Vorbereitung

Windows Remote Management

Der SCCM Webservice nutzt Windows Remote Management (WinRM) zur administrativen Verwaltung der Clients. Um dessen Funktion zu gewährleisten, ist folgende Checkliste zu beachten.
Windows Dienst für WinRM auf dem Server aktiviert und Starttyp auf Automatisch
Windows Dienst für WinRM auf allen zu verwaltenden Clients aktiviert und Starttyp auf Automatisch
Port für WinRM konfiguriert
Wenn die Richtlinie zur Ausführung von PowerShell Scripten, auf den zu verwaltenen Clients, auf RemoteSigned gestellt ist, müssen alle PowerShell Scripte, in dem WebService-Verzeichnis PS1, signiert werden
Firewall-Regel für WinRM erstellt
Der Webservice hat administrativen Zugriff auf die zu verwaltenden Clients (abhängig vom konfigurierten Account des IIS Application Pools "SCCM Manager Pool"; Standard: Local System)

Um einen neuen User Login zu erstellen, wird das Microsoft SQL Server Management Studio benötigt.

Dort muss sich mit dem Server verbunden werden, auf dem die SCCM-Datenbank liegt.

Auf dem entsprechenden Server, den Ordner "Security" aufklappen und das Kontextmenü des "Logins"-Ordners öffnen. Dort muss der Eintrag "New Login.." ausgewählt werden.

Dort muss die Domäne und der Name des Servers eingegeben werden auf dem sich die SCCM Manager-Datenbank befindet. Da es sich um einen Computer-Benutzer handelt muss am Ende des Names ein "$" hinzugefügt werden. In diesem Beispiel wird zusätzlich der Punkt "Windows authentication" ausgewählt. Optional kann als "Default database" die SCCM-Datenbank ausgewählt werden.

Links zu dem Reiter "User Mapping" wechseln und dort die SCCM-Datenbank auswählen. Dort muss dem Nutzer die Berechtigung gegeben werden die Datenbank lesen zu dürfen (db_datareader). Mit "OK" wird der UUser Login erstellt.

Datenbank

Während der automatischen Installation wird eine Datenbank mit dem Namen „SCCMManager“ erstellt. Dazu wird ein Account mit der entsprechenden Berechtigung benötigt. Außerdem muss dieser Account Leseberechtigungen auf die SCCM-Datenbank haben.

"Full Administrator"-Benutzer erstellen

Der Computer auf dem der SCCM Manager installiert ist, muss auf dem ihm zugewiesenem SCCM Server, als "Full Administrator"-Benutzer hinzugefügt werden. Zum erstellen eines "Full Administrator"-Benutzer wird der Microsoft Endpoint Configuration Manager benötigt.

Dort muss der Menüpunkt "Administration" ausgewählt werden. Im dem Ordner "Security" können unter "Administraive Users" neue Benutzer hinzugefügt werden.

In dem Fenster "Add User or Group" kann nun der neue Benutzer erstellt werden. Dazu muss zunächst eine Name angeben werden. Per Klick auf "Browse.." können automatisch schon vorhandene Benutzer aus der Domäne ausgewählt werden.

Damit über "Check Name" auch Computernamen automatisch ausgefüllt werden, muss unter "Object Types", "Computers" ausgewählt werden. Per "OK" wird der Computer hinzugefügt.

Unter "Assigned security roles" muss per Klick auf "Add" jetzt die Security Role "Full Administrator" ausgewählt werden. Mit "OK" bestätigen.

Unter "Assigned security scopes and collections" muss der erste Punkt auswählt werden. Mit "OK" bestätigen. Jetzt wurde ein "Full Administrator"-Benutzer für den Computer erstellt

Zusätzliche Information zur Client-Konfiguration

Für den Einsatz des SCCM Managers wird empfohlen, dem Systemkonto des Servers, administrative Berechtigungen auf die zu verwaltenen Clients zu gewähren. Dies geschieht durch das Hinzufügen des Systemkontos zur Gruppe der „lokalen Administratoren“ der zu verwaltenden Clients.

Weitere Informationen dazu:

The LocalSystem Account

Sceurity Considerations for All Services

Service Security and Access Rights

LocalSystem Account privileges