Windows 11 deployment - Golden Image / Sysprep (diskuse)

[RealJ]

pokud pouzivate 365 proc misto tohodle lokalniho bastleni nepouzijes prihlaseni o365 uctem uzivatele a vse se mu nainstaluje/nakonfiguruje pres intune?

[Max]

Máme tam jen maily a teamsy a firma se rozhoduje, zda bude místo 3 mega ročně platit 4 mega měsíčně za vyšší licence.
Navíc tohle lokální "bastlení"(vzhledem k tomu, že to je oficiální a jediný způsob, tak to bastlení není a nevidím ani důvod to tak nazývat) by O365 neřešilo. Když máš golden image, tak stroj máš naladěný do 30min z čisté louky s tím, že adminovi to sebere tak 10min a je tam vše s nulovým overheadem. Mít jen předinstalovaný OS (výchozí, žádný golden image) a zbytek řešit deployem app je možnost, ale je to stále možnost, co neúměrně prodlužuje nahození nového ntb. Navíc tu jsou věci jako nutnost mít 32bit MS Office, tj. řešit nějak uninstall nainstalovaných 64bit, řešit u každého zařízení upgrade windows na poslední build apod. To je prostě šílenost. Nechceš vydat uživateli neaktuální sadu sw a nechceš čekat na nahození 100 notebooku měsíc, nebo déle. Vem si, že způsobem popsaném v článku máš 100 ntb připraveno do týdne se vším všudy (full update všech app, windows, zapnutý bitlocker, zazálohovaný klíče do AD, nahození a zaktualizovaný AV atd.) jedním člověkem.
Zdar Max

[Max]

Jinak dodám, že používáme mnohem lepší patch mgmt, než může nabídnout MS, ale prostě tento způsob deploymentu nových zařízení je nejrychlejší.
Zdar Max

[Want]

Existují tři základní způsoby, jak to dělat. Z toho jeden je špatný a jeden pomalý.

1) Naklonovat jeden pc na ostatní (špatný)

A v tomhle diskuzním vlákně:

Vem si, že způsobem popsaném v článku máš 100 ntb připraveno do týdne se vším všudy (full update všech app, windows, zapnutý bitlocker, zazálohovaný klíče do AD, nahození a zaktualizovaný AV atd.) jedním člověkem.

Tak tolik času Maxi nikdy nemám. V optimálním případě na to mám odpoledne. Zkoušeli jsme postup který popisuješ, ale nakonec jsme se pokorně vrátili k tomu co považuješ za způsob špatný.

A víš proč?

Rozdíl je v tom co má být cílem - u nás identický, plně nakonfigurovaný funkční systém připravený s veškerým sračkoidním SW na jaký si kdo vzpomene. Z hlediska HW jsou (a musí být ) ty stroje víceméně stejné. Nejsou to nové stroje, které by se pak dávaly uživatelům k individuálnímu použití. Studenti se u nich střídají. Postup je tedy jiný.

Vybere se jeden ze stávajících strojů. Vykopne se z domény, pročistí, zaktualizuje a teprve když je na něm vše odladěno následuje distribuce, kdy vyhodí z domény i ty ostatní stroje a ten aktualizovaný se na ně multicastem rozsype.

Distribuce se dělá z disklessu. Z jednoho stroje, všechno najednou. Před rebootem se upraví individuálně skript který je po rebootu přejmenuje a zadoménuje. A to, jak dlouho celý proces trvá záleží jen na tom, za jak dlouho ty data z výchozího stroje protečou po síti. Dřív to bývalo 80GB, dnes už je to téměř 250GB.

[Max]

Musíš si uvědomit, že ten týden na 100PC znamená:

• vybalit
• oštítkovat
• zaevidovat do assetu s co nejvíce informacemi
• dohrát dodáky a fa do assetu apod.
• nahrát image
• join do domény
• nastavení bitlockeru
• kontrola, že se klíč bitlockeru správně zazálohoval
• kontrola, že je ten pc ok z pohledu, že vše funguje a není tam nějaká vada z výroby

Pokud bych měl farmu běžících strojů a řešil bych u nich jen update/deploy, tak by to byla otázka večera, kde by byla brzdou asi jen ta síť.

Zdar Max

[Want]

Jasně. Fyzická příprava těch strojů je časově nejnáročnější. To naštěstí loni dělal někdo jiný. Vstupují do toho jiné faktory. Kupř. to že si den poté co ty stroje připravíš vyučující vzpomene že tam chce mít ještě něco. To je pak vždy na zvážení, co je efektivnější. Jestli to přidat vzdáleně, nebo ty stroje naklonovat znova. Ten klon lze svým způsobem totiž chápat i jako zálohu. Návrat do původního stavu je rychlý. Stroje vykopneš z domény a sjedeš to znovu předchozí stav.

