Internetalapú ügyfélkezelés megtervezése a Configuration Manager alkalmazásban

A következőre vonatkozik: Configuration Manager (aktuális ág)

Az internetalapú ügyfélkezelés (IBCM) használatával kezelheti a Configuration Manager-ügyfeleket, amikor azok nem csatlakoznak a belső hálózathoz. Az IBCM használatának előnyei:

• A kiszolgálók és a szolgáltatást nyújtó szerepkörök teljes hozzáférése
• Nincs felhőszolgáltatás-függőség
• Előfordulhat, hogy nem igényel virtuális magánhálózatot (VPN)
• Minden költség a helyszíni szolgáltatáshoz kapcsolódik

Az ügyfélszámítógépek nyilvános hálózaton történő kezelésének magasabb biztonsági követelményei miatt az IBCM megköveteli PKI-tanúsítványok használatát. Ez a konfiguráció gondoskodik arról, hogy a kapcsolatokat egy független hitelesítésszolgáltató hitelesítse. Amikor az IBCM kliensek és a helyszerverek adatokat küldenek, azok titkosítottak és biztonságosak.

Kommunikáció az ügyfelekkel

Az elsődleges helyeken az alábbi helyrendszerszerepkörök támogatják a nem megbízható helyeken lévő ügyfelekkel való kapcsolatokat:

Megjegyzés:

Míg az IBCM elsősorban az internetalapú forgatókönyvekre összpontosít, ugyanezek a viselkedések érvényesek a nem megbízható Active Directory erdők ügyfeleire is. A másodlagos helyek nem támogatják a nem megbízható helyekről érkező ügyfélkapcsolatokat.

• A Configuration Manager házirendmodul (NDES) tanúsítványregisztrációs pontja

  Figyelmeztetés

  A 2203-as verziótól kezdődően a tanúsítványregisztrációs pont támogatása megszűnik. További információt az erőforrás-hozzáférés elavulásával kapcsolatos gyakori kérdések című témakörben talál.

• Terjesztési pont

• Tartalomalapú felhőkezelési átjáró (CMG)

• Beléptetési proxypont

• Tartalék állapotpont

• Felügyeleti pont

• Szoftverfrissítési pont

Tudnivalók az internetes helyrendszerekről

Nincs követelmény megbízhatósági kapcsolat az ügyfél erdője és a helyrendszer-kiszolgáló erdője között. Ha azonban egy internettel néző helyrendszert tartalmazó erdő megbízik a felhasználói fiókokat tartalmazó erdőben, ez a konfiguráció támogatja a felhasználói házirendeket az interneten lévő eszközök számára, ha engedélyezi az Ügyfélházirend ügyféloldali beállításainak engedélyezése az internetes ügyfelektől érkező ügyféloldali házirendre vonatkozó kérések engedélyezése beállítást.

A következő konfigurációk például azt mutatják be, hogy az IBCM mikor támogatja az interneten lévő eszközök felhasználói házirendjeit:

• Az internetalapú felügyeleti pont a peremhálózaton található. Ez a hálózat emellett írásvédett tartományvezérlővel is rendelkezik a felhasználó hitelesítéséhez. A peremhálózat és a belső hálózatok közötti tűzfal lehetővé teszi az Active Directory-csomagok továbbítását.

• A felhasználói fiók az intranetalapú erdőben található. Az internetalapú felügyeleti pont a peremalapú erdőben található. A kerületi erdő bízik a belső erdőben. A peremhálózat és a belső hálózatok között egy tűzfal engedélyezi a hitelesítési csomagokat.

• A felhasználói fiók és az internetalapú felügyeleti pont egyaránt az intranet-alapú erdőben található. A felügyeleti pontot webproxy-kiszolgálón keresztül teheti közzé az interneten.

