如何在 設定管理員 中將用戶端部署到 Windows 電腦

適用於：設定管理員 (目前的分支)

本文提供如何將 設定管理員 用戶端部署到 Windows 電腦的詳細資訊。 如需規劃和準備用戶端部署的詳細資訊，請參閱下列文章：

用戶端推入安裝

使用客戶端推送主要有三種方式：

  • 當您為網站設定用戶端推送安裝時，用戶端安裝會自動在網站探索到的電腦上執行。 當這些界限設定為界限群組時，此方法的範圍限定為網站的已設定界限。

  • 針對特定集合或集合內的資源執行用戶端推播安裝精靈，以啟動用戶端推送安裝。

  • 使用 [用戶端推播安裝精靈] 來安裝 設定管理員 用戶端，您可以使用它來查詢結果。 只有當查詢傳回的其中一個項目是系統資源類別的 ResourceID 屬性時，安裝才會成功。

如果網站伺服器無法連絡用戶端電腦或啟動設定程序，它會每小時自動重試一次安裝。 伺服器會繼續重試最多七天。

為了協助追蹤用戶端安裝程序，請在安裝用戶端之前安裝後援狀態點。 安裝後援狀態點時，系統會在用戶端推送安裝方法安裝用戶端時，自動將其指派給用戶端。 若要追蹤用戶端安裝進度，請檢視用戶端部署和指派報告。

用戶端記錄檔提供更詳細的疑難排解資訊。 記錄檔不需要後援狀態點。 例如，網站伺服器上的 CCM.log 檔案會記錄網站伺服器連線到電腦時所發生的任何問題。 用戶端上的 CCMSetup.log 檔案會記錄安裝過程。

重要事項

只有在符合所有先決條件時，用戶端推送才會成功。 如需詳細資訊，請參閱 安裝方法相依性。

將網站設定為自動對探索到的電腦使用用戶端推送

  1. 在 設定管理員 主控台中，移至 [系統管理] 工作區，展開 [站台設定]，然後選取 [站台] 節點。

  2. 選取您要設定自動全網站用戶端推送安裝的網站。

  3. 在功能區 [ 常用 ] 索引標籤的 [ 設定 ] 群組中，選取 [ 用戶端安裝設定]，然後選取 [ 用戶端推送安裝]。

  4. 在 [用戶端推送安裝] 屬性視窗的 [一般] 索引標籤上，選取 [啟用自動全網站用戶端推送安裝]。

  5. 從版本 1806 開始，當您更新網站時，會啟用用戶端推送的 Kerberos 檢查。 預設會啟用 [ 允許連線後援至 NTLM] 的選項，這與先前的行為一致。 如果網站無法使用 Kerberos 來驗證用戶端，它會使用 NTLM 重試連線。 改善安全性的建議設定是停用此設定，這需要沒有 NTLM 遞補的 Kerberos。

    建議在現有環境中盡可能停用此選項，以提高安全性。

    注意事項

    當它使用用戶端推送來安裝 設定管理員 用戶端時，網站伺服器會建立與用戶端的遠端連線。 從版本 1806 開始，網站可以在建立連線之前不允許後援至 NTLM，以要求 Kerberos 相互驗證。 此增強功能有助於保護伺服器與用戶端之間的通訊。

    視您的安全性原則而定，您的環境可能已經偏好或要求 Kerberos 勝過舊版的 NTLM 驗證。 如需有關這些驗證通訊協定的安全性考量的詳細資訊，請參閱有關限制 NTLM 的 Windows 安全性原則設定。

    若要使用此功能，用戶端必須位於信任的 Active Directory 樹系中。 Windows 中的 Kerberos 依賴 Active Directory 進行相互驗證。

  6. 從版本 2207 開始，當您更新網站時，預設會在新網站安裝上停用 [ 允許連線後援至 NTLM ] 的選項。 建議增加安全性。

  7. 選取 設定管理員 應該推送用戶端軟體的系統類型。 選取是否要在網域控制站上安裝用戶端。

  8. 在 [帳戶] 索引標籤上，指定 設定管理員 連接到目標電腦時要使用的一或多個帳戶。 選取 [建立] 圖示，輸入 [使用者名稱] 和 [密碼 ( 38 個字元以內) ，確認密碼，然後選取 [確定]。 指定至少一個用戶端推送安裝帳戶。 此帳戶必須在目標電腦上具有本機系統管理員權限，才能安裝用戶端。 如果未指定用戶端推送安裝帳戶，則 設定管理員 會嘗試使用月臺系統電腦帳戶。 使用站台系統電腦帳戶時，跨網域用戶端推送失敗。

