AD域中Altiris客户端安装方法

在向客户端推送Altiris Agent时，必须知足如下几方面的条件才可正常从控制台推送安装：

一、打开445(文件打印共享)端口：在系统防火墙中将文件和打印机共享进行例外（或者关闭系统防火墙）；

二、关闭“简单文件共享”（或者将本地安全策略中的“网络访问：本地账户的共享和安全模式”设置为“经典-本地用户以本身的身份验证”）；

三、打开默认共享（IPC$、C$、ADMIN$）。

当要安装Altiris Agent的全部客户端计算机都是AD域成员时，那么能够经过域组策略方式进行客户的设置，使全部要安装Altiris Agent的客户端计算机达到网络推送Altiris Agent的要求。

具体操做以下：

将全部要进行设置的客户端添加到一新建的OU中，而后在此OU上编辑组策略，不要把该策略应用到DC上，DC必须依赖于SYSVOL共享。

1、 组策略操做步骤：

一、 准备好脚本

注册表文件：经过导入此注册表文件修改注册表相关项来达到相应的目的。

关闭系统防火墙：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]

"137:UDP"="137:UDP:*:Enabled:@xpsp2res.dll,-22001"

"138:UDP"="138:UDP:*:Enabled:@xpsp2res.dll,-22002"

"139:TCP"="139:TCP:*:Enabled:@xpsp2res.dll,-22004"

"445:TCP"="445:TCP:*:Enabled:@xpsp2res.dll,-22005"

开启默认共享：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]

"AutoShareWks"=dword: 00000001

"AutoShareServer"=dword:00000001

关闭简单共享：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

"forceguest"=dword:00000000

将这些数据编辑成一个注册表文件，而后经过Bat脚本文件来调用注入客户机的系统，从而达到修改的目的。

本例中的注册表文件以下（文件名为LiClient.reg）：

REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]

"137:UDP"="137:UDP:*:Enabled:@xpsp2res.dll,-22001"

"138:UDP"="138:UDP:*:Enabled:@xpsp2res.dll,-22002"

"139:TCP"="139:TCP:*:Enabled:@xpsp2res.dll,-22004"

"445:TCP"="445:TCP:*:Enabled:@xpsp2res.dll,-22005"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]

"AutoShareWks"=dword: 00000001

"AutoShareServer"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

"forceguest"=dword:00000000

Bat脚本文件：以下（文件名为LiClient.bat）：

@echo off

regedit  -s  LiClient.reg

@echo on

二、 添加策略

2.一、打开DC中的“Active Directory 用户和计算机”，在要安装Altiris Agent的计算机所在的容器上新建一条组策略并进行编辑；

2.二、打开“计算机配置”à“Windows设置”à“启动（启动/关机）” à“启动”，在弹出的“启动属性”窗口中点击“添加”按钮添加脚本，点击“浏览”，将第1步创建的两个文件拷贝到此文件夹中（或者点击“启动属性”窗口中的“显示文件”，将这两个文件拷贝到弹出的文件夹中，此目录即点击“浏览”按钮打开的文件夹），并选择“LiClient.bat”做为启动脚本，

当客户端在下次启动系统时就会执行此脚本，从而达到导入注册表文件“LiClient.reg”的目的。

2.三、打开“计算机配置”à“Windows设置”à“安全设置”à“系统服务”à“Server”服务，在弹出的“Server属性”窗口中勾选“定义这个策略设置”，并选择服务启动模式为“自动”。

这项设置是为了保证客户端“Server”服务被启动（若是这个服务以及“Workstation”服务未启动，则网络服务没法提供，从而没法跟服务器进行网络链接。）

2.四、打开“计算机配置”à“Windows设置”à“安全设置”à“系统服务”à“Workstation”服务，在弹出的“Server属性”窗口中勾选“定义这个策略设置”，并选择服务启动模式为“自动”。

