Rul service-agenten ud på mange Windows-servere

Samme installationskode og samme linje, som forbinder én server, forbinder mange. En GPO kan ikke hente en fil fra en adresse, så MSI-filen skal ligge på et share.

Hvornår har I brug for det her

Jeres Windows-servere står i et Active Directory-domæne, og I vil ikke logge på hver enkelt.
Nye servere i en bestemt OU skal have agenten af sig selv.
I bruger allerede SCCM eller Intune til at installere software.

Til en enkelt server er Windows-servere hurtigere.

Installationskoden

Opret en kode til udrulningen under Installationskoder på Servere › Installer service-agent, fx med navnet “GPO”. En server, der forbinder med koden, er godkendt.

Alle, der kan læse GPO’ens opstartsscript, kan læse koden. I et domæne er det som regel alle brugere. Brug derfor en kode til udrulningen alene.
Luk koden under Installationskoder, når udrulningen er færdig, eller giv den en sidste dag, når I opretter den. Servere, der allerede er forbundet, kører videre. Nye servere kan ikke forbinde med en lukket kode.
En maskine, der ligner en geninstallation af en server, som allerede er forbundet, venter på en administrator under Installer service-agent (Godkend nye servere).
Skal serverne forbinde via sslbrain Cloud, så udelad DESTINATIONS (Servere uden for jeres netværk).

Rul ud med en GPO

Åbn Servere › Installer service-agent, vælg Windows og koden, åbn Flere servere, GPO eller uden internet, og klik på Hent MSI.
Læg sslbrain-agent.msi på et share, som serverens computerkonti kan læse, fx \\fil01\software\sslbrain.
Opret en fil sslbrain-agent.cmd med én linje. Kopiér linjen under Direkte til appliancen fra Installer service-agent, og ret filnavnet til den fulde sti på sharet. Linjen har allerede /qn, så den kører uden vinduer, mens ingen ser skærmen:
```
sc query sslbrainagent >nul 2>&1 || msiexec /i \\fil01\software\sslbrain\sslbrain-agent.msi /qn INSTALLCODE=<kode> DESTINATIONS="https://<appliance>,cloud"
```
sc query springer installationen over på en server, der allerede har agenten. Linjen på siden har cloud efter appliancen, så længe Tillad agentkommunikation via Cloud er slået til, og appliancen er forbundet til sslbrain Cloud. Kopiér listen fra siden i stedet for at skrive den: uden cloud bruger agenterne ikke sslbrain Cloud.
Opret en GPO i Group Policy Management, og link den til en OU med én testserver.
Åbn Computer Configuration › Policies › Windows Settings › Scripts › Startup, og tilføj sslbrain-agent.cmd.
Genstart testserveren, og kontrollér den (Kontrollér, at det virker).
Link GPO’en til de øvrige servere.

En GPO-softwareinstallation (Software Settings › Software installation) kan ikke give koden med. Brug opstartsscriptet.

Når serverne er forbundet, opdaterer appliancen agenten (Hold service-agenterne opdateret). MSI-filen på sharet bruges kun til nye servere.

Stille installation med SCCM eller Intune

Hent sslbrain-agent.msi under Flere servere, GPO eller uden internet på Installer service-agent.
Opret en applikation i SCCM, Intune eller et tilsvarende værktøj med MSI-filen og linjen under Direkte til appliancen:
```
msiexec /i sslbrain-agent.msi /qn INSTALLCODE=<kode> DESTINATIONS="https://<appliance>,cloud"
```
Lad den køre i systemkonteksten, med 0 og 3010 som succeskoder.

Opdaterer appliancen agenterne, så lad værktøjet installere agenten, ikke opgradere den. MSI-filen tillader en ældre version end den installerede, så et værktøj, der installerer igen, kan nedgradere en agent, appliancen har opdateret.

Koden står på kommandolinjen, mens installationen kører, og kan ende i en detaljeret MSI-log. Luk koden, når udrulningen er færdig.

Kontrollér, at det virker

På testserveren viser Get-Service sslbrainagent status Running. Står tjenesten der ikke, så kontrollér med gpresult /r /scope computer, at GPO’en er anvendt.
Efter et par minutter står serveren under Servere.
Står den under Servere, der venter på godkendelse på Installer service-agent, ligner den en geninstallation. Godkend den der.

