Detectiemethoden voor Configuration Manager

Van toepassing op: Configuration Manager (current branch)

Detectiemethoden van Configuration Manager zoeken verschillende apparaten in uw netwerk, apparaten en gebruikers vanuit Active Directory of gebruikers vanuit Microsoft Entra ID. Als u een detectiemethode efficiënt wilt gebruiken, moet u weten wat de beschikbare configuraties en beperkingen zijn.

Active Directory-forest discovery

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Active Directory-forest-account (door gebruiker gedefinieerd)

• Computeraccount van de siteserver

In tegenstelling tot andere Active Directory-detectiemethoden, worden er bij detectie van Active Directory-forest geen bronnen gevonden die u kunt beheren. In plaats daarvan worden met deze methode netwerklocaties gedetecteerd die zijn geconfigureerd in Active Directory. Deze locaties kunnen worden omgezet in begrenzingen voor gebruik in de gehele hiërarchie.

Wanneer deze methode wordt uitgevoerd, doorzoekt deze het lokale Active Directory-forest, elk vertrouwd forest en andere forests die u configureert in het knooppunt Active Directory-forests van de Configuration Manager-console.

Gebruik Active Directory-forest Discovery om:

• Ontdek Active Directory-sites en subnetten en maak vervolgens Configuration Manager-grenzen op basis van deze netwerklocaties.

• Identificeer supernetten die zijn toegewezen aan een Active Directory-site. Converteer elk supernet naar een IP-adresbereikgrens.

• Publiceren naar Active Directory Domain Services (AD DS) in een forest wanneer publiceren naar dat forest is ingeschakeld. Het opgegeven Active Directory-forest-account moet machtigingen hebben voor dat forest.

U kunt de detectie van Active Directory-forest beheren in de Configuration Manager-console. Ga naar de werkruimte Beheer en vouw Hiërarchieconfiguratie uit.

• Detectiemethoden: hiermee schakelt u Active Directory-forest-detectie in op de site op het hoogste niveau in de hiërarchie. U kunt ook een schema opgeven voor het uitvoeren van Discovery. Configureer het om automatisch grenzen te maken van de IP-subnetten en Active Directory-sites die worden gedetecteerd. Active Directory-forest detectie kan niet worden uitgevoerd op een primaire onderliggende of secundaire site.

• Active Directory-forests: Configureer de andere forests die u wilt ontdekken, geef elk Active Directory-forest-account op en configureer publicatie voor elk forest. Controleer het detectieproces. Voeg IP-subnetten en Active Directory-sites toe als grenzen van Configuration Manager en leden van grensgroepen.

Als u publicatie van Active Directory-forests wilt configureren voor elke site in uw hiërarchie, verbindt u de Configuration Manager-console met de site op het hoogste niveau in uw hiërarchie. Op het tabblad Publiceren in het dialoogvenster Eigenschappen van een Active Directory-site kunnen alleen de huidige site en de onderliggende sites worden weergegeven. Wanneer publiceren is ingeschakeld voor een forest en het schema van dat forest is uitgebreid voor Configuration Manager, wordt de volgende informatie gepubliceerd voor elke site die kan publiceren naar dat Active Directory-forest:

• SMS-Site-<site code>

• SMS-MP-<site code>-<site system server name>

• SMS-SLP-<site code>-<site system server name>

• SMS-<site code>-<Active Directory site name or subnet>

Acties voor Active Directory forestdetectie worden vastgelegd in de volgende logboeken:

• Alle acties, behalve acties die betrekking hebben op publicatie, worden vastgelegd in het bestand ADForestDisc.Log in de <map InstallationPath>\Logs op de siteserver.

• Publicatieacties van Active Directory Forest Discovery worden vastgelegd in de hman.log en sitecomp.log bestanden in de <map InstallationPath>\Logs op de siteserver.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Active Directory-groepsdetectie

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Active Directory-groepsdetectieaccount (door gebruiker gedefinieerd)

• Computeraccount van de siteserver

Gebruik deze methode om in Active Directory Domain Services te zoeken naar de volgende informatie:

• Lokale, mondiale en universele beveiligingsgroepen.

• Het lidmaatschap van groepen.

• Beperkte informatie over de lidcomputers en gebruikers van een groep, zelfs als deze computers en gebruikers niet eerder met een andere detectiemethode zijn gevonden.

