Introdução ao Configuration Manager

Os novos funcionários podem trabalhar de forma eficaz desde o primeiro dia.

Quando os funcionários ingressam na empresa, têm de aguardar que as aplicações sejam instaladas depois de iniciarem sessão pela primeira vez.

Quando os funcionários ingressam na empresa, iniciam sessão e as suas aplicações são instaladas e ficam prontas a ser utilizadas.

Os funcionários podem utilizar os seus dispositivos móveis no local de trabalho se os dispositivos cumprirem as políticas de segurança que são controladas e impostas. Essas políticas incluem:

• Palavra-passe segura

• Bloquear após período de inatividade

• Dispositivos móveis perdidos ou roubados são apagados remotamente

Os funcionários ligam os seus dispositivos móveis ao Exchange Server para o serviço de correio eletrónico, mas existem poucas informações para confirmar a compatibilidade dos dispositivos com as políticas de segurança nas políticas de caixa de correio predefinidas do Exchange ActiveSync. A utilização pessoal de dispositivos móveis poderá ser proibida, a menos que as TI possam confirmar a adesão à política.

A organização de TI pode informar a compatibilidade de segurança do dispositivo móvel com as definições necessárias. Esta confirmação permite que os utilizadores continuem a utilizar os seus dispositivos móveis no local de trabalho. Os utilizadores podem apagar remotamente os seus dispositivos móveis em caso de perda ou roubo e o suporte técnico pode apagar qualquer dispositivo móvel de utilizador declarado como perdido ou roubado.

Fornece o registo do dispositivo móvel num ambiente PKI para segurança e controlo adicionais.

Normalmente, a continuidade do negócio tem precedência sobre a instalação de aplicações e atualizações de software necessárias.

Muitas vezes, as aplicações e atualizações de software que requerem instalação durante o dia interrompem o trabalho dos utilizadores, uma vez que os seus computadores ficam mais lentos ou são reiniciados durante a instalação.

Os utilizadores podem configurar o seu horário de trabalho para impedir que o software necessário seja instalado enquanto utilizam os seus computadores.

O Afonso certifica-se de que os novos utilizadores têm contas de utilizador no Active Directory, criando uma nova coleção baseada em consultas no Configuration Manager para estes utilizadores. Define então a afinidade dispositivo/utilizador para estes utilizadores, criando um ficheiro que mapeia as contas de utilizador para os computadores primários que utilizarão e importando esse ficheiro para o Configuration Manager.

As aplicações de que os novos utilizadores necessitam já se encontram criadas no Gestor de configuração. Em seguida, implementa as aplicações que têm um objetivo Necessário na coleção que contém os novos utilizadores.

Devido às informações de afinidade dispositivo/utilizador, as aplicações são instaladas no computador ou computadores primários de cada utilizador antes de o utilizador iniciar sessão.

As aplicações estarão prontas a utilizar assim que o utilizador iniciar sessão com êxito.

O Afonso cria um conector do Exchange Server no Gestor de configuração para gerir os dispositivos móveis que se ligam ao Exchange Server local da empresa. Configura este conector com definições de segurança que incluem o requisito de uma palavra-passe segura e bloqueiam o dispositivo móvel após um período de inatividade.

O Afonso tem o Gestor de configuração SP1, pelo que, para a gestão adicional de dispositivos com o Windows Phone 8, Windows RT e iOS, obtém uma subscrição do Microsoft Intune, instalando em seguida a função do sistema de sites do conector do Microsoft Intune. Esta solução de gestão de dispositivos móveis melhora o suporte de gestão da empresa para estes dispositivos. Tal inclui a disponibilização de aplicações para os utilizadores instalarem nestes dispositivos, bem como uma gestão completa das definições. Além disso, as ligações de dispositivos móveis encontram-se protegidas por certificados PKI que são criados e implementados automaticamente pelo Intune. Após configurar o conector do Microsoft Intune, o Afonso envia uma mensagem de e-mail aos utilizadores que são proprietários destes dispositivos móveis, para que cliquem numa ligação para iniciar o processo de inscrição.

Para que os dispositivos móveis sejam inscritos pelo Intune, o Afonso utiliza definições de compatibilidade para configurar as definições de segurança de tais dispositivos. Essas definições incluem o requisito de configuração de uma palavra-passe segura e o bloqueio do dispositivo móvel após um período de inatividade.

Com estas duas soluções de gestão de dispositivos móveis, o departamento de informática pode fornecer informações para relatórios sobre os dispositivos móveis utilizados na rede empresarial e respetiva compatibilidade com as definições de segurança configuradas.

É explicado aos utilizadores como eliminar os dados dos seus dispositivos móveis de forma remota utilizando o Catálogo de Aplicações ou o portal da empresa, caso percam o dispositivo ou este seja roubado. O suporte técnico recebe também instruções sobre como eliminar os dados dos dispositivos móveis dos utilizadores de forma remota, utilizando a consola do Gestor de configuração.

Além disso, no caso dos dispositivos móveis inscritos pelo Intune, o Afonso pode agora implementar aplicações móveis para instalação pelos utilizadores, recolher mais dados de inventário destes dispositivos e melhorar o controlo da gestão dos dispositivos, conseguindo aceder a definições adicionais.

O Afonso informa os utilizadores de que podem configurar o seu horário de trabalho no Centro de Software, selecionando opções que impedem as atividades de implementação de software durante esse período e quando o computador se encontrar em modo de apresentação.

