Rulla ut serviceagenten på många Windows-servrar

Samma installationskod och samma rad som ansluter en server ansluter många. En GPO kan inte hämta en fil från en adress, så MSI-filen måste ligga på en share.

När ni behöver det här

Era Windows-servrar står i en Active Directory-domän och ni vill inte logga in på varje server.
Nya servrar i en viss OU ska få agenten av sig själva.
Ni använder redan SCCM eller Intune för att installera programvara.

För en enstaka server går Windows-servrar snabbare.

Installationskoden

Skapa en kod för utrullningen under Installationskoder på Servrar › Installera serviceagent, till exempel med namnet “GPO”. En server som ansluter med koden är godkänd.

Alla som kan läsa GPO:ns startskript kan läsa koden. I en domän är det oftast alla användare. Använd därför en kod bara för utrullningen.
Stäng koden under Installationskoder när utrullningen är klar, eller ge den en sista dag när ni skapar den. Servrar som redan är anslutna fortsätter att köra. Nya servrar kan inte ansluta med en stängd kod.
En maskin som ser ut som en ominstallation av en server som redan är ansluten väntar på en administratör under Installera serviceagent (Godkänn nya servrar).
Ska servrarna ansluta via sslbrain Cloud, utelämna DESTINATIONS (Servrar utanför ert nätverk).

Rulla ut med en GPO

Öppna Servrar › Installera serviceagent, välj Windows och koden, öppna Flera servrar, GPO eller utan internet och klicka på Hämta MSI.
Lägg sslbrain-agent.msi på en share som servrarnas datorkonton kan läsa, till exempel \\fil01\software\sslbrain.
Skapa en fil sslbrain-agent.cmd med en rad. Kopiera raden under Direkt till appliancen från Installera serviceagent och ändra filnamnet till den fullständiga sökvägen på sharen. Raden har redan /qn, så den körs utan fönster medan ingen ser skärmen:
```
sc query sslbrainagent >nul 2>&1 || msiexec /i \\fil01\software\sslbrain\sslbrain-agent.msi /qn INSTALLCODE=<kod> DESTINATIONS="https://<appliance>,cloud"
```
sc query hoppar över installationen på en server som redan har agenten. Raden på sidan har cloud efter appliancen så länge Tillåt agentkommunikation via Cloud är påslagen och appliancen är ansluten till sslbrain Cloud. Kopiera listan från sidan i stället för att skriva den: utan cloud använder agenterna inte sslbrain Cloud.
Skapa en GPO i Group Policy Management och länka den till en OU med en testserver.
Öppna Computer Configuration › Policies › Windows Settings › Scripts › Startup och lägg till sslbrain-agent.cmd.
Starta om testservern och kontrollera den (Kontrollera att det fungerar).
Länka GPO:n till de övriga servrarna.

En GPO-programinstallation (Software Settings › Software installation) kan inte skicka med koden. Använd startskriptet.

När servrarna är anslutna uppdaterar appliancen agenten (Håll serviceagenterna uppdaterade). MSI-filen på sharen används bara för nya servrar.

Tyst installation med SCCM eller Intune

Hämta sslbrain-agent.msi under Flera servrar, GPO eller utan internet på Installera serviceagent.
Skapa ett program i SCCM, Intune eller ett liknande verktyg med MSI-filen och raden under Direkt till appliancen:
```
msiexec /i sslbrain-agent.msi /qn INSTALLCODE=<kod> DESTINATIONS="https://<appliance>,cloud"
```
Låt den köra i systemkontexten, med 0 och 3010 som lyckade koder.

Uppdaterar appliancen agenterna, låt verktyget installera agenten men inte uppgradera den. MSI-filen tillåter en äldre version än den installerade, så ett verktyg som installerar igen kan nedgradera en agent som appliancen har uppdaterat.

Koden står på kommandoraden medan installationen körs och kan hamna i en detaljerad MSI-logg. Stäng koden när utrullningen är klar.

Kontrollera att det fungerar

På testservern visar Get-Service sslbrainagent status Running. Finns tjänsten inte, kontrollera med gpresult /r /scope computer att GPO:n har tillämpats.
Efter några minuter står servern under Servrar.
Står den under Servrar som väntar på godkännande på Installera serviceagent, ser den ut som en ominstallation. Godkänn den där.

