Software-installatie via GPO werkt niet

[misterdaan]

Hallo allemaal,

Ik probeer een simpel programma te installeren via GPO (Windows Server 2012). De installatie start alleen niet, ook niet bij meerdere keren herstarten van de werkstations.

Daarop heb ik rsop.msc gedraaid. Er staat echter onder Computerconfiguratie onder Software-instellingen bij Software-installatie een uitroepteken in een gele driehoek bij de installatie.

Weet iemand hoe ik er achter kom waarom de installatie niet gestart wordt? Als ik de msi handmatig met /qn draai installeert hij gewoon in een keer.

Dank.

[xleeuwx]

Rechten probleem op de installatie bestanden ?

[misterdaan]

Hoe/waar kan ik dit controleren?

[TheRookie]

heb je de eventviewer op het werkstation al geraadpleegd ?

[Mental]

Installeer je wel een MSI of probeer je een batch file o.i.d. uit te voeren?
Als je daadwerkelijk een MSI installeert, doet deze het goed als je hem silent aftrapt?

Laat anders je software installation policy eens zien, beetje moeilijk in te schatten wat er fout gaat als we niet weten wat je hebt ingesteld.

[misterdaan]

De installatie verloopt vlekkeloos via msiexec met /qn.

De enige relevant lijkende melding in de eventviewer is:

Verwerking van extensie Software Installation is uitgesteld tot volgende synchrone voorgrond. Raadpleeg een resulterende verzameling beleidsrapporten voor meer informatie.

Geen idee wat dit betekend, de Event Id 6035 geeft geen enkel resultaat op internet.

[Mental]

Draai je je policy processing synchroon of asynchroon? Asynchroon is leuk voor snelheid maar kan dingen stuk maken (waaronder drive mappings).
Begin eens met een kale policy set (dus alleen je software installation), als dat werkt dan is die policy in ieder geval in orde, daarna zal je goed moeten kijken welke policy setting ervoor zorgt dat het niet meer werkt.
Dikke kans dat het een een logon optimalisatie slag is geweest die je nu in de weg zit.

Maar nogmaals, als je zo'n topic start, laat iets meer info zien; het is nog steeds gissen namelijk.

Edit:

Overigens (door de melding al aangegeven) al eens een gpresult laten lopen? Daar staat meer info in dan een rsop namelijk.

[ Voor 10% gewijzigd door Mental op 13-10-2014 11:47 ]

[Question Mark]

Heeft het computeraccount wel rechten op de share waar de MSI gehost wordt? Je hebt er immers een computerpolicy van gemaakt, wat in de security context van het computeraccount draait. Geef de groep "domain computers" eens rechten op deze share.

Mental schreef op maandag 13 oktober 2014 @ 11:45:
Draai je je policy processing synchroon of asynchroon? Asynchroon is leuk voor snelheid maar kan dingen stuk maken (waaronder drive mappings).

Als de pc bij asynchroon "merkt" dat er een policy ingesteld staat die synchrone processing vereist, dan wordt er automatisch een flag aangepast die ervoor zorgt dat na de volgende herstart synchrone processing toegepast wordt. Na één herstart had bij TS de policy al moeten worden toegepast dus...

Neemt niet weg dat asynchroon niet altijd beter is. Bij software deployment kost het dus wel een extra herstart. Wel iets wat TS in zijn achterhoofd moet houden.

[Mental]

Dat zou zo moeten werken, praktijk leer echter dat dit niet altijd het geval is bij bijvoorbeeld drive mappings; als dat eenmaal niet goed loopt zal je toch echt synchrone processing moeten forceren.

Maargoed, nogmaals: te weinig info om hier echt wat zinnigs over te zeggen.

Hoe/waar kan ik dit controleren?

Geeft ook niet al te veel hoop als antwoord op de vraag 'Rechten probleem op de installatie bestanden ?'.

[misterdaan]

Haha helaas, betrapt: dit is inderdaad redelijk nieuw voor mij. Ik probeer het te leren en het is allemaal niet zo heel belangrijk. Ik kan het natuurlijk ook gewoon even bij iedereen (stuk of 15) met de hand doen maar het lijkt me ook voor in de toekomst gewoon handig om zo te deployen.

