Przykład wdrażania punktu zarządzania w niezaufanej domenie Active Directory krok po kroku

Dotyczy: programu Configuration Manager (bieżąca gałąź)

W tym przykładzie pokazano, jak zainstalować punkt zarządzania programu Configuration Manager na serwerze w domenie usługi Active Directory, która nie ma dwukierunkowego zaufania z domeną zawierającą serwer lokacji. Ten scenariusz jest typowy, gdy musisz rozszerzyć zarządzanie na sieć obwodową (DMZ), domenę partnerską lub inny segment sieci, któremu nie w pełni ufasz.

Przejrzyj sieć organizacji i dokumentację usługi Active Directory, aby poznać procedury i najlepsze rozwiązania dotyczące Twojego środowiska. Kroki opisane w tym artykule służą jako dowody słuszności koncepcji. Aby uzyskać wskazówki dotyczące produkcji, zobacz Komunikacja między lasami usługi Active Directory.

Środowisko testowe

Instrukcje krok po kroku zawarte w tym artykule korzystają z następującego środowiska testowego:

• Zaufana domena (corp.contoso.com): zawiera serwer lokacji głównej programu Configuration Manager (SiteServer) i bazę danych lokacji programu SQL Server (SQLServer). Kod witryny to P01.

• Niezaufana domena (branch.fabrikam.com): zawiera serwer hostujący punkt zarządzania (DMZ-MP). Nie istnieje żadne zaufanie usługi Active Directory między tymi dwiema domenami.

• Obie domeny korzystają z systemu DNS systemu Windows Server, a usługi warunkowego przesyłania dalej DNS są skonfigurowane w obu kierunkach, dzięki czemu każda domena może rozpoznawać nazwy FQDN w innej domenie.

• Aby wykonać wszystkie procedury, możesz zalogować się jako administrator domeny w obu domenach.

Omówienie kroków wdrażania

Poniższa tabela zawiera podsumowanie tego wdrożenia i wyjaśnia, dlaczego każdy krok jest wymagany.

Krok 1. Tworzenie kont domeny

Korzystaj z dwóch dedykowanych kont użytkownika. Skonfiguruj oba konta z hasłami, które nie wygasają, i nie udzielaj niepotrzebnych uprawnień.

Aby utworzyć konto instalacji systemu lokacji w niezaufanej domenie

1. Zaloguj się do kontrolera domeny przy branch.fabrikam.com użyciu konta administratora domeny.

2. Otwórz widok Użytkownicy i komputery usługi Active Directory.

3. W okienku nawigacji rozwiń branch.fabrikam.com, kliknij prawym przyciskiem myszy jednostkę organizacyjną Konta usługi (OU), a następnie wybierz pozycję Nowy>użytkownik.

   Porada

   Jeśli dedykowana jednostka organizacyjna kont usługi nie istnieje, najpierw ją utwórz lub umieść konta w odpowiedniej jednostce organizacyjnej. Nie umieszczaj kont usługi w domyślnym kontenerze Użytkownicy w środowisku produkcyjnym.

4. Zakończ pracę kreatora Nowy obiekt — użytkownik z następującymi ustawieniami, a następnie wybierz pozycję Zakończ:

   • Imię: svc-cm-dmzmpinstall
   • Nazwa logowania użytkownika: svc-cm-dmzmpinstall
   • Hasło: użyj silnego, niewygasającego hasła.
   • Wybierz pozycję Hasło nigdy nie wygasa i wyczyść pole wyboru Użytkownik musi zmienić hasło przy następnym logowaniu.

5. Zamknij aplet Użytkownicy i komputery usługi Active Directory.

Aby utworzyć konto połączenia bazy danych MP w zaufanej domenie

1. Zaloguj się do kontrolera domeny przy corp.contoso.com użyciu konta administratora domeny.

2. Otwórz widok Użytkownicy i komputery usługi Active Directory.

3. W okienku nawigacji rozwiń corp.contoso.com, kliknij prawym przyciskiem myszy jednostkę organizacyjną Konta usług (OU), a następnie wybierz pozycję Nowy>użytkownik.

