Proces zatwierdzania aplikacji

Jednym z ważnych scenariuszy zarządzania aplikacjami jest zapewnienie kontrolowanego procesu instalacji i odinstalowywania oprogramowania wymagającego zatwierdzenia. Aby zmniejszyć ogólne obciążenie infrastruktury Configuration Manager i zwiększyć wydajność, przepływ pracy nie wymaga tworzenia poszczególnych kolekcji w celu zarządzania instalacjami i dezinstalacjami dla każdej aplikacji.

Scenariusz 1. Aplikacje muszą zostać zatwierdzone przed ich zainstalowaniem

Administrator IT w firmie Contoso używa Centrum oprogramowania do udostępniania użytkownikom oprogramowania. Te aplikacje muszą zostać zatwierdzone przed ich zainstalowaniem. Administrator wdraża aplikację dla wszystkich użytkowników i konfiguruje ją tak, aby wymagała zatwierdzenia.

Użytkownik przegląda listę aplikacji w Programie Software Center, ale nie może zainstalować aplikacji, dopóki żądanie nie zostanie zatwierdzone. Użytkownik przesyła żądanie z Centrum oprogramowania i określa przyczynę żądania. Jeśli opcja Zatwierdź żądania aplikacji dla użytkowników na urządzenie jest włączona, użytkownik musi zażądać zatwierdzenia z każdego urządzenia, na którym chce zainstalować aplikację. Następnie administrator zatwierdza lub odrzuca żądanie dla każdego urządzenia użytkownika, na którym zostały wysłane żądania.

Centrum oprogramowania wymaga od użytkownika przesłania żądania aplikacji z urządzenia. Użytkownik widzi ten komunikat w Centrum oprogramowania:

Użytkownik określa, dlaczego chce aplikacji i przesyła żądanie zatwierdzenia:

Po zatwierdzeniu żądania przez administratora użytkownik może zainstalować aplikację na swoim urządzeniu. Jeśli użytkownik nie podejmie żadnych działań, aplikacja zostanie automatycznie zainstalowana dla użytkownika w godzinach innych niż służbowe.

Scenariusz 2. Integrowanie systemu zatwierdzania aplikacji

Firma Northwind Traders ma istniejący system zatwierdzania aplikacji, a administrator chce zintegrować system zatwierdzania z Configuration Manager.

Administrator wdraża aplikację dla wszystkich użytkowników i konfiguruje ją tak, aby wymagała zatwierdzenia. Następnie administrator włącza ustawienie klienta Centrum oprogramowania na opcję Ukryj niezatwierdzone aplikacje w Centrum oprogramowania.

Ta opcja powoduje, że użytkownik nie widzi aplikacji w Centrum oprogramowania, dopóki żądanie aplikacji nie zostanie zatwierdzone do instalacji na urządzeniu. Po udzieleniu zatwierdzenia za pośrednictwem systemu zatwierdzania organizacji system orkiestracji może wysłać zatwierdzone żądanie dla użytkownika i jego urządzenia w Configuration Manager. Systemy orkiestracji używały CreateApprovedRequest metody WMI w Configuration Manager. Ta metoda korzysta następnie z istniejącego mechanizmu wdrażania aplikacji Configuration Manager. Nie modyfikuje członkostwa w kolekcji i wchodzi w życie natychmiast. Aplikacja jest teraz dostępna dla użytkownika w Programie Software Center.

Administrator może również skonfigurować automatyzację w celu automatycznego zainstalowania aplikacji na urządzeniu użytkownika. Żaden inny użytkownik nie będzie widzieć aplikacji jako dostępnej w Centrum oprogramowania do momentu udzielenia zatwierdzenia. To rozwiązanie zapewnia kontrolę oprogramowania dla poszczególnych użytkowników i urządzeń bez konieczności tworzenia oddzielnych kolekcji.

Metoda CreateApprovedRequest WMI w klasie SMS_UserApplicationRequest ma następujące parametry wejściowe:

Wymagane parametry

• ClientGUID — Unikatowy identyfikator klienta
• Username — Unikatowa nazwa użytkownika
• ApplicationID — Nazwa modelu aplikacji

Identyfikator ApplicationID jest właściwością ModelName wystąpienia SMS_Application. Ta wartość jest unikatowym identyfikatorem aplikacji bez wersji. Na przykład ScopeId_21A9ED3B-D8C6-49DC-87A6-01F296182F14/Application_40243740-01f2-48db-abf0-c95259986d94.