Wanneer ik rechts bij Software-installatie rechts klik op het door mij aangemaakte item en naar het tabblad Beveiliging ga, staat er bij 'Domain Computers' gewoon alle rechten toegestaan. Deze Domain Computers staan ook bij de 'Beveilingsfiltering'.

Wanneer ik een gpresult doe, geeft hij alleen user settings aan. Doe ik een /scope computer geeft hij 'Acces Denied'. Het zit naar mijn vermoeden dan ook ergens hier, alleen ik weet niet waar

Edit: cmd als admin geeft wel resultaat:

Resultant Set Of Policies for Computer
---------------------------------------

Software Installations
----------------------
GPO: PretonSaver installatie 64 bit
Name: PretonSaver
Version: 3.3
Deployment State: Assigned
Source: \\DC01\Bewaar\Software werkstations\Tijdelijke
software\PretonSaverSetup-x64.msi
AutoInstall: True
Origin: Applied Application

[ Voor 29% gewijzigd door misterdaan op 13-10-2014 13:26 ]

[Question Mark]

Je moet even controleren of de computers wel rechten hebben op onderstaande lokatie, en of deze de lokatie wel kunnen benaderen:

\\DC01\Bewaar\Software werkstations\Tijdelijke software\PretonSaverSetup-x64.msi

Als die lokatie niet benaderd kan worden door de computers gaat je installatie nooit lukken natuurlijk.

[misterdaan]

Dank voor de reactie. De locatie is gewoon te benaderen, het staat gewoon op een algemene netwerkshare. Iedereen kan hierbij en heeft er schrijfrechten. Als ik het pad kopieer en bij uitvoeren plak voert hij de installatie ook gewoon netjes uit.

Wanneer ik deze software uitgeef (published) via de Gebruikersconfiguratie komt deze wel gewoon in de lijst met te installeren software in het configuratiescherm te staan. Het lijkt dus wel of de Computerconfiguratie niet goed doorkomt...

[Question Mark]

misterdaan schreef op maandag 13 oktober 2014 @ 14:32:
Dank voor de reactie. De locatie is gewoon te benaderen, het staat gewoon op een algemene netwerkshare. Iedereen kan hierbij en heeft er schrijfrechten. Als ik het pad kopieer en bij uitvoeren plak voert hij de installatie ook gewoon netjes uit.

Da's leuk, maar dan test je het dus in de security context van een gebruiker, terwijl je policy in de security context van de computer draait. Dat zijn twee totaal verschillende contexten...

Wanneer ik deze software uitgeef (published) via de Gebruikersconfiguratie komt deze wel gewoon in de lijst met te installeren software in het configuratiescherm te staan. Het lijkt dus wel of de Computerconfiguratie niet goed doorkomt...

Nee, je RSOP heeft al aangetoond dat de policy keurig doorkomt. Daar zit het probleem echt niet.

Controlleer nu voor de gein toch eens de share- en ntfs permissies van je bronlokatie. In de allereerste reactie was al aangegeven dat de issue hier kan liggen.

[misterdaan]

Bij Permissions staat dat 'Domain Users' een 'Modify' permission hebben op de map, submappen en bestanden.

Bij het tabblad 'Share' staat een Full Control bij Everyone.

[Vorkie]

Zet Domain Computers eens op de NTFS rechten met read rechten

En zoals vaak, hieronder de uitgebreide versie van vraagteken ;-)

[ Voor 36% gewijzigd door Vorkie op 13-10-2014 15:35 ]

[Question Mark]

Domain Users zijn geen Domain computers....

De computer mag dus niet bij de installatiebestanden, en daarom gaat het ook fout.

Edit:

overigens zou ik er geen modify rechten op zetten. Users en pc's hebben genoeg aan read en execute rechten op een software repository.

[ Voor 36% gewijzigd door Question Mark op 13-10-2014 15:34 ]

[Mental]

Als je gpresult draait, doe dat dan ofwel via de group policy management console op een server ofwel in een elevated (run as admin) command prompt, als je niet 'run as admin' gebruikt krijg je inderdaad alleen user settings

[misterdaan]

Het toevoegen van Domain Computers aan de permissions (read en execute) heeft geholpen: hij doet het! Fantastisch, ontzettend bedankt voor jullie hulp. Erg knap dat jullie zo op deze manier kunnen helpen: hulde.