Deze detectiemethode is bedoeld om groepen en de groepsrelaties van leden van groepen te identificeren. Standaard worden alleen beveiligingsgroepen gedetecteerd. Als u ook het lidmaatschap van distributiegroepen wilt zien, moet u het selectievakje voor de optie Het lidmaatschap van distributiegroepen detecteren inschakelen op het tabblad Optie in het dialoogvenster Detectie-eigenschappen van Active Directory-groep .

Active Directory-groepsdetectie biedt geen ondersteuning voor de uitgebreide Active Directory-kenmerken die kunnen worden vastgesteld met Active Directory-systeemdetectie of Active Directory-gebruikersdetectie. Omdat deze detectiemethode niet is geoptimaliseerd voor het detecteren van computer- en gebruikersbronnen, kunt u overwegen deze detectiemethode uit te voeren nadat u Active Directory-systeemdetectie en Active Directory-gebruikersdetectie hebt uitgevoerd. Deze suggestie is dat deze methode een volledige DDR (Discovery Data Record) maakt voor groepen, maar slechts een beperkte DDR voor computers en gebruikers die lid zijn van groepen.

U kunt de volgende detectiebereiken configureren waarmee wordt bepaald hoe met deze methode naar informatie wordt gezocht:

• Locatie: gebruik een locatie als u een of meer Active Directory-containers wilt doorzoeken. Deze bereikoptie ondersteunt een recursieve zoekopdracht in de opgegeven Active Directory-containers. Met dit proces wordt elke onderliggende container onder de opgegeven container doorzocht. Dit gaat door totdat er geen onderliggende containers meer worden gevonden.

• Groepen: gebruik groepen als u een of meer specifieke Active Directory-groepen wilt doorzoeken. U kunt het Active Directory-domein configureren om het standaarddomein en -forest te gebruiken, of u kunt de zoekopdracht beperken tot een individuele domeincontroller. Daarnaast kunt u een of meer groepen opgeven waarin u wilt zoeken. Als u niet ten minste één groep opgeeft, worden alle groepen die op de opgegeven locatie van het Active Directory-domein worden gevonden, doorzocht.

Acties voor Active Directory-groepsdetectie worden vastgelegd in het bestand adsgdis.log in de <InstallationPath>\LOGS map op de siteserver.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Active Directory-systeemdetectie

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Active Directory-systeemdetectieaccount (door gebruiker gedefinieerd)

• Computeraccount van de siteserver

Gebruik deze detectiemethode om op de opgegeven locaties in het Active Directory Domain Services-domein te zoeken naar computerbronnen die kunnen worden gebruikt voor het maken van verzamelingen en query's. U kunt de Configuration Manager-client ook installeren op een ontdekt apparaat met behulp van clientpush-installatie.

Met deze methode wordt standaard basisinformatie over de computer gedetecteerd, waaronder de volgende kenmerken:

• Computernaam

• Besturingssysteem en versie

• Naam van Active Directory-container

• IP-adres

• Active Directory-site

• Tijdstempel van laatste aanmelding

Om een DDR voor een computer te maken, moet Active Directory-systeemdetectie het computeraccount kunnen identificeren en vervolgens de computernaam omzetten in een IP-adres.

In het dialoogvenster Eigenschappen van Active Directory-systeemdetectie op het tabblad Active Directory-kenmerken kunt u de volledige lijst met aangetroffen standaardobjectkenmerken weergeven. U kunt de methode ook configureren om uitgebreide kenmerken te detecteren.

Acties voor Active Directory-systeemdetectie worden vastgelegd in het bestand adsysdis.log in de <InstallationPath>\LOGS map op de siteserver.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Active Directory-gebruikersdetectie

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Active Directory-gebruikersdetectieaccount (door gebruiker gedefinieerd)

• Computeraccount van de siteserver

Gebruik deze detectiemethode om in Active Directory Domain Services te zoeken naar gebruikersaccounts en bijbehorende kenmerken. Met deze methode wordt standaard basisinformatie over het gebruikersaccount gedetecteerd, waaronder de volgende kenmerken:

• Gebruikersnaam

• Unieke gebruikersnaam, die de domeinnaam bevat

• Domein

• Containernamen van Active Directory

In het dialoogvenster Eigenschappen voor gebruikersdetectie van Active Directory kunt u op het tabblad Active Directory-kenmerken de volledige standaardlijst met aangetroffen objectkenmerken weergeven. U kunt de methode ook configureren om uitgebreide kenmerken te detecteren.

