Distribuzione iniziale

Per gestire i dispositivi in un'organizzazione, è necessario installare Network Agent su ciascun dispositivo.

L'installazione di Network Agent nel dispositivo gestito che esegue Windows può essere effettuata nei seguenti modi:

• Con strumenti di terze parti per l'installazione remota delle applicazioni.
• Clonando un'immagine del disco rigido dell'amministratore con il sistema operativo e Network Agent, utilizzando gli strumenti forniti da Kaspersky Security Center per la gestione delle immagini disco o con strumenti di terze parti.
• Con i criteri di gruppo di Windows, utilizzando gli strumenti di gestione standard di Windows per i criteri di gruppo o in modalità automatica, attraverso l'apposita opzione corrispondente nell'attività di installazione remota di Kaspersky Security Center.
• In modalità forzata, utilizzando le risorse del sistema operativo tramite l'attività di installazione remota di Kaspersky Security Center.
• Inviando agli utenti dei dispositivi collegamenti ai pacchetti indipendenti generati da Kaspersky Security Center. I pacchetti indipendenti sono moduli eseguibili che contengono i pacchetti di distribuzione delle applicazioni selezionate con le relative impostazioni definite.
• Manualmente, eseguendo i programmi di installazione delle applicazioni nei dispositivi.

L'installazione iniziale di Network Agent nel dispositivo gestito Linux può essere effettuata nei seguenti modi:

• Collegandosi al dispositivo gestito tramite SSH ed eseguendo l'attività di installazione remota.
• Eseguendo l'installazione del pacchetto nel dispositivo gestito.

L'installazione iniziale di Network Agent nel dispositivo gestito macOS può essere effettuata nei seguenti modi:

• Eseguendo l'attività di installazione remota nel punto di distribuzione macOS.
• Inviando agli utenti dei dispositivi collegamenti ai pacchetti indipendenti generati da Kaspersky Security Center. I pacchetti indipendenti sono moduli eseguibili che contengono i pacchetti di distribuzione delle applicazioni selezionate, con le impostazioni predefinite.

Dopo aver installato Network Agent su un dispositivo, è possibile eseguire l'installazione remota delle applicazioni Kaspersky su tale dispositivo tramite Network Agent. Il pacchetto di distribuzione di un'applicazione da installare viene trasferito mediante i canali di comunicazione tra i Network Agent e Administration Server, insieme alle impostazioni di installazione definite dall'amministratore. Per trasferire il pacchetto di distribuzione, è possibile utilizzare nodi di distribuzione per il trasferimento, cioè punti di distribuzione, recapito multicast e così via.

Al momento della scelta di un metodo e di una strategia per la distribuzione delle applicazioni in una rete gestita, è necessario considerare diversi fattori (elenco parziale):

• Configurazione della rete dell'organizzazione.
• Numero totale di dispositivi.
• Presenza nella rete dell'organizzazione di dispositivi che non appartengono ad alcun dominio Active Directory e presenza di account uniformi con diritti di amministratore su tali dispositivi.
• Capacità del canale tra l'Administration Server e i dispositivi.
• Tipo di comunicazione tra Administration Server e le subnet remote e capacità dei canali di rete in tali subnet.
• Impostazioni di sicurezza applicate sui dispositivi remoti all'inizio della distribuzione. Questi parametri consentono di stabilire la connessione remota al dispositivo gestito e di avviare il programma di installazione.

Configurazione dei programmi di installazione

Prima di avviare la distribuzione delle applicazioni Kaspersky in una rete, è necessario specificare le impostazioni di installazione, ovvero quelle definite durante l'installazione dell'applicazione. Durante l'installazione di Network Agent, è necessario specificare almeno un indirizzo per la connessione ad Administration Server, tuttavia possono essere richieste anche alcune impostazioni avanzate. A seconda del metodo di installazione selezionato, è possibile definire le impostazioni in diversi modi. Nel caso più semplice (installazione interattiva manuale in un dispositivo selezionato), tutte le impostazioni appropriate possono essere definite attraverso l'interfaccia utente del programma di installazione.

Questo metodo per definire le impostazioni non è appropriato per l'installazione automatica delle applicazioni in gruppi di dispositivi. In generale, l'amministratore deve specificare i valori per le impostazioni in modalità centralizzata. Tali valori possono successivamente essere utilizzati per l'installazione automatica nei dispositivi della rete selezionati.