Webproxy-kiszolgáló használata

Az intraneten helyezhet el internetalapú helyrendszereket, amikor webproxy-kiszolgálóval teszi közzé őket az interneten. Konfigurálja ezeket a helyrendszereket csak az internetről, vagy az internetről és az intranetről történő ügyfélkapcsolatokhoz. Ha webproxy-kiszolgálót használ, konfigurálhatja azt az SSL-re vagy SSL-alagútra való áthidaláshoz.

SSL-áthidalás az SSL-be

Az SSL-kapcsolatok átvitele az SSL-re az ajánlott és biztonságosabb konfiguráció, mivel hitelesítéssel együtt SSL-megszakítást használ. Számítógépes hitelesítéssel hitelesíti az ügyfélszámítógépeket. A Configuration Manager szolgáltatással regisztrált mobileszközök nem támogatják az SSL-hídolást.

A proxyn SSL-megszakítással megvizsgálja az internetről érkező csomagokat, mielőtt továbbítaná azokat a belső hálózatra. A proxy hitelesíti a kapcsolatot az ügyféltől, megszünteti azt, majd egy új, hitelesített kapcsolatot nyit az internetalapú helyrendszerekkel. Amikor a Configuration Manager-ügyfelek proxyt használnak, az ügyfél biztonságosan tárolja az identitását (GUID) a csomag hasznos adataiban. A felügyeleti pont nem tekinti a proxyt ügyfélnek. A Configuration Manager nem támogatja a HTTP-ről HTTPS-re, illetve a HTTPS-ről a HTTP-re való áthidalást.

Megjegyzés:

A Configuration Manager nem támogatja a külső SSL-hídkonfigurációk beállítását. Például Citrix Netscaler vagy F5 BIG-IP. Az eszköz gyártójával együttműködve konfigurálja az eszközt a Configuration Manager-rel való használatra.

Bújtatás

Ha a proxy webkiszolgálója nem támogatja az SSL-híd követelményeit, a Configuration Manager az SSL-bújtatást is támogatja. SSL-bújtatással is támogathatja a Configuration Manager-rel regisztrált mobileszközöket. Ez kevésbé biztonságos lehetőség, mivel a proxykiszolgáló az SSL-csomagokat az internetről a helyrendszerekbe továbbítja SSL-megszakítás nélkül. A proxy nem vizsgálja meg a csomagokban a kártékony tartalmat. Az SSL-bújtatás használatakor nincsenek tanúsítványkövetelmények a proxy-webkiszolgálóra vonatkozóan.

Csomag internetalapú ügyfelekhez

Döntse el, hogy az internetalapú ügyfeleket intranetes és internetes felügyeletre is konfigurálja-e, vagy csak internetes ügyfélkezelésre. Ezt a kezelési beállítást csak az ügyfél telepítésekor konfigurálhatja. Ha később módosítani szeretné, telepítse újra az ügyfélalkalmazást.

Megjegyzés:

Ha úgy konfigurál egy felügyeleti pontot, hogy támogassa az internetes ügyfeleket, az adott felügyeleti ponthoz csatlakozó ügyfelek az elérhető felügyeleti pontok listájának következő frissítésekor internetképessé válnak.

A csak internetes ügyfélkezelés konfigurációját nem kell az internetre korlátoznia. Az intraneten is használhatja.

A csak internetes felügyeletre konfigurált ügyfélprogramok csak azokkal a helyrendszerekkel kommunikálnak, amelyeket az internetről történő ügyfélkapcsolatra konfigurált. Ezt a konfigurációt a következő esetekben használhatja:

• Azon számítógépek esetében, amelyekről tudja, hogy soha nem fognak csatlakozni az intranethez. Például távoli helyeken található POS-számítógépek.
• Ha az ügyfélkommunikációt csak HTTPS-re szeretné korlátozni. Például a tűzfal és a korlátozott biztonsági házirendek támogatásához.
• Amikor internetalapú helyrendszereket telepít peremhálózatra, és ezeket a kiszolgálókat Configuration Manager-ügyfélként szeretné kezelni.

