Rulla ut serviceagenten på många Windows-servrar

Installera serviceagenten på många Windows-servrar med en GPO och prova på en server först.

Det här behöver ni

Behörighet att skapa och länka en GPO i er Active Directory-domän.
En nätverksresurs som servrarnas datorkonton kan läsa.
Administratörsåtkomst till appliancen.

Rulla ut med en GPO

Öppna Servrar › Lägg till server › Med serviceagent och skapa en separat kod för utrullningen under Installationskoder.
Öppna Servrar › Lägg till server › Flera servrar med GPO. Välj testserverns OU om AD-åtkomst är konfigurerad och klicka på Hämta GPO-paket.
Lägg sslbrain-agent.msi på nätverksresursen, till exempel \\fil01\software\sslbrain.
Spara raden från Startskript med installationskoden som sslbrain-agent.cmd. Ändra bara MSI-sökvägen till nätverksresursen. Kommandot ska behålla installationskoden och adresserna från appliancen:
```
sc query sslbrainagent >nul 2>&1 || msiexec /i \\fil01\software\sslbrain\sslbrain-agent.msi /qn INSTALLCODE=<kod> DESTINATIONS="https://<appliance>,cloud"
```
Skapa en GPO i Group Policy Management. Lägg till skriptet under Computer Configuration › Policies › Windows Settings › Scripts › Startup och länka GPO:n till en OU med en testserver.
Starta om testservern och kontrollera resultatet nedan.
Länka först därefter GPO:n till övriga servrar. Stäng installationskoden när utrullningen är klar.

Kopiera adresslistan från appliancen. cloud finns bara med när anslutning via sslbrain Cloud (EU), E2E är tillåten. /qn installerar utan fönster; sc query hoppar över servrar där tjänsten finns.

Kontrollera att det fungerar

På testservern visar Get-Service sslbrainagent status Running. Efter ett par minuter finns servern under Servrar › Alla servrar och Senast inrapporterad uppdateras på serverns sida. Status Ansluten · Inte automatiserad betyder att serviceagenten är ansluten men att en installationsplan saknas.

Nästa steg

Gå igenom servrarna och skapa installationsplaner för tjänsterna.

Om det inte fungerar

Tjänsten saknas → kör gpresult /r /scope computer på testservern och kontrollera att GPO:n har tillämpats.
MSI-filen kan inte läsas → ge servrarnas datorkonton, till exempel Domain Computers, läsrättighet till nätverksresursen.
Koden är stängd eller har gått ut → skapa en kod under Installationskoder och kopiera kommandot till startskriptet igen.
Servern väntar på godkännande → kontrollera serverns nyckel.
Tjänsten körs men servern dyker inte upp → följ Serviceagenten rapporterar inte in.
Windows Installer är upptaget → låt den andra installationen bli klar; startskriptet försöker igen vid nästa start.
Ni använder SCCM eller Intune → använd MSI-kommandot nedan i er befintliga utrullning.

Servrar i en Windows-domän

Använd sidan för servrar i en OU som ska få serviceagenten vid start. För en server använder ni Windows-servrar. AD-åtkomst i appliancen ger en överblick över förväntade, anslutna och saknade servrar; den behövs inte för själva GPO:n.

Installationskoden för utrullningen

Alla som kan läsa startskriptet kan läsa koden. Använd därför en separat kod och ange vid behov Sista dag. Stäng koden under Installationskoder när ni är klara. Redan anslutna servrar fortsätter fungera.

MSI-filen på nätverksresursen används för installation. Efter anslutning kan serviceagenten uppdateras från appliancen. GPO:n skapar inga installationsplaner.

MSI-kommando för SCCM och Intune

Använd MSI-filen och kommandot från samma sida. Kör i systemkontext med 0 och 3010 som lyckade returkoder:

msiexec /i sslbrain-agent.msi /qn INSTALLCODE=<kod> DESTINATIONS="https://<appliance>,cloud"

Låt verktyget identifiera att sslbrainagent redan är installerad så att det inte installerar om MSI-filen över en version som appliancen har uppdaterat. Koden kan synas på kommandoraden och i MSI-loggen; stäng den efter utrullningen. En GPO-programvaruinstallation kan inte skicka med installationskoden; använd startskriptet.

MSI-egenskaper

Egenskap	Betydelse
`INSTALLCODE`, `CODE`	Installationskoden. Använd egenskapen från appliancens kommando
`SERVER`	Appliancens adress vid första kontakten. Utan kod väntar servern på godkännande
`DESTINATIONS`	Kommaseparerad adresslista i prioritetsordning; `cloud` betyder via sslbrain Cloud. Har företräde framför `SERVER`
`CLOUD`	`deny` spärrar sslbrain Cloud lokalt; `allow` tar bort spärren
`CODEFILE`	Fil med installationskoden som bara Administrators och SYSTEM får läsa
`ALLOW_CUSTOM_AGENTS_FROM`	`LOCAL`, `APPLIANCE` eller `APPLIANCE,LOCAL` tillåter egna integrationer från de valda källorna
`TRUSTEDKEYS_CUSTOM`	Fingeravtryck för nycklar till egna integrationer. Se godkännande av egna integrationer
`SCRIPTPOLICY`	Styr signerade integrationer. Standard `15`; värden från GPO har företräde. Behöver inte ändras för egna integrationer när `ALLOW_CUSTOM_AGENTS_FROM` används
`LOGLEVEL`	Loggnivå; standard `info`
`CHECKININTERVAL`	Sekunder mellan inrapporteringar utan installationskod; standard `900`
`STARTUPDELAYMIN`, `STARTUPDELAYMAX`	Väntetid före första inrapporteringen utan installationskod; standard `900` och `3600` sekunder
`IGNORETLS`	`1` hoppar över certifikatkontrollen utan installationskod. Osäkert
`NOPHONEHOME`	`1` stänger av all kontakt. Bara för test

Använd Windows ARM64-utgåvan under Andra utgåvor för ARM64-servrar. Se anslutningsinställningar för adresslistans betydelse.

Inställningar i registret

Under HKLM\SOFTWARE\sslbrain finns textvärdena ServerURL, Destinations, CloudDeny, IgnoreTLS, NoPhoneHome, ScriptPolicy, CheckInInterval, StartupDelayMin, StartupDelayMax, LogLevel, ToolsPath och AgentId.

Värden under HKLM\SOFTWARE\Policies\sslbrain har företräde: ScriptPolicy, NoPhoneHome, IgnoreTLS, CloudDeny, CheckInInterval, ServerURL och TrustSignedBefore. Koden och nycklarna under HKLM\SOFTWARE\sslbrain\Credentials är krypterade med DPAPI och kan bara läsas av SYSTEM och Administrators. Koden tas bort efter anslutning. Starta om tjänsten efter ändringar med Restart-Service sslbrainagent.