Exemples de scénarios d'implémentation de gestion des clients basés sur Internet dans Configuration Manager
Mis à jour: novembre 2009
S'applique à: System Center Configuration Manager 2007, System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2
Les sections ci-dessous proposent des exemples de scénarios d'implémentation de la gestion client basée sur Internet dans Configuration Manager 2007 pour répondre aux exigences professionnelles suivantes :
Continuer de gérer les ordinateurs portables qui passent régulièrement de l'intranet à Internet
Gérer les ordinateurs à domicile qui ne se connectent jamais à l'intranet
Prendre en charge les clients Internet et intranet du même serveur de système de site
Continuer de gérer les ordinateurs portables qui passent régulièrement de l'intranet à Internet
Ce scénario illustre la manière d'étendre un site existant de Configuration Manager pour prendre en charge les clients qui passent de l'intranet à Internet, à l'aide de la gestion des clients Internet. Le type de réseau choisi intègre le scénario pris en charge consistant à ajouter des systèmes de site Internet dans le réseau de périmètre et à utiliser une réplique SQL Server dans le réseau de périmètre pour renforcer la sécurité : Diagramme du réseau pour les serveurs basés sur Internet - Scénario 1 avec un réplica de serveur SQL Server.
A. Datum Corporation emploie un certain nombre de commerciaux régulièrement en visite chez les clients et ne retournant au bureau que ponctuellement. Dans cette situation, il est difficile de gérer leurs ordinateurs portables et de s'assurer qu'ils disposent de toutes les mises jour logicielles requises et des toutes dernières applications, soit parce qu'ils doivent trouver le temps de rentrer au bureau, soit parce qu'ils tentent d'établir une connexion à domicile via VPN, qui est lente et peu fiable. Par ailleurs, le département d'audit réclame des rapports d'inventaire à jour hebdomadaires pour enregistrer l'utilisation des applications, et cette condition ne peut pas être respectée pour les ordinateurs portables parce que leurs données d'inventaire ne sont pas toujours renvoyées chaque semaine.
Pour continuer à gérer ces ordinateurs portables lorsqu'ils quittent l'intranet, A. Datum Corporation décide de prendre les mesures décrites dans le tableau ci-dessous.
| Processus | Référence |
|---|---|
Tommy Hartono est l'administrateur de Configuration Manager qui gère un site Configuration Manager 2007. Il s'informe de la gestion des clients Internet et de la manière dont les clients peuvent continuer à être gérés lorsqu'ils passent de l'intranet à Internet. |
|
En examinant les avantages et inconvénients liés à l'implémentation de la gestion des clients basés sur Internet ou à la mise à niveau de leur solution VPN, il décide que la meilleure solution est la gestion des clients basés sur Internet parce qu'elle ne s'appuie pas fondamentalement sur la connexion des utilisateurs. |
Déterminez si vous devez utiliser la gestion des clients Internet |
Tommy propose cette solution à son chef, qui lui demande d'étudier les dépendances de la gestion des clients Internet pour s'assurer qu'elles peuvent être prises en charge et de rechercher dans l'entreprise les personnes appropriées pour prendre en charge l'implémentation. Tommy vérifie les dépendances et identifie les personnes à contacter pour participer au projet. |
Configuration requise pour la gestion des clients Internet Déterminer les rôles d'administrateur et les processus pour la gestion des clients Internet |
Tommy réalise que la gestion des clients Internet nécessite le mode natif, et le site est actuellement configuré en mode mixte. L'entreprise possède déjà une solution PKI pour les ordinateurs sur l'intranet et Internet. Il en discute donc immédiatement avec son équipe pour s'assurer que cette condition peut être respectée, auquel cas le processus de déploiement des certificats requis peut être déclenché. |
Déterminer si vous pouvez utiliser votre infrastructure à clé publique existante en mode natif |
Tommy organise quelques réunions de développement de projet avec l'équipe chargée de l'infrastructure du réseau pour décider de la place de la connectivité Internet dans l'infrastructure réseau existante. Ils discutent des différents scénarios possibles, la nécessité pour plusieurs sites de prendre en charge les clients Internet et l'emplacement idéal des serveurs. |
