baramundi Management Suite 2014 Release Notes

Transkript

1 Seite 1 / 67

2 Liebe Leser, die baramundi Management Suite 2014 stellt in frischem Gewand die bewährten Funktionalitäten sowie eine Vielzahl neuer Möglichkeiten bereit. Die über die letzten Jahre gewachsene Oberfläche wurde für das Release 2014 grundlegend überarbeitet, um dem Administrator weiterhin eine moderne, emotional ansprechende, effiziente und effektive Benutzerschnittstelle an die Hand zu geben. So erscheint die neue Benutzeroberfläche nicht nur frischer und aufgeräumter, sondern bietet auch viele Detailverbesserungen zur Arbeitserleichterung. In baramundi Mobile Devices wurde das Konfigurationskonzept erweitert und modular strukturiert: Ein Baukasten aus verschiedenen kombinierbaren Profilbausteinen ermöglicht die plattformübergreifende Einrichtung der Geräte, unter Berücksichtigung der spezifischen Funktionalitäten einzelner Plattformen und Gerätetypen (z.b. Samsung KNOX). In baramundi Patch Management wächst durch die Integrierbarkeit von Windows Update bzw. WSUS der Umfang der verfügbaren Updates signifikant. Neben Sicherheitsupdates können künftig auch funktionale Updates von Microsoft über die Management Suite administriert werden. Mit baramundi Compliance Management beinhaltet die Suite ab Release 2014 ein vollständig neues Modul. Damit steht dem Administrator der komplette Lebenszyklus des Schwachstellenmanagements in nur einer Lösung zur Verfügung. Vollständig automatisiert können alle verwalteten Clients kontinuierlich auf Schwachstellen geprüft werden, um diese gezielt mit den etablierten Mechanismen zur Softwareaktualisierung zu beseitigen. Ich wünsche Ihnen eine spannende Lektüre. Armin Leinfelder Produktmanager 2014 baramundi software AG - Änderungen vorbehalten - DocID: BMS RN DE Aussagen über Ausstattung und technische Funktionalitäten sind unverbindlich und dienen nur der Information. Seite 2 / 67

3 baramundi Management Suite Version 2014 INHALTSVERZEICHNIS 1 Release Benutzerschnittstelle Compliance Management Patch Management Mobile Device Management Verschiedenes Release Mobile Devices Serverseitige Aktionen Verschiedenes Release Mobile Devices Lizenzverwalter-Rolle Korrektur beim sicheren Löschen von Festplatten Jobausführung beim Herunterfahren baramundi Managed Software Verbesserungen Verschiedenes Änderungen in Version 8.8 ( ) Änderungen in Version 8.8 SP1 ( ) Änderungen in Version 8.8 SP2 ( ) Release Energy Management Verbesserungen baramundi Remote Control Automation Studio / baramundi Deploy Script DIPSync Verschiedenes Systemvoraussetzungen und Einschränkungen Systemanforderungen und Kompatibilität der Release Bekannte Einschränkungen von Release Bekannte Einschränkungen der neuen bmc Anhang Glossar Abbildungsverzeichnis Seite 3 / 67

4 1 Release Benutzerschnittstelle Optimale User Experience per Design Das baramundi Management Center (bmc) wurde für IT-Verantwortliche und Administratoren entworfen, ist also ein spezialisiertes Tool für Power-User. Um den typischen Anforderungen dieser und verwandter Rollen auch weiterhin gerecht zu werden, wurde die bmc auf den Prüfstand geholt und die gesamte Oberfläche zusammen mit GUI-Designern neu gestaltet. Der Anspruch, eine effektive und effiziente Benutzerschnittstelle zu realisieren, die emotional gefällt, kurzum eine bestmögliche User Experience bietet, war maßgeblich für das Redesign des bisherigen GUI. Die Performance der Oberfläche konnte deutlich verbessert werden, was vor allem der Visualisierung langer Listen in großen Umgebungen zugutekommt Modernes Look & Feel Die neue Benutzeroberfläche des baramundi Management Center 2014 bietet dem Administrator eine aufgeräumte und moderne Schnittstelle, um für typische Anforderungen schnellere Lösungen bereitstellen zu können. Abbildung 1 - Neues Look & Feel des baramundi Management Center Seite 4 / 67

5 Bewährte Arbeitsweisen im Umgang mit der baramundi Management Suite (bms) wurden unverändert übernommen, so dass erfahrene Anwender sich auch auf der neuen Oberfläche schnell zurecht finden werden. Zum Beispiel spielen Jobs, Logische Gruppierungen, dynamische Gruppen und andere grundlegende Konzepte weiterhin eine zentrale Rolle. Die gewachsene Anzahl von Knoten im Navigationsbaum wurde aufgeteilt auf mehrere Reiter, um die Übersichtlichkeit zu verbessern und das Springen zwischen verschiedenen Ansichten zu erleichtern Integriertes Client und Mobile Device Management Integration als Strategie Die baramundi Management Suite zeichnet sich durch die Integration aus klassischem Client Management für Windows-Rechner und Mobile Device Management (MDM) für Mobilplattformen Android, ios und Windows Phone aus. Da die MDM-Möglichkeiten komplett aus eigener Entwicklung stammen und somit keine Abhängigkeiten von Drittanbietern bestehen, war eine nahtlose Integration möglich. Ständiges Ziel dieses Integrationsansatzes ist es, gemeinsame Eigenschaften der verschiedenen Plattformwelten zu abstrahieren und in Form von einheitlichen Bedienkonzepten durch die bms bereit zu stellen. Somit können Weiterentwicklungen der Plattformhersteller jetzt und in Zukunft optimal durch eine einzige, umfassende Management Suite berücksichtigt werden. Das Release 2014 unterstützt diese Strategie durch zwei wesentliche Neuerungen: die Zusammenführung von Windows- und Mobilgeräten in gemeinsamen Organisationseinheiten sowie plattformübergreifenden Konfigurationsprofilen für Mobilegeräte (siehe Abschnitt 1.4.1) Mobilgeräte in Organisationseinheiten Logische Gruppierungen können neben Windows-Geräten auch Mobilgeräte in gemeinsamen Organisationseinheiten verwalten, beispielsweise unterteilt nach Abteilungen. Dies erleichtert die Gruppierung der mobilen Geräte und damit insbesondere die Verwaltung einer großen Anzahl von Geräten. Abbildung 2 - Mobilgeräte in Organisationseinheiten Seite 5 / 67

6 1.1.4 Flexible Navigation mittels Reiter Beim Surfen im Internet hat man sich inzwischen an die Vorzüge von Reitern im Browser gewöhnt. So kann der Benutzer mehrere Seiten parallel im Auge behalten und gezielt zwischen mehreren Sichten hin und her wechseln. Auch als Administrator behält man verschiedene Aspekte im Auge und soll zusätzlich auf spontane Anfragen reagieren können, um danach wieder zur begonnenen Arbeit zurückkehren zu können. Hier helfen Reiter ebenfalls dabei, den Überblick zu wahren und typische Abläufe effizienter zu gestalten. Abbildung 3 - Navigation und paralleles Arbeiten mittels Reiter Auf der einen Seite bieten Modulreiter Zugang zur Umgebung aller Clients, allen Jobs und den diversen Modulen. Abbildung 4 - Modulreiter der bmc Auf der anderen Seite erlauben Objektreiter für einzelne Clients, Teilumgebungen und Jobs die Details des jeweiligen Objekts zu sichten und zu bearbeiten. Durch die Anzeige per Reiter wird effizientes paralleles Arbeiten unterstützt. So kann beispielsweise der Administrator den Kontext eines Software-Rollout kurz für einen Helpdesk-Anruf wechseln, um den damit verbundenen Client zu öffnen und auf diesem einen Druckertreiber zu installieren. Bis zur Vollendung der Helpdesk-Aufgabe kann der neue Reiter geöffnet bleiben, ohne das Zurückspringen zur ursprünglichen Aufgabe zu behindern. Abbildung 5 - Objektreiter der bmc Seite 6 / 67

