Plánování správy internetových klientů v Configuration Manager
Platí pro: Configuration Manager (Current Branch)
Ke správě Configuration Manager klientů, kteří nejsou připojení k interní síti, použijte internetovou správu klientů (IBCM). Výhody použití IBCM:
- Úplná kontrola nad servery a rolemi poskytujícími službu
- Žádná závislost na cloudové službě
- Nemusí vyžadovat virtuální privátní síť (VPN)
- Všechny náklady jsou spojené s místní službou.
Vzhledem k vyšším požadavkům na zabezpečení při správě klientských počítačů ve veřejné síti vyžaduje IBCM použití certifikátů PKI. Tato konfigurace zajišťuje, aby se připojení ověřovala nezávislou autoritou. Když klienti IBCM a servery lokality odesílají data, jsou zašifrovaná a zabezpečená.
Komunikace s klientem
Následující role systému lokality v primárních lokalitách podporují připojení z klientů, kteří jsou v nedůvěryhodných umístěních:
Poznámka
I když se IBCM primárně zaměřuje na internetový scénář, stejné chování platí pro klienty v nedůvěryhodné doménové struktuře služby Active Directory. Sekundární lokality nepodporují připojení klientů z nedůvěryhodných umístění.
Bod registrace certifikátu pro modul zásad Configuration Manager (NDES)
Upozornění
Od verze 2203 se bod registrace certifikátu už nepodporuje. Další informace najdete v tématu Nejčastější dotazy týkající se vyřazení přístupu k prostředkům.
Distribuční bod
Brána pro správu cloudu s podporou obsahu (CMG)
Zprostředkuje bod registrace
Bod stavu náhradního stavu
Bod správy
Bod aktualizace softwaru
O internetových systémech lokalit
Mezi doménovou strukturou klienta a serverem systému lokality není nutné mít vztah důvěryhodnosti. Pokud však doménová struktura, která obsahuje internetový systém lokality, důvěřuje doménové struktuře obsahující uživatelské účty, tato konfigurace podporuje zásady založené na uživatelích pro zařízení na internetu, když povolíte nastavení klienta Zásady klientaPovolit požadavky zásad uživatele z internetových klientů.
Například následující konfigurace ilustrují, když IBCM podporuje zásady uživatelů pro zařízení na internetu:
Internetový bod správy je v hraniční síti. Tato síť má také řadič domény jen pro čtení, který uživatele ověřuje. Brána firewall mezi hraniční sítí a interními sítěmi umožňuje používat pakety služby Active Directory.
Uživatelský účet je v intranetové doménové struktuře. Internetový bod správy se nachází v doménové struktuře založené na hraniční síti. Hraniční doménová struktura důvěřuje interní doménové struktuře. Ověřovací pakety umožňuje brána firewall mezi hraniční sítí a interními sítěmi.
Uživatelský účet i internetový bod správy jsou v intranetové doménové struktuře. Publikujete bod správy na internet pomocí webového proxy serveru.
Použití webového proxy serveru
Internetové systémy lokality můžete umístit do intranetu, když je publikujete na internetu pomocí webového proxy serveru. Nakonfigurujte tyto systémy lokality pro připojení klientů pouze z internetu nebo pro připojení klientů z internetu a intranetu. Pokud používáte webový proxy server, můžete ho nakonfigurovat pro přemostění ssl (Secure Sockets Layer) na tunelování SSL nebo SSL.
Přemostění SSL na SSL
Doporučená a bezpečnější konfigurace je přemostění SSL na SSL, protože používá ukončení protokolu SSL s ověřováním. Ověřuje klientské počítače pomocí ověřování počítačů. Mobilní zařízení, která zaregistrujete pomocí Configuration Manager nepodporují přemostění SSL.
Při ukončení protokolu SSL na proxy serveru zkontroluje pakety z internetu před jejich předáním do interní sítě. Proxy server ověří připojení z klienta, ukončí ho a pak otevře nové ověřené připojení k internetovým systémům lokality. Když Configuration Manager klienti používají proxy server, klient bezpečně obsahuje svou identitu (GUID) v datové části paketu. Bod správy nepovažuje proxy server za klienta. Configuration Manager nepodporuje přemostění z HTTP na HTTPS nebo z HTTPS na HTTP.