Scénarios pris en charge pour la gestion des clients Internet Déterminer l'emplacement des sites pour la gestion des clients Internet Déterminer l'emplacement du serveur pour la gestion des clients basés sur Internet |
Ils décident d'étendre un site pour englober les systèmes de site supplémentaires suivants dans le réseau de périmètre :
|
|
Ils en discutent avec l'équipe chargée de la sécurité dans l'entreprise qui approuve le projet à condition que les connexions SQL établies depuis le réseau de périmètre ne traversent pas la limite de sécurité dans l'intranet. Le projet est révisé pour prendre en compte une réplique SQL Server dans le réseau de périmètre, et les administrateurs de la base de données sont informés de cette condition. |
|
Lorsque le type de réseau est approuvé, Tommy fait appel à l'équipe réseau qui s'occupe des pare-feu et des périphériques réseau dans le réseau de périmètre. Ils identifient les ports du réseau qui seront utilisés afin d'effectuer les modifications nécessaires. Notes Cette solution requiert une conception minutieuse de la révocation des certificats PKI. Ainsi, les clients Configuration Manager peuvent toujours localiser la liste de révocation des certificats en mode natif du système de site, et les serveurs du système de site en mode natif peuvent localiser la liste de révocation des certificats de client en mode natif. La conception de l'infrastructure PKI de la liste de révocation des certificats peut nécessiter une configuration supplémentaire de l'infrastructure. Par exemple, un client Configuration Manager sur Internet accède à la liste de révocation des certificats via une connexion HTTP, susceptible de nécessiter la configuration des pare-feu, des serveurs proxy et du serveur DNS. |
Déterminer les ports requis pour la gestion des clients basés sur Internet Pour plus d'informations, consultez la dépendance de la liste de révocation des certificats Configuration Manager dans la rubrique suivante : Configuration requise pour le mode natif. |
Les serveurs DNS Internet de la société sont gérés par une société externe. Aussi, Tommy soumet une demande de changement pour publier les noms FQDN Internet des systèmes de site Internet dans DNS. Il fournit les informations requises. |
Configuration DNS pour les rôles de système de site Configuration Manager |
Avec les certificats PKI à présent déployés, Tommy migre le site en mode natif et le surveille pendant une certaine période pour s'assurer qu'aucun problème ne se pose. |
Comment passer du mode mixte au mode natif Comment identifier des problèmes de certificat client en mode natif |
D'autres serveurs sont installés et consolidés avec des stratégies de sécurité adaptées aux ordinateurs dans le réseau de périmètre. Tommy confirme que l'infrastructure réseau est configurée comme il se doit. |
Processus interne propre à l'entreprise |
Tommy installe les rôles système de site Internet sur les serveurs avec la configuration suivante :
|
Comment configurer le compte d'installation du système de site |
Tommy configure le point de mise à jour logicielle Internet pour synchroniser les mises à jour logicielles. |
|
Les administrateurs de la base de données installent et configurent une réplique SQL Server dans le réseau de périmètre. |
Comment configurer la réplication de base de données de site SQL Server |
Tommy configure les systèmes de site Internet pour accepter les connexions provenant uniquement des clients Internet. |
Comment configurer un point de gestion pour les connexions de clients Internet Comment configurer un point de distribution pour les connexions de clients basés sur Internet Comment configurer un point d'état de secours pour les connexions de clients Internet Comment configurer un point de mise à jour logicielle pour les connexions de clients Internet |
Tommy configure les points de distribution Internet pour qu'ils puissent transférer le contenu via Internet. |
|
Tommy lance un test pilote sur quelques ordinateurs, en définissant le nom FQDN du point de gestion Internet sur le client, à l'aide de l'onglet Internet de Configuration Manager dans le Panneau de configuration. |
