作者aeolus0829 (阿洽)
看板MIS
標題Re: [請益] GPO派送bat安裝失效
時間Thu Feb 1 14:44:28 2018
這不是 gpo 沒派送成功的問題
※ 引述《Neet (尼特)》之銘言：
: 最近因為要導一些軟體所以用bat來做GPO派送
: bat手動點了是可以正常執行的
你是最高權限吧？而你在點兩下的時候，系統是以你的環境參數來做
所以你測試成功不代表使用者一定也能成功
最簡單的方去：隨便用一個一般使用者，用他的權限去執行安裝
可以 -> 表示你的安裝不會動到系統資料匣，像是 windows / program files
不行 -> 你的安裝是放到系統資料匣 那就需要昇權限了
安裝要把它看成
解壓縮
把檔案放到指定位置，像是 windows\system32
註冊 dll 檔
註冊 registry
這些事情都需要權限，而且大多需要系統管理員權限
: 但因為電腦都有降權限，
: 目前觀察到部分沒降權限的電腦就能正常利用派送到的bat安裝
: 已經降了的電腦就變成有派但裝失敗
如上所述，是權限問題造成
: bat內容大概是 \\servername\Software\setup.exe 這樣
: GPO設成 \\servername\deploy\install.bat 像這樣
: 看log或gpresult都是有派送紀錄
: AD則是用Windows Server 2016
: 安裝失敗的機器Win 7/Win 10都有
: 請教各位先進該如何解決，謝謝！
派送老實說我現在也沒在做
古早以前要管 200 台電腦時，是用 ad + gpo + .msi 檔進行派送
(.msi 檔是現成的，自己包又是另外一個麻煩，請google "gpo .msi 派送")
電腦大多也是有降權限，以前一個星期要重灌 4 ~ 8 台的 windows xp 吧...
做派送是比較有意義的
不過目前只管 50 台電腦，而且使用者不太有變動需求，一年可能不用重裝一台 win7
就一台一台裝還比較省心點
ps. 為什麼我一直堅持要用 .msi 檔？
因為 .msi 檔透過 gpo 派送時才不會有權限問題，原理我沒研究，推測 .msi 在安裝時
是用高權限帳號像是 system 或 trust installer
但 setup.exe 要安裝時，windows 會檢查你有沒有權限可以安裝，如果沒有，會要你輸
入高權限的帳號密碼才能安裝
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.20.129.1
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1517467472.A.3DC.html
※ 編輯: aeolus0829 (211.20.129.1), 02/01/2018 14:53:11
1F：→ PlayStation3: 長知識了 02/01 19:35
2F：推 eric00169: msi是trust installer我沒記錯的話 02/01 19:57
3F：推 kugga: 這件事之前有研究過 後來找方向到用psexec寫在批次裡應該可 02/01 20:33
4F：→ kugga: 以作 02/01 20:33
5F：推 SWU: psexec還是需要一台主機把指令派出去，數量多效益很差。 02/01 20:56
6F：→ SWU: 如果讓user自己執行，又會有管理者帳密外洩的疑慮。 02/01 21:05
7F：推 Neet: 倒是我要裝的軟體還沒試過包成msi，裡面要包license的話有點 02/01 21:44
8F：→ Neet: 麻煩orz psexec則是跟樓上說的效率不好 02/01 21:45
9F：→ kugga: 你可以分批執行吧....不用全擠在同一個時間更新 不過本來就 02/01 22:26
10F：→ kugga: 是包MSi是比較正常的作法...我家防毒軟體和監控和一堆都是 02/01 22:27
11F：→ kugga: 這樣玩 02/01 22:27