Central konfiguration av Google Chrome

Mål: konfigurera Google Chrome centralt, tex startsida, hemknapp mm

Detta är egentligen mycket enkelt och styrs via registerinställningar, utmaningen kan vara att hitta den rätta, men där är följande sida en värdefull resurs:

https://www.chromium.org/administrators/policy-list-3

Några exempel som jag använt mig av nedan.

Standard startsida

Key: HKEY_CURRENT_USER\Key path Software\Policies\Google\Chrome
Value name: RestoreOnStartup
Value type: REG_DWORD
Value data: 4

Den kräver då följande för att bestämma vilken eller vilka sidor som visas:
HKEY_CURRENT_USER\Software\Policies\Google\Chrome\RestoreOnStartupURLs

Value name: 1 

Value type: REG_SZ 

Value data: URL

Hemknapp

Gör hemknappen synlig:

HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome

Value name: ShowHomeButton 

Value type: REG_DWORD 

Value data: 0x1 (1) 

samt följande två nycklar för att säga att den ska öppna en specifik sida och vilken det är:

HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome

Value name: HomepageLocation 

Value type: REG_SZ 

Value data: URL

HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome

Value name: HomepageIsNewTabPage 

Value type: REG_DWORD 

Value data: 0x0 (0) 

Read more...

Virtual Machine Manager för Linux på Windows 10

Mål: Köra Virtual Machine Manager för Linux på Windows 10 build 1607 (Anniversary Update).

1. Aktivera "Windows Subsystem for Linux (Beta)" i Windows 10
2. För att ladda ner appen från Windows Store kör följande kommando i en prompt (ej som admin): lxrun /install /y
3. Installera Xming (https://sourceforge.net/projects/xming/) för att stöda grafiska applikationer
4. Starta "Bash on Ubuntu on Windows"
5. Installera Virtual Machine Manager: apt-get install virt-manager
6. Fixar för d-bus felmeddelande:
7. echo "export DISPLAY=:0.0" >> ~/.bashrc
8. sudo sed -i 's$.*$tcp:host=localhost,port=0$' /etc/dbus-1/session.conf
9. Starta Virtual Machine Manager: virt-manager --no-fork (för att få password prompt i shell)

Read more...

SCCM klient installation inte komplett

Ett symptom på en icke komplett installation av SCCM agenten är tex att Actions fliken saknar "actions", en fullständig ska se ut enligt följande:

En möjlig orsak till detta är att klienten är kvar i ett sk Provisioning Mode, det här är ett läge den sätts i under OSD för att förhindra att den laddar ner policyn etc. Ifall det uppstår problem under installationen kan det här läget kvarstå, kan verifieras av följande registernyckel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CCM\CcmExec\ProvisioningMode ska vara satt till false.

För att förhindra det här kan följande två command-line steg läggas in i Task Sequencen (obs sätt som skilda steg), direkt efter "Setup Windows and ConfigMgr":

REG ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CCM\CcmExec /v ProvisioningMode /t REG_SZ /d false /f

REG ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CCM\CcmExec /v SystemTaskExcludes /t REG_SZ /d "" /f

Read more...

Skapa reference image med MDT

http://deploymentresearch.com/Research/Post/355/Deploying-a-reference-image-VM-fully-unattended

https://anothermike2.wordpress.com/2014/01/06/powershell-is-king-building-a-reference-image-factory/

Read more...

Avinstallera Office patch med SCCM

http://foxdeploy.com/2013/11/21/sccm-options-for-removing-windows-updates/

I korthet:

Sök upp den patch som ska avinstalleras i registret:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\

Kolla uninstall string typ:

"C:\Program Files\Common Files\Microsoft Shared\OFFICE14\Oarpmany.exe" /removereleaseinpatch "{90140000-0011-0000-0000-0000000FF1CE}" "{D7D96A96-F61F-48AD-B2DC-4F4B6938D2AB}" "1033" "0"

Skapa program i SCCM med msiexec:

msiexec /package {90140000-0011-0000-0000-0000000FF1CE} MSIPATCHREMOVE={D7D96A96-F61F-48AD-B2DC-4F4B6938D2AB} /qb /norestart /l+ c:\windows\system32\ccm\logs\KB2826026_unins.txt

Read more...