4. Zakończ pracę kreatora Nowy obiekt — użytkownik z następującymi ustawieniami, a następnie wybierz pozycję Zakończ:

   • Imię: svc-cm-dmzmpdbconnect
   • Nazwa logowania użytkownika: svc-cm-dmzmpdbconnect
   • Hasło: użyj silnego, niewygasającego hasła.
   • Wybierz pozycję Hasło nigdy nie wygasa i wyczyść pole wyboru Użytkownik musi zmienić hasło przy następnym logowaniu.

5. Zamknij aplet Użytkownicy i komputery usługi Active Directory.

Aby dodać konto instalacji do lokalnej grupy administratorów na serwerze punktu zarządzania

1. Zaloguj się DMZ-MP przy użyciu konta administratora lokalnego lub domeny.

2. Otwórz przystawkę Zarządzanie komputerem, rozwiń węzeł Użytkownicy i grupy lokalne, a następnie wybierz pozycję Grupy.

3. Kliknij prawym przyciskiem myszy pozycję Administratorzy, a następnie wybierz polecenie Dodaj do grupy.

4. W oknie dialogowym Właściwości administratorów wybierz pozycję Dodaj.

5. W oknie dialogowym Wybieranie użytkowników, komputerów, kont usług lub grup wprowadź FABRIKAM\svc-cm-dmzmpinstall nazwę w polu Nazwa obiektu, wybierz pozycję Sprawdź nazwy do sprawdzenia poprawności, a następnie wybierz przycisk OK.

6. Wybierz przycisk OK , aby zamknąć okno Właściwości administratorów.

Krok 2. Udzielanie uprawnień bazy danych programu SQL Server do konta połączenia MP

Punkt zarządzania musi mieć możliwość odczytywania i zapisywania danych w bazie danych lokacji. Udziel tego dostępu, dodając svc-cm-dmzmpdbconnect konto jako identyfikator logowania programu SQL Server i przypisując wymagane role bazy danych.

Aby utworzyć login programu SQL Server i przypisać role bazy danych

1. Zaloguj się SQLServer przy użyciu konta administratora programu SQL Server, a następnie otwórz program SQL Server Management Studio.

2. W eksploratorze obiektów rozwiń węzeł Zabezpieczenia, kliknij prawym przyciskiem myszy pozycję Login, a następnie wybierz polecenie Nowe dane logowania.

3. W oknie dialogowym Logowanie — Nowy na stronie Ogólne wprowadź następujące ustawienia:

   • Nazwa logowania: Enter CORP\svc-cm-dmzmpdbconnect.
   • Wybierz opcję Uwierzytelnianie systemu Windows.

4. W lewym okienku okna dialogowego Logowanie — Nowy wybierz pozycję Mapowanie użytkowników.

5. Na liście Użytkownicy zamapowani na tę listę logowania zaznacz pole wyboru obok Configuration Manager bazy danych witryny (na przykład CM_P01).

6. W sekcji Członkostwo w rolach bazy danych u dołu strony wybierz następujące role:

   • smsdbrole_MP
   • smsdbrole_MPUserSvc

7. Wybierz przycisk OK , aby utworzyć dane logowania.

8. Zamknij program SQL Server Management Studio.

Krok 3: Skonfiguruj reguły zapory

W poniższej tabeli wymieniono minimalne reguły zapory wymagane dla tego wdrożenia. Skonfiguruj te reguły we wszystkich zaporach sieciowych i profilach Zapory systemu Windows opartych na hoście między a corp.contoso.combranch.fabrikam.com.

Następujące połączenia są wymagane, aby punkt zarządzania mógł uwierzytelnić się na kontrolerach domeny w lesie CORP i na odwrót. Porty DNS nie są dołączone.

Krok 4. Instalowanie wymagań wstępnych na serwerze punktu zarządzania

Przed dodaniem roli punktu zarządzania zainstaluj wymagane funkcje systemu Windows i składniki pomocnicze na komputerze DMZ-MP. Aby uzyskać pełną i bieżącą listę, zobacz Wymagania wstępne dotyczące lokacji i systemu lokacji.

