Microsoft System Center: Новое лицо SCCM

Корпоративные системы управления предприятием меняются, инструменты для их управления тоже должны быть другими. Этой тенденции следует решение для управления от компании Microsoft — System Center Configuration Manager (SCCM).

Одно из самых больших изменений, по крайней мере в SCCM, — переориентация на управление пользователями. В этом подходе к управлению на первом месте находятся пользователи, а не системы. Также появилась новая модель безопасности, основанная на ролях, новая консоль и возможности для упрощения инфраструктуры.

Семейство продуктов System Center имеет важное значение для дальнейшего успеха Microsoft на изменчивом рынке корпоративного ПО. Во многих отношениях SCCM является самым важным элементом этого семейства. SCCM 2012 сейчас находится в стадии начального бета-тестирования, выход второй бета-версии ожидается в течение первой половины 2011 года.Можно ожидать, что в версии RTM по сравнению с текущей версией, будут изменены некоторые функции.

Если вы не использовали раньше SCCM, то вкратце расскажем, как он работает. SCCM просматривает и обнаруживает все устройства (серверы, клиентские компьютеры и смартфоны), подключенные к сети через Active Directory и устанавливает на каждом узле клиентское ПО. SCCM создает базу данных инвентаризации с записями по каждому устройству и характеристиками установленного программного и аппаратного обеспечения. Эти данные используются для целевого развертывания приложений в группах устройств или пользователей.

По завершении обнаружения устройств управление выполняется автоматически. Управление обновлениями основано на Windows Server Update Services (WSUS).Можно автоматически развертывать ОС на новых устройствах или обновлять операционную систему существующих машин. Можно обеспечить применение корпоративной политики, настроив соответствующие параметры. SCCM может интегрироваться с Windows Server 2008 Network Access Policy (NAP) для проверки безопасности клиентов до предоставления им полного доступа к сети.

Все внимание на пользователя

«Ориентация на потребителя ИТ» стала нормой жизни. Сопротивляться этой тенденции бесполезно. Она требует от нас поддерживать множество устройств и платформ. Большинство из этих мобильных устройств принадлежит представителям молодого поколения, которое зачастую намного лучше технически подковано, чем их старшие коллеги.

SCCM всегда служило для управления системами. Сейчас ситуация меняется и в центр внимания попали пользователи. В рамках этой новой философии им предоставляется больший контроль над тем, когда и какое программное обеспечение у них устанавливается. Например, пользователь может определить свое время работы, чтобы установка и обновление проводились во внерабочее время (рис. 1).

Рис. 1. Ориентированное на пользователей управление позволяет пользователям управлять конфигурацией собственной прикладной среды

У каждого из пользователей может быть одно или несколько основных устройств (настольный ПК, ноутбук или смартфон). Может оказаться, что у конкретного устройства больше одного основного пользователя (например, при посменной работе на производстве). Задача определения этих отношений выполняется с помощью функциональности привязки пользовательских устройства. Существует несколько методов создания привязки: импорт файла вручную администратором, конечным пользователем либо через статистику использования.

Новый интерфейс, который называется Software Center, служит для более активного привлечения пользователей к управлению собственными системами. В нем используется знакомый браузер и интерфейс корзины интернет-магазина, что дает возможность пользователям находить и запрашивать приложения. В зависимости от типа приложения пользователь может установить его немедленно или после одобрения администратора.

Более эффективное управление приложениями

В SCCM 2012 все еще есть пакеты и программы, как и в предыдущих версиях, но сейчас они объединены в рамках новой ориентированной на состояние модели, которая обслуживает весь жизненный цикл приложения. У каждого приложения своя задача (обязательная или доступная), правила требований и одного или несколько типов развертывания (рис.2). Можно задать один из нескольких типов развертывания — Microsoft Application Virtualization, Script Installer, Microsoft Windows Installer (MSI), Remote Desktop App или Windows Mobile Cabinet.

Рис. 2. Определение типа развертывания приложения

За счет возможности использования различных методов развертывания приложений достигается большая гибкость. Можно, например, установить Adobe Reader как основное приложение на основном устройстве, как Remote Desktop App — на сервере, если у вас есть пользователи, зарегистрированные на сервере, или как App-V на любом другом устройстве. В ситуациях, когда приложения зависят друг от друга, можно создать зависимости так, чтобы приложение X устанавливалось до зависящего от него приложения Y.

В SCCM теперь для удаления приложений используется процедура выбытия вывода из эксплуатации (retirement). Такое было доступно только для программ App-V в SCCM 2007. В SCCM 2012 это может использоваться для всех типов развертывания.

