Software verteilen mit GPOs: Einschränkungen und Alternativen

    Zentrale Verteiling von SoftwareWie unser erster Beitrag zeigt, bieten Gruppen­richtlinien einige Möglich­keiten, um Software zu verteilen. Diese Bordmittel leiden allerdings auch unter einigen schwer­wiegenden Einschränkungen, die eine moderne Client-Management-Lösung über­winden kann.*

    GPOs lassen sich sowohl auf User als auch auf Computer innerhalb einer Organisationseinheit anwenden und per WMI-Filter auf bestimmte Merkmale der Zielcomputer wie Betriebssystem oder Produkttyp abstimmen. Darüber hinaus bleibt aber eine Reihe von Wünschen offen. Dazu gehören:

    Fehlendes Feedback und keine Reports

    Die Softwareverteilung mit dem Active Directory lässt Administratoren über die meisten Details im Dunkeln. Weder gibt es Feedback, ob Software erfolgreich auf Clients installiert wurde oder ob die Installation fehlgeschlagen ist, noch können Sie inventari­sieren, welche Rechner bestimmte Pakete nutzen.

    Auch die aktuelle Bestandsaufnahme fehlt. So bleibt Ihnen verborgen, welche Rechner gerade mit der Installation beschäftigt sind oder ob dabei Fehler auftreten.

    Lizenznutzung bleibt unklar

    Aufgrund der fehlenden Inventarisierungs­möglichkeiten können Sie nur schwer feststellen, wo wie viele Lizenzen einer bestimmten Software gerade im Einsatz sind. Das macht Ihre IT anfällig für Lizenzverstöße. Besonders der vordergründig einleuchtende Verteilungs­mechanismus an User birgt hier die Gefahr zu vieler Installationen. Dies gilt besonders dann, wenn User mehrere Kopien auf verschiedenen Rechnern nutzen.

    Der Installationszeitpunkt lässt sich nicht festlegen

    Die Installation erfolgt nur, wenn die Nutzer ihre Rechner neu starten. Sie als Administrator haben auf diesen Zeitpunkt keinen direkten Einfluss. Genauso wenig können Sie die User dazu bringen, ihre Rechner überhaupt neu zu starten.

    WMI-Filter sind fehleranfällig

    Das Abfragefeld für WMI-Filter prüft nicht, ob die Abfrage überhaupt sinnvolle Ergebnisse liefert. Die Fehlersuche kann aufgrund der Syntax gerade bei komplexeren Abfragen schwierig werden. Zudem eignet sich die Methode nicht, wenn Sie Abfragen über mehrere Namensräume durchführen möchten, denn das ist schlichtweg nicht möglich.

    Beim Erstellen eines neuen WMI-Filters muss man eine WQL-Abfrage formulieren.

    Die Verteilung kann das Netzwerk belasten

    Sie haben keine Möglichkeit, schon im Vorfeld der Installation die Dateien nach und nach auf die Clients zu übertragen. Daher laden alle User in dem Moment, in dem die Gruppenrichtlinie wirksam ist, die Ressource vom betreffenden Server. Das kann gerade in Anschalt-Stoßzeiten, zum Beispiel am Morgen, Ihr Netzwerk an die Belastungs­grenze bringen. Schlägt die Anwendung der Richtlinie fehl (beispielsweise, wenn der User den Rechner einfach ausschaltet), lädt der Computer die Software erneut.

    Nur MSI-Pakete können verteilt werden

    Für alle Installationen muss ein MSI-Paket vorliegen bzw. Sie müssen dieses mit Hilfe von Drittanbieter-Tools selbst generieren. Andere ausführbare Dateien (zumindest, wenn Sie den Silent Mode, also die unbeaufsichtigte Installation, unterstützen) können zwar über sogenannte ZAP-Dateien ausgerollt werden, allerdings nur an User und nicht an Computer.

    Diese Pakete werden allerdings immer nur mit den lokalen Nutzerrechten installiert und schlagen dann fehl, wenn Sie Ihren Standardnutzern untersagen, Software zu installieren - wie es ja in den meisten Unternehmen der Fall sein dürfte.

