[Win2k] Software Updates via loginscript *

[Verwijderd]

De situtatie

In het bedrijf waar ik werk hebben we een netwerk met ongeveer 100 gebruikers die allen een pc hebben en daar met een eigen account mee inloggen op het netwerk. De gebruikers draaien Windows 2000 met Service Pack 3 en sommige met Service Pack 4. Het inloggen gebeurt dmv een Kix loginscript, hierbij krijgen de gebruikers ook een aantal drive-mappings. De server waar ze op inloggen is een Windows 2000 Server.

De Probleemstelling

Er moeten software updates op alle cliënts worden geïnstalleerd, denk aan Service pack 4, Internet Explorer 6, Acrobat Reader en wat andere patches. Nu is het de bedoeling om dit alles remote te doen zo dat ik niet alle 100 gebruikers langs hoef om die updates te installeren. Het liefst gewoon via het inlog script, als dan een gebruiker inlogt dat het script dan kijkt welke updates er al aanwezig zijn en de overige dan (quiet/hidden)installeert.

Er is een pakketje op de markt dat heet PsTools met daar in PsEcex wat te verkrijgen is op www.sysinternals.com. Dit pakketje werkt erg lekker, maaar als je hier mee remote software wilt installeren moet de gebruiker Local Admin zijn of Admin rechten hebben. Alle gebruiker in het domein zijn Power Users. Hierdoor werkt het remote installeren via PsEcex niet werkt.

Bij Windows 2000 is hier ook een tooltje voor, maar dit is heel erg omslachtig, en werkt niet prettig. Het prettigst vind ik zo iets als dat PsEcex.

Heeft iemand misschien een oplossing of tip voor dit probleem.

[Dromer]

Je kan dit toch ook gewoon met kix doen ?

[kell.nl]

Voor je microsoft updates kun je een SUS server draaien. En dan in je group policy instellen dat clients daar moeten kijken voor updates en automatisch installeren.
Voor non-MS updates kun je de applicatie gewoon in je group policy publishen.
Lijkt me makkelijker dan met het loginscript.

[Wimlem]

ja gewoon sus gebruiken. Volgens mij kan je ook de patches los downloaden en die laten installeren via het loginscript. Zoek het even op zou i kzeggen

[Verwijderd]

Bedankt voor de snelle reply's.

Ik begrijp wat jullie bedoelen, maar het gaat er om dat de gebruikers admin rechten moet hebben die ze niet hebben en ook niet krijgen.

In Windows 2000 is er een mogelijkheid om iets te openen met andere rechten (waar je nog wel gebruikersnaam en wachtwoord moet invullen). Kan ik zo iets dan niet in een log inscript knallen of zo. Dat alleen die applicatie geopend wordt met die rechten.

[Spider.007]

Verwijderd schreef op 27 August 2003 @ 09:01:
Bedankt voor de snelle reply's.

Ik begrijp wat jullie bedoelen, maar het gaat er om dat de gebruikers admin rechten moet hebben die ze niet hebben en ook niet krijgen.

In Windows 2000 is er een mogelijkheid om iets te openen met andere rechten (waar je nog wel gebruikersnaam en wachtwoord moet invullen). Kan ik zo iets dan niet in een log inscript knallen of zo. Dat alleen die applicatie geopend wordt met die rechten.

Je loopt het verkeerde probleem op te lossen Het probleem is niet dat mensen admin rechten moeten hebben om software te installeren; maar dat jij software wil installeren. Dit kan zoals hierboven aangegegeven op een zeer eenvoudige manier. Dan hoeft de gebruiker dus helemaal niets te kunnen of zijn

[Verwijderd]

Als jij gebruik maakt van Active Directory en dat lijkt mij wel als je een Win2000 omgeving hebt, adviseer ik je om de Group Policy Editor te gebruiken. Je kan namelijk tegenwoordig met Active Directory software distribueren, zoals je dat normaliter met MS SMS Server zou kunnen doen.

Bekijk bv eens de volgende URL (http://www.swyx.com/support/ssdb.html?kbid=kb2197) om een pakket te installeren. In ons geval SwyxIt! (Voice over IP).

