Vor kurzem bin ich bei der Installation eines neuen CMG über ein Problem beim Verbindungsaufbau eines neuen Site System Server mit installierter CMG Connection Point Rolle und dem zugehörigen CMG gestoßen. Das CMG wurde laut Konsole erfolgreich installiert, allerdings blieb der Connection Status des Connection Point Servers auch nach einiger Wartezeit mit Status "Getrennt" stehen. 

Ein erster Blick in das für die Verbindung zuständige Log File (SMS_CLOUD_PROXYCONNECTOR.log) lieferte den Hinweis, dass das entsprechende Zertifikat der Rolle nicht vorhanden war.

Seit der Version 2107 bietet der Microsoft Endpoint Configuration Manager die Möglichkeit, Cloud Management Gateways die über den "Classic" Cloud Service erstellt wurden, in eine VM Skalierungsgruppe zu migrieren. Mit der Version 2203 wurde dann der offizielle Support für die Bereitstellung via classic service entfernt. Da viele Kunden nach wie vor jedoch mit älteren CMGs arbeiten und die Migration nur unter bestimmten Voraussetzungen möglich ist, möchte ich heute auf die Frage eingehen wie man ein bestehendes CMG am besten migrieren kann und was die Migration für bestehende Clients bedeutet, die aktuell nur über das Internet mit der MEMCM Umgebung kommunizieren.

For an english version please scroll down... ;-)

Durch den Anruf eines alten Bekannten und weil dieses Thema offensichtlich genau den Nerv der heutigen Zeit trifft, möchte ich meine kleine Exkursion in die Welt der CSPs fortsetzen und noch ein bisschen tiefer gehen. Bei dem besagten Anruf bin ich gefragt worden, ob es nicht eine Möglichkeit gibt, CSPs auch ohne Intune und Configuration Profiles nutzen bzw. setzen zu können. Schließlich sind diese ja Bestandteil von Windows 10/11 und bieten durchaus auch Abseits von Intune ein gewisses Potential.

Also gilt zunächst zu klären ob diese wirklich nur auf Intune beschränkt sind, was mit einem eindeutigen "Nein" beantwortet werden kann. Wie bereits in meinem ersten CSP Artikel beschrieben, handelt es sich hierbei lediglich um eine Schnittstelle die auch von anderen MDM Plattformen wie z.B. MobileIron (welches seit Dezember 2020 zur Ivanti Familie gehört) genutzt werden kann.

In meinem heutigen Artikel möchte ich zeigen, wie das Ansprechen und Verwenden von CSPs via WMI und PowerShell lokal am Client betrieben werden kann.

Am heutigen 12.05.2022 wurde die neue Version 3.1 unserer NWC Packaging PowerBench veröffentlicht. Es handelt sich um einen Minor-Release, sodass sich die Änderungen gegenüber der Vorversion in Grenzen halten. Wir sind uns dennoch sicher, dass die Neuerungen bei Kunden und Interessenten gut ankommen und nützliche Anwendungsfälle adressieren. Dieser Blog-Artikel stellt die neuen Features vor. 

Mit der Veröffentlichung von DSM 2022.1 wurde auch der neue Microsoft Intune Konnektor veröffentlicht. Dieser Konnektor, welcher mittels Azure App Registration über die Graph API mit Intune kommuniziert, ermöglicht unter anderem einen direkten Upload des DSM Agents zur Verteilung via Intune.

Prinzipiell bietet dieser Konnektor natürlich vor allem für hybride Client Management Ansätze ein sehr großes Potenzial. Da sich der Funktionsumfang der Seitens Ivanti zum aktuellen Zeitpunkt mitgeliefert wird jedoch noch in Grenzen hält, möchte ich heute zeigen wie Sie sich mit wenig Aufwand und DSM Bordmitteln auch jetzt bereits interessante Infos aus der Cloud in Ihre DSM Umgebung syncen können.