这项设置是为了保证客户端“Workstation”服务被启动（若是这个服务以及“Server”服务未启动，则网络服务没法提供，从而没法跟服务器进行网络链接。）

2.五、打开“计算机配置”à“Windows设置”à“安全设置”à“系统服务”à“Windows Firewall/Internet Connection Sharing (ICS)”服务，在弹出的“Windows Firewall/Internet Connection Sharing (ICS)属性”窗口中勾选“定义这个策略设置”，并选择服务启动模式为“禁用”。

这项设置是为了保证客户端“Windows Firewall/Internet Connection Sharing (ICS)”服务被禁用，即系统防火墙被关闭，防止防火墙阻止网络访问。

注：这项设置在导入了上面的注册表文件“LiClient.reg”中的关于防火墙的设置时也能够不进行设置。

2.六、打开打开“计算机配置”à“Windows设置”à“安全设置”à“本地策略”à“安全选项”à“网络访问：本地账户的共享和安全模式”，在弹出的“网络访问：本地账户的共享和安全模式属性”窗口中勾选“定义这个策略设置”，并选择模式为“经典-本地用户以本身的身份验证”。

注：这项设置效果同注册表文件“LiClient.reg”中的“关闭简单共享”功能相同，在导入了此注册表文件的状况下，也能够不进行设置。

2.七、在域控制器上进行域策略的刷新。

命令：gpupdate /force

2、 安装Altiris客户端

一、 打开Altiris NS控制台à“配置”à“解决方案设置”à“Network Discovery”à“扫描组”à“默认扫描组”，配置好扫描设置（例如扫描的地址范围、要排除的地址、扫描计划等），应用设置后点击“当即扫描”进行设备的扫描。

二、 打开Altiris NS控制台à“配置”à“解决方案设置”à“Network Discovery”à “搜索到的设备”，便可看搜索进度，在搜索完成后，会显示全部搜索到的设备（如计算机、网络打印机、交换机等），点击下面的“启用”按钮，便可对这些设备进行后继的操做（例如，安装Altiris Agent等）。

三、 打开Altiris NS控制台à“配置”à“Altiris Agent”à“Altiris Agent转出”à“全部未安装Altiris Agent的Windows NT/2000/XP/2003/Vista/2008计算机”，便可查看刚才搜索到的全部未安装Altiris Agent的计算机。

四、 打开Altiris NS控制台à“配置”à“Altiris Agent”à“Altiris Agent转出”à“Altiris Agent安装”，在此对搜索到的计算机进行“Altiris Agent”的推送安装。

五、 打开Altiris NS控制台à“配置”à“Altiris Agent”à“Altiris Agent转出”à“全部装有Altiris Agent的Windows计算机”，能够查看安装状况。

至此，Altiris Agent就已经安装好了。

注意：若是客户端禁用了“Server”及“Workstation”服务，则在登录应用了此组策略后，这两个服务会修改成“自动”模式，但服务如今并无启动，所以必须再次从新启动计算机来启动这两个服务（或手动进行服务的启动）。

附： 要在客户端不显示任何图标、无任何提示以及不在“添加/删除程序”列表中列出Altiris Agent”时，对于Altiris Agent的设置要注意如下几个地方。

一、 打开Altiris NS控制台à“配置”à“Altiris Agent”à“Altiris Agent转出”à“Altiris Agent安装”，在右侧窗口中的“安装设置”，设置针对上面显示框中搜索到的计算机的“Altiris Agent”安装选项。

二、 打开Altiris NS控制台à“配置”à“Altiris Agent”à“Altiris Agent配置”à“全部Windows服务器（不包括Package Server）”（以及“全部Windows移动计算机”、“全部台式机（不包括Package Server）”），将“交互”设置页中的“在Altiris Agent计算机上显示系统托盘图标”、“当已计划的Software Delivery任务到达时通知用户（仅限5.x代理）”以及“当手动Software Delivery任务到达时通知用户（仅限5.x代理）”设置为不选择；将“运行Software Delivery任务前先通知”设置为“不要通知”。

李政

2009-6-8