Многие компании содержат лабораторию тестирования развертывания приложений для проверки приложений до их развертывания в промышленной среде. Теперь есть возможность использовать SCCM для экспорта приложения (включая все зависимые файлы) из тестовой среды и импортировать его в производственную среду. В SCCM все развернутое ПО отлеживается в узле Monitoring, а не в отдельном Средстве просмотра сообщений о состоянии (Status Message Viewer), как в SCCM 2007. Развитая отчетность облегчает диагностику и устранение неполадок.

Как правило, сложные запросы в SCCM 2007 для обслуживания программ пишут на основании технических и бизнес-требований. Правила требований — новая функция, призванная минимизировать усилия по настройке запросов.Можете сделать эти правила глобальными и применить для всех типов развертывания всех конкретных приложений или применять их только к одному типу развертывания.

Вся прелесть этих правил в том, что они оцениваются на клиенте во время установки и не полагаются на возможно устаревшие данные из базы данных (рис. 3). Возможность предварительного тестирования развертывания приложений без необходимости его установки появится во второй бета-версии.

Рис. 3. Правила требований должны свести к минимуму необходимость в сложных запросах. Их также намного легче определять

Компонент Operating System Deployment (OSD) всегда был одной из сильных сторон SCCM. В SCCM 2012 введена иерархия всех загрузочных носителей. Это исключает необходимость сохранения отдельных загрузочных носителей OSD для каждого сайта. В данном интерфейсе также интегрируется версия компонента User State Migration Toolkit (USMT). Поддержка среды предзагрузки PXE (Pre-Boot eXecution Environment) теперь представляет собой лишь атрибут точки распространения (Distribution Point, DP). В ней используется тот же сертификат, что и в DP. Имеются также значительные улучшения PXE в плане масштабируемости.

Обслуживание без подключения к системе образов WIM (Windows Imaging Format) в Windows Vista SP1 и более поздних версиях переводит процесс обновления и исправления на совершенно новый уровень. Можно просто составить расписание установки для библиотеки образов. Экземпляр новой ОС будет обновлен без необходимости развертывания эталонного образа на устройстве с последующей записью после внесения исправлений.

Технология AMT (Intel vPro/Active Management) позволяет получить доступ к аппаратным средствам в отсутствие работающей ОС. SCCM 2012 поддерживает ее, но не похоже, что будет поддерживаться версия 6, которая поставляется со специализированным сервером VNC (Virtual Network Computing).

Управление доступом на основе ролей

В корпоративных продуктах Microsoft, как и в отрасли в целом, для администрирования безопасности все чаще применяется управление доступом на основе ролей. В SCCM 2012 это означает, что основные сайты больше не являются границей безопасности. Новая консоль построена в соответствии с моделью RBAC (Role-Based Access Control), предусматривающей сокрытие элементов интерфейса, если у пользователя нет прав на них. Административные задачи сгруппированы в роли безопасности. В сочетании с областями безопасности они позво��яют точно контролировать, кто, что, где и когда может выполнять те или иные действия. В первой бета-версии существуют 13 ролей. Вы можете дополнять их собственными ролями с учетом особенностей своих бизнес-требований (рис. 4).

Рис. 4. Ко времени выпуска количество ролей может быть больше 13

Этот многоуровневый подход позволяет использовать возможности облака, одновременно обеспечивая защиту локального клиента от возможных интернет-угроз.

Встречайте новую консоль SCCM

Основываясь на концепции в System Center, SCCM 2012 создана совершенно новая консоль. Она больше не опирается на Microsoft Management Console. Это упрощает управление SCCM. Существует элемент Wunderbar (да, да, это официальный технический термин) со ссылками на разделы Assets and Compliance, Monitoring, Administration и Software Library. Теперь требуется меньше щелчков мыши для навигации по дереву благодаря наличию вкладок, расположенных в нижней части главной панели (рис. 5).

Рис. 5. С новой консолью можно забыть о проблемах производительности MMC в версии 2007

Поддержка смартфонов

System Center Mobile Device Manager 2008 был не совсем успешным, тем не менее его функциональность для Windows Mobile будет встроена в SCCM 2012. Будет также добавлена поддержка (скорее всего, во второй бета-версии) управления устройствами Symbian и Nokia. Это позволит управлять всеми устройствами (серверами, настольными компьютерами, ноутбуками и смартфонами) непосредственно из SCCM 2012.

Но то, чего не хватает, важнее того, что реализовано. Поддержка iPhone, Android и Windows Phone 7 обеспечивается только «облегченным управлением» средствами соединителя Exchange Active Sync. Полноценное управление (и удаленное управление для смартфонов) пока только обещают после выпуска основной версии.