Comment attribuer des ordinateurs clients Configuration Manager au point de gestion Internet |
Lorsque les résultats des tests préliminaires sont satisfaisants, Tommy étend le test pilote en envoyant un script à quelques ordinateurs qui procèdent à une réinstallation avec les paramètres d'installation suivants :
|
À propos des propriétés d'installation du client Configuration Manager |
Les utilisateurs d'ordinateurs portables sont informés des changements à implémenter, et le personnel du Support technique est informé et dispose des informations sur la manière de dépanner les clients qui rencontrent des problèmes liés à l'installation des applications ou des mises à jour logicielles sur Internet. |
Processus interne propre à l'entreprise |
Satisfait des résultats du test pilote, Tommy envoie le même script d'installation sur les ordinateurs portables. Il surveille l'envoi du script à chaque client et effectue le suivi du déploiement des clients, en utilisant les rapports générés par le point d'état de secours. Il identifie également les détails sur la configuration du client à l'aide des données d'inventaire matériel des clients. |
À propos du point d'état de secours dans Configuration Manager |
Après six semaines, Tommy note que 95 % des ordinateurs portables ont reçu le script, et les données d'inventaire de ces ordinateurs sont transmises avec la même régularité que les ordinateurs connectés sur l'intranet. En outre, les ordinateurs portables présentent le même niveau de conformité avec les mises à jour logicielles signalé par les ordinateurs connectés sur l'intranet. |
Catégorie de rapports Logiciel - Sociétés et produits :
|
Tommy demande au personnel du Support technique et aux utilisateurs de donner leurs avis sur le processus afin de l'améliorer ou de le modifier. |
Processus interne propre à l'entreprise |
Tommy est en mesure de fournir les rapports d'inventaire en respectant les délais spécifiés. |
Processus interne propre à l'entreprise |
Ce déploiement de la gestion des clients Internet peut avoir un impact sur les utilisateurs (voir ci-dessous) si leurs ordinateurs sont configurés pour la gestion des clients Internet et intranet :
Passage des ordinateurs portables de l'intranet à Internet :
Chaque fois que le commercial utilise une connexion Internet, l'ordinateur portable continue de renvoyer les données d'inventaire et de conformité à son site. Les applications et les mises à jour logicielles requises sont installées automatiquement, même si parfois le premier téléchargement peut prendre du temps. Cependant, si la connexion est interrompue, le téléchargement reprend lorsque la connexion Internet est rétablie.
Le commercial ne reçoit pas les distributions de logiciels destinées à son compte utilisateur Windows, mais ces applications sont facultatives.
Passage des ordinateurs portables d'Internet à l'intranet :
Un commercial retourne au bureau après une absence de quatre semaines. Il connecte son ordinateur portable sur l'intranet et le téléchargement du package de distribution de logiciels volumineux reprend là où il s'était arrêté, et se termine plus rapidement avec la connexion réseau à haut débit.
L'utilisateur remarque que deux distributions de logiciels facultatives sont disponibles et décide de les installer au cas où il en aurait besoin ultérieurement.
Gérer les ordinateurs à domicile qui ne se connectent jamais à l'intranet
Ce scénario illustre la manière de créer un site Configuration Manager pour prendre en charge les clients qui se connectent sur Internet, mais jamais sur l'intranet, à l'aide de la gestion des clients Internet. Le type de réseau choisi intègre le scénario pris en charge consistant à placer un site enfant entièrement dans le réseau de périmètre : Diagramme du réseau pour les serveurs basés sur Internet - Scénario 2 avec un site enfant.
Coho Winery fait appel à un certain nombre de sous-traitants qui travaillent à domicile avec leurs propres ordinateurs et communiquent par messagerie électronique. Ils ne possèdent pas de compte utilisateur Windows sur l'intranet et ne se connecteront donc jamais au réseau intranet. Cependant, ils ont parfois besoin d'applications dans le cadre de leurs tâches quotidiennes et souhaiteraient que des mises à jour logicielles testées soient installées automatiquement pour protéger leurs ordinateurs.