Pacchetti di installazione

Il metodo principale per definire le impostazioni di installazione delle applicazioni è adatto per tutti i metodi di installazione, sia con gli strumenti di Kaspersky Security Center che con la maggior parte strumenti di terze parti. Questo metodo consiste nella creazione di pacchetti di installazione delle applicazioni in Kaspersky Security Center.

I pacchetti di installazione sono generati utilizzando i seguenti metodi:

• Automaticamente, dai pacchetti di distribuzione specificati, in base ai descrittori inclusi (file con estensione kud che contengono regole per l'installazione e l'analisi dei risultati e altre informazioni)
• Dai file eseguibili dei programmi di installazione o dai programmi di installazione in formato nativo (.msi, .deb, .rpm) per le applicazioni standard o supportate

I pacchetti di installazione generati sono organizzati gerarchicamente come cartelle con sottocartelle e file. Oltre al pacchetto di distribuzione originale, un pacchetto di installazione contiene impostazioni modificabili (incluse le impostazioni del programma di installazione e le regole per elaborare casi come la necessità di riavviare il sistema operativo per completare l'installazione), nonché moduli ausiliari minori.

I valori delle impostazioni di installazione specifici per una singola applicazione supportata possono essere definiti nell'interfaccia utente di Administration Console al momento della creazione del pacchetto di installazione. Durante l'esecuzione dell'installazione remota delle applicazioni tramite gli strumenti di Kaspersky Security Center, i pacchetti di installazione vengono inviati ai dispositivi. L'esecuzione del programma di installazione di un'applicazione rende disponibili tutte le impostazioni definite dall'amministratore per tale applicazione. Quando si utilizzano strumenti di terze parti per l'installazione delle applicazioni Kaspersky, è sufficiente garantire la disponibilità dell'intero pacchetto di installazione nel dispositivo, ovvero la disponibilità del pacchetto di distribuzione e delle relative impostazioni. I pacchetti di installazione vengono creati e archiviati da Kaspersky Security Center in un'apposita sottocartella della cartella condivisa.

Non specificare dettagli degli account privilegiati nei parametri dei pacchetti di installazione.

Per istruzioni sull'utilizzo di questo metodo di configurazione per le applicazioni Kaspersky prima della distribuzione mediante strumenti di terze parti, vedere la sezione "Distribuzione tramite i criteri di gruppo di Microsoft Windows".

Subito dopo l'installazione di Kaspersky Security Center, alcuni pacchetti di installazione vengono generati automaticamente: sono pronti per l'installazione e includono i pacchetti di Network Agent e i pacchetti delle applicazioni di protezione per Microsoft Windows.

Anche se è possibile impostare la chiave di licenza per un'applicazione nelle proprietà di un pacchetto di installazione, è consigliabile evitare questo metodo di distribuzione della licenza, perché è semplice ottenere l'accesso in lettura ai pacchetti di installazione. È necessario utilizzare chiavi di licenza distribuite automaticamente o le attività di installazione per le chiavi di licenza.

Proprietà e file di trasformazione MSI

Un altro modo per configurare l'installazione nella piattaforma Windows è definire le proprietà e i file di trasformazione MSI. Questo metodo può essere applicato nei seguenti casi:

• Durante l'installazione tramite i criteri di gruppo di Windows, utilizzando gli strumenti standard di Microsoft o altri strumenti di terze parti per la gestione dei criteri di gruppo di Windows.
• Durante l'installazione delle applicazioni tramite strumenti di terze parti per la gestione dei programmi di installazione in formato Microsoft Installer.

Distribuzione con strumenti di terze parti per l'installazione remota delle applicazioni

Se nell'organizzazione sono disponibili strumenti per l'installazione remota delle applicazioni (ad esempio, Microsoft System Center), è possibile eseguire la distribuzione iniziale utilizzando tali strumenti.

È necessario eseguire le seguenti operazioni:

• Selezionare il metodo per la configurazione dell'installazione più adatto per lo strumento di distribuzione da utilizzare.
• Definire il meccanismo per la sincronizzazione tra la modifica delle impostazioni dei pacchetti di installazione (attraverso l'interfaccia di Administration Console) e l'esecuzione degli strumenti di terze parti selezionati utilizzati per la distribuzione delle applicazioni dai dati dei pacchetti di installazione.
• Durante l'esecuzione dell'installazione da una cartella condivisa, è necessario assicurarsi che tale risorsa file abbia una capacità sufficiente.