Parametry opcjonalne

• Comments - Komentarze do zatwierdzonego żądania, które mają być wyświetlane w Centrum oprogramowania. Domyślnie określa pusty ciąg.

• AutoInstall — Zainstaluj aplikację natychmiast po zatwierdzeniu żądania. Domyślnie ten parametr ma wartość true.

  Uwaga

  W wersji 2006 lub starszej można wywołać tę metodę tylko raz dla określonej aplikacji. Począwszy od wersji 2010, można wywołać tę metodę więcej niż raz. Jeśli parametr AutoInstall to $true, klient spróbuje zainstalować aplikację ponownie.

Poniższy przykład kodu jest skryptem Windows PowerShell, który pokazuje, jak wywołać metodę WMI dla określonego użytkownika, maszyny i aplikacji:

$machinename = $args[0]
$username = $args[1]
$appid = $args[2]
$autoInstall = $args[3]
$comments = $args[4]

$scObj=Get-WmiObject -Namespace root\sms -Query 'select SiteCode from sms_providerlocation'
$sitecode = $scObj.SiteCode
$namespace ="root\sms\site_" + $sitecode
$machine = Get-WmiObject -Namespace $namespace -Query "SELECT * FROM SMS_R_SYSTEM WHERE Name = '$machinename'"
$clientGuid = $machine.SMSUniqueIdentifier
Invoke-WmiMethod -Path "SMS_UserApplicationRequest" -Namespace $namespace -Name CreateApprovedRequest -ArgumentList @($appid, $autoInstall, $clientGuid, $comments, $username)

Poniższy wiersz polecenia uruchamia przykładowy skrypt:

.\CreateApprovedRequest.ps1 "MachineName" "Domain\User" "ScopeId_2E4DAE44-C9A0-4694-8B7A-474424C080D4/Application_88808a3a-86e4-4820-be59-aa7d61cb8c33 "true" "Application has been approved"

Administrator nadal może wyświetlać zatwierdzone żądania w konsoli Configuration Manager zżądań zatwierdzeniazarządzania aplikacjami>biblioteki> oprogramowania.

Ograniczenia

Bieżąca wersja tej metody WMI zatwierdzania aplikacji ma następujące ograniczenia:

1. Metodę CreateApprovedRequest można wywołać tylko raz dla unikatowego identyfikatora maszyny, identyfikatora aplikacji i kombinacji nazwy użytkownika. Zwraca błąd, jeśli metoda jest wywoływana z tymi samymi parametrami więcej niż raz. Szczegóły dotyczące tego błędu znajdują się w pliku SMSProv.log.
2. Aby włączyć automatyczną instalację aplikacji, przed wywołaniem metody WMI wdróż aplikację w kolekcji użytkowników lub grup użytkowników. Jeśli wdrożenie zostanie utworzone po wywołaniu metody WMI, aplikacja zostanie udostępniona użytkownikowi do zainstalowania i nie zostanie automatycznie zainstalowana.

Scenariusz 3. Odwoływanie zatwierdzenia aplikacji

Jeśli administrator odwoła zatwierdzenie lub aplikacja nie jest już używana, odinstaluj aplikację.

Administrator odwołuje zatwierdzenie aplikacji przy użyciu konsoli Configuration Manager, skryptu programu PowerShell lub usługi WMI. Nawet jeśli aplikacja została już zatwierdzona, administrator może użyć opcji Odmów. Odwołanie zatwierdzenia uniemożliwia użytkownikowi zainstalowanie aplikacji na urządzeniu. Ta sama akcja powoduje również odinstalowanie aplikacji na urządzeniu użytkownika, jeśli aplikacja została wcześniej zainstalowana.

Dowiedz się więcej o poleceniu cmdlet Deny-CMApprovalRequest .

Wymagania wstępne dotyczące odwoływania zatwierdzeń aplikacji

1. Ustaw ustawienie Wybierz te nowe ustawienia, aby określić ustawienie klienta informacji firmy na wartość Tak.
2. Włącz opcjonalną funkcję Zatwierdź żądania aplikacji dla użytkowników na urządzenie. Aby uzyskać więcej informacji, zobacz Włączanie opcjonalnych funkcji z poziomu aktualizacji.