7 1.1.5 Dashboards Dashboards verschaffen IT-Verantwortlichen einen schnellen Überblick über die Umgebung, ohne eine Vielzahl langer Listen durchsuchen zu müssen. Hierzu zählen Verteilungsstatistiken zu Jobs, Betriebssystemen und Compliance sowie eine Übersicht der jüngsten Jobs und deren Ausführungsstatus. Abbildung 6 - Allgemeines Dashboard Verbesserung der Performance Neu entwickelte Listenansichten beschleunigen die Anzeige langer Listen spürbar. Gerade in Umgebungen mit mehreren tausend verwalteten Clients werden dem Administrator die gewünschten Elemente deutlich schneller angezeigt. Dazu verwendet die bmc sogenanntes Data-Streaming, d.h. es werden jeweils nur diejenigen Daten in die Anzeige geladen, die vom Betrachter im ausgewählten Ausschnitt eines potenziell sehr langen Scroll-Fensters zu sehen sind. Diese Vorgehensweise vermeidet langwierige Ladeprozesse ähnlich dem Video- Streaming. Seite 7 / 67

8 1.1.7 Bearbeitung an Ort und Stelle Durch einfaches Wechseln in den Bearbeitungsmodus können Attribute in der neuen Oberfläche an Ort und Stelle editiert werden (In-Place-Editing). Diese intuitivere und direkte Methode des Bearbeitens erleichtert paralleles Arbeiten über mehrere Reiter, da dieser Modus im Gegensatz zu modalen Dialogen die Benutzeroberfläche nicht blockiert. Abbildung 7 - In-Place-Editing Evolution statt Revolution Bewährte Konzepte vorhergehender Versionen sind auch im Release 2014 wieder zu finden. So werden bekannte Dialoge über diese und kommende Versionen sukzessive modernisiert. Das bedeutet für den Administrator, dass die Lernkurve zur Einarbeitung in neue Versionen angenehm flach verläuft. Erstes Feedback aus Usability-Studien zeigt, dass Anwender, welche die baramundi Management Suite 8.x mögen, sich schnell wieder zurechtfinden und die neue Version 2014 daher lieben werden. Abbildung 8 - Bewährtes erhalten: Beispiel Wizards Seite 8 / 67

9 1.2 Compliance Management Schwachstellenmanagement Die Herausforderung für IT-Verantwortliche Alleine für Windows-basierte Rechner existieren tausende bekannter und registrierter Schwachstellen in Betriebssystemkomponenten und Anwendungssoftware, welche die Sicherheit des Unternehmensnetzes und dessen Daten erheblich gefährden. Auch Angreifern sind diese Informationen im Internet frei zugänglich, so dass es nicht verwunderlich ist, dass die Anzahl der Angriffe stetig zunimmt. Wie können IT-Verantwortliche diese Gefahr abwehren? Das ständige Verfolgen von Publikationen zu Sicherheitslücken der diversen Hersteller und sofortiges Reagieren durch Installation von Security Patches ist in Handarbeit de facto ein Ding der Unmöglichkeit. Auch das Einrichten von Firewalls, Installieren von Virenscannern und anderen Schutzmechanismen ist zwar absolut empfehlenswert, aber alleine ohne rechtzeitige Aktualisierung von verwundbarer Software nicht ausreichend Lösung von baramundi Die Schwachstellen von populärer Software werden heutzutage in verschiedenen Datenbanken ausführlich dokumentiert. Ferner werden täglich wachsende Regelwerke gepflegt, die einen automatisierten Schwachstellen-Scan auf Clients ermöglichen. Das neue Modul baramundi Compliance Management bietet in Release 2014 eine nahtlos integrierte Managementumgebung für Schwachstellen-Scans. Dazu lädt die bms regelmäßig neue Regelwerke von namhaften Quellen über einen baramundi-dienst herunter und steuert Schwachstellen-Scans auf allen zu verwaltenden Rechnern auf Basis jeweils aktueller Regeln. Somit ist eine kontinuierliche Überprüfung aller Rechner auf bekannte Sicherheitslücken möglich. Das folgende Diagramm veranschaulicht das Zusammenwirken der gegebenen Komponenten. Abbildung 9 - Automatisiertes Schwachstellenmanagement Seite 9 / 67

10 1.2.2 Compliance-Dashboard zur Darstellung des Gefährdungsgrades Mittels Dashboard kann der IT-Verantwortliche sich einen schnellen Überblick zum Gefährdungsgrad seiner IT-Umgebung verschaffen. Dieser bemisst sich am Gefährdungsgrad seines verwundbarsten Clients. Dies und zahlreiche weitere Details zeigen Statistiken auf nur einem Reiter zusammengefasst und stets aktuell abrufbar. Anhand dieser Übersicht kann der Administrator schnell per Drill-Down zu den gefährdeten Systemen navigieren, um die Sicherheit durch gezielte Maßnahmen zu verbessern. Alternativ zum systemorientierten Vorgehen kann der Verantwortliche anhand der Schwachstellen sowie deren Häufigkeit durch die IT-Landschaft navigieren und geeignete Updates ausführen. Abbildung 10 - Compliance Dashboard zum Gefährdungsgrad Identifikation verwundbarer Produkte Neben der regelorientierten Auflistung aller gefundenen Schwachstellen bietet das Modul Compliance Management eine Ansicht der verwundbaren Produkte inklusive Darstellung der jeweiligen Anzahl daraus resultierender Schwachstellen. Auch diese Information ist ein Maß für die Dringlichkeit, entsprechende Updates zu installieren. Seite 10 / 67

11 Abbildung 11 - Übersicht verwundbarer Produkte Diese Übersicht ermöglicht es dem Administrator, gezielt gegen Schwachstellen vorzugehen, indem geeignete Maßnahmen für Updates durchgeführt werden. Idealerweise genügt es dazu, mittels baramundi Patch Management oder baramundi Managed Software auf den betroffenen Clients die aktuellen Sicherheitsupdates zu installieren Integriertes Schwachstellenmanagement Der Lebenszyklus des Schwachstellenmanagements ist gekennzeichnet von einer ständigen Wiederholung gleicher Arbeitsschritte: Anhand ständig zu aktualisierenden Regeldefinitionen (1) müssen alle Rechner zeitnah geprüft werden (2), um danach die gefunden Schwachstellen zu beheben (3). Entsprechende Berichte (4) schaffen Transparenz und Nachvollziehbarkeit und runden den Kreislauf ab. Ein klarer Vorteil der baramundi Management Suite für den Administrator besteht in der Integration der einzelnen Arbeitsschritte. Mit nur einem einzigen Produkt kann dieser komplette Lebenszyklus gemanagt werden. Abbildung 12 - bcm-lebenszyklus Seite 11 / 67

12 1.3 Patch Management Mit baramundi Patch Management (bpm) werden bislang für Microsoft-Produkte über baramundi-bulletins, dies entspricht ca Updates aus WSUS, zum komfortablen Verteilen zur Verfügung gestellt. Ein kleiner Teil davon sind funktionale, also nicht sicherheitsrelevante Updates (ca. 250). Für weitere etwa 40 populäre Produkte anderer Hersteller (Adobe, Google, Oracle, ) bietet baramundi Managed Software (bmsw) rund 800 Updates bzw. Patches zur automatisierten Verteilung an. Damit liefert die bms schon heute einen signifikanten Beitrag für eine aktuelle und sichere IT-Umgebung Erweiterter Patch-Umfang Ab Release 2014 wird bpm weitere Quellen für Updates zugänglich machen, um auch funktionale Updates von Microsoft über die gewohnte Suite verteilen zu können. Somit verdoppelt sich die Zahl der verfügbaren Patches auf rund (Stand: März 2014). Selbstverständlich wächst dieser Umfang in Zukunft stetig, sowie die Software-Hersteller weitere Updates zur Verfügung stellen. Abbildung 13 - Vergrößerter Umfang von Software-Updates mit bpm Seite 12 / 67

13 1.3.2 Zusätzliche Patch-Quellen bpm ermöglicht künftig, weitere Microsoft-Updates durch Nutzung eines bereits im Unternehmen vorhandenen WSUS und per Steuerung durch die bms zu verteilen. Alternativ hat der Administrator die Möglichkeit, die Online-Update-Dienste von Microsoft als Quelle zu nutzen und die Updatevorgänge der Clients per bms zu steuern und zu überwachen. Abbildung 14 - Auswahl weiterer Quellen für Patch Management Damit stehen insgesamt drei technische Wege zur Auswahl, wie einzelne Updates durch die Steuerung von bpm auf die Clients gezielt ausgerollt werden können. Das bedeutet, dass der baramundi Administrator auch für die anderen Quellen über Ausführungszeitpunkt und geeignete Filter entscheiden kann, um Beeinträchtigungen in der IT-Umgebung minimal zu halten. Abbildung 15 - Datenfluss-Varianten für Patch Management Seite 13 / 67

