Dmitriy
Имейте ввиду что членство в группах - не забирается дельта-дискавери
Dmitriy
Так что после добавления юзера оно начнет прилетать нескоро, в целом основной минус, особо больше нету
Quantum Yupiter
Всем пользы и добра. Прошу совета. Хочу организовать модель наполнения пользовательских коллекций через group discovery. При этом дисковер смотрит на OU, в которой лежат технические sccm-группы, в которые, в свою очередь, включены другие группы уже из других OU. Типа пользователю предоставляют доступ через группу AD к функционалу в ПО и, одновременно в Центр ПО приезжает доступная установка. На текущий момент уже задействовано примерно 900 групп, планируется примерно 4000. Есть у кого то опыт с такой моделью, стоит затевать?
Это модель похожа на одну очень большую контору на 500к мест, там машины в группах. Утренняя очередь обновления коллекций под All Systems - 5 часов
Quantum Yupiter
Которая в 4 утра начинается
Dmitriy
А мне само количество групп напомнило заказчика с ~750 Security accounts, любое действие в консоли занимает минимум 20 секунд пока SQL прожует текущие права
Dmitriy
Вообщем чисто практически - не надо плодить столько групп как минимум, что-то там можно оптимизировать
Quantum Yupiter
А мне само количество групп напомнило заказчика с ~750 Security accounts, любое действие в консоли занимает минимум 20 секунд пока SQL прожует текущие права
Хм, у меня в одной известной конторе вроде около 150, там проблемы только с ssrs, права на отчёты долго раздаются
Sergey
Сегодня прямо вечер ужастиков :)
Dmitriy
Там в звпросе оно на себя кажется три раза джойнится. 150 против 750 в данном случае разница не в 5 а в 125 раз по процессингу
Quantum Yupiter
Dmitriy
Ну и да, там эталон индусского запроса :) Вишенкой на торте ненужный distinct который ломает нафиг план исполнения и фуллсканит
Dmitriy
Ага, могу найти если хочешь
Quantum Yupiter
Dmitriy
да так-то в курсе все
Boris
Угу. Спасибо. Количество групп обусловлено количеством накоденного добра внутренней разработки и вообще количеством предлагаемых сервисов. Время поразмыслить
Quantum Yupiter
Sergey
хыыыхыхых.. кто-то тут недавно спрашивал
как всё отменить нафиг
Sergey
юзер выбрал всё и нажал инстал
Sergey
а апрувить - ну тоже вариант
Boris
Да. Для этого в ЦПО будет прилетать в доступном режиме
Dmitriy
Нет, определить основные роли - бухгалтер, охранник, какой-то чел и т.д. Роль=группа, для нее набор ПО
Boris
Но только то, что закажут, а то они устанут список листать
Dmitriy
там поиск есть
Dmitriy
а если они не знают что ставить то хера они вообще туда полезли
Sergey
Нет, определить основные роли - бухгалтер, охранник, какой-то чел и т.д. Роль=группа, для нее набор ПО
+1 за эту идею... транспонирование сделать, угу
Dmitriy
SELECT DISTINCT(RBAC_Admins.AdminSID)
FROM [dbo].[vRBAC_DetailedPermissions]
JOIN RBAC_Admins on vRBAC_DetailedPermissions.AdminID = RBAC_Admins.AdminID
JOIN Report_FolderSecurity on vRBAC_DetailedPermissions.ObjectTypeID = Report_FolderSecurity.SecuredObjectId
WHERE FolderId = @folderId
AND CASE @IsReadOnly WHEN 0 THEN GrantedOperations ELSE ReadOnlyOperations END & @permission=@permission
GROUP BY RBAC_Admins.AdminSID
Boris
Апрувить не. Я хотел сцсм-оркестратор-сццм
Dmitriy
Вот это вот работает при каждом тыке по сути
Dmitriy
А зачем тогда пляски с группами?
Dmitriy
Юзера в бетон
Dmitriy
ну пусть скрипт дернет да добавит
Boris
Ща, попытаюсь вспомнить, почему нет
Sergey
а у нас вообще другая система...