Informazioni sulle attività di installazione remota in Kaspersky Security Center

Kaspersky Security Center fornisce diversi meccanismi per l'installazione remota delle applicazioni, che sono implementati come attività di installazione remota (installazione forzata, installazione tramite copia di un'immagine del disco rigido, installazione tramite i criteri di gruppo di Microsoft Windows). È possibile creare un'attività di installazione remota sia per un gruppo di amministrazione specificato che per dispositivi specifici o per una selezione di dispositivi (tali attività sono visualizzate in Administration Console, nella cartella Attività). Durante la creazione di un'attività, è possibile selezionare i pacchetti di installazione (quelli di Network Agent e/o di un'altra applicazione) per l'installazione con questa attività, nonché specificare determinate impostazioni che definiscono il metodo di installazione remota. È inoltre possibile utilizzare l'Installazione remota guidata, che è basata sulla creazione di un'attività di installazione remota e sul monitoraggio dei risultati.

Le attività per i gruppi di amministrazione influiscono sia sui dispositivi inclusi in un gruppo specificato che su tutti i dispositivi in tutti i sottogruppi compresi in tale gruppo di amministrazione. Un'attività copre i dispositivi degli Administration Server secondari inclusi in un gruppo o in qualsiasi dei relativi sottogruppi se l'impostazione corrispondente è abilitata nell'attività.

Le attività per dispositivi specifici aggiornano l'elenco dei dispositivi client a ogni esecuzione, in conformità con i contenuti della selezione al momento dell'avvio dell'attività. Se una selezione include dispositivi che sono stati connessi ad Administration Server secondari, l'attività verrà eseguita anche in tali dispositivi. Per informazioni dettagliate sulle impostazioni e i metodi di installazione, vedere più avanti in questa sezione.

Per garantire la corretta esecuzione di un'attività di installazione remota nei dispositivi connessi agli Administration Server secondari, è necessario utilizzare l'attività di trasmissione per trasferire anticipatamente i pacchetti di installazione utilizzati dall'attività agli Administration Server secondari corrispondenti.

Distribuzione tramite l'acquisizione e la copia dell'immagine di un dispositivo

Se Network Agent deve essere installato in dispositivi in cui è necessario installare (o reinstallare) anche un sistema operativo e altro software, è possibile utilizzare il meccanismo di acquisizione e copia dell'immagine del dispositivo.

Per eseguire la distribuzione acquisendo e copiando un disco rigido:

1. Creare un dispositivo "di riferimento" con un sistema operativo e il software appropriato installato, incluso Network Agent e un'applicazione di protezione.
2. Acquisire l'immagine di riferimento nel dispositivo e distribuire tale immagine nei nuovi dispositivi tramite l'attività dedicata di Kaspersky Security Center.

   Per acquisire e installare le immagini disco, è possibile utilizzare gli strumenti di terze parti disponibili nell'organizzazione o la funzionalità fornita (con la licenza Vulnerability e patch management) da Kaspersky Security Center.

Se si utilizza uno strumento di terze parti per elaborare le immagini disco, è necessario eliminare le informazioni utilizzate da Kaspersky Security Center per identificare il dispositivo gestito, al momento della distribuzione in un dispositivo da un'immagine di riferimento. In caso contrario, Administration Server non sarà in grado di distinguere correttamente i dispositivi che sono stati creati copiando la stessa immagine.

In caso di acquisizione di un'immagine disco con gli strumenti di Kaspersky Security Center, questo problema viene risolto automaticamente.

Copia di un'immagine disco con strumenti di terze parti

Quando si applicano strumenti di terze parti per l'acquisizione dell'immagine di un dispositivo con Network Agent installato, utilizzare uno dei seguenti metodi:

• Metodo consigliato. Durante l'installazione di Network Agent in un dispositivo di riferimento acquisire l'immagine del dispositivo prima della prima esecuzione del servizio Network Agent (perché le informazioni univoche che identificano il dispositivo vengono create alla prima connessione di Network Agent ad Administration Server). È quindi consigliabile evitare di eseguire il servizio Network Agent fino al completamento dell'operazione di acquisizione dell'immagine.
• Sul dispositivo di riferimento, interrompere il servizio Network Agent ed eseguire l'utilità klmover con l'opzione -dupfix. L'utilità klmover è inclusa nel pacchetto di installazione di Network Agent. Evitare qualsiasi successiva esecuzione del servizio Network Agent finché l'operazione di acquisizione dell'immagine non viene completata.
• Verificare che l'utilità klmover venga eseguita con l'opzione -dupfix prima (requisito obbligatorio) della prima esecuzione del servizio Network Agent nei dispositivi di destinazione, al primo avvio del sistema operativo dopo la distribuzione dell'immagine. L'utilità klmover è inclusa nel pacchetto di installazione di Network Agent.
• Utilizzare la modalità di clonazione del disco di Network Agent.