14 1.3.3 Gezieltes Patchen mit Rückmeldung Der Administrator kann gezielt Updates, wie z.b. ein Kompatibilitäts-Bugfix der MS Office Suite, aus dem umfangreichen Angebot des WSUS auswählen und diese zusammen mit anderen Klassen von Updates ausrollen. Darüber hinaus bestimmt er den Zeitpunkt des Patch-Rollouts und ggf. die Kombination mit anderen Jobschritten wie einer OS- Installation. Abbildung 16 - bpm-auswahldialog Nach Anstoßen des Patch-Rollouts verfolgt der Administrator die erfolgreiche Ausführung auf allen erforderlichen Clients und kann im Fehlerfall bei Bedarf umgehend nachbessern. Abbildung 17 - Volle Transparenz in bpm durch Ausführungsstatistik Seite 14 / 67

15 1.4 Mobile Device Management Plattformübergreifende Konfiguration Herausforderung der Plattformvielfalt Administratoren sind häufig gefordert, verschiedene Mobilplattformen zu unterstützen, d.h. bis in die Konfigurationsdetails zu verstehen, einzurichten und zu unterstützen. Dies verursacht neben dem Management der bekannten Windows-Systeme zusätzliche Komplexität und ist zeitaufwändig. Am Beispiel der Exchange-Konfiguration zur Bereitstellung von -Empfang auf den drei populären Mobilplattformen Android, ios und Windows Phone zeigt sich deutlich, wie stets die gleichen Parameter (Name, -Adresse, Domäne, Server, Verschlüsselung) auf unterschiedlichste Art und Weise einzugeben sind, sofern das von Hand geschieht. Abbildung 18 - Exchange-Konfiguration auf verschiedenen Mobilplattformen Der Wunsch nach einem Werkzeug, das eine einheitliche Eingabe für alle zu verwaltenden Geräte ermöglicht, liegt somit auf der Hand Lösung mittels Profilbausteinen Ab Release 2014 stellt das Modul baramundi Mobile Devices (bmd) eine vereinheitlichte Konfigurationsmöglichkeit mittels Profilbausteinen zur Verfügung. So kann der Administrator verschiedene Aspekte der Mobilgeräte konfigurieren. Seite 15 / 67

16 Abbildung 19 - Profilbausteine in baramundi Mobile Devices Damit lässt sich beispielsweise eine Exchange-Konfiguration auf elegante Art und Weise schnell bewerkstelligen. Abbildung 20 - Exchange-Profil in baramundi Mobile Devices Seite 16 / 67

17 1.4.2 Samsung KNOX Für einige der populären Android-Geräte bietet Samsung eine erweiterte MDM-Unterstützung durch die Management-API KNOX (vormals Samsung SAFE). Damit können erheblich mehr Eigenschaften dieser Mobilgeräte über die baramundi Management Suite konfiguriert werden, als es alleine mit Android-Schnittstelle möglich wäre. Ab diesem Release unterstützt baramundi Mobile Devices eine Vielzahl dieser Möglichkeiten und erlaubt damit dem Administrator eine umfassendere Verwaltung als bisher. Abbildung 21 - Samsung KNOX in baramundi Mobile Devices Seite 17 / 67

18 1.4.3 Übersicht: Management-Features nach Plattformen Folgende Tabellen zeigen zusammenfassend die Möglichkeiten zur Administration von mobilen Geräten je Plattform. Die Funktionsaussagen sind unverbindlich und dienen nur der Information. Sie sind möglicherweise vom Versionsstand des jeweiligen mobilen Betriebssystems abhängig Enrollment und Authentifizierung Enrollment Apple ios Android WinPhone 8.x Enrollment entweder über Intranet oder Internet x / x x / x x / x Enrollment über eigene Applikation x x x Absicherung durch Einmalpasswort / Active Directory Authentifizierung x / p x / p x 2 / x 1 x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Natives Windows-Enrollment 2 Enrollment des baramundi Mobile Agent Sicherheit Zur Überwachung der Sicherheit werden Verletzungen auf Betriebssystem-Ebene erkannt. Im Falle von ios-geräten findet eine Prüfung auf Jailbreaks statt, für Android-Geräte hingegen wird festgestellt, ob es gerootet wurde. Sicherheit Apple ios Android WinPhone 8.x Remote Lock / Unlock / Wipe / SD Wipe x / x / x / na x / na / x / x na / na / x / na Festlegung von PIN Abfrage und -komplexität x x x Jailbreak- bzw. Rooted-Erkennung x 1 x na Geräteverschlüsselung aktivieren (ios) 2 x 3 x x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Die Jailbreak-Erkennung erfordert die Installation des baramundi Mobile Agent auf dem Gerät 2 Auf ios ist die Geräteverschlüsselung ein automatisches Bordmittel des Betriebssystems 3 Android stellt ab Version 3.0 die Verschlüsselung als Option zur Verfügung Seite 18 / 67

19 Inventarisierung Grundfunktionen der Inventarisierung (sowohl von Hardware als auch Software) können auf allen drei Plattformen angeboten werden. Speziellere Möglichkeiten orientieren sich an den Rahmenbedingen der jeweiligen Plattform. Inventarisierung Apple ios Android WinPhone 8.x Hardwareinformationen x x x Installierte Apps x x x Konfigurierte Einschränkungen x 1 x 2 na Installierte Profile bzw. Einstellungen x x na Installierte Zertifikate x na p SIM-Informationen x x na Roaming-Status x p na Sicherheitseinstellungen x x na Letzter Kontakt x x x x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Einschränkungen wie z.b. Kamera deaktivieren, Zugriff auf icloud sperren, In-App-Käufe sperren, 2 Deaktivierung der Kamera Seite 19 / 67

20 Softwareverteilung und Konfiguration Der baramundi Mobile Agent bietet für alle Plattformen eine Kiosk-Funktionalität an, in dem der Endanwender all jene Jobs, die der Administrator dafür vorgesehen hat, selbst aufrufen kann. Damit können Anwender beispielsweise selbstständig Store-Apps und Unternehmens- Apps installieren bzw. werden zur entsprechenden App im Store geführt. Softwareverteilung und Konfiguration Apple ios Android WinPhone 8.x Installation mit / ohne Benutzerbestätigung x / na x / p 4 x / x 6 Deinstallation mit / ohne Benutzerbestätigung - / x 1 x / p 4 na / na Installation aus dem App Store x na x Support für Apple Volume Purchase Program x / p 7 na na Installation / Deinst. bei deaktiviertem App Store x 2 / x na / na na / na Installation selbsterstellter Unternehmens-Apps x x x Durchführung Betriebssystemaktualisierungen na na na Kiosk (z. B. Installations-Jobs) x 8 x x Konfiguration von (Exchange Server) x X 4,5 / p x Konfiguration von WiFi-Einstellungen x x p Konfiguration von VPN-Einstellungen x x 4 / p 3,5 p Installation / Deinstallation von Zertifikaten x / x p 4 / p 4 p / p Parametrisierung von Einstellungen über baramundi-variablen x x x Deaktivierung der Kamera x x (4.0) na x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Es können nur Apps deinstalliert werden, die auch durch bmd installiert wurden 2 von baramundi-server mit einer Apple-ID für alle Geräte 3 VPN-Client: 3rd Party App 4 Nativ für Samsung-Galaxy-Smartphones. Erfordert freie baramundi Samsung Extension App. 5 Nativ für HTC-Smartphones 6 Nur für Enterprise-Apps 7 Erweiterte VPP-Funktionalität (seit ios7) 8 Kiosk führt zur App im App-Store. Seite 20 / 67