Acties voor Active Directory-gebruikersdetectie worden vastgelegd in het bestand adusrdis.log in de <InstallationPath>\LOGS map op de siteserver.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Gebruikersdetectie in Microsoft Entra

Gebruik Microsoft Entra-gebruikersdetectie om in uw Microsoft Entra-abonnement te zoeken naar gebruikers met een moderne cloudidentiteit. Gebruikersdetectie van Microsoft Entra kan de volgende kenmerken vinden:

• objectId
• displayName
• mail
• mailNickname
• onPremisesSecurityIdentifier
• userPrincipalName
• tenantID
• onPremisesDomainName
• onPremisesSamAccountName
• onPremisesDistinguishedName

Deze methode ondersteunt volledige en delta-synchronisatie van gebruikerskenmerken uit Microsoft Entra ID. Deze informatie kan vervolgens worden gebruikt naast de detectiegegevens die u verzamelt via de andere detectiemethoden.

Acties voor Microsoft Entra gebruikersdetectie worden vastgelegd in het SMS_AZUREAD_DISCOVERY_AGENT.log-bestand op de siteserver op de hoogste laag van de hiërarchie.

Zie Configure Azure Services for Cloud Management (Services voor cloudbeheer configureren) voor informatie over het configureren van Microsoft Entra gebruikersdetectie. Zie Configure Microsoft Entra user discovery (Microsoft Entra-gebruikersdetectie configureren) voor meer informatie over het configureren van deze detectiemethode.

Detectie van Microsoft Entra-gebruikersgroepen

U kunt gebruikersgroepen en leden van deze groepen ontdekken via Microsoft Entra ID. Bij detectie van Microsoft Entra-gebruikersgroepen kunnen de volgende kenmerken worden gevonden:

• objectId
• displayName
• mailNickname
• onPremisesSecurityIdentifier
• tenantID

Acties voor Microsoft Entra detectie van gebruikersgroepen worden vastgelegd in het SMS_AZUREAD_DISCOVERY_AGENT.log bestand op de bovenste siteserver van de hiërarchie. Zie Detectie van Microsoft Entra-gebruikersgroepen configureren voor informatie over het configureren van deze detectiemethode.

Heartbeat-ontdekking

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Computeraccount van de siteserver

Heartbeatdetectie verschilt van andere detectiemethoden in Configuration Manager. De functie is standaard ingeschakeld en wordt uitgevoerd op elke computerclient in plaats van op een siteserver om een DDR te maken. Schakel heartbeatdetectie niet uit om de databaserecord van Configuration Manager-clients te onderhouden. Naast het onderhouden van de databaserecord, kan met deze methode detectie van een computer als een nieuwe bronrecord worden afgedwongen. Het kan ook de databaserecord opnieuw vullen van een computer die uit de database is verwijderd.

Heartbeatdetectie wordt uitgevoerd volgens een schema dat is geconfigureerd voor alle clients in de hiërarchie. Het standaardschema voor heartbeatdetectie is ingesteld op elke zeven dagen. Als u het heartbeatdetectie-interval wijzigt, moet u ervoor zorgen dat dit vaker wordt uitgevoerd dan de siteonderhoudstaak Oude detectiegegevens verwijderen. Met deze taak verwijdert u inactieve clientrecords uit de sitedatabase. U kunt de taak Oude detectiegegevens verwijderen alleen configureren voor primaire sites.

Je kunt heartbeatdetectie ook handmatig uitvoeren op een specifieke client. Voer de cyclus voor het verzamelen van detectiegegevens uit op het tabblad Actie van het configuratiescherm van Configuration Manager van een client.

Wanneer heartbeatdetectie wordt uitgevoerd, wordt een DDR gemaakt met de huidige informatie van de client. De client kopieert dit kleine bestand vervolgens naar een beheerpunt, zodat het kan worden verwerkt door een primaire site. Het bestand is ongeveer 1 KB groot en bevat de volgende informatie:

• Netwerklocatie

• NetBIOS-naam

• Versie van de clientagent

• Details van operationele status

Heartbeatdetectie is de enige detectiemethode die details geeft over de installatiestatus van de client. Dit gebeurt door het kenmerk System resource client bij te werken om een waarde in te stellen die gelijk is aan Ja.

