[Adobe Reader] Deployen middels GPO

[The Executer]

Ik ben inmiddels een poosje bezig om het een en ander te automatiseren bij ons op de afdeling. Tot nu toe werd alles met de hand gedaan, verre van ideaal (en ik ben er klaar mee ). Ik kan mij hier redelijk goed mee redden, maar met Adobe Reader loop ik toch tegen wat vragen aan en ben ik benieuwd hoe andere Tweakers dit oplossen.

Allereerst onze omgeving:
- Windows Server 2012 R2, bezig met een upgrade naar Server 2022
- On-Premise AD, (nog) geen Azure/Intune gebruik op dit moment, inmiddels wel de licenties in huis, users worden inmiddels gesynct etc.
- Windows 10 en Windows 11 clients. We gaan nu eindelijk toe naar een complete AD joined client omgeving zodat we eindelijk fatsoenlijk beheer toe kunnen gaan passen.

Er zijn meerdere mogelijkheden om Reader te installeren:
- Download de reguliere install van Adobe Reader (https://get.adobe.com/reader/)
- Download de .exe (https://get.adobe.com/reader/enterprise/) en installeer deze b.v. via een loginscript.
- Pak de eerder gedownloade .exe uit. Hierin zitten o.a. een MSI file, een MSP-update file, .cab-files, ini-files, en een flinke lijst met MST-files (MST's maak je toch met de configuration wizard,? Waarom zitten deze MST's er bij?) Moet ik de MSP ook nog toepassen?

Heel concreet.... Wat is de juiste aanpak/manier? Zoveel opties, zoveel smaken, dus daar is niet direct op te antwoorden.

Ik ben wat aan het testen geweest. De eerste mogelijkheid werkt op zich prima. De software word geïnstalleerd, maar verder configureren van opties is niet mogelijk (Accepteren EULA, disablen cloud opties, shortcut op desktop verwijderen). Nu zou ik b.v. de shortcut nog vanuit een script kunnen doen, maar een betere aanpak zou fijn zijn. Eigenlijk kom je dan direct bij de laatste optie uit. Je kan met behulp van de Customization wizard eigenlijk alle opties aanpassen, eigenlijk wat we zoeken dus!

Na wat testen in de Customization Wizard word er een .mst file en een aangepaste setup.ini toegevoegd aan de folder. Hoe krijg ik deze dan weer in de GPO? Moet ik dan van de folder weer een MSI maken? Bij het sluiten vraagt hij of de MSI bijgewerkt moet worden. Maar alleen de MSI is niet genoeg, want ook de setup.ini is nodig.

Adobe heeft zelf ook (diverse) pagina'online staan m.b.t. deployment. Waar ik tegenaanloop is het volgende:
- Op deze pagina beschrijven ze wat je nodig bent om te deployen:
Create the MST file.
Select the MST via the Modification tab.
Complete the standard GPO package deployment

Oke, prima. Dit bevat ik nog. De MST kun je maken met de Customization Wizard, je maakt een nieuwe GPO aan met de deployment, hangt daar de MST aan die je met de wizard hebt gemaakt. en gaan met de banaan. Maar, er wordt gesproken over AIP's. Dit zijn Administrative Installation Points als ik het goed begrijp. Op de eerder genoemde pagina wordt hier naar gelinkt. Maar vervolgens gaan ze hier ook weer helemaal los met een installer, updates etc. Wat moet ik nu volgen? 'Gewoon' de standaard deployment pagina, af en toe de MSI patchen met een nieuwe MSP (toepassen middels msiexec /a [MSI file name] /p [MSP file name]), deze toevoegen aan de package en klaar? Hoe kom ik telkens opnieuw aan de juiste files (o.a. de MSP, maar stel (even worst kaas scenario) ik verlies de MSI eens, kan ik dan op zoek naar de juiste versie van dat moment? M.i. breek ik dan de install door een verkeerde versie MSI erin te dumpen, en dan?

Conclusie is dus eigenlijk dat ik door alle opties (niet alleen bij Adobe, maar ook alle andere resultaten op Google) de bomen door het bos niet meer zie. Iemand die mij een zetje kan geven? Hoe doen jullie dit?