Power options på Surface Pro 3

Konfigurera power options och inställningarna för "put the computer to sleep" fungerar inte så bra via Group Policy på Surface Pro 3, kör följande som ett SCCM jobb för att sätta 30 minuter on battery och 8 h plugged in:

powercfg /setacvalueindex SCHEME_CURRENT SUB_VIDEO VIDEOIDLE 28800
powercfg /setacvalueindex SCHEME_CURRENT SUB_VIDEO VIDEOCONLOCK 28800
powercfg /setdcvalueindex SCHEME_CURRENT SUB_VIDEO VIDEOIDLE 1800
powercfg /setdcvalueindex SCHEME_CURRENT SUB_VIDEO VIDEOCONLOCK 1800
powercfg /setactive SCHEME_CURRENT

Read more...

SCCM Backup

Skapat backup plan enligt följande:

https://stevethompsonmvp.wordpress.com/2013/06/07/sql-server-backup-recommendations-for-configuration-manager/

Read more...

SCCM databaskonfiguration

Konfiguration

CM DB:
Två databasfiler, både 5 GB i default storlek, 1024 MB autogrowth
Loggfil 5 GB i default storlek, 1024 MB autogrowth

TempDB:
Två databasfiler, båda 2,5 GB i default storlek, 1024 MB autogrowth
Loggfil 2,5 GB i default storlek, 512 MB autogrowth

ReportServer DB:
Recovery Model: Simple

Optimisering

https://stevethompsonmvp.wordpress.com/2013/05/07/optimizing-configmgr-databases/

Read more...

Inkludera hotfixar i SCCM Client Package

Kollat genom en del tips av SCCM gurun @jarwidmark och @agerlund och här kommer följa några bloggposter med saker som jag åtgärdat.

Inkludera SCCM Client hotfixar så att klienten även går att reparera:

1. Skapa ett nytt package av SCCM klienten, kopiera alla filer från MP serverns installationskatalog Microsoft Configuration Manager\Client till en ny package source och skapa paketet i SCCM

2. Inkludera även alla hotfixes i det här nya paketet för SCCM klienten. Hotfixarna finns på MP servern Microsoft Configuration Manager\hotfix\KBXXX\Client\i386 och x64. Kopiera respektive klient hotfix till sourcemappen:

3. Ladda ner skriptet från följande sajt:

http://blogs.technet.com/b/deploymentguys/archive/2013/06/04/automatically-populate-the-patch-property-for-the-configmgr-client-installation-script-update.aspx

4. Lägg in skriptet i SCCM klientpaketet och även filen ZTIUtility.vbs från MDT paketet:

5. Editera Task Sekvensen:

a. Verifiera att steget Setup Windows and ConfigMgr använder det "nya" SCCM klientpaketet, det som innehåller hotfixarna.

b. Lägg in två steg INNAN detta:

-Set Task Sequence Variable: 

Variable: SMSClientInstallProperties

Value: FSP=MP server

-Run Command Line: 

Name: Set ConfigMgr Client PATCH Paths

Command line: cscript SCCMClientHotFixPath.wsf

Package: Nya SCCM klient paketet

Read more...

Migrera IAS till NPS

Har konstaterat att jag måste börja använda bloggen mera och speciellt som anteckningar för mig själv! So, here we go, dagens projekt att migrera en IAS Server 2003 till NPS och Server 2012 R2.

Lägg till NPS rollen.

Kopiera IasMigReader.exe från C:\Windows\SysWOW64 på Server 2012 R2 till C:\Windows\System32 på Server 2003.

Kör IasMigReader.exe från kommandoprompten.

Kopiera C:\Windows\System32\IAS\ias.txt till Server 2012 R2.

Kör följande i powershell:
netsh nps import "path to ias.txt"

Fixa PEAP Network Policy:
-editera peap policyn
-under authentication methods välj remove på peap
-lägg till tex smart card or other certificate och spara policyn
-gör en duplicate på policyn
-editera authentication methods och remove smart card or other certificate
-lägg till peap

Read more...