    注意事項

    若要使用來自次要網站的用戶端推送，請在啟動用戶端推送的次要網站指定帳戶。

    如需用戶端推送安裝帳戶的詳細資訊，請參閱下一個程序「 使用用戶端推送安裝精靈」。

  9. 在 [ 安裝內容] 索引標籤上指定任何必要的安裝內容。

    如果您已擴充 設定管理員 的 Active Directory 架構，網站會將指定的用戶端安裝屬性發佈到 Active Directory 網域服務。 當 CCMSetup 在沒有安裝屬性的情況下執行時，它會從 Active Directory 讀取這些屬性。

    注意事項

    如果您在次要月臺上啟用用戶端推送安裝，請將 SMSSITECODE 屬性設定為其父主要月臺的 設定管理員 站台代碼。 如果您已擴充 設定管理員 的 Active Directory 架構，以自動尋找正確的網站指派，請將此屬性設定為 AUTO。

使用用戶端推送安裝精靈

  1. 在 設定管理員 主控台中，移至 [系統管理] 工作區，展開 [站台設定]，然後選取 [站台] 節點。

  2. 選取您要設定自動全網站用戶端推送安裝的網站。

  3. 在功能區 [ 常用 ] 索引標籤的 [ 設定 ] 群組中，選取 [ 用戶端安裝設定]，然後選取 [ 用戶端推送安裝]。

  4. 在 [ 安裝內容] 索引標籤上指定任何必要的安裝內容。

    如果您已擴充 設定管理員 的 Active Directory 架構，網站會將指定的用戶端安裝屬性發佈到 Active Directory 網域服務。 當 CCMSetup 在沒有安裝屬性的情況下執行時，它會從 Active Directory 讀取這些屬性。

  5. 在 設定管理員 主控台中，移至 [資產與合規性] 工作區。

  6. 在 [裝置] 節點中，選取一或多台電腦。 或者，在 [裝置集合] 節點中選取電腦集合。

  7. 在功能區的 [ 常用 ] 索引標籤上，選擇下列其中一個選項：

    • 若要將用戶端推送至一或多個裝置，請在 [裝置 ] 群組中選取 [ 安裝用戶端]。

    • 若要將用戶端推送至裝置集合，請在 [集合 群組] 中選取 [ 安裝用戶端]。

  8. 在 [安裝 設定管理員] 用戶端精靈的 [開始之前] 頁面上，檢閱資訊，然後選取 [下一步]。

  9. 在 [安裝選項] 頁面上選取適當的選項。

  10. 檢閱安裝設定，然後完成精靈。

注意事項

使用此精靈來安裝用戶端，即使網站未設定為用戶端推送也一樣。

軟體更新型安裝

軟體更新型用戶端安裝會將用戶端發佈到軟體更新點做為軟體更新。 首次安裝或升級時請使用此方法。

如果 設定管理員 用戶端安裝在電腦上，電腦會從站台接收用戶端原則。 此原則包含軟體更新點伺服器名稱，以及用來取得軟體更新的連接埠。

重要事項

針對軟體更新型安裝，請使用相同的Windows Server Update Services (WSUS) 伺服器進行用戶端安裝和軟體更新。 此伺服器必須是主站台中的作用中軟體更新點。 如需詳細資訊，請參閱 安裝軟體更新點。

如果電腦上未安裝 設定管理員 用戶端，請設定並指派群組原則物件。 群組原則會指定軟體更新點的伺服器名稱。

您無法將命令列屬性新增至軟體更新型用戶端安裝。 如果您已擴充 設定管理員 的 Active Directory 架構，用戶端安裝會自動查詢 Active Directory 網域服務以取得安裝屬性。

如果您尚未擴充 Active Directory 架構，請使用群組原則來佈建用戶端安裝設定。 這些設定會自動套用至任何軟體更新型用戶端安裝。 如需詳細資訊，請參閱 如何佈建用戶端安裝屬性 一節，以及如何 將用戶端指派給網站一文。

