ConfigMgr已经发布的产品线采用的是从客户端主动获取策略的通讯机制。当管理员在一个很大的企业内部部署任务，客户端可能要过几分钟甚至几个小时才能接收到这个任务，然后才执行它，最后再向服务器发送结果。这对一般的任务是适当的，但是对于那些重要的、时间敏感的的任务就会成为一个大问题（例如：杀毒操作）。这对数据中心里的那些只有有限时间预留给管理任务的服务器来说，延时就会表现的非常明显。因此， 如果可以把IT管理任务更快的递送给客户端会非常有帮助。在ConfigMgr 2012 SP1中，我们在客户端和服务器之间引入“客户端通知”渠道。

“客户端通知”是什么？

“客户端通知”是应广大客户需求，在ConfigMgr 2012 SP1中引入的一个全新的、令人兴奋的基础设施组件，它提供了一种能够让ConfigMgr客户端实时执行管理任务的机制。这种通讯渠道是从服务器主动发送到客户端，它不依赖于客户端的主动索取。通过“客户端通知”组件，客户端和ConfigMgr的管理点可以建立起持久的连接；这样服务器就能够通过这个连接渠道通知客户端去实时获取并执行紧急的任务。在ConfigMgr 2012 SP1中，所有System Center Endpoint Protection的操作和“下载计算机策略”的客户端操作都是通过这个渠道进行的。

如何使用“客户端通知”

1． 设置客户端通知端口

默认情况下，客户端通知采用TCP 协议端口10123进行通讯。在ConfigMgr的主管理界面上，点击“管理”，展开“站点配置”，点击“站点”，选择一个“站点”，打开“属性”对话框，在这个属性对话框的“端口”页上，用户可以设置TCP协议端口。用户可能还需要设置管理点、客户端、和任何中间计算机的防火墙，允许通讯通过这个新的端口。反之，客户端通知也能够采用HTTP和HTTPS模式。

2． 通知Endpoint Protection Agent尽可能快地执行相应的操作

在Endpoint Protection的操作中，完全扫描和快速扫描是一次性的操作，它完全只依赖客户端通知渠道传送；其他的操作既可以通过客户端通知渠道，也可以通过一般的传统的策略渠道传送。从客户端通知这个视角，任务的有效期是1小时。举例说明：如果客户端在任务激发时处于离线状态，这个最初的任务是会失败的；如果该客户端在任务发送后1小时内连接上来，那么通知管理器会再次发送这个任务到客户端；如果客户端在1小时后连接上来，任务会被视做过期，不会再被发送。

3． 通知客户端立刻下载计算机策略

下载计算机策略是ConfigMgr 2012 SP1中新加的一种客户端操作。它能够不受客户端策略轮询时间间隔的限制，尽可能快地让客户端或者集合去下载计算机策略。在ConfigMgr主管理界面中，点击“资产和符合性”，再点击“设备集合组”，选择设备集合中需要的计算机去下载，右键点击计算机，然后点击“客户端通知”下的“下载计算机策略”。当在集合上执行这个操作时，所有属于这个集合的在线的客户端都会被通知到。当然也可以同时选择多台计算机来完成下载，从而不需要对这整个集合进行下载操作。

客户端将迅速地向管理点请求计算机策略，如下图所示：

4． 监视客户端的操作状态

在ConfigMgr主操作界面中，点击“监视”，再点击“客户端操作”来监视客户端的操作状态。如果任务成功被执行，结果会计算到“成功“列。

“客户端通知”是如何工作？

“客户端通知”是一个端到端的基础组件，由在站点服务器上的“通知管理器”， 管理点上的“通知服务器”，以及在客户端上“通知代理”三部分构成。

1） 通知管理器

通知管理器是站点服务器的一个组件，它的主要功能是对客户端通知的有效操作产生主动发送消息，并更新客户端的在线状态和更新站点数据库中客户端通知发送结果。

2） 通知服务器

通知服务器是在管理点上的服务器组件，它被自动部署和安装到管理点上（包括辅助站点）。通知服务器主要有以下功能：

l 支持TCP和HTTP中任何一种通讯协议来做客户通讯；

l 对站点数据库上的通知服务代理队列进行监听，监测“主动发送消息”产生的时间；

l 通过这个通讯渠道发送消息给在线的客户端，并周期性的把推送结果生成文件，最终存到站点数据库里。可以在ConfigMgr主管理界面中“客户端操作”中，查看这些结果。

l 维护在线客户端列表信息，周期性的将这些在线信息生成文件并发送给站点服务器。

3） 通知代理

通知代理是一个客户端组件，它被装载在CCMEXEC.exe中。在客户端初始化阶段，它与通知服务器建立持久连接。对于通过辅助站点进行通讯的客户端，它会在辅助站点管理点上和通知代理之间建立起连接。它会先尝试用TCP模式，如果连接建立失败，再用备选的HTTP模式（如：防火墙或者互联网代理服务器不允许TCP通讯）。如果连接中断，通知代理会尝试再连接。

“客户端通知”支持TCP和HTTP两种通讯协议。多数情况下“客户端通知”采用TCP协议模式，这需要在防火墙上设置允许通讯的端口；HTTP协议模式是备选方案，采用该协议模式，不需要额外的设置。这两种协议模式的工作流程类似，下面以TCP协议模式为例阐述其工作流程：

1）“客户端通知”基础设施在默认情况下是端到端有效的。在客户端进行初始化的过程中，通知代理会尝试与相应管理点上的通知服务器建立起TCP协议模式的长连接。一旦成功，通知代理会每15分钟发送一个保持存在的消息，用于保持连接。如果客户端不能建立起TCP模式的连接，通知代理就会尝试使用HTTP模式。

2）在安装管理点的那台计算机上，通知服务器会接受客户端发来的连接请求，当然这些连接请求必须要通过传输层安全(TLS: Transport Layer Security)认证检查。因此，通知服务器要管理所有的激活连接，并每5分钟将在线的状态数据生成文件，这些文件会被存放在<Site Server Install Dir>\inboxes\bgb.box\.

