В этой статье мы рассмотрим, как устанавливать программы на компьютеры пользователей домена Active Directory с помощью групповых политик.
Встроенный функционал GPO Windows позволяет устанавливать только программы, распространяющееся в виде MSI или ZAP пакетов. Другие виды программ придется устанавливать альтернативными средствами: с помощью SCCM, через логон скрипты, копирование файлов программы на компьютеры с помощью GPO, запуском разовых скриптов и т.д.
Содержание:
- Получите установочный MSI пакет программы
- Создаем GPO для установки программы на компьютеры пользователей
- Изменение параметров MSI пакета для установки через GPO
Получите установочный MSI пакет программы
Рассмотрим, как установить MSI пакет программы на компьютеры пользователей с помощью групповых политик Windows на примере клиента Microsoft Teams.
Скачайте MSI пакет с клиентом Teams (http://aka.ms/teams64bitmsi) и скопируйте файл Teams_windows_x64.msi в каталог SYSVOL на контроллере домена (
\\winitpro.ru\SysVol\winitpro.ru\scripts
).
Обратите внимание, что есть x86 и x64 версии MS Teams. Если у вас остались компьютеры x86 версиями Windows, вам нужно создать отдельные политики для x86 и x64 компьютеров. Для фильтрации версий Windows в политиках можно использовать WMI фильтры GPO.
Далеко не все программы предоставляются в виде MSI файла. Чаще всего разработчики отдают их в виде исполняемых EXE файлов, которые не подходят для распространения через GPO. Но есть два способа, которые в некоторых случаях получить установочный MSI программы:
- Некоторые установщики при запуске распаковывают свои файлы в каталог %temp%. Поэтому при установке программы (просто сверните окно установки) попробуйте открыть этот каталог и найти в нем установочный MSI файл.
- Другой способ получения MSI файла – попробовать открыть установочный EXE файл с помощью архиватора 7-Zip. Запустите 7-Zip и в меню выберите File -> 7ZIP –> Open Archive. 7ZIP попробует открыть EXE файл в как архив. В нашем случае из EXE файла с дистрибутивом Acrobat Reader получилось извлечь MSI и MST файлы, которые готовы для установки через групповые политики Windows.
Создаем GPO для установки программы на компьютеры пользователей
Теперь нужно создать новую политику в домене для установки вашего ПО.
- Откройте консоль управления доменными GPO (
gpmc.msc
); - Создайте новую GPO (CorpInstallTeams)и назначьте ее на OU с компьютерами, на которые нужно выполнить установку (Create a GPO in this domain, and link it here);
- Откройте политику и перейдите в раздел Computer Configuration -> Policies -> Software Settings -> Software installation;
- Выберите пункт меню New -> Package;
- Выберите ваш MSI файл, который хранится в каталоге SYSVOL;
- Выберите опцию “Advanced” и нажмите OK;
Assigned – программы устаналиваются при входе пользователя, Published – публикуюция на компьютерах и могут быть установлены пользователями из Add/Remove Programs.
- В открывшемся окне можно настроить дополнительные параметры MSI пакета. Я просто изменю отображаемое имя с Teams Machine-Wide Installer на Microsoft Teams Client;
- На вкладке Deployment нажмите кнопку Advanced и включите опцию Ignore language when deploying this package (это позволит игнорировать язык Windows на компьютерах клиентов);
- Перезагрузите компьютер для обновления настроек GPO и при следующей загрузке компьютера будет выполнена установка программы. Она появится в списке установленных программ Windows. Для анализа событий установки включите фильтр по источнику Application Management Group в разделе System Event Viewer-а.
- Можно показывать детальный процесс применения политики на компьютере. Для этого включите параметр Display highly detailed status messages в Computer Configuration -> Policies -> Administrative Templates -> System. Теперь при загрузке Windows будет отображаться все выполняемые в фоне процессы. При установке программ через GPO появится надпись Installing managed software AppName;
Изменение параметров MSI пакета для установки через GPO
В стандартном интерфейсе GPO вы не можете указать определенные ключи для установочных MSI пакетов. Что очень неудобно. Например, при установке антивируса вам нужно указать адрес сервера управления. Или при при установке Teams из командой строки с помощью msiexec можно отключить автозапуск клиент MSTeams и скрыть его из списка установленных программ (локальный администратор не сможет удалить клиент Teams). Для этого используется команда:
msiexec /i Teams_windows_x64.msi OPTIONS="noAutoStart=true" ALLUSERS=0
Как добавить опции установки в MSI пакет? Для этого используются файлы преобразования MST. Этот тип файлов позволяет изменить стандартные настройки MSI пакета и использовать ваш сценарий установки.
