Avdeling for informatikk og e-læring, Høgskolen i Sør-Trøndelag MSI fra Group Policy Jostein Lund 25.08.2012 Lærestoffet er utviklet for faget LO470D Programvaredistribusjon og fjerndrifting 1. MSI fra Group Policy Resymé: Hensikten med denne leksjonen lære hvordan en distribuerer programvare med MSI fra Group Policy. Innhold 1.1. INNLEDNING... 2 1.2. OPPSETT I ACTIVE DIRECTORY... 2 1.3. OPPRETTING AV DELTE MAPPER PÅ SERVER... 4 1.4. RETTIGHETER TIL DE DELTE MAPPEN OG UNDERMAPPER... 5 1.4.1. Mappen med MSI programfiler... 5 1.5. OPPSETT AV PROGRAMVAREDISTRIBUSJON MED MSI I GROUP POLICY... 6 1.5.1. Installasjon av programvare for valgte arbeidsstasjoner... 6 1.5.2. Installasjon av programvare for valgte brukere... 11 1.6. BRUK AV PROFILER... 13 1.6.1. Mulige problemer... 13 1.7. BESKRIVELSE AV PROFILER... 14 1.7.1. Roaming brukerprofil... 14 1.7.2. Oppsett av roaming profil for bruker... 15 1.7.3. Sletting av profiler... 16 1.8. OPPSUMMERING... 17
MSI fra Group Policy side 2 av 17 1.1. Innledning I denne leksjonen skal vi lære hvordan en distribuerer programvare med bruk av MSI (Microsoft Installation Service) fra Group Policy. Group Policy er en viktig funksjon i Active Directory og en benytter den til å sette forskjellige innstillinger for en OU (Organization Unit). I tillegg blir det gjennomgått litt om bruk av profiler sammen med MSI-distribusjon. 1.2. Oppsett i Active Directory Før en kan distribuere programvare med MSI må en opprette OU-er i Active Directory som skal innholde brukere, arbeidsstasjoner og grupper. En benytter programmet Active Directory Users and Computers og det finner en under menyen Programs -> Administrative Tools. I bildet nedenfor er et eksempel på OU-er en trenger å opprette. I dette eksemplet er det kun en arbeidsstasjon (testjo) og den er flyttet fra OU-en Computer til OU-en Arbeidsstasjoner etter at den er innmeldt i domenet. Under OU-ene Ansatte og Studenter legger en inn brukerne:
MSI fra Group Policy side 3 av 17 Under OU-en Grupper er det lagt inn en OU for Globale grupper og en OU for Lokale grupper og de globale gruppene Ansatte og Studenter er lagt inn under OU-en Globale: I tillegg er de lokale gruppene Profiler og MSI-dist lagt inn under OU-en Lokale. Den lokale gruppen Profiler skal benyttes for å gi rettigheter til den delte mappen (Profiler) på serveren som inneholder profilene til brukerne. Den lokale gruppen MSI_Dist skal benyttes for å gi rettigheter til den delte mappen (MSI_Dist) på serveren som inneholder programmene som skal distribueres. Brukere under OU-en Ansatte legges i den globale gruppen Ansatte. (Merk av brukere under OU-en Ansatte -> høyre musknapp -> Add members to group -> velg den globale gruppen Ansatte). Gjør også tilsvarende for brukerne under OU-en Studenter.
MSI fra Group Policy side 4 av 17 Legg de globale gruppene Ansatte og Studenter i den lokale gruppen Profiler. Den lokale gruppen Profiler benyttes for å gi rettigheter til den delte mappen på serveren som inneholder profilene. (Det er ikke nødvendig å benytte profiler som ligger på en felles server (roaming profiles) for at MSI skal kunne benyttes). Legg de globale gruppene Ansatte og Studenter i den lokale gruppen MSI_Dist. Den lokale gruppen MSI_Dist benyttes for å gi rettigheter til den delte mappen på serveren som inneholder programmene som skal distribueres. 1.3. Oppretting av delte mapper på server På serveren må en opprette disse delte mappene (se bilde nedenfor): MSI_Dist Inneholder de programmene som skal distribueres med MSI. Profiler Inneholde profilene til brukere som benytter Roaming Profiles, dvs brukere som vil ha det samme oppsettet på datamaskinen uansett hvilken datamaskin de logger seg inn på. Disse mappene ligger i dette eksemplet under den delte mappen MSI_Dist: Pakket Her kan en legge de pakkende eksempelfilene winzip8.zip og ad-aware.zip. Dette gjøres for å ha en originalkopi av installasjonsfilene. WinZip8 Skal inneholde installasjonsfilene for WinZip8. Ved å pakke opp fila winzip8.zip under mappen MSI_Dist. WinAmp Et eksempel på andre mapper som kan inneholde MSI installasjonsfiler.