Scenariusz 4. Wstępnie zatwierdzone żądania oparte na maszynie

Interfejs API umożliwia CreateApprovedRequest utworzenie wstępnie zatwierdzonego żądania dla urządzenia bez konieczności korzystania z niego. Ta akcja umożliwia instalowanie i odinstalowywanie aplikacji w czasie rzeczywistym. Obecnie ta funkcja jest dostępna tylko w zestawie SDK. Aby wstępnie zatwierdzone żądania maszynowe działały, należy również włączyć opcjonalną funkcję Zatwierdzanie żądań aplikacji dla użytkowników na urządzenie. Aby uzyskać więcej informacji, zobacz Włączanie opcjonalnych funkcji z poziomu aktualizacji.

Administratorzy mogą utworzyć wdrożenie dostępne dla maszyny, które wymaga zatwierdzenia przy użyciu polecenia cmdlet New-CMApplicationDeployment . Oto przykład:

New-CMApplicationDeployment -CollectionName "All Systems" -Name "Test app" -DeployAction Install -DeployPurpose Available -ApprovalRequired $true -DistributionPointName 'DistributionPoint.domain.com" -DistributeContent

Wdrożenie utworzone z flagą ustawioną requires approvaltrue na pozostanie na serwerze i może być używane z większymi kolekcjami. Przepływ żądania użytkownika nie jest jeszcze dostępny dla wdrożeń ukierunkowanych na maszynę, które wymagają zatwierdzenia. Dlatego aplikacja nie jest widoczna w Centrum oprogramowania, dopóki nie utworzysz wstępnie zatwierdzonego żądania do poszczególnych urządzeń.

Poniższy przykładowy skrypt Windows PowerShell pokazuje, jak wywołać metodę WMI dla maszyny i aplikacji w celu utworzenia wstępnie zatwierdzonego żądania:

$machinename = $args[0]
$appid = $args[1]
$autoInstall = $args[2]
$comments = $args[3]

$scObj=Get-WmiObject -Namespace root\sms -Query 'select SiteCode from sms_providerlocation'
$sitecode = $scObj.SiteCode
$namespace ="root\sms\site_" + $sitecode
$machine = Get-WmiObject -Namespace $namespace -Query "SELECT * FROM SMS_R_SYSTEM WHERE Name = '$machinename'"
$clientGuid = $machine.SMSUniqueIdentifier
Invoke-WmiMethod -Path "SMS_ApplicationRequest" -Namespace $namespace -Name CreateApprovedRequest -ArgumentList @($appid, $autoInstall, $clientGuid, $comments)

Poniższy wiersz polecenia uruchamia przykładowy skrypt:

.\CreateApprovedRequestForMachine.ps1 "MachineName" "ScopeId_2E4DAE44-C9A0-4694-8B7A-474424C080D4/Application_88808a3a-86e4-4820-be59-aa7d61cb8c33 "true" "Application has been approved"

Ustawienie parametru autoInstall na false wartość nie ma wpływu w usłudze Configuration Manger dla wstępnie zatwierdzonego żądania opartego na maszynie. Po utworzeniu wstępnie zatwierdzonego żądania w witrynie urządzenie podejmie próbę zainstalowania aplikacji. Możesz odmówić żądania zatwierdzenia usunięcia aplikacji z urządzenia.

Scenariusz 5. Ponowne kompilowanie wcześniej odrzuconego żądania aplikacji

Możesz ponownie utworzyć żądanie aplikacji, które zostało wcześniej odrzucone. Funkcja Reapproval jest dostępna tylko za pośrednictwem interfejsu API zestawu SDK. Poniższy przykładowy skrypt programu PowerShell demonstruje zatwierdzenie żądania po jego odrzuceniu:

$machinename = $args[0]
$username = $args[1]
$appid = $args[2]

$scObj=Get-WmiObject -Namespace root\sms -Query 'select SiteCode from sms_providerlocation'
$sitecode = $scObj.SiteCode
$namespace ="root\sms\site_" + $sitecode
$reqObj = Get-WmiObject -Namespace $namespace -Class SMS_UserApplicationRequest | Where {$_.ModelName -eq $appid -and $_.RequestedMachine -eq $machinename -and $_.User -eq $username }
$reqObjPath = $reqObj.__PATH
Invoke-WmiMethod -Path $reqObjPath -Name Approve