[Aleš Kapica]

A ještě jednu věc jsem nezmínil.

Řešíme to jen v relativně krátkém období dvakrát ročně a za ten půlrok se vždycky něco změní tak, že je nakonec jednodušší to udělat takhle, protože je s tím nejmíň sraní. A protože se to týká jen dvou učeben, nedává smysl tomu dávat víc, než je nezbytně nutné.

[Max]

Dělám to tak už dlouho, za dob Win10, za x buildů Win11 a nevidím tam žádné změny. Funguje to stále stejně, postup je stále stejný atd.
Zdar Max

[Want]

Skript ntfsradio.sh používáme od roku 2013

[RealJ]

ja se zeptam Maxi, to kazdy tyden nabirate 100 novych zamestnancu?

[Max]

Lifecycle hardware. Pokud začneš mít zamce v tisících, tak je to nekonečný nákup a výměna hw.
Zatím máme asi rekord 150 ntb + 20PC + 40 Tabletů + hafec telefonů / rok. A to se už v pár lidech, co dělají L1 a milion věcí okolo, blbě stíhá.
Zdar Max

[Max]

A dodám, že nakupujeme batch, protože se zadává do výroby dle naší spec. (vychází to pak cenově dobře a je to bez práce / hledání) Takže chceš obnovit 100ntb, tak je koupíš najednou a pak je chceš co nejrychleji vydat, aby ti neležely půl roku na skladě a neběžela zbytečně záruka apod.
Zdar Max

[ft]

"zaevidovat do assetu" To nekdo dela rucne? Si nejakej soft ocucha v okamzeni, kdy se to objevi v domene.

"join do domény" Viz kolem, lze vpohode resit scriptem pri instalaci.

Stovku stroju sem resil loni v lete. A nejdelsi na celym procesu bylo dohadovani se s uzivatelema kdy se jim to vymeni. Protoze samozrejme maji vsichni cas jit 10x denne na 1/4 hodiny cigaro, ale 5 minut na vymenu pc nemaj.

Deploy vsech aplikaci se resi ze site, prevazne v tomhle pripade ne z domeny, protoze to je pro vetsinu tech veci nepouzitelny, takze je to custom scriptoindni vec.

Jup, instalace jednoho stroje je tak na 2 hodiny, vcetne vsech restartu a aktualizaci, ale po jednom to samo nikdo delat nebude, takze se jich nainstaluje tolik, kolik je volnych sitovych portu.

[Max]

To nekdo dela rucne?

Ano, protože pohyby ve skladovém hospodářství nemůžeš mít dynamické, resp. můžeš, ale na to dojedeš (stačí jeden vadný update agenta a rozjebe se ti skladové hospodářství tak, že si toho všimneš třeba až za týden, za dva, kdy už budeš nevratně poškozen) a navíc to řeší jen tak 10% assetu. My používáme agenta, ale ten doplňuje pn, sn, mac, vendora, last login atd., včetně komplet hw spec i nainstalované sw sady, některé umí vyčíst z netu i záruku, ale tím to končí. Nezaevidují ti monitory, síťové prvky, ip kamery, myši, klávesnice, web kamery, auta, nábytek, telefony, tablety, upsky, dokovací stanice, baterie do ups a asi tak dalších milion položek. Agent ti tam nenahraje číslo fa, dodáku a hafec dalších atributů.

Jinak souhlas, tvůj usecase je v poho a nerozporuji to. Jen říkám, že u nás "ručně" nainstalovat stroj do 100% full update stavu trvá tak 6h, kdy 90% je čekání, než to proběhne. Jen blbý uninstall Office trvá 15min u nového stroje.

Horší jsou ale tablety, tam to začíná být největší peklo.
Zdar Max

[plostenka]

protože pohyby ve skladovém hospodářství nemůžeš mít dynamické

To jako dodavatel 100+ ntb nedokaze zaroven dodat CSV, ktere si bashem naimportujes do skladu? Dtto mysi a takovy bordel, to se nakupuje pred koncem rozpoctoveho obdobi do zasoby. Ze by to nekdo evidoval vcetne serioveho cisla a picovin, to slysim prvne.

Jen blbý uninstall Office trvá 15min u nového stroje.

Kdyz jste si opice naporouceli, tak je mate.

[Max]

Některé levné věci se nakupují po stovkách a evidují se jen počty (kdy bylo kolik ks naskladněno, kolik ks se komu a kdy vydalo atd.).
Jinak ne, dodavatelé nikdy nic takového neposílají. Občas se spíše stane i opak, kdy se dodavatel ozve s prosbou, že mu unikl seznam SN, zda bychom mu jej nemohli poslat :D.
Každopádně nic vyloženě nedatlujeme, používají se čtečky apod.