3） 通知管理器会从“bgb.box”的在线文件（*.BOS）中读取状态数据，然后去站点数据库上更新相应的在线表示信息。

4） 当管理员在ConfigMgr的主管理界面上初始化一个客户端的操作时，这个操作会被会生成一个客户端通知消息，并被放置到数据库服务代理队列中。

5） 通知服务器监测这个通知消息，并从服务代理队列中拿出这个消息，然后通过这个持久通道发给保持连接的客户端。

6） 通知代理在这个通讯渠道收到消息后，会根据消息的具体内容执行响应操作：或者通知Endpoint Protection客户端执行一个操作（比如：快速扫描），或者通知客户端尽可能快地请求计算机策略。通知结果会被发送回代理服务器。

7） 通知服务器会周期性地对这些任务发送结果进行归总并且把总归总结果文件存放在<Site Server Install Dir>\inboxes\bgb.box文件目录里。

8） 通知管理器会处理这些任务结果文件（*.BTS），并更新站点数据库。

疑难问题解决：

1. 通知管理器和通知服务器提供了丰富的状态消息，这些消息可以帮助你监视客户端通知任务。在ConfigMgr的主管理界面中，点击“监视”，展开“系统状态”，再点击“组件状态”，选择SMS_NOTIFICATION_SERVER或者SMS_NOTIFICATION_MANAGER组件，然后点击“显示消息”，就可以看到这些组件的状态消息。

2. 也可以用下列的日志文件去帮助解决“客户端通知”中遇到的问题。

常见问题

问：客户端通知是否支持移动设备和Mac计算机？

答：客户端通知只支持基于Windows操作系统的客户端和embedded客户端

问：客户端通知如何实现负载平衡？

答：通知代理能够识别出管理该客户端的管理点上的通知服务器。如果分配的管理点发生了改变，通知代理就会关闭连接，然后连接到新分配的管理点上的通知服务器。这样可以平衡连接的负载。

问：能否在ConfigMgr的主管理界面上看到客户端的在线状态？

答：目前版本不支持，会在后面的版本中考虑。

问：WMI(Windows Management Instrumentation)中哪个类定义了客户端计算机的在线状态？

答：ConfigMgr提供了WMI类“SMS_CN_ClientStatus”，它定义客户端计算机在线状态信息。其中的属性“OnlilneStatus”用来代表客户端计算机的在线状态；为“1”表示在线，为“0”表示离线。属性“ChannelType”是代表客户端通知渠道采用的通讯协议；为“0”代表TCP协议，为“1”代表HTTP协议。

注：这个类的名字可能在后面的版本中会有变化。

问：任务一旦被创建，多长时间会被重新发送？

答：1小时。

问：哪些进程中包含通知服务器的代码？

答：在smsexec.exe、 dllhost.exe（管理TCP协议的侦听服务器）和w3wp.exe（HTTP ISAPI）这三个进程中执行通知服务器代码。

问：为什么客户端通知代理不能建立TCP协议的连接？

答：多数情况下是防火墙设置上的TCP 协议10123端口没有打开。

问：当下载计算机策略时，管理点会超负荷吗？

答：通知服务器采用发送限流机制来执行，保证不会超负荷。默认情况下，1秒钟会通知42台客户端，这样能够控制管理点的负荷。这个值能够通过修改注册表： “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SMS\NotificationServer\Task Throttle Param”的这个键值来控制。但是，非经特别授权，不推荐对大的集合（如：all systems）采用此种修改键值方法。

问：如何确定每个管理点上连接了多少台客户端？

答：采用下面的SQL语句就可以得到： “select B.ServerName, A.OnlineClients as 'Online Clients' from Bgb_Server B left join dbo.v_BgbServerCurrent A on A.ServerID=B.ServerID order by 2”。

问：客户端的服务启动后，是否立刻和通知服务器建立起连接？

答：在连接代理服务器前，通知代理会在0到10分钟内随机选个数字作为休息时间数，这么做的目的是避免在很多电脑同时开机的情况下，过度占用网络带宽。（比如：在工作日刚开始时）

问：当客户端进入睡眠或者离线状态，通知服务器能否知道？

答：可以。如果通知服务器在20分钟内从通知代理那里接收不到任何信息，它会断掉连接，并把客户端在线连接状态设置为离线状态。

问：如果客户端离线，又上线，客户端能否从通知服务器那里接收到错过的任务？

答：当客户端再次上线，如果发送的任务已过期，通知服务器不会再进行通知。如果发送的任务还有效，通知服务器会再发送一遍到客户端。

问：如果客户端连接到辅助站点的管理点上，客户端将连接到哪个通知服务器上？

答：客户端会连接到代理管理点的通知服务器上。

问：通过Internet连接的客户端是否可以使用客户端通知渠道？

答：可以，好比就是当采用TCP协议连接的通讯失败时，客户端依然可以利用HTTP协议去连接通知服务器。

问：通知服务器是否支持集群SQL服务器？

答：支持。

问：通知服务器是否支持站点数据库副本的管理点？

答：支持。

问：漫游的客户端是否能连接上本地的管理点上的通知服务器？

答：不可以。只有当客户端利用代理管理点时，全球漫游的客户端只能连接到分配给它的管理点上通知服务器。

总结

希望这篇文章能够有助于大家更好地理解ConfigMgr 2012 SP1新提供的客户端通知基础架构组件，并能从中找到解决相应疑难问题的方法。

徐喜春 （Randy Xu）

白小西 译

System Center Update Publisher 2011是一个可以通过System Center Configuration Manager 部署第三方软件补丁的程序: https://technet.microsoft.com/en-us/systemcenter/bb741049 。

为了发布软件补丁到WSUS服务器并部署软件补丁到客户端，你需要为System Center Update Publisher 2011生成一个数字证书。您可以通过System Center Update Publisher 2011界面生成一个self-signed(自签署)的数字证书，或用你已有的公钥基础设施生成数字证书。

System Center Update Publisher 2011要求数字证书满足以下要求:

1.    允许私钥被倒出

2.    有数字签名功能

3.    密钥长度为2048或更长

本文将一步一步演示如何使用Windows Server 2008 R2 certification authority (CA) 和Group Policy(组策略)为System Center Update Publisher 2011生成并部署数字证书

第一步: 在Certification Authority上创建和签发签名证书模板

1. 在运行Certification Authority的机器上, 点击 开始, 管理工具, Certification Authority。
2. 展开Certification Authority (CA)的名字, 选中证书模板。
3. 右键单击 证书模板, 然后点击管理打开证书模板控制台。
4. 在结果窗格中, 右键单击在模板显示名称 列显示代码签名的条目, 然后单击 复制模板。 选择 “Windows Server 2003， Enterprise Edition（2）” 选框然后单击 确定。