使用下列程序將沒有 設定管理員 用戶端的電腦設定為使用軟體更新點。 另外還有一個程式可將用戶端軟體發佈到軟體更新點。

提示

如果電腦在先前的軟體安裝之後處於擱置重新開機狀態，則軟體更新型用戶端安裝可能會導致電腦重新開機。

設定群組原則物件以指定軟體更新點

  1. 使用 [群組原則管理主控台] 開啟新的或現有的群組原則物件。

  2. 展開 [電腦設定]、[系統管理範本] 和 [Windows 元件]，然後選取 [Windows Update]。

  3. 開啟 設定的屬性 [指定近端內部網路 Microsoft 更新服務的位置]，然後選取 [ 已啟用]。

  4. 設定用於偵測更新的內部網路更新服務： 指定軟體更新點伺服器的名稱和連接埠。

    • 如果您已將 設定管理員 網站系統設定為使用完整網域名稱 (FQDN) ，請使用該格式。

    • 如果 設定管理員 站台系統未設定為使用 FQDN，請使用簡短名稱格式。

    提示

    要確定埠號碼，請參閱如何 確定 WSUS 使用的埠設置。

    FQDN 格式的範例： http://server1.contoso.com:8530

  5. 設定內部網路統計資料伺服器：此設定通常會使用相同的伺服器名稱進行設定。

  6. 將群組原則物件指派給您要安裝用戶端並接收軟體更新的電腦。

將 設定管理員 用戶端發佈到軟體更新點

  1. 在 設定管理員 主控台中，移至 [系統管理] 工作區，展開 [站台設定]，然後選取 [站台] 節點。

  2. 選取您要設定軟體更新型用戶端安裝的站台。

  3. 在功能區 [ 常用 ] 索引標籤的 [ 設定 ] 群組中，選取 [ 用戶端安裝設定]，然後選取 [ 軟體] Update-Based [用戶端安裝]。

  4. 選取 [啟用軟體更新型用戶端安裝]。

  5. 如果網站的用戶端版本比軟體更新點上的版本更新，則會開啟 [ 偵測到用戶端套件的較新版本] 對話方塊。 選取 [是 ] 以發佈最新版本。

    注意事項

    如果您尚未將用戶端軟體發佈到軟體更新點，此對話方塊為空白。

當有新版本時，不會自動更新 設定管理員 用戶端的軟體更新。 當您更新網站時，請重複此程序以更新用戶端。

群組原則安裝

使用 Active Directory 網域服務中的群組原則來發佈或指派 設定管理員 用戶端。 用戶端會在電腦啟動時進行安裝。 當您使用 群組原則 時，用戶端會出現在 控制台 中的 [新增或移除程式] 中。 使用者可以從該處安裝它。

將 Windows Installer 套件 CCMSetup.msi 用於 群組原則 型安裝。 此檔案位於網站伺服器的資料夾中 <ConfigMgr installation directory>\bin\i386 。 您無法新增屬性至此檔案以變更安裝行為。

重要事項

您必須擁有系統管理員權限才能存取用戶端安裝檔案。

  • 如果您已擴充 設定管理員 的 Active Directory 架構，而且已選取 [網站內容] 對話方塊的 [發佈] 索引標籤上的網域，用戶端電腦會自動在 Active Directory 網域服務中搜尋安裝內容。 如需詳細資訊，請參閱 關於發佈至 Active Directory 網域服務的用戶端安裝內容。

  • 如果您尚未擴充 Active Directory 架構，請參閱 佈建用戶端安裝內容 一節，以取得將安裝內容儲存在電腦的 Windows 登錄中的資訊。 用戶端會在安裝時使用這些安裝內容。

如需詳細資訊，請參閱如何使用群組原則遠端安裝軟體。

手動安裝

使用 CCMSetup.exe 在電腦上手動安裝用戶端軟體。 您可以在網站伺服器上 設定管理員 安裝資料夾的 Client 資料夾中找到此程式及其支援檔案。 網站會將此資料夾共用至網路，作為：

\\<site server name>\SMS_<site code>\Client\

<site server name> 是主要網站伺服器名稱。 <site code> 是用戶端指派的主要網站代碼。 若要從用戶端上的命令列執行 CCMSetup.exe，請連線到這個網路位置，然後執行命令。

重要事項

您必須擁有系統管理員權限才能存取用戶端安裝檔案。

CCMSetup.exe 會將所有必要的必要條件複製到用戶端電腦，並呼叫 Windows Installer 套件 (Client.msi) 來安裝用戶端。 您無法直接執行 Client.msi。