Se l'immagine del disco rigido è stata copiata in modo errato, è possibile risolvere il problema.

È inoltre possibile acquisire l'immagine di un dispositivo senza Network Agent installato. A tale scopo, eseguire la distribuzione dell'immagine nei dispositivi di destinazione, quindi distribuire Network Agent. Se si utilizza questo metodo, fornire l'accesso alla cartella di rete con i pacchetti di installazione indipendenti da un dispositivo.

Errori di copia di un'immagine del disco rigido

Se è stata copiata un'immagine del disco rigido in cui è installato Network Agent senza seguire le regole di distribuzione, alcuni dispositivi possono essere visualizzati insieme in Administration Console con un'unica icona e con un nome che subisce continue variazioni.

È possibile risolvere il problema utilizzando uno dei seguenti metodi:

• Rimozione di Network Agent

  Questo metodo è il più affidabile. È necessario rimuovere Network Agent dai dispositivi che sono stati copiati in modo errato dall'immagine, utilizzando strumenti di terze parti, e quindi installarlo di nuovo. Network Agent non può essere rimosso tramite gli strumenti di Kaspersky Security Center, perché Administration Server non può distinguere fra i dispositivi in errore (tutti condividono la stessa icona in Administration Console).

• Esecuzione dell'utilità klmover con l'opzione "-dupfix"

  Utilizzare strumenti di terze parti per eseguire una volta l'utilità klmover, disponibile nella cartella di installazione di Network Agent, con l'opzione "-dupfix" (klmover-dupfix) nei dispositivi in errore (quelli copiati in modo errato dall'immagine). Non è possibile eseguire l'utilità tramite gli strumenti di Kaspersky Security Center, perché Administration Server non può distinguere fra i dispositivi in errore (tutti condividono la stessa icona in Administration Console).

  Eliminare quindi l'icona con cui erano visualizzati i dispositivi in errore prima dell'esecuzione dell'utilità.

• Modifica della regola per il rilevamento dei dispositivi copiati in modo errato.

  Questo metodo è applicabile solo se sono installati Administration Server e Network Agent versione 10 Service Pack 1 o successiva.

  La regola per il rilevamento dei Network Agent copiati in modo errato deve essere modificata in modo che la modifica del nome NetBIOS di un dispositivo determini una "correzione" automatica di tali Network Agent (presupponendo che tutti i dispositivi copiati abbiano nomi NetBIOS univoci).

  Nel dispositivo con Administration Server è necessario importare nel Registro di sistema il file reg indicato di seguito e quindi riavviare il servizio Administration Server.

  • Se nel dispositivo con Administration Server è installato un sistema operativo a 32 bit:

  REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\1093\1.0.0.0\ServerFlags] "KLSRV_CheckClones"=dword:00000003

  • Se nel dispositivo con Administration Server è installato un sistema operativo a 64 bit:

  REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\KasperskyLab\Components\34\1093\1.0.0.0\ServerFlags] "KLSRV_CheckClones"=dword:00000003

Distribuzione tramite i criteri di gruppo di Microsoft Windows

È consigliabile eseguire la distribuzione iniziale dei Network Agent tramite i criteri di gruppo di Microsoft Windows se sono soddisfatte le seguenti condizioni:

• Il dispositivo fa parte di un dominio Active Directory.
• Lo schema di distribuzione consente di attendere il successivo riavvio abituale dei dispositivi di destinazione prima di avviare la distribuzione nei Network Agent su di essi (oppure è possibile forzare l'applicazione di un criterio di gruppo di Windows in tali dispositivi).

Questo schema di distribuzione comprende quanto segue:

• Il pacchetto di distribuzione dell'applicazione in formato Microsoft Installer (pacchetto MSI) è disponibile in una cartella condivisa (una cartella per cui gli account LocalSystem dei dispositivi di destinazione dispongono di autorizzazioni di lettura).
• Nel criterio di gruppo di Active Directory, viene creato un oggetto di installazione per il pacchetto di distribuzione.
• L'ambito di installazione è impostato specificando l'unità organizzativa (UO) e / o il gruppo di protezione che include i dispositivi di destinazione.
• Al successivo accesso al dominio di un dispositivo di destinazione (prima che gli utenti del dispositivo accedano al sistema), tutte le applicazioni installate vengono esaminate per verificare che sia presente l'applicazione richiesta. Se l'applicazione non viene trovata, il pacchetto di distribuzione viene scaricato dalla risorsa specificata nel criterio e quindi viene installato.

