【正文】 當(dāng)一個(gè)管理員啟動(dòng)一個(gè)會(huì)話進(jìn)程時(shí)，在 Systems Management Server Administrator 計(jì)算機(jī)和被選中的客戶端計(jì)算機(jī)上都將出現(xiàn)遠(yuǎn)程對話窗口。 遠(yuǎn)程訪問 管理員日常工作中有大量工作是對桌面系統(tǒng)的使用問題或故障提供技術(shù)支持， SCCM 提供了一系列的信息技術(shù)支持工具讓管理員進(jìn)行遠(yuǎn)程訪問， 提高支持效率，降低工作負(fù)擔(dān)。而軟件包的實(shí)際安裝則可被安排在非高峰時(shí)段分別針對全球范圍內(nèi)的每個(gè)辦公機(jī)構(gòu)執(zhí)行。軟件包還可在允許最終用戶干預(yù)或無需最終用戶干預(yù)的情況下實(shí)現(xiàn)部署，而任何 IT 支持人員均不必親 身前往目標(biāo)系統(tǒng)。每個(gè)底層報(bào)告均可為管理人員提供更多詳細(xì)信息，直到關(guān)于單個(gè)計(jì)算機(jī)或用戶的完整目錄信息 被全部顯示出來。 SCCM借助 WMI提供內(nèi)容盡可能豐富的系統(tǒng)數(shù)據(jù)集（包含 BIOS、主板和封裝數(shù)據(jù)）。各種各樣的報(bào)告將基于結(jié)果數(shù)據(jù)生成，以幫助組織機(jī)構(gòu)制定軟件升級計(jì)劃，跟蹤計(jì)算機(jī)與軟件資產(chǎn)，或檢查軟件許可證的有效性。 除此之外，你還可以配置其他選項(xiàng)，例如自動(dòng)更新檢測頻率、允許自動(dòng)更新立即安裝等等。例如，他們可以選擇自己的計(jì)劃安裝時(shí)間 ，但是不允許本地管理員禁用自動(dòng)更新。 ? 自動(dòng)下載并計(jì)劃安裝。必須設(shè)置為已啟用，然后選擇以下方式之一： ? 通知下載并通知安裝。當(dāng)你部署組策略用于自動(dòng)更新后，客戶端計(jì)算機(jī)上控制面板中的自動(dòng)更新就會(huì)失效。對于這種情況，你應(yīng)該批準(zhǔn)此取代更新進(jìn)行檢測，然后觀察此取代更新檢測后的狀態(tài)，看客戶端計(jì)算機(jī)是否需要此取代更新，然后再根據(jù)情況進(jìn)行批準(zhǔn)安裝操作。某個(gè)更新可能會(huì)取代另外一個(gè)更新，也可能被另外一個(gè)更新所取代。 另外，你可以選擇自動(dòng)批準(zhǔn)更新的最新修訂，這也是默認(rèn)選項(xiàng)。在此狀態(tài)下， WSUS 服務(wù)器不會(huì)對更新程序進(jìn)行任何操作，客戶端計(jì)算機(jī)也不能對此更 新進(jìn)行檢測或安裝，你必須手動(dòng)批準(zhǔn)更新進(jìn)行安裝或檢測。此選項(xiàng)只有更新支持刪除時(shí)才會(huì)出現(xiàn)。 拒絕更新 此選項(xiàng)只是存在于更新頁面的更新任務(wù)列表中。當(dāng)你使用此方式，你可以指定更新程序在客戶端計(jì)算機(jī)上安裝的日期和時(shí)間，此設(shè)置會(huì)覆蓋客戶端計(jì)算機(jī)上的任何設(shè)置。 安裝 批準(zhǔn)更新在批準(zhǔn)更新對話框所指定的計(jì)算機(jī)組中進(jìn)行安裝。但是， WSUS會(huì)在批準(zhǔn)更新對話框上所應(yīng)用到的計(jì)算機(jī)組上進(jìn)行檢測，以確定此更新是否適合客戶端計(jì)算機(jī)或者客戶端計(jì)算機(jī)是否需要。