Консоль Workspace ONE UEM включает различные способы развертывания приложений Win32. Рекомендуемыми методами являются механизм развертывания программного обеспечения (Windows Desktop Software Deployment) и оркестратор для последовательной установки. Метод Product Provisioning, хотя и поддерживается, считается устаревшим для настольных ПК Windows.
Установщики Win32 имеют разные требования в зависимости от типа установки, необходимой для программного обеспечения. Они могут требовать или не требовать административного доступа и могут изменять свое поведение в зависимости от контекста установки. Для эффективного развертывания важно понимать, как работает установщик. Также вы можете самостоятельно перепаковать приложение.
Workspace ONE может устанавливать приложения в системном контексте и в контексте пользователя. Он может устанавливать пользовательские приложения от имени обычного пользователя, если соответствующие права администратора выбраны в параметрах развертывания.
Данное руководство предназначено для ИТ-специалистов и администраторов Workspace ONE в существующих производственных средах. Также будет полезен опыт управления устройствами Windows.
На настольных ПК с Microsoft Windows установщик может запускаться в системном контексте или в контексте пользователя.
Контекст установки:
Device: Команда установки выполняется как System.
User: Команда установки выполняется как User, при необходимости позволяя отображать интерфейс пользователю.
Контекст установки может влиять на поведение установщика. Некоторые установщики могут потребовать ответа на вопрос, предназначена ли установка для всех пользователей или только для текущего пользователя, и в зависимости от ответа установка будет происходить в другом месте.
Если приложение установлено пользователем, но установщик размещает бинарные файлы и ярлыки в папке для всех пользователей/Program Files, то приложение будет доступно другим пользователям. Это важно учитывать в сценарии с несколькими пользователями.
Контекст System
Системный контекст — это контекст, в котором работает операционная система, обладающая полными правами на устройстве. Он не имеет информации о пользователях, не может отображать информацию пользователю в графическом интерфейсе и не имеет доступа к HKCU.
Команда установки унаследует системные права на устройстве, что позволит ей получить доступ к ресурсам с использованием учетной записи "NT AUTHORITY\SYSTEM". Любая попытка доступа к папке или ключу реестра будет оцениваться в соответствии с этой учетной записью и списком управления доступом (ACL), установленным на объекте.
Контекст User
В пользовательском контексте команда установки запускается под учетной записью пользователя, что позволяет отображать интерфейс пользователю и получать доступ к информации и файлам пользователя. Уровень доступа к операционной системе и файлам будет зависеть от прав доступа пользователя.
Если пользователь является обычным, и приложению требуются права, превышающие его права, а административные привилегии не выбраны, установка приложения завершится неудачей из-за отказа в доступе.
В зависимости от требований установщика может потребоваться понимание того, как UAC может повлиять на развертывание приложения.
Как UAC влияет на развертывание приложений
Контроль учетных записей (User Account Control, UAC) — это функция безопасности операционной системы Microsoft Windows. Она основана на принципе, что пользователь или устройство должны иметь возможность вносить определенные изменения в конфигурацию или файлы в операционной системе без дополнительных привилегий, если это не может потенциально повлиять на стабильность или безопасность ОС. В таких случаях требуются административные права, также известные как супер-токены (super tokens).
Супер-токен необходим для изменения защищенных папок, драйверов, системных настроек и прочего. Например, изменение времени требует административных привилегий, так как это может повлиять на системы безопасности.
Защищенные папки включают следующие:
\Program Files\ с подкаталогами
\Windows\system32\
\Program Files (x86)\ с подкаталогами для 64-битных версий Microsoft Windows
Оценка необходимости административных прав
Теперь, когда мы рассмотрели, как Windows реагирует в плане доступа, наш следующий шаг — проанализировать приложение, чтобы определить, будут ли необходимы права администратора.
Как правило, приложения устанавливаются в каталог "Program Files", так как это место по умолчанию. Однако многие приложения могут быть установлены в других местах. Это верно для приложений в пользовательском контексте, которые могут потребовать установки исключительно в области пользователя (т.е. в папке пользователя).
Для установок, связанных с изменением системных настроек или установкой драйверов, требуются права администратора для внесения изменений в важные папки и настройки, так как этого потребует UAC.
Важно четко понимать действия и местоположения установщика, чтобы определить, требуются ли административные права.