Poznámka
Configuration Manager nepodporuje nastavení konfigurací přemostění SSL třetích stran. Například Citrix Netscaler nebo F5 BIG-IP. Spojte se s dodavatelem zařízení a nakonfigurujte ho pro použití s Configuration Manager.
Tunelového propojení
Pokud váš proxy webový server nepodporuje požadavky na přemostění SSL, Configuration Manager také podporuje tunelování SSL. Tunelování SSL můžete použít také k podpoře mobilních zařízení, která zaregistrujete pomocí Configuration Manager. Je to méně bezpečná možnost, protože proxy předává pakety SSL z internetu do systémů lokality bez ukončení protokolu SSL. Proxy nezkontroluje pakety na škodlivý obsah. Pokud používáte tunelování SSL, pro webový proxy server neexistují žádné požadavky na certifikát.
Plánování internetových klientů
Rozhodněte se, jestli chcete nakonfigurovat internetové klienty pro správu v intranetu i internetu, nebo pro správu pouze internetových klientů. Tuto možnost správy můžete nakonfigurovat pouze během instalace klienta. Pokud ho chcete později změnit, přeinstalujte klienta.
Poznámka
Pokud nakonfigurujete bod správy tak, aby podporoval internetové klienty, budou klienti, kteří se k tomuto bodu správy připojují, při příští aktualizaci seznamu dostupných bodů správy používat internet.
Konfiguraci správy klientů jen pro internet nemusíte omezovat na internet. Můžete ho také použít v intranetu.
Klienti, které konfigurujete pro správu pouze z internetu, komunikují pouze se systémy lokality, které nakonfigurujete pro připojení klientů z internetu. Tuto konfiguraci použijte v následujících scénářích:
- Počítače, o kterých víte, se nikdy nepřipojí k intranetu. Například počítače prodejního místa ve vzdálených umístěních.
- Omezení komunikace klienta pouze na HTTPS. Například kvůli podpoře brány firewall a zásad zabezpečení s omezeným přístupem.
- Když nainstalujete internetové systémy lokality v hraniční síti a chcete tyto servery spravovat jako Configuration Manager klienty.
Poznámka
Pokud chcete spravovat klienty pracovní skupiny na internetu, nainstalujte je jako pouze internet.
Když nakonfigurujete mobilní zařízení tak, aby používalo internetový bod správy, automaticky se nakonfiguruje jako pouze internetové.
Můžete nakonfigurovat další klienty pro správu internetových i intranetových klientů. Když zjistí změnu sítě, automaticky přepne mezi správou klientů IBCM a intranetu. Pokud tito klienti můžou najít bod správy, který podporuje připojení klientů v intranetu, a připojit se k němu, budou tito klienti spravováni jako intranetoví klienti. Intranetoví klienti mají plné funkce Configuration Manager. Pokud klienti nemůžou najít bod správy, který podporuje připojení klientů v intranetu, nebo se k němu připojit, pokusí se připojit k internetovému bodu správy. Pokud bude tato akce úspěšná, budou tito klienti spravováni internetovými systémy lokality v přiřazené lokalitě.
Výhodou automatického přepínání je, že klienti můžou používat všechny funkce, když se připojí k intranetu, a získat základní správu, když jsou na internetu. Stahování obsahu, které začíná na internetu, může bezproblémově pokračovat v intranetu a naopak.
Požadavky
IBCM v Configuration Manager má následující závislosti:
Klienti vyžadují připojení k internetu. Configuration Manager používá stávající připojení zařízení k internetu. Mobilní zařízení musí mít přímé připojení k internetu. Úplné klientské počítače můžou mít buď přímé připojení k internetu, nebo se připojovat pomocí webového proxy serveru.
Systémy lokality, které podporují IBCM, vyžadují připojení k internetu a musí být v doméně služby Active Directory. Internetové systémy lokality nevyžadují vztah důvěryhodnosti s doménovou strukturou služby Active Directory serveru lokality. Pokud však internetový bod správy může uživatele ověřit pomocí ověřování systému Windows, podporuje zásady uživatelů. Pokud ověřování Systému Windows selže, podporuje pouze zásady zařízení.