MSI fra Group Policy side 5 av 17 Slik kan de delte mappene med under mapper se ut når de vises i Explorer: (Undermappen til mappen profiler blir opprettet når brukere som benytter roaming profiles har logget seg på) 1.4. Rettigheter til de delte mappen og undermapper 1.4.1. Mappen med MSI programfiler Den delte mappen MSI_Dist inneholder MSI programfiler for de programmene en ønsker å distribuere. Brukerne trenger bare lese-tilgang til disse filene og vi gir derfor den lokale gruppen MSI_Dist rettigheten Read til den delte mappen MSI-Dist. Ta vekk gruppen Everyone og legg inn gruppen Administrators med fulle rettigheter i stedet. Bruk Windows Explorer for å sette disse rettighetene. Obs! Hvis en skal distribuere et program for valgte arbeidsstasjoner vil programmet bli installert under oppstart av datamaskinen og dermed før brukeren logger seg inn. Derfor må en også gi rettigheten Read til gruppen Everyone eller til en lokal gruppe som inneholder alle arbeidstasjonene en skal installere programmet på.
MSI fra Group Policy side 6 av 17 Under fanen Security setter vi NTFS-rettighetene til den delte mappen MSI-Dist: 1.5. Oppsett av programvaredistribusjon med MSI i Group Policy Vi er nå klar til å sette opp hvilke OU-er som programvaren skal distribueres fra. Programvare kan distribueres fra Group Policy på disse måtene: For valgte arbeidsstasjoner Legger inn Group Policy for en OU med arbeidsstasjoner og velger Software Setting -> Software installation under Computer Configuration. Brukeren får tilgang til programvaren neste gang arbeidsstasjonen startes på nytt. For valgte brukere Legger inn Group Policy for en OU med brukere og velger Software Setting -> Software installation under User Configuration. Brukeren får tilgang til programvaren neste gang han logger seg inn. 1.5.1. Installasjon av programvare for valgte arbeidsstasjoner Velg OU-en for de valgte arbeidsstasjonene -> høyre musknapp -> velg Properties -> velg fanen Group Policy: (Obs: Bruker du Windows server 2008 må en benytte Group Policy Management under Administrativ tools)
MSI fra Group Policy side 7 av 17 Velg knappen New -> Skriv inn en beskrivende tekst -> Velg knappen Edit: Velg Software Settings under Computer Configuration -> velg Software installation under Software Settings -> høyre musknapp -> velg New -> velg Package: Her kommer noe som er meget viktig: Velg den delte mappen under My Network Places og ikke under My Computer!!! Hvis en velger en absolutt adresse (f.eks C:\MSI_Dist\winzip8\winzip8.msi) vil arbeidsstasjonene prøve å finne filene på sin egen datamaskin og der finnes det ingen slike filer.
MSI fra Group Policy side 8 av 17 I mitt eksempel fant jeg fila winzip8.msi i denne nettverksstien: \\intralab1\msi_dist\winzip8\winzip8.msi hvor intralab1 er serveren MSI_Dist er den delte mappe med distibusjonsfilene winzip8 er mappen som inneholder filene for WinZip8 winzip8.msi er installasjonfila for WinZip8 Velg denne fila: Velg Assigned. Assigned Menyvalg og eventuelle snarveier blir lagt inn. Installeres første gang en bruker starter programmet eller at brukeren velger en fil med en filtype for dette programmet. Published Legger programmet slik at det kan installeres fra Legg til/fjern programvare eller at brukeren velger en fil med en filtype for dette programmet. Benyttes ikke når en installerer for valgte arbeidsstasjoner. Advanced published or assigned Benyttes når en vil legge inn endringer som er gjort på MSI-fila. Endringen lagres i en MST-fil.