[ Voor 22% gewijzigd door Verwijderd op 27-08-2003 09:21 ]

[Equator]

Kix kent ook de RunAs mogelijkheid, dus je kan een installatie aftrappen onder een aparte install account, dus wel admin is.

[Predator]

PNS -> WOS

[F_J_K]

Ditzelfde werd al besproken in [rml][ NT4srvr/W2k] admin rechten voor installatie in batchfile *[/rml] - ook daar wordt wel duidelijk gemaakt dat je niet je beveiliging wilt vern@#ken door een omweg te vinden, maar het op de 'juiste' manier wilt doen

offtopic:
Titeledit per het WOS policy

Als jij het omzeilt door een vorm van runas te gebruiken, kan een slimme gebruiker altijd een manier vinden om of daar een admin wachtwoord uit te halen en/of misbruik te maken van het script dat je aanroept om te updaten.

Kortom: push het op de manier die MS ervoor gemaakt heeft of vertrouw je gebruikers

[Verwijderd]

Ik weet het niet zeker maar als je lokale admin rechten geeft, kunnen ze nog niet veel zet dan je network policies wat hoger die overrulen je lokale policies.

Dan kun je de gebruik een mailtje sturen en de updates met een package of automatisch te installeren.

[k-oz]

je hebt AD , dus gebruik deze. Ga niet op zoek naar houtje touwtje oplossingen. Daarnaast weet ik niet of het wel zo verstandig is om SP4 te installeren. Deze hebben bij ons vooralsnog meer fouts dan goeds gedaan.
zoals eerder besproken zijn windows updates het handigst met een SUS.

waarom hebben de gebruikers geen lokale admin rechten? bang dat ze het systeem vernaggelen? daarvoor heb je bij 2000 ook nog eens RIS ... verantwoordelijkheid ligt niet alleen bij de beheerders, maar zeker ook bij de gebruikers.

[ Voor 29% gewijzigd door k-oz op 27-08-2003 12:53 ]

[Jazzy]

SUS is inderdaad ideaal maar daar kun je geen servicepacks, Internet Explorer of Acrobat Reader mee installeren.

[Verwijderd]

software distribueren onder win2000 doe je inderdaad met group policies en MSI files.
Deze MSI files maak je door een snapshot te maken van de "situatie" voor de installatie vh betreffende pakket, en een snapshot te maken van de "situatie" na het installen. De uitkomst van deze 2 snapshots wordt een .msi file, die je dmv group policies kunt delegeren.
hoe je dit precies doet moet je even opzoeken in een of andere handleiding, die ga ik niet voor je schrijven. geen tijd voor.

[Verwijderd]

k-oz schreef op 27 August 2003 @ 12:52:


waarom hebben de gebruikers geen lokale admin rechten? bang dat ze het systeem vernaggelen? daarvoor heb je bij 2000 ook nog eens RIS ... verantwoordelijkheid ligt niet alleen bij de beheerders, maar zeker ook bij de gebruikers.

hhmmm......heb nog geen bedrijf gezien waar ze gebruikers lokale admin maken hoor. jij wel??
dat wil je namelijk echt niet........

[k-oz]

dan zal ik je er een paar geven, en hier echt geen last mee hoor.
vertel mij eens waarom je dat 'echt niet wil' ...

[Gerco]

Hier dus wel, ongeveer 2000 man zijn lokaal admin. Dat doen ze omdat bij software ontwikkelen zo'n vrijheid heel handig en soms noodzakelijk is. Vraag me niet in welke situaties dan dan wel/niet zo is , ik ben hier ook maar programmeur.

[Verwijderd]

k-oz schreef op 27 August 2003 @ 13:47:

vertel mij eens waarom je dat 'echt niet wil' ...

directories weggooien op c:\
bepaalde services stoppen en starten
dat soort dingetjes.....
randapparatuur installeren

[ Voor 8% gewijzigd door Verwijderd op 27-08-2003 13:54 ]

[Gerco]

Verwijderd schreef op 27 August 2003 @ 13:52:
bepaalde services stoppen en starten

Dat vind ik persoonlijk heel handig, aangezien de vorige sysadmin hier het erg leuk vond om in mijn prive map rond te gaan neuzen (niet dat daar wat interessants staat, maar er stond een keer iets in waar 'ie over ging klagen), zette ik gewoon de server service uit. Ik kan me voorstellen dat de sysadmin daar wat minder blij mee was.