若要修改用戶端安裝的行為，請為 CCMSetup.exe 和 Client.msi 指定命令列選項。 在指定 Client.msi 內容之前，請確定您指定的 CCMSetup 參數開頭 / 。 例如：

CCMSetup.exe /mp:SMSMP01 /logon SMSSITECODE=AUTO FSP=SMSFP01

在此範例中，用戶端會使用下列選項進行安裝：

選項 描述
/mp:SMSMP01 此 CCMSetup 參數會指定用來下載所需用戶端安裝檔案的管理點SMSMP01。
/logon 此 CCMSetup 參數指定如果在電腦上找到現有的 設定管理員 用戶端，則應該停止安裝。
SMSSITECODE=AUTO 這個 Client.msi 屬性會指定用戶端嘗試使用 Active Directory 網域服務 等方式，找出要使用的設定管理員網站程式碼。
FSP=SMSFP01 這個 Client.msi 屬性會指定名為 SMSFP01 的後援狀態點，用來接收從用戶端電腦傳送的狀態訊息。

如需詳細資訊，請參閱 關於用戶端安裝參數和屬性。

提示

如需使用 Microsoft Entra 身分識別在新式 Windows 裝置上安裝 設定管理員 用戶端的程式，請參閱使用 Microsoft Entra ID 安裝並指派 設定管理員 用戶端進行驗證。 該程序適用於內部網路或網際網路上的用戶端。

手動安裝範例

這些範例適用於內部網路上加入 Active Directory 的用戶端。 它們使用下列值：

  • MPSERVER：託管管理點的伺服器
  • FSPSERVER： 託管後援狀態點的伺服器
  • ABC： 網站代碼
  • contoso.com：網域名稱

假設您已使用內部網路 FQDN 設定所有站台系統伺服器，並將網站資訊發佈至 Active Directory。

在用戶端電腦上從下列步驟開始：

  1. 以本機系統管理員身分登入。
  2. 將 Z 磁碟機對應到 \\MPSERVER\SMS_ABC\Client。
  3. 將命令提示字元切換至磁碟機 Z。

然後執行下列其中一個命令：

手動範例 1

CCMSetup.exe

此命令將安裝用戶端，而不使用其他參數或屬性。 使用發佈至 Active Directory 網域服務的用戶端安裝內容自動設定用戶端，包括下列設定：

  • 網站代碼：此設定需要用戶端的網路位置必須包含在您為用戶端指派設定的邊界群組中。
  • 管理點。
  • 後援狀態點。
  • 僅使用 HTTPS 進行通訊。

如需詳細資訊，請參閱 關於發佈至 Active Directory 網域服務的用戶端安裝內容。

手動範例 2

CCMSetup.exe /MP:mpserver.contoso.com /UsePKICert SMSSITECODE=ABC CCMHOSTNAME=server05.contoso.com CCMFIRSTCERT=1 FSP=server06.constoso.com

此命令會覆寫 Active Directory 網域服務提供的自動設定。 這不需要您將用戶端的網路位置包含在為用戶端指派設定的邊界群組中。 安裝會改為指定下列設定：

  • 網站代碼
  • 內部網路管理點
  • 網際網路型管理點
  • 接受來自網際網路的連線的後援狀態點
  • 使用用戶端公開金鑰基礎結構 (PKI) 憑證 (，如果有的話) 具有最長有效期間

登入指令檔安裝

設定管理員 支援使用登入指令碼來安裝 設定管理員 用戶端軟體。 使用登入指令碼中 CCMSetup.exe 的程式檔來觸發用戶端安裝。

登入指令碼安裝使用與手動安裝用戶端相同的方法。 指定 /logon CCMSsetup.exe 的安裝參數。 如果電腦上已存在任何版本的用戶端，此參數會阻止安裝用戶端。 此行為可防止每次執行登入指令碼時重新安裝用戶端。

如果您未使用參數指定/Source安裝來源，而且參數未指定/MP要從中取得安裝的管理點，則 CCMSetup.exe 搜尋Active Directory 網域服務來尋找管理點。 只有當您已擴充 設定管理員 的架構，並將網站發佈至 Active Directory 網域服務時，才會發生此行為。 或者，用戶端可以使用 DNS 來尋找管理點。