21 1.5 Verschiedenes Neben den oben vorgestellten Highlights findet sich eine Vielzahl von Detailveränderungen im neuen Release Neuer Logging-Mechanismus Der BUCO-Protokollserver wurde vollständig durch Log4Net abgelöst. Falls Sie benutzerdefinierte Einstellungen für die Protokollierung in BUCO vorgenommen haben, müssen Sie dafür eine entsprechende Konfiguration für Log4Net erstellen. Eine automatische Migration findet nicht statt Verbesserungen Sicherheit Zur weiteren Verbesserung der Sicherheit wurden folgende Änderungen vorgenommen: Konsequentere Verschlüsselung bei der Client/-Server-Kommunikation. Der Zugriff auf persistierte Antwortdateien des Moduls OS-Install wurde beschränkt. Weitere Absicherung temporärer Dateien UEFI-Unterstützung Auf modernen Rechnern löst UEFI mehr und mehr das betagte BIOS ab. Die bms unterstützt daher ab Release 2014 diese Boot-Alternative für OS- Installationen. Die Integration dieser Möglichkeit findet man im Boot Media Wizard in Form der Auswahl als Boot Mode wieder. Abbildung 22 - UEFI im Boot Media Wizard Neue Systemschnittstelle Zusätzlich zu den bekannten Integrationsmöglichkeiten zu Drittsystemen bzw. zum Zwecke der Automatisierung mittels Datenbankzugriff, bmol und httpmoc bietet Release 2014 eine neue moderne REST-Schnittstelle namens bconnect auf Basis von HTTPS. Vorteile der neuen Schnittstelle sind die sichere Verbindung per Secure Socket Layer (SSL) und die damit verbundene serverseitige Authentifizierung sowie die Authentifizierung des Seite 21 / 67

22 Clients per Zugangsdaten. Programmierer, die diese Schnittstelle nutzen, schätzen die einfache Integrierbarkeit aufgrund des REST-Paradigmas und des Datenaustauschs im JSON-Format Aktuelle Windows-Versionen Die aktuellen Windows-Versionen für Clients und Server Windows 8.1 und Windows Server 2012 R2 werden namentlich korrekt erkannt und im bma und OS-Wizard besser unterstützt Job-Steuerung Jobs können jetzt so eingestellt werden, dass diese neben der Funktionalität Im Fehlerfall Neu starten auch im Fehlerfall fortgesetzt werden. Diese Option verbessert den Umgang mit MSW-Update-Jobs, da im Fehlerfalle trotzdem die MSW-Applikation installiert werden kann. Shutdown-Jobs, deren Voraussetzungen nicht erfüllt sind, blockieren Clients beim Herunterfahren nicht mehr baramundi Management Center Das Feld Letzter Benutzer in der Übersicht eines Windows-Gerätes wird ebenfalls bei einem heruntergefahren Client mit Windows 7 richtig angezeigt. Die manuelle Ausführung von Datenbankwartungsaufgaben blockiert die GUI nicht mehr. Der Treiberwizard kann jetzt Treiber für Windows 8/8.1, Server 2012/R2 erkennen und seiteneffektfrei importierten. Namensänderungen von dynamischen Gruppen, die von anderen dynamischen Gruppen referenziert werden, führen nicht mehr zu Fehlern. Das betrifft nur Namensänderungen durch die bmc baramundi Management Server ADSync unterstützt jetzt zusätzlich durch Zertifikate authentifizierte Verbindungen zum LDAP- Server. Die Einstellung Computerkonto - vor Installation löschen, im baramundi Betriebssystem- Wizard, löscht bei der Betriebssysteminstallation Computerkonten im Active Directory nun korrekt, wenn diese Unterobjekte enthalten. Damit können HyperV-Clients und Clients mit Bitlocker-Verschlüsselung aus dem AD gelöscht und neu aufgesetzt werden. Clientnamen, die genau drei Punkte beinhalten, werden beim Verbindungsaufbau nicht mehr als IP-Adresse interpretiert. Bei der Ermittlung des DIPs aus den konfigurierten IP Netzen wird jetzt ein Best-Match Algorithmus verwendet. Damit sind überlappende Angaben möglich, bis hin zu DIP Konfigurationen für einzelne IPs. Seite 22 / 67

23 Ein kleineres Speicherleck bei der Ausführung von ADSync-Jobs wurde behoben. Für MS-SQL wurde eine neue Datenbankwartungsaufgabe zum Bereinigen der Indizes und Statistiken erstellt. Es wird empfohlen diese zu aktivieren und regelmäßig zu planen. Die Ausgabe des Datenbank Managers ist übersichtlicher und wird in einer Logdatei protokolliert baramundi Deploy Die Ermittlung der zu übertragenden Dateien ist jetzt auch für Deinstallationen bei Verwendung eines parallelen Deinstallationsmechanismus korrekt. Die Lizenzvergabe bei der Applikationsinstallation funktioniert auch bei Oracle korrekt. Das Datenbankfeld für Lizenzschlüssel wurde von 50 auf 255 Zeichen erweitert baramundi Management Agent Die automatische Installation des bma ist auch von einem DFS-Share möglich. Der Installationsbenutzer wird auch bei Windows 8/8.1/Server 2012/R2 nach einer automatischen Anmeldung nicht mehr auf dem Anmeldebildschirm dargestellt. Shutdown-Jobs funktionieren bei aktiviertem Fast Boot unter Windows 8/8.1 und Server 2012/R2. Die Nachrichten beim Jobstart zeigen jetzt immer den korrekten Text an, statt sporadisch nur eine baramundi Variable. Die Logik zur Erkennung eines Computerabsturzes wurde verbessert. Dadurch wird beispielsweise die endlose Ausführung von Jobs im Falle eines Absturzes verhindert. Der 32-Bit-Credential-Provider wird auf 64-Bit-Systemen nicht mehr installiert, da er hier nicht benötigt wird bmol (baramundi Management Object Language) Der Aufruf der Funktion Client.RemoveFromAllJobs führt nicht mehr zu Datenverlust, falls der Client nicht geladen werden konnte. Clients, deren Namen 12 Zeichen lang sind, werden künftig zuverlässig geladen baramundi Automation Studio Beim Speichern eines bds als ausführbare EXE-Datei werden inkludierte Skripte jetzt eingebettet und damit korrekt ausgeführt. Die GUI-Automatisierung unterstützt Checkboxen in Listen von InnoSetup-Installationen. Seite 23 / 67

24 DipSync Andere Anwendungen, die auf dem Computer laufen auf dem der Dienst baradip läuft, können nun wieder über den Windowsmechanismus Named Pipes kommunizieren Berichte Die Crystal Reports Laufzeitumgebung wurde aktualisiert. Dies erfordert unter Umständen eine Anpassung selbst erstellter Berichte. Bitte beachten sie die Nutzungsbedingungen von SAP wenn diese Laufzeitumgebung auf einem Terminalserver verwendet wird baramundi Image Mount Das Internet Explorer Add-On SolDisk Mount Notification wird nicht mehr installiert, da es von baramundi Image Mount nicht benötigt wird baramundi Mobile Devices Bei Android und Windows Phone 8.x werden bei der Deinstallation eines Profils mit Sicherheitseinstellungs- oder Einschränkungsbaustein sämtliche "Sicherheitseinstellungen" und "Einschränkungen" auf Default zurückgesetzt. Ein evtl. weiteres installiertes Profil mit diesen Bausteinen spielt dabei keine Rolle. Das Enrollment von ios Geräten funktioniert nun auch über 3G zuverlässig. Der Server verwendet jetzt den für den Downloader eingetragenen Proxy. bmd-jobs, deren Compliance-Voraussetzung nicht erfüllt sind, werden nun nicht sofort mit einem Fehler abgebrochen, sondern warten mit der Ausführung, bis die Compliance- Voraussetzung erfüllt ist Logdateien Logdateien werden nicht mehr automatisch entfernt. Sie werden unter %programdata%\baramundi\logs abgelegt Veränderte Rechtestruktur Bedingt durch die Umstrukturierungsmaßnahmen der neuen bmc werden die Rechte unter Verwaltung jetzt anders vererbt. Bitte beachten Sie dazu auch das Update-Whitepaper. Seite 24 / 67

25 2 Release Mobile Devices Compliance Management Compliance bezeichnet im wörtlichen Sinne die Einhaltung von Regularien. Darunter können sowohl organisatorische Richtlinien als auch technische Regeln verstanden werden. Compliance Management beschreibt die Methoden und Mittel, um Compliance zu messen, zu erreichen und zu bewahren. Folgende Compliance-Richtlinien bzw. Verstöße dagegen können ab Version 8.9 einfach und elegant überwacht werden: Manipulation der Firmware (Jailbreaks und Rooting) Fehlen von erforderlichen Apps Installation von unerwünschten Apps Falsche Konfiguration Compliance Dashboard Ab Version 8.9 wird über den Navigationsknoten Mobile Devices Compliance ein Compliance Dashboard für alle verwalteten mobilen Geräte erreicht. Abbildung 23 Compliance Dashboard für mobile Geräte Seite 25 / 67

