SCCM 2012 sunucumuza Enpoint Protection kurduktan hemen sonra yapmamız gereken ilk iş güncellemelerin en azından her gün indirilerek tüm Endpoint Protection istemcilerine dağıtılmasıYapacağımız işlemler ana başlıklar halinde şu şekilde:
- Yazılım Güncelleme Noktası (Software Update Point) rolünün kurulumu,
- Yazılım Güncelleme Noktası’nın Enpoint Protection güncellemelerini Microsoft ile eşitleyecek şekilde yapılandırılması,
- Güncellemelerin otomatik olarak cihaz koleksiyonuna dağıtılarak kurulmasının sağlanması
SCCM 2012 sunucumuzu Yazılım Güncelleme Noktası olarak daha önce yapılandırmıştık (Yazılım Güncelleme Noktası rolü, diğer rollerin de olduğu gibi mutlaka SCCM 2012 sunucusu üzerinde olmak zorunda değil ancak bu yazıda belirtilen işlemlerin Yazılım Güncelleme Noktası için yapılması gerekir).
Yazılım Güncelleme Noktamızdaki sunucumuzun güncellemeleri Microsoft ile eşitlemesini sağlamak ile kastettiğimiz Microsoft’un yayınladığı en son güncellemeleri sürekli olarak denetleyip bu güncellemeleri sunucumuza indirerek her zaman elimizde en son güncellemelerin olmasını sağlamak. Elbette yapılandırmamızı bu işlemin otomatik olarak arka plânda otomatik olarak gerçekleşecek şekilde yapacağız.
SCCM 2012 konsolunda Administration –> Site Configuration -> Sites altında güncellemeleri alacak olan siteyi seçiyoruz ve şerit menüden Settings -> Configure Site Components –> Software Update Point ile Yazılım Güncelleme Noktasını yapılandırma penceremizi açıyoruz:
Yazılım Güncelleme Noktası özelliklerinde “Products” sekmesine gelerek hangi uygulamalar için güncellemelerin alınacağını belirtiyoruz; biz Enpoint Protection güncellemelerini alacağımızdan “Forefront Endpoint Protection 2010” kutucuğunu işaretliyoruz ve “Apply” ile uyguluyoruz:
Bundan sonra “Sync Shedule” sekmesine giderek güncellemelerin ne sıklıkla alınacağını belirtiyoruz. Ben burada 1 gün olarak belirledim ancak size kendi canlı ortamınız için (altyapınıza bağlı olarak) daha kısa bir süre belirleyebilirsiniz. Eğer güncellemelerin alınmasının herhangi bir şekilde başarısız olması durumunda bir uyarı almak istiyorsanız – ki bence bu canlı ortamlar için gerekli – en altta bulunan “Alert when synchronization fails on any site in the hierarchy” kutucuğunu işaretlemeniz gerekir. Ben kendi sistemimde bunu kapattım:
“Apply” ve “OK” ile değişiklikleri onayladıktan sonra SCCM 2012 konsolundan Software Library -> All Software Updates altına geliyoruz ve “All Software Updates”in üzerine sağ tıklayarak “Synchronize Software Updates” ile tüm yazılım güncellemelerini Microsoft sunucuları ile eşitleme işlemini tetikliyoruz:
SCCM bize tüm site için yazılım güncellemelerinin eşitlemesinin başlayacağını belirterek devam edip etmeyeceğimizi soruyor. “Yes” ile onaylayarak devam ediyoruz:
Güncellemelerin ne durumda olduğunu SCCM kurulum dizininde bulunan (varsayılan ayarlar ile kurulum yaptıysanız bu dizin C:Program FilesMicrosoft Configuration Manager dizinidir) Logs klasörü altında wsyncmgr.log günlük dosyasından takip edebiliriz. Ekran görüntüsünde günlük dosyası bize sunucumuzun eşitlemeyi başarılı olarak tamamladığını belirtiyor:
Bu şekilde Yazılım Güncelleme Noktamızı güncellemeleri günlük olarak Microsoft sunucuları ile eşitleyecek şekilde yapılandırarak yazımızın başında belirttiğimiz ikinci adımı tamamladık.
Üçüncü adımda Endpoint Protection güncellemelerinin Remote Desktop test sunucularımıza (“Terminal Server – Test Sunucular” isimli cihaz koleksiyonuna) otomatik olarak gönderilmesini sağlayacağız. Bunun için SCCM 2012 konsolunda Software Library kısmına gelerek şerit menüden “Create Automatic Deployment Rule” ile sihirbazımızı başlatıyoruz:
Sihirbazımızın ilk adımında Otomatik Kurulum Kuralımıza bir isim veriyoruz ve açıklamamızı giriyoruz. “Specify the target collection for the software update deployment” kısmında “Browse” tuşuna basarak bu kurulumu hangi collection’a uygulayacağımızı seçiyoruz.
