MGT 311MGT 311SMS 2003 SMS 2003 最佳实践最佳实践SMS V4 SMS V4 展望展望

课程内容概述课程内容概述在管理过程中，我们遇到了大量的问题在管理过程中，我们遇到了大量的问题SMS 2003SMS 2003 设计结构设计结构实现最佳的部署过程中的问题与解决实现最佳的部署过程中的问题与解决SMS V4 SMS V4 一瞥一瞥System Center System Center 的明天的明天问题时间问题时间

谁来帮助我们解决在管谁来帮助我们解决在管理过程中，我们遇到了理过程中，我们遇到了大量的问题大量的问题

钱和精力都花在哪里了？钱和精力都花在哪里了？

全球最佳桌面管理平台全球最佳桌面管理平台23,000+ 23,000+ 最终用户最终用户

SMS2003 SMS2003 的主要功能的主要功能

应 用 部 署应 用 部 署

资 产 管 理资 产 管 理 安 全 补 丁安 全 补 丁管 理管 理

充分利用充分利用Windows Windows

管理服务管理服务

支持移动应用支持移动应用

SMS 2003SMS 2003 设计结构设计结构

SMS 2003 Site DesignSMS 2003 Site Design设计选择设计选择 基础层次基础层次 活动目录扩展活动目录扩展

安全模式安全模式客户端版本客户端版本

No Local ServersNo Local Servers

分支分支

SMS 2003 SMS 2003 站点设计站点设计环境实例环境实例

Local Server

远程办公室远程办公室

总部总部 // 数据中心数据中心

Local Servers

WAN

WAN

WAN

WAN

地址位置地址位置

分公司分公司

SMS

SMS 2003 SMS 2003 站点设计站点设计典型设计 典型设计 #1#1

SMS

远程办公室远程办公室

总部总部 // 数据中心数据中心SMS

WAN

WAN

WAN

WAN

地理位置地理位置SMSSMS

SMS 2003 SMS 2003 站点设计站点设计典型设计典型设计 #2#2

DP

远程公司远程公司

总部总部 // 数据中心数据中心

SMS Site

WAN

WAN

WAN

WAN

地理位置地理位置SMSSMS

分支办公室分支办公室

DP

SMS 2003 SMS 2003 站点设计站点设计典型设计典型设计 #3#3

Local Server

远程办公室远程办公室

No Local ServersNo Local Servers

分支办公室分支办公室

总部总部 // 数据中心数据中心

All SMSRoles

WAN

WAN

WAN

WAN

地理位置地理位置SMSSMS

SMS 2003 SMS 2003 站点站点组件位置组件位置SMS SMS 和 和 SQLSQL 在同一服务器，或不同服务器在同一服务器，或不同服务器

每每 SMSSMS 架构下架构下 11 个 个 Server Locator PointServer Locator Point每个站点 每个站点 11 个 个 Management Point (4Management Point (4 个个 NLBNLB 节节点点 ))1 Client Access Point1 Client Access Point 需接近传统客户需接近传统客户

Distribution Point Distribution Point 需接近客户需接近客户

Primary Sites for more than 1000Primary Sites for more than 1000Secondary Sites for more than 100Secondary Sites for more than 100

承载承载 推荐硬件推荐硬件

SMS Hardware Sizing SMS Hardware Sizing 中型主站点中型主站点 : 1,000-5,000 : 1,000-5,000 客户客户

内存随客户数量增加而不断增长内存随客户数量增加而不断增长 磁盘的输入输出开始成为潜在的瓶颈磁盘的输入输出开始成为潜在的瓶颈 处理能力需求的增加，随清单和包频率而增长处理能力需求的增加，随清单和包频率而增长

Inventory 5x/wk Inventory 5x/wk Software Distribution Software Distribution 10 pkgs/wk10 pkgs/wk

双 双 1 Ghz 1 Ghz 512 MB – 1 GB RAM 512 MB – 1 GB RAM 3 – 11 HDD3 – 11 HDD

承载承载 推荐硬件推荐硬件

SMS SMS 硬件大小硬件大小 大型首要站点大型首要站点 : 20,000-50,000+: 20,000-50,000+ 客户客户

内存随客户数量增加而不断增长内存随客户数量增加而不断增长 磁盘的输入输出可能成为瓶颈 磁盘的输入输出可能成为瓶颈 为了更好的性能，建议使用单独的硬盘卷和通道为了更好的性能，建议使用单独的硬盘卷和通道