Для создания файла модификации MST для MSI пакетов можно использовать утилиту ORCA (входит в состав Windows Installer SDK).
Откройте ваш MSI пакет с помощью Orca.
Создайте New Transformation и задайте ваши кастомные параметры MSI пакета в разделе Property. В моем случае для клиента Teams я изменю:
- noAutoStart на
True - ALLUSERS на
0
Выберите Transform -> GenerateTransform и сохраните изменения в файл с расширением MST (teams_mod.mst). Скопируйте файла в каталог SYSVOL
Теперь нужно удалить предыдущее правило для установки MSI пакета в GPO (т.к. вы можете добавить MST с модификациями пакет только при создании правила установки программы.
Выберите All –> Task -> Remove
Создайте новое правило установки программы, опять выберите msi файл в каталоге SYSVOL и перейдите на вкладку Modification. Нажмите кнопку Add. Выберите созданный ранее MST файл.
Теперь во время установки MSI пакета через GPO к нему автоматически применится файл модификаций MST и установит программу с нужными вам параметрами.
Основные недостатки метода установки MSI программ через GPO:
- Поддерживаются только MSI и ZAP установщики;
- Нельзя запланировать установку программы на определенное время. Одновременная установка программы на множестве компьютеров (обычно это происходит утром при включении компьютеров) может вызвать нагрузку на сеть и DC. В этом случае лучше использовать, например, SCCM. Используя окна обслуживания (maintenance) или настройки WOL (Wake On LAN);
- Нельзя изменить порядок установки программ в одной политике. При добавлении нового установочно пакета в GPO, оно устанавливается последним.
- Нельзя получить отчет об успешности или ошибках установки программы на компьютерах.
Для установки .MSI пакета десктопного приложения MTS LINK на всех компьютерах домена через групповые политики вам потребуется выполнить следующие действия
-
Скачать .MSI пакет десктопного приложения
-
Подготовить файл MST для задания настроек при установке через групповые политики
-
Установите Microsoft Windows Installer SDK. Скачать можно на официальном сайте Microsoft. Из всего пакета компонентов достаточно будет установить MSI Tools
-
Далее перейдите в директорию, куда установились инструменты Windows SDK (по умолчанию это C:\Program Files (x86)\Windows Kits), а оттуда проследуйте по следующему пути: \bin\sdk_version\x86 (вместо sdk_version будет ваша версия Windows SDK). Здесь вы найдёте MSI-инсталлятор утилиты Orca – обычно это файл с названием Orca-x86_en-us.msi. Установите и запустите утилиту
-
Через команду меню File → Open откройте MSI-пакет клиентского приложения MTS LINK
-
В разделе Tables выберите пункт Property. В правой части окна отобразится список доступных MSI-ключей приложения, а также некоторая служебная информация.
-
Далее необходимо перевести утилиту в режим редактирования выбрав команду Transform → New Transform:
-
Укажите параметр APP_AUTOSTART в значении 0 или 1. Параметр отвечает за добавление приложения в автозагрузку при старте операционной системы
-
Сохраните настроенные параметры в файле .mst, выбрав команду Transform → Generate Transform:
-
файл конфигурации готов
-
-
Установить MSI-пакет с помощью групповых политик
-
Разместите MSI-установщик клиентского приложения и MST-файл с настроенными ключами на в сетевой папке, которая доступна всем устанавливаемым клиентам
-
Перейдите в консоль управления групповыми политиками. Для этого нажмите клавиши Win + R, и в появившемся окне введите команду gpmc.msc
-
Создайте новый объект групповой политики (GPO, Group Policy Object). Для этого нажмите правой кнопкой мыши на нужном домене и в появившемся меню выберите пункт Создать объект групповой политики в этом домене и связать его / Create a GPO in this domain, and link in here:
-
Введите имя созданной политики и нажмите OK.