Упрощение инфраструктуры

В SCCM 2012 много радикальных изменений.Ни одно из них не будет требовать больших усилий по планированию и предварительной работе, чем совершенствование иерархии. Цель в том, чтобы получить структуру с меньшим количеством системных серверов на сайте. Требования к системе — еще один фактор влияния на этапе планирования. SCCM 2012 существует только в виде 64-разрядной версии. Он будет работать только в среде Windows Server 2008 или Windows Server 2008 R2 с SQL Server 2008 SP1 (x64) или более поздней версии. Однако DP могут работать на 32-битной Windows.

Для построения более плоских иерархий существует новый сайт CAS (Central Administration Site), который не используется для обслуживания клиентов, а только для управления и отчетности (на основе отчетов SQL Server).

Нет необходимости в применении CAS, если у вас не более одного основного сайта. Каждый основной сайт поддерживает около 100 тыс. клиентов. Для целей резервирования даже в небольших средах может быть более одного такого сайта. Нельзя строить новые уровни основных сайтов, как это можно было делать в SCCM 2007, но это разрешается для вторичных сайтов, но, скорее всего, многим из них вы отведете роль DP, поскольку они сейчас позволяют управлять пропускной способностью.

Ответственность за распределение контента в настоящее время лежит на репликации SQL Server, хотя программные пакеты, исправления и образы ОС по-прежнему используют ориентированную на файлы модель. Реплицированные данные делятся на глобальные данные (созданные администратором, такие как наборы, роли RBAC и т. п.) и данные сайта (созданные системой). Из-за этого для каждого вторичного сайта необходим SQL Server (подойдет даже версия SQL Server Express).

Параметры агента клиента в настоящее время определены на уровне наборов, а не сайтов. Клиенты могут получать параметры настройки из нескольких наборов. Расширения схемы Active Directory те же, что и в SCCM 2007, поэтому публикация информации сайта будет работать без дополнительных изменений схемы. Если у вас в филиале есть операционные системы Windows Server 2008 R2 и Windows 7 (версии Ultimate или Enterprise), то SCCM 2012 можете задействовать компонент BranchCache.

Точки распространения филиала (Branch Distribution Points) позволяют хранить пакеты на рабочей станции. Это хорошо работает в офисах с количеством устройств менее 100, для которых достаточно управлять пропускной способностью с помощью службы BITS (Background Intelligent Transfer System). Хотя в SCCM 2007 есть группы DP, но они скорее слабые средства помощи администратору. При добавлении контента DP в группу в SCCM 2012 этот контент получают все члены группы. При добавлении другой DP она тоже получает весь контент группы. SCCM 2012 также позволяет вручную копировать содержимое как в DP филиалов, так и в стандартные DP. SCCM 2007 поддерживает эту функцию только для DP филиалов.

Планирование миграции

Предлагается два варианта перехода с Systems Management Server (SMS) 2003 на SCCM 2007: параллельная миграция или обновление поверх текущей версии. Microsoft не представила никаких инструментов для реализации первого варианта. При переходе с SCCM 2007 на SCCM 2012 нет возможности обновления поверх текущей версии из-за перехода на 64-битную архитектуру. Вместе с тем в консоли есть встроенные инструменты миграции. Выполнить миграцию SCCM 2007 можно только если на нем установлен пакет обновлений SP 2.

SCCM 2012 устанавливается параллельно (с новым кодом сайта). Он переносит метаданные из старой среды в новую среду, начиная с центрального сайта. Каждый сайт синхронизируется со своим аналогом. Эта синхронизация также планируются так, чтобы любые изменения в процессе миграции реплицировались из старого в новый сайт. После создания структуры в SCCM 2012 реальные объекты копируются с применением заданий на миграцию, которые можно запустить по требованию или по расписанию.

Объединять пользователей и компьютеры в наборы в SCCM 2012 нельзя. Если имеются смешанные наборы в текущей среде, необходимо их преобразовать до начала миграции. Пакеты сохраняются в качестве пакетов SCCM 2012. Если вы хотите воспользоваться преимуществами совершенствования приложений, придется конвертировать их вручную.

Во время миграции DP используются совместно. Для доступа к DP можно использовать клиенты как SCCM 2007, так и SCCM 2012. Клиенты SCCM можете обновлять, используя свой любимый метод распространения ПО. Миграция продолжается вниз по иерархии, пока не будут выполнены все преобразования, а затем запланированная синхронизации отключается, начиная с нижнего уровня.

Агент управления требуемой конфигурацией (Desired Configuration Management) в SCCM 2007 был переименован в Settings Management, который решает проблемы «последней мили». Теперь это не просто отчетность об изменении конфигурации, а возможность ручного или даже автоматического исправления файлов, реестра и элементов WMI-конфигурации.

SCCM 2012 — большой шаг вперед. Перемещение пользователей в центр управления и их привлечение к работе является очень удачным ходом. Новая консоль и перспектива упрощения иерархии наверняка будет привлекательной, а новая модель приложения несомненно сэкономит администраторам не один час времени.