Inventory 5x/wk Inventory 5x/wk Software Distribution Software Distribution 10+ pkgs/wk10+ pkgs/wk

44 颗 颗 1 Ghz+ CPU1 Ghz+ CPU4 GB RAM4 GB RAM推荐 推荐 14 HDD14 HDD

SMS 2003 SMS 2003 站点设计站点设计带宽评估带宽评估策略分配请求策略分配请求 ~6k~6k策略策略 : :

广告 广告 : ~20k: ~20k软件计量软件计量 : ~10-20k: ~10-20kSMS_DEF.MOF: ~40kSMS_DEF.MOF: ~40k

差量清单（差量清单（ Delta InventoriesDelta Inventories ） ） ~1-7k~1-7k内容定位请求内容定位请求 ~8k~8k

重要重要 : : 使用 使用 Network MonitorNetwork Monitor

SMS 2003 SMS 2003 站点设计站点设计组件组件ObjectObjectTypeType

No secondaryNo secondarysitesite

RemoteRemotedistribution distribution

pointpoint

Secondary Secondary site with site with

distributiondistributionpointpoint

Secondary site Secondary site with proxy with proxy

management management pointpoint

Secondary site Secondary site and proxy and proxy

managementmanagement point with point with

replicated SMS replicated SMS site databasesite database

Primary site Primary site instead of instead of secondary secondary

sitesite

Policy Policy requestrequest

At polling At polling intervalinterval

At polling At polling intervalinterval

At polling At polling intervalinterval

At polling At polling intervalinterval ScheduledScheduled ScheduledScheduled

Policy body Policy body request request reply reply

At polling At polling IntervalInterval

At polling At polling intervalinterval

At polling At polling intervalinterval CachedCached ScheduledScheduled ScheduledScheduled

Discovery Discovery Data Data

& Inventory & Inventory At configuredAt configured

frequencyfrequencyAt configuredAt configured

frequencyfrequencyAt configuredAt configured

frequencyfrequency ScheduledScheduled ScheduledScheduled ScheduledScheduled

Packages Packages As As

downloadeddownloadedby clientby client

Package Package distributed; distributed; content localcontent local

Scheduled Scheduled pkgpkg

distribution; distribution; content localcontent local

Scheduled pkgScheduled pkgdistribution; distribution; content localcontent local

Scheduled pkgScheduled pkgdistribution; distribution; content localcontent local

Scheduled Scheduled pkgpkg

distribution; distribution; content localcontent local

网络带宽考虑事项网络带宽考虑事项

Incr

easi

ng s

ize

Incr

easi

ng s

ize

Increasing bandwidth controlIncreasing bandwidth control

实现最佳的部署过程中的问实现最佳的部署过程中的问题与解决题与解决

部署过程中的问题表现部署过程中的问题表现安装问题安装问题通讯问题通讯问题管理点与数据库访问问题管理点与数据库访问问题其他各式各样的问题其他各式各样的问题

解决管理点安装问题解决管理点安装问题确认系统需求确认系统需求

Microsoft Windows 2000 Server SP3 or laterMicrosoft Windows 2000 Server SP3 or laterNTFS partitionNTFS partition

Internet Information Services (IIS)Internet Information Services (IIS)Background Intelligent Transfer Service (BITS) Background Intelligent Transfer Service (BITS) Server Extensions Server Extensions MDAC 2.8MDAC 2.8 或更新或更新

确认确认 SMSSMS 有权访问管理点 有权访问管理点

解决管理点安装问题解决管理点安装问题 (2)(2)

确认服务运行 确认服务运行 DTCDTC计划任务计划任务Windows Management InstrumentationWindows Management InstrumentationWorld Wide Publishing Service (World Wide Publishing Service ( 默认 默认 Web site Web site available available 在在 8080 端口监听端口监听 ))

如运行标准安全模式，确认如运行标准安全模式，确认 SMSSMS 路径不能包含空路径不能包含空格格

高级客户端安装问题高级客户端安装问题这个问题可能是由于无法访问管理点造成的这个问题可能是由于无法访问管理点造成的

没有配置管理点没有配置管理点没有指派站点 没有指派站点 由于管理点其他问题导致管理点出现问题由于管理点其他问题导致管理点出现问题

高级客户端安装问题高级客户端安装问题 (2)(2)

如高级客户端实际安装失败，可能由于：如高级客户端实际安装失败，可能由于：该站点没有设置管理点该站点没有设置管理点无目标计算机管理特权无目标计算机管理特权

Client Client 推安装帐号或者枚举登陆用户帐号 推安装帐号或者枚举登陆用户帐号 Admin$ Admin$ 不可用不可用

高级客户端安装问题高级客户端安装问题 (3)(3)