MSI fra Group Policy side 9 av 17 Denne linjen kommer opp etter at installasjon av MSI-pakken er uført. Legg spesielt merke til stien til MSI-pakken: \\intralab1\msi_dist\winzip8\winzip8.msi. (Den skal ikke gå direkte mot den lokale enhetsbokstaven. (C:, D:.) For å gjøre tilpasninger på denne installasjonen velg høyre musknapp -> Properties. Velg fanen Deployment:
MSI fra Group Policy side 10 av 17 Velg knappen Advanced og merk av for Ignore language when deploying this package. Dette er meget viktig hvis en ikke har likt språk på operativsystemet og programvaren. Bruk av de andre fanene: General Viser navn og opplysninger om produktet og en kan også endre navnet. Upgrades Gjør det mulig å legge inn såkalte patcher Categories Velge hvilken kategori programmet skal legges under i Legg til/fjern programvare. Modifications Kan legge inn endringer som er gjort i den opprinnelige MSI-fila. Endringene er lagret i en MST-fil. Eksempel: En ønsker å legge inn produktnøkkelen for Office XP slik at hver bruker slipper å taste den inn ved første gangs installsjon. Redigerer da på Office sin MSIfil med et program som følger Office Resource-kit og endringene lagres i en MST-fil. Security Kan velge hvem som skal ha rettigheter til å benytte denne installasjonen. Vanligvis benytter en standardverdiene. Hvis en ønsker å ta vekk installasjonspakken velger en Remove i menyen som er vist nedenfor. En kan da velge i disse to alternativene (Se også bilde neste side) Immediatly uninstall the software from users and compuers Vil avinstallere programmet ved neste oppstart av arbeidsstasjonen. (eller ved innlogging av bruker hvis programmet er installert for en OU for brukere) Allow users to continue to use the software, but prevent new installation Tillater brukeren å fortsette å bruke programmet, men hindrer ny installasjon.
MSI fra Group Policy side 11 av 17 1.5.2. Installasjon av programvare for valgte brukere Velg OU-en for de valgte brukerne -> høyre musknapp -> velg Properties -> velg fanen Group Policy: Velg knappen New -> Skriv inn en beskrivende tekst -> Velg knappen Edit:
MSI fra Group Policy side 12 av 17 Velg Software Settings under User Configuration -> velg Software installation under Software Settings -> høyre musknapp -> velg New -> velg Package: Velg Assigned. Se beskrivelse av valgene tidligere i leksjonen. Denne linjen kommer opp etter at installasjon av MSI-pakken er uført. Legg spesielt merke til stien til MSI-pakken: \\intralab1\msi_dist\winzip8\winzip8.msi. (Den skal ikke gå direkte mot den lokale enhetsbokstaven. (C:, D:.) For å gjøre tilpasninger på denne installasjonen velg høyre musknapp -> Properties.
MSI fra Group Policy side 13 av 17 Husk også her å velge knappen Advanced og merk av for Ignore language when deploying this package. Dette er meget viktig hvis en ikke har likt språk på operativsystemet og programvaren. 1.6. Bruk av profiler 1.6.1. Mulige problemer Bruk av profiler kan skape noen problem ved bruk av MSI for programvaredistribusjon. Problemet oppstår når en benytter profiltypen roaming personal. Romaing personal benyttes når brukeren ikke benytter en fast arbeidsstasjon og ønsker å få samme oppsett på uansett hvor han logger seg på. Her er problemet beskrevet med et eksempel: Brukeren logger seg for første gang inn på en arbeidsstasjon etter at MSIdistribusjonen av et program er lagt ut: Programmet installeres når brukeren starter programmet. Brukeren logger seg ut: Profilen på serveren blir oppdatert med de siste endringer som er gjort i startmeny og skjermbilde. Brukeren logger seg inn på en annen arbeidsstasjon: Profilen på serveren blir lest inn og inneholder menyene for programmet som ble installert. Når brukeren prøver å kjøre programmet kan det oppstå en feil da det forutsettes at programmet er installert på denne arbeidsstasjonen fra før. Løsning på problemet: Bruk installasjon av programvare for valgte arbeidsstasjoner når en vil benytte roaming personal profiler. Da blir programvaren installert og er ikke knyttet mot brukeren. Alle som logger seg på denne arbeidsstasjonen får tilgang til programvaren. Ikke bruk roaming personal profiler når en ønsker å installere programvare for valgte brukere. Det vil si at installasjon av programvare for valgte brukere kun skal benyttes når brukeren benytter en fast arbeidsstasjon hele tiden.