Pour offrir ce niveau de gestion aux télétravailleurs, Coho Winery décide d'installer le client Configuration Manager sur ces ordinateurs avec une configuration exclusivement Internet. Ainsi, les ordinateurs des télétravailleurs peuvent être gérés, ce qui améliore leur efficacité et leur productivité. Jenni Merriam est l'administrateur de Configuration Manager et prend les mesures décrites dans le tableau suivant.
| Processus | Référence |
|---|---|
Jenni s'informe de la gestion des clients basés sur Internet et sur la manière de configurer les clients exclusivement pour Internet pour qu'ils reçoivent les distributions de logiciels et les mises à jour logicielles. |
|
Jenni propose cette solution à son chef, qui lui demande d'étudier les dépendances de la gestion des clients Internet pour s'assurer qu'elles peuvent être prises en charge et de rechercher dans l'entreprise les personnes appropriées pour prendre en charge l'implémentation. Elle vérifie les dépendances et identifie les personnes à contacter pour participer au projet. |
Configuration requise pour la gestion des clients Internet Déterminer les rôles d'administrateur et les processus pour la gestion des clients Internet |
Jenni réalise que la gestion des clients Internet nécessite le mode natif et que la hiérarchie est actuellement configurée en mode mixte. Comme la société ne possède pas de solution PKI, elle l'inscrit dans sa liste de priorités. Après en avoir discuté avec sa hiérarchie, la direction accepte d'engager des consultants PKI pour implémenter une solution adaptée à Configuration Manager, et qui peut être étendue pour prendre en charge d'autres exigences professionnelles à l'avenir. Les consultants PKI sont engagés avec l'objectif de migrer en mode natif le site central de la hiérarchie Configuration Manager, ce qui permettra de créer un nouveau site enfant en mode natif qui prendra en charge les clients Internet uniquement. Jenni leur confie la liste des certificats requis pour le mode natif qui doivent être mis en place pour le site central et le nouveau site enfant. |
|
Jenni organise quelques réunions de développement de projet avec l'équipe chargée de l'infrastructure du réseau pour décider de la place de la connectivité Internet dans l'infrastructure réseau existante. Ils discutent des différents scénarios possibles, la nécessité pour plusieurs sites de prendre en charge les clients Internet et l'emplacement idéal des serveurs. |
Scénarios pris en charge pour la gestion des clients Internet Déterminer l'emplacement des sites pour la gestion des clients Internet Déterminer l'emplacement du serveur pour la gestion des clients basés sur Internet |
Ils décident de créer un nouveau site dans le réseau de périmètre. |
Diagramme du réseau pour les serveurs basés sur Internet - Scénario 2 avec un site enfant |
Ils en discutent avec l'équipe chargée de la sécurité dans l'entreprise qui approuve le projet à condition que le trafic SMB, qui traverse la limite de sécurité du réseau de périmètre, soit protégé avec IPsec. Les consultants PKI intègrent cette demande dans leur conception. |
|
Lorsque le type de réseau est approuvé, Jenni fait appel à l'équipe réseau qui s'occupe des pare-feu et des périphériques réseau dans le réseau de périmètre. Ils identifient les ports qui seront utilisés afin d'effectuer les modifications nécessaires. |
Déterminer les ports requis pour la gestion des clients basés sur Internet |
Les serveurs DNS Internet de la société sont gérés en interne dans le réseau de périmètre. Aussi, Jenni soumet une demande de changement pour publier les noms FQDN Internet des systèmes de site Internet dans DNS. Elle fournit les informations requises. |
Configuration DNS pour les rôles de système de site Configuration Manager |
Avec les certificats PKI à présent déployés, Jenni migre le site central en mode natif et le surveille pendant une certaine période pour s'assurer qu'aucun problème ne se pose. |
|
D'autres serveurs sont installés et consolidés avec des stratégies de sécurité adaptées aux ordinateurs dans le réseau de périmètre. Jenni confirme que l'infrastructure réseau est configurée de manière appropriée. |
Processus interne propre à l'entreprise |
Jenni installe un nouveau site dans le réseau de périmètre, configurant les rôles système de site Internet sur les serveurs avec les noms FQDN Internet des systèmes de site enregistrés dans les serveurs DNS Internet. |
|
Jenni configure le point de mise à jour logicielle Internet pour synchroniser les mises à jour. |
|
Jenni configure les systèmes de site Internet pour accepter les connexions provenant uniquement des clients Internet. |