套件和程式安裝

使用 設定管理員 建立並部署套件和程式，以升級所選裝置的用戶端軟體。 設定管理員 提供套件定義檔案，以常用的值填入套件屬性。 指定其他命令列參數和屬性，以自訂用戶端安裝的行為。

注意事項

使用此方法無法升級 設定管理員 2007 用戶端。 請改用 [自動用戶端升級]，這會自動建立並部署包含最新版本用戶端的套件。 如需詳細資訊，請參閱 升級用戶端。

如需如何從舊版 設定管理員 用戶端移轉的詳細資訊，請參閱 規劃用戶端移轉策略。

為用戶端軟體建立套件和程式

使用下列程序建立 設定管理員 套件和程式，您可以將其部署到 設定管理員 用戶端電腦，以升級用戶端軟體。

  1. 在 設定管理員 主控台中，移至 [軟體程式庫] 工作區，展開 [應用程式管理]，然後選取 [套件] 節點。

  2. 在功能區 [ 常用 ] 索引標籤的 [ 建立] 群組中，選取 [ 從定義建立套件]。

  3. 在精靈的 [套件定義] 頁面上，從 [發行者] 清單中選取 [Microsoft]，然後從 [套件定義] 清單中選取 [設定管理員 用戶端升級]。

  4. 在 [Source Files] 頁面上，選取 [一律從來源資料夾取得檔案]。

  5. 在 [來源資料夾] 頁面上，選取 [網路路徑] ([UNC 名稱]) 。 然後輸入伺服器的網路路徑和包含用戶端安裝檔案的共用。

    注意事項

    執行 設定管理員 部署的電腦必須具有指定網路資料夾的存取權限。 否則，用戶端安裝會失敗。

    若要變更任何用戶端安裝屬性，請在 設定管理員 代理程式無訊息升級屬性程式對話方塊的 [一般] 索引標籤上修改 CCMSetup.exe 命令列。 預設安裝屬性為 /noservice SMSSITECODE=AUTO。

  6. 將套件散發到您要託管用戶端升級套件的所有發佈點。 然後將套件部署到包含您要升級之用戶端的裝置集合。

Intune MDM 管理的 Windows 裝置

將 設定管理員 用戶端部署到已註冊 Microsoft Intune 的裝置。

此程序適用於連線到內部網路的傳統用戶端。 它使用傳統的用戶端驗證方法。 若要確保裝置在安裝用戶端之後仍處於受管理狀態，它必須位於內部網路和 設定管理員 網站邊界內。

如需使用 Microsoft Entra 身分識別在 Windows 裝置上安裝 設定管理員 用戶端的程式，請參閱使用 Microsoft Entra ID 安裝並指派 設定管理員 用戶端進行驗證。

安裝 設定管理員 用戶端之後，裝置不會從 Intune 取消註冊。 他們可以同時使用 設定管理員 用戶端和 MDM 註冊。 如需詳細資訊，請參閱 共同管理概觀。

注意事項

您可以使用其他用戶端安裝方法，在受 Intune 管理的裝置上安裝 設定管理員 用戶端。 例如，如果受 Intune 管理的裝置位於內部網路上，且已加入 Active Directory 網域，您可以使用群組原則來安裝 設定管理員 用戶端。

使用 Intune 安裝 設定管理員 用戶端

  1. 在 Intune 中，新增包含 設定管理員 用戶端安裝檔案 CCMSetup.msi的 Windows 企業營運應用程式。 您可以在網站伺服器上 設定管理員 安裝目錄的資料夾中找到\bin\i386此檔案。

  2. 在 Intune 軟體發行程式中，輸入命令列參數。 例如，對內部網路上的傳統用戶端使用這個命令：

    CCMSETUPCMD="/MP:<FQDN of management point> SMSMP=<FQDN of management point> SMSSITECODE=<your site code> DNSSUFFIX=<DNS suffix of management point>"