-
Правой кнопкой мыши нажмите на созданном GPO и выберите команду Правка… / Edit… в контекстном меню.
-
Появится окно настройки объекта групповой политики. В дереве настроек, расположенном в левой части окна, нажмите правой кнопкой мыши на пункте Конфигурация компьютера / Computer Configuration → Политики / Policies → Конфигурация программ / Software Settings → Установка программ / Software installation, а затем выберите Создать / New → Пакет / Package:
-
В окне проводника выберите MSI-установщик, размещённый в сетевом каталоге
-
В окне выбора типа развёртывания нужно выбрать Особый / Advanced
-
В онке настройки процесса развёртывания перейдите на вкладку Модификации / Modifications, нажмите кнопку Добавить / Add и в появившемся окне проводника выберите файл настроек. После загрузки файла, нажмите ОК.
-
Обновите настройки GPO, выполнив в консоли команду: gpudate
-
Готово! Настройки GPO обновятся, и приложения будут установлены на клиентских машинах во время следующего входа их пользователей в свои учётные записи.
-
Удаление приложения со всех машин домена
-
Откройте консоль управления групповыми политиками gpmc.msc
-
Правой кнопкой мыши нажмите на объект групповой политики, с помощью которого настраивалось доменное развёртывание MSI-пакета
-
В появившемся контекстном меню выберите команду Правка… / Edit…
-
Откроется окно настройки объекта групповой политики. В дереве настроек в левой части окна выберите пункт Конфигурация компьютера / Computer Configuration → Политики / Policies → Конфигурация программ / Software Settings → Установка программ / Software installation.
-
Справа отобразится список приложений, установленных в рамках редактируемой групповой политики. Правой кнопкой мыши нажмите на приложении MTS LINK и в появившемся контекстном меню выберите Все задачи / All Tasks → Удалить / Remove
-
В открывшемся окне выберите опцию Немедленное удаление этого приложения с компьютеров всех пользователей / Immediately uninstall the software from users and computers и нажмите OK
-
Обновите настройки GPO, выполнив в консоли команду: gpudate
-
Готово! Настройки GPO обновятся, и приложения будут удалены на клиентских машинах во время следующего входа их пользователей в свои учётные записи
GPO – Installing an MSI package
GPO – Installing an MSI package
Would you like to learn how to use a group policy to install an MSI package? In this tutorial, we will show you how to create a group policy to install an MSI package automatically on the domain computers.
• Windows 2012 R2
• Windows 2016
• Windows 2019
• Windows 10
• Windows 7
Hardware List:
The following section presents the list of equipment used to create this Windows tutorial.
Every piece of hardware listed above can be found at Amazon website.
Windows Related Tutorial:
On this page, we offer quick access to a list of tutorials related to Windows.
Tutorial GPO – Install an MSI package
Create a shared folder and place a copy of the MSI package.
This will be the distribution point of the MSI package to the network.
In our example, a shared folder named SOFTWARE was created.
All the domain users and all the domain computers were given read permission over this folder.
In our example, this is the path to access the network share.
On the domain controller, open the group policy management tool.
Create a new group policy.
Enter a name for the new group policy.
In our example, the new GPO was named: MY-GPO.
On the Group Policy Management screen, expand the folder named Group Policy Objects.
Right-click your new Group Policy Object and select the Edit option.
On the group policy editor screen, expand the Computer configuration folder and locate the following item.
Right-click on the Software installation folder and select the option to add a package.
Select the MSI package using the network share.
Select the ASSIGNED option.
In our example, we are going to install the MSI package of the 7-ZIP software.
To save the group policy configuration, you need to close the Group Policy editor.
Congratulations! You have finished the GPO creation.
Tutorial – Applying the GPO to install the MSI package
On the Group policy management screen, you need to right-click the Organizational Unit desired and select the option to link an existent GPO.
In our example, we are going to link the group policy named MY-GPO to the root of the domain.
After applying the GPO you need to wait for 10 or 20 minutes.
During this time the GPO will be replicated to other domain controllers.
To test the configuration, reboot a remote computer and verify if the software was automatically installed.
The remote computer must be able to access the network share where the MSI package is located.
In our example, an MSI package was installed using GPO on all the domain computers.