1. 在新模板的属性对话框, 常规选项卡, 为站点服务器模板输入模板显示名称, 例如SCUPCodeSigning。

6.    单击请求处理 选项卡, 启用允许到处私钥。

7.    单击使用者名称选项卡, 选择用  Active Directory 中的信息生成

8.    单击扩展选项卡, 确保密钥用法包括数字签名。

9.    单击安全选项卡, 选中Authenticated Users 授予它读取和 注册权限。

10. 其他保留默认值。单击 确定然后关掉 证书模板控制台。

11. 在 Certification Authority控制台上右键单击 证书模板, 单击 新建，然后单击 要颁发的证书模板。

12. 在启用证书模板对话框, 选择刚刚新建的模板, SCUPCodeSigning, 然后单击确定。

第二步: 获取签名证书

1.    再加入域的机器上, 开始搜索框, 输入 mmc.exe, 然后回车。

2.    在空的控制台上, 单击 文件, 然后点击添加/删除管理单元。

3.    在添加或删除管理单元对话框中, 从可用的管理单元中选择证书, 单击添加。

4.    在证书管理单元对话框中, 选择我的用户帐户, 然后单击完成。

5.    在添加或删除管理单元对话框中, 单击确定。

6.    在控制台上展开  证书- 当前用户, 展开个人然后单击证书。

7.    右键单击证书, 然后单击 所有任务单击 申请新证书…

8.    跟从证书注册向导选择上面新建好的证书模板, 在属性里面设置一个友好名称然后单击注册:

9.    注册成功后, 你可以在证书- 当前用户-> 个人-> 证书下面找到该证书。

10. 右键单击该证书然后点击 所有任务-> 导出。 跟随证书导出向导为第三步导出不要私钥的证书存为 scup.cer。

11. 再次导出证书, 这次在证书导出向导的第二页选择是，导出私钥, 存为 SCUPCodeSign.pfx。

第三步: 通过组策略分发签名证书到WSUS/ConfigMgr客户端

1.    在域控制器上, 单击 开始, 单击管理工具, 然后点击组策略管理。

2.    展开到你所在的域, 右键单击这个域然后选择 在这个域中创建GPO并在此处链接。

注意: 此步骤创建一个新的组策略来自定义设置相对于编辑Active Directory域服务安装的默认域策略是更好的做法。通过在域级别分发这个组策略, 该组策略将应用于域中的所有计算机。 然而, 在生产环境中, 你可以通过在组织单位级别分发组策略来限制策略只应用到选中的计算机上。

3.    在 新建GPO 对话框中为新建组策略对象输入名称,  例如 SCUP Signing Certificate, 然后点击确定。

4.    在结果窗格中, 在链接的组策略对象选项卡, 右键单击新建的组策略, 然后单击编辑。

5.    在组策略管理编辑器, 展开计算机配置下面的策略然后展开到Windows 设置/ 安全设置/ 公钥策略/ 受信任的根证书颁发机构。

6.    单击操作菜单, 然后点击导入。 跟随证书导入向导导入在第二步生成的scup.cer。

7.    在组策略管理编辑器中, 展开计算机配置下面的策略, 然后展开到 Windows 设置/ 安全设置/ 公钥策略/ 受信任的发行者。

8.    单击操作菜单, 然后点击导入。 跟随证书导入向导导入在第二步生成的scup.cer。

9.    关闭组策略管理。

注意:

这里要导入 scup.cer, 不是SCUPCodeSign.pfx。 不要将包含私钥的数字证书发布到客户端。

您需要这个证书才能够成功地将软件补丁发布到WSUS服务器。 要想策略立刻在WSUS服务器上生效, 可以运行 “gpupdate /force /target:Computer” 。

第四步: 在System Center Update Publisher 2011中使用签名证书

1.    打开 System Center Update Publisher 2011 控制台。

2.    单击Menu icon 然后单击Options。

3.    在System Center Updates Publisher Options 对话框中选择 Update Server。

4.    单击Browse 然后选择 在第二步创建导出的SCUPCodeSign.pfx。 输入密码然后单击确定。

5.    单击OK 保存并关闭System Center Updates Publisher Options对话框

现在您可以通过System Center Update Publisher 2011发布更新并使用System Center Configuration Manager部署更新给用户了。

注意: 以上范例使用的 证书模板代码签名的 使用者类型是用户。 如果使用的证书模板的使用者类型是计算机, 那么在第二步, 要用计算机帐户打开证书库来申请注册证书。其他步骤是相同的。

-- 吕敏芳，杜冬梅

背景

在很多大型的组织中，网络配置，活动目录域服务以及Configuration Manager 通常都进行独立管理。网络拓扑或活动目录结构的更改必须在团队之间保持及时的沟通，以确保Configuration Manager边界设定的精确性。正确的边界信息可以保证应用程序和软件更新有效的部署到所有被管理的客户端。在客户端漫游的情况下，保持可用并且最新的边界设置显得尤为重要。现在在Configuration Manager 2012 Beta2中，活动目录林发现功能的引入和站点发布功能的改进将使企业能够集中管理跨林站点系统角色，而无需像SCCM 2007那样要在远端目录林中部署多余的站点。

域林发现和站点发布概述

为了提高不断变化的网络环境的可管理性，Configuration Manager 2012 Beta 2引入了活动目录域林发现。有了这个功能，站点可以发现与企业相关的活动目录森林及其中的域，站点和IP子网。因为域用户或者域成员计算机账号都有权限查询目录林的信任关系，活动目录林模块可以返回其他目录林及其信任方向的信息。系统可以连接到所有的森林并构建一个完整的企业环境映射。通过使用特定的凭据，它还可以跨林边界发现，从而无需关心域林之间的信任关系，实现按需发现。通过AD林发现获得的信息，还可以直接作为边界或边界组输出。AD发现所获得的数据是动态更新的，对于已经不在AD域服务中的数据将从站点数据库中移除。当客户端请求MP或DP的时候，这些被发现的信息也会被用来确保它们拿到的是最佳站点系统。 

对每个目录林指定的凭据即可用于森林发现也可用于站点发布。有了凭据，站点就能发布站点配置信息到远程受信任或不受信任的域林，发布的信息包括站点系统位置和功能，边界，客户端计算机需要的认证站点系统的安全信息，MP的通信模式（HTTPS/HTTP），以及用于寻找最合适的MP或DP进行通信的网络信息。这使得客户端计算机更易于在受信任的林的服务器中查找到针对用户组或者用户账号部署的程序。