Ниже представлена блок-схема, показывающая, требуются ли административные права:
Поведение установки приложений Win32 с использованием ресурсов
Единственный случай, когда установка не работает, это если пользователь является обычным пользователем, а установщику требуются административные привилегии.
Поведение установки приложений Win32 с использованием Product Provisioning
Рекомендуется развертывать приложения Win32 через ресурсы (Resources). Однако, если вы пробовали развертывать приложение через ресурсы, и это вас не устроило, в качестве альтернативного метода вы можете завершить развертывание на своих устройствах с помощью Product Provisioning.
Если вы настраиваете приложения Win32 с использованием Product Provisioning, вы можете воспользоваться следующей таблицей, чтобы понять комбинации установки и запуска манифеста и контекста команды. Вы можете выбрать установку или запуск на системном уровне, уровне пользователя или уровне учетной записи администратора. В зависимости от выбранных параметров ваша установка может различаться.
Обратитесь к таблице, чтобы понять поведение установки приложений Win32 с использованием предоставления продуктов.
Перейдите в раздел Devices > Provisioning > Components > Files/Actions и выберите Add Files/Actions, перейдите на вкладку Manifest и установите Action(s) To Perform = Install/ Run.
Предложения для параметров Retry Count, Retry Interval, Install Timeout для ваших приложений Win32
Значения параметров "Retry Count", "Retry Interval" и "Install Timeout" для приложений Win32 влияют на время, которое система затрачивает на сообщение о неудачном процессе установки. Вы можете изменить значения по умолчанию, чтобы сократить время развертывания.
Значения по умолчанию для этих параметров:
Retry Count — 3 раза
Retry Interval — 5 минут
Install Timeout — 60 минут
работают в следующей последовательности для одного неудачного процесса установки:
Через 3 часа и 15 минут система однократно сообщает о неудачной установке приложения. Затем система устанавливает следующее приложение.
Настройка параметров в зависимости от приложения
Настройте значения, соответствующие приложению.
Пример быстрой установки
Браузерное приложение устанавливается на устройство за четыре минуты. Рассмотрите возможность установки следующих значений для этого приложения:
Retry Count — 2 раза
Retry Interval — 5 минут
Install Timeout — 5 минут
Система сообщает о сбое этого приложения в течение 20 минут. Затем она устанавливает следующее приложение.
Пример медленной установки
Крупное приложение для повышения производительности устанавливается на устройство за 30 минут. Рассмотрите следующие значения для этого приложения:
Retry Count — 3 раза
Retry Interval — 5 минут
Install Timeout — 35 минут
Система может сообщить о сбое этого приложения в течение 120 минут. Затем она устанавливает следующее приложение.
Предложения для параметра Device Restart для ваших приложений Win32
Значения для перезагрузки устройства для приложений Win32 позволяют пользователю отложить перезагрузку устройства и установить крайний срок, до которого пользователь может откладывать перезагрузку. Эти значения позволяют администраторам и конечным пользователям иметь больший контроль над перезагрузками, чтобы предотвратить потерю работы пользователем.
Администраторы могут выбрать принудительную перезагрузку ПК после установки приложения или позволить пользователю отложить перезагрузку на более удобное время.
Перезагрузка устройства помогает настроить следующие параметры:
Предупредить пользователя перед перезагрузкой устройства, чтобы он мог сохранить свои файлы и закрыть приложения.
Предупредить пользователя, когда требуется перезагрузка устройства.
Позволить пользователю отложить перезагрузку устройства и перезапустить его в удобное время.
Workspace ONE Intelligent Hub отображает уведомления о перезагрузке устройства на различных этапах. Уведомление об откладывании позволяет пользователю перезагрузить или отложить перезагрузку. Workspace ONE Intelligent Hub обновляет данные о перезагрузке для откладывания или перезагрузки и показывает это уведомление в соответствии с временем, выбранным пользователем.
Следующая таблица показывает уведомления, отображаемые на различных этапах:
Во время установки приложения
Уведомляет пользователя о необходимости сохранить файлы и закрыть приложение.
После установки приложения
Отображает первое уведомление и сообщает пользователю о перезагрузке системы.
За 48 часов до крайнего срока перезагрузки
Отображает второе уведомление и предупреждает пользователя о принудительной перезагрузке.
За 15 минут до крайнего срока перезагрузки
Отображает третье уведомление и предупреждает пользователя о принудительной перезагрузке.
За 5 минут до крайнего срока перезагрузки
Отображает системные подсказки, указывающие дату и время запланированной принудительной перезагрузки.