OSD och drivrutinsfelsökning

Vår klient deploymentmiljö består av SCCM 2012 R2 och vi patchar/skapar basimagen i en separat MDT miljö. Klienterna är främst Windows 7 x64 och består av ett 10-tal olika modeller.

Plötsligt uppstår ett problem där en specifik modell inte går att installera, efter Win PE fasen och boot till "riktiga" operativet så stoppar den plötsligt med följande felmeddelande:

"The computer restarted unexpectedly or encountered an unexpected error. Windows installation cannot proceed.  To install Windows, click OK to restart the computer, and then restart the installation."

Hittade några felmeddelanden i C:\Windows\Panther\setuperr.log och setupact.log med trots en hel del googlande fick jag ingen bra träff.

Misstankarna går snabbt till nån form av drivrutinsproblem men vilken? Vi har lagt till en del nya drivrutiner på senaste tiden och där är troligen felet.

Nästa loggfil i tur att bli undersökt är C:\WINDOWS\INF\setupapi.dev.log som är från det sk Online Configuration Phase då drivrutiner appliceras på systemet. Här kommer lite intressanta saker:

!!!  dvi:           Error 0xe0000101: The required section was not found in the INF och gäller följande:
nxpnfpprovider_win8.inf_amd64_neutral_3f5dded1320fae74\nxpnfpprovider_win8.inf

Så börjar med att exkludera den drivrutinen från paketet och se om det löser problemet och sen i nästa fas försöka testa på nytt att få in den.

Read more...

Fel namn i Lync adressbok efter namnbyte

Problem: Efter byte av namn på en person i AD och då även i Lync som påverkar både DN och SIP så fick vi problem med att det gamla namnet hängde kvar i Lyncs adressbok. Vid en sökning på det nya namnet gav det ingen träff, däremot en sökning på det gamla namnet visade personens nya namn.

Orsak: Efter omfattande felsökning så visar det sig att det skapats en dubblett av användaren i rtcab databasen och tabellen AbDnMapping.

Lösning: Genom att radera det senare objektet i AbDnMapping tabellen och uppdatera det ursprungliga med ny och korrekt DN kommer problemet bli löst vid nästa uppdatering av adressboken.

Felsökning: Försökte med ett antal åtgärder för att lösa problemet:

1. Update-CSUserDatabase som initierar en ny synkronisering mellan Lyncs databas och AD.

2. Göra en remove och add på användaren i fråga i Lync utan resultat.

3. Körde verktyget ABServer -dumpfile för att få ut innehållet i adressbokens filer till en textfil och kunde verifiera att användaren fanns med det gamla namnet.

4. Började köra queryn mot Lyncs databas rtcab och i AbDnMapping hittade jag två objekt för samma användare, det ursprungliga med gamla DN och det nya med nytt DN.

5. I ett forum fann jag följande lösning:
-radera det nya objektet (UserId) från ett antal tabeller
-uppdatera det ursprungliga UserId objektet med den nya korrekta DN

Skapade följande procedur för att radera det nya objektet:

USE [rtcab]
GO
SET ANSI_NULLS ON
GO
SET QUOTED_IDENTIFIER ON
GO

-- =============================================
-- Author: Michael Thomas
-- Create date: 2013-04-12
-- Description: 
-- =============================================
CREATE PROCEDURE [dbo].[PurgeAccount_Duplicate]
 @UserId int 
AS
BEGIN
 -- SET NOCOUNT ON added to prevent extra result sets from
 -- interfering with SELECT statements.
 SET NOCOUNT ON;
 BEGIN TRANSACTION;
 BEGIN TRY
  DELETE FROM dbo.AbAttributeValue WHERE UserId = @UserId
  DELETE FROM dbo.AbUserEntry WHERE UserId = @UserId
  DELETE FROM dbo.AbUserEntryFull WHERE UserId = @UserId
  DELETE FROM dbo.AbDnMapping WHERE UserId = @UserId
 END TRY
 BEGIN CATCH
  SELECT 
   ERROR_NUMBER() AS ErrorNumber
   ,ERROR_SEVERITY() AS ErrorSeverity
   ,ERROR_STATE() AS ErrorState
   ,ERROR_PROCEDURE() AS ErrorProcedure
   ,ERROR_LINE() AS ErrorLine
   ,ERROR_MESSAGE() AS ErrorMessage;

  IF @@TRANCOUNT > 0
   ROLLBACK TRANSACTION;
 END CATCH;

 IF @@TRANCOUNT > 0
  COMMIT TRANSACTION;
END

GO

Körde proceduren och raderade det nya objektet och uppdaterade den gamla objektet mer rätt DN.