26 Mit Hilfe dieser Übersicht kann sich der Administrator oder IT-Leiter einen schnellen Überblick über den Compliance-Zustand der mobilen Geräte verschaffen und per Drill-Down schnell zu den Geräten navigieren, die gegen Richtlinien des Unternehmens verstoßen. Die einzelnen Diagramme zeigen folgende Informationen: Verteilung der Compliance-Grade über alle Geräte Top 5 der Anzahl Regelverstöße nach Gerät Top 5 Anzahl Regelverstöße nach Regel Historie der Geräte mit Regelverstößen Lösungszeit für Regelverstöße der letzten drei Monate Es werden die Compliance Grade konform, leichter Verstoß, mittlerer Verstoß, schwerer Verstoß und unbekannt unterschieden. Der Zustand unbekannt kennzeichnet Geräte, die sich länger nicht mehr zurückgemeldet haben. Abbildung 24 Compliance über alle Geräte Die Compliance-Verteilung über alle Geräte zeigt dem IT-Verantwortlichen auf einen Blick die Aufteilung nach Schweregraden. Ein hoffentlich großer Grünanteil kennzeichnet dabei alle Geräte, die sämtlichen Regeln genügen. Die Farben Gelb bis Rot deuten dagegen auf leichte bis schwerwiegende Verstöße hin, bei denen mindestens eine Regel je Gerät verletzt wird. Aber auch Geräte mit fehlenden Informationen müssen im Auge behalten werden. Eine andere Sicht auf die IT-Landschaft bietet die Auflistung der fünf Regeln mit den meisten Regelverstößen. Damit können Richtlinien identifiziert werden, deren Bedeutung im Unternehmen möglicherweise näher kommuniziert werden sollte. Die Kenntnis über die Anzahl und die Schweregrade helfen dem Administrator sich auf die wesentlichen Compliance-Aufgaben zu fokussieren und so die Bearbeitungsreihenfolge zu optimieren. Abbildung 25 Regelverstöße nach Regel Seite 26 / 67

27 Alternativ dazu kann es effizienter sein, sich auf jene Geräte zu konzentrieren, die gegen die meisten Regularien gleichzeitig verstoßen. Dabei hilft die geräteorientierte Darstellung, die neben der Anzahl der Verstöße auch den jeweils höchsten Schweregrad farblich markiert. Der Administrator weiß damit, welche Mitarbeiter er als erstes auf Compliance ansprechen sollte. Abbildung 26 Regelverstöße nach Gerät Compliance-Regeln Mit baramundi Mobile Devices können verschiedene Arten von Regeln konfiguriert und verwaltet werden, um damit die Einhaltung der individuellen Sicherheitsrichtlinien eines Unternehmens jederzeit zu überwachen. Abbildung 27 Compliance-Regeln Die Erstellung einer neuen Regel erfolgt mit Unterstützung eines Wizards und erfordert keinerlei Programmierung oder Skripting. In der Dialogfolge können die Regeln mittels Parametern den eigenen Richtlinien angepasst werden. Seite 27 / 67

28 Abbildung 28 Definition von Compliance-Regeln Compliance-Verstöße Einen detaillierten Überblick über alle Compliance-Verstöße kann sich der Administrator durch eine entsprechende Ansicht verschaffen. Abbildung 29 Tabellarische Übersicht aller Compliance-Verstöße Diese Ansicht ermöglicht dem Administrator, die Verstöße nach verschiedenen Kriterien wie Schweregrad oder Regel-Typ zu sortieren, um dann in der geeigneten Reihenfolge darauf reagieren zu können. Auch kürzlich behobene Vorfälle können mit dieser Ansicht für eine voreingestellte Dauer zurückverfolgt werden. Seite 28 / 67

29 2.1.5 Reaktionsmöglichkeiten Das kontinuierliche Erkennen von Regelverstößen ist bereits eine enorme Arbeitserleichterung für den Administrator und legt die Grundlage für korrigierende Maßnahmen. Hierbei überlässt es die baramundi Management Suite dem IT-Verantwortlichen, ob auf Regelverstöße interaktiv durch den Administrator reagiert werden soll, oder aber das System sofort nach Erkennen eines Verstoßes automatisch Maßnahmen ergreift. Abbildung 30 Konfiguration einer Regel mit automatischer Reaktion bei Verstoß Beispielsweise könnte bei Vorliegen einer unerlaubten App dem Benutzer das Exchange-Profil und damit der Zugriff auf interne Firmeninformationen entzogen werden. Bei besonders schweren Verstößen wie Jailbreaks könnte automatisch ein Remote Wipe ausgeführt werden. Seite 29 / 67

30 2.1.6 Self-Service per baramundi Mobile Agent Neben der bekannten Enrollment-Funktionalität bieten die baramundi Mobile Agents auf allen drei unterstützten Mobil-Plattformen dem Endanwender jetzt auch Selbstbedienungsfunktionen. Dazu zählen der Kiosk und der Compliance Check. Selbstbedienungsfunktionen helfen dem Endbenutzer zu jeder Zeit auch außerhalb der regulären Bürozeiten sich bei einfachen Problemstellungen selbst zu helfen. Ferner ersparen sie dem Administrator oder Helpdesk unnötige Anrufe und somit Zeit für Routinearbeiten. Abbildung 31 baramundi Mobile Agent Mein Compliance Check Nicht nur der Administrator ist am Compliance-Zustand aller verwalteten Endgeräte interessiert. Auch der Endanwender sollte sich jederzeit ein Bild über die Compliance des eigenen Geräts machen können. Mit der Compliance Check -Funktion, die in allen baramundi Mobile Agents zur Verfügung steht, ist dies nun jederzeit und einfach möglich. Dabei werden dieselben Regeln zugrunde gelegt, die auch in der Management Suite definiert wurden, sodass ein konsistentes Bild des aktuellen Zustands sowohl für den Administrator als auch den Endbenutzer gezeigt wird. Der Agent zeigt beispielsweise unerlaubte Firmware-Manipulationen (Jailbreaks) als auch unerwünschte Apps (auf der Blacklist) dem Benutzer an. Das Wissen über diese Regelverstöße erlaubt es dem Endanwender schnell und selbstständig für die notwendigen Korrekturen zu sorgen und damit den Compliance-Zustand wieder herzustellen. Abbildung 32 Compliance Check Seite 30 / 67

31 2.1.8 Willkommen im Kiosk Die Kioskfunktion ist in allen baramundi Mobile Agents der drei unterstützten Plattformen verfügbar. Hiermit kann sich der Endanwender schnell und einfach selbst bedienen, wenn es darum geht, vom Administrator vorgefertigte Jobs auszuführen. Abbildung 33 Kiosk auf ipad, iphone, Windows Phone und Android Der Kiosk eignet sich zum Beispiel dafür, eine Auswahl von Apps aus dem App Store und eigenen Unternehmens-Apps dem Endbenutzer zur Installation zur Verfügung zu stellen. Hiermit lässt sich der Whitelisting-Ansatz auf elegante Weise umsetzen, indem der Mitarbeiter angewiesen wird, nur jene Apps zu installieren, die auf der Whitelist des Unternehmens stehen und damit den eigenen Richtlinien genügen. Seite 31 / 67

32 2.1.9 Unterstützung von Windows Phone 8 Ab Version 8.9 unterstützt das Modul baramundi Mobile Devices erstmals die Windows Phone 8-Plattform. Der Umfang der Management Features orientiert sich dabei an den durch Microsoft zur Verfügung gestellten MDM-Möglichkeiten und fügt durch den baramundi Mobile Agent für Windows Phone weitere nützliche Funktionen hinzu. Damit werden sowohl dem Administrator weitere Werkzeuge zur App-Installation an die Hand gegeben, als auch dem Endbenutzer durch eine leicht zu bedienende Oberfläche der Zugriff auf Funktionen zur Selbsthilfe bereit gestellt. baramundi Mobile Devices ermöglicht damit dem Administrator, selber vorrangig für den Consumer entwickelte Plattformen wie Windows Phone 8 Geräte, professionell zu verwalten. Eine detaillierte Auflistung der Funktionen zeigt die Übersicht in Abschnitt Abbildung 34 baramundi Mobile Agent für Windows Phone 8 Gerade die nahtlose Integration mit dem Windows App Store beschleunigt die App-Auswahl und -Verteilung sowohl für die IT, mittels (optional) automatischer Zuweisung beim Enrollment, als auch für den Endanwender per App-Whitelisting im Kiosk. Abbildung 35 Windows Apps Store Integration Seite 32 / 67