    注意事項

    如需搭配使用 Microsoft Entra 驗證之 Windows 用戶端使用的命令範例，請參閱 如何準備網際網路型裝置以進行共同管理。

  3. 將應用程式指派給一組已註冊的 Windows 電腦。

OS 映像安裝

在您用來建立作業系統映像的參照電腦上預先安裝 設定管理員 用戶端。

重要事項

使用 設定管理員 工作順序部署作業系統映像時，[準備 ConfigMgr 用戶端] 步驟會完全移除 設定管理員 用戶端。

準備用戶端電腦進行映像處理

  1. 在參照電腦上手動安裝 設定管理員 用戶端軟體。 如需詳細資訊，請參閱 如何手動安裝 設定管理員 用戶端。

    重要事項

    請勿在 CCMSetup.exe 命令列屬性中為用戶端指定設定管理員網站程式碼。

  2. 在命令提示字元後，輸入 net stop ccmexec 以停止參照電腦上的 SMS 代理主機服務 (CcmExec.exe) 。

  3. 從參照電腦上的 Windows 資料夾中刪除 SMSCFG.INI 檔案。

  4. 從本機電腦的 SMS 憑證存放區移除憑證。

  5. 移除儲存在參照電腦上本機電腦存放區中的任何其他有效用戶端驗證憑證。 例如，如果您使用 PKI 憑證，請在對電腦進行映像之前，先移除電腦與使用者的個人存放區中的憑證。

  6. 如果用戶端安裝在與參照電腦階層不同的 設定管理員 階層中，請從參照電腦移除受信任的根金鑰。

    注意事項

    如果用戶端無法查詢 Active Directory 網域服務來尋找管理點，則會使用受信任的根金鑰來判斷受信任的管理點。 如果您將所有鏡像用戶端部署在與主電腦相同的階層中，請保留信任的根金鑰。

    如果您將用戶端部署在不同的階層中，請移除信任的根金鑰。 同時使用新的受信任根金鑰佈建這些用戶端。 如需詳細資訊，請參閱 規劃信任的根金鑰。

  7. 使用您的影像處理軟體來擷取參照電腦的影像。

  8. 將映像部署到目的地電腦。

工作群組電腦

設定管理員 支援工作群組中電腦的用戶端安裝。 使用 如何手動安裝 設定管理員 用戶端中所指定的方法，在工作群組電腦上安裝用戶端。

必要條件

  • 在每個工作群組電腦上手動安裝用戶端。 在安裝期間，互動式使用者必須具有本機系統管理員權限。

  • 若要存取 設定管理員 站台伺服器網域中的資源，請設定網站的網路存取帳戶。 在軟體發佈網站元件中指定此帳戶。 如需詳細資訊，請參閱 網站元件。

限制

  • 工作群組用戶端無法從 Active Directory 網域服務中找到管理點。 相反地，它們會使用 DNS 或其他管理點。

  • 不支援全球漫遊。 工作群組用戶端無法查詢 Active Directory 網域服務以取得網站資訊。

  • Active Directory 探索方法無法探索工作群組中的電腦。

  • 您無法將軟體部署到工作群組電腦的使用者。

  • 您無法使用用戶端推送安裝方法，在工作群組電腦上安裝用戶端。

  • 工作群組用戶端無法使用 Kerberos 進行驗證，而且可能需要手動核准。

  • 您無法將工作群組用戶端設定為發佈點。 設定管理員 要求發佈點電腦必須是網域的成員。

在工作群組電腦上安裝用戶端

檢查必要條件，然後遵循如何手動安裝 設定管理員 用戶端一節中的指示。

工作群組範例 1

此範例會執行下列動作：

  • 安裝用於內部網路用戶端管理的用戶端
  • 指定網站代碼
  • 指定 DNS 尾碼以尋找管理點

CCMSetup.exe SMSSITECODE=ABC DNSSUFFIX=constoso.com

工作群組範例 2

此範例要求用戶端位於邊界群組中設定的網路位置。 如果不符合此需求，自動網站指派將無法運作。 該命令包括伺服器 FSPSERVER 上的後援狀態點。 此屬性有助於追蹤用戶端部署並識別任何用戶端通訊問題。

CCMSetup.exe FSP=fspserver.constoso.com

網際網路型用戶端管理

注意事項

本節不適用於使用 雲端管理閘道的用戶端。 若要使用雲端管理閘道安裝以網際網路為基礎的用戶端，請參閱使用 Microsoft Entra ID 安裝和指派 設定管理員 用戶端進行驗證。

當 設定管理員 站台支援對有時在內部網路或有時在網際網路上的用戶端進行網際網路型用戶端管理時，在內部網路上安裝用戶端時，您有兩個選項：

  • 安裝用戶端時，請包含 Client.msi 屬性 CCMHOSTNAME=<internet FQDN of the internet-based management point> ，例如，使用手動安裝或用戶端推送。 使用此方法時，請直接將用戶端指派給網站。 您無法使用自動網站指派。 請參閱如何手動安裝 設定管理員 用戶端一節，其中提供此設定方法的範例。