VirtualCoin CISSP, PMP, CCNP, MCSE, LPIC22020-12-22T13:38:07-03:00
Related Posts
Page load link
Ok
Время на прочтение4 мин
Количество просмотров289K
Доброго времени суток, Хабр! Хочу представить интересный, по моему мнению, способ создания msi-инсталляторов для любого программного обеспечения и, как следствие, развертывание его средствами GPO. Подчеркну, что описанный метод не подразумевает создание «слепков» системы, а использует нативные инсталляторы софта, при чем для создания msi применяются только бесплатные для коммерческого использования продукты.
Введение, пара ссылок и дисклеймер
Каждый нормальный инсталлятор ПО имеет возможность автоматической установки с определенными или заложенными по умолчанию параметрами. Суть моего метода проста и заключается в том, чтобы запаковать нативный инсталлятор в «контейнер» msi и запустить его с необходимыми параметрами командной строки. В сети куча информации по автоматической установке того или иного приложения, и я не буду заострять на этом внимание. Наша цель, повторюсь, — установка ПО средствами групповых политик. Кстати, некоторые из вас могут возразить, что установку можно производить через ZAW, но, к сожалению, данный метод применим только для установки с правами текущего пользователя и не может применяться для централизованной автоматической установки приложений.
Интересный цикл статей по установке ПО через ГП. Для новичков рекомендую прочитать все, чтобы потом не спрашивать, чем отличается тип установки «назначенный» от «публичный».
Необходимый софт. Exe to MSI Converter freeware и всем известная orca Первый нужен для того, чтобы создать msi из exe, а вторая — чтобы получившийся msi-ник смог установиться через групповые политики.
Метод не претендует на полную уникальность и в некоторых местах могут встречаться излишества, которых можно было бы избежать, но это связанно отсутствием желания и необходимости слишком глубоко вникать в параметры таблиц msi-пакетов. Первоначальной целью ставилось быстро найти бесплатный способ создания msi и после нескольких часов, проведенных в чтении зарубежных форумов и бесконечных перезагрузках виртуальной машины, метод был найден. Также, статья — это не обзор интерфейса программ, и скриншотов вы не увидите.
Создание и подготовка пакета
Пример установки будет произведен для Mozilla Firefox, т. к. это широко известный продукт, не имеющий msi-инсталлятора от разработчиков.
- Запускаем exe to msi и указываем в нем путь к exe-установщику firefox. По ранее найденной в сети информации становится понятно, что по-тихому установить огнелиса можно с параметрами -ms -ira. Их-то и указываем во втором поле exe to msi и жмем «Build MSI».
- Казалось бы все, msi-пакет готов. Действительно, запустив получившийся результат мы получим установленный в системе firefox и в статье можно было бы ставить точку. К сожалению, не все так просто. Текущий пакет установки не пригоден для развертывания через GPO и при загрузке компьютера вы будете получать совершенно ничего не объясняющие ошибки в логах «произошла неисправимая ошибка…» А все дело в том, что разработчики exe to msi тоже хотят есть и их бесплатный продукт генерирует msi «не по правилам».
- Ну что ж, берем орку и открываем в ней наш эмсиайник.
- Первым делом находим в левом списке таблицу Property и обращаем внимания на два поля — ProductCode и UpgradeCode. Эти два поля должны быть уникальны для каждого продукта, а наш exe to msi генерит всегда одинаковые. Ну что ж, не беда, жмем в верхнем меню View -> Summary Information, находим поле PackageCode и жмем New GUID. Получившийся результат копируем в буфер обмена и вставляем в ProductCode. Повторяем для UpgradeCode и наконец для самого PackageCode. Тут же в Summary Information правим поле Title на Mozilla Firefox, остальное по желанию. Это, по сути, ни на что не влияет.
- Опять же в таблице Property меням ProductName на Mozilla Firefox (я до кучи меняю еще ARPCONTACT и Manufacturer). Можно так же поставить правильное значение для ProductVersion.
- Вроде бы GUID и прочие «IDы» поменяли, но как показывает практика, этого недостаточно. Жмите в orca Tools –> Validate, снимите птицу Show INFO Messages и нажимайте Go.