33 Technische Infrastruktur für jede mobile Plattform Egal welche Plattform Apple ios, Google Android oder Microsoft Windows die baramundi Mobile Devices Lösung (bmd) vereinheitlicht das Management in einer integrierten Client und Mobile Device Management Suite unter Berücksichtigung der verschiedenen Kommunikationswege, die der jeweilige Plattformanbieter vorgesehen hat. Apple und Google bieten einen Notification Service in der Cloud an, worüber der bmd-dienst die mobilen Geräte benachrichtigen kann (1) (2). Daraufhin meldet sich das Gerät bei seinem zugewiesenen Management Server zurück (3). Windows Phones (und auf Wunsch auch Android-Geräte) können über einen direkten Polling- Mechanismus mit dem bmd-server in Verbindung bleiben. Abbildung 36 Kommunikationswege je nach Plattform Obgleich bei Plattformen wie Apple die Notification Services des Anbieters zur Benachrichtigung der jeweiligen Mobilen Geräte genutzt werden müssen, so ist stets sichergestellt, dass daraufhin alle tatsächlichen Nutzdaten auf direktem Weg zwischen dem Management Server (und dessen Gateway) hin zum Endgerät fließen und nicht über etwaige Services in der Cloud. Seite 33 / 67

34 Übersicht: Management Features nach Plattformen Folgende Tabellen zeigen zusammenfassend die Möglichkeiten zur Administration von mobilen Geräten je Plattform. Die Funktionsaussagen sind vorläufig und unverbindlich. Sie dienen der Vorabinformation und können jederzeit ohne Ankündigung geändert werden Enrollment Per Enrollment werden mobile Geräte beim baramundi Management Server zur Verwaltung angemeldet. Dies geschieht über eine Netzwerkverbindung, entweder WLAN oder UMTS/Internet. Zur Absicherung des Enrollment über das Netzwerk verwendet baramundi Mobile Devices das sichere Https- Protokoll und Einmalpasswörter bzw. die Authentifizierung per Active Directory. Abbildung 37 - Enrollment mittels QR-Code Enrollment Apple ios Android Win Phone 8 Enrollment entweder über Intranet oder Internet x / x x / x x / x Enrollment über eigene Applikation p x x Absicherung durch Einmalpasswort / Active Directory Authentifizierung x / p x / p x 2 / x 1 x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Natives Windows Enrollment 2 Enrollment des baramundi Mobile Agent Seite 34 / 67

35 Sicherheit Zur Überwachung der Gerätesicherheit werden erstmals Verletzungen auf Betriebssystem- Ebene erkannt. Im Falle von ios-geräten findet eine Prüfung auf Jailbreaks statt, für Android- Geräte hingegen wird festgestellt, ob das Gerät gerootet wurde. Sicherheit Apple ios Android Win Phone 8 Remote Lock / Unlock / Wipe / SD Wipe x / x / x / na x / x / x / x x / x / x / - Festlegung von PIN Abfrage und -komplexität x x x Jailbreak bzw. Rooted Erkennung [neu] x 1 x na Geräteverschlüsselung aktivieren (ios) 2 x 3 x x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Die Jailbreak-Erkennung erfordert die Installation des baramundi Mobile Agent auf dem Gerät 2 Auf ios ist die Geräteverschlüsselung ein automatisches Bordmittel des Betriebssystems 3 Android stellt ab Version 4.0 die Verschlüsselung als Option zur Verfügung Inventarisierung Grundfunktionen der Inventarisierung (sowohl für Hardware als auch Software) können auf allen drei Plattformen angeboten werden. Speziellere Möglichkeiten orientieren sich an den Rahmenbedingen der jeweiligen Plattform. Inventarisierung Apple ios Android Win Phone 8 Hardwareinformationen x x x Installierte Apps x x x Konfigurierte Einschränkungen x 1 na na Installierte Profile bzw. Einstellungen x x na Installierte Zertifikate x na - SIM Informationen x x na Roaming Status x p na Sicherheitseinstellungen x x na Letzter Kontakt / Letzte Position x / p x / p x / na x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Einschränkungen gemäß den Möglichkeiten in Apples iphone-konfigurationsprogramm Seite 35 / 67

36 Softwareverteilung und Konfiguration Der baramundi Mobile Agent bietet für alle Plattformen eine Kiosk-Funktionalität an, womit der Endanwender all jene Jobs, die der Administrator hierfür vorgesehen hat, selbst aufrufen kann. Damit können Anwender beispielsweise selbstständig Store-Apps und Unternehmens-Apps installieren. Softwareverteilung & Konfiguration (1/2) Apple ios Android Win Phone 8 Installation mit / ohne Benutzerbestätigung x / na x / p 4 x / x 6 Deinstallation mit / ohne Benutzerbestätigung - / x 1 x / p 4 na / na Installation aus App Store x na x Support für Apple Volume Purchase Program x na na Installation / Deinst. bei deaktiviertem App Store x 2 / x na / na na / na Installation selbsterstellter Unternehmens-Apps x x x Durchführung Betriebssystemaktualisierungen na na na Kiosk (z.b. Installations-Jobs) [neu] x x x Konfiguration von Exchange Server x x 5 p 3,4 x Konfiguration von WiFi Einstellungen x x na Konfiguration von VPN Einstellungen x p 3,4,5 na Installation / Deinstallation von Zertifikaten x / x p 4,5 / p 4,5 x / x Konfiguration von erweiterten Einstellungen x x - Parametrisierung von Einstellungen über baramundi Variablen x x x Installation von Hyperlinks (ios: Web Clip) x na x Deaktivierung der Kamera x x (4.0) na x: vorhanden p: geplant für späteres Release na: nicht anwendbar 1 Es können nur Apps deinstalliert werden, die auch bmd installiert wurden 2 von baramundi Web Server mit Apple ID 3 Mail- und VPN- Client nur mit 3rd Party App 4 Nativ für Samsung Galaxy Smartphones 5 Nativ für HTC Smartphones 6 Nur für Enterprise Apps Seite 36 / 67

37 2.2 Serverseitige Aktionen Erweiterungen in der baramundi Management Suite Ab Version 8.9 erfährt die baramundi Management Suite eine grundlegende Erweiterung zur Ausführung von Jobs auf der Seite des Management-Servers. Bisher war für die Ausführung von Jobs, insbesondere solcher mit Skripten (bds), auf Client- Seite ein Windows-Rechner mit darauf installiertem baramundi Agent notwendig (bma). Der baramundi Management Server steuert und überwacht dabei die Jobausführung, die auf dem bma läuft. Abbildung 38 Clientseitige Jobausführung Mit Hilfe des neuen Features Serverseitige Aktionen können jetzt auch Jobschritte für Clients auf dem Server ausgeführt werden. In der aktuellen Umsetzung ermöglicht diese Erweiterung die Ausführung von bewährten bds-skripten. Abbildung 39 Serverseitige Jobausführung Dabei werden einige Einschränkungen auf der Client-Seite beseitigt: Es muss nicht mehr notwendigerweise ein Windows-Client sein. Der Client darf auch ausgeschaltet sein. Und was auf den ersten Blick befremdlich klingt der Client muss noch nicht einmal existieren. Letzteres ist der Fall, wenn es um die Erstellung einer neuen virtuellen Maschine (VM) geht, was später als Beispiel näher beschrieben wird. Seite 37 / 67

