De sitesysteemrollen voor Configuration Manager-clients bepalen

Van toepassing op: Configuration Manager (current branch)

Dit artikel kan u helpen bij het bepalen van de sitesysteemrollen die u nodig hebt om Configuration Manager clients te implementeren.

Zie Een hiërarchie van sites ontwerpen voor meer informatie over het installeren van deze rollen in de hiërarchie.

Zie Sitesysteemrollen installeren voor meer informatie over het installeren en configureren van deze rollen.

Beheerpunt

Standaard gebruiken alle Windows-clientcomputers een distributiepunt om de Configuration Manager-client te installeren. Ze kunnen terugvallen naar een beheerpunt wanneer een distributiepunt niet beschikbaar is. U kunt windows-clients echter installeren op computers vanuit een alternatieve bron wanneer u de opdrachtregeleigenschap /source:<Path>CCMSetup gebruikt. U kunt deze actie bijvoorbeeld uitvoeren als u clients op internet installeert. Een ander scenario is wanneer u wilt voorkomen dat netwerkpakketten worden verzonden tussen de computer en het beheerpunt tijdens de clientinstallatie. Dit scenario is omdat een firewall de vereiste poorten blokkeert of omdat u een verbinding met een lage bandbreedte hebt. Alle clients moeten echter communiceren met een beheerpunt om toe te wijzen aan een site en te worden beheerd door Configuration Manager.

Zie Over clientinstallatie-eigenschappen voor meer informatie over client opdrachtregeleigenschappen.

Wanneer u meer dan één beheerpunt in de hiërarchie installeert, maken clients automatisch verbinding met één punt op basis van hun forestlidmaatschap en netwerklocatie. U kunt niet meer dan één beheerpunt installeren op een secundaire site.

Mac-computerclients en mobiele-apparaatclients die u registreert met Configuration Manager vereisen altijd een beheerpunt voor clientinstallatie. Dit beheerpunt moet zich op een primaire site bevindt, moet zijn geconfigureerd voor ondersteuning van mobiele apparaten en moet clientverbindingen van internet accepteren. Deze clients kunnen geen beheerpunten gebruiken op secundaire sites of verbinding maken met beheerpunten in andere primaire sites.

Distributiepunt

U hebt geen distributiepunt nodig om Configuration Manager clients op Windows-computers te installeren. Standaard gebruikt Configuration Manager een distributiepunt om de clientbronbestanden op Windows-computers te installeren. Het kan terugvallen op het downloaden van deze bestanden vanaf een beheerpunt. Distributiepunten worden niet gebruikt om clients voor mobiele apparaten te installeren die zijn ingeschreven door Configuration Manager, maar worden gebruikt als u de verouderde client van het mobiele apparaat installeert. Als u de Configuration Manager-client installeert als onderdeel van een besturingssysteemimplementatie, wordt de installatiekopieën van het besturingssysteem opgeslagen en opgehaald van een distributiepunt.

Hoewel u mogelijk geen distributiepunten nodig hebt om de meeste Configuration Manager clients te installeren, hebt u deze wel nodig om software zoals toepassingen en software-updates op de clients te installeren.

Terugvalstatuspunt

U kunt een terugvalstatuspunt gebruiken om de clientimplementatie voor Windows-computers te bewaken. U kunt ook de Windows-computerclients identificeren die niet worden beheerd omdat ze niet kunnen communiceren met een beheerpunt.

De volgende clienttypen gebruiken geen terugvalstatuspunt:

• Mac-computers
• Mobiele apparaten die zijn ingeschreven door Configuration Manager
• Mobiele apparaten die worden beheerd met behulp van de Exchange Server-connector

Er is geen terugvalstatuspunt vereist om de clientactiviteit en clientstatus te bewaken.

Het terugvalstatuspunt communiceert altijd met clients via HTTP, waarbij niet-geverifieerde verbindingen worden gebruikt en gegevens in duidelijke tekst worden verzonden. Dit gedrag maakt het terugvalstatuspunt kwetsbaar voor aanvallen, met name wanneer het wordt gebruikt met clientbeheer op internet. Om de kwetsbaarheid voor aanvallen te verminderen, wijst u altijd een server toe aan het uitvoeren van het terugvalstatuspunt. Installeer geen andere sitesysteemrollen op dezelfde server in een productieomgeving.

Installeer een terugvalstatuspunt als alle volgende voorwaarden van toepassing zijn:

• U wilt dat clientcommunicatiefouten van Windows-computers naar de site worden verzonden, zelfs als deze clientcomputers niet kunnen communiceren met een beheerpunt.

• U wilt de Configuration Manager clientimplementatierapporten gebruiken, waarin de gegevens worden weergegeven die door het terugvalstatuspunt worden verzonden.

• U hebt een toegewezen server voor deze sitesysteemrol en aanvullende beveiligingsmaatregelen om de server te beschermen tegen aanvallen.

• De voordelen van het gebruik van een terugvalstatuspunt wegen op tegen eventuele beveiligingsrisico's die zijn gekoppeld aan niet-geverifieerde verbindingen en tekstoverdracht via HTTP-verkeer.

Installeer geen terugvalstatuspunt als de beveiligingsrisico's van het uitvoeren van een website met niet-geverifieerde verbindingen en duidelijke tekstoverdrachten opwegen tegen de voordelen van het identificeren van clientcommunicatieproblemen.

Reporting Services-punt

Configuration Manager biedt veel rapporten waarmee u de installatie, toewijzing en het beheer van clients in de Configuration Manager-console kunt bewaken. Sommige clientimplementatierapporten vereisen dat clients zijn toegewezen aan een terugvalstatuspunt.

De rapporten zijn niet nodig om clients te implementeren. U kunt informatie over de implementatie bekijken in de Configuration Manager-console of de logboekbestanden van de client gebruiken voor gedetailleerde informatie. De clientrapporten bieden echter waardevolle informatie voor het bewaken en oplossen van problemen met clientimplementatie.

Inschrijvingspunt en inschrijvingsproxypunt

Belangrijk

Met de afschaffing van on-premises MDM en de Configuration Manager-client voor macOS, worden deze sitesysteemrollen ook afgeschaft. Zie Verwijderde en afgeschafte functies voor Configuration Manager voor meer informatie.

Configuration Manager vereist het inschrijvingspunt en het inschrijvingsproxypunt om mobiele apparaten in te schrijven en certificaten voor Mac-computers in te schrijven. U hebt deze sitesysteemrollen niet nodig in de volgende situaties:

• U wilt mobiele apparaten beheren met behulp van de Exchange Server-connector
• U installeert de verouderde client van het mobiele apparaat
• U aanvraagt en installeert het clientcertificaat op Mac-computers onafhankelijk van Configuration Manager

Connectorpunt voor cloudbeheergateway

U hebt een connectorpunt voor cloudbeheergateway nodig als u een cloudbeheergateway instelt voor het beheren van clients op internet.