    Einfachere Software-Verteilung mit Client-Management-Lösungen

    Wie Sie gesehen haben, bieten Bordmittel bereits eine ganze Reihe von Möglichkeiten, um Anwendungen in Netzwerken zu verteilen. Wenn Sie die Distribution von Software in Ihrem Unternehmen allerdings systematischer und effizienter angehen wollen, empfiehlt sich der Einsatz einer professionellen Client-Management-Lösung wie ACMP. Damit stehen noch einige weitere Funktionen zur Verfügung, die Ihre Aufgabe erleichtern:

    Erweiterte Installationsmöglichkeiten

    Mit Gruppenrichtlinien können Sie nur MSI-Pakete verteilen. Client-Management-Lösungen unterstützen dagegen auch Nicht-MSI-Installer. ACMP bietet darüber hinaus auch die Möglichkeit, Pakete zu installieren, die nicht im Silent-Modus ablaufen - also eigentlich User-Eingaben erfordern.

    Der Paket-Wizard mit seinen vielseitigen Möglichkeiten für Installations-Ressourcen.

    Hier zeichnen Sie dann die manuelle Einrichtung auf und generieren aus den Benutzereingaben, Mausbewegungen und Mausklicks ein anpassbares Skript. Dieses führen Sie dann auf anderen Rechner vollautomatisch aus. Die auf den Clients installierten Agenten­programme des Client-Management-Tools sind darüber hinaus nicht an die Benutzerrechte des gerade angemeldeten Users gebunden. So umgehen Sie eventuelle Installations­beschränkungen.

    Paketbündelung

    Während Gruppenrichtlinien immer nur ein Installationspaket gleichzeitig zulassen, können Sie mit einer Client-Management-Lösung mehrere Pakete zu einem Installationsauftrag bündeln. Solch ein Paketbündel erleichtert die Verteilung mehrerer Programme, beispielsweise auf neu aufgesetzten Rechnern. Statt dutzenden Gruppenrichtlinien erstellen Sie nur einen einzigen Installations­auftrag mit mehreren Softwarepaketen.

    Zusammenstellungen von Software-Paketen für einen Rollout, einmal der Standard und ein abteilungsspezifisches Programm.

    Installation auf Basis von Abhängigkeiten

    ACMP kann über dynamische Gruppen auch Software in Abhängigkeit von anderen Programmen installieren. Das passiert auf Wunsch auch automatisch. So können Sie zum Beispiel Photoshop-Plug-Ins automatisch auf allen – und auch nur auf jenen – Rechnern installieren, auf denen Photoshop oder eine bestimmte Photoshop-Version vorhanden ist. Ebenso könnten Sie auch Plugins für Firefox an alle Rechner mit Firefox verteilen.

    Das Kombinieren von Filtern stellt für das ACMP kein Problem dar.

    Bedingungen können Sie beliebig verketten: Zum Beispiel könnten Sie so das Entwickler-Plugin Firebug auf allen Rechnern installieren, die sowohl Firefox besitzen als auch zu einem Benutzer aus der Gruppe "Entwickler" gehören.

    Feedback- und Filter-Optionen

    Client-Management-Lösungen verfügen über eine Reihe von Analyse­funktionen. So können Sie die Client-Übersicht mit Hilfe umfangreicher Filteroptionen anpassen und anschließend das Feedback der Zielrechner auswerten.

    Eine schöne Übersicht darüber, wann wie viele Jobs gelaufen sind und ob ein Fehler aufgetreten ist.

    Darüber hinaus erhalten Sie nach der Verteilung Fehler- oder Erfolgs-Reports, die Sie über den Status jedes betroffenen Rechners informieren. Falls es Installations­probleme gab, oder einzelne Rechner die Software gar nicht erhalten haben, erfahren Sie dies rechtzeitig und können Gegenmaß­nahmen ergreifen.