Un vantaggio di questo schema di distribuzione è il fatto che le applicazioni assegnate sono installate nei dispositivi di destinazione durante il caricamento del sistema operativo, prima che l'utente acceda al sistema. Anche se un utente con diritti sufficienti rimuove l'applicazione, questa sarà reinstallata al successivo avvio del sistema operativo. Lo svantaggio di questo schema di distribuzione è che le modifiche apportate dall'amministratore al criterio di gruppo non hanno effetto finché i dispositivi non vengono riavviati (se non vengono utilizzati strumenti aggiuntivi).

È possibile utilizzare i criteri di gruppo per installare sia Network Agent che altre applicazioni se i relativi programmi di installazione sono in formato Windows Installer.

Quando si seleziona questo schema di distribuzione, è anche necessario valutare il carico sulla risorsa file da cui saranno copiati i file nei dispositivi dopo l'applicazione del criterio di gruppo di Windows.

Gestione dei criteri di Microsoft Windows tramite l'attività di installazione remota di Kaspersky Security Center

Il modo più semplice per installare le applicazioni tramite i criteri di gruppo di Microsoft Windows è selezionare l'opzione Assegna l'installazione del pacchetto in Criteri di gruppo di Active Directory nelle proprietà dell'attività di installazione remota di Kaspersky Security Center. In questo caso, Administration Server esegue automaticamente le azioni seguenti durante l'esecuzione dell'attività:

• Crea gli oggetti richiesti nel criterio di gruppo di Microsoft Windows.
• Crea gruppi di protezione dedicati, include i dispositivi di destinazione in tali gruppi e assegna l'installazione delle applicazioni selezionate per i dispositivi. Il set di gruppi di protezione sarà aggiornato a ogni esecuzione dell'attività, in base al pool di dispositivi al momento dell'esecuzione.

Per rendere disponibile questa funzionalità, nelle proprietà dell'attività specificare un account con autorizzazioni di scrittura nei criteri di gruppo di Active Directory.

Se si prevede di installare sia Network Agent che un'altra applicazione tramite la stessa attività, la selezione dell'opzione Assegna l'installazione del pacchetto in Criteri di gruppo di Active Directory determina la creazione di un oggetto di installazione nel criterio di Active Directory solo per Network Agent. La seconda applicazione selezionata nell'attività sarà installata tramite gli strumenti di Network Agent non appena quest'ultimo viene installato nel dispositivo. Se si desidera installare un'applicazione diversa da Network Agent tramite i criteri di gruppo di Windows, è necessario creare un'attività di installazione solo per tale pacchetto di installazione (senza il pacchetto di Network Agent). Non tutte le applicazioni possono essere installate utilizzando i criteri di gruppo Microsoft Windows. Per ottenere informazioni su questa funzionalità, è possibile fare riferimento alle informazioni sui possibili metodi per installare l'applicazione.

Se gli oggetti richiesti sono creati nel criterio di gruppo utilizzando gli strumenti di Kaspersky Security Center, verrà utilizzata la cartella condivisa di Kaspersky Security Center come origine del pacchetto di installazione. Durante la pianificazione della distribuzione, è necessario correlare la velocità di lettura per questa cartella con il numero di dispositivi e le dimensioni del pacchetto di distribuzione da installare. Può essere utile posizionare la cartella condivisa di Kaspersky Security Center in un archivio di file dedicato a elevate prestazioni.

Oltre alla sua facilità di utilizzo, la creazione automatica dei criteri di gruppo di Windows tramite Kaspersky Security Center offre un particolare vantaggio: durante la pianificazione dell'installazione di Network Agent, è possibile specificare facilmente il gruppo di amministrazione di Kaspersky Security Center in cui i dispositivi saranno spostati automaticamente al termine dell'installazione. È possibile specificare questo gruppo nella Creazione guidata nuova attività o nella finestra delle impostazioni dell'attività di installazione remota.

Quando si gestiscono i criteri di gruppo di Windows tramite Kaspersky Security Center, è possibile specificare i dispositivi per un oggetto criteri di gruppo creando un gruppo di protezione. Kaspersky Security Center sincronizza i contenuti del gruppo di protezione con il set corrente di dispositivi nell'attività. Utilizzando altri strumenti per gestire i criteri di gruppo, è possibile associare direttamente gli oggetti criteri di gruppo alle unità organizzative di Active Directory selezionate.