38 2.2.2 Aufruf und Suite-Integration Serverseitige Aktionen sind nahtlos in die bms integriert. Jobs lassen sich hierzu per Wizard anlegen, indem der neue Menüpunkt Serverseitige Aktion ausführen ausgewählt wird. Abbildung 40 - Neuer Jobschritt Typ Serverseitige Aktion Die Schritte können beliebig mit den gewöhnlichen clientseitigen Schritten kombiniert werden und werden an gewohnter Stelle im baramundi Management Center zusammen mit deren Status angezeigt. Damit ist stets die maximale Transparenz über den Ausführungsstatus gegeben. Abbildung 41 Protokollierung von Server- und Client-seitigen Jobschritten Jobs mit serverseitigen Aktionen verfügen über alle bekannten Konfigurationsmöglichkeiten und werden selbstverständlich auch über den Scheduler des bms geplant und gesteuert, so dass auch der Ausführungszeitpunkt, die dynamische Zuordnung zu Clients und vieles mehr flexibel definiert werden können. Seite 38 / 67

39 2.2.3 Anwendungsmöglichkeiten Mit serverseitigen Aktionen lassen sich viele neue Arten von Aufgaben per Skripting lösen. Folgende Liste erhebt keinerlei Anspruch auf Vollständigkeit, sondern soll vielmehr dazu inspirieren, im eigenen Umfeld existierende Problemstellungen zu identifizieren, für die diese Erweiterung eine Lösung bieten kann. Linux-Clients mittels bms verwalten und darauf administrative Aufgaben durchführen, wie zum Beispiel Inventarisierung, Softwareverteilung, Patch-Updates, etc. Zugriff auf Hypervisor-Systeme, z.b. virtuelle Maschine (VM) anlegen und anschließend Windows OS-Installation in der VM ausführen Remote-BIOS/vPro-Zugriff SNMP-Komponenten managen Telnet Firmware Update Zugriff auf das Active Directory zum Anlegen neuer Einträge vom Server aus Beispiel: Linux-Inventarisierung Abbildung 42 Inventarisierung von Linux-Clients Serverseitige Aktionen erlauben es nun auch Linux-Systeme zu inventarisieren. Hierzu werden individuelle SSH-Skripte auf dem Management Server ausgeführt und die vom Client Seite 39 / 67

40 ermittelten Inventurdaten danach in der gewohnten Oberfläche des Management Centers angezeigt. Analog zur Hardwareinventarisierung eines Linux-Rechners ist auch die Umsetzung anderer Aufgaben auf einem solchen System lösbar Beispiel: Anlegen einer virtuellen Maschine und OS-Installation Dieses Beispiel zeigt eine weitere Anwendung, in der eine Kombination von serverseitigen und clientseitigen Schritten in einem einzigen Job zu einer eleganten Lösung führt. Abbildung 43 VM-Erzeugung mit OS-Installation Nach Erzeugung einer neuen Instanz einer virtuellen Maschine per serverseitigem Skript wird in den folgenden beiden Schritten im soeben angelegten Client ein PXE-Boot und danach eine Betriebssysteminstallation (beides clientseitig) durchgeführt. Aus Sicht des Management Centers gestaltet sich die Jobverfolgung als übersichtlich und transparent in der gewohnten Form: Alle Jobschritte und deren Ausführungserfolg werden im Kontext des Jobs untereinander aufgelistet. Hinweis: Um die Erschaffung und den Austausch neuer Lösungen auf Basis serverseitiger Aktionen zu fördern, wurde ein neues Board im baramundi Forum eingerichtet: Dort sind Beispielskripte zu finden. Seite 40 / 67

41 2.2.6 Beispiel: Sicherer Wake-On-LAN auf Intel vpro-rechnern Am Beispiel der Intel vpro Active Management Technology (AMT) 1 sind bereits zahlreiche neue Anwendungsmöglichkeiten für Serverseitige Aktionen erkennbar. Exemplarisch sei hier ein Szenario für zielgerichtetes und sicheres Wake-On-LAN vorgestellt. Abbildung 44 Verfahren für Wake-On-LAN Die linke Seite der obigen Abbildung zeigt den Weg, wie ein Client über Wake-On-LAN (WoL) per Magic Packet gebootet wird, indem ein WoL-Kommando per Broadcast über das Netz versendet wird. Die Zuordnung erfolgt hierbei per Vergleich der MAC-Adresse. Dabei ist keine Absicherung per Passwort möglich, d.h. jeder kann bei Kenntnis der Adresse einen fremden Client booten. vpro/amt-modell ermöglicht den WoL-Aufruf gezielt an eine IP-Adresse und sicher unter Nutzung eines Passworts. Dieses Szenario ist in der rechten Hälfte der Abbildung dargestellt. Durch einen gezielten WoL-UniCast ist auch das sichere Booten eines Rechners in einem anderen Netzabschnitt möglich, ohne dass ein Relay benötigt wird. 1 Beschreibung zu Intel AMT: ementation and Reference Guide/default.htm Seite 41 / 67

42 2.3 Verschiedenes Setup Die Berechtigungen für die BMS$-Freigabe werden jetzt explizit vom Setup gesetzt. Ein.NET Patch wurde mit aufgenommen, dieser ist für die korrekte Funktion der Version 8.9 erforderlich SQL Server Express 2012 ist jetzt enthalten und kann wie gewohnt optional mit installiert werden Management Server (bms) Zum Zugriff auf die Datenbank wird jetzt die.net-plattform verwendet. Darum ist eine aktuelle und lauffähige.net-umgebung zwingend erforderlich. Nicht korrekt geblacklistete MAC-Adressen sind jetzt beim Jobtarget-Status erkennbar und führen nicht mehr zu mehrfacher Jobausführung. Zu lange Registryeinträge führen jetzt nicht mehr zu einem Abbruch der Softwareinventur. Der Patch- und MSW Dateidownload arbeitet jetzt auch mit aktiver UAC und unveränderten Rechten auf %windir%\temp korrekt. Die automatische Komponentenermittlung wurde erheblich beschleunigt. Die Einstellung Automatische Komponentenermittlung unter Windows" arbeitet damit wieder korrekt. Der Umgang mit Sonderzeichen bei der Active Directory Synchronisierung wurde verbessert. Bei Active Directory-Benutzersynchronisierungen können Fehlercodes jetzt analog zu Maschinensynchronisierungen differenzierter behandelt werden. Die Möglichkeit, die Anzahl der Datenbankverbindungen zu konfigurieren, wurde entfernt, da baramundi dies nun intern steuert. Der Import von leeren WMI-Inventurdaten führt bei Oracle nicht mehr zu einem Datenbankfehler. Ein neuer Dienst "bserviceguard" überwacht den baranet Dienst. Zudem wird baranet automatisch jede Nacht vom ServiceGuard neu gestartet. Konfigurierbar ist der ServiceGuard über die Datei "baramundi.config" Protokollserver Der BUCO-Protokollserver kann jetzt nur noch zum Verwalten des bms-logs verwendet werden. Seite 42 / 67

43 Der Management Object Connector (MOC) verwendet ein neues Logformat. Konfigurationsanpassungen erfolgen über die Datei baramundi.config Management Agent (bma) Die Tastatur- und Maussperre blockiert jetzt alle Eingaben, die nicht vom bds im Rahmen der aktuellen Jobausführung stammen. Dies schließt die Bedienung per Touchscreen, bestimmter Remote-Control-Lösungen sowie den Legacy Robot ein. Auf W2008/2008R2/W2012-Terminalservern wird der Wechsel in den Installationsmodus und zurück zum Ausführungsmodus jetzt korrekt durchgeführt. Die automatische Installation des baramundi Management Agent wurde für komplexe Multidomänenumgebungen verbessert. Es wird jetzt konsequent der angegebene Adminstrationsbenutzer der jeweiligen Clientdomäne verwendet. Der bfcrx-dienst protokolliert bei bma-installationsanfragen nun die IP-Adresse Management Center (bmc) Die Anzahl der logischen und physikalischen CPU-Kerne wird jetzt beim Client angezeigt. Unter OS Install werden jetzt die Jobs angezeigt, welche das jeweilige OS verwenden. Das Laden der Hardware-Komponenten-Listen wurde deutlich beschleunigt. Die Aktion Client Shutdown benötigt jetzt das AssignJob -Recht für den Client. Die installierte Software am Client wird auch angezeigt, wenn der bmc-benutzer keine Rechte auf dem Knoten MSW hat. Der Filter MSW-Versionsdetails bei installierter Software listet jetzt die Applikationen korrekt auf. Wurden geöffnete Dialoge sehr lange nicht geschlossen, dann erschien sporadisch eine Browserverzögerung -Warnung. Um dies zu verhindern wird jetzt die Einstellung "MaxScriptStatements" des Internet Explorers für den aktuellen Benutzer modifiziert. Der SQL-Editor zeigt auch auf englischen Systemen die Managed Software-Auswahl an. Jobs mit Bundle- oder Deinstallationsschritten führen bei fehlenden Rechten nicht mehr zu einem Anzeigefehler. Beim Löschen einer Applikation, die in einer dynamischen Gruppe verwendet wird, kann jetzt zur betroffenen dynamischen Gruppe gesprungen werden. Die bmc arbeitet jetzt auch in einer Zeitzone UTC+0 korrekt. Betroffen waren die MSW- Freigabe und kleinere Anzeigefehler bei der Inventur. Seite 43 / 67