  • 安裝用於內部網路用戶端管理的用戶端，然後將網際網路型用戶端管理點指派給用戶端。 使用控制台 [設定管理員] 頁面上的用戶端內容，或使用指令碼來變更管理點。 當您使用這個方法時，您可以使用自動用戶端指派。 如需詳細資訊，請參閱如何在 用戶端安裝之後設定用戶端以進行網際網路型用戶端管理 一節。

若要安裝網際網路上的用戶端，請選擇下列其中一個支援方法：

  • 提供機制，讓這些用戶端使用 VPN 暫時連線到內部網路。 然後，使用任何適當的用戶端安裝方法來安裝用戶端。

  • 使用獨立於 設定管理員 的安裝方法。 例如，將用戶端安裝來源檔案封裝到卸除式媒體，然後將媒體傳送給使用者。 用戶端安裝來源檔案位於 設定管理員 站台伺服器的資料夾中<installation path>\Client。 在媒體上，包含可手動複製用戶端資料夾的指令碼。 從這個資料夾中，使用 CCMSetup.exe 和所有適當的 CCMSetup 命令列屬性來安裝用戶端。

注意事項

設定管理員 不支援直接從以網際網路為基礎的管理點或以以網際網路為基礎的軟體更新點安裝用戶端。

透過網際網路管理的用戶端必須與以網際網路為基礎的網站系統通訊。 安裝用戶端之前，請確定這些用戶端也有公開金鑰基礎結構 (PKI) 憑證。 獨立於 設定管理員 安裝這些憑證。 如需詳細資訊，請參閱 PKI 憑證需求。

指定 CCMSetup 命令列屬性，在網際網路上安裝用戶端

  1. 請遵循如何手動安裝 設定管理員 用戶端一節中的指示進行。 一律包含下列選項：

    • CCMSetup 命令列參數 /source:<local path of the copied Client folder>

    • CCMSetup 命令列參數 /UsePKICert

    • Client.msi 屬性 CCMHOSTNAME=<FQDN of internet-based management point>

    • Client.msi 屬性 SMSSIGNCERT=<local path of exported site server signing certificate>

    • Client.msi 屬性 SMSSITECODE=<site code of internet-based management point>

    注意事項

    如果網站有多個網際網路型管理點，您為屬性指定 CCMHOSTNAME 哪一個並不重要。 當 設定管理員 用戶端連線到指定的網際網路管理點時，它會傳送網站中可用網際網路管理點的清單給用戶端。 用戶端會從清單中隨機選取一個。

  2. 如果您不希望用戶端檢查 CRL) (憑證撤銷清單，請指定 CCMSetup 命令列參數 /NoCRLCheck。

  3. 如果您使用的是以網際網路為基礎的遞補狀態點，請指定 Client.msi 屬性 FSP=<internet FQDN of the internet-based fallback status point>。

  4. 如果您要安裝僅限網際網路用戶端管理的用戶端，請指定 Client.msi 屬性 CCMALWAYSINF=1。

  5. 決定是否必須指定其他 CCMSetup 命令列參數。 例如，如果用戶端具有多個有效的 PKI 憑證，您可能需要指定憑證選取準則。 如需可用屬性的清單，請參閱 關於用戶端安裝參數和屬性。

網際網路型範例

CCMSetup.exe /source: D:\Clients /UsePKICert CCMHOSTNAME=server1.contoso.com SMSSIGNCERT=siteserver.cer SMSSITECODE=ABC FSP=server2.contoso.com CCMALWAYSINF=1 CCMFIRSTCERT=1

此範例會以下列行為安裝用戶端：

  • 使用磁碟機 D 上資料夾中的來源檔案。
  • 使用用戶端 PKI 憑證。
  • 選取有效期間最長的憑證。
  • 僅限網際網路用戶端管理。
  • 指派用戶端使用名為 SERVER1 的網際網路管理點。
  • 指派 contoso.com 網域中的網際網路後援狀態點。
  • 將用戶端指派給 ABC 網站。