如何使用AD域林发现

1)      启用域林发现

AD域林发现是位于Configuration Manager 控制台的管理工作区中的一种新的发现方法。它可以在中心站点（CAS，central Administrator Site）和主站点（Primary Site）启用。辅助站点（secondary Site ）不支持AD林发现。

要启用AD域林发现，需要打开活动目录林发现方法属性的对话框，并通过选中"启用活动目录林发现"的复选框启用发现方法。AD林发现的范围涵盖域林中的AD站点和IP子网 ，用户有两个更灵活的选择来配置是否想创建基于自动发现结果的AD站点类型边界或子网类型边界。林发现可以以周/小时/天来定义运行时间。林发现方法会自动创建边界，但仍需手动将边界添加到边界组，并关联到一个站点以确保提供给客户端有效的内容或边界被用于站点分配。

AD域林发现方法可以通过从功能区或用鼠标右击菜单中选择"立即运行完整发现"按需运行。

2)      监控域林发现的运行状态

AD 域林发现的运行进度可以通过查看域林发现日志（SCCM安装目录）\Logs\ADForestDisc.log或查看AD域林发现组件状态信息来查看。在Comfiguration Manager控制台点击Monitoring，展开System Status，单击Component Status，选择SMS_AD_Forest_Discovery_Manager, 然后单击右键选择Show Messages 来查看组件的状态信息。

3)      检查森林发现结果，并利用它们来创建边界组

AD域林发现完成后，可以通过在管理工作区选择AD域林查看发现的信息，每个发现的域林的信息和状态都被一一列出。默认情况下，域选项卡列出在此AD域林中发现的所有域。如果您右键单击其中一个可用的列标题，您可以通过选择Functional Level 来添加显示信息。AD 站点选项卡列出在此目录林中所有已发现的AD站点。IP子网选项卡列出所有发现的 IP 子网。IP子网与每个 AD 站点相关联，并被保留在数据库中。发现状态包括发现及发布的状态。

在Active Directory 站点选项卡中，可以从详细信息列表中选择一个或多个AD站点和IP子网，用鼠标右键单击，或使用功能区将其添加到新的或已存在的边界组中。

4)      发现其他的域林资源

通过使用默认的设置，将自动发现与执行AD林发现的站点所在森林有信任关系的域林。若要发现与站点所在森林没有任何信任关系的域林，需要添加一个新的AD域林并使用在要添加的域林中具有读取权限的帐户。

5)      发布站点信息到目标域林

站点跨林发布会把站点和站点系统角色信息写到AD域服务当中。发布功能要求目标域林的AD Schema被Configuration Manager Schema 扩展，并且AD域林发现账户对目标域林AD中的系统容器具有完全的控制权限。您可以通过在域林属性对话框勾选"Publish sites to the Active Directory forest"选项来启用域林发布功能。

显示在AD域林列表视图中的发布状态是整个SCCM架构所有站点的发布状态摘要。如果整个架构中有一个站点发布“失败”，那么最终发布状态将显示“失败”。如果要查看已发布的站点信息：打开AD用户和计算机、连接到域林中的域控制器，并转到“视图” > “高级功能”。站点和MP信息发布在“System”->“System Management”节点下。

故障排除指南

要排查站点跨林发布遇到的问题，需要在执行发布的站点上检查组件SMS_Hierarchy_Manager 和 SMS_Site_Component_Manager的状态消息。对于发现的森林，只要其启用了发布功能，那么每一个站点都会向此森林发布站点及站点角色信息。如果发布失败，每个站点的Hman.log 文件和sitecomp.log 文件会记录失败的原因。下面是一些发布失败的典型原因。  

1)      域林的 AD 架构不可扩展。若要解决此问题，以拥有Schema Admin权限的账户登录到森林中，然后从Configuration Manager 2012 安装CD中运行extadsch.exe以扩展Schema。

2)      站点服务器的计算机帐户没有足够的权限写入目标林中AD System容器。若要解决此问题，请给站点服务器的计算机帐户完全控制System容器及其所有子对象的权限。

3)      用于站点发布的特定帐户没有足够的权限写入目标林中AD System容器。若要解决此问题，请给特定计算机帐户完全控制系统容器和所有子对象的权限。

4)      用于发布的备用凭据 (如活动目录林帐户的特定帐户）只适用于单个站点。在 Beta 2，在其中一个站点上设置的账户无法被另一个站点使用，这是目前的一个功能局限。若要解决此问题，请从Configuration Manager控制台连接到不能发布信息的站点，在活动目录林节点中，修改AD林的属性，并重新设置帐户。在发现方法节点中，运行AD林发现触发从该站点发布。

5)      发布状态是层次结构中所有站点的发布结果的汇总。当发布状态指示"失败"时，通过查看站点状态消息或日志文件来验证每个站点包括中心站点、 主站点和辅助站点是否已经完成站点发布。

--徐喜春 (Randy Xu)

https://blogs.technet.com/b/jasonlewis/archive/2011/05/24/system-center-updates-publisher-2011-has-released.aspx

在R3中我们引入了新的增量发现方法，因此我们在传输站点设置中也加入了相应的设置：启用Active Directory增量发现和增量发现间隔。这个全新的设置可应用于以下发现方法。

Active Directory 系统发现

Active Directory 安全组

Active Directory 系统组发现

Active Directory 用户发现

R3中增量发现的站点间传输的最佳实践是在传输设置时同时勾选

这样能够保证增量发现设置和增量发现间隔同时从源站点被传输到目标站点，但是由于R3中增量发现功能的特性，不同情况下增量发现设置传输的设置会产生不同的结果。以下就是对增量发现设置传输的实现的详细说明。

当增量发现被开启后，以下发现方法组件的属性会被做相应的设置。

PROPERTY <Startup Schedule><0001170000500008><><0>

PROPERTY <Enable Incremental Sync><><><1>

PROPERTY <Full Sync Schedule><0001170000500008><><0>

上述增量发现被开启的情况下，Startup Schedule中的值代表的是增量发现间隔而Full Sync Schedule中的值代表的是完全发现间隔。

而当增量发现被关闭后，在SP2中的默认设置，上述属性有另外一个含义。Startup Schedule中的值代表的是完全发现间隔，而Full Sync Schedule中的值会被忽略。如下表所示