Yazılım Güncellemeleri Grubu ile ilgili iki seçeneğimiz var:
- Add to an existing Sofware Update Group: Bu seçenek ile Otomatik Güncelleme Kuralı ilk çalıştığında yeni bir Yazılım Güncelleme Grubu oluşturur ve bundan sonra çalışacak tüm yeni otomatik güncellemeler bu grubun içine eklenir.
- Create a new Software Update Group: Otomatik Güncelleme Kuralı her çalıştığında yeni bir Yazılım Güncelleme Grubu oluşturulur.
Bu noktada dikkat etmemiz gereken bir konu var. Eğer ilk seçeneği işaretleyerek güncellemeleri mevcut Yazılım Güncelleme Grubu içine almayı seçtiysek, SCCM bu grubu kendisi oluşturur. Biz kendimiz bir grup oluştursak dahi SCCM bu grubu kullanmaz. SCCM tarafından kullanılan bir grup adının aynısı ile biz bir grup oluştursak dahi, SCCM yine bu isimle bir grup oluşturacak ve güncelleme grubu olarak kendi oluşturduğu grubu kullanacaktır.
İndirilen güncellemelerin mevcut bir güncelleme grubuna eklenmesini istediğimden ben ilk seçeneği işaretliyorum ve sihirbaz tamamlandığında otomatik kurulumun hemen başlaması için “Enable the deployment after this rule is run” seçeneğini işaretliyorum:
“Next” ile bir sonraki adıma geçiyoruz. Burada ilk seçeneğimiz Wake-on-LAN özelliğine sahip Endpoint Protection istemcilerinde, istemcileri uzaktan açarak güncellemeleri kurmak. Eğer güncellemeleri bu şekilde kurmak için “Use Wake-on-LAN to wake up clients for required deployments” seçeneğini işaretlememiz gerekir.
Bir sonraki seçeneğimiz kurulum sırasında istemcilerden gelen durum mesajlarının ne seviyede olacağı. “Normal” seviye istemcilerden kurulum ile ilgili tüm durum mesajlarını alırken “Minimal” sadece kurulumun başarılı olduğu ve kritik hata mesajlarını alır. “Normal” seviye SCCM sunucu üzerine fazlaca yük bindireceğinden ben “Minimal” ile devam ettim. Geniş kapsamlı uygulamalarda “Normal” seçeneğini gerçekten detaylı bilgiye ihtiyacınız yoksa seçmenizi tavsiye etmem.
Son seçeneğimiz bazı güncellemelerde bulunan lisans anlaşması ile ilgili. İlk seçenek otomatik kurulum kuralı kapsamında olan güncellemelerden sadece lisans anlaşması içermeyen ya da daha önceden lisans anlaşması onaylanmış olan güncellemelerin kurulması (Automatically deploy only software updates found by this rule that do not include a license agreement, or for which the license agreement has already been approved), diğer seçenek de lisans anlaşmalarının otomatik olarak onaylanarak kurulması (Automatically deploy all software updates found by this rule, and approve any license agreements). Ben tüm lisans anlaşmalarının otomatik olarak onaylanarak güncellemelerin kurulmasını seçerek devam ettim:
Kural dahilinde hangi güncellemelerin kurulacağını seçiyoruz. Günde bir defa eşitleme belirlediğimizden güncellemenin çıktığı ya da revize edildiği tarih için “Date released or revised” kutusunu işaretliyoruz ve “Last 1 Day” olarak düzenlememizi yapıyoruz. Sonrasında “Product” kutucuğunu işaretleyerek “Forefront Endpoint Protection 2010” seçiyoruz:
“Next” ile devam ediyoruz. Sonraki adımda kuralın ne sıklıkla çalışacağını belirliyoruz. İlk olarak “Enable rule to run on a schedule” (kuralın belirli zamanlarda çalışmasını sağla) seçeneğinin işaretli olduğundan emin oluyoruz. “Customize” düğmesine basarak açılan pencerede “Custom interval” seçiyoruz ve “Recur every” altında “1 Days” seçiyoruz. Eğer istersek üst kısımda bulunan “Time” altında kuralın ileri bir tarihten sonra çalışmaya başlamasını da belirleyebiliriz. Ben burada eski bir tarih belirledim.