Na ten przykład przygotuj się DMZ-MP z następującymi rolami i funkcjami systemu Windows:

• Rola serwera sieci Web (IIS) i funkcje wybrane automatycznie.
• Funkcja programu .NET Framework 3.5.
• Funkcja programu .NET Framework 4.8. System Windows Server 2022 i nowsze domyślnie zawierają tę wersję.
• Rozszerzenie serwera usług IIS (w tle usługi inteligentnego transferu (BITS)). Wybierz funkcję i wszystkie opcje wybrane automatycznie.
• Usługi roli serwera sieci Web (IIS):uwierzytelnianie systemu Windows, rozszerzenia ISAPI, zgodność metabazy IIS 6 oraz zgodność usługi WMI usług IIS 6

Aby zainstalować wymagane funkcje systemu Windows

1. Zaloguj się DMZ-MP przy użyciu konta administratora lokalnego lub domeny.

2. Otwórz sesję programu Windows PowerShell z podwyższonym poziomem uprawnień.

3. Uruchom następujące polecenie:

   Install-WindowsFeature NET-Framework-Features, NET-Framework-Core, BITS, BITS-IIS-Ext, Web-Server, Web-WebServer, Web-Common-Http, Web-Default-Doc, Web-Dir-Browsing, Web-Http-Errors, Web-Static-Content, Web-Health, Web-Http-Logging, Web-Log-Libraries, Web-Request-Monitor, Web-Http-Tracing, Web-Performance, Web-Stat-Compression, Web-Security, Web-Filtering, Web-Windows-Auth, Web-App-Dev, Web-ISAPI-Ext, Web-Http-Redirect, Web-Mgmt-Tools, Web-Mgmt-Console, Web-Mgmt-Compat, Web-Metabase, Web-WMI -IncludeManagementTools
   

4. Uruchom ponownie DMZ-MP , jeśli system Windows wyświetli monit o ponowne uruchomienie.

Krok 5. Instalowanie roli punktu zarządzania

Ta procedura instaluje rolę punktu zarządzania przy DMZ-MP użyciu kreatora Tworzenie serwera systemu lokacji . Kreator umożliwia określenie kont między lasami i ustawień wymaganych przez rolę.

1. W konsoli programu Configuration Manager przejdź do obszaru roboczego Administracja. Rozwiń węzeł Konfiguracja lokacji, a następnie wybierz pozycję Serwery i role systemu lokacji.

2. Na karcie Narzędzia główne w grupie Tworzenie wybierz pozycję Utwórz serwer systemu lokacji.

3. Na stronie Ogólne wprowadź następujące ustawienia, a następnie wybierz pozycję Dalej:

   • Nazwa: wprowadź nazwę FQDN serwera punktu zarządzania: DMZ-MP.branch.fabrikam.com.

   • Kod lokacji: wybierz P01 (lub odpowiedni kod lokacji dla środowiska).

   • Konto instalacji systemu lokacji: wybierz pozycję Określ konto, a następnie wprowadź FABRIKAM\svc-cm-dmzmpinstall.

     Ważna

     Należy określić konto instalacji systemu lokacji, gdy serwer docelowy znajduje się w niezaufanym lesie. Serwer lokacji nie może używać własnego konta komputera do uwierzytelniania na serwerze w lesie bez zaufania. Aby uzyskać więcej informacji, zobacz Konto instalacji systemu lokacji.

4. Na stronie Ogólne wybierz pozycję Wymagaj serwera lokacji do inicjowania połączeń z tym systemem lokacji.

   Ważna

   DMZ-MP nie ma uprawnień do ponownego nawiązania połączenia z serwerem lokacji. Po wybraniu tej opcji wszystkie transfery danych są inicjowane przez serwer lokacji i używają tego samego konta instalacji systemu lokacji.

5. Na stronie Serwer proxy skonfiguruj serwer proxy, jeśli DMZ-MP wymaga go w celu uzyskania dostępu do internetowych punktów końcowych. W przeciwnym razie wybierz pozycję Dalej.

6. Na stronie Wybór ról systemu wybierz pozycję Punkt zarządzania, a następnie wybierz przycisk Dalej.

7. Na stronie Punkt zarządzania wprowadź następujące ustawienia, a następnie wybierz pozycję Dalej:

   • Połączenia klienckie: Wybierz protokół HTTPS, aby wymagać szyfrowanej komunikacji z klientem (wymagany jest certyfikat serwera sieci Web PKI powiązany z domyślną witryną sieci Web usług IIS w dniuDMZ-MP) lub EHTTP.
   • Wygeneruj alert, gdy punkt zarządzania nie jest w dobrej kondycji: opcjonalnie wybierz tę opcję, aby otrzymywać alerty w konsoli, gdy punkt zarządzania jest w złej kondycji.
   • Pozostaw inne opcje na ich ustawieniach domyślnych.