因此，在传输站点设置的过程中，我们需要处理上述属性意义的变化。也就导致了我们在做“启用Active Directory增量发现和增量发现间隔”设置传输的时候，需要判断源站点和目标站点的增量发现是否开启。下表列举了各种源站点和目标站点不同情况下，传输站点设置的行为。此表不仅适用于在线的站点设置传输，而且还同样适用于导出XML文件，再将XML文件导入的站点设置传输。

-- 徐超豪

清单（Inventory）是SMS和SCCM客户使用最多的一个功能之一，包括硬件清单，软件清单。硬件清单主要提供每台计算机的系统信息，如可用磁盘空间、处理器类型和操作系统等。软件清单主要收集文件类型、版本等文件的详细信息，还可以在相应的客户端系统收集文件。

清单基础 - Windows 管理规范和sms_def.mof文件

硬件清单功能主要通过查询客户端计算机上的多个数据存储，如注册表和 Windows 管理规范 (WMI) 命名空间类来从客户端计算机收集数据。其中，WMI是Windows的一项核心管理技术，管理员可以通过WMI管理本地和远程计算机。几乎Windows中所有默认提供的软硬件组件都会通过WMI来暴露其内部信息，如硬盘的大小等硬件信息；还包括已经安装了的软件、操作系统等非硬件信息。清单也是通过WMI来实现的。想进一步了解WMI，可以访问（https://technet.microsoft.com/zh-cn/library/ee692772.aspx ）。

默认情况下硬件清单客户端代理（hardware Inventory Agent）能够报告100多 种不同 WMI 类的大约 1,500 种常用的硬件属性。这些设置是在主站点服务器上的 SMS_def.mof 文件中指定。在主站点服务器计算机上，导航到 <ConfigMgr安装目录>\inboxes\clifiles.src\hinv 目录，即可打开该站点的sms_def.mof文件。下面摘录其中的一小段（为了可读性，略有精简）

[ SMS_Report     (TRUE),

  SMS_Group_Name ("CD-ROM"),

  SMS_Class_ID   ("MICROSOFT|CDROM|1.0") ]

class Win32_CDROMDrive : SMS_Class_Template

{

    [SMS_Report (TRUE)     ]

        uint16     Availability;

    [SMS_Report (TRUE)     ]

        string     Caption;

    [SMS_Report (TRUE)      ]

        string     Description;

    [SMS_Report (TRUE), key ]

        string     DeviceID;

    [SMS_Report (TRUE)      ]

        string     Drive;

    [SMS_Report (TRUE)      ]

        string     SystemName;

    [SMS_Report (TRUE)      ]

        string     VolumeName;

[SMS_Report (FALSE)     ]

        string     VolumeSerialNumber;

};

Sms_def.mof 主要包括两部分信息：

命名空间类定义（Class Schema): 比如上述片段定义了光驱对应的类Win32_CDROMDrive, 并指出了其包括的属性，比如硬件ID （DeviceID），名称和大小等等信息。

是否收集的信息（SMS Report): 比如，上述片段定义了该光驱信息应该被收集，包括很多属性，但是光驱的序列号不用收集。

关于硬件清单一个常见的误解是，即认为硬件清单只能报告客户计算机的硬件信息，其实不然。SMS和SCCM的硬件清单，更确切的说应该是基于WMI的清单，命名为硬件清单只是因为历史原因并一直沿用下来。如果你打开上述的sms_def.mof文件，可以看到里面还包括了当前系统安装的程序信息（Win32Reg_AddRemovePrograms）等等非硬件信息。

清单收集过程

当在站点配置启用硬件清单收集后，站点服务器将把清单收集信息以策略（Policy)的形式，通过客户端的管理点（Management Point, MP）下发到客户端，客户端清单代理根据收集的客户端清单信息创建清单报表，并将其发送到客户端的管理点。随后，管理点将清单信息转发到站点服务器，将清单信息存储在站点数据库中。

完整清单和增量清单

当硬件清单客户端代理列出客户端系统清单时，返回的第一个清单报表始终是完整清单(Full  Sync )。客户端清单代理将把上一次包括的信息存储在客户端WMI的一个存储库中（WMI Repository），这样后续清单报表通过比较和上一次报告的差异，仅包含增量或更改后的清单信息即增量清单（Delta  Sync），以节约网络带宽。在站点服务器上，清单按照被接收的顺序进行处理，根据站点服务器上的上一次清单和本次增量信息，合成客户端的完整信息存储到站点数据库中。如果客户端的增量清单报表丢失或顺序混乱，将被站点服务器拒绝，客户端在下一次执行清单操作时，将重新请求完整清单报表（Resync）。

使用软硬件清单

当硬件清单收集从客户端收集上来之后，可以通过下述方法进一步使用（此处仅列出部分可能的用途）：

通过资源浏览器查看信息

技术支持

比如，技术支持人员可以查看制定计算机的详细信息，来帮助解决客户机的潜在问题。

及时发现硬件丢失

资源浏览器中还包括硬件的更改历史，据此管理员可以及早发现内存丢失等问题。

通过报表查看进一步信息

如通过硬件-内存目录下的“内存不足的计算机”报表，可以辅助硬件更新采购的决策。

创建集合

您可以通过查询客户端硬件清单信息来构建集合。例如，您可以创建安装了不被允许的软件或者公司没有购买软件许可的软件的计算机的集合。

配置和扩展硬件清单

硬件清单从设计之初就考虑到了可扩展性，允许客户和第三方公司来扩展。

对于常见的软硬件信息，一般都包括在了sms_def.mof文件中，只是某些不常用的信息，默认设置为了不收集（SMS_Report设置成了False），这时候只需要使用记事本软件把对应的SMS_Report更改为True即可。

对于sms_def.mof中也没有的信息，可以首先到网站或者供应商处找到该信息对应的MOF定义，然后加入到sms_def.mof文件中即可。

需要特别注意的是，更改sms_def.mof文件是一件容易出错的事情，同时容易引起问题，最好在测试环境中测试通过了再搬到产品环境中。

如果想了解更多有关SMS_Def.mof文件的信息，和如何扩展硬件清单，可以参阅https://technet.microsoft.com/zh-cn/library/bb680609.aspx 。

