Rul service-agenten ud på mange Windows-servere

Installér service-agenten på mange Windows-servere med en GPO, og afprøv den på én server først.

Det skal I bruge

Adgang til at oprette og linke en GPO i jeres Active Directory-domæne.
Et share, som servernes computerkonti kan læse.
Administratoradgang til appliancen.

Rul ud med en GPO

Åbn Servere › Tilføj server › Med service-agent, og opret en særskilt kode til udrulningen under Installationskoder.
Åbn Servere › Tilføj server › Flere servere med GPO. Vælg testserverens OU, hvis AD-adgangen er sat op, og klik på Hent GPO-pakke.
Læg sslbrain-agent.msi på sharet, fx \\fil01\software\sslbrain.
Gem linjen fra Startscript med installationskoden som sslbrain-agent.cmd. Ret kun MSI-stien til sharet. Kommandoen skal beholde installationskoden og adresserne fra appliancen:
```
sc query sslbrainagent >nul 2>&1 || msiexec /i \\fil01\software\sslbrain\sslbrain-agent.msi /qn INSTALLCODE=<kode> DESTINATIONS="https://<appliance>,cloud"
```
Opret en GPO i Group Policy Management. Tilføj scriptet under Computer Configuration › Policies › Windows Settings › Scripts › Startup, og link GPO’en til en OU med én testserver.
Genstart testserveren, og kontrollér resultatet nedenfor.
Link først derefter GPO’en til de øvrige servere. Luk installationskoden, når udrulningen er færdig.

Kopiér adresselisten fra appliancen. cloud står kun med, når forbindelsen via sslbrain Cloud (EU), E2E er tilladt. /qn installerer uden vinduer; sc query springer servere med tjenesten over.

Kontrollér, at det virker

På testserveren viser Get-Service sslbrainagent status Running. Efter et par minutter står serveren under Servere › Alle servere, og Sidst meldt ind opdateres på serverens side. Status Forbundet · Ikke automatiseret betyder, at service-agenten er forbundet, men at der mangler en installationsplan.

Næste skridt

Gennemgå serverne og opret installationsplaner til tjenesterne.

Hvis det fejler

Tjenesten findes ikke → kør gpresult /r /scope computer på testserveren, og kontrollér, at GPO’en er anvendt.
MSI-filen kan ikke læses → giv servernes computerkonti, fx Domain Computers, læseadgang til sharet.
Koden er lukket eller udløbet → opret en kode under Installationskoder, og kopiér kommandoen til opstartsscriptet igen.
Serveren venter på godkendelse → kontrollér serverens nøgle.
Tjenesten kører, men serveren dukker ikke op → følg Service-agenten melder sig ikke.
Windows Installer er optaget → lad den anden installation køre færdig; opstartsscriptet prøver igen ved næste opstart.
I bruger SCCM eller Intune → brug MSI-kommandoen nedenfor i jeres eksisterende udrulning.

Servere i et Windows-domæne

Brug siden til servere i en OU, som skal have service-agenten ved opstart. Til én server bruges Windows-servere. AD-adgang i appliancen giver overblik over forventede, forbundne og manglende servere; den er ikke nødvendig for selve GPO’en.

Installationskoden til udrulningen

Alle, der kan læse opstartsscriptet, kan læse koden. Brug derfor en særskilt kode, og angiv eventuelt Sidste dag. Luk koden under Installationskoder, når I er færdige. Allerede forbundne servere kører videre.

MSI-filen på sharet bruges til installation. Efter tilslutning kan service-agenten opdateres fra appliancen. GPO’en opretter ingen installationsplaner.

MSI-kommando til SCCM og Intune

Brug MSI-filen og kommandoen fra samme side. Kør i systemkontekst med 0 og 3010 som succeskoder:

msiexec /i sslbrain-agent.msi /qn INSTALLCODE=<kode> DESTINATIONS="https://<appliance>,cloud"

Lad værktøjet opdage, at sslbrainagent allerede er installeret, så det ikke geninstallerer MSI-filen over en version, appliancen har opdateret. Koden kan stå i kommandolinjen og MSI-loggen; luk den efter udrulningen. En GPO-softwareinstallation kan ikke give installationskoden med; brug opstartsscriptet.

MSI-egenskaber

Egenskab	Betydning
`INSTALLCODE`, `CODE`	Installationskoden. Brug egenskaben fra appliancens kommando
`SERVER`	Appliancens adresse ved første kontakt. Uden kode venter serveren på godkendelse
`DESTINATIONS`	Kommasepareret adresseliste i prioriteret rækkefølge; `cloud` betyder via sslbrain Cloud. Går forud for `SERVER`
`CLOUD`	`deny` spærrer lokalt for sslbrain Cloud; `allow` fjerner spærringen
`CODEFILE`	Fil med installationskoden, som kun Administrators og SYSTEM må læse
`ALLOW_CUSTOM_AGENTS_FROM`	`LOCAL`, `APPLIANCE` eller `APPLIANCE,LOCAL` tillader egne integrationer fra de valgte kilder
`TRUSTEDKEYS_CUSTOM`	Fingeraftryk for nøgler til egne integrationer. Se godkendelse af egne integrationer
`SCRIPTPOLICY`	Styrer signerede integrationer. Standard `15`; værdier fra GPO går forud. Behøver ikke ændres for egne integrationer, når `ALLOW_CUSTOM_AGENTS_FROM` bruges
`LOGLEVEL`	Logniveau; standard `info`
`CHECKININTERVAL`	Sekunder mellem indmeldinger uden installationskode; standard `900`
`STARTUPDELAYMIN`, `STARTUPDELAYMAX`	Ventetid før første indmelding uden installationskode; standard `900` og `3600` sekunder
`IGNORETLS`	`1` springer certifikatkontrollen over uden installationskode. Usikkert
`NOPHONEHOME`	`1` slår al kontakt fra. Kun til test

Brug Windows ARM64-udgaven under Andre udgaver til ARM64-servere. Se forbindelsesindstillinger for adresselistens betydning.

Indstillinger i registreringsdatabasen

Under HKLM\SOFTWARE\sslbrain står tekstværdierne ServerURL, Destinations, CloudDeny, IgnoreTLS, NoPhoneHome, ScriptPolicy, CheckInInterval, StartupDelayMin, StartupDelayMax, LogLevel, ToolsPath og AgentId.

Værdier under HKLM\SOFTWARE\Policies\sslbrain går forud: ScriptPolicy, NoPhoneHome, IgnoreTLS, CloudDeny, CheckInInterval, ServerURL og TrustSignedBefore. Koden og nøglerne under HKLM\SOFTWARE\sslbrain\Credentials er krypteret med DPAPI og kan kun læses af SYSTEM og Administrators. Koden slettes efter tilslutning. Genstart tjenesten efter ændringer med Restart-Service sslbrainagent.