Megjegyzés:

Ha a munkacsoport-ügyfeleket az interneten szeretné kezelni, telepítse őket kizárólag internetes típusként.

Amikor egy mobileszközt internetalapú felügyeleti pont használatára konfigurál, akkor az automatikusan csak internetes felügyeleti pontként lesz konfigurálva.

Internetes és intranetes ügyfélkezeléshez más ügyfeleket is konfigurálhat. Amikor hálózatváltozást észlelnek, automatikusan váltanak az IBCM és az intranetes ügyfélkezelés között. Ha ezek az ügyfelek olyan felügyeleti pontot találnak és csatlakoznak hozzá, amely támogatja az intraneten az ügyfélkapcsolatokat, akkor ezeket az ügyfeleket intranetes ügyfélként kezeli a rendszer. Az intranetes ügyfelek teljes funkciókészlettel rendelkeznek a Configuration Manager funkcióival. Ha az ügyfelek nem találnak olyan felügyeleti pontot vagy nem tudnak csatlakozni olyan felügyeleti ponthoz, amely támogatja az intraneten az ügyfélkapcsolatokat, akkor egy internetalapú felügyeleti ponthoz próbálnak csatlakozni. Ha ez a művelet sikeres, ezeket az ügyfeleket a hozzájuk rendelt hely internetalapú helyrendszerei kezelik.

Az automatikus csomagváltás előnye, hogy az ügyfelek minden funkciót használhatnak az intranethez való csatlakozáskor, és alapvető felügyeleti lehetőségeket kapnak, amikor az internetről csatlakoznak. Az internetről indított tartalomletöltések zökkenőmentesen folytatódhatnak az intraneten, ellenkező irányban pedig ugyanígy is.

Előfeltételek

A Configuration Manager IBCM a következő függőségekkel rendelkezik:

• Az ügyfelekhez internetkapcsolat szükséges. A Configuration Manager az eszköz meglévő internetkapcsolatát használja. A mobileszközöknek közvetlen internetkapcsolattal kell rendelkezniük. A teljes ügyfélszámítógépek rendelkezhetnek közvetlen internetkapcsolattal, vagy proxy-webkiszolgáló használatával csatlakozhatnak hozzájuk.

• Az IBCM-et támogató helyrendszerek internetkapcsolatot igényelnek, és Active Directory tartományban kell lenniük. Az internetalapú helyrendszerek nem igényelnek megbízhatósági kapcsolatot a helykiszolgáló Active Directory erdőjével. Ha azonban az internetalapú felügyeleti pont Windows-hitelesítéssel hitelesíteni tudja a felhasználót, akkor támogatja a felhasználói házirendeket. Ha a Windows-hitelesítés sikertelen, akkor csak az eszközházirendeket támogatja.

  Megjegyzés:

  A felhasználói házirendek támogatásához engedélyezze a következő ügyfélbeállításokat az Ügyfélházirend csoportban:

  • Felhasználói házirend-lekérdezés engedélyezése az ügyfeleken
  • Internetes ügyfelektől érkező felhasználói házirendkérések engedélyezése

• Nyilvános kulcsú infrastruktúra (PKI) az internetalapú ügyfelek és helyrendszer-kiszolgálók számára szükséges tanúsítványok telepítéséhez és kezeléséhez. További információt a PKI-tanúsítványokra vonatkozó követelmények című témakörben talál.

• Regisztrálja az IBCM-et támogató helyrendszerek internetes teljes tartományneveit (FQDN).

• Engedélyezze a PKI-ügyféltanúsítvány (ügyfél-hitelesítési funkció) használata beállítást a webhely tulajdonságainak Kommunikációs biztonság lapján. Ez a beállítás kötelező.