总结

上述简单介绍了产品中的清单功能，包括清单的基本使用，实现的流程和用途，以及如何扩展该功能。在后续的Blog中，我们将进一步介绍在下一代产品SCCM 2012版本中的该功能的改进和增强。

--张川波

ConfigMgr 2012 Beta 2 将于明年3月份发布。如果您想在正式发布前体验，学习ConfigMgr 2012 ，或者向产品组提出建议或者反馈，那这将是一个很好的机会。

现在我们提供了各种方式以方便各位体验ConfigMgr 2012:

(注意，在访问以下链接前，请先在connect上加入ConfigMgr的Beta 计划：https://go.microsoft.com/fwlink/?LinkId=193914)

· 方式一： 可以加入我们的Beta 2 TAP (技术先行体验计划)

TAP是微软产品组提供给客户的体验计划, 您可以在这个计划中试用我们尚未发布的Beta产品，在此过程中，您可以获得来自产品部门的直接支持，我们会协助您安装，部署，试用ConfigMgr 2012。

如果您有兴趣加入Beta 2 TAP，可以先从这里开始：

第一步： 访问这个调研，并提交用户信息：https://www.surveymonkey.com/s/vNext_Beta2_nomination

第二步：如果您的信息满足我们的要求，我们会直接与您进行联系。

第三步：我们会提供更多的信息以支持您在企业中部署我们的Beta系统。

为了方便中国客户加入TAP，您可以直接发邮件给 msdchina@microsoft.com，我们会协助您完成相关流程。

· 方式二：可以加入我们的Open Beta 计划

关于Open Beta 和TAP的区别可以参见这个网站: https://connect.microsoft.com/ConfigurationManagervnext/content/content.aspx?ContentID=22474

大致上Open Beta没有任何条件限制，任何人都可以加入，只要自行下载安装程序，自行部署试用即可。如有问题可以在Newsgroup（https://connect.microsoft.com/ConfigurationManagervnext/community/discussion/richui/default.aspx）中提问，我们会尽力帮助解答这些问题。

· 方式三：下载VHD文件试用

如果觉得自行部署安装ConfigMgr 仍然比较复杂，更简单的方式是下载我们的VHD试用。 可以在这里下载Beta 1 的VHD: https://www.microsoft.com/downloads/en/details.aspx?displaylang=en&FamilyID=1b23c540-9b9f-4d41-a05d-d4b216061957&utm_source=feedburner&utm_medium=twitter&utm_campaign=Feed:+MicrosoftDownloadCenter+%28Microsoft+Download+Center%29

当Beta 2 发布之后，相应的VHD也会发布在https://connect.microsoft.com 上供下载。

其他资源：

ConfigMgr 2012 overview: https://connect.microsoft.com/ConfigurationManagervnext/Downloads/DownloadDetails.aspx?DownloadID=25995

ConfigMgr Beta program 主页：https://connect.microsoft.com/ConfigurationManagervnext

如果还有其他问题，请联系我们： msdchina@microsoft.com

谢谢！

我已经看客户询问有关活动目录域服务适用于配置管理器中的问题的数目不断增加。 美国科技教育不是例外促使我写了一些常问的问题。

产品文档中此信息虽然我能理解为什么它有时很难找到一种特定的情况下确切的答案只是因为有太多可能出现的变动。 一个包含此信息的大量的文档主题是 多源目录林的配置管理器。

有关于配置管理器中的一个活动目录相关问题请参阅是否它解决此博客张贴内容中。 如果看不到列出的问题通过电子邮件与您的问题或建议的 SMSDocs@Microsoft.com。

问： 在他们在不同的域，站点系统服务器时，配置管理器可以管理客户端？

答案： 是的。 在这里的唯一潜在知是在混合模式下站点时，您必须配置管理点与 FQDN 自动审批工作。 提示： 请检查名称解析 （NetBIOS 和 FQDN） 正在两个域之间。

我的网站系统中的所有服务器的站点是否都有问题： 要在相同的域中吗？

答： 没有，在同一站点中的站点系统可以从不同的域在同一林中，以下的除外：

• SMS 提供程序
• 报告点
• 站点数据库服务器：

我的网站系统中的所有服务器的站点是否都有问题： 为来自同一个林中吗？

答： 大多数情况下，是的。 有几个例外情况：

• 系统健康验证程序点
• 基于网络的站点系统
• 服务器定位点 （最安全的做法是在同一林中安装此）
• PXE 服务点 （最安全的做法是在同一林中安装此）

问： 在他们在不同的目录林中，从站点服务器时，配置管理器可以管理客户端？

答： 是，与此配置不需要任何的 PKI 证书或安装任何站点系统服务器到这另一个林中。 最重要的事情来记住这是这些客户端不能访问发布的活动目录域服务-站点服务器的站点信息，即使有这两个林之间的信任。 这意味着在安装这些客户端时，他们需要完成站点分配一个服务器定位点。 请确保已安装服务器定位点和这些客户端可以访问它，这样做的最简单方法是使用 SMSSLP 属性，当您安装客户端。 更多的信息请参阅 如何创建服务器定位点在配置管理器 与指定的配置管理器在客户端计算机的服务器定位点。

此外：

• 请确保您有两个林-之间名称解析客户端可以解决配置管理器原位站点系统服务器的名称和站点系统服务器可以解决客户端计算机的名称。
• 没有客户端域和站点服务器的域之间的信任时，您需要一个网络访问帐户，这些客户端无法访问分发点。 更多的信息，请参阅 如何配置网络访问帐户。
• 如果网站是在混合模式下，并且有是在客户端之间的不信任，域和站点服务器的域如果网站配置为 自动批准在受信任的域中的计算机，默认选项，您必须手动批准这些客户端这些客户端不会获批准。
• 如果网站是在本机模式下，并且客户端将使用内联网通信，客户端必须安装使用允许 HTTP 通讯的漫游和站点分配的选项。 执行此操作的最简单方法是使用 /native:fallback 或 /native:crlandfallback 属性，当您安装客户端。 更多的信息请参阅 如何配置 HTTP 通信漫游和站点分配。 此外应确保您的 PKI 解决方案旨在跨越两个林。
• 如果要通过使用活动目录查找方法发现这些客户端必须有充分的林信任的地方。 但是，只有客户端推送安装需要计算机被发现。 有关其他客户端安装方法和它们的依赖项的详细信息，请参阅 配置管理器客户端部署的前提条件。