Como os utilizadores podem controlar quando o Gestor de configuração implementa software nos seus computadores, mantêm-se mais produtivos ao longo do dia de trabalho.

Todos os computadores executam software antimalware com ficheiros de definições atualizados e que autoriza a Firewall do Windows.

Computadores diferentes executam soluções antimalware diferentes, que nem sempre são mantidas atualizadas e, embora a Firewall do Windows seja ativada por predefinição, por vezes os utilizadores desativam-na.

É pedido aos utilizadores que contactem o suporte técnico se for detetado malware nos seus computadores.

Todos os computadores executam a mesma solução antimalware, que transfere automaticamente os ficheiros de atualização de definições mais recentes e volta a ativar automaticamente a Firewall do Windows se os utilizadores a desativarem.

Se for detetado malware, o suporte técnico será automaticamente notificado por correio eletrónico.

As definições de segurança de aplicações específicas são verificadas regularmente, sendo remediadas, se necessário.

Os computadores executam scripts de arranque complexos que se baseiam na respetiva associação a grupos, para reporem os valores de registo de aplicações específicas.

Como estes scripts só são executados no arranque e alguns computadores ficam ligados durante dias, o suporte técnico não consegue verificar a compatibilidade da configuração de forma atempada.

Os valores de registo são verificados e automaticamente remediados, sem depender da associação do computador a grupos e sem o reiniciar.

É necessário proteger os computadores portáteis que passam da intranet para a Internet.

Muitas vezes, os utilizadores que viajam não conseguem ligar diariamente através de VPN, pelo que estes portáteis deixam de estar em compatibilidade com os requisitos de segurança.

Uma ligação à Internet é tudo o que é necessário para manter a compatibilidade dos computadores portáteis com os requisitos de segurança. Os utilizadores não têm de iniciar sessão nem utilizar VPN.

O Afonso configura o Endpoint Protection e ativa a definição de cliente para desinstalar outras soluções antimalware e ativar a Firewall do Windows. Configura regras de implementação automática para que os computadores procurem e instalem regularmente as atualizações de definições mais recentes.

A solução antimalware única ajuda a proteger todos os computadores, minimizando a sobrecarga administrativa. Como o suporte técnico é automaticamente notificado por mensagem de correio eletrónico se for detetado malware, os problemas podem ser resolvidos rapidamente. Isto ajuda a impedir ataques a outros computadores.

O Afonso utiliza definições de compatibilidade para verificar a presença das aplicações especificadas. Quando as aplicações são detetadas, os itens de configuração verificam os valores de registo e remedeiam-nos automaticamente, se não estiverem em compatibilidade.

A utilização de itens e linhas de base de configuração implementados em todos os computadores e que verificam diariamente a compatibilidade elimina a necessidade de scripts separados que se baseiam na associação dos computadores a grupos, bem como a necessidade de os reiniciar.

O Afonso certifica-se de que os servidores e computadores do sistema de sites possuem os certificados PKI exigidos pelo Configuration Manager para ligações HTTPS, instalando funções adicionais do sistema de sites na rede de perímetro que aceitam ligações de clientes a partir da Internet.

Os computadores que passam da intranet para a Internet continuam automaticamente a ser geridos pelo Configuration Manager quando têm uma ligação à Internet. Tais computadores não dependem do início de sessão dos utilizadores nem da ligação VPN.

Estes computadores continuam a ser geridos no que respeita a antimalware e à Firewall do Windows, atualizações de software e itens de configuração. Em resultado, os níveis de compatibilidade aumentam automaticamente.

O Windows 7 é instalado nos novos computadores.

O suporte técnico instala e configura o Windows 7 para os utilizadores e envia o computador para a respetiva localização.

Os novos computadores vão diretamente para o destino final, são ligados à rede e o Windows 7 é automaticamente instalado e configurado.

Alguns computadores precisam de políticas de gestão mais rigorosas.

Devido às políticas de gestão mais rigorosas, estes computadores não são atualmente geridos pelo Gestor de configuração.

Efetue a gestão destes computadores utilizando o Gestor de configuração, sem aumentar a sobrecarga administrativa para acomodar as exceções.

O Artur captura uma imagem do sistema operativo a partir de um computador com o Windows 7 instalado e configurado com as especificações da empresa. Em seguida, implementa o sistema operativo em novos computadores utilizando o suporte para computadores desconhecidos e o PXE. Instala também o cliente do Gestor de configuração como parte da implementação do sistema operativo.

Os novos computadores estão ativos e a funcionar mais rapidamente e sem a intervenção do suporte técnico.

O Artur cria uma coleção para os computadores que devem possuir definições de política mais rigorosas e, em seguida, cria uma definição personalizada do dispositivo cliente para essa coleção, que inclui a desativação do controlo remoto e a ativação da entrada PIN do BitLocker, e permite que apenas os administradores locais instalem o software.

O Artur configura a administração baseada em funções para que os engenheiros do suporte técnico não vejam esta coleção de computadores e garantir que estes não são geridos acidentalmente como computadores padrão.

Estes computadores são agora geridos pelo Gestor de configuração, mas com definições específicas que não necessitam de um novo site.

A coleção destes computadores não é visível aos engenheiros do suporte técnico para ajudar a reduzir a possibilidade de envio acidental de implementações e scripts de computadores padrão para os mesmos.