Hvis det fejler

Tjenesten kører, men serveren dukker ikke op: Agenten melder sig ikke.
Installationen stopper med SSLBrain Agent needs its appliance eller Angiv CODE eller SERVER: linjen mangler koden. Kopiér den igen fra Installer service-agent. Med /qn vises beskeden ikke på skærmen; tilføj /l*v C:\Windows\Temp\sslbrain-agent.log til linjen, og læs den i loggen.
Serveren kan ikke læse MSI-filen: giv computerkontiene, fx gruppen Domain Computers, læseadgang til sharet.
Koden står som Lukket: nye servere kan ikke forbinde med den. Opret en ny kode, og ret linjen i sslbrain-agent.cmd.
Windows Installer er optaget: scriptet prøver igen ved næste opstart.

MSI-egenskaber

En ny installation kræver INSTALLCODE, CODEFILE eller SERVER. En opgradering beholder de værdier, der ikke står på kommandolinjen.

Egenskab	Standard	Betydning
`INSTALLCODE`		Installationskoden fra Installer service-agent, som linjerne på siden bruger. Uden `DESTINATIONS` forbinder agenten via sslbrain Cloud; først fra version 1.4.0 giver `SERVER` i stedet en direkte forbindelse
`CODE`		Fra version 1.4.0 det samme som `INSTALLCODE`, og med `SERVER` forbinder agenten direkte og har sslbrain Cloud som failover. Version 1.3.3 kender ikke `CODE`; brug `INSTALLCODE`
`SERVER`		Appliancens adresse, fx `https://sslbrain.firma.dk`. Uden installationskode venter serveren, til en administrator godkender den. Bruges kun ved første kontakt, derefter styrer appliancen adresserne (Sådan når agenten appliancen)
`CLOUD`		`deny`: agenten kontakter aldrig sslbrain Cloud. `allow` fjerner spærringen
`DESTINATIONS`		Adresser i prioriteret rækkefølge, kommasepareret, `cloud` for sslbrain Cloud. Går forud for det, `CODE` og `SERVER` giver. Uden `cloud` bruger agenten ikke sslbrain Cloud, før en administrator klikker på Genaktivér Cloud for denne agent på serverens side
`CODEFILE`		Fil med installationskoden i stedet for `INSTALLCODE`. Filen må kun kunne læses af Administrators og SYSTEM
`SCRIPTPOLICY`	`15`	Hvilke signerede scripts agenten kører (Egne scripts)
`LOGLEVEL`	`info`	Logniveau i agentens logfil
`IGNORETLS`	`0`	`1`: agenten kontrollerer ikke appliancens certifikat. Kun uden installationskode, og usikkert
`CHECKININTERVAL`	`900`	Sekunder mellem indmeldinger for en agent installeret uden installationskode
`STARTUPDELAYMIN`, `STARTUPDELAYMAX`	`900`, `3600`	Ventetid i sekunder før første indmelding for en agent installeret uden installationskode
`NOPHONEHOME`	`0`	`1`: agenten kontakter ikke noget, kun til test

Indstillinger i registreringsdatabasen

Agentens indstillinger står i HKLM\SOFTWARE\sslbrain som tekstværdier: ServerURL, Destinations, CloudDeny, IgnoreTLS, NoPhoneHome, ScriptPolicy, CheckInInterval, StartupDelayMin, StartupDelayMax, LogLevel, ToolsPath og AgentId.

Værdier under HKLM\SOFTWARE\Policies\sslbrain går forud, så indstillinger, der skal være ens på alle servere, kan sættes med en GPO: ScriptPolicy, NoPhoneHome, IgnoreTLS, CloudDeny, CheckInInterval, ServerURL og TrustSignedBefore.
Installationskoden og agentens nøgler står i HKLM\SOFTWARE\sslbrain\Credentials, krypteret med DPAPI og kun læsbar for SYSTEM og Administrators. Koden slettes, når agenten er forbundet.
Genstart tjenesten efter en ændring: Restart-Service sslbrainagent.

En agent installeret med installationskode får indmelding, genforsøg og adresser fra Agenter › Forbindelse (Sådan når agenten appliancen).