“OK” ile zamanlama penceresini onaylayıp “Next” ile devam ediyoruz. Bu adımda kurulumları zamanlıyoruz. İlk önce kurulumların Uluslararası Koordinasyon Zamanı (Coordinated Universal Time – UTC) göre mi yoksa istemcilerin kendi saat dilimlerine göre mi yapılacağını belirliyoruz. Eğer birden çok ülkede faaliyet gösteren bir firma iseniz, UTC kullanmak daha mantıklı olacaktır; çünkü örneğin Türkiye için saat 23:00 demek Fas için saat 21:00, Bakü için ertesi gün 01:00 demek olacağından kişiler kendi saatlerine göre zamanı yanlış algılayabilirler ancak 01:00 UTC dediğimizde herkes bunu kendi zamanına göre uyarlar ve zaman konusunda saat dilimlerinden kaynaklanan bir yanlış anlaşılma olmaz.
Esasen zamanı UTC olarak belirleyerek tüm güncelleme sunucularının güncellemeleri aynı anda, saat farkı gözetmeksizin Microsoft sunucuları ile eşitlemesi Microsoft tarafından “en iyi uygulama” (best practice) olarak belirlenmiştir.
Ben burada zamanı UTC olarak belirledim.
Yazılım güncellemeleri Microsoft ile eşitlendikten sonra site kapsamındaki diğer içerik sunucularına dağıtılır. Eğer sitenizde birden çok içerik sunucusu varsa yazılımların tamamen indirilip belirli bir zaman sonra içerik sunucularına dağıtılması, Yazılım Güncelleme Sunucusunun güncellemeleri eşitleme, işleme ve dağıtım işlerini sırayla yapmasını sağlayarak sunucuya çok yük binmemesini sağlayacaktır . Ben bunun için geniş bir zaman dilimi – 2 saat – (2 hours) belirledim.
Son olarak kurulumların en son yapılabileceği zamanı belirliyoruz. “Süre bitimi” (Deadline) istemcilere kurulum zamanından sonra beklenmesi gereken zamandır ve bu zaman geldiğinde eğer hâlâ güncellemeler kurulmadıysa, istemcide kurulumlar yapılır ve gerekiyorsa istemci yeniden başlatılır. Örneğin süre bitimi olarak 2 saat belirlenmişse, bizim bu aşamaya kadar yaptığımız tercihlere göre:
- Güncellemeler her gün saat 01:00’de eşitlenir (bir önceki adımda Custom Schedule altında zamanı 26.Şubat.2012 1:00 AM belirlediğim için SCCM eşitleme zamanını 01:00 olarak belirler),
- Güncellemeler eşitlendikten sonra 03:00’te içerik sunucularına dağıtılır (bu adımda 2 saat belirlediğim için 01:00 + 2 saat = 03:00),
- Süre bitimi olarak 2 saat dediğimiz için saat 05:00’e (01:00 eşitleme + 2 saat içerik dağıtımı + 2 saat süre bitimi = 05:00) kadar kurulumlar tamamlanır ve –gerekiyorsa – ve eğer hâlâ yeniden başlatılmamışsa istemciler yeniden başlatılır.
Türkiye için zaman dilimi +2 olduğundan bu işlemler Türkiye saati olarak 03:00 (eşitleme), 05:00 (dağıtım) ve 07:00’de (kurulum ve gerekiyorsa yeniden başlatma) olacaktır.
Ben süre bitimi olarak olarak “olabildiği kadar erken” (As soon as possible) seçerek kurulumların hemen yapılarak gerekiyorsa hemen istemcilerin yeniden başlatılmasını belirledim (süre bitiminin UTC olarak saat 03:00 olacağına dikkat edin):
Bir sonraki adımda kullanıcı deneyimlerini belirliyoruz.
Görsel olarak üç adet seçeneğimiz var:
- Display in Software Center and show all notifications: Güncellemeler Yazılım Merkezinde görüntülenir ve tüm uyarılar kullanıcıya gönderilir,
- Display in Software Center, and only show notifications for computer restarts: Güncellemeler Yazılım Merkezinde görüntülenir ancak sadece yeniden başlatma uyarıları kullanıcıya gönderilir,
- Hide in Software Center and all notifications: Güncellemeler Yazılım Merkezinde gönderilmez ve kullanıcıya uyarılar gönderilmez.