Comment configurer un point de gestion pour les connexions de clients Internet Comment configurer un point de distribution pour les connexions de clients basés sur Internet Comment configurer un point d'état de secours pour les connexions de clients Internet Comment configurer un point de mise à jour logicielle pour les connexions de clients Internet |
Jenni configure les points de distribution Internet pour qu'ils puissent transférer du contenu via Internet. |
|
Jenni lance un test pilote sur quelques ordinateurs, en définissant le nom FQDN du point de gestion Internet sur l'onglet Internet de Configuration Manager dans le Panneau de configuration. |
Comment attribuer des ordinateurs clients Configuration Manager au point de gestion Internet |
Lorsque les résultats des tests opérationnels sont satisfaisants, Jenni crée et teste un package d'installation avec tous les fichiers source. Cette installation installe le client Configuration Manager avec les paramètres d'installation suivants :
|
À propos des propriétés d'installation du client Configuration Manager |
L'équipe PKI construit un portail Web dans le réseau de périmètre auquel les télétravailleurs peuvent se connecter et demander les certificats requis. |
Processus interne propre à l'entreprise |
Les télétravailleurs sont informés du nouveau service et savent que l'installation se déroule en deux étapes :
|
Processus interne propre à l'entreprise |
Le personnel du Support technique est informé et dispose des informations sur la manière de dépanner les clients qui rencontrent des problèmes liés à la procédure de demande des certificats et à l'installation du client. |
Processus interne propre à l'entreprise |
Après avoir mené un test pilote avec quelques télétravailleurs, Jenni est satisfaite des résultats et le CD d'installation est envoyé par courrier au reste des télétravailleurs. |
Processus interne propre à l'entreprise |
Après six semaines, Jenni remarque que 100 % des ordinateurs des télétravailleurs sont attribués correctement au site et reçoivent les distributions de logiciels et les mises à jour logicielles. |
À propos du point d'état de secours dans Configuration Manager |
Jenni demande au personnel du Support technique et aux utilisateurs de donner leurs avis sur le processus afin de l'améliorer ou de le modifier. |
Processus interne propre à l'entreprise |
Ce déploiement de la gestion des clients Internet peut avoir un impact sur les télétravailleurs (voir ci-dessous) si leurs ordinateurs sont configurés pour la gestion des clients Internet uniquement :
Les mises à jour logicielles sont installées automatiquement.
Certains télétravailleurs pensent à exécuter Windows Update, mais d'autres oublient et ignorent quelles sont les mises à jour à installer. L'installation automatique des mises à jour logicielles critiques permet de renforcer la sécurité sur leurs ordinateurs.
Les applications logicielles sont mises à leur disposition.
Pour mener à bien un projet, une application spécifique est souvent nécessaire. Au lieu de la recevoir sous la forme d'une pièce jointe à un courrier électronique ou de l'attendre par la poste, l'application est disponible et peut être sélectionnée par les télétravailleurs si nécessaire.
Prendre en charge les clients Internet et intranet du même serveur de système de site
Ce scénario indique comment ajouter la gestion des clients Internet à un site Configuration Manager existant dans l'intranet, sans qu'il soit nécessaire d'ajouter de nouveaux serveurs de système de site au réseau de périmètre. Étant donné que cette configuration établit un pont entre la limite de sécurité du réseau de périmètre et l'intranet, il ne s'agit pas de la meilleure pratique en matière de sécurité. Toutefois, ce type de scénario constitue un moyen efficace pour tester rapidement la gestion des clients Internet, sans avoir à installer ni à configurer de serveur supplémentaire. Cela permet également de désactiver la vérification de la révocation des certificats sur les clients, afin d'enregistrer la configuration supplémentaire nécessaire sur un réseau de production pour la publication d'une liste de révocation des certificats accessible depuis Internet.
Le type de réseau choisi implique le scénario pris en charge du site Configuration Manager 2007 contenu dans l'intranet, ainsi que les systèmes de site configurés pour la gestion des clients Internet qui peuvent accepter les connexions Internet et intranet. (Diagramme du réseau pour les serveurs basés sur Internet - Scénario 4 avec des connexions Internet dans l'intranet.)