Poznámka
Pokud chcete podporovat zásady uživatelů, povolte ve skupině Zásady klienta také následující nastavení klienta:
- Povolení dotazování zásad uživatele na klientech
- Povolení požadavků zásad uživatele z internetových klientů
Infrastruktura veřejných klíčů (PKI) pro nasazení a správu požadovaných certifikátů pro internetové klienty a servery systému lokality. Další informace najdete v tématu Požadavky na certifikát PKI.
Zaregistrujte veřejné položky hostitele DNS pro internetové plně kvalifikované názvy domén (FQDN) systémů lokality, které podporují IBCM.
Povolte možnost Použít klientský certifikát PKI (schopnost ověřování klientů), pokud je k dispozici na kartě Zabezpečení komunikace ve vlastnostech lokality. Tato možnost je povinná.
Požadavky na komunikaci klienta
Brány firewall nebo proxy servery musí umožňovat komunikaci klienta pro internetové systémy lokality:
Podpora HTTP 1.1
Povolit obsah typu HTTP vícedílné přílohy MIME (multipart/mixed a application/octet-stream)
Slovesa
Povolte následující příkazy pro internetové role serveru systému lokality:
| Role | Slovesa |
|---|---|
| Bod správy | -HLAVY - CCM_POST - BITS_POST -DOSTAT - PROPFIND |
| Distribuční bod | -HLAVY -DOSTAT - PROPFIND |
| Bod stavu náhradního stavu | PŘÍSPĚVEK |
Hlavičky HTTP
Povolte následující hlavičky HTTP pro internetové role serveru systému lokality:
| Role | Hlavičky HTTP |
|---|---|
| Bod správy | -Rozsah: - CCMClientID: - CCMClientIDSignature: - CCMClientTimestamp: – CCMClientTimestampsSignature: |
| Distribuční bod | Rozsah: |
Podobné požadavky na komunikaci při použití bodu aktualizace softwaru pro připojení klientů z internetu najdete v dokumentaci ke službě Windows Server Update Services (WSUS).
Nepodporované funkce
Ne všechny funkce správy klientů jsou vhodné pro internet. Configuration Manager nepodporuje některé funkce pro klienty na internetu. Tyto nepodporované funkce obvykle spoléhají na Active Directory Domain Services nebo nejsou vhodné pro veřejnou síť.
Při správě klientů na internetu pomocí IBCM nejsou podporovány následující funkce:
Nasazení klienta přes internet, jako je klientské nabízené oznámení a nasazení klienta založeného na aktualizacích softwaru. Použijte ruční instalaci klienta.
Automatické přiřazení webu
Wake-on-LAN
Nasazení operačního systému. Můžete ale nasadit pořadí úkolů, která nenasazují operační systém.
Vzdálené řízení
Nasazení softwaru uživatelům. Tato funkce se spoléhala na katalog aplikací, který už není podporovaný.
Roaming klienta. Roaming umožňuje klientům vždy najít nejbližší distribuční body ke stažení obsahu. Klienti ne deterministicky vybírají jeden z internetových systémů lokality bez ohledu na šířku pásma nebo fyzické umístění.
Když nakonfigurujete bod aktualizace softwaru tak, aby přijímal připojení z internetu, internetoví klienti vždy prohledávají tento bod aktualizace softwaru a určují, které aktualizace softwaru se vyžadují. Když jsou tito klienti na internetu, pokusí se nejprve stáhnout aktualizace softwaru z Microsoft Update, nikoli z internetového distribučního bodu. Pokud se toto chování nezdaří, pokusí se stáhnout požadované aktualizace softwaru z internetového distribučního bodu.
Tip
Klient Configuration Manager automaticky určí, jestli je v intranetu nebo na internetu. Pokud klient může kontaktovat řadič domény nebo místní bod správy, nastaví typ připojení na "Aktuálně intranet". V opačném případě se přepne na "Aktuálně internet" a komunikuje se systémy lokality přiřazenými k jeho lokalitě.