Acties voor heartbeat-detectie worden op de client geregistreerd in het InventoryAgent.log bestand in de %Windir%\CCM\Logs map.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Netwerkdetectie

Configureerbaar: Nee

Standaard ingeschakeld: Nee

Accounts die u kunt gebruiken om deze methode uit te voeren:

• Computeraccount van de siteserver

Gebruik deze methode om de topologie van uw netwerk te ontdekken, evenals apparaten in uw netwerk met een IP-adres. Netwerkdetectie zoekt in uw netwerk naar bronnen met IP-functionaliteit door een query uit te voeren op de volgende bronnen:

• Servers waarop een Microsoft-implementatie van DHCP wordt uitgevoerd
• ARP-caches (Address Resolution Protocol) in netwerkrouters
• SNMP-apparaten
• Active Directory-domeinen

Voordat u netwerkdetectie kunt gebruiken, moet u het niveau opgeven van detectie dat u wilt uitvoeren. Daarnaast configureert u een of meer detectiemechanismen waarmee netwerkdetectie kan worden gezocht naar netwerksegmenten of -apparaten. U kunt ook instellingen configureren waarmee detectieacties op het netwerk worden beheerd. Ten slotte definieert u een of meer planningen voor wanneer netwerkdetectie wordt uitgevoerd.

Om met deze methode een bron te detecteren, moet netwerkdetectie het IP-adres en het subnetmasker van de bron identificeren. De volgende methoden worden gebruikt om het subnetmasker van een object te identificeren:

• ARP-cache van router: Netwerkdetectie vraagt de ARP-cache van een router op om subnetgegevens te zoeken. Doorgaans hebben gegevens in de ARP-cache van een router een korte time-to-live. Wanneer de ARP-cache door netwerkdetectie wordt opgevraagd, bevat de ARP-cache daarom mogelijk geen informatie meer over het opgevraagde object.

• DHCP: Bij netwerkdetectie wordt een query uitgevoerd op elke DHCP-server die u opgeeft om de apparaten te detecteren waarvoor de DHCP-server een lease heeft verstrekt. Netwerkdetectie ondersteunt alleen DHCP-servers die de Microsoft-implementatie van DHCP uitvoeren.

• SNMP-apparaat: Met Netwerkdetectie kan rechtstreeks een query worden uitgevoerd op een SNMP-apparaat. Als u een query op een apparaat wilt uitvoeren voor netwerkdetectie, moet op het apparaat een lokale SNMP-agent zijn geïnstalleerd. Configureer ook netwerkdetectie om de naam van de community te gebruiken die de SNMP-agent gebruikt.

Wanneer detectie een IP-adresseerbaar object identificeert en aan de hand hiervan het subnetmasker van het object kan vaststellen, wordt een DDR voor dat object gemaakt. Omdat verschillende typen apparaten verbinding maken met het netwerk, detecteert netwerkdetectie bronnen die de Configuration Manager-client niet ondersteunen. Apparaten die bijvoorbeeld kunnen worden gedetecteerd, maar niet kunnen worden beheerd, zijn printers en routers.

Netwerkdetectie kan verschillende kenmerken retourneren als onderdeel van de detectierecord die het maakt. Deze kenmerken zijn onder andere:

• NetBIOS-naam

• IP-adressen

• Resourcedomein

• Systeemrollen

• SNMP-communitynaam

• MAC-adressen

Netwerkdetectieactiviteit wordt vastgelegd in het Netdisc.log bestand op InstallationPath>\Logs de siteserver waarop de detectie wordt uitgevoerd.

Zie Detectiemethoden configureren voor meer informatie over het configureren van deze detectiemethode.

Niveaus van netwerkdetectie

Wanneer u netwerkdetectie configureert, geeft u een van de drie detectieniveaus op:

Met elk incrementeel niveau verhoogt netwerkdetectie de activiteit en het gebruik van de netwerkbandbreedte. Houd rekening met het netwerkverkeer dat kan worden gegenereerd voordat u alle aspecten van netwerkdetectie inschakelt.