Installazione non assistita delle applicazioni tramite i criteri di Microsoft Windows

L'amministratore può creare autonomamente gli oggetti richiesti per l'installazione in un criterio di gruppo di Windows. In questo caso, può fornire collegamenti ai pacchetti archiviati nella cartella condivisa di Kaspersky Security Center oppure caricare i pacchetti su un file server dedicato e fornire collegamenti a tali pacchetti.

Sono possibili i seguenti scenari di installazione:

• L'amministratore crea un pacchetto di installazione e ne imposta le proprietà in Administration Console. L'oggetto criteri di gruppo fornisce un collegamento al file MSI di questo pacchetto archiviato nella cartella condivisa di Kaspersky Security Center.
• L'amministratore crea un pacchetto di installazione e ne imposta le proprietà in Administration Console. L'amministratore copia quindi l'intera sottocartella EXEC di questo pacchetto dalla cartella condivisa di Kaspersky Security Center in una cartella su una risorsa file dedicata dell'organizzazione. L'oggetto criteri di gruppo fornisce un collegamento al file MSI di questo pacchetto archiviato in una sottocartella sulla risorsa file dedicata dell'organizzazione.
• L'amministratore scarica da Internet il pacchetto di distribuzione dell'applicazione (incluso quello di Network Agent) e lo carica nella risorsa file dedicata dell'organizzazione. L'oggetto criteri di gruppo fornisce un collegamento al file MSI di questo pacchetto archiviato in una sottocartella sulla risorsa file dedicata dell'organizzazione. Le impostazioni di installazione sono definite configurando le proprietà MSI o configurando i file di trasformazione MST.

Distribuzione forzata tramite l'attività di installazione remota di Kaspersky Security Center

Per eseguire la distribuzione iniziale di Network Agent o di altre applicazioni, è possibile forzare l'installazione dei pacchetti di installazione selezionati utilizzando l'attività di installazione remota di Kaspersky Security Center, a condizione che ogni dispositivo disponga di uno o più account utente con diritti di amministratore locali.

L'installazione forzata può anche essere applicata se i dispositivi non sono direttamente accessibili da Administration Server, ad esempio se i dispositivi sono in rete isolata o se si trovano in una rete locale mentre Administration Server è in una rete perimetrale.

In caso di distribuzione iniziale, Network Agent non è installato. Pertanto, nelle impostazioni dell'attività di installazione remota, non è possibile selezionare la distribuzione dei file richiesti per l'installazione dell'applicazione utilizzando Network Agent. È possibile scegliere di distribuire i file solo utilizzando le risorse del sistema operativo tramite Administration Server o i punti di distribuzione.

Il servizio Administration Server deve essere eseguito con un account con privilegi di amministratore nei dispositivi di destinazione. In alternativa, è possibile specificare un account che ha accesso alla condivisione admin$ nelle impostazioni dell'attività di installazione remota.

Per impostazione predefinita, l'attività di installazione remota si connette ai dispositivi utilizzando le credenziali dell'account con cui è in esecuzione Administration Server. È importante chiarire che questo è l'account utilizzato per accedere alla condivisione admin$, anziché l'account con cui viene eseguita l'attività di installazione remota. L'installazione viene eseguita con l'account LocalSystem.

È possibile specificare i dispositivi di destinazione esplicitamente (con un elenco), selezionando il gruppo di amministrazione di Kaspersky Security Center a cui appartengono o creando una selezione di dispositivi in base a un criterio specifico. L'ora di inizio dell'installazione è definita dalla pianificazione dell'attività. Se l'impostazione Esegui attività non effettuate è abilitata nelle proprietà dell'attività, l'attività può essere eseguita subito dopo l'accensione dei dispositivi di destinazione o quando vengono spostati nel gruppo di amministrazione di destinazione.

L'installazione forzata consiste nella distribuzione dei pacchetti di installazione ai dispositivi di destinazione, nella successiva copia dei file nella risorsa admin$ in ciascuno dei dispositivi di destinazione e nella registrazione remota dei servizi di supporto in tali dispositivi. L'invio dei pacchetti di installazione ai dispositivi di destinazione viene eseguito tramite una funzionalità di Kaspersky Security Center che garantisce l'interazione di rete. In questo caso, devono essere soddisfatte le seguenti condizioni:

• I dispositivi di destinazione sono accessibili dal lato di Administration Server o dal lato del punto di distribuzione.
• La risoluzione dei nomi per i dispositivi di destinazione funziona correttamente nella rete.
• Le condivisioni amministrative (admin$) rimangono abilitate nei dispositivi di destinazione.
• I seguenti servizi di sistema sono in esecuzione nei dispositivi di destinazione:
  • Server (LanmanServer)

    Per impostazione predefinita, questo servizio è in esecuzione.

