[SCCM] Automatische software uninstall technieken

[DaSt1986]

Hi guys,

Bij een klant van mij wordt sinds kort SCCM2012 R2 gebruikt voor de distributie van software door het gehele pand (momenteel een kleine 1500 computers en ongeveer evenveel eind-gebruikers). Ze maken gebruik van User Based Collections voor de distributie van applicaties die door middel van AppV gestreamed worden, en van Computer Based Collections voor de distributie van MSI installaties.

De installatie van deze producten gaat nu goed; MSI's worden netjes geinstalleerd en gebruikers kunnen gebruik maken van de door-middel-van AppV aangeboden applicaties op het moment dat het nodig is.

We hebben per applicatie (zowel voor de User- alsook de Computer Based applicaties) twee collecties:
- De installatie-collectie
- De deinstallatie-collectie

De installatiecollectie beheren we handmatig door gebruikers of computers toe te voegen op het moment dat er een software aanvraag binnenkomt. Voor die laatste willen ze graag een geautomatiseerd systeem; zodra iemand een gebruiker of computer uit de installatie-collectie haalt, willen ze graag dat de software automatisch verwijderd wordt. Ik heb hier meerdere oplossingen voor kunnen vinden:

Mogelijke oplossing 1:
De volgende membership rules toevoegen op de deinstallatie-collectie:
- Include: All users and Groups
- Exclude: Installatie-collectie

Dit levert in principe het gewenste resultaat op, maar is alleen mogelijk voor de usercollecties en zorgt ervoor dat de Uninstallatiegroep erg veel gebruikers krijgt aangezien hij de hele AD toevoegd en alleen de mensen uit de installatiecollectie eruit gooit.

Mogelijke oplossing 2:
De volgende membership toevoegen op de deinstallatie-collectie:
- Include: Een query maken die alle computers aan de uninstall collectie toevoegd die de applicatie hebben geinstalleerd
- Exclude: Installatie-collectie

Dit werkt in principe ook goed, maar is alleen mogelijk voor computercollecties en heeft veel onderhoud nodig bij het wijzigen van packages. Een nieuwe ersie krijgt immers een nieuw Package ID en dan klopt de query niet meer.

Voor beide oplossingen is wat te zeggen, maar voordat ik één of beide oplossingen ga voorstellen was ik benieuwd of iemand nog een idee heeft hoe we de uninstallatie collectie automatisch kunnen vullen na het verwijderen van een computer of gebruiker uit de installatie collectie. Mocht er nog informatie nodig zijn, hoor ik dat graag.

Groet,
Daryl

[CMD-Snake]

Er is niet direct hiervoor een ingebakken feature in SCCM. Grappig genoeg kan je wel zoiets doen als je software installeert via GPO's. Dan kan je een out of scope iets inbakken dat als de policy niet meer van toepassing is de software wordt verwijderd.

Let wel dat met automatisch installeren en verwijderen je ook problemen kan creëren. In een omgeving waar mensen veel van PC wisselen (zeg een callcenter) dan krijg je dus dat een PC per dag meerdere malen iets installeert en verwijderd. Dat geeft vertragingen.

Ik heb een klant gehad die wilde dat SCCM alle applicaties mandatory installeerde als iemand ingelogd was op een PC. Dit gaf enorme vertragingen tijdens inloggen en daarna omdat de PC druk bezig was met installeren. Voor pakketten met een herstart erin was het helemaal dramatisch omdat de gebruiker dan een tijdje na login een melding kreeg om zijn/haar PC te herstarten.

Waarom target je MSI's op computer collections? Deze werken ook perfect voor user collections. Tenzij de MSI voor je hele organisatie bedoeld is en het dan sneller en makkelijker is om de installatie aan de computers toe te wijzen zodat ze deze meteen installeren ook als er niemand is ingelogd.

Als je wilt dat een user het icoontje niet meer ziet als hij/zij rechten verliest op een applicatie zou je eventueel met iets als RES moeten gaan werken. Dan kan je ook het hele Start menu aanpassen en zo applicaties verbergen waarop de gebruiker geen recht meer heeft.

[DaSt1986]

CMD-Snake schreef op dinsdag 20 mei 2014 @ 13:09:
Er is niet direct hiervoor een ingebakken feature in SCCM. Grappig genoeg kan je wel zoiets doen als je software installeert via GPO's. Dan kan je een out of scope iets inbakken dat als de policy niet meer van toepassing is de software wordt verwijderd.

Klopt, maar helaas is de organisatie te groot om alles via GPO te gaan doen.

Let wel dat met automatisch installeren en verwijderen je ook problemen kan creëren. In een omgeving waar mensen veel van PC wisselen (zeg een callcenter) dan krijg je dus dat een PC per dag meerdere malen iets installeert en verwijderd. Dat geeft vertragingen.

Klopt ook, vandaar dat de AppV applicaties in het userprofile worden geinstalleerd (of dat slim is, is nog even een andere discussie).

Waarom target je MSI's op computer collections? Deze werken ook perfect voor user collections. Tenzij de MSI voor je hele organisatie bedoeld is en het dan sneller en makkelijker is om de installatie aan de computers toe te wijzen zodat ze deze meteen installeren ook als er niemand is ingelogd.

We hebben een AppV-tenzij beleid; alles is AppV tenzij het om wat voor reden dan ook niet mogelijk is. Voorbeeld zijn .NET, Java, maar ook een aantal andere applicaties, waarvan vele een licentie hebben (en we vandaar de mogelijkheid moeten hebben om de software te kunnen deinstalleren)

Als je wilt dat een user het icoontje niet meer ziet als hij/zij rechten verliest op een applicatie zou je eventueel met iets als RES moeten gaan werken. Dan kan je ook het hele Start menu aanpassen en zo applicaties verbergen waarop de gebruiker geen recht meer heeft.

RES is nog een goede alternatieve optie die ik nog even kan besperken hier.

Dank voor je reactie!

[gasemans]

Ik begrijp hieruit dat je de Appv's ook via SCCM deployed.
is het niet makkelijker om dit te doen via een Appv Streaming server?
Rechten zet je in de appv server op de packetten zelf en op de snelkoppelingen in RES.
Gebruiker heeft het nodig? Dan kan die hem naar zich toehalen.
Zonodig lokaal laten cachen, Res regelt verder de rechten tot de applicatie en kan hem dus niet zomaar starten.

[CMD-Snake]

gasemans schreef op dinsdag 20 mei 2014 @ 17:16:
Ik begrijp hieruit dat je de Appv's ook via SCCM deployed.
is het niet makkelijker om dit te doen via een Appv Streaming server?

Vanaf SCCM 2012 is er geen aparte App-V server meer. Dat was zo in 2007 versie. Maar vanaf 2012 draait de App-V omgeving geïntegreerd in je distribution points. De SCCM agent regelt dan ook zodra je de App-V start vanaf wel distribution point het gestreamed gaat worden.

Maar SCCM 2012 kent geen mogelijk om zo dingen te installeren als iemand rechten verliest op een applicatie. Ze kunnen die alleen dan niet her installeren. Maar het blijft wel beschikbaar in het Start menu.

Met behulp van RES zou je dan ook het icoontje kunnen verbergen zodat mensen enkel die applicaties zien waar ze recht op hebben. RES Workspace Manager kan ook samenwerken met SCCM.

[T0ny]

Gebruik je binnen SCCM Packages of Applications?
Volgens mij heeft het gebruik van Applications als bijkomend voordeel dat je deze deinstalleren/"retiren", iets waar je voor een package een aparte deinstall job voor nodig zou moeten hebben.