- Как видите, вылезла куча ошибок на наличие/отсутствие некоторых таблиц и значений. Я не стал заморачиваться и просто взял первый попавшийся (7zip x64 9.20) небольшой msi и скопировал оттуда 4 недостающие таблицы (через Export-Import, естественно): _Validation, AdminExecuteSequence, AdminUISequence и AdvtExecuteSequence. На самом деле, я уверен, что можно создать «правильный» msi-инсталлятор, без лишнего мусора, но не забывайте, наша цель всего лишь запустить родной setup приложения в тихую.
- После добавления таблиц проходим снова Tools –> Validate (к слову, первый раз проверку можно вообще не делать и сразу импортировать таблицы). Если вы тоже взяли за основу msi от 7zip, то результатом будет шесть эрроров, которые необходимо устранить. Жмите Close, удаляйте лишние поля, отмеченные красным.
- В конце можно еще раз проверить валидацию и убедиться что остались лишь ничем не мешающие варнинги. Сохраняем msi.
- Вот в принципе и все, осталось добавить msi в ГП и назначить необходимые свойства.
Нюансы
- При установке описанным выше методом у вас появятся как бы две копии софта. Первая — собственно нужное приложение, а вторая — исходный msi-ник, ведь мы же его как бы поставили. В принципе, это ни на что не влияет, кроме как на отображение в «Установка и удаление программ», и то, только в Windows XP (если вы ничего не меняли, кроме указанного мной). Минусом может быть появление лишних программ при автоматической инвентаризации софта, если вы ее используете.
- Автоматически удалить приложение теми же средствами развертывания не получится. Точнее получится, но удалится только и так не нужный msi-контейнер. Ну можно повозиться со свойствами msi при его создании, чтобы оно захватывало с собой установленное ранее приложение, так же втихую. Я такой задачи не ставил.
- При установке обновлений ПО нужно указывать в свойствах ГП приложения, чтобы оно заменяло предыдущее, т.е обязательно предварительно удаляло старое. Это гарантирует, что у вас не будут плодиться те самые никому не сдавшиеся левые дубли приложений в «установке и удалении программ».
- Чтобы установить приложение, имеющее дистрибутив из нескольких файлов, вам придется сначала упаковать его в exe, который при запуске сам распакуется и даст команду для тихой установки. Рекомендую создавать sfx-архивы средствами того же 7-zip.
- Ничего не мешает ставить ПО через скрипты автозагрузки. Более того, такой метод более гибкий, и я давно его использую через свои скрипты. Вот только использование родных средств ГП получается намного быстрее, т. к. простое создание msi из exe занимает пару минут.
- Windows 7 почему-то не пишет «Установка управляемого приложения…», а просто говорит «пожалуйста, подождите». При первом развертывании всей кучи софта разом или при установке тяжелого приложения это может сподвигнуть юзера на звонок админу или нажатие кнопки резет.
На этом вроде бы все, надеюсь было интересно, делитесь опытом.
In this tutorial, I will show you how to use Group Policy to deploy software to computers and users.
In this example, I will deploy Chrome to computers via Group Policy. The steps in this example will work with other MSI files.
Check it out!
Table of contents:
- Create a Secure Network Share for The MSI Install Files
- Create GPO to deploy software to computers
- GPO Settings to Install Software to Users Only
- Tips & Troubleshooting
Video Tutorial
If you don’t like video tutorials or want more details, then continue reading the instructions below.
The first step is to ensure you have a secure shared folder for the MSI file so users and computers can access it. The MSI files do not get copied to computers; they will run from a network share.
Tip: It is critical that you don’t set “everyone” permissions on your network shares. There is no need for this and it is just bad practice. This gives everyone on your network access to the shared folder including unauthenticated users. Also, this is how ransomware and viruses spread, as they are often programmed to look for UNC shares and attack the files and folders. Even if you set “READ ONLY” access, you are still giving everyone access to read the files in this directory. Again, this is just bad practice and can easily be avoided.
/end rant
Steps to create a secure network share:
Pick a server that everyone can access to configure the shared folder.
Right-click a folder, then click the sharing tab and advanced sharing.
I’m using a 2019 Windows server. I created a folder called software to store the install files. You can name your folders anything you want.
On the advanced sharing screen, click the box to share this folder. The share name can be anything you want, I’ve called mine “software”.