Update-CSAddressBook och initierade synk på klienten och  Voila!

Read more...

Outlook 2010 och delade kalendrar i cached mode

Outlook 2010 i cached mode kan ställa till en del problem i det fall att användare delar ut kalendrar till varandra och bokar in avtalade tider i någon annas kalender, främst pga fördröjningar i uppdateringen av kalendrarna som kan orsaka dubbelbokningar och osynk.

Det finns en inställning som default är aktiverad i cached mode som heter "download shared folders" vilket betyder att alla kalendrar och delade mailboxar som en användare lagt till i Outlook också kommer att cachas i den lokala OST filen.

En best practice rekommendation är att inaktivera "download shared folders" inställningen för att undvika ovanstående problem. Däremot måste detta göras med eftertanke då den lokala OST filen även måste raderas så den skapas på nytt när denna inställning görs. I annat fall kommer nya "konstiga" problem uppstå då delade kalendrar/mailboxar kommer ligga kvar i OST filen.

Inställningen för "download shared folders" kan göras via en GPO men att radera OST filen måste göras på annat sätt, tex med ett login skript.

Read more...

Central distribution av Office 2010 dokumentmallar i en MUI lösning

Utmaningen denna gång handlade alltså om att centralt distribuera mallar för Office applikationer så att dessa blir tillgängliga direkt när man väljer att skapa ett nytt dokument. Upplägget finns väl beskrivet på Technet i följande artikel:
http://technet.microsoft.com/en-us/library/cc178976.aspx

I korthet handlar det om att peka ut en xml konfigurationsfil där man anger vilken applikation det handlar om, var mallen ligger och även var miniatyrbilderna ligger som visas i Office. Allt detta gick bra, jag hade xml filen rätt konfigurerad och själva registernyckeln som hänvisar till den tryckte jag ut med Group Policy Preferences.

Problemet uppstod när en del användare inte kunde se mallarna och det visade sig vara de som hade valt att köra Office på svenska som hade problem. Vi har en multi user interface installation där användarna själva kan välja språk på OS (Windows 7) och Office.

XML filen innehåller ett språkattribut och standard är lcid="1033" så det fungerar då för engelska. Ifall man ändrar detta till 1053 så fungerar det för svenska, men hur lösa det i vår miljö där man inte vet vilket språk en given användare har?

Lösningen är att skapa två olika xml konfigurationsfiler, en för vardera språk, och utöka Group Policy Preferences inställningen med sk Item-level targeting, dvs man filtrerar en given inställning på ett valt kriterium. I detta fall valde jag att köra på en registry match och följande registernyckel styr vilket språk Office 2010 är inställt på och följaktligen matcha mot denna:
HKCU\Software\Microsoft\Office\14.0\Common\LanguageResources och UILanguage.

Read more...

Group Policy Preferences - begränsa vilka inställningar som görs

När man skapar en ny policy och gör inställningar i Group Policy Preferences, tex Power Settings, så blir alla inställningar som är möjliga att göra aktiva, dvs de får ett default värde och är understreckade med en grön linje.


För att begränsa vilka inställningar man vill göra i en policy så används funktionstangenterna F5, F6, F7 och F8.


F8 - inaktiverar alla inställningar och visas med en röd streckad linje
F5 - aktiverar alla inställningar och visas med en grön heldragen linje
F6 och F7 - växlar en enskild inställning mellan aktiv och inaktiv


Exempelbild:

Read more...