    Zeitliche Steuerung des Software-Rollouts

    Mit Client-Management-Software können Sie den Installations­zeitpunkt frei wählen. Dieser kann abhängig von einem Ereignis sein, wie einem Neustart des Rechners, oder zu einer bestimmten Uhrzeit ablaufen. Auf diese Weise können Sie beispielsweise komplexere oder langwierige Installationen auf einen Zeitpunkt verschieben, zu dem niemand mehr im Büro ist.

    In dem Container "Adobe Reader Update" wird einmalig beim Herunterfahren Adobe Reader aktualisiert, außer freitags.

    Darüber bieten Sie mit einer Client-Management-Lösung auch Ihren Benutzern mehr Flexibilität: Sie können ihnen zum Beispiel erlauben, Installationen oder Updates zu verschieben, wenn sie gerade mit der jeweiligen Software arbeiten oder den Rechner schnell herunterfahren müssen, um den Bus zu erreichen.

    Synergie-Effekte zwischen mehreren Funktionen

    Die meisten Client-Management-Produkte, unter anderem auch ACMP, bieten eine Vielzahl von Optionen für Monitoring, Analyse, Reporting und Administration. Sie erhalten parallel zu der Software­verteilung beispielsweise eine Übersicht über vorhandenen Lizenz-Volumina und deren momentane Auslastung. Oder Sie verwenden die Report-Funktion, um im Vorfeld besser planen zu können, welche Rechner welche Software benötigen und wo Update-Bedarf besteht.

    In diesem Report sieht man schnell, welche Clients ein Update benötigen..

    Weiter automatisieren mit ACMP

    Die Client-Management-Lösung ACMP von Aagon bietet Ihnen zusätzlich zu den bereits genannten Vorteilen einen weiteren: ein fortgeschrittenes Automatisierungsmodul. Damit können Sie unter anderem weitere Inventardaten mit Ihrer Softwareverteilung verzahnen.

    Über dynamische Gruppen können Sie beispielsweise feststellen, welche Rechner nicht mehr genügend Festplattenplatz für ein geplantes Roll-out haben. ACMP startet für diese Rechner dann zum Beispiel automatisch ein Wartungsprogramm, um temporäre Dateien zu entfernen oder größere Datenmengen zu komprimieren.

    Ein Container, um Probleme mit dem verfügbaren Speicherplatz frühzeitig zu erkennen.

    Ist diese Routine abgeschlossen, fällt der betroffene Rechner automatisch aus der Gruppe "Zu wenig Festplattenplatz" heraus, bleibt aber dennoch in der Zielgruppe für den geplanten Roll-out. So vermeiden Sie Probleme während der Softwareverteilung schon im Vorfeld.

    Das Beispiel Festplattenplatz ist nur eines von vielen: ACMP bietet Ihnen eine Vielzahl von Display-Fields zum Filtern und mehr als 170 fertige Client-Commands, die Sie einfach per Drag and Drop zu einer Automatisierungsroutine zusammenstellen können. Komplexere Szenarien können Sie darüber hinaus jederzeit mit gängigen Skript- und Programmiersprachen in ACMP integrieren.

    *Dieser Text ist ein bezahlter Beitrag der Aagon GmbH.

    4 Kommentare

    Bild von Tom Lorenzen
    Tom Lorenzen sagt:
    16. Juli 2015 - 14:38

    Hallo bei WindowsPro, ich möchte gerne etwas konstruktive Kritik hinterlassen. Ich lese sehr gerne in diesem Blog und finde die Qualität der Beiträge meist sehr gut.
    Doch in diesem bezahlten Fall nun, fehlt mir die wichtiges Info. Der Preis. Auch auf der Aagon Webseite konnte ich keine Preise finden. Somit ist das Produkt für mich schon raus da ich im Berufsalltag gar keine Zeit habe oder auch keine Lust habe beim zehnten Hersteller nach Preisen zu fragen....

    aber ansonsten, weiter so!