Eğer sistemler için bir bakım aralığı/penceresi (maintenance window) belirlenmişse ve bu zaman dışında süre bitimine ulaşılmışsa hangi işlemlerin yapılabileceğini belirliyoruz:
- Software installation: yazılım kurulumu.
- System restart (if necessary): Sistemi yeniden başlatma (eğer gerekiyorsa).
Sunucu ve iş istasyonlarında güncellemelerin sistemi yeniden başlatmaması sağlanabilir. Yeniden başlatma işleminin sunucular için mi (servers) iş istasyonları için mi (workstations) baskılanacağını belirliyoruz.
“Next” ile devam ederek otomatik kurulum ile ilgili uyarıları düzenliyoruz. Öncelikle “Generate an alert when the following conditions are met” (aşağıdaki durumlar meydana geldiğinde bir uyarı oluştur) seçeneğini işaretleyerek uyarı oluşturma seçeneklerini aşağıdaki gibi belirledim:
- Client compliance is below the following percent: İstemci uyumluluğu belirlenen düzeyin altında ise. Bu düzeyi %90 olarak belirledim. Bu seviyeyi %100 olarak belirlemenizi hiç tavsiye etmem çünkü en ufak bir gecikme olduğunda uyarı oluşturulacağından çok fazla uyarı alırsınız.
- Offset from the deadline: Süre bitiminden sonra geçen süre. 7 gün olarak belirledim.
Yaptığım tanımlamalara göre süre bitiminin 03:00 olacağına dikkat çekmiştim. Ekran görüntüsünde belirtilen 3/4/2012 3:00:00 AM olarak belirtilen süre bitimi 26.Şubat.2012 01:00 (Custom Schedule altında belirttiğim zaman) + 7 gün (offset from the deadline değeri) = 04.Mart.2012 ve 01:00:00 + 2 saat içerik sunucularına dağıtım = 03:00:00 değerleridir. Uyarılar bu tarih + saatten sonra üretilmeye başlanır.
Bu adımda aynı zamanda System Center Operations Manager ile bağlantı da yapabiliyoruz (eğer ortamımızda varsa). Operations Manager altında bakım aralığı/penceresi süresince yazılım güncellemeleri yapıldığında uyarı alınmaması için aşağıdaki seçenekleri seçebiliyoruz:
- Disable Operations Manager alerts while software updates run: Yazılım güncellemeleri yapılırken Operations Manager’da uyarı oluşturma,
- Generate Operations Manager alert when a software installation fails: Yazılım güncellemesi başarısız olduğunda Operations Manager’da uyarı oluştur.
“Next” ile devam ediyoruz. Bu adımda ağ hızının yavaş olduğu yerlerde ve güncellemelerin tercih edilen dağıtım noktalarında bulunamadığı zamanlarda istemcilerin güncellemeleri ne şekilde indirileceğini belirliyoruz.
- Select the deployment option to use when a client is within a slow or unreliable network boundary, or when the client uses a fallback location for content: Bu ilk başlıkta istemcinin yavaş ya da bağlantı kalitesine güvenilmeyen bir ağda olması ya da fallback noktasından güncellemeleri indirme durumunda kaldığında nasıl davranılacağını belirliyoruz. Bu durumda güncellemeleri indirmeyebiliriz (Do not install software updates) ya da güncellemeleri dağıtım noktasından indirip kurabiliriz (Download software updates from distribution point and install).
- When the software updates are not available on any preferred distribution points, clients can download and install updates from a fallback source location for content: Bu başlıkta da istemcinin tercih edilen dağıtım noktasında güncellemeleri bulamaması durumunda güncellemeleri fallback noktasından alabileceği belirtiliyor ve biz de bu durumda nasıl davranacağımızı belirliyoruz. Güncellemelerin kurulumunu iptal edebiliriz (Do not install software updates) ya da fallback noktasından kurulmasını sağlayabiliriz (Download and install software updats from the fallback content source location).
Bu adımda son seçeneğimiz de aynı alt ağda (subnet) bulunan istemcilerin birbirleri ile içerikleri (güncellemeleri) paylaşmalarına izin vermek (Allow clients to share content with other clients on the same subnet).
Güncellemelerimiz zararlı yazılımlara karşı savunmamız olan Endpoint Protection güncellemeleri olduğundan ben her zaman yazılımların indirilmesi ve aynı alt ağda bulunan istemcilerin içerik paylaşmasına izin vererek devam ettim.
Bu adımda dağıtacağımız paket ile ilgili detayları tanımlıyoruz. Daha önceden bir paket tanımlamadığımız için paket seçim seçeneğimiz (Select deployment package) kapalı durumda geliyor. Biz yeni bir kurulum paketi oluşturuyoruz; Name kısmına paketin ismini Description altına da paket ile ilgili tanımlamalarımızı giriyoruz.