8. Na stronie Połączenie z bazą danych punktu zarządzania wprowadź następujące ustawienia, a następnie wybierz przycisk Dalej:

   • Użyj bazy danych witryny: Jest to konfiguracja domyślna. Nie musisz określać wystąpienia programu SQL Server, ponieważ witryna zawiera już te informacje.
   • Połączenie z bazą danych punktu zarządzania: wybierz pozycję Określ konto, a następnie wprowadź corp.contoso.com\svc-cm-dmzmpdbconnect. Użyj formatu FQDN, aby upewnić się, że punkt zarządzania może rozpoznać konto w zaufanej domenie i pomyślnie uwierzytelnić się w programie SQL Server.

     Ważna

     Określenie konta połączenia punktu zarządzania jest konieczne, gdy punkt zarządzania znajduje się w niezaufanej domenie lub lesie, ponieważ jest on uwierzytelniany bezpośrednio w programie SQL Server w zaufanej domenie. Określenie konta w formacie DomainFQDN\UserName (na przykład corp.contoso.com\svc-cm-dmzmpdbconnect) pomaga w rozpoznawaniu nazw podczas uwierzytelniania Kerberos. Aby uzyskać więcej informacji, zobacz Konto połączenia punktu zarządzania.

9. Przejrzyj podsumowanie na stronie Podsumowanie , a następnie wybierz przycisk Dalej , aby zakończyć działanie kreatora.

10. Wybierz pozycję Zamknij na stronie Kończenie .

Krok 6. Weryfikowanie instalacji punktu zarządzania

Po zakończeniu pracy kreatora sprawdź, czy punkt zarządzania został pomyślnie zainstalowany i czy jest w dobrej kondycji, zanim skierujesz do niego klientów.

Aby sprawdzić stan punktu zarządzania w konsoli programu Configuration Manager

1. W konsoli programu Configuration Manager przejdź do obszaru roboczego Monitorowanie. Rozwiń pozycję Stan systemu, a następnie wybierz pozycję Stan składnika.

2. Zlokalizuj składnik SMS_MP_CONTROL_MANAGER na DMZ-MP.branch.fabrikam.com. W kolumnie Stan upewnij się, że stan to OK.

   Uwaga

   Może upłynąć do 30 minut od zamknięcia kreatora, aby punkt zarządzania był wyświetlany w dobrej kondycji. Jeśli stan to Ostrzeżenie lub Krytyczne, kliknij prawym przyciskiem myszy składnik, wybierz pozycję Pokaż wszystkie wiadomości> i przejrzyj szczegóły błędu. Następnie przejrzyj pliki dziennika opisane poniżej.

3. Powtórz sprawdzanie SMS_MP_FILE_DISPATCH_MANAGER komponentu.

Aby zweryfikować instalację punktu zarządzania przez przejrzenie plików dziennika

1. Zaloguj się do DMZ-MPi znajdź SMS folder w katalogu głównym jednego z dysków.

2. Jeśli folder nie istnieje, przejrzyj SiteComp.log na serwerze lokacji, aby potwierdzić, że serwer lokacji połączył się z DMZ-MPkontem instalacji systemu lokacji i uruchomił ją przy użyciu konta instalacji systemu lokacji. Jeśli brakuje tego SMS folderu, serwer witryny prawdopodobnie nie może komunikować się z serwerem DMZ-MP witryny lub nie ma uprawnień do utworzenia folderu i zainstalowania roli.

3. Przejrzyj następujące pliki dziennika pod DMZ-MP kątem komunikatów związanych z instalacją i konfiguracją punktu zarządzania:

   Plik dziennika	Lokalizacja na DMZ-MP	Na co zwrócić uwagę
   MPSetup.log	\SMS\Logs	Ogólne wymagania wstępne i komunikaty dotyczące instalacji MP: w szczególności CcmSetup, , msoledbsql.msi, funkcja IIS-ASPNET45 i mp.msi.
   MPMSI.log	\SMS\Logs	Szczegóły instalacji MP i stanu wycofywania MSI. Jeśli instalacja zakończy się niepowodzeniem 1603, wyszukaj w tym pliku szczegółowy komunikat o błędzie.
   CCMSetup.log	%Windir%\CCMSetup\Logs	Komunikaty instalacji plików binarnych klienta i powiązane wymagania wstępne (na przykład vcredist i platforma zasad firmy Microsoft). Instalacja powinna zakończyć się za pomocą kodu powrotnego 0.
   BGBSetup.log	\SMS\Logs	Komunikaty instalacji serwera powiadomień klienta: szukaj pomyślnego zakończenia.