Om det inte fungerar

Tjänsten körs men servern dyker inte upp: Agenten hör inte av sig.
Installationen stoppar med SSLBrain Agent needs its appliance eller Angiv CODE eller SERVER. Specify CODE or SERVER: raden saknar koden. Kopiera den igen från Installera serviceagent. Med /qn visas meddelandet inte på skärmen; lägg till /l*v C:\Windows\Temp\sslbrain-agent.log i raden och läs det i loggen.
Servern kan inte läsa MSI-filen: ge datorkontona, till exempel gruppen Domain Computers, läsbehörighet till sharen.
Koden står som Stängd: nya servrar kan inte ansluta med den. Skapa en ny kod och ändra raden i sslbrain-agent.cmd.
Windows Installer är upptaget: skriptet försöker igen vid nästa start.

MSI-egenskaper

En ny installation kräver INSTALLCODE, CODEFILE eller SERVER. En uppgradering behåller de värden som inte står på kommandoraden.

Egenskap	Standard	Betydelse
`INSTALLCODE`		Installationskoden från Installera serviceagent, som raderna på sidan använder. Utan `DESTINATIONS` ansluter agenten via sslbrain Cloud; först från version 1.4.0 ger `SERVER` i stället en direkt anslutning
`CODE`		Från version 1.4.0 samma som `INSTALLCODE`, och med `SERVER` ansluter agenten direkt och har sslbrain Cloud som failover. Version 1.3.3 känner inte till `CODE`; använd `INSTALLCODE`
`SERVER`		Appliancens adress, till exempel `https://sslbrain.foretag.se`. Utan installationskod väntar servern tills en administratör godkänner den. Används bara vid första kontakten, därefter styr appliancen adresserna (Så når agenten appliancen)
`CLOUD`		`deny`: agenten kontaktar aldrig sslbrain Cloud. `allow` tar bort spärren
`DESTINATIONS`		Adresser i prioritetsordning, kommaseparerade, `cloud` för sslbrain Cloud. Går före det som `CODE` och `SERVER` ger. Utan `cloud` använder agenten inte sslbrain Cloud förrän en administratör klickar på Aktivera Cloud igen för den här agenten på serverns sida
`CODEFILE`		En fil med installationskoden i stället för `INSTALLCODE`. Bara Administrators och SYSTEM får kunna läsa filen
`SCRIPTPOLICY`	`15`	Vilka signerade skript agenten kör (Egna skript)
`LOGLEVEL`	`info`	Loggnivå i agentens loggfil
`IGNORETLS`	`0`	`1`: agenten kontrollerar inte appliancens certifikat. Bara utan installationskod, och osäkert
`CHECKININTERVAL`	`900`	Sekunder mellan inrapporteringar för en agent installerad utan installationskod
`STARTUPDELAYMIN`, `STARTUPDELAYMAX`	`900`, `3600`	Väntetid i sekunder före första inrapporteringen för en agent installerad utan installationskod
`NOPHONEHOME`	`0`	`1`: agenten kontaktar ingenting, bara för test

Inställningar i registret

Agentens inställningar står i HKLM\SOFTWARE\sslbrain som strängvärden: ServerURL, Destinations, CloudDeny, IgnoreTLS, NoPhoneHome, ScriptPolicy, CheckInInterval, StartupDelayMin, StartupDelayMax, LogLevel, ToolsPath och AgentId.

Värden under HKLM\SOFTWARE\Policies\sslbrain går före, så inställningar som ska vara lika på alla servrar kan sättas med en GPO: ScriptPolicy, NoPhoneHome, IgnoreTLS, CloudDeny, CheckInInterval, ServerURL och TrustSignedBefore.
Installationskoden och agentens nycklar står i HKLM\SOFTWARE\sslbrain\Credentials, krypterade med DPAPI och läsbara bara för SYSTEM och Administrators. Koden raderas när agenten är ansluten.
Starta om tjänsten efter en ändring: Restart-Service sslbrainagent.

En agent installerad med installationskod får inrapportering, nya försök och adresser från Agenter › Anslutning (Så når agenten appliancen).