MS Window Server позволяет выполнять удаленную установку ПО на компьютеры домена, что позволяет автоматизировать установку агента соответствия. Далее рассматривается пример настройки на основе Windows Server 2022 Standard с использованием стандартных механизмов данной ОС. Предполагается, что контроллер домена установлен и настроен.
Если в схеме сети уже существует специальный сервер, используемый для распространения ПО на компьютеры домена - следует использовать именно его. Создание отдельной папки распространения агента не требуется и этот шаг можно пропустить. |
1. Создать папку (имя, путь и диск могут быть любыми):
C:\Deploy\Apps |
2. Открыть к ней общий доступ:
3. Нажать правой кнопкой мыши на папку Deploy и выбрать "Свойства", перейти на вкладку "Доступ".
4. На вкладке "Доступ" нажать "Расширенная настройка" и включить:
5. Нажать "Разрешения" и добавить:
6. Нажать ОК и еще раз ОК, вернутся к окну "Свойства".
7. Перейти к вкладке "Безопасность":
7. Добавить группы "Компьютеры домена" и "Пользователи домена", разрешить "Чтение и выполнение", "Список содержимого папки", "Чтение".
Группа "Компьютеры домена" добавляется для того, чтобы все компьютеры имели возможность зайти в папку и скачать приложение без входа пользователя сразу после загрузки. Группа "Пользователи домена" добавляется для траблшутинга, что бы с удаленной машины можно было проверить доступность папки и приложения, возможность их установить после входа на компьютер. |
ПО агента соответствия включено в состав дистрибутива NAICE. Для его скачивания необходимо открыть страницу встроенной документации, нажав кнопку 
внизу слева. В открывшемся окне перейти в раздел Доступ к сети → Соответствия ИБ → Политики соответствия ИБ, перейти к разделу Установка агента политики соответствия и скачать из таблицы 2 Пакеты агента ПО для ОС Windows, нажав на ссылку для скачивания.
Поместить полученный файл ПО агента соответствия с расширением MSI в ранее созданную папку на сервер (в рассматриваемом примере C:\Deploy\Apps):
После этого можно приступать к настройке групповой политики.
1. Запустить редактор групповых политик (gpmc.msc). В открывшемся окне развернуть домен (в примере test.loc) и нажать на него правой кнопкой мыши и выбрать "Создать объект групповой политики в этом домене и связать его...":
2. Ввести название политики:
3. Нажать правой кнопкой на созданной политике:
350
и выбрать "Изменить".
4. Откроется новое окно редактирования групповой политики:
Перейти в "Конфигурация компьютера - политики - Конфигурация программ - Установка программ".
5. Нажать правой кнопкой на "Установка программ" и выбрать "Создать пакет...":
6. Откроется окно выбора пакетов.
По умолчанию открывается локальная папка на компьютере с локальным путем к файлу! В этом случае удалённый компьютер не сможет скачать приложение! Необходимо указывать сетевой путь, доступный для скачивания с удалённых компьютеров! |
Необходимо указать сетевой путь к файлу:
и уже потом выбрать файл:
800
Нажать "Открыть".
7. В открывшемся окне выбрать "Назначенный" (установка фоновым процессом без взаимодействия с пользователем):
Нажать "ОК".
8. В окне "Установка программ" появится название и сетевой путь установки:
8. После этого приложение будет устанавливаться на все компьютеры домена автоматически после из загрузки/перезагрузки. На компьютеры, которые уже включены и находятся в сети для установки потребуется вызвать вручную обновление групповой политики командой:
gpupdate /force |
После выполнения данной команды Windows, как правило, предлагает перезагрузить компьютер для продолжения установки. Требуется согласиться с перезагрузкой.