Wanneer u bijvoorbeeld voor het eerst netwerkdetectie gebruikt, wilt u misschien beginnen met alleen het topologieniveau om de netwerkinfrastructuur te bepalen. Configureer vervolgens netwerkdetectie opnieuw om objecten en de bijbehorende besturingssystemen van het apparaat te detecteren. U kunt ook instellingen configureren die netwerkdetectie beperken tot een specifiek bereik van netwerksegmenten. Op deze manier ontdekt u objecten op netwerklocaties die u nodig hebt en voorkomt u onnodig netwerkverkeer. Met dit proces kunt u ook objecten van edge-routers of van buiten uw netwerk detecteren.

Opties voor netwerkdetectie

Configureer een of meer van deze opties om netwerkdetectie in te schakelen voor het zoeken naar apparaten met IP-adressering.

DHCP

Geef elke DHCP-server op waarop u een query voor netwerkdetectie wilt uitvoeren. Netwerkdetectie ondersteunt alleen DHCP-servers die de Microsoft-implementatie van DHCP uitvoeren.

• Met Netwerkdetectie wordt informatie opgehaald met behulp van externe procedureaanroepen naar de database op de DHCP-server.

• Met Netwerkdetectie kan een query worden uitgevoerd op zowel 32-bits als 64-bits DHCP-servers voor een lijst met apparaten die bij elke server zijn geregistreerd.

• Om een query op een DHCP-server te kunnen uitvoeren voor netwerkdetectie, moet het computeraccount van de server die ontdekking uitvoert, lid zijn van de groep DHCP-gebruikers op de DHCP-server. Dit toegangsniveau bestaat bijvoorbeeld wanneer een van de volgende stellingen waar is

  • De opgegeven DHCP-server is de DHCP-server van de server die Discovery uitvoert.

  • De computer waarop Discovery wordt uitgevoerd en de DHCP-server bevinden zich in hetzelfde domein.

  • Er bestaat een vertrouwensrelatie in twee richtingen tussen de computer die Discovery uitvoert en de DHCP-server.

  • De siteserver is lid van de groep DHCP-gebruikers.

• Wanneer netwerkdetectie een DHCP-server opsomt, worden statische IP-adressen niet altijd gedetecteerd. Met netwerkdetectie worden geen IP-adressen gevonden die deel uitmaken van een uitgesloten bereik van IP-adressen op de DHCP-server. Er worden ook geen IP-adressen gevonden die gereserveerd zijn voor handmatige toewijzing.

Domeinen

Geef elk domein op dat u wilt opvragen via netwerkdetectie.

• Het computeraccount van de siteserver waarop Discovery wordt uitgevoerd, moet machtigingen hebben voor het lezen van de domeincontrollers in elk opgegeven domein.

• Als u computers uit het lokale domein wilt detecteren, moet u de Computer Browser-service op ten minste één computer inschakelen. Deze computer moet zich in hetzelfde subnet bevinden als de siteserver die netwerkdetectie uitvoert.

• Met Netwerkdetectie kunt u elke computer vinden die u kunt bekijken vanaf de siteserver wanneer u op het netwerk surft.

• Netwerkdetectie haalt het IP-adres op. Vervolgens gebruikt het een ICMP-echoverzoek (Internet Control Message Protocol) om elk apparaat dat het vindt te pingen. Met de opdracht Ping kunt u bepalen welke computers momenteel actief zijn.

SNMP-apparaten

Geef elk SNMP-apparaat op dat u door netwerkdetectie wilt opvragen.

• Netwerkdetectie haalt de ipNetToMediaTable waarde op van elk SNMP-apparaat dat op de query reageert. Deze waarde retourneert matrices met IP-adressen die clientcomputers of andere bronnen zijn, zoals printers, routers of andere IP-adresseerbare apparaten.

• Als u een query wilt uitvoeren op een apparaat, moet u het IP-adres of de NetBIOS-naam van het apparaat opgeven.

• Configureer netwerkdetectie om de communitynaam van het apparaat te gebruiken of het apparaat weigert de SNMP-query.

Netwerkdetectie beperken

Wanneer netwerkdetectie een SNMP-apparaat aan de rand van uw netwerk opvraagt, kan het informatie identificeren over subnetten en SNMP-apparaten die zich buiten uw directe netwerk bevinden. Gebruik de volgende informatie om netwerkdetectie te beperken door de SNMP-apparaten te configureren waarmee detectie kan communiceren en door de netwerksegmenten op te geven die moeten worden opgevraagd.