[ Voor 4% gewijzigd door The Executer op 08-07-2024 10:12 ]

[SVMartin]

Niet direct antwoord op je vraag, maar wat doen de gebruikers precies met pdf bestanden? Zou het voldoende zijn om standaard de pdf bestanden met de standaard browser te openen?

[akimosan]

Ik merk ook in onze organisatie dat de noodzaak van Adobe Reader op clients sterk is afgenomen. Er zijn misschien een paar gebruikers die persé voor iets speciaals Adobe Reader moeten hebben, maar 99,9% kan gewoon met Edge uit de voeten.

En aangezien Microsoft een partnership is aangegaan met Adobe om de Adobe Reader technologie standaard in Edge te bouwen vermindert dat helemaal de noodzaak voor een aparte Reader app.

We gaan nu eindelijk toe naar een complete AD joined client omgeving zodat we eindelijk fatsoenlijk beheer toe kunnen gaan passen.

Je loopt wel 10 jaar achter om het nog op die manier te willen gaan doen..
Als we het niet hebben over RDS desktops, zie ik de gang naar AD joined en managed clients met Windows 11 niet meer zo goed als een nieuw op te zetten werkplek plan. Denk dat je echt beter kunt gaan kijken naar EntraID+Intune managed clients

En daarmee ook geen tijd en moeite stoppen in het bijhouden van packages met MSI en GPO+deployment shares waarbij het hele deployment stuk enkel maar de basis ondersteunt en geavanceerde dingen gewoon veel lastiger te implementeren zijn.
Krijg je het werkend? Vast wel..
Kun je het daarna ook goed onderhouden en troubleshooten in geval van issues? Drama..

Verder is het ook lastiger om alle updates bij te houden van apps als Adobe Reader, daar komen continu patches van uit die je dan ook weer moet gaan deployen.
Kun je beter kijken naar built-in package managers als Winget of 3rd party met Chocolatey.
Dan kun je een deployment doen (scripted) met iets als:

winget install Adobe.Acrobat.Reader.64-bit -h --accept-package-agreements --accept-source-agreements"

en een scheduled task met iets als:
winget upgrade --all -h --accept-package-agreements --accept-source-agreements

waarmee al je geïnstalleerde apps worden bijgewerkt.

Verder is applicatie deployment / packaging ook een vak apart. Sommige apps zijn eenvoudig te deployen, met wat standaard MSI parameters. Andere pakketten hebben hun eigen routines, dependencies en moet je weer de documentatie in duiken. Tools als Intune of andere 3rd party pakketten helpen hierbij.
Tips op itninja.com altijd even doorlezen

[ Voor 4% gewijzigd door akimosan op 08-07-2024 13:01 ]

[The Executer]

SVMartin schreef op maandag 8 juli 2024 @ 12:33:
Niet direct antwoord op je vraag, maar wat doen de gebruikers precies met pdf bestanden? Zou het voldoende zijn om standaard de pdf bestanden met de standaard browser te openen?

De meeste collega's gebruiken het puur om te lezen, maar we hebben ook behoorlijk wat leveranciers die contracten opsturen die digitaal getekend moeten worden. Vanuit de browser-versie is dit helaas niet mogelijk.

Daarnaast hebben we PDF-bestanden die uit onze systemen komen die vaak alleen goed met Reader werken (uitlijning van teksten, tabeluitlijningen etc die niet kloppen in andere readers). Kortom, we zitten een beetje vast aan Reader maar we beschouwen dat niet echt als een probleem.

akimosan schreef op maandag 8 juli 2024 @ 12:57:
Ik merk ook in onze organisatie dat de noodzaak van Adobe Reader op clients sterk is afgenomen. Er zijn misschien een paar gebruikers die persé voor iets speciaals Adobe Reader moeten hebben, maar 99,9% kan gewoon met Edge uit de voeten.

En aangezien Microsoft een partnership is aangegaan met Adobe om de Adobe Reader technologie standaard in Edge te bouwen vermindert dat helemaal de noodzaak voor een aparte Reader app.

Zie hierboven, helaas lukt het voor nu nog niet om over te stappen naar de in-browser PDF readers.

[...]