[Verwijderd]

Gerco schreef op 27 August 2003 @ 13:54:
[...]

Dat vind ik persoonlijk heel handig, aangezien de vorige sysadmin hier het erg leuk vond om in mijn prive map rond te gaan neuzen (niet dat daar wat interessants staat, maar er stond een keer iets in waar 'ie over ging klagen), zette ik gewoon de server service uit. Ik kan me voorstellen dat de sysadmin daar wat minder blij mee was.

hehehe, dat t voor een user handiger is om admin rechten te hebben begrijp ik ja.......

trouwens: t behoort toch ook wel een beetje bij het takenpakket van een systeembeheerder imho. (en t is gewoon leuk om dat soort dingen uit te zoeken vind ik).
Je kunt dit soort dingen ook niet doen. tja, dan zet je een keer een image terug en verwissel je de backup tape 1x per dag. wordt saai hoor. dit soort dingen maakt "ons" vak toch alleen maar leuker?

[ Voor 30% gewijzigd door Verwijderd op 27-08-2003 14:19 ]

[Verwijderd]

Bij een "klein" bedrijf van +- 100 medewerkers zal het niet zo'n probleem zijn om iedereen local admin te hebben, je kan er makkelijker op controleren. Maar hier hebben we ongeveer 3000 medewerkers (verdeeld over europa) die allemaal user rechten hebben met nog de nodige policies dichtgespijkerd. Als iedereen zijn eigen dingen zou installeren, tweaken e.d. zou het binnen de kortste keren een grote onoverzichtelijke zooi worden.

[ Voor 9% gewijzigd door Verwijderd op 27-08-2003 14:20 ]

[k-oz]

hoe groter de omgeving hoe dichter het moet, absoluut. maar ik noemde ook dat ik vind dat beheerders niet ten alle tijde verantwoordelijk kunnen worden gehouden.
en uiteraard is het dichttikken van een pc leuk en een uitdaging, maar vooralsnog denk ik dat je wanneer je een beetje overwicht hebt op het management, je heel goed kan afspreken wat wel en wat niet de bedoeling is. ik kom het ook wel tegen hoor, dat gebruikers toch het 1 en ander zelf gaan vogelen.... heel simpel, je zoekt het zelf maar uit. jij wil aan je pc'tje klooien, prima, voor mij een zorg minder. leg het strax maar aan je meerdere uit. wij zijn beheerders, geen babysitters

[Verwijderd]

zullen we weer eens ontopic gaan voor de verandering?
TS: is het gelukt met de MSI files?
ben wel benieuwd (en heb even niets te doen.... )

[Verwijderd]

I agree, verantwoordelijk niet, maar als puntje bij paaltje komt ben jij toch diegene die het moet komen oplossen, en dat extra werk kun je NIET gebruiken. Het klinkt kinderachtig maar helaas bittere noodzaak.

Edit: Ohh sorry, idd on-topic excuseer mij

Zoals al is gezegd ik zou het gewoon via de MS manier doen, dus via MSI files. Voor de pakketten die jij moet uitrollen is die prima te doen.

[ Voor 31% gewijzigd door Verwijderd op 27-08-2003 14:38 ]

[Verwijderd]

Ik heb vandaag ff wat van jullie tips door genomen en wat verder uit gezocht. Ben tot de conclusie gekomen dat de runas van windows het meest verstandig is voor mij om te gebruiken in combinatie met Kix, dan blijft het nog compakt ook. Bij het inloggen wordt er dan gekeken wat er aan wezig is en zo nodig geinstalleerd.

Maak een bat filetje met daar in runas /user@domein test.bat <password.txt

Dit werkt lekker als ik het handmatig doe, maar als ik het in een bat filetje stop krijg k de volgende melding:"RUNAS ERROR: Unable to accept input". Volgens mij snap hij de inhoud niet helemaal, maar dat bekijk ik zo wel ff.

[dadaemon]

Zoals in dit topic beschreven kan je runas niet pipen.
[rml][ XP] 'runas' vraagje[/rml]

Dus je moet helaas een andere oplossing hiervoor vinden.

[ Voor 25% gewijzigd door dadaemon op 28-08-2003 10:23 ]