Les administrateurs du centre Trey Research s'intéressent à l'implémentation de la gestion des clients Internet, afin de compléter leur stratégie de gestion d'ordinateur pour la hiérarchie Configuration Manager existante. Ils éprouvent des difficultés à assurer la mise à jour des ordinateurs portables afin d'installer d'importantes mises à jour logicielles de sécurité et d'applications lorsque l'équipe n'occupe pas les locaux pendant une longue période, comme c'est le cas lors de conférences mondiales. Toutefois, le centre Trey Research ne dispose actuellement d'aucune infrastructure PKI, pourtant nécessaire à la gestion des clients Internet. Avant de donner leur accord pour le financement du projet, les responsables veulent avoir la confirmation que la gestion des clients Internet fonctionne et qu'elle offrira les avantages escomptés.
L'administrateur de Configuration Manager, Terry Adams, entreprend les actions décrites dans le tableau suivant.
| Processus | Référence |
|---|---|
À des fins de test, Terry utilise une forêt Active Directory non opérationnelle dans une section isolée de l'intranet qui a également accès à Internet. L'espace de noms Internet de l'entreprise est treyresearch.net, et l'espace de noms Active Directory interne sur le réseau de test est testnet.treyresearch.net. |
Processus interne. |
Pour obtenir un déploiement rapide avec un minimum de matériel de test, Terry décide d'utiliser un seul serveur pour tous les systèmes de site Configuration Manager qui hébergera les rôles système de site suivants :
Terry décide de ne pas déployer de point d'état de secours pour cette démonstration du concept, car même si cela peut être utile à l'identification des problèmes liés à la communication des clients, il est inutile de tester le fonctionnement de base du site. Après avoir parcouru les options de placement du serveur pour les systèmes de site Internet, Terry se rend compte qu'un seul système de site peut prendre en charge les clients Internet et intranet. Même s'il ne s'agit pas de la meilleure pratique en matière de sécurité, cela permet à Terry d'installer et de configurer moins de serveurs. Grâce à cette stratégie, Terry peut tester plus rapidement la gestion des clients Internet que s'il devait installer et configurer plusieurs serveurs. Les risques de sécurité liés à l'hébergement de plusieurs rôles de système de site sur un seul serveur et à l'acceptation du trafic Internet dans l'intranet sont réduits grâce à la séparation des réseaux de test et de production. |
À propos du point d'état de secours dans Configuration Manager Déterminer l'emplacement du serveur pour la gestion des clients basés sur Internet |
Terry installe un nouveau serveur exécutant Windows Server 2003 Service Pack 1 (qu'il appelle IBCMServer) et l'ajoute au domaine. Il utilisera ce serveur en tant que serveur de système de site unique. Il installe également les services Internet (IIS) sur ce serveur, ainsi que tous les autres éléments requis pour Configuration Manager 2007. Il étend ensuite le schéma Active Directory pour Configuration Manager 2007 et active la publication en créant le conteneur System Management et en configurant les autorisations sur celui-ci pour l'ordinateur IBCMServer. Terry installe ensuite un ordinateur portable exécutant Windows Vista et l'ajoute au domaine. |
Configuration requise pour l'installation de Configuration Manager Comment étendre le schéma Active Directory pour Configuration Manager |
Terry propose sa démonstration du concept à l'équipe responsable du réseau qui gère les exigences de l'entreprise en termes de connectivité à Internet. Après avoir lu les dépendances externes de la gestion des clients Internet, Terry se rend compte qu'il aura besoin de l'aide de cette équipe pour les éléments suivants :
|
|
L'équipe responsable du réseau a besoin de l'accord de l'équipe chargée de la sécurité avant de pouvoir apporter des modifications à l'infrastructure Internet existante. L'équipe de sécurité examine le plan et soulève les problèmes liés au fait que le serveur réside sur l'intranet et qu'il est exposé au trafic Internet. Terry explique que cette conception ne s'applique que pour une démonstration du concept sur un réseau isolé, et il présente les différentes conceptions prises en charge pour les réseaux de production. Sur ces réseaux, le serveur de site n'est jamais exposé au trafic Internet, et même si les systèmes de site Internet peuvent prendre en charge les connexions Internet et intranet, il existe d'autres conceptions mieux adaptées en matière de sécurité. L'équipe de sécurité donne son accord concernant la conception de la démonstration du concept à condition d'établir une collaboration entre l'équipe de sécurité et Terry afin d'analyser de manière plus approfondie la conception finale, si le projet est approuvé. |