Aber was wäre denn interessant zu wissen? Ob es sich bei einem Client um ein AAD-Only oder ein Hybrid-Joined Gerät handelt? Oder vielleicht die Geräte-ID aus Intune? Kurz gesagt, eine Art "DSM Basis Inventarisierung" für Intune wäre doch toll.

Wie bereits in meinem letzten Blog zum Thema Configuration Service Provider (CSP) angeschnitten, verwenden Microsoft Intune Custom Configuration Profiles sogenannte OMA-URI-Einstellungen. OMA-URI steht in diesem Fall für "Open Mobile Alliance Uniform Resource Identifier" und könnte vereinfacht gesagt auch als Pfad zu einer bestimmten CSP Konfiguration oder Einstellung bezeichnet werden.

Heute möchte ich etwas genauer auf den Aufbau und die Verwendung von OMA-URI eingehen. Sehen wir uns hierfür zunächst einmal den Kommunikationsweg an.

Wie ebenfalls im oben verlinkten Artikel erwähnt, verwendet Microsoft für die Kommunikation "SyncML" und "OMA DM". Die Intune Policy wird hierbei in einer Art XML Format via OMA DM auf den Client übertragen und zeigt dort auf einen CSP, der wiederum mit einer Datei oder einem RegKey verbunden ist. Die folgende Grafik aus der entsprechenden Microsoft Referenz (https://docs.microsoft.com/de-de/troubleshoot/mem/intune/deploy-oma-uris-to-target-csp-via-intune) soll dies veranschaulichen. 

 Nach mehreren erfolgreichen Jahren im Home Office und der Tatsache, dass uns dieses nicht mehr komplett verlassen wird, kommen auf viele Kunden ganz neue Herausforderungen bzgl. der Verwaltung ihrer Clients zu. Da ich diesbezüglich sehr viele Fragen von Kunden auch abseits der klassischen Softwareverteilung erhalte, möchte ich in diesem Artikel speziell auf die Frage nach GPOs in einer Cloud-Welt und wie man seine bestehenden On-Premises GPOs am sinnvollsten Richtung Microsoft Intune migrieren kann eingehen.

Doch sehen wir uns zunächst noch einmal etwas genauer an welche Vor- und Nachteile beide Welten mit sich bringen.

Vor kurzem wurden wir durch Microsoft durch eine neue Funktion innerhalb von Windows 10 aufs Neue wieder überrascht, welche auch bei älteren Builds nachträglich verfügbar ist, aber primär für die Aktuellen gilt wie 1909, 2004, 20H2 und 21H1. Dem Ein oder Anderen wird es bereits selbst aufgefallen sein, dass in der Taskleiste auf einmal ein neues Symbol aufgetaucht ist. Dieses zeigt nicht nur den aktuellen Wetterbericht an, sondern präsentiert auch Nachrichten und die Verkehrsmeldungen.

​Nach dem üblichen internen Aufschrei über diese mehr oder weniger sinnvolle Funktion im Unternehmensumfeld, kamen auch bereits die ersten Anfragen aus dem Kundenumfeld auf uns zu wie man dieses Feature wieder los wird und am Besten gleich ganz deaktiviert. Zeit sich also damit ein wenig intensiver zu beschäftigen, welche Möglichkeiten wir hier den Kunden bieten können.

Die gute Nachricht vorab ist, dass man die Funktion über verschiedene Methoden auch komplett deaktivieren kann.

Methode 1: die Registrierung

Gespeichert werden die Einstellungen in dem Registrierungsschlüssel

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Feeds

Über den Wert „ShellFeedsTaskbarViewMode" kann die Anzeige wie folgt gesteuert werden:

0 = Wetter Icon und zugehöriger Text werden angezeigt

1 = Nur das Wetter-Icon wird angezeigt

2 = Die Wetteranzeige ist komplett deaktiviert

Des Weiteren gibt es eine zusätzliche MouseOver Funktion, die über den Wert „ShellFeedsTaskbarOpenOnHover" beeinflusst wird:

0 = Mouse Over ist deaktiviert

1 = Mouse Over ist aktiviert

Methode 2: Gruppenrichtlinien

Für den Einsatz im Unternehmen bietet sich diese sicherlich eher an, als die Verteilung von Registrierungsschlüsseln über zb. Eine Softwareverteilung da dieser Weg meistens der schnellere und dynamischere ist.