Je loopt wel 10 jaar achter om het nog op die manier te willen gaan doen..
Als we het niet hebben over RDS desktops, zie ik de gang naar AD joined en managed clients met Windows 11 niet meer zo goed als een nieuw op te zetten werkplek plan. Denk dat je echt beter kunt gaan kijken naar EntraID+Intune managed clients

En daarmee ook geen tijd en moeite stoppen in het bijhouden van packages met MSI en GPO+deployment shares waarbij het hele deployment stuk enkel maar de basis ondersteunt en geavanceerde dingen gewoon veel lastiger te implementeren zijn.
Krijg je het werkend? Vast wel..
Kun je het daarna ook goed onderhouden en troubleshooten in geval van issues? Drama..

Verder is het ook lastiger om alle updates bij te houden van apps als Adobe Reader, daar komen continu patches van uit die je dan ook weer moet gaan deployen.
Kun je beter kijken naar built-in package managers als Winget of 3rd party met Chocolatey.
Dan kun je een deployment doen (scripted) met iets als:

winget install Adobe.Acrobat.Reader.64-bit -h --accept-package-agreements --accept-source-agreements"

en een scheduled task met iets als:
winget upgrade --all -h --accept-package-agreements --accept-source-agreements

waarmee al je geïnstalleerde apps worden bijgewerkt.

Verder is applicatie deployment / packaging ook een vak apart. Sommige apps zijn eenvoudig te deployen, met wat standaard MSI parameters. Andere pakketten hebben hun eigen routines, dependencies en moet je weer de documentatie in duiken. Tools als Intune of andere 3rd party pakketten helpen hierbij.
Tips op itninja.com altijd even doorlezen

En dit is waar ik ook een beetje met worstel. Helaas zitten we nog niet op InTune (zoals aangegeven zijn we er al wel mee bezig om te kijken of we die kant op kunnen maar dat staat allemaal nog in de kinderschoenen.

Nadeel is inderdaad het aantal patches, die bij moeten werken in je GPO met versies, etcetc. Komt heel veel bij kijken en zorgt eigenlijk alleen maar voor meer werk.

[Metalfreak]

SVMartin schreef op maandag 8 juli 2024 @ 12:33:
Niet direct antwoord op je vraag, maar wat doen de gebruikers precies met pdf bestanden? Zou het voldoende zijn om standaard de pdf bestanden met de standaard browser te openen?

En dan krijg je bestanden van leveranciers die echt alleen met Adobe Reader te openen zijn en moet alles nu of gisteren. Been there, done that, got the t-shirt.

Anders kun je ook nog een loginscript maken dat checkt op aanwezigheid van Adobe Reader (check op aanwezigheid van bestand bijvoorbeeld), is dat niet het geval, installeer het dan via een command line installer. Ik vind dat installeren via GPO altijd een compleet onhandig systeem, maar het wordt nog vele malen erger als je dat via Intune gaat doen.

Je zou ook zoiets kunnen gebruiken:
https://psappdeploytoolkit.com/

[akimosan]

En dit is waar ik ook een beetje met worstel. Helaas zitten we nog niet op InTune (zoals aangegeven zijn we er al wel mee bezig om te kijken of we die kant op kunnen maar dat staat allemaal nog in de kinderschoenen.

Nadeel is inderdaad het aantal patches, die bij moeten werken in je GPO met versies, etcetc. Komt heel veel bij kijken en zorgt eigenlijk alleen maar voor meer werk.

Dit is de kern van de zaak en het beslismoment waar je voor staat. Ga je nog investeren in dingen op de oude manier doen met heel veel werk en tijd die je zowel aan de inrichting als aan het onderhoud hebt?
Of ga je tijd investeren in de moderne werkplek en daar later meer rendement uit halen? Haal er desnoods een partij bij die hier ervaring mee heeft. Als IT niet je core-business is, dan kan uitbesteden zinvoller zijn.

Als je die kant op wilt zijn er vast ook meer mensen die met je mee willen denken, maar dan is het ook belangrijk dat er meer duidelijk wordt over de organisatie/aantal werkplekken/infrastructuur

Er zijn ook 3rd party management oplossingen die je veel tijd en werk uit handen kunnen nemen bij het beheren van je werkplekken zonder direct naar Intune te grijpen, je kunt eens kijken naar wat producten van PDQ bijvoorbeeld. Er zijn ook andere partijen.

Dat gaat toch een stukje makkelijker dan klooien met de commandline, GPO, MSI etc. Veel werk is al voorgedaan, er zijn up-to-date libraries en je hebt support als je er zelf niet uit komt