Scénarios pris en charge pour la gestion des clients Internet |
Terry confirme que son serveur membre a automatiquement enregistré le nom de l'ordinateur IBCMServer dans la zone DNS Active Directory interne du site testnet.treyresearch.net. L'équipe réseau ajoute manuellement un enregistrement A DNS du IBCMServer dans la zone DNS publique de treyresearch.net. Étant donné qu'ISA Server publiera ce système de site Internet, cet enregistrement est configuré avec une adresse IP publique qui appartient à l'une des cartes externes du serveur ISA et qui n'est pas utilisée actuellement. Cette adresse IP externe doit être dédiée aux connexions de la gestion des clients Internet. Notes Si Terry avait utilisé plusieurs serveurs pour tous les rôles système de site Internet, chaque système de site interne qui accepte des connexions via Internet aurait nécessité sa propre adresse IP externe dédiée, même si toutes les connexions s'effectuent via le même ordinateur exécutant ISA Server. |
Configuration DNS pour les rôles de système de site Configuration Manager |
Terry se focalise sur la configuration PKI requise et vérifie quels certificats sont nécessaires pour son réseau de test. Il référence les rubriques de documentation concernant les certificats requis ainsi que les instructions d'installation. Dans la mesure où la portée de l'environnement de test est limitée, Terry a uniquement besoin des certificats suivants :
|
Certificats requis pour le mode natif Déploiement des certificats d'infrastructure à clés publiques requis pour le mode natif. |
Terry se rend compte que le moyen le plus facile pour déployer les certificats requis consiste à utiliser une autorité de certification racine d'entreprise Microsoft, à l'aide de Windows Server 2003 Enterprise Edition. Cette solution présente les avantages suivants :
Terry confirme que l'unique contrôleur de domaine Active Directory de son réseau de test exécute Windows Server 2003 Enterprise Edition et que les Services Internet (IIS) sont installés. Terry installe ensuite les services de certificats Microsoft sur son contrôleur de domaine (ainsi que les sous-composants services de certificats d'autorité de certification et la prise en charge de l'inscription par le Web), puis il configure une autorité de certification racine d'entreprise. Après avoir lu la rubrique concernant le déploiement du certificat de serveur Web sur les serveurs de système de site, il se rend compte qu'il doit activer la prise en charge de l'attribut de certificat Autre nom de l'objet pour pouvoir spécifier le nom de domaine complet intranet et le nom de domaine complet Internet. Il suit la procédure indiquée dans l'article pour activer la prise en charge de l'autre nom de l'objet sur son autorité de certification racine qui, dans l'environnement de test, délivre également les certificats. |
Déterminer si vous pouvez utiliser votre infrastructure à clé publique existante en mode natif Déploiement des certificats de serveur Web sur des serveurs de système de site Informations sur l'ajout de la prise en charge d'autres noms de l'objet avec une autorité de certification Microsoft : https://go.microsoft.com/fwlink/?LinkId=93692 |
Terry n'a pas beaucoup d'expérience dans le domaine des infrastructures PKI et suit donc l'exemple de déploiement étape par étape figurant dans la bibliothèque de Configuration Manager. Il suit exactement les procédures pour le certificat de signature du serveur de site et pour le déploiement des certificats clients. Toutefois, il doit modifier la procédure de spécification de son certificat de serveur Web pour ce système de site Internet, car elle requiert le nom de domaine complet intranet et Internet pour l'autre nom de l'objet :
|
Informations sur l'ajout de la prise en charge d'autres noms de l'objet avec une autorité de certification Microsoft : https://go.microsoft.com/fwlink/?LinkId=93692 |
Après avoir vérifié la configuration requise pour le mode natif, Terry se rend compte que, du fait que l'autorité de certification qui émet les certificats réside sur l'intranet, par défaut, les clients Internet ne pourront pas accéder à la liste de révocation des certificats. Une liste de révocation des certificats résidant sur l'intranet est publiée par défaut avec son autorité de certification. Terry lit la rubrique concernant la vérification de la liste de révocation des certificats et se rend compte que si les clients Internet ne parviennent pas à localiser la liste de révocation des certificats, les connexions aux rôles de système de site Internet échoueront. Au lieu de publier une liste de révocation des certificats sur Internet (procédure recommandée pour un réseau de production), Terry décide de désactiver la vérification de la liste de révocation des certificats sur les clients dans son environnement de test afin de minimiser les impératifs de configuration supplémentaires. |