如果你修改了客戶端計(jì)算機(jī)更新的 WSUS服務(wù)器，那么此客戶端計(jì)算機(jī)將終止和原有 WSUS服務(wù)器的通訊，但是此客戶端計(jì)算機(jī)對象還會(huì)存在于原 WSUS 服務(wù)器的計(jì)算機(jī)列表中，只是同時(shí)會(huì)列出此計(jì)算機(jī)最后一次和 WSUS服務(wù)器進(jìn)行通訊的時(shí)間，你可以手動(dòng)刪除此客戶端計(jì)算機(jī)對象。 在你可以在 WSUS 服務(wù)器上管理某個(gè)客戶端計(jì)算機(jī)之前，你必須先讓此客戶端計(jì)算機(jī)和WSUS服務(wù)器進(jìn)行通訊。下圖是根據(jù) WSUS服務(wù)器可以服務(wù)的客戶端計(jì)算機(jī)數(shù)量所提供的指導(dǎo)，單個(gè)使用推薦的硬件和數(shù)據(jù)庫軟件的 WSUS服務(wù)器可以支持最大數(shù)目為 15,000的客戶端計(jì)算機(jī)。 因?yàn)榭焖侔惭b文件必須考慮每個(gè)文件的任何可能性，所以 WSUS 服務(wù)器從 Microsoft Update 下載的快速安裝文件通常比正常的更新文件大，當(dāng)使用快速安裝文件特性時(shí)，它所 22 消耗的外部網(wǎng)絡(luò)帶寬要比正常的更新文件多。 使用快速安裝文件 快速安裝文件是一種更新分發(fā)機(jī)制，你可以通過使用快速安裝文件來節(jié)省你內(nèi)部網(wǎng)絡(luò)中的帶寬，但是卻是以增加你的外部網(wǎng)絡(luò)帶寬消耗為前提。 在鏈?zhǔn)?WSUS 服務(wù)器環(huán)境中， WSUS 自動(dòng)設(shè)置所有下游服務(wù)器使用直接連接到 Windows Update的 WSUS服務(wù)器的更新過濾選項(xiàng)，從另一方面來說，你不能在任何下游服務(wù)器上設(shè)置過濾選項(xiàng)。如果你鏈?zhǔn)?WSUS服務(wù)級數(shù)過多，那么從請 求此更新程序到完成下載之間，會(huì)經(jīng)歷較長的時(shí)延。這種方案同時(shí)節(jié)省了帶寬和 WSUS 服務(wù)器空間，因?yàn)橹挥行枰惭b的更新程序才會(huì)完全下載到 WSUS服務(wù)器。更新過程如下圖所示，這對于客戶端計(jì)算機(jī)訪問 Microsoft Update 速度比訪問 WSUS 速度快時(shí)，有較好的效果。為了進(jìn)行本地存儲(chǔ)，安裝時(shí) WSUS服務(wù)器至少需要 6G 的剩余空間來存儲(chǔ)更新文件，推薦 30G，但是根據(jù)不同的產(chǎn)品及分類同 20 步選項(xiàng)，更新文件可能會(huì)超過 30G。 更新文件，是指在計(jì)算機(jī)上安裝更新所需的實(shí)際文件。 ? 無論使用任何數(shù)據(jù)庫類型， WSUS 只支持 Windows 認(rèn)證。當(dāng)在 Windows 2020 上安裝時(shí)，如果你不愿意使用 Microsoft SQL Server，推薦使用 MSDE。建議你總 是在 Windows server 2020 上部署 WSUS服務(wù)，并且總是使用 WMSDE數(shù)據(jù)庫。WSUS不支持將多個(gè) WSUS數(shù)據(jù)庫存放在單個(gè)運(yùn)行 SQL Server的計(jì)算機(jī)上，這是因?yàn)?WSUS只能使用名為 SUSDB的數(shù)據(jù)庫名。你可以配置 WSUS服務(wù)器從 Windows Update 或者從其他 WSUS服務(wù)器中獲取更新程序，但是如果配置為從其他 WSUS服務(wù)器中獲取更新程序時(shí)，上游 WSUS服務(wù)器只把更新元數(shù)據(jù)和更新文件同步到下游 WSUS服務(wù)器中，而不包含其他的信息，例如計(jì)算機(jī)組和更新批準(zhǔn)信息。 