies Gebruikerstoewijzing in het linkerdeelvenster van het dialoogvenster Aanmelden - Nieuw.

5. Schakel in Gebruikers, die zijn toegewezen aan deze aanmeldingslijst, het selectievakje in naast de Configuration Manager sitedatabase (bijvoorbeeld CM_P01).

6. Selecteer de volgende rollen in de sectie Lidmaatschap van databaserollen onderaan de pagina:

   • smsdbrole_MP
   • smsdbrole_MPUserSvc

7. Kies OK om de aanmelding te maken.

8. Sluit SQL Server Management Studio.

Stap 3: Firewallregels configureren

De volgende tabel bevat de firewallregels die minimaal vereist zijn voor deze implementatie. Configureer deze regels voor alle netwerkfirewalls en hostgebaseerde Windows Firewall-profielen tussen corp.contoso.com en branch.fabrikam.com.

De volgende verbindingen zijn vereist zodat het beheerpunt kan worden geverifieerd bij domeincontrollers in het CORP-forest en omgekeerd. DNS-poorten zijn niet inbegrepen.

Stap 4: Vereisten installeren op Management Point Server

Voordat u de beheerpuntrol toevoegt, installeert u de vereiste Windows-onderdelen en ondersteunende onderdelen op DMZ-MP. Zie Vereisten voor site en sitesysteem voor de volledige en actuele lijst.

Bereid u voor dit voorbeeld voor DMZ-MP met deze Windows-rollen en -functies:

• Webserverfunctie (IIS ) en automatisch geselecteerde functies.
• .NET Framework 3.5-functie.
• .NET Framework 4.8-functie. Windows Server 2022 en hoger bevatten deze versie standaard.
• IIS-serverextensie (in Background Intelligent Transfer Service (BITS)). Selecteer de functie en alle automatisch geselecteerde opties.
• Webserverfunctieservices (IIS):Windows-verificatie, ISAPI-extensies, compatibiliteit met IIS 6-metabase en IIS 6 WMI-compatibiliteit

De vereiste Windows-functies installeren

1. Meld u aan met DMZ-MP een lokaal account of domeinbeheerdersaccount.

2. Open een Windows PowerShell-sessie met verhoogde bevoegdheid.

3. Voer de volgende opdracht uit:

   Install-WindowsFeature NET-Framework-Features, NET-Framework-Core, BITS, BITS-IIS-Ext, Web-Server, Web-WebServer, Web-Common-Http, Web-Default-Doc, Web-Dir-Browsing, Web-Http-Errors, Web-Static-Content, Web-Health, Web-Http-Logging, Web-Log-Libraries, Web-Request-Monitor, Web-Http-Tracing, Web-Performance, Web-Stat-Compression, Web-Security, Web-Filtering, Web-Windows-Auth, Web-App-Dev, Web-ISAPI-Ext, Web-Http-Redirect, Web-Mgmt-Tools, Web-Mgmt-Console, Web-Mgmt-Compat, Web-Metabase, Web-WMI -IncludeManagementTools
   

4. Start opnieuw op DMZ-MP als Windows vraagt om opnieuw op te starten.

Stap 5: De beheerpuntrol installeren

Met deze procedure wordt de rol van beheerpunt geïnstalleerd met DMZ-MP behulp van de wizard Site systeemserver maken . Met de wizard kunt u de accounts en instellingen voor meerdere forests opgeven die vereist zijn voor de rol.

1. Ga in de console Configuration Manager naar de werkruimte Beheer. Vouw Siteconfiguratie uit en kies Servers en Sitesysteemrollen.

2. Kies Sitesysteemserver maken op het tabblad Start in de groep Maken.

3. Voer op de pagina Algemeen de volgende instellingen in en kies vervolgens Volgende:

   • Naam: Voer de FQDN van de beheerpuntserver in: DMZ-MP.branch.fabrikam.com.

   • Sitecode: selecteer P01 (of de juiste sitecode voor uw omgeving).

   • Sitesysteeminstallatieaccount: Kies Een account opgeven en voer FABRIKAM\svc-cm-dmzmpinstallvervolgens .

     Belangrijk

     U moet een sitesysteeminstallatieaccount opgeven wanneer de doelserver zich in een niet-vertrouwd forest bevindt. De siteserver kan geen eigen computeraccount gebruiken om te verifiëren bij een server in een forest zonder vertrouwen. Zie Sitesysteeminstallatieaccount voor meer informatie.