Dell och Bitlocker med TPM

Hade ett irriterande problem med Bitlocker i vår deployment process gällande Dell Latitude E6400. Vi kör SCCM och startar då Bitlocker-krypteringen genast OS-installationen är klar. Det här fungerade inte på de Dell laptopar som vi använder utan man fick gå in och slå på Bitlocker manuellt. I BIOS hade vi enablat TPM security och aktiverat (trodde vi) så kunde inte förstå varför den ville göra en omstart och modifiera TPM hardware då man manuellt valde att slå på Bitlocker.

Det visade sig att konfigurationen av TPM security är en tvåstegsprocess. I första läget ska man gå in och enabla (markera kryssrutan) och då verkar TPM vara aktiverat:



men bootar man om och går in i BIOS igen är TPM inaktiverat, så man får aktivera det den andra gången.

Vet inte om det här enbart är en "Dell feature" eller om det också uppstår hos andra tillverkare, men bara som ett tips ifall andra stöter på motsvarande problem.

Read more...

Genväg till nätverksanslutningar via GPO

Många har irriterat sig på att det är en "längre väg" att komma fram till nätverksanslutningarna i Windows 7 / Server 2008 R2. Såg tidigare ett tips om hur man skapar en speciell genväg som direkt går till den bekanta listan över nätverksanslutningar och man snabbt kan gå in och göra IP-adressförändringar mm.

Manuellt skapas enkelt en ny genväg med följande adress:
explorer.exe ::{7007ACC7-3202-11D1-AAD2-00805FC1270E}

För att trycka ut denna via Group Policy Preferences:
-skapa ny genväg under Computer Configuration/Preferences/Windows Settings/Shortcuts
-namnge den valfritt, tex Network Connections
-Action: Update
-Name: Network Connections
-Target type: File System Object
-Location: All Users Desktop
-Target Path: %systemroot%\explorer.exe
-Arguments: ::{7007ACC7-3202-11D1-AAD2-00805FC1270E}
-Icon file path: %systemroot%\system32\netshell.dll (valfritt)

That's it, då skapas en genväg på skrivbordet på alla servrar/klienter där GPO:n appliceras.

Read more...

Homegroup?

Funktionen Homegroup i Windows 7 är ett bra initiativ, men har ännu inte lyckats få den att fungera... Problemet stavas säkerligen lokala brandväggar i de klienter som är inblandade i mina försök. Jag har två olika 3:e parts brandväggar jag testat med och försökt få att fungera ihop men inte på plats ännu. I Windows inbyggda brandvägg finns färdigdefinierade regler för Homegroup men detta har av naturliga skäl inte implementerats på andra håll ännu.

Ska göra återkoppling när jag får det att spela :)

Read more...

Aktivering av volymlicenser med KMS för Win 7, 2008 R2 mm

Har precis lagt upp en KMS-host för aktivering av volymlicenser för Windows 7 klienter och Server 2008 R2 servrar. Även om det här inte är nåt speciellt komplicerat så tänkte jag lista ner några saker som jag kommit fram till under vägen.

Principen är följande:
-installera en KMS-host som aktiverar klienter/servrar
-aktivera KMS-hosten med en KMS-nyckel, välj rätt beroende på om den installeras på en klient eller server
-installera klienter/servrar med sk KMS client setup keys, dessa är publikt tillgängliga (bla på Technet) och samma för alla organisationer

Det finns lite varierande information på nätet om hur många KMS-klienter som måste registreras på KMS-hosten innan den börjar aktivera, men så här är det:
-minst 5 registreringar innan servrar börjar aktiveras
-minst 25 registreringar innan klienter börjar aktiveras
-både klienter och servrar läggs in i samma "kö", dvs 4 klienter och 1 server gör att servern aktiveras men inte klienterna osv
-även virtuella klienter/servrar räknas i det här fallet, det är en skillnad jämfört med Vista/2008

KMS-hosten lägger in ett SRV-record i DNS:en som pekar ut den interna aktiveringsservern för klienterna. Klienterna kontaktar den automatiskt när de installeras med en KMS client setup key.

Ifall samma KMS-host används för flera domäner så kan man antingen registrera SRV-recordet manuellt i DNS:erna för de övriga domänerna eller lägga till en DnsDomainPublishList i registret på KMS-hosten och den ska då automatiskt lägga in det även där.