其他原因导致高级客户端安装失败其他原因导致高级客户端安装失败 （（ WMI WMI 问题）问题）在安装日志中的错误代码在安装日志中的错误代码 0x800400xx 0x800400xx 重建重建 WMI WMI

高级客户端和管理点十分依赖高级客户端和管理点十分依赖 WMI WMI

管理点通讯管理点通讯高级客户端以匿名的形式访问管理点高级客户端以匿名的形式访问管理点

不能限制匿名访问不能限制匿名访问 高级客户端通讯使用以下帐号：高级客户端通讯使用以下帐号：

IWAM_mpcomputernameIWAM_mpcomputernameIUSR_mpcomputernameIUSR_mpcomputername不要改变该计算机的不要改变该计算机的 ACLs ACLs

解决管理点解决管理点 访问问题访问问题确认管理点访问确认管理点访问SMS Agent Host (Ccmexec.exe) SMS Agent Host (Ccmexec.exe) 需要运行在管理点上需要运行在管理点上World Wide Publishing Service (W3svc.exe or World Wide Publishing Service (W3svc.exe or W3wp.exe) W3wp.exe) 默认 默认 Web site Web site 可用可用Default Web site Default Web site 必须支持必须支持 8080 端口端口

SMS 2003 SP1 SMS 2003 SP1 后允许配置高级客户端通讯端口后允许配置高级客户端通讯端口

解决管理点解决管理点 访问问题访问问题从高级客户端从高级客户端检查 检查 ClientLocation.log ClientLocation.log 确认客户端站点分配确认客户端站点分配检查 检查 LocationServices.log LocationServices.log 确认客户端识别默认管理点确认客户端识别默认管理点检查 检查 Ccmexec.log Ccmexec.log 确认与管理点通讯问题确认与管理点通讯问题

通常 通常 HTTP Error: 12xxx HTTP Error: 12xxx 和 和 WINHTTP WINHTTP 错误错误

解决管理点解决管理点 访问问题访问问题从高级客户端从高级客户端 (2)(2)确认连接问题确认连接问题 ::

http://mpname/sms_mp/.sms_aut?mplisthttp://mpname/sms_mp/.sms_aut?mplist 应该返回空白屏应该返回空白屏

http://mpname/sms_mp/.sms_aut?mpcerthttp://mpname/sms_mp/.sms_aut?mpcert 应返回一长串字符应返回一长串字符

解决 解决 SQL SQL 访问问题访问问题 确认确认 SQL Server SQL Server 访问访问确认管理点可以访问确认管理点可以访问 SQL ServerSQL Server

SMS_SiteSystemToSQLConnection_sitecode SMS_SiteSystemToSQLConnection_sitecode 成员成员能够成功连接：能够成功连接：

Osql Osql ––S sqlserver S sqlserver ––d sitecode d sitecode ––EE

解决 解决 SQL SQL 访问问题访问问题 确认 确认 SQL ServerSQL Server 访问访问 (2)(2)如使用高级安全模式如使用高级安全模式 ,, 确认 确认 SQL Server SP3 SQL Server SP3 或或更高更高确认确认 SQL Server SQL Server 使用命名管道使用命名管道

用于管理点访问用于管理点访问使用 使用 MP Spy MP Spy

确认与确认与 SQLSQL 的连接以及查看策略的连接以及查看策略

管理点的故障转移管理点的故障转移 仅提供针对管理点一种方式的故障转移（仅提供针对管理点一种方式的故障转移（ NLBNLB ））最多支持最多支持 44 个节点个节点必须在相同网段必须在相同网段如使用代理型管理点，并当代理型管理点不可用如使用代理型管理点，并当代理型管理点不可用时，将不会转移至所分配站点的管理点时，将不会转移至所分配站点的管理点 客户端将持续等待代理管理点可用客户端将持续等待代理管理点可用

站点边界对比 漫游边界站点边界对比 漫游边界一般原则一般原则 , , 站点边界专有的被传统客户端使用站点边界专有的被传统客户端使用

站点分配和发现数据除外站点分配和发现数据除外 SMS SMS 发现数据管理器使用站点边界分配资源并确定是否建立发现数据管理器使用站点边界分配资源并确定是否建立 CCR CCR