4. Selecteer op de pagina Algemeende optie Vereisen dat de siteserver verbindingen tot stand brengt met dit sitesysteem.

   Belangrijk

   DMZ-MP Er zijn geen machtigingen om verbinding te maken met de siteserver. Als deze optie is geselecteerd, worden alle gegevensoverdrachten geïnitieerd door de siteserver en wordt gebruikgemaakt van hetzelfde installatieaccount van het sitesysteem.

5. Configureer op de pagina Proxy een proxyserver als DMZ-MP dit nodig is om interneteindpunten te bereiken. Kies anders Volgende.

6. Selecteer op de pagina Systeemrolselectie de optie Beheerpunt en kies Volgende.

7. Voer op de pagina Management Point de volgende instellingen in en kies vervolgens Volgende:

   • Clientverbindingen: Kies HTTPS om versleutelde clientcommunicatie te vereisen (vereist een PKI-webservercertificaat dat is gebonden aan de standaardwebsite van IIS ) DMZ-MPof EHTTP.
   • Waarschuwing genereren wanneer het beheerpunt niet in orde is: selecteer dit optioneel om waarschuwingen in de console te ontvangen wanneer het beheerpunt niet in orde is.
   • Laat andere opties op hun standaardinstellingen staan.

8. Voer op de pagina Management Point Database Connection de volgende instellingen in en kies vervolgens Volgende:

   • Gebruik de sitedatabase: Dit is de standaardconfiguratie. U hoeft het SQL Server-exemplaar niet op te geven, omdat de site deze informatie al heeft.
   • Verbinding met beheerpuntdatabase: Kies Een account opgeven en voer corp.contoso.com\svc-cm-dmzmpdbconnectvervolgens in. Gebruik de FQDN-indeling om ervoor te zorgen dat het beheerpunt het account in het vertrouwde domein kan omzetten en met succes kan verifiëren bij SQL Server.

     Belangrijk

     U moet het Management Point Connection-account opgeven wanneer het Management Point zich in een niet-vertrouwd domein of forest bevindt, omdat het rechtstreeks wordt geverifieerd bij SQL Server in het vertrouwde domein. Als u het account opgeeft in de notatie DomainFQDN\UserName (bijvoorbeeld corp.contoso.com\svc-cm-dmzmpdbconnect) helpt u bij de naamresolutie tijdens Kerberos-verificatie. Zie Management point connection account.

9. Controleer het overzicht op de pagina Overzicht en kies Volgende om de wizard te voltooien.

10. Kies Sluiten op de pagina Voltooien .

Stap 6: De installatie van het beheerpunt controleren

Nadat de wizard is voltooid, controleert u of het beheerpunt correct is geïnstalleerd en in orde is voordat u clients naar het punt doorstuurt.

De status van het beheerpunt in de Configuration Manager-console controleren

1. Ga in de console Configuration Manager naar de werkruimte Controle. Vouw Systeemstatus uit en kies vervolgens Onderdeelstatus.

2. Zoek het onderdeel SMS_MP_CONTROL_MANAGER op DMZ-MP.branch.fabrikam.com. Bevestig in de kolom Status dat de status OK is.

   Opmerking

   Nadat de wizard is gesloten, kan het 30 minuten duren voordat het beheerpunt gereed is. Als de status Waarschuwing of Kritiek is, klikt u met de rechtermuisknop op het onderdeel, kiest u Alle berichten> weergeven en controleert u de details van de fout. Controleer vervolgens de logboekbestanden die hieronder worden beschreven.

3. Herhaal de controle voor het SMS_MP_FILE_DISPATCH_MANAGER onderdeel.

De installatie van het beheerpunt controleren aan de hand van logbestanden

1. Meld u aan bij DMZ-MPen zoek de SMS map in de hoofdmap van een van de stations.

2. Als de map niet bestaat, controleert SiteComp.log u op de siteserver of de siteserver verbinding heeft gemaakt met de installatieaccount SitesysteemDMZ-MP en de installatie heeft gestart. Als de SMS map ontbreekt, kan de siteserver waarschijnlijk niet communiceren met of beschikt deze niet over DMZ-MP machtigingen om de map te maken en de rol te installeren.