    Gruss Tom Lorenzen

    Bild von Sebastian Weber
    16. Juli 2015 - 18:33

    Hallo Herr Lorenzen,
    hier sind keine Preise angegeben, da ACMP modular aufgebaut ist und aktuell aus 8 Solutions mit diversen Adaptern und Connectoren besteht. Somit kommt der Preis immer darauf an, was Sie tatsächlich benötigen. Hinzu kommt, dass es noch diverse Rabattstaffel und auch Behördenkonditionen und Konditionen für gemeinnützige Einrichtungen gibt.
    Somit ist es sehr schwierig einen pauschalen Preis für eine so vielfältige und umfangreiche Lösung anzugeben.
    Gerne können Sie aber auch in einem kurzen Telefonat oder über unsere Kontaktanfrage unter https://www.aagon.de/kontaktanfrage auf uns zukommen und wir teilen Ihnen für die von Ihnen gewünschten Funktionen und Ihre Clientanzahl ganz unbürokratisch und unverbindlich einen Preis mit.

    Gruss Sebastian Weber

    Bild von Tom Lorenzen
    Tom Lorenzen sagt:
    25. Oktober 2015 - 9:25

    Guten Tag Herr Weber,
    ich habe leider erst heut Ihre Antwort gelesen und möchte gerne nochmals konstruktiv antworten.

    Ich selbst bin Inhaber eines kleinen aber feinen Systemhauses, ich bin nicht nur Geschäftsführer sondern arbeite produktiv in Kundenprojekten. Das mache ich nun seit ca. 20 Jahren. Damit möchte ich sagen, ich habe schon viele Softwareprodukte getestet, bzw. versucht diese zu testen.
    Es gibt Hersteller, da findet man schnell einen Preis. Zumindest einen Einstiegspreis, bekommt auch am Wochenende einfach per Download eine Demoversion und im besten Fall hört diese Demoversion nicht nach 30 Tagen an zu laufen sondern ist einfach limitiert auf z.B. 10 Hosts. (Je nach Software kann man ja ein sinnvolles Limit einbauen)
    Da Dienstleister wie ich in der Woche meist komplett verplant sind, bleibt im Grunde nur der Abend oder das Wochenende um Neues zu testen. (Diese Nachricht schreibe ich Sonntag vormittags 9.18Uhr)

    Wenn ich dann am WE nicht an eine lauffähige Demoversion drankomme, ist das Produkt zu 99% raus. Nach einer Demoversion schaue ich aber inzwischen nur noch wenn ich zumindest eine Vorstellung zum Preis finden kann.

    Es wäre doch ein einfaches, z.B. 1-2 Beispielrechnungen am Ende des Artikels mit aufzuführen.
    Beispiel 1: kleine Firma, 25 PCs, nur Softwaredeployment, blabla, kostet ab Betrag xxx
    Beispiel 2: mittelständische Firma, 330 PCs, Umfang Deployment, Reporting, blabla, kostet ab Betrag yyy

    Ich unterstelle dass hier auf Windowspro zig Dienstleister wie ich mitlesen, weiterhin unterstelle ich dass nur die Wenigsten sich die Mühe machen hier einen Kommentar zu hinterlassen. Vermutlich werden eben die selben Personen auch nicht wirklich zum Telefon greifen um einen Preis zu erfragen.

    Ich wünsche noch ein schönes Wochenende und für WindowsPro bitte weiter so, ich lese sehr gerne hier.

    Mft Tom Lorenzen

    Bild von armin sattler
    armin sattler sagt:
    17. Juli 2015 - 0:19

    Ich muss Tom rechtgeben, denn ein wichtiger Indikator ob ein Produkt bei unseren Kunden zum Einsatz kommt ist nun mal der Preis. Ein einfaches Rechenbeispiel würde reichen, beispielweise ein fiktives Szenario mit 15 - 20 PC's beschreiben und ein Preisschild dran hängen. Dann kann jeder relativ schnell entscheiden ob und für welche Kunden die Lösung interessant sein könnte.

    Wenn kein Preis dran steht dann vermute ich oft, dass das schon seinen Grund hat und lege es gedanklich zur Seite....

    Viele Grüße
    Armin Sattler