漫游边界为高级客户端所专有使用漫游边界为高级客户端所专有使用 自动分配站点自动分配站点 分发点的选择 分发点的选择

本地边界对比远程边界 本地边界对比远程边界 一般原则，您不必非要添加任何本地漫游边界一般原则，您不必非要添加任何本地漫游边界

如使用站点边界如使用站点边界默认配置为包括全部站点边界作为本地漫游边界默认配置为包括全部站点边界作为本地漫游边界 可以添加额外没有包含在本地站点边界的子网可以添加额外没有包含在本地站点边界的子网

如涉及任何缓慢连接时才需要添加远程漫游边界如涉及任何缓慢连接时才需要添加远程漫游边界

WMI WMI 问题问题WMI WMI 对于对于 SMSSMS 是至关重要的是至关重要的

客户端和服务器在众多实例中使用客户端和服务器在众多实例中使用 WMI WMI 如权限不正确，设置错误，如权限不正确，设置错误， WMIWMI 库受损，库受损， SMSSMS将丧失功能将丧失功能 识别识别WMIWMI 权限与设置 权限与设置 如必要情况，重建如必要情况，重建 WMIWMI 原库原库

SMS V4 SMS V4 展望展望

支持各种平台支持各种平台 (( 桌桌面面 , , 笔记本，服务笔记本，服务器，移动设备和嵌器，移动设备和嵌入式设备入式设备 ))可扩展到可扩展到 200k+ 200k+ 管理节点管理节点 可以像管理公司内可以像管理公司内部资源一样管理远部资源一样管理远程分支机构程分支机构

可扩展性可扩展性发现系统弱点和不发现系统弱点和不符合公司标准化的符合公司标准化的欠缺欠缺 确认系统符合标准确认系统符合标准 对不安全系统的管对不安全系统的管理理 确定系统软件和硬确定系统软件和硬件最新的安全件最新的安全

安全与兼容安全与兼容升级或部署新的操升级或部署新的操作系统作系统 轻松快速的更新应轻松快速的更新应用用无间断的管理系统无间断的管理系统 精确的资产清单管精确的资产清单管理和管理管理理和管理管理

轻松操作轻松操作

IT IT 效率 效率 减少手工任务，减少手工任务， 释放 释放 ITIT匮缺资源匮缺资源 ,,增加最终用户成产力， 降低基础结构方面的成本增加最终用户成产力， 降低基础结构方面的成本

System Center Configuration Manager System Center Configuration Manager 20072007帮助 帮助 ITIT人员驱动企业价值人员驱动企业价值

SMS with Network Access ProtectionSMS with Network Access Protection

Windows ServerWindows Server““Longhorn” with Longhorn” with Network Policy Network Policy

Server (NPS)Server (NPS)

ClientClient

Network Network Access Access DeviceDevice(DHCP, (DHCP,

VPN)VPN)

SMS Site ServerSMS Site Server

May I have access?May I have access?Here’s my current Here’s my current health state. health state.

What network access should What network access should this client be granted based on this client be granted based on its health state? its health state?

Can you validate Can you validate this client? this client?

Is it compliant? Is it compliant?

I can validate this client. I can validate this client. It’s not compliant. It’s not compliant.

Initiate remediation. Initiate remediation.

You are being given You are being given restricted access until restricted access until compliant.compliant.

Requesting latest SMS Requesting latest SMS NAP policies or NAP policies or software updates software updates needed for needed for compliance. compliance.

Here are your latest Here are your latest SMS NAP policies or SMS NAP policies or software updates.software updates.

Requesting access. Here’sRequesting access. Here’smy new health state.my new health state.

Restrict network access Restrict network access and initiate remediation.and initiate remediation.

I can validate I can validate client’s health client’s health

state. state. Yes, it’s Yes, it’s

compliant .compliant .

Grant full network Grant full network access. access.

Client is granted Client is granted full network access.full network access.

Policy ServerPolicy Server

SMS System Health SMS System Health Validator pointValidator point

Active DirectoryActive Directory

SMS RemediationSMS Remediation ServersServers

Distribution pointsDistribution points

Management pointManagement point

????????

????????

?? ??XXXXXXXX

XXXXXXXX

XX XX

Retrieves SMS health Retrieves SMS health state reference from state reference from

Active Directory.Active Directory.

SMS Site ServerSMS Site Server

Active DirectoryActive Directory

Management point Management point receives SMS NAP receives SMS NAP policies which policies which connected clients connected clients download with machine download with machine policy.policy.

Publishes SMS Publishes SMS health state health state

reference.reference.

Admin tests Admin tests software updates, software updates, creating SMS creating SMS software update software update deployments.deployments.