44 Der Excel-Export von Assets bei einer Organisationseinheit beinhaltet jetzt alle Assets der Gruppenstruktur, nicht nur die direkt zugeordneten. Im SQL-Designer wird die Breite der Komboboxen jetzt automatisch dem Inhalt angepasst. Die Größe eines DIP-Servers wird beim DIP-Server jetzt mit angezeigt Energy Management Energy-Daten werden jetzt auch unter Verwendung von SQL-Server 2005 angezeigt Automation Studio Die Protokollierung von bds-ausführungen kann in den Eigenschaften des Skriptes deaktiviert werden. Beim Speichern eines bds als exe-datei wird jetzt sichergestellt, dass alle Änderungen am Skript gespeichert und in der Datei enthalten sind. Es wurden zwei neue Variablen {BMSVersion} und {BMAVersion} implementiert Mobile Devices (bmd) Unter Verwaltung baramundi Lizenzen wird jetzt auch die Gesamtzahl lizenzierter Mobiler Geräte angezeigt. Je nach eingestelltem Gateway-Modus sind ios-geräte mit oder ohne Angabe des https- Ports 443 aufgenommen. Bei einem erneuten Enrollment muss die Server-URL exakt identisch angegeben sein, ansonsten verweigert das Endgerät die Aktion. In der Konfigurationsseite für Mobile Devices gibt es hierfür jetzt eine Einstellung "Server-Port im Managementprofil immer verwenden". Android Agent im neuen Design. Verfügbar über den Google Play Store. Der Mobile Devices-Konfigurationsdialog wurde verbessert. Zudem kann er jetzt korrekt berechtigt werden. Eine neue Joboption ermöglicht es, einen Job automatisch beim Enrollment dem Gerät zuzuweisen. Ein Fehler beim -Versand während des Enrollments wurde behoben. Der Datenbankzugriff auf eine benannte Instanz mit Portangabe funktioniert jetzt korrekt. Die Excel-Export-Funktion liefert bessere Ergebnisse. Für unterstütze HTC-Geräte mit Android ist es jetzt möglich, die Microsoft Exchange- Konfiguration automatisiert zu verteilen. Seite 44 / 67

45 Zu jeder ios-applikation werden aus dem App Store die Icons automatisch nachgeladen. Die Fehlermeldungen beim Verteilen von fehlerhaften Android-Profilen wurden verbessert. An den JobTargets ist jetzt ersichtlich wer den Job zugewiesen hat, sowie die Anzahl der bisherigen Durchläufe. Seite 45 / 67

46 3 Release Mobile Devices Mit baramundi Mobile Devices wird die baramundi Management Suite um die Möglichkeit zur Verwaltung mobiler Endgeräte auf Basis von ios und Android erweitert. Der Funktionsumfang deckt alle Phasen von der Erfassung (Enrollment) über die Inventarisierung, Konfiguration und App-Verteilung bis hin zum Remote Wipe ab. Nähere Details finden Sie im baramundi Mobile Devices Handbuch Neues in der Version Unterstützung des Apple VPP (Volume Purchase Program), der Plattform für Unternehmen zum Kauf lizenzpflichtiger Apps. Ebenfalls neu ist die Möglichkeit, statt unseres Gateways das Microsoft TMG zu verwenden. Viele Detailverbesserungen wie eine Vereinfachung beim Enrollment, eine Live App- Suche im Apple Store beim Import von Applikationen, Jobwiederholungen und Performanceoptimierungen runden die Version ab. 3.2 Lizenzverwalter-Rolle In der Version wurde das rollenbasierte Sicherheitssystem der baramundi Management Suite erweitert. Es ist nun möglich, eine Rolle Lizenzverwalter zu definieren, die lediglich die Lizenzen einer Software bearbeiten darf und die eines Paketierers, der Software zwar bearbeiten darf, nicht jedoch die Lizenzdaten. Bei Applikationen, Managed Software und Betriebssystemen wurde dazu eine neue Berechtigung Lizenzen verwalten eingeführt. Diese Berechtigung steuert, wer Lizenzen und Lizenzaktionen bearbeiten darf. Das Aktivieren der Lizenzverwaltung für eine Software ist weiterhin nur mit dem Modify Recht möglich. Zusätzlich gibt es in der bmc den neuen Knoten Lizenzverwaltung, wo alle für die Lizenzverwaltung freigeschalteten Softwarepakete angezeigt werden und die Lizenzen bearbeitet werden können. 3.3 Korrektur beim sicheren Löschen von Festplatten Die Funktion "Festplatte vollständig löschen" (WipeDisk) löscht den Inhalt vor der Version nicht vollständig. Die Festplatte ist zwar augenscheinlich gelöscht, es sind auch keine Partitionen mehr vorhanden, aber ein Experte könnte mit einem Disk Editor noch Daten aus der Festplatte auf Sektorbasis auslesen. Hintergrund ist, dass der WipeDisk unter Windows PE einen technischen Fehler enthält, welcher dazu führt, dass von Festplatten nur die ersten vier Gigabyte gelöscht werden. Die DOS-Version ist davon nicht betroffen. Seite 46 / 67

47 3.4 Jobausführung beim Herunterfahren Bisher wurde die Möglichkeit, Jobs beim Herunterfahren auszuführen, über ein Kommandozeilentool (ShutdownJobExecutor) realisiert, welches in den Gruppenrichtlinien der Domäne hinterlegt wurde. In der Version 8.8 ist diese Möglichkeit vollständig in die baramundi Management Suite integriert. Der baramundi Agent übernimmt jetzt komplett die Jobausführung, eine Anpassung der Gruppenrichtlinien ist nicht mehr notwendig. Der Administrator hat dabei zwei Möglichkeiten: 1. Er legt fest, dass der Job grundsätzlich beim Herunterfahren ausgeführt werden soll. Abbildung 45 Job-Eigenschaften 2. Er lässt dem Anwender die Möglichkeit, einen Job auf den Zeitpunkt des Herunterfahrens zu verschieben. Der Job wird bei Zuweisung (oder wenn der Anwender die Jobausführung verschiebt) auf dem Client eingehängt. Dabei wechselt der Status auf Shutdown. Als Administrator hat man also stets den vollen Überblick. Beim Herunterfahren des Systems prüft der bma die anstehenden Jobs und fordert diese dann vom baramundi-server an. Hier hat der Anwender noch die Möglichkeit, die Jobs nicht zu starten, sondern sofort das System herunterzufahren. Bitte beachten Sie, dass nicht jeder Job zur Ausführung beim Herunterfahren geeignet ist. Insbesondere ist eine automatische Anmeldung am System in diesem Zustand nicht mehr möglich. Alle Jobschritte, welche einen Desktop benötigen, führen darum zu fehlerhaften Jobs. Auch Installationen als Installationsbenutzer mit aktivierter UAC benötigen einen Desktop! Der bma prüft die zur Ausführung anstehenden Jobs, so dass es nicht zu einem hängenden System kommen wird, die Jobs zeigen dann lediglich einen sprechenden Fehlerstatus. Hinweis: Es wird empfohlen Installationen im Kontext von LocalSystem durchzuführen. Der baramundi Management Agent greift auch hier auf DIP Dateien mit dem Installationskontext zu, so dass die meisten Setups problemlos durchgeführt werden können. 3.5 baramundi Managed Software Verbesserungen Lizenzverwaltung Ab sofort kann an Managed Software-Produkten die Lizenzverwaltung aktiviert werden. Das Managed Software-Team der baramundi software AG wird nun beginnen, lizenzpflichtige Seite 47 / 67