3. Bekijk de volgende logboekbestanden op DMZ-MP voor berichten met betrekking tot de installatie en configuratie van beheerpunten:

   Logboekbestand	Locatie op DMZ-MP	Waar moet je op letten?
   MPSetup.log	\SMS\Logs	Berichten over vereisten en MP: met name CcmSetup, msoledbsql.msi, IIS-ASPNET45 functie en mp.msi.
   MPMSI.log	\SMS\Logs	Details over MP-installatie en MSI-terugdraaistatus. Als de installatie is mislukt met een fout 1603, zoekt u in dit bestand naar het gedetailleerde foutbericht.
   CCMSetup.log	%Windir%\CCMSetup\Logs	Berichten over binaire clientinstallatie en gerelateerde vereisten (bijvoorbeeld VCREverd en Microsoft Policy Platform). De installatie moet worden voltooid met de retourcode 0.
   BGBSetup.log	\SMS\Logs	Installatieberichten van Client Notification Server: controleer of deze is voltooid.

4. Nadat de MP is geïnstalleerd, moet de SMS_CCM map worden weergegeven op hetzelfde station als SMS. Deze map wordt mogelijk niet weergegeven als de client is geïnstalleerd voor het beheerpunt. Controleer in dat geval de CCM\Logs map voor de geïnstalleerde client. Bekijk vervolgens de volgende logboekbestanden voor DMZ-MP berichten die betrekking hebben op de communicatie van het beheerpunt met de siteserver en de sitedatabase:

   Logboekbestand	Locatie op DMZ-MP	Waar moet je op letten?
   MpControl.log	\SMS\Logs	Regelmatige controles van het beheerpunt en de beschikbaarheid van gebruikersservices. De succesvolle controle lijkt op Call to HttpSendRequestSync succeeded for port 443 with status code 200, text: OK.
   BGBServer.log	\SMS\Logs	Melding op de server voor clientmeldingen (snelle kanalen). Typische vermeldingen zijn het aantal verbonden clients, zoals Total online clients: 100 (TCP: 99 HTTP: 1)~~.
   MPFDM.log	\SMS\Logs	Aan DMZ-MPmoet dit logboek minimale activiteit tonen en .Remote site is in pull-mode. Op de siteserver moet in hetzelfde logboek de activiteit voor het verplaatsen van bestanden worden aangegeven, met vermeldingen die vergelijkbaar zijn met ~Moved file....
   MP_Framework.log	\SMS_CCM\Logs	Databaseverbindingsberichten die gebruikmaken van het Management Point Connection-account, zoals Loaded MP settings cache from reg key HKLM\Software\Microsoft\SMS\MP: Database Settings:. Als er fouten optreden, zoekt u naar mislukte verificatie of problemen met de SQL Server-verbinding.

De communicatie met het nieuwe beheerpunt testen

1. Op een clientcomputer in branch.fabrikam.com, kopieert u de installatiebestanden van de client naar een lokale map. Open een opdrachtprompt met verhoogde bevoegdheid in die map en voer de volgende opdracht uit om de client handmatig toe te wijzen aan het nieuwe beheerpunt:

   ccmsetup.exe SMSSITECODE=P01 SMSMP=DMZ-MP.branch.fabrikam.com
   

   Opmerking

   Als de MP is geconfigureerd voor HTTPS, zorg er dan voor dat de client een geregistreerd PKI-clientcertificaat heeft en voeg de switch toe aan ccmsetup.exe./UsePKICert Zie Informatie over de installatie-eigenschappen van de client voor meer informatie.

2. Controleer %Windir%\CCMSetup\Logs\CCMSetup.log of de installatie is geslaagd.

3. Controleer \SMS_CCM\Logs\ClientIDManagerStartup.log om te controleren of de clientregistratie is geslaagd. Zoek naar berichten die lijken op [RegTask] - Client is registered. Server assigned ClientID is GUID:00000000-0000-0000-0000-000000000000. Approval status 1.

4. Controleer of de client wordt weergegeven in de Configuration Manager-console en of er een pictogram Online wordt weergegeven. Voeg de kolom Management Point toe aan de consoleweergave om te bevestigen dat de client is toegewezen aan DMZ-MP.branch.fabrikam.com.

Meer informatie

• Sitesysteemrollen toevoegen
• Sitesysteemrollen installeren
• Site en sitesysteemvereisten voor Configuration Manager
• Communicatie in Active Directory-forests
• Accounts die worden gebruikt in Configuration Manager
• PKI-certificaatvereisten voor Configuration Manager