若要在用戶端安裝之後為以網際網路為基礎的用戶端管理設定用戶端

若要在安裝用戶端之後指派網際網路型管理點，請使用下列其中一個程序。 第一個需要手動配置，適用於少數客戶端。 第二個更適合設定多個用戶端。

從 [設定管理員控制台] 安裝用戶端之後，為用戶端設定網際網路型用戶端管理 設定管理員

  1. 在用戶端上開啟 設定管理員 控制台。

  2. 在 [ 網路 ] 索引標籤上，輸入網際網路型管理點的完整網域名稱 (FQDN) 作為 網際網路 FQDN。

    注意事項

    只有當用戶端具有用戶端 PKI 憑證時，才能使用 [ 網路 ] 索引標籤。

  3. 如果用戶端使用 Proxy 伺服器存取網際網路，請輸入 Proxy 伺服器設定。

使用指令碼在用戶端安裝之後，為用戶端進行網際網路型用戶端管理

PowerShell

  1. 開啟 PowerShell 內嵌編輯器，例如 PowerShell ISE 或 Visual Studio Code。 您也可以使用文字編輯器，例如記事本。

  2. 將下列程式碼行複製並插入編輯器。 'mp.contoso.com'取代為網際網路管理點的網際網路 FQDN。

    $newInternetBasedManagementPointFQDN = 'mp.contoso.com'
$client = New-Object -ComObject Microsoft.SMS.Client
$client.SetInternetManagementPointFQDN($newInternetBasedManagementPointFQDN)
Restart-Service CcmExec
$client.GetInternetManagementPointFQDN()

    注意事項

    最後一行僅用於驗證新的網際網路管理點值。

    若要刪除指定的網際網路管理點，請移除引號內的伺服器 FQDN 值。 線條會變成 $newInternetBasedManagementPointFQDN = ''。

  3. 以 .ps1 副檔名儲存檔案。

  4. 在用戶端電腦上以提升權限執行指令碼。 請使用下列其中一種方法：

    • 使用套件和程式，將檔案部署到現有的 設定管理員 用戶端。

    • 按兩下 [檔案總管] 中的指令碼檔案，在現有的 設定管理員 用戶端上本機執行檔案檔案總管。

您可能需要重新啟動用戶端，變更才會生效。

佈建用戶端安裝屬性

為群組原則和軟體更新型用戶端安裝佈建用戶端安裝內容。 使用 Windows 群組原則，以 設定管理員 用戶端安裝內容佈建電腦。 這些屬性會儲存在電腦的登錄中。 用戶端會在安裝時讀取它們。 通常不需要此程序，但某些用戶端安裝案例可能需要此程序，例如：

  • 您使用的是群組原則設定或軟體更新型用戶端安裝方法。 您尚未擴充 設定管理員 的 Active Directory 架構。

  • 您想要覆寫特定電腦上的用戶端安裝內容。

注意事項

如果在 CCMSetup.exe 命令列上提供任何安裝內容，則不會使用電腦上佈建的安裝內容。

設定管理員 安裝媒體上提供名為的群組原則管理範本ConfigMgrInstallation.adm。 使用此範本以安裝屬性佈建用戶端電腦。

提示

根據預設， ConfigMgrInstallation.adm 不支援大於 255 個字元的字串。 此設定可能會影響新增多個參數或具有長值的參數，例如 CCMCERTISSUERS。

若要解決此問題：

  1. 在記事本中編輯 ConfigMgrInstallation.adm 。
  2. 針對屬性 VALUENAME SetupParameters，請將值變更 MAXLEN 為較大的整數。 例如，MAXLEN 511。

使用群組原則物件來設定和指派用戶端安裝內容

  1. 使用 Windows 群組原則 物件編輯器等編輯器，將 ConfigMgrInstallation.adm 系統管理範本匯入新的或現有的群組原則物件 (GPO) 。 您可以在 設定管理員 安裝媒體的資料夾中找到TOOLS\ConfigMgrADMTemplates此檔案。

  2. 開啟匯入設定的屬性 [設定用戶端部署設定]。

  3. 選取 已啟用。

  4. 在 [CCMSetup ] 方塊中，輸入必要的 CCMSetup 命令列屬性。 如需所有 CCMSetup 命令列屬性的清單及其使用範例，請參閱 關於用戶端安裝參數和屬性。

  5. 將 GPO 指派給您想要使用 設定管理員 用戶端安裝內容佈建的電腦。

  • 上次更新時間：