Kdyz jste si opice naporouceli, tak je mate.
64bit Office je předinstalován na každém OEM PC již z výroby.
Zdar Max

[plostenka]

64bit Office je předinstalován na každém OEM PC již z výroby.

A nekdo do vyroby zadal pozadavek na flashnuti image {pro/home/edu, cestina, s oficema,...}.

[Max]

Ne, to je by default u všech OEM instalací. Když koupíš ntb, máš to tam. Windows i Office podporují multilang a standardně pro distribuci v ČR jsou předinstalované jazykové mutace EN, CZ, SK
Když zadáváš do výroby, tak jen zadáváš, že to chceš mít včetně licence na Windows 11 Pro, což v překladu znamená, že tam nalejí jejich unifikovaný image.
Zdar Max

[plostenka]

Asi bys mel zmenit dodavatele, tehle ti sere na hlavu. Kdyz jsme kdysi za Ubuntu resili vlastni konfiguraci notasu u ceskeho zastoupeni Asusu, tak nam vysli vstric i pro jednotky kusu, asi osm, deset celkem. Sto kusu by melo byt hw/sw customizovatelne bez diskuse.

[Max]

V čem vyšli vstříc? Že jste jim doali vlastní image Ubuntu a oni ho tam nalili? Nebo jste jim poslali, jak to Ubuntu má být předinstalováno a oni pro vás vytvořili image?
Zdar Max

[RealJ]

k cemu mas tech 100 notebooku najednou? K nicemu. Vetsina firem tady to resi tak ze je notebook dorucen zamestnanci, ten se pripoji doma k internetu, zaloguje se svym uctem a necha ten notas bezet, stahne si co potrebuje na pozadi a za 2-3 hodky tam ma vse co potrebuje. Upgrade windows ti vyresi autopatch nebo policy v intune, 32bit office nebo uninstall 64bit ti resi script ktery mas ted v golden,... me prijde zbytecne u o365 zakazniku resit desktopy pres golden images, kdyz to same udelas online a nemusis furt generovat dalsi a dalsi verzi golden image...

[Max]

Okamžitě po nainstalování se začínají vydávat a velmi pomalu ten image zastarává. Třeba i za tři měsíce je ta sw sada hodně v pohodě a doupdate je chvilka s malým síťovým overheadem. Dost často také máme v podobných obdobích brigádníka, takže je vhodné ho využít na max.
Vize, že si ho doma připojí a vše se naladí je super, ale to jaksi neřeší přenos nastavení programů a milion dalších věcí okolo.
Pokud tvorba Golden Image trvá den (než se stáhnout všechny aktualizace, než se vyupdatujou všechny app apod.), tak těžko budou mít doma na své pomalé lajně za 2-3h hotovo.
A znovu, my nemáme O365, máme tam jen maily a pro pár lidí teamsy. Tvá vize je o najmutí týmu pro správu O365, zaplatit za licence 10x tolik, než nyní a hodit instalaci na uživatele, kteří ani neví, jak se nastavuje podpis v Outlooku, nebo výchozí prohlížeč. A samozřejmě by pak postrádal smysl současný patch management sw a museli bychom k horší variantě v podpobě intune.
Jinými slovy, i náš současný patch mgmt sw, co toho umí mnohem více, než intune, lze naskriptit, aby on dělal full deploy. Ale jak už jsem říkal, vyhodnotili jsme, že toto je při těch počtech prostě nejrychlejší a nejspolihlivější způsob.
Zdar Max

[RealJ]

jasne, rozumim. co pouzivate k patchovani? Patchmypc? Neco jineho? Ja videl spoustu firem odejit od sccm a manualni prace k patchmypc kde v enterprise verzi mas podporu lokalniho nebo cloud deploymentu/aktualizaci. Pro windows je to podle me jedno z nejlepsich reseni ktere funguje out of the box (bez boxu). :D

[Max]

N-Central. Jsou to Irové, český support spíš ne, jen nějaký základ. Umí to patchovat sw třetích stran (např. 7zip, vlc, firefox a hafec dalších app), umí to být distribuované, agent v PC vypíná windows update přes online servery v případě, že vidí na n-central server. Pokud je uživatel mimo firmu a není vyspinovaný server ven do netu, tak agent povoluje update od MS. Lze to nastavit, takže povolení nemusí přijít. Centrální správa umožňuje na dálku upravovat uživateli registry (jak uživatelské, tak systémové), je možné si otevřít cmd, je možné spravovat windows služby (restartovat, nastavovat apod.). Na všechno toto to má přehledný web ksicht, co běží na LinuxVM.
Update od MS si stahuje k sobě (pokud je více poboček, tak distribuovaně na dedikované úložiště na každé pobočce a odtud pak distribuce ke klientům). Má vymazelný KVM směrem k uživatelům. Žere to metriky z PC, takže přes centrální správu je vidět, zda ten PC něco netrápí.Podpora i serverů, má to v sobě i monitoring (takže dokáže nahradit i nějaký dohled, pokud nemá člověk nic lepšího). Má to automatization manager na ulehčení automatizace deploymentu, skriptování a dalších věcí okolo. Podporuje to integraci se SentinelOne, s ESETem a dalšími. Některé AV to umí i monitorovat, zda jsou ok. Kdybych měl napsat, co to všechno má a jak to funguje, tak je to na delší dobu. My máme jen základ ohledně patch mgmt, ale lze to napojit na cokoli a rozšířit o XDR a další věci.
Cenově je to pak lehce pod SCCM (když se bavíme jen o tom patch managementu se vzdálenou správou stanic).