4. Po zainstalowaniu MP folder powinien pojawić się SMS_CCM na tym samym dysku, co SMS. Ten folder może nie zostać wyświetlony, jeśli klient został zainstalowany przed punktem zarządzania. W takim przypadku przejrzyj CCM\Logs folder zainstalowanego klienta. Następnie przejrzyj następujące pliki dziennika pod DMZ-MP kątem komunikatów związanych z komunikacją punktu zarządzania z serwerem lokacji i bazą danych lokacji:

   Plik dziennika	Lokalizacja na DMZ-MP	Na co zwrócić uwagę
   MpControl.log	\SMS\Logs	Regularne kontrole dostępności Punktów Zarządzania i Obsługi Użytkowników. Pomyślny test przypomina Call to HttpSendRequestSync succeeded for port 443 with status code 200, text: OK.
   BGBServer.log	\SMS\Logs	Raportowanie serwera powiadomień klientów (szybki kanał). Typowe wpisy obejmują liczbę podłączonych klientów, na przykład Total online clients: 100 (TCP: 99 HTTP: 1)~~.
   MPFDM.log	\SMS\Logs	Wł DMZ-MP. , ten dziennik powinien pokazywać minimalną aktywność i zawierać Remote site is in pull-mode.. Na serwerze lokacji ten sam dziennik powinien pokazywać aktywność przenoszenia plików, z wpisami podobnymi do ~Moved file....
   MP_Framework.log	\SMS_CCM\Logs	Komunikaty połączenia z bazą danych, które używają konta połączenia punktu zarządzania, takie jak Loaded MP settings cache from reg key HKLM\Software\Microsoft\SMS\MP: Database Settings:. Jeśli wystąpią błędy, poszukaj nieudanego uwierzytelniania lub problemów z łącznością programu SQL Server.

Testowanie komunikacji klienta z nowym punktem zarządzania

1. Na komputerze klienckim w branch.fabrikam.comprogramie 1010 pliki instalacyjne klienta zostaną skopiowane do folderu lokalnego. Otwórz wiersz polecenia z podwyższonym poziomem uprawnień w tym folderze i uruchom następujące polecenie, aby ręcznie przypisać klienta do nowego punktu zarządzania:

   ccmsetup.exe SMSSITECODE=P01 SMSMP=DMZ-MP.branch.fabrikam.com
   

   Uwaga

   Jeśli pakiet usług dodatkowych jest skonfigurowany do obsługi protokołu HTTPS, upewnij się, że klient ma zarejestrowany certyfikat klienta infrastruktury kluczy publicznych, i dołącz /UsePKICert przełącznik do ccmsetup.exeprotokołu . Aby uzyskać więcej informacji, zobacz Właściwości instalacji klienta.

2. Sprawdź %Windir%\CCMSetup\Logs\CCMSetup.log , czy instalacja powiodła się.

3. Sprawdź \SMS_CCM\Logs\ClientIDManagerStartup.log , aby potwierdzić pomyślną rejestrację klienta. Poszukaj komunikatów podobnych do [RegTask] - Client is registered. Server assigned ClientID is GUID:00000000-0000-0000-0000-000000000000. Approval status 1.

4. Sprawdź, czy klient jest wyświetlany w konsoli programu Configuration Manager i czy pokazuje ikonę online. Dodaj kolumnę Punkt zarządzania do widoku konsoli, aby potwierdzić, że klient jest przypisany do DMZ-MP.branch.fabrikam.com.

Więcej informacji

• Dodawanie ról systemu lokacji
• Instalowanie ról systemu lokacji
• Wymagania wstępne lokacji i systemu lokacji dla programu Configuration Manager
• Komunikacja między lasami usługi Active Directory
• Konta używane w programie Configuration Manager
• Wymagania dotyczące certyfikatu PKI dla programu Configuration Manager