Subnetten

Configureer de subnetten die door netwerkdetectie worden opgevraagd wanneer de SNMP- en DHCP-opties worden gebruikt. Met deze twee opties wordt alleen gezocht in de ingeschakelde subnetten.

Met een DHCP-aanvraag kan bijvoorbeeld apparaten worden geretourneerd vanaf locaties in uw hele netwerk. Als u alleen apparaten in een specifiek subnet wilt detecteren, geeft u dat specifieke subnet op en schakelt u dit in op het tabblad Subnetten in het dialoogvenster Eigenschappen van netwerkdetectie . Wanneer u subnetten opgeeft en inschakelt, beperkt u toekomstige DHCP- en SNMP-detectietaken tot deze subnetten.

Namen van SNMP-community's

Om netwerkdetectie in te schakelen voor het uitvoeren van query's op een SNMP-apparaat, configureert u netwerkdetectie met de communitynaam van het apparaat. Als netwerkdetectie niet is geconfigureerd met behulp van de communitynaam van het SNMP-apparaat, weigert het apparaat de query.

Maximum aantal hops

Wanneer u het maximum aantal routerhops configureert, beperkt u het aantal netwerksegmenten en routers dat door netwerkdetectie kan worden opgevraagd met behulp van SNMP.

Met het aantal hops dat u configureert, wordt het aantal apparaten en netwerksegmenten beperkt waarop een query kan worden uitgevoerd via netwerkdetectie.

Met alleen topologie met 0 (nul) routerhops wordt bijvoorbeeld het subnet ontdekt waarop de oorspronkelijke server zich bevindt. Dit geldt ook voor routers in dat subnet.

In het volgende diagram ziet u wat een netwerkdetectiequery met alleen topologie vindt wanneer deze wordt uitgevoerd op server 1 met 0 opgegeven routerhops: subnet D en router 1.

In het volgende diagram ziet u wat een topologie- en clientnetwerkdetectiequery vindt wanneer deze wordt uitgevoerd op server 1 met 0 opgegeven routerhops: subnet D en router 1, en alle potentiële clients op subnet D.

Als u een beter idee wilt krijgen van hoe meer routerhops de hoeveelheid gedetecteerde netwerkbronnen kunnen vergroten, kunt u het volgende netwerk overwegen:

Bij het uitvoeren van een netwerkdetectie met alleen topologie vanaf Server 1 met één routerhop worden de volgende entiteiten gedetecteerd:

• Router 1 en subnet 10.1.10.0 (gevonden met nul hops)

• Subnetten 10.1.20.0 en 10.1.30.0, subnet A en router 2 (te vinden in de eerste hop)

Server Discovery

Configureerbaar: Nee

Naast de door de gebruiker te configureren detectiemethoden gebruikt Configuration Manager een proces met de naam Server Discovery (SMS_WINNT_SERVER_DISCOVERY_AGENT). Met deze detectiemethode worden bronrecords gemaakt voor computers die sitesystemen zijn, zoals een computer die is geconfigureerd als een beheerpunt.

Algemene functies van Active Directory-groepsdetectie, systeemdetectie en gebruikersdetectie

In deze sectie vindt u informatie over functies die de volgende detectiemethoden gemeen hebben:

• Active Directory-groepsdetectie

• Active Directory-systeemdetectie

• Active Directory-gebruikersdetectie

Deze drie detectiemethoden zijn vergelijkbaar wat betreft configuratie en werking. Ze kunnen computers en gebruikers en informatie vinden over groepslidmaatschappen van resources die zijn opgeslagen in Active Directory Domain Services. Het detectieproces wordt beheerd door een discovery-agent. De agent wordt uitgevoerd op de siteserver op elke site waar discovery is geconfigureerd voor uitvoering. U kunt elk van deze detectiemethoden configureren om een of meer Active Directory-locaties te doorzoeken als locatie-exemplaren in het lokale forest of de externe forests.