Poniższy wiersz polecenia uruchamia przykładowy skrypt:

.\ReapproveRequest.ps1 "MachineName" "DomainName\Username" "ScopeId_2E4DAE44-C9A0-4694-8B7A-474424C080D4/Application_88808a3a-86e4-4820-be59-aa7d61cb8c33"

Scenariusz 6. Email powiadomień dotyczących żądań zatwierdzenia aplikacji

Administratorzy mogą konfigurować powiadomienia e-mail dotyczące żądań zatwierdzenia aplikacji. Podczas wdrażania aplikacji można określić osoby zatwierdzające aplikacje. Wszyscy osoby zatwierdzające otrzymują powiadomienie e-mail, gdy użytkownik zażąda aplikacji i może zatwierdzić lub odrzucić żądanie, korzystając z linków podanych w wiadomości e-mail. Możesz również skonfigurować bramę zarządzania chmurą, aby włączyć zatwierdzanie żądań aplikacji poza siecią wewnętrzną.

Wymagania wstępne dotyczące powiadomień e-mail

• Począwszy od wersji 2107, dostawca programu SMS wymaga platformy .NET w wersji 4.6.2, a zalecana jest wersja 4.8. W wersji 2103 lub starszej ta rola wymaga platformy .NET 4.5 lub nowszej. Aby uzyskać więcej informacji, wymagania wstępne dotyczące lokacji i systemu lokacji.

• Włącz opcjonalną funkcję Zatwierdź żądania aplikacji dla użytkowników na urządzenie. Aby uzyskać więcej informacji, zobacz Włączanie opcjonalnych funkcji z poziomu aktualizacji.

• Jeśli infrastruktura certyfikatów PKI nie jest skonfigurowana, włącz rozszerzony protokół HTTP.

  Uwaga

  Konfiguracja rozszerzonego protokołu HTTP jest na lokację główną. Jeśli włączysz ją w dowolnej lokacji głównej w hierarchii, Configuration Manager używa certyfikatów z podpisem własnym u wszystkich dostawców. To zachowanie obejmuje cas i inne lokacje główne.

Konfigurowanie powiadomień e-mail

1. W konsoli Configuration Manager przejdź do pozycji Konfiguracja lokacji administracyjnej> —>lokacje.
2. Wybierz lokację najwyższego poziomu w hierarchii i wybierz pozycję Konfiguruj składniki lokacji na wstążce.
3. Wybierz pozycję Email Powiadomienie, aby otworzyć okno dialogowe Właściwości.
4. Zaznacz opcję Włącz powiadomienie e-mail dla alertów i określ port serwera SMTP. Jeśli używasz platformy Microsoft 365, możesz użyć serwera SMTP platformy Microsoft 365.
5. Wprowadź nazwę FQDN lub adres IP serwera SMTP.
6. Wybierz pozycję Określ konto, wybierz pozycję Ustaw, a następnie wybierz pozycję Nowe konto.
7. Podaj nazwę użytkownika i hasło dla nowego konta i kliknij przycisk OK.
8. Wprowadź adres nadawcy alertów poczty e-mail.
9. Kliknij przycisk Zastosuj.
10. Serwer SMTP można przetestować, wysyłając przykład wiadomości e-mail. Wybierz pozycję Testowanie serwera SMTP w oknie dialogowym właściwości powiadomień Email.
    • Przejrzyj błędy w programie NotiCtlr.log.
    • Zaleca się skonfigurowanie protokołu SSL z certyfikatem PKI u dostawcy programu SMS w celu pomyślnego zatwierdzenia lub odrzucenia żądania w sieci wewnętrznej, gdy brama zarządzania chmurą nie jest skonfigurowana. W przeciwnym razie zobaczysz stronę zawierającą ostrzeżenie "Wystąpił problem z tym certyfikatem zabezpieczeń".

Zatwierdzanie żądań aplikacji poza siecią wewnętrzną

Aby zatwierdzić żądania aplikacji poza siecią wewnętrzną, wymagane są dodatkowe ustawienia:

1. Włącz opcję Zezwalaj Configuration Manager ruchu bramy zarządzania chmurą na serwerachkonfiguracji lokacji administracji>> i właściwościachdostawcy> programu SMSról> systemów lokacji.
2. Skonfiguruj bramę zarządzania chmurą.
3. Włącz Microsoft Entra odnajdywanie użytkowników.
4. Skonfiguruj następujące ustawienia dla tej aplikacji natywnej (aplikacji klienckiej) w Microsoft Entra ID. Te ustawienia należy skonfigurować ręcznie w Azure Portal.