у нас юзеру ничё уметь не надо, он знает только емайл и телефон "создать заявку в ИТ", всё остальное делает инженер
Boris
Я хочу что бы пользователь был образованный, а инженер сытый, довольный и ленивый
Boris
А работал что б оркестратор
Sergey
эхехехех... ну, удачи :)
Sergey
в новом CM можно же поскрывать вкладки, а орестратором дергать установку "available" - софта
Quantum Yupiter
Но только то, что закажут, а то они устанут список листать
У нас вот 400+ софтин опубликовано
Dmitriy
Предлагаю вам бесплатный совет - если уж так хочется с группами. Пользователь реквестит ПО, пинается скрипт, скрипт смотрит членство в АД-группах данного пльщователя, если есть - аппрув, иначе - пошел нафиг
Dmitriy
Таким образом все эти группы не тянутся в SCCM и не надо особо ждать обновлений
Boris
ну пусть скрипт дернет да добавит
А, вспомнил. Ну, собственно, потому что пользователь заказывает себе в ПО определенный функционал. Т.е. на одно ПО может быть сотня групп. И все эти группы заинклюдены в служебную-sccm
Quantum Yupiter
Dmitriy
Dmitriy
Просто ради интереса пример ПО... SAP какой-нить чтоли?
Dmitriy
А там он кажется тупой, на наличие объекта просто
Dmitriy
так что все равно скрипт
Boris
Просто ради интереса пример ПО... SAP какой-нить чтоли?
Не, в основном внутренней разработки. Например построение какого то отчёта одна группа, второго - друга а для определенного цеха третья
Dmitriy
Хосспади, вытянули разграничение прав из продукта во внешку
Sergey
ууу, у нас так же
Dmitriy
Ну не к вам претензия конечно, понимаю что так вот сделано уже
Sergey
и спасибо какому то говнософту, который о размер токена спотыкнулся... чёт там переделали
Boris
Да ))) и на тонкий намек может поменяем? Ответ как грузовик БелАЗ "захардкожено, отвали"
Dmitriy
Не, в основном внутренней разработки. Например построение какого то отчёта одна группа, второго - друга а для определенного цеха третья
То есть если в ПО с правами беда, я могу пойти в соседний отдел и кпирнуть их функционал?
Dmitriy
и спасибо какому то говнософту, который о размер токена спотыкнулся... чёт там переделали
Кстати, точно, размер тикета дефолтного можно превысить если такой групповухой серьезно заняться
Dmitriy
Ничего страшного, но поменять размер желательно заранее
Boris
То есть если в ПО с правами беда, я могу пойти в соседний отдел и кпирнуть их функционал?
Это третий вопрос. Я очень туда глубоко не лез. Выдана вводная, танцуем так, переделывать никто не будет
Boris
Это третий вопрос. Я очень туда глубоко не лез. Выдана вводная, танцуем так, переделывать никто не будет
В смысле мне от прогеров выдана
Sergey
о, прикольно мобила опять исправляет слова сама
Sergey
Ничего страшного, но поменять размер желательно заранее
не всегда это возможно, даже если размер самого токена поменять.
еще раз спасибо говнософту
Dmitriy
не всегда это возможно, даже если размер самого токена поменять.
еще раз спасибо говнософту
А в чем там грабли? Я давно AD не трогал
Sergey
А в чем там грабли? Я давно AD не трогал
Надо инцидент найти.
Ну АД там был не причём, токен больше чем софт мог прожевать, подробностей не помню, но что-то там было 32-битное VBS-ное
Dmitriy
А... Ну.. тут медицина бессильна
Sergey
если кто в 1803 использует Windows express installation
https://support.microsoft.com/en-us/help/4339794/windows-express-install-files-not-downloaded-in-configuration-manager
Nikolay
Добрый день.Подскажите пожалуйста.Допустим есть коллекция из 20 серверов,на которые развертыв.обновления.Задано окно обслуживания с 8 утра разных до 12 дня.Эти сервера будут обновляться в этот временной промежуток в рандомном порядке?Это нормально?
Anton
это нормально )
Quantum Yupiter
Ну да, configmgr выполнит любое желание администратора в пределах своих возможностей))
Nikolay
Еще вопрос.Установка обновлений со стороны компьютера через sccm может проходить в несколько этапов.Ну допустим комп установил несколько обновлений...перезагрущился.Потом опять,находясь в окне обслуживания установил обновления и опять перезагрузился.Это тоже нормально?
Sergey
господа Англечане :)
Помогите перевести правильно
RCT для изменения приоритета политик
Sergey
Sergey
в смысле назвать идеологически-правильно надо
Quantum Yupiter
Еще вопрос.Установка обновлений со стороны компьютера через sccm может проходить в несколько этапов.Ну допустим комп установил несколько обновлений...перезагрущился.Потом опять,находясь в окне обслуживания установил обновления и опять перезагрузился.Это тоже нормально?
Да, окна обслуживания как раз и придуманы для планирования перезапусков
Anton
наверх, увеличить, уменьшить
Anton
в конец ))))