Wanneer discovery in een niet-vertrouwd forest naar bronnen zoekt, moet de discovery-agent het volgende kunnen oplossen om succesvol te zijn:

• Om een computerbron te detecteren met behulp van Active Directory-systeemdetectie, moet de detectieagent de FQDN van de bron kunnen oplossen. Als de FQDN niet kan worden omgezet, wordt geprobeerd de bron op te lossen met de NetBIOS-naam.

• Om een gebruiker of groepsresource te detecteren met behulp van Active Directory-gebruikersdetectie of Active Directory-groepsdetectie, moet de detectieagent de FQDN van de naam van de domeincontroller die u opgeeft voor de Active Directory-locatie kunnen oplossen.

Voor elke locatie die u opgeeft, kunt u afzonderlijke zoekopties configureren, zoals het inschakelen van een recursieve zoekopdracht in de onderliggende Active Directory-containers van de locatie. U kunt ook een uniek account configureren om te gebruiken wanneer er op die locatie wordt gezocht. Dit account biedt flexibiliteit bij het configureren van een detectiemethode op één locatie om meerdere Active Directory-locaties in meerdere forests te doorzoeken. U hoeft niet één account te configureren met machtigingen voor alle locaties.

Wanneer elk van deze drie detectiemethoden op een specifieke site wordt uitgevoerd, maakt de Configuration Manager-siteserver op die site verbinding met de dichtstbijzijnde domeincontroller in het opgegeven Active Directory-forest om Active Directory-bronnen te zoeken. Het domein en forest kunnen zich in elke ondersteunde Active Directory-modus bevinden. Het account dat u aan elk locatie-exemplaar toewijst, moet leestoegangsmachtigingen hebben voor de opgegeven Active Directory-locaties.

Discovery zoekt op de opgegeven locaties naar objecten en probeert vervolgens informatie over deze objecten te verzamelen. Een DDR wordt gemaakt wanneer er voldoende informatie over een resource kan worden geïdentificeerd. De vereiste informatie varieert afhankelijk van de detectiemethode die wordt gebruikt.

Als u dezelfde detectiemethode configureert voor verschillende Configuration Manager-sites om te profiteren van het uitvoeren van query's op lokale Active Directory-servers, kunt u elke site configureren met een unieke set detectieopties. Omdat detectiegegevens worden gedeeld met elke site in de hiërarchie, moet u overlapping tussen deze configuraties voorkomen om elke bron efficiënt en één keer te detecteren.

Voor kleinere omgevingen kunt u overwegen elke detectiemethode op slechts één locatie in de hiërarchie uit te voeren. Deze configuratie vermindert de administratieve overhead en de kans dat meerdere detectieacties dezelfde bronnen opnieuw detecteren. Wanneer u het aantal sites dat discovery uitvoert beperkt, vermindert u de totale netwerkbandbreedte die door discovery wordt gebruikt. U kunt ook het totale aantal DDR's beperken dat wordt gemaakt en moet worden verwerkt door uw siteservers.

Veel van de configuraties van de detectiemethode spreken voor zich. Gebruik de volgende secties voor meer informatie over de detectieopties waarvoor mogelijk extra informatie nodig is voordat u ze configureert.

De volgende opties zijn beschikbaar voor gebruik met meerdere Active Directory-detectiemethoden:

• Delta Discovery

• Verouderde computerrecords filteren op domeinaanmelding

• Verlopen records filteren op computerwachtwoord

• Aangepaste Active Directory-kenmerken zoeken

Delta-ontdekking

Beschikbaar voor:

• Active Directory-groepsdetectie

• Active Directory-systeemdetectie

• Active Directory-gebruikersdetectie

Delta-detectie is geen onafhankelijke detectiemethode, maar een optie die beschikbaar is voor de toepasselijke detectiemethoden. Met deltadetectie worden specifieke Active Directory-kenmerken doorzocht op wijzigingen die zijn aangebracht sinds de laatste volledige detectiecyclus van de toepasselijke detectiemethode. De kenmerkwijzigingen worden verzonden naar de Configuration Manager-database om de detectierecord van de bron bij te werken.

Deltadetectie wordt standaard uitgevoerd in een cyclus van vijf minuten. Dit schema komt veel vaker voor dan het gebruikelijke schema voor een volledige ontdekkingscyclus. Deze frequente cyclus is mogelijk omdat bij deltadetectie minder site-, server- en netwerkbronnen worden gebruikt dan bij een volledige detectiecyclus. Wanneer u deltadetectie gebruikt, kunt u de frequentie van de volledige detectiecyclus voor die detectiemethode verminderen.