Die zugehörige Richtlinie ist unter folgendem Pfad zu finden:

Computerkonfiguration -> Administrative Vorlagen -> Windows Komponenten -> Neuigkeiten und interessante Themen

Hier gibt es leider nur die folgenden Einstellungen:

Aktiviert und Nicht konfiguriert = Wetter und News werden angezeigt

Deaktiviert = Wetter und News werden nicht angezeigt

Soviel zu den üblichen Möglichkeiten diese Funktion zu aktivieren bzw. deaktivieren, hat man sich dazu entschieden dem Anwender dieses Feature weiterhin zu lassen, existieren noch weitere Möglichkeiten, um dies etwas komfortabler für den Endanwender und das Unternehmen zu gestalten.

Wetterkachel

In der Wetterkachel kann der Endanwender auf die 3-Punkte klicken und so die Wetter-Kachel ausblenden, oder einen eigenen Standort eingeben, falls der automatisch ermittelte nicht dem entspricht, was man angezeigt bekommen möchte.

Neuigkeitenkachel

Einige der Kacheln kann der Endanwender in den Neuigkeiten und interessante Themen auch ausblenden. Über die 3-Punkte wird diese Option wie gewohnt angeboten.

Möchte man die einzelnen Kacheln wieder aktivieren, so geht man auf die 3-Punkte rechts oben -> „Sprache und Inhalt" und wird auf die persönliche MSN-Einstellungsseite geleitet. Hier kann die Funktion wieder aktiviert werden.

Wichtig: Damit es funktioniert, muss das Microsoft-Konto unter Windows 10 mit dem Konto auf der Webseite übereinstimmen. Ansonsten werden die Einstellungen nur im Konto vorgenommen, das für die Anmeldung auf der MSN Webseite genutzt wird.

Nachrichteninhalte

Über die Funktion „Verwalten", oder auch im 3-Punkte Menü „Sprache und Inhalt" kann ausgewählt werden, welche Nachrichten, aus welchen Kategorien angezeigt werden sollen.

Die Einstellungen werden dann direkt auf der MSN-Webseite vorgenommen.

msn.com/de-de/feed

msn.com/de-de/feed/settings

Hier bleibt zu hoffen das mit der Zeit noch weitere Funktionen und Einstellungen folgen werden und diese auch den Weg in die Registrierung oder gar die Gruppenrichtlinien finden damit wir sie auch an zentraler Stelle pflegen können.

Mit dem am 29.04.2021 erschienenen Service Update 1 für Ivanti DSM 2020.2 wurde das neues Feature "DSM Remote Control 2021" freigegeben und weitere Fehlerbehebungen vorgenommen.
Eine ausführliche Aufstellung aller behobenen Probleme finden Sie in den Release-Notes auf Ivanti.com.

Leider hat sich ein neues Problem eingeschlichen, auf das ich näher eingehen möchte.

Seit Version 2.0 erlaubt die Packaging PowerBench, Pakete direkt aus dem PPB-GUI heraus in SCCM zu registrieren. Damit entfällt die Notwendigkeit, nach der Erstellung eines Pakets, dies manuell in SCCM als Application anzulegen und sämtliche Eigenschaften manuell zu konfigurieren. Wenn Sie Ihre SCCM-Installation aber auf Version 2103 aktualisieren, erhalten Sie beim Verbindungstest auf die SCCM-Infrastruktur einen Fehler. 

Dieser Blog-Artikel beschreibt die Ursache und den verfügbaren Workaround.