En detaljerad guide finns här: http://technet.microsoft.com/en-us/library/dd772269.aspx

Read more...

Dold konsol i Windows 7, Vista, 2008..

Såg just i ett nyhetsbrev en notis om en dold konsol i de nyaste versionerna av Windows operativsystemen, även kallad GodMode console.

Det handlar om en konsol som samlar alla kontrollpaneler i en enda vy. Den görs tillgänglig genom att skapa en ny mapp, var som helst, även på ett usb-minne, som heter xx.{ED7BA470-8E54-465E-825C-99712043E01C} där xx ersätts med valfri text.

Inte så mycket till God Mode i mitt tycke, men kan ju vara en användbar väg till "allt", fast å andra sidan, därför har man väl sök-fältet?

Read more...

Sätt förvald sökleverantör i Internet Explorer via GPO

Utgångspunkt

Hade som mål att åstadkomma följande:
-lägga till Google som sökleverantör i Internet Explorer
-Google ska vara förvald sökleverantör
-användarna kan själva lägga till ytterligare sökleverantörer
-inställningarna ska göras via Group Policy

Jag har utgått från följande MS-artikel som rätt bra beskriver proceduren men är inte helt komplett:
http://support.microsoft.com/kb/918238

I artikeln beskrivs nödvändiga steg för att möjliggöra en central konfiguration av sökleverantörer i Internet Explorer, vilka registernycklar som påverkas och hur man skapar en adm/admx mall för GPO:n. Här finns även info om de redan existerande policyn som ska aktiveras. Det jag saknade var främst proceduren för hur jag skickar ut en ny sökleverantör som förvald, men inte låser användaren vid den utan lämnar det öppet för modifiering och att ytterligare leverantörer kan läggas till.

I det här exemplet har jag endast jobbat med User-inställningar, motsvarande kan göras med Machine-inställningar och proceduren är lika.

Konfiguration

Utgående från artikeln har jag skapat en admx-fil och en tillhörande adml-fil som jag kopierat in i det centrala PolicyDefinitions storet. Jag har lagt in info om en sökleverantör, Google, helt enligt instruktionerna taget från registret på en maskin där detta är manuellt konfigurerat. Följande två policyn är enablade:

-Add a specific list of search providers to the user's search provider list
-Populate list of search providers

Den andra policyn, "populate…", laser admx-filen och lägger till infon i den till listan over sökleverantörer. Jag har valt att inte enabla " Restrict search providers to a specific list of providers" just för att lämna det öppet för användaren att göra ändringar.

Tillägg

Den registernyckel som styr vilken leverantör som är förvald är följande:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes och nyckeln DefaultScope.

Jag har valt att göra detta via Group Policy Preferences och trycka ut en ändring till den registernyckel som sätter Google som förvald sökleverantör, och då naturligtvis med den GUID som även används i admx-filen.

Read more...

Radera hiberfil.sys på Server 2008

I roten på boot-partitionen på en Server 2008 finns en hiberfil.sys fil, rätt onödigt kan tyckas eftersom det är mindre troligt att en server ska i hibernation läge. Om filen har nån verklig funktion på en server känner jag inte till men för att spara diskutrymmen kan den raderas med följande kommando:

powercfg -h off

Read more...

Radera användarprofil i Windows 7

I XP och tidigare OS var det lätt att radera en användarprofil ifall man ville börja från "scratch" med rena inställningar. I Vista och Win7 krävs en extra åtgärd förutom att radera profilmappen under C:\Users. Ifall du endast tar bort användarens profil kommer den vid nästa inloggning få ett meddelande om att den har loggat in med en tillfällig profil. För att helt radera en användares profil måste du även ta bort en hänvisning i registret.

Leta upp följande i registret:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

Här finns ett antal undermappar i form av SID:ar för de användare som loggat in på datorn. Den profil du har raderat från C:\Users kommer att ha en extension .bak och genom att markera de olika SID:arna ser du i högra rutan och nyckeln ProfileImagePath vilken det är du söker. Radera sen även den aktuella SID-mappen för den användare som du tagit bort profilen för.

Read more...