MSI fra Group Policy side 14 av 17 1.7. Beskrivelse av profiler For å ha mer grunnlag for å forstå problemene som er beskrevet ovenfor kan det være nytting å lese denne beskrivelsen av profiler. Når en bruker logger seg på en datamaskin for første gang vil en standard (default) brukerprofil bli opprettet. En brukerprofil inneholder blant annet disse mappene med opplysninger: Application Data Data for personlig oppsett av programvare (eks Word) Desktop Utseende på skrivebordet Favorites Snarveier til program og mapper som er satt som favoritter NetHood Snarveier til Andre datamaskiner (Network Neightborhood) PrintHood Snarveier til skrivere i Printermappen Recent Snarveier til ting som nettopp ha blitt brukt SendTo Snarveier til dokumenter Start Menu Snarveier som ligger i Start-menyen Templates Snarveier til maler for programvare 1.7.1. Roaming brukerprofil En roaming brukerprofil lagres på en server og kan dermed benyttes fra en hvilken som helst arbeidsstasjon i nettet. Roaming blir oversatt til norsk vandrende, og dvs at profilen "følger etter" brukeren uansett hvilken arbeidsstasjon han logger seg inn på. Det finnes to typer roaming profiler: Roaming mandatory (mandatory: påtvungen, påbudt, nødvendig) Denne profilen kan ikke endres av brukeren. Hvis brukeren endrer oppsettet av sin datamaskin vil disse endringen ikke bli skrevet over den opprinnelige profilen når han logger ut. Benyttes oftest når mange brukere skal benytte en bestemt profil som ikke skal endres. Passer hvor en vil ha like oppsett av for eksempel skjermbilde: Opplæring, skrankepersonale, brukere som ikke har behov for å ha eget oppsett på sin PC. Roaming personal Denne profilen kan endres av brukeren. Hvis brukeren endrer oppsettet av sin datamaskin vil disse endringen bli skrevet over den opprinnelige profilen når han logger ut. Dette
MSI fra Group Policy side 15 av 17 krever at profilen for hver enkelt bruker lagres hver for seg, slike endringer ikke påvirker oppsettet for andre brukere. Profiler som er laget for Windows 2000/XP kan ikke benyttes av arbeidsstasjoner med Windows 95/98, da profilene for disse operativsystemene ikke er kompatible 1.7.2. Oppsett av roaming profil for bruker Opprett en delt mappe på serveren og gi den passende rettigheter. Delte rettigheter: Husk også å gi NTFS-rettigheter:
MSI fra Group Policy side 16 av 17 Legg inn stien til brukerens profil med Active Directory Users and Computers. Intralab1 er navn på server Profiler er navn på den delte mappa %username% gir deg brukernavnet som mappenavn for profilen for brukeren 1.7.3. Sletting av profiler Under uttesting av bruken av MSI-filer ved distribusjon fra Group Policy kan det være nyttig å kunne slette gamle profiler, da det kan være årsaken til at ting ikke virker som de skal. Her er kort veiledning på hvordan profiler slettes: Lokale profiler o Logg inn som lokal administrator eller domeneadministrator på den arbeidsstasjonen som har de lokale profilene. o Velg Min datamaskin -> høyre musknapp -> Egenskaper -> Brukerprofiler slett de du ønsker. (Det er også mulig å slette dem direkte med Windows explorer under Documents and Settings) Roaming profiler o Logg inn som administrator på serveren. o Benytt Windows Explorer o Velg mappen for profilen til en bestemt bruker under den delte mappen som skal slettes. o Gi Administator eier-rettigheter til hele mappen med undermapper o Gi Administrator fulle rettigheter til mappen med undermapper o Slett mappen
MSI fra Group Policy side 17 av 17 1.8. Oppsummering I denne leksjonen har vi lært hvordan en distribuerer programvare med bruk av MSI (Microsoft Installation Service) fra Group Policy og har gjennomgått disse hovedpunktene: Oppsett av Active Directory Oppretting av delte mapper på server med rettigheter Installasjon av programvare for valgte arbeidsstasjoner Installasjon av programvare for valgte brukere Mulige problemer ved bruk av profiler I neste leksjon skal vi lære hvordan vi lager egne MSI-filer for applikasjoner som ikke har det som standard.