Paketlerin indirileceği yer olarak bir dizin belirliyoruz. Burada önemli olan dizini UNC yol olarak belirlemek. Ben sunucu üzerinde bir FEP_Updates isimli bir dizin oluşturarak paylaşıma açtım (Everyone – Read hakları ile, ekran görüntüsünde SCCM2012FEP_Updates ). UNC yollar bize çok büyük esneklik sağlar: sunucu üzerinde yeteri kadar yerimiz yoksa, yer olan herhangi bir sunucu/NAS disk üzerinde bir paylaşım dizini tanımlayabiliriz.
Gönderim önceliğini de orta seviye (Medium) olarak belirledim.
Bir sonraki adımda güncellemelerin hangi dağıtım noktalarında tutulacağını belirliyoruz. Sağ tarafta “Add” ile dağıtım noktalarını ekliyoruz. Benim yapımda Dağıtım Noktası rolü sadece SCCM2012 sunucuda olduğundan mevcut dağıtım noktası (Available distribution points) olarak sadece SCCM2012 sunucu geliyor.
Güncellemelerin nereden indirileceğini bu adımda belirliyoruz. Windows Sunucu Güncelleme Servisleri (WSUS) rolü SCCM2012 sunucu üzerinde olduğundan, SCCM2012 sunucu mecburen güncellemeleri İnternetten indirecek (Download software updates from the Internet). Ancak eğer ortamda bir şekilde güncellemeler bir paylaşım dizinine indiriliyor ise, bu paylaşım dizinini UNC yolu ile burada belirleyebiliyoruz (Download software updates from a location on my network). Burada dikkat etmemiz bir nokta da belirtiliyor: dağıtım paketi eğer gerekli tüm güncellemeleri içeriyorsa, güncellemeleri İnternetten indirme seçeneğini seçmemiz tavsiye ediliyor. Bu durumda mevcut paketler tekrar indirilmeyecek ancak paketlerin sağlaması (validation) yapılacak:
Tanımlama yapacağımız son adıma geliyoruz. Burada güncellemelerin hangi dil paketlerinin indirileceğini belirliyoruz. Ben sadece İngilizce seçtim:
Bu adımı da geçtikten sonra, diğer tüm kurulumlarda olduğu gibi yaptığımız tanımlamaların ve tercihlerin bir özeti gösteriliyor ve eğer herşey doğru ise “Next” ile devam ederek kurulumumuzu yapıyoruz:
Bundan sonra çıkan ekranda “Finish” ile tamamlıyoruz. Güncellemeleri kontrol etmek için SCCM 2012 konsolunda Software Library altından Software Updates -> All Software updates altına geldikten sonra Endpoint Protection güncellemelerini filtrelemek için sağ tarafta “Search” düğmesinin yanında “Add Criteria” üzerine tıklıyoruz ve “Product” kutucuğunu işaretiyoruz ve “Add” düğmesine basıyoruz. Search kutucuğunun altında sarı bir alan açılacak. Burada “AND Product” yanında “Antigen for Exchange/SMTP” üzerine tıklıyoruz ve açılan kutudan “Forefront Endpoint Protection 2010” seçiyoruz. Güncellemeler filtrelenerek aşağıdaki gibi gösteriliyor:
Ekran görüntüsüne dikkat ederseniz ilk aşamada güncellemeler “Downloaded: No” ve “Deployed: No” olarak gözüküyor. Çünkü eşitlemeden sonra henüz otomatik kurulum kuralımız çalışmadı. Konsolda bulunduğumuz Software Updates altında “Automatic Deployment Rules” kısmına gelip kuralın üzerine sağ tıklayarak “Run Now” diyerek kuralımızı çalıştırıyoruz:
Kuralımız bir süre çalıştıktan sonra güncellemeleri indirmek üzere oluşturduğumuz dizine (SCCM2012FEP_Updates) bir göz atalım:
Güncellemelerimiz başarıyla indiriliyor. Yine bir süre daha beklediğimizde bu güncellemelerin sunuculara kurulduğunu SCCM 2012 konsolumuzdan “Downloaded: Yes” ve “Deployed: Yes” olarak göreceğiz:
Artık hiçbir ek tanımlama yapmamıza gerek kalmadan Enpoint Protection güncellemeleri otoamtik olarak hergün indirilerek belirlediğimiz koleksiyona kurulacak.