Kdysi jsme hledali něco vymazelnýho pro on-prem, co není čistě cloudová věc a toto vypadalo nejlépe ze všech.
Zdar Max

[Max]

Jo, je to asi rok, co nám ukazovali i jejich backup řešení a to, jak je to podle nich o parník spolehlivější a lepší, než veeam.
Zdar Max

[RealJ]

njn, n-central je full rmm. Patchmypc je vyslovene pro 3rd party apps patching, umi to zjistit co za aplikace mas v prostredi a muzes pak delat veci typu migrace mezi 32bit a 64bit nebo odinstalovani nejakejch nestandardnich ptakovin a nainstalovani standardnich apps,... Ja u spousty enterprise vidim presun od nejakeho sccm bastleni k intune a autopatch a vidam patchmypc pro 3rd party apps. n-central tady moc nevidim, kdyz tak Ivanti, nebo ninjaone, obcas atera, obcas ManageEngine nebo Ivanti. Diky za info Maxi!

[Max]

ManageEngine nám přišel děsnej. Ninjaone byl v době našeho výběru čistě cloud. Ivanti mi asi něco říká, ale nevím, nevím. Ateru neznám.

Jinak ještě dodám, že na samém počátku, když firma byla menší, jsem měl vizi pomocí chocolatey. Problém ale byl v tom, že verze zdarma nefungovala v offline režimu a spoustu apps to tahalo neustále z netu. To řešila jeich placená verze, která ale byla pekelně drahá, takže oproti jiným řešením přestala dávat smysl. Jaký je současný stav, to nevím. Nicméně byla to škoda, nevyužít balíčkovací sysém, který je již ve windows vestavěn.
Zdar Max

[plostenka]

Je uzasne pozorovat ty rovnaky na ohejbaky misto 30+ let stare technologie repozitaru. Holt M$, dokazal vykrast /etc/hosts ale sources.list uz bylo prilis slozite.

[Max]

Windows v sobě mají balíčkovací systém, ale moc se nepoužívá. Nejznámější je pak chocolatey repo.
Myslím, že to funguje minimálně od Windows 7
Zdar Max

[Bugsa]

Já tedy nejedu v takovém množství, ale automatizaci mám také. Místo golden image jsem zvolil cestu vždy nové čisté instalace - přijde mi to tak čistší.

Instalaci Windows bootuju přes PXE, mám tam udělaný instalátor kde vyberu ze 3 možností (originál instalátor, unattended, unattended + join AD). Ten unattended přeskočí veškeré dialogy a OOBE instalátoru a na konci mám nabootovaný čistý nový systém s default účtem Deploy.

Ta varianta s join AD po dokončení instalace ještě navíc joine AD a pak Deploy účet zakáže. Přes Chocolatey se nainstaluje sada základního SW a pak se dle přihlášeného uživatele přes GPO vše doinstaluje (kombinace Assigned + custom PS skripty). Takže práci mám víceméně jen s vybalením a spuštěním stoje, vše se udělá pak samo. Uživatel se pak jen přihlásí, zaloguje se do aplikací a může fungovat.

[Max]

Proč neděláme čistou instalaci jsem řekl. A proč neděláme deploy + dotahání od jinud také. Je to kvůli času, ne času admina, ale času nahození nového stroje.
My máme část deploymentu i v rámci AD (deploy asset, patch mgmt apod. agentů), ale tím to asi končí a o vše se stará patch management sw.
Zdar Max

[ft]

Ehm ... lol ...

https://schneegans.de/windows/unattend-generator/

Skopirovat do roota standardni instalacky.

Samo, na vyrobu toho XML ma silenej a prakticny nepouzitelne tool i MS.

Pak uz staci jenom tu instalacku vrazit do stroje a nechat to bezet. Klidne se to muze rovnou i samo pripojit do domeny a vygenerovat si to prislusny nazev stroje dle nejakyho algoritmu.

[Max]

Ten generátor znám, stejně jako jiné generátory.
Jak myslíš, že jsem ten unattend file asi tak dělal? . Nebo k čemu se má vztahovat ten smích? Že jsem tam zapomněl uvíst linky na generátory?
Zdar Max