问： 我要支持从另一个的目录林中的客户端，安装，这些客户端在同一个目录林中，或在站点服务器的目录林中的服务器定位点吗？

答： 技术上，您可以安装服务器定位点或森林中。 然而，作为一个安全的最佳做法安装在站点服务器的森林中。 如果在两个林之间防火墙请注意，服务器定位点通过 HTTP 要求未经身份验证的客户端连接。 如果这是对您的安全策略，一个备用的配置，这些客户端，并要求的 PKI 证书和网站是在本机模式下的只有网络客户端管理进行配置。 此配置不需要这些客户端与服务器定位点。 更多的信息请参阅问题"是它可以管理从另一个目录林中的客户端，通过使用 HTTPS 连接只吗？"

问： 可以安装客户端在另一个林中而无需下载客户端安装源文件从管理点吗？

答案： 是的。 将客户端安装源文件复制到文件服务器上的客户端的森林管理点或站点服务器从。 然后，使用 CCMSetup 属性 /source： <path> 安装客户端时。 客户端安装源代码文件位于配置管理器 2007年站点服务器和管理点上的 <InstallationPath> \Client 文件夹中。

问： 我的客户端通信的两个林之间的防火墙上打开需要哪些端口？

答： 安装客户端，请参阅 端口使用在配置管理器客户端部署。 注意客户端推送安装是最少的防火墙友好的安装方法，因为它需要 SMB 和 RPC。 客户端安装将取决于您正在使用的配置管理器功能后，可能会使用的端口。 业务端口的一个列表，请参阅 端口的配置管理器中使用。

问： 是否可以管理从另一个目录林中的客户端，通过使用 HTTPS 连接只吗？

是的，答： 在本机模式下您的站点是否配置网络连接的本机模式站点系统并安装这些客户端仅网络客户端管理。 有关此配置的详细信息，请参阅 提示和技巧： 使用内联网的 Internet-Only 客户端管理。

问： 我可以安装辅助站点在另一个林中吗？

答复： 第 在林 A 中时您的主站点配置管理器不支持在森林 B.中安装辅助站点 在这种情况下必须在林 B 中安装的主站点，或使用在林 A 中的主站点管理 B.森林中的客户端

问： 什么额外的配置是需要如果我安装在另一个林中的网站？

答： 如果您在站点之间使用安全密钥交换，使用层次结构维护工具 （Preinst.exe） 来配置手动密钥交换。 更多的信息，请参阅 如何手动交换公共密钥的站点。

如果必须将域用户帐户配置为发件人地址属性的每个站点中的站点地址帐户的两个目录林信任关系之间没有信任关系。 如果在站点之间充分林信任您可以使用站点服务器的计算机帐户。

问： 我可以安装站点系统在域控制器上吗？

答案： 是的。 没有任何技术的限制，您可以防止在域控制器上安装任何站点系统角色。 但是，对于安全最佳做法这不是建议在生产环境中。

问： 我可以安装站点系统 （而不是在一个活动目录林） 的独立服务器上吗？

答复： 第 所有站点系统必须都属于一个 Active Directory 林中。 这包括分支分发点和基于互联网的网站系统。

任何配置管理器功能或操作问题： 是否需要特定的域或林功能级别吗？

答复： 第 唯一的例外是需要一个完整的目录林信任时本身需要的 Windows Server 2003 的最小森林水平。 一个完整的目录林信任时，需要为以下：

• 发现在另一个林中的计算机
• 允许仅站点服务器开始从该站点系统数据传输，这是一个基于互联网的网站系统，以确保从 intranet 器只启动连接的外围网络中安装的配置选项的选项。

配置管理器是否支持所有版本的活动目录域服务包括 Windows Server 2008 R2？

答案： 是的。 但是，对于支持版本，客户端和站点系统上的操作系统始终检查版本的配置管理器，您正在运行的 支持的配置 文档。

问： 我需要再次扩展架构，如果创建新的配置管理器网站，或者添加新域的计算机吗？

答复： 第 活动目录架构扩展用于在整个的森林，因此您需要扩展架构的配置管理器中只有一次如果您配置管理器层次结构包含在目录林内部。 唯一的例外是，如果您在另一个的目录林中创建一个新的主站点，并且您希望将发布到活动目录域服务这个新站点。 在这种情况下扩展新的目录林的架构 （和配置系统管理容器的安全权限）。

问： 我需要扩展架构再次为配置管理器升级到更高版本的配置管理器 （，例如配置管理器 SP2) 或后提高我 Active Directory 域或目录林功能级别吗？

答复： 第 如果您已扩展为配置管理器中的活动目录架构，您不需要再为这些方案对其进行扩展。 但是，如果您从 SMS 2003 升级到配置管理器中，您应扩展架构的配置管理器可以从新的站点更改，发布到活动目录域服务中受益。

--Carol Bailey

本文由机器自动翻译，微软不对翻译内容负责，您可以从这里获得原文和翻译信息：查看信息

此 SuperFlow 提供了有关如何规划、 安装、 管理和监视配置管理器 2007年客户端的详细的步骤。 它还包括故障排除信息和进一步，您可以使用更多地了解客户端安装和工作分配的资源。

你会发现这和所有其他在 https://go.microsoft.com/fwlink/?LinkId=183297的 SuperFlows。

一个 SuperFlow 是什么？

SuperFlow 交互式内容模型提供用于查看文档的结构化和互动界面。 每个 SuperFlow 包含有关一个特定的配置管理器 2007年数据流、 工作流或过程的全面信息。 根据在 SuperFlow 的重点会发现概述的信息包括详细的信息、 程序、 示例日志条目、 最佳做法、 现实世界的情况、 故障排除信息、 安全信息、 动画或其他信息的步骤。 每个 SuperFlow 还包括如 Web 站点或本地文件复制到您的计算机安装了 SuperFlow 时的相关资源的链接。

您的反馈，SuperFlows 是非常重要，我们，为我们改善和扩展可用 SuperFlows 的范围。 请使用中，SuperFlow 包含的链接，让我们知道您的想法和给我们的任何新的 SuperFlows 建议您想看看。