  • DCOM Server Process Launcher (DcomLaunch)
  • RPC Endpoint Mapper (RpcEptMapper)
  • Remote Procedure Call (RpcSs)
• La porta TCP 445 è aperta nei dispositivi di destinazione per abilitare l'accesso remoto tramite Windows Management Instrumentation.

  TCP 139, UDP 137 e UDP 138 vengono utilizzati dai protocolli precedenti e non sono più necessari per le applicazioni correnti.

  Le porte di accesso dinamiche in uscita devono essere consentite nel firewall per le connessioni da Administration Server e dai punti di distribuzione ai dispositivi di destinazione.

• Le impostazioni di protezione del criterio di dominio di Active Directory possono fornire il funzionamento del protocollo NTLM durante la distribuzione di Network Agent.
• Nei dispositivi di destinazione che eseguono Microsoft Windows XP, la modalità Simple File Sharing è disabilitata.
• Nei dispositivi di destinazione, il modello di protezione e condivisione dell'accesso è impostato su Classico: gli utenti locali eseguono l'autenticazione come se stessi. Non può in alcun modo essere Solo Guest: gli utenti locali si autenticano come Guest.
• I dispositivi di destinazione sono utenti del dominio o vengono creati anticipatamente account uniformi con diritti di amministratore nei dispositivi di destinazione.

Per distribuire correttamente Network Agent o altre applicazioni in un dispositivo che non fa parte di un dominio Active Directory di Windows Server 2003 o versione successiva, è necessario disabilitare Controllo dell'account utente remoto in tale dispositivo. Controllo dell'account utente remoto è uno dei motivi che impedisce agli account amministrativi locali di accedere ad admin$, necessario per la distribuzione forzata di Network Agent o di altre applicazioni. La disabilitazione di Controllo dell'account utente remoto non influisce su Controllo dell'account utente locale.

Durante l'installazione in nuovi dispositivi che non sono stati ancora assegnati ad alcun gruppo di amministrazione di Kaspersky Security Center, è possibile aprire le proprietà dell'attività di installazione remota e specificare il gruppo di amministrazione in cui spostare i dispositivi dopo l'installazione di Network Agent.

Al momento della creazione di un'attività di gruppo, tenere presente che ogni attività di gruppo influisce su tutti i dispositivi in tutti i gruppi nidificati all'interno un gruppo selezionato. È pertanto necessario evitare di duplicare le attività di installazione nei sottogruppi.

Un modo semplificato per creare attività per l'installazione forzata delle applicazioni è l'installazione automatica. A tale scopo, è necessario aprire le proprietà del gruppo di amministrazione, aprire l'elenco dei pacchetti di installazione e selezionare quelli da installare nei dispositivi di questo gruppo. I pacchetti di installazione selezionati saranno installati automaticamente in tutti i dispositivi di questo gruppo e di tutti i relativi sottogruppi. L'intervallo di tempo richiesto per l'installazione dei pacchetti dipende dalla velocità effettiva della rete e dal numero totale di dispositivi in rete.

Per ridurre il carico su Administration Server durante la distribuzione dei pacchetti di installazione ai dispositivi di destinazione, è possibile selezionare l'installazione tramite i punti di distribuzione nell'attività di installazione. Tenere presente che questo metodo di installazione comporta un carico significativo per i dispositivi che operano come punti di distribuzione. Pertanto, si consiglia di selezionare i dispositivi che soddisfano i requisiti per i punti di distribuzione. Se si utilizzano punti di distribuzione, è necessario assicurarsi che siano presenti in ciascuna delle subnet isolate che ospitano i dispositivi di destinazione.

L'utilizzo dei punti di distribuzione come centri di installazione locali può anche essere utile durante l'installazione nei dispositivi in subnet che comunicano con Administration Server tramite un canale con una capacità limitata, mentre è disponibile un canale con una maggiore capacità tra i dispositivi nella stessa subnet.

Lo spazio libero su disco nella partizione con la cartella %ALLUSERSPROFILE%\Application Data\KasperskyLab\adminkit deve superare, di diverse volte, le dimensioni totali dei pacchetti di distribuzione delle applicazioni installate.