Az ügyfél kommunikációjára vonatkozó követelmények

A közbenső tűzfalaknak vagy proxykiszolgálóknak engedélyezniük kell az ügyfélkommunikációt az internetes helyrendszerekben:

• HTTP 1.1 támogatása

• Többrészes MIME-mellékletek HTTP tartalomtípusának engedélyezése (többrészes/vegyes és alkalmazás/oktet-stream)

Igék

Az internetalapú helyrendszer-kiszolgálói szerepkörökhöz engedélyezze az alábbi műveleteket:

Szerepkör	Igék
Felügyeleti pont	- FEJ - CCM_POST - BITS_POST - MEGSZEREZNI - PROPFIND
Terjesztési pont	- FEJ - MEGSZEREZNI - PROPFIND
Tartalék állapotpont	KÖZZÉTÉTEL

HTTP-fejlécek

Engedélyezze a következő HTTP-fejléceket az internetalapú helyrendszer-kiszolgálói szerepkörökhöz:

Szerepkör	HTTP-fejlécek
Felügyeleti pont	- Hatótáv: - CCMClientID: - CCMClientIDSignature: - CCMClientTimestamp: - CCMClientTimestampsSignature:
Terjesztési pont	Tartomány:

A szoftverfrissítési pont internetről történő ügyfélkapcsolatának használatakor felmerülő hasonló kommunikációs követelményekről a Windows Server Update Services (WSUS) dokumentációjában olvashat.

Nem támogatott funkciók

Nem minden ügyfélkezelési funkció felel meg az internetnek. A Configuration Manager nem támogat néhány funkciót az interneten lévő ügyfelek számára. Ezek a nem támogatott funkciók általában az Active Directory tartományi szolgáltatások használatára támaszkodnak, vagy nem alkalmasak nyilvános hálózathoz.

A következő funkciók nem támogatottak, ha az IBCM-mel kezeli az ügyfeleket az interneten:

• Ügyféltelepítés az interneten keresztül, például leküldéses ügyfélpéldány és szoftverfrissítésen alapuló ügyféltelepítés. Manuális ügyféltelepítést használjon.

• Automatikus webhelyhozzárendelés

• Wake-on-LAN

• Operációs rendszer központi telepítése. Telepíthet azonban olyan feladatütemezéseket, amelyek nem helyeznek üzembe operációs rendszert.

• Távvezérlés

• Szoftverek központi telepítése a felhasználók számára. Ez a funkció az alkalmazáskatalógusra támaszkodott, amely már nem támogatott.

• Ügyfélroaming. A roaming lehetővé teszi az ügyfelek számára, hogy mindig a legközelebbi terjesztési pontokat találják meg a tartalmak letöltéséhez. Az ügyfelek nem determinisztikus módon választják ki az internetalapú helyrendszereket, sávszélességtől és fizikai helytől függetlenül.

Ha úgy konfigurál egy szoftverfrissítési pontot, hogy az internetről érkező kapcsolatokat fogadjon, az internetalapú ügyfelek mindig átvizsgálják ezt a szoftverfrissítési pontot annak megállapításához, hogy mely szoftverfrissítésekre van szükség. Amikor ezek az ügyfelek internetről csatlakoznak, először a Microsoft Update szolgáltatásból próbálják letölteni a szoftverfrissítéseket, nem pedig internetes terjesztési pontról. Ha ez a működés nem sikerül, akkor megpróbálják letölteni a szükséges szoftverfrissítéseket egy internetalapú terjesztési pontról.

Tipp

A Configuration Manager ügyfél automatikusan megállapítja, hogy az intranethez vagy az internethez csatlakozik-e. Ha az ügyfél kapcsolatba tud lépni egy tartományvezérlővel vagy egy helyszíni felügyeleti ponttal, a kapcsolat típusát "Jelenleg intranetes" értékre állítja. Ellenkező esetben "Jelenleg internetre" vált, és kommunikál a webhelyéhez rendelt helyrendszerekkel.