--Rob Stack

本文由机器自动翻译，微软不对翻译内容负责，您可以从这里获得原文和翻译信息：查看信息

在ConfigMgr升级过程中，一些Service Pack或者hotfix要求在客户端安装补丁程序而不仅仅是在服务器端。这篇文章主要讨论客户端补丁部署的一些技巧：如何在客户端请求安装方式安装ConfigMgr客户端的同时安装一个ConfigMgr客户端补丁；如何卸载一个ConfigMgr客户端补丁以及如何在手动创建一个部署ConfigMgr客户端补丁的包/程序时得到正确的报告。

如何通过客户端请求安装的方式安装CONFIGMGR客户端补丁

https://support.microsoft.com/kb/907423/zh-cn介绍了一个适用于SMS2003客户端安转的方法，它依然适用于ConfigMgr客户端。具体步骤如下：

1. 打开SMS站点服务器上的SMS管理控制台

2. 导航到客户端安装方法，并双击客户端请求安装

3. 打开客户端请求安装的属性对话框，点击客户端标签

4. 在安装属性框中输入适当的参数：

SMSSITECODE=AUTO PATCH=\\SERVER\SMSCLIENT\i386\patches\update1.msp

点击确定。

使用该设置后，所有新安装的客户端将会在CCM客户端安装后安装在参数中指定的客户端补丁。

注意：只有一个更新（.msp文件）可在安装客户端的同时安装。如果您尝试安装多个更新时，可能会导致客户端安装失败。

如何卸载一个ConfigMgr客户端补丁

ConfigMgr客户端补丁不会出现在添加/删除程序中。您需要使用命令行来卸载客户端补丁。下面一步一步演示如何通过CONFIGMGR软件分发模块来卸载一个ConfigMgr客户端补丁。

1. 找出你的客户端产品代码。

你可以在客户端的注册表里面找到产品代码信息：HKLM\Software\Microsoft\SMS\Mobile\ProductCode。

2. 找出补丁代码

你可以在注册表中找到：HKLM\SOFTWARE\Microsoft\Updates\Configuration Manager Client\4.00.6221.1000\CONFIGMGR2007AC-SP1-KBxxxxxx-x86.msp\ (补丁ID)

3. 创建一个包和一个程序包含以下设置：

在常规选项中做如下设置

命令行: msiexec /package {产品代码} /uninstall {补丁代码} /q  REINSTALL=ALL REINSTALLMODE=maus

运行之后：程序重新启动计算机

在环境选项卡进行如下设置:

程序可以运行：无论用户是否登陆

· “程序重新启动计算机”设置并不意味着卸载之后计算机会被重新启动。卸载一个ConfigMgr客户端补丁会重新启动“SMS Agent Host”服务。如果你不使用这个设置，ConfigMgr客户端会认为重新启动“SMS Agent Host”服务是非正常的，就会报告该程序运行失败。如果您选择“程序重新启动计算机”选项，则ConfigMgr客户端会认为“SMS Agent Host”服务被重新启动是预期的，这样您就能得到这个播发的正确的状态报告。

4. 分发这个程序给客户端

如何手动创建CONFIGMGR客户端补丁安装包/程序

如果您安装一个包含客户端组建的ConfigMgr补丁，您可以选择补丁安装程序为您创建一个包和程序。如果由于某些原因，您需要手动创建一个包/程序来部署客户端补丁，您可以按下面一步一步操作：

（以下内容引用于ACReadme.txt。你可以在<SMS安装路径>\logs\<更新ID>目录下找到ACReadme.txt:。

1. 创建一个包，填写以下所需资料：

数据源选项卡-源目录：

\\<站点服务器>\sms_<sitecode>\client\<platform>\hotfix\<updateid>（如\\Server1\CONFIGMGR_123\client\I386\hotfix\KB977384）

2. 此外，为了确保客户端补丁程序返回准确的状态报表，您必须在“报表”一项填写正确的MIF文件名。例如， 如果Msp文件名是：“SCCM2007AC-KB891073-x86.msp”，那么您需要输入“CMclient.SCCM2007AC-KB891073-x86.mif”（不包括引号）。

因为这个客户端补丁程序在安装完成后会停止并重新启动“SMS Agent Host”服务， 所以ConfigMgr客户端不能监测到这个补丁程序的运行返回代码，必须依靠服务重启后找到一个状态匹配的MIF来检测程序运行的结果是否成功。如果MIF文件没有找到，即使安装成功，ConfigMgr客户端仍然会报告安装失败（1603）。

3. 在这个新的包里，创建一个程序并填写以下所需信息：

常规选项卡-命令行：Msiexec /p <文件名> /L*v <日志文件> /q REINSTALL=ALL REINSTALLMODE=mous

<文件名>是补丁提供的.msp文件的文件名。通常情况下，文件名的形式是：CONFIGMGR2007AC-<补丁ID>-<平台>.msp

例: msiexec.exe /P SCCM2007AC-KB891073-X86.msp /L*v %temp%\SCCM2007AC-KB891073-X86.log /q REINSTALL=ALL REINSTALLMODE=mous

4. 指定该程序“运行”为最小化并设置“运行之后后”选项为程序重新启动计算机。

·      同上“程序重新启动计算机”设置并不意味着卸载之后计算机会被重新启动。卸载一个ConfigMgr客户端补丁会重新启动“SMS Agent Host”服务。如果你不使用这个设置，ConfigMgr客户端会认为重新启动“SMS Agent Host”服务是非正常的，就会报告该程序运行失败。如果您选择“程序重新启动计算机”选项，则CONFIGMGR客户端会认为“SMS Agent Host”服务被重新启动是预期的，这样您就能得到这个播发的正确的状态报告。

安装ConfigMgr补丁的已知问题：

您可以在ccmsetup.exe的命令行中指定属性值来修改client.msi的行为。这里的设置可以包括例如DNSSUFFIX, FSP, SMSMP, SMSSLP 等属性。 不过，这些设置在以下情况下会失效：

· 运行ConfigMgr客户端修复程序

· 安装一个客户端补丁程序，且在安装命令行中没有再次指定这些属性；

· 在ccmsetup.exe的命令行中使用了PATCH参数

解决办法: 当你用软件分发来向ConfigMgr客户端部署ConfigMgr补丁，你需要修改程序命令行来包含这些设置。你可以在https://technet.microsoft.com/zh-cn/library/bb680980.aspx查到client.msi的所有属性。

如果你在你的环境中使用客户端推送安装，你应该能够从客户端请求安装的属性对话框找到并重新使用您的Client.msi设置。

                                                                                                                                                                                                                                                                                                                                                                                   ---Minfang Lv