Now click the permissions button.
On the share permissions screen, remove everyone.
Now add domain computers and domain users and set the permissions to read. You can lock the permissions down to specific users and computers if needed by creating new security groups.
Click ok to get back to the properties page and click on the security tab.
Make sure everyone is not listed, if so remove it.
Add domain users and domain computers and give them read & execute, list, and read permissions.
Ok, good job. The shared folder configuration is complete. Now copy the MSI install files to the folder you just created.
Test access to the network share on a remote computer. On the remote computer in the search box type the \\hostname\sharename. My server name is “srvwef” and the share name is “software”.
If you can access the share you should see a list of files.
That completes the network share configuration. The next section will configure the GPO for software deployment to computers.
Create GPO to Deploy Software to Computers
Group policy has settings for targeting computers and settings to target users. In this section, we will target computers for deploying software. This means the software install will be installed for anyone that logs into the computer.
I recommend creating a new GPO for the software install, do not add these settings to the Default Domain Policy.
In the group policy management console browse to the OU, right click and select “Create a GPO in this domain, and link it here”
In this example, I’m going to install Chrome on all the computers in the IT OU, so I will create and link the GPO to the IT OU.
Give the GPO a name. I’ve named mine “Computer – Chrome Install”
Edit the new GPO:
Computer Configuration > Policies > Software Setting > Software installation
Right click Software installation and select New > Package
On the open screen browse to the network share using the UNC path, select the MSI you want to install, and click open. DO NOT browse using the local drives or the install will fail.
On the deploy software screen, click Assigned and then click Ok. Published will be grayed out as that option can only be used when deploying software to users.
That completes the GPO configuration. The GPO settings should look like this.
The software will only install during a reboot and the computer must have its GPO settings updated. GPO settings will refresh automatically every 90 minutes.
To force the GPO settings you can use the gpupdate /force command.
When you run the gpupdate command you will get a message saying one or more settings must be processed before the system start or user logon. This is referring to the software installed by GPO and is expected. Type Y to restart the computer.
The software will be installed on reboot.
When I log in I can see the Google Chrome icon on the desktop and that confirms the software installed.
That completes the steps on how to deploy software using group policy.
GPO Settings to Install Software to Users Only
If you want to install software to specific users just use the user configuration GPO settings instead of the computer.
This works differently than deploying to a computer.
In my testing, the user configuration does not install the software automatically for the user. This is why I prefer to use the computer configuration for deploying software but everyone has different requirements.
Published vs Assigned Deployment Method:
There is little to no documentation on this from Microsoft. From my testing, they seem to do the same thing. The only thing I see this does is add the software to the list of programs that can be installed from the network.
The user will need to click on Google Chrome from here and then the software will install. Some articles I found said the assigned option should put an icon on the desktop, then it will install when the user clicks the icon. This was not my experience.
Tips and Troubleshooting
Here are some tips to troubleshoot GPO software installation issues.
Tip #1 Check the event logs
On the computer that fails to install, check the system event logs for errors. This will provide details as to why the installation failed.
Tip #2 Display detailed messages at startup
This will display the “Applying software installation settings” during startup.
You will need to enable this GPO setting.
Computer Configuration > Policies > Administrative Templates > System and enable “Display highly detailed status messages.
Tip #3 Enable Wait for the network at computer startup and logon
If you are having issues with the software installation you may need to enable this GPO setting.
Computer Configuration > Policies > Administrative Templates > System > Logon and enable “Always wait for the network at computer startup and logon”
Tip #4 Test with a small MSI file
The problem might be the MSI install file. Test with a small program like 7zip or notepad ++, these are really small install files that are known to work.
Tip #5 Use gpresult to verify the GPO is enabled.
Use the built-in gpresult command to verify the GPO settings are getting applied to the computer.
Sources
- Use Group Policy to remotely install software
- 15+ years of experience doing this in production environments
- Tested this solution in my Active Directory lab
Summary
Deploying software with Group Policy is easy to do. Although it doesn’t have a lot of options and features, it’s useful for deploying simple software packages.
I hope you enjoyed this tutorial. If you have questions, post them in the comment section.
If you need to deploy an exe then refer to the article Deploy Software (EXE) Using Group Policy – Part 2.