|
Terry exécute ensuite l'installation de Configuration Manager 2007 sur le serveur membre avec les sélections suivantes :
À la fin de l'installation, Terry effectue les tâches postérieures à l'installation suivantes :
|
Présentation de l'installation simple Comment déployer un site via une installation simple Comment configurer les limites de Configuration Manager Comment configurer le nom de domaine complet intranet des systèmes de site |
Terry installe maintenant le client Configuration Manager sur l'ordinateur portable, configure les mises à jour logicielles et confirme le fonctionnement par défaut de Configuration Manager sur l'intranet. |
|
Lorsque l'intranet est en mode natif, Terry configure les rôles de système de site pour autoriser les connexions aux clients intranet et Internet. Il confirme également que le point de distribution est configuré pour transférer les données à l'aide des services BITS et HTTP. |
Comment configurer un point de gestion pour les connexions de clients Internet Comment configurer un point de mise à jour logicielle pour les connexions de clients Internet Comment configurer un point de distribution pour les connexions de clients basés sur Internet |
Sur l'ordinateur portable, Terry spécifie IBCM.treyresearch.com en tant que point de gestion des clients Internet sous l'onglet Internet du Panneau de configuration de Configuration Manager. |
Comment attribuer des ordinateurs clients Configuration Manager au point de gestion Internet |
L'équipe réseau s'occupe des dernières configurations requises pour autoriser le trafic Internet dans le réseau de périmètre et l'intranet :
|
Déterminer les ports requis pour la gestion des clients basés sur Internet |
Terry déconnecte son ordinateur portable de test du réseau de test et, à l'aide de la fonction des mises à jour logicielles de Configuration Manager, crée un nouveau déploiement des mises à jour logicielles facultatif. Terry emmène ensuite l'ordinateur portable de test chez lui, le connecte à Internet, lance manuellement la stratégie client, reçoit une notification concernant les mises à jour logicielles facultatives et parvient à les installer. |
Comment lancer une récupération de stratégie pour un client Configuration Manager À propos de l'expérience de l'utilisateur final avec les mises à jour logicielles Boîte de dialogue Mises à jour de logiciels disponibles sur les clients |
Après ce premier test concluant, Terry réalise d'autres tests avec des mises à jour logicielles automatiques et des distributions de logiciels, et il confirme que l'inventaire matériel ainsi que les informations de conformité de la gestion de la configuration souhaitée sont toujours signalées lorsque l'ordinateur portable est connecté à Internet. Il confirme également qu'un téléchargement du contenu peut continuer sans interruption lorsque l'ordinateur portable passe d'Internet à l'intranet, et inversement.
Terry note ces découvertes et les présente deux semaines plus tard à l'équipe de gestion. Les tests concluants convainquent l'équipe de gestion que la gestion des clients Internet permet d'offrir une utilisation en continue constituant une méthode de gestion efficace des ordinateurs portables, même lorsqu'ils sont éloignés du réseau d'entreprise. De cette manière, il est possible d'assurer la sécurité des ordinateurs portables, ce qui justifie l'investissement nécessaire au financement d'une solution PKI.
L'entreprise ne dispose ni des ressources internes, ni de l'expérience lui permettant d'implémenter une infrastructure PKI interne. C'est pourquoi la démonstration du concept permet de justifier le coût de la sous-traitance de ce projet pour une implémentation prochaine de la gestion des clients Internet.
Voir aussi
Concepts
Liste de vérification de l'administrateur : Configuration d'un site pour la gestion des clients Internet
Liste de vérification de l'administrateur : Configuration d'ordinateurs clients pour un site qui prend en charge la gestion de clients Internet
Flux de travail d'administration : Configuration d'un site pour la gestion des clients Internet
Présentation de la gestion des clients Internet
Pour plus d'informations, consultez Informations et prise en charge de Configuration Manager 2007.
Pour contacter l'équipe de documentation, envoyez un e-mail à SMSdocs@microsoft.com.