   • Identyfikator URI przekierowania: https://<CMG FQDN>/CCM_Proxy_ServerAuth/ImplicitAuth. Użyj w pełni kwalifikowanej nazwy domeny usługi bramy zarządzania chmurą (CMG), na przykład GraniteFalls.Contoso.com.

   • Manifest: ustaw wartość oauth2AllowImplicitFlow na wartość true. Na przykład: "oauth2AllowImplicitFlow": true,

Testowanie procesu zatwierdzania wiadomości e-mail

Przejdźmy do kompleksowego scenariusza:

1. Aplikacja jest wdrażana jako dostępna w kolekcji użytkowników. Na stronie Ustawienia wdrożenia włącz ją do zatwierdzenia. Ponadto wprowadź kilka adresów e-mail, aby otrzymywać powiadomienia o żądaniach aplikacji.

   

2. Użytkownik widzi nową aplikację w Centrum oprogramowania i wysyła żądanie. Witryna wysyła powiadomienie e-mail w ciągu pięciu minut do adresów określonych we wdrożeniu aplikacji.

   

3. Odbiorca wiadomości e-mail wybiera opcję Zatwierdź lub Odmów. Komunikat o powodzeniu jest wyświetlany w przeglądarce, jeśli witryna pomyślnie przetworzyła żądanie aplikacji.

   • Jeśli żądanie aplikacji zostało zatwierdzone lub odrzucone za pośrednictwem poczty e-mail, linki wygasają i nie mogą być używane przez inne osoby.

Znane problemy

1. Błąd 404 jest wyświetlany po Approve kliknięciu linku lub Deny kliknięciu linków.
   • Nie ma certyfikatu powiązanego z usługą Administracja. Sprawdź, czy funkcja certyfikatów wygenerowanych przez Configuration Manager jest włączona. W przeciwnym razie skonfiguruj własną infrastrukturę certyfikatów PKI.
   • Sprawdź, czy SMS_REST_PROVIDER.log nie występują błędy.
2. There is a problem with this security certificate ostrzeżenie po Approve kliknięciu lub Deny kliknięciu linków.
   • Configuration Manager wygenerowany certyfikat nie jest zaufany przez przeglądarkę internetową na kliencie. Zaleca się skonfigurowanie infrastruktury certyfikatów PKI, gdy linki są używane w sieci wewnętrznej.
3. Service is unavailable, HTTP Error 503 Komunikat.
   • Sprawdź, czy usługa Administracja jest uruchomiona. Na maszynie dostawcy przejdź do pozycjiSzczegółymenedżera> zadań. Upewnij się, że istnieje aktywny proces o nazwie sccmprovidergraph.exe
   • Otwórz dostawcęprogramu SMS konsolę Configuration Manager,serwery konfiguracji lokacjiadministracyjnej>i role> systemów lokacji>. Kliknij prawym przyciskiem myszy pozycję Właściwości. Upewnij się, że Allow Configuration Manager cloud management gateway traffic. jest to sprawdzane, gdy funkcja zatwierdzania wiadomości e-mail jest przeznaczona do użycia z bramą zarządzania chmurą i nie jest sprawdzana, gdy funkcja jest używana do zatwierdzania lub odrzucania żądań w sieci wewnętrznej.
4. Linki do zatwierdzania lub odrzucania żądania za pośrednictwem bramy zarządzania chmurą nie działają.
   • Sprawdź, czy Microsoft Entra odnajdywanie użytkowników jest włączone.
   • Upewnij się, że adres e-mail określony podczas wdrażania aplikacji należy do Organizacji.
5. Email nie jest wysyłana, gdy użytkownik zażądał aplikacji.
   • Sprawdź, czy adres e-mail jest poprawny.
   • Upewnij się, że skonfigurowano powiadomienia e-mail dotyczące alertów.
   • Sprawdź, czy NotiCtrl.log nie występują błędy.
6. Błąd w kreatorze tworzenia wdrożenia aplikacji .
   • Upewnij się, że masz prawa do tworzenia subskrypcji. Subskrypcja zostanie utworzona automatycznie podczas wdrażania aplikacji.