C:\Windows\system32>gpupdate /force Выполняется обновление политики... Обновление политики для компьютера успешно завершено. При обработке политики компьютера возвращены следующие предупреждения: Клиентскому расширению "Software Installation" групповой политики не удалось применить один или несколько параметров, поскольку эти изменения должны обрабатываться до запуска системы или до входа пользователя. Завершение обработки групповой политики будет выполнено перед следующим запуском системы или входом этого пользователя, что может вызвать замедление загрузки и запуска системы. Обновление политики пользователя завершено успешно. Чтобы получить дополнительные сведения, просмотрите журнал событий или запустите GPRESULT /H GPReport.html из командной строки для просмотра сведений о результатах групповой политики. Включены некоторые политики компьютера, выполняющиеся только при загрузке компьютера. Перезагрузить компьютер? (Y(Да)/N(Нет)) |
8. Версия пакета автоматически определяется как 1.3 исходя из чего формируется наименование. Чтобы указать точную версию пакета необходимо вручную изменить "Название". Требуется дважды нажать на приложение в разделе "Установка программ" политики и в открывшемся окне добавить версию в название:
Нажать "ОК".
На этом настройка групповой политики для автоматической установки агента соответствия завершена.
1. Для обновления агента необходимо также поместить в папку с ПО на сервере новую версию файла агента соответствия:
2. Открыть редактор групповых политик, перейти в ранее созданную для установки политику в разделе "Конфигурация компьютера - политики - Конфигурация программ - Установка программ". Нажать правой кнопкой на "Установка программ" и выбрать "Создать пакет...": и повторно добавить пакет указав ему в наименовании новую версию:
3. Открыть раздел "Свойства" нового пакета и открыть вкладку "Обновления". Убедиться, что в списке приложений, обновляемых данным пакетом, указана предыдущая версия агента:
4. Если приложение не указано, необходимо добавить его вручную. Для этого нажать кнопку "Добавить":
Выбрать:
Для удаления приложения политиками GPO необходимо удалить все его инстансы установки из политик:
И указать:
Удаление приложения с компьютеров домена будет происходить только после их перезагрузки или после ручного обновления групповых политик командой |
Если выбрать "Разрешить использование уже установленного приложения, но запретить новую установку" - приложения с компьютеров домена удаляться не будет, необходимо будет делать это вручную.
Агент соответствия использует безопасное защищенное подключение через HTTPS, что требует проверки сертификата сервера NAICE. Если центр сертификации, которым выпущен сертификат сервера NAICE, развернут в составе домена, к которому выполняется подключение компьютеров, то при вводе компьютера в домен корневой сертификат центра сертификации будет установлен на него автоматически. В этом случае компьютер будет доверять всем сертификатам, выпущенным данным центром сертификации.
Если же сертификат сервера выпущен сторонним центром сертификации, то требуется выполнить установку его корневого сертификата на все компьютеры, на которые будет установлен Агент соответствия. Для компьютеров, введенных в домен это можно сделать с помощью групповой политики.
1. Создать новый объект групповой политики:
2. Открыть его в редакторе групповых политик и открыть раздел "Конфигурация компьютера - политики - Конфигурация Windows - Параметры безопасности - Политики открытого ключа - Доверенные корневые центры сертификации". Нажать правой кнопкой мыши на "Доверенные корневые центры сертификации" и в открывшемся списке нажать "Импорт":
3. В открывшемся "Мастере импорта сертификатов" нажать "Далее" и выбрать файл сертификата:
4. Нажать далее:
5. В следующем окне нажать "Готово":
После этого сертификат начнет отображаться в настройках.
Установка сертификата будет происходить после перезагрузки компьютеров домена или после ручного обновления групповых политик командой |
Если удалить установленное приложение через "Приложения и возможности" Win 10 - повторно устанавливаться через объект групповых политик оно не будет, т. к. в реестре Windows остается запись развертывания с помощью групповых политик. Не рекомендуется удалять приложения, установленные с помощью GPO, вручную - необходимо удалить его из GPO AD. В случае если приложение удалялось вручную - необходимо выполнить полное удаление упоминаний о нем из реестра компьютера. В случае если приложение было удалено вручную - необходимо скачать и запустить на компьютере прилагаемый скрипт gpo-remove-naice.ps1 в PowerShell с правами администратора для полного удаления записей об установке. Затем необходимо перезагрузить компьютер или выполнить команду gpupdate /force.
Данный эффект может наблюдаться в ситуации, когда настройки обновления в групповой политике были назначены автоматически после добавления новой версии приложения. В этом случае необходимо удалить его из приложений, обновляемых данным пакетом и добавить повторно.