Hier volgen de meest voorkomende wijzigingen die door deltadetectie worden gedetecteerd:

• Nieuwe computers of gebruikers toegevoegd aan Active Directory

• Wijzigingen in basiscomputer- en gebruikersgegevens

• Nieuwe computers of gebruikers die aan een groep worden toegevoegd

• Computers of gebruikers die uit een groep zijn verwijderd

• Wijzigingen in systeemgroepobjecten

Hoewel deltadetectie nieuwe bronnen en wijzigingen in het groepslidmaatschap kan detecteren, kan niet worden gedetecteerd wanneer een bron is verwijderd uit Active Directory. DDR's die door delta discovery worden gemaakt, worden op dezelfde manier verwerkt als de DDR's die door een volledige detectiecyclus worden gemaakt.

U configureert deltadetectie op het tabblad Polling Schedule in de eigenschappen voor elke detectiemethode.

Verouderde computerrecords filteren op domeinaanmelding

Beschikbaar voor:

• Active Directory-groepsdetectie

• Active Directory-systeemdetectie

U kunt detectie zo configureren dat computers met een verouderd computerrecord worden uitgesloten. Deze uitsluiting is gebaseerd op de laatste domeinaanmelding van de computer. Wanneer deze optie is ingeschakeld, wordt elke computer die wordt geïdentificeerd door Active Directory-systeemdetectie geëvalueerd. Met Active Directory-groepsdetectie wordt elke computer geëvalueerd die lid is van een gedetecteerde groep.

U gebruikt deze optie als volgt:

• Computers moeten worden geconfigureerd voor het bijwerken van het lastLogonTimeStamp kenmerk in Active Directory Domain Services.

• Het functionaliteitsniveau van het Active Directory-domein moet worden ingesteld op Windows Server 2003 of hoger.

Als u de tijd na de laatste aanmelding configureert die u voor deze instelling wilt gebruiken, moet u rekening houden met het interval voor replicatie tussen domeincontrollers.

U configureert het filteren op het tabblad Optie in de dialoogvensters Eigenschappen van Active Directory-systeemdetectie en Eigenschappen van Active Directory-groepsdetectie . Kies ervoor om alleen computers te detecteren die zich in een bepaalde periode bij een domein hebben aangemeld.

Verlopen records filteren op computerwachtwoord

Beschikbaar voor:

• Active Directory-groepsdetectie

• Active Directory-systeemdetectie

U kunt detectie zo configureren dat computers met een verouderd computerrecord worden uitgesloten. Deze uitsluiting is gebaseerd op het feit dat het computeraccount het laatst is bijgewerkt Wanneer deze optie is ingeschakeld, wordt elke computer die wordt geïdentificeerd door Active Directory-systeemdetectie geëvalueerd. Met Active Directory-groepsdetectie wordt elke computer geëvalueerd die lid is van een gedetecteerde groep.

U gebruikt deze optie als volgt:

• Computers moeten worden geconfigureerd voor het bijwerken van het pwdLastSet kenmerk in Active Directory Domain Services.

Houd bij het configureren van deze optie rekening met het interval voor updates van dit kenmerk. Houd ook rekening met het replicatie-interval tussen domeincontrollers.

U configureert het filteren op het tabblad Optie in de dialoogvensters Eigenschappen van Active Directory-systeemdetectie en Eigenschappen van Active Directory-groepsdetectie . Kies ervoor om alleen computers te detecteren waarvan het wachtwoord van hun computeraccount in een bepaalde periode is bijgewerkt.

Aangepaste Active Directory-kenmerken zoeken

Beschikbaar voor:

• Active Directory-systeemdetectie

• Active Directory-gebruikersdetectie

Elke detectiemethode ondersteunt een unieke lijst met Active Directory-kenmerken die kunnen worden gedetecteerd.

U kunt de lijst met aangepaste kenmerken weergeven en configureren op het tabblad Active Directory-kenmerken in de dialoogvensters Eigenschappen van Active Directory-systeemdetectie en Eigenschappen van Active Directory-gebruikersdetectie .

Volgende stappen

Detectiemethoden selecteren die u wilt gebruiken voor Configuration Manager

Detectiemethoden configureren