Esecuzione di pacchetti indipendenti creati tramite Kaspersky Security Center

I metodi descritti in precedenza per la distribuzione iniziale di Network Agent e delle altre applicazioni non possono essere sempre implementati perché non è possibile soddisfare tutte le condizioni applicabili. In tali casi, è possibile creare un comune file eseguibile denominato pacchetto di installazione indipendente tramite Kaspersky Security Center, utilizzando i pacchetti di installazione con le impostazioni di installazione appropriate che sono stati preparati dall'amministratore. Il pacchetto di installazione indipendente è archiviato nella cartella condivisa di Kaspersky Security Center.

È possibile utilizzare Kaspersky Security Center per inviare agli utenti selezionati un messaggio e-mail che contiene un collegamento a questo file nella cartella condivisa, richiedendo loro di eseguire il file (in modalità interattiva o con l'opzione "-s" per l'installazione automatica). È possibile allegare il pacchetto di installazione indipendente a un messaggio e-mail e quindi inviarlo agli utenti dei dispositivi che non hanno accesso alla cartella condivisa di Kaspersky Security Center. L'amministratore può anche copiare il pacchetto indipendente in un'unità rimovibile, trasferirlo in un dispositivo appropriato e quindi eseguirlo in un secondo momento.

È possibile creare un pacchetto indipendente da un pacchetto di Network Agent, un pacchetto di un'altra applicazione (ad esempio, l'applicazione di protezione) o entrambi. Se il pacchetto indipendente è stato creato da Network Agent e un'altra applicazione, l'installazione inizia da Network Agent.

Durante la creazione di un pacchetto indipendente con Network Agent, è possibile specificare il gruppo di amministrazione nel quale verranno automaticamente spostati i nuovi dispositivi (quelli che non sono stati allocati ad alcun gruppo di amministrazione) al termine dell'installazione di Network Agent.

I pacchetti indipendenti possono essere eseguiti in modalità interattiva (per impostazione predefinita), visualizzando il risultato dell'installazione delle applicazioni che contengono, o possono essere eseguiti in modalità automatica (con l'opzione "-s"). La modalità automatica può essere utilizzata per l'installazione tramite script, ad esempio script configurati per l'esecuzione dopo la distribuzione dell'immagine di un sistema operativo. Il risultato dell'installazione in modalità automatica è determinato dal codice restituito del processo.

Opzioni per l'installazione manuale delle applicazioni

Gli amministratori o gli utenti esperti possono installare manualmente le applicazioni in modalità interattiva. Possono utilizzare i pacchetti di distribuzione originali o pacchetti di installazione generati da questi ultimi e archiviati nella cartella condivisa di Kaspersky Security Center. Per impostazione predefinita, i programmi di installazione vengono eseguiti in modalità interattiva e richiedono agli utenti tutti i valori richiesti. Tuttavia, eseguendo il processo setup.exe dalla radice di un pacchetto di installazione con l'opzione "-s", il programma di installazione verrà eseguito in modalità automatica e con le impostazioni che sono state definite durante la configurazione del pacchetto di installazione.

Quando si esegue setup.exe dalla radice di un pacchetto di installazione archiviato nella cartella condivisa di Kaspersky Security Center, il pacchetto sarà prima copiato in una cartella locale temporanea e quindi sarà eseguito il programma di installazione dell'applicazione dalla cartella locale.

Creazione di un file MST

Per trasformare il contenuto di un pacchetto MSI e applicare le impostazioni personalizzate a un file MSI esistente, è necessario creare un file di trasformazione in formato MST. A tale scopo, utilizzare l'editor Orca.exe, incluso in Windows SDK.

Per creare un file MST:

1. Eseguire l'editor Orca.exe.
2. Passare alla scheda File e nel menu fare clic su Apri.
3. Selezionare il file Kaspersky Network Agent.msi.
4. Passare alla scheda Trasformazione e nel menu selezionare Nuova trasformazione.
5. Nella colonna Tabelle selezionare Proprietà e scrivere i seguenti valori:
   • EULA=1
   • SERVERADDRESS=<Indirizzo di Administration Server>

   Fare clic sul pulsante Salva.

6. Passare alla scheda Trasforma e nel menu selezionare Genera trasformazione.
7. Nella finestra visualizzata, specificare un nome per il file di trasformazione creato, quindi fare clic sul pulsante Salva.

Il file MST viene salvato.