Admin creates Admin creates SMS NAP policies.SMS NAP policies.

MicrosoftMicrosoftWindows Update siteWindows Update site

SMS retrieves Windows SMS retrieves Windows Update catalog. Update catalog.

ITMUITMU

This animated presentation demonstrates how SMS works with Network Access

Protection by stepping through the processes of how a non-compliant computer is

restricted until compliant.

SMS Software Updates with ITMU (Inventory Tool for Microsoft Update) is used to retrieve the Windows Update catalog which lists the latest software updates. If you have other

scan tools, such as ITDU (Inventory Tool for Dell Updates), you can also retrieve software

update catalogs from third party vendors.

Once the catalog is downloaded, the SMS administrator creates software update

deployments using the Distribute Software Updates Wizard. During the wizard, software updates can be marked for NAP evaluation

which creates SMS NAP policies. Or SMS NAP policies can be created afterwards, using the

Create New Policies wizard under the Network Access Protection, Policies node.

The SMS NAP policies are automatically sent to the management point. Clients that are

connected will download these SMS NAP policies as part of their machine policy

download.

The creation of SMS NAP policies publishes SMS health state references in Active

Directory. Active Directory must be extended and the site server must be configured to publish identity data to Active Directory.

The SMS System Health Validator point retrieves the SMS health state references

from Active Directory on startup, and periodically. These are used to identify which

site the client belongs to, and whether the client has up-to-date SMS NAP policies when

determining its health state.

An SMS client becomes connected to the network - either through a VPN connection or it starts up and requests an IP address from a

DHCP server. Other enforcement technologies include IPSec and 802.1x. The client requests network access and provides

a statement of health by evaluating compliance with its existing SMS NAP

policies.

The Network Access Device asks the Policy Server what network access the computer should have based on the health state the

client provided.

The Network Policy Server is configured with policies that check the SMS health state. The

Policy Server asks the SMS System Health Validator point to validate the client and its

compliance.

The SMS System Health Validator uses SMS health state references to validate

compliance. If the client does not have up-to-date SMS NAP policies or requires software

updates, the client is deemed non-compliant and requires remediation. The Network Policy Server administrator has

configured Network Access Protection policies to enforce compliance and restrict

non-compliant computers. The Network Policy Server therefore instructs the Network

Access Device to restrict the computer’s network access and initiate remediation in

order to make this client compliant.

The Network Access Device instructs the computer that it is restricted because it is

non-compliant, and it requires remediation. The user is informed with a popup message from the Notification Area that they have restricted access until compliant, but can

continue to work locally.

The SMS client requests the latest SMS NAP policies or software updates required for compliance. It can connect to the SMS

management point to download the SMS NAP policies, and it can connect to distribution points that host the software updates it

requires. However, it cannot connect to other computers on the network unless they have also been configured as remediation servers. This helps to protect other computers on the

network.

The client is remediated with the latest SMS NAP policies, or by downloading the software

updates it requires for compliance.The client generates a new statement of

health and requests access again, this time with a new health state.

The Network Access Device again asks the Policy Server what network access the

computer should have based on its health state.

The Policy Server again asks the SMS System Health Validator point to validate the client

and its compliance.

The SMS System Health Validator again validates the client, but this time it confirms

that the client is compliant.

The Network Access Device grants the computer full network access and it can now

connect to all computers on the network, which still includes its management point and

distribution points.

DEMO DEMO 浏览浏览 SMS V4 SMS V4

System Center System Center 的明天的明天

技术资源技术资源Webcasts

http://www.microsoft.com/usa/webcasts/default.asp

MSDN & TechNet http://microsoft.com/msdnhttp://microsoft.com/technet

新闻组http://communities2.microsoft.com/communities/newsgroups/en-us/default.aspx

技术社区站点http://www.microsoft.com/communities/default.mspx

用户社区http://www.microsoft.com/communities/usergroups/default.mspx

填反馈表填反馈表

与本次主题有关的与本次主题有关的 SessionSession 和活动和活动MGT 312MGT 312 SMS R2 SMS R2

( ( 分会场分会场 66 ）） 18:00-19:15 18:00-19:15  9 9 月月 2222 日日MGT 320MGT 320 MOM MOM 企业应用与展望企业应用与展望

( ( 分会场分会场 66 ）） 12:45-14:00 12:45-14:00  9 9 月月 2323 日日MGT 321MGT 321 MOM MOM 最佳实践最佳实践

( ( 分会场分会场 66 ）） 14:15-15:30 14:15-15:30  9 9 月月 2323 日日