注意：當(dāng)你修改同步選項(xiàng)中的語言選項(xiàng)時(shí)，微軟建議你立即手動(dòng)同步主服務(wù)器和復(fù)制服務(wù)器。你在主服務(wù)器上創(chuàng)建的計(jì)算機(jī)組和更新的批準(zhǔn)信息將復(fù)制到所有的復(fù)制服務(wù)器中。在部署 WSUS 之后， 只有 WSUS 服務(wù)器才從 Microsoft Update 下載更新， 而內(nèi)部桌面 端計(jì)算機(jī)則 只需 自動(dòng)訪問 政務(wù)網(wǎng)內(nèi)的 WSUS 服務(wù)器來獲取更新，就不再需要訪問外部的 Windows Update，從而節(jié)省了大量的外部網(wǎng)絡(luò)帶寬 ，為政務(wù)網(wǎng)內(nèi)的桌面終端提供及時(shí)、便捷的補(bǔ)丁更新服務(wù) 。 ? 補(bǔ)丁分級發(fā)送 對于復(fù)雜網(wǎng)絡(luò)架構(gòu)，由于網(wǎng)絡(luò)帶寬和管理策略的要求，可能需要建立補(bǔ)丁的分級分發(fā)模式， SCCM 在建立多級架構(gòu)時(shí)，可以在各級分發(fā)服務(wù)器自動(dòng)完成補(bǔ)丁的分發(fā)同步操作，優(yōu)化網(wǎng)絡(luò)帶寬使用 。該文件包含安全公告名稱和標(biāo)題以及有關(guān)特定產(chǎn)品安全更新的詳細(xì)數(shù)據(jù)，其中包括：每個(gè)更新程序包中的文件及其各個(gè)版 15 本和校驗(yàn)和、更新安裝程序包所應(yīng)用的注冊表項(xiàng)、有關(guān)哪些更新可代替其他更新的信息以及 Microsoft 知識庫中相關(guān)文章的編號等等。 ? 獲得最新補(bǔ)丁發(fā)布的消息 /獲取補(bǔ)丁來源 為了及時(shí)了解補(bǔ)丁發(fā)布情況，補(bǔ)丁管理員應(yīng)該參考完成下列工作： 在 訂閱安全公告的電子郵件通知（你可以選擇中文電子郵件通知）； 定期查閱最新的安全公告 ，及時(shí)查閱微軟安全服務(wù)信息，進(jìn)行補(bǔ)丁分發(fā)工作 ； 如果 SCCM 服務(wù)器不能連接 Inter ，需要定期下載最新的安全補(bǔ)丁列表 并 復(fù) 制 到SCCM 服務(wù)器上 ； 當(dāng)有新的安全公告發(fā)布后，評估它對 政府部門 內(nèi)部環(huán)境的影響并決定是否安裝該安全補(bǔ)?。? 若決定安裝該安全補(bǔ)丁，下載該安全補(bǔ)丁 (若該補(bǔ)丁對不同的操作系統(tǒng)有不同的文件，則不同操作系統(tǒng)的補(bǔ)丁都要下載 )并先 在 測試實(shí)驗(yàn)室中的計(jì)算機(jī)上部署 ； 該安全補(bǔ)丁通過測試后，正式部署到 政府 中所有計(jì)算機(jī) ； 檢查安全補(bǔ)丁分發(fā)結(jié)果，定期生成報(bào)表。 WSUS支持 Windows 系統(tǒng)（ Windows 2020 全系列、 Windows XP 全系列和 Windows server 2020 全系列）的更新管理外，還可以支持 SQL Server、 Exchange 2020/20 Office XP/2020 等微軟全系列產(chǎn)品 的更新管理 。在評估應(yīng)用軟件更新 對現(xiàn)有系統(tǒng)的影響后，有選擇的更新服務(wù)器應(yīng)用軟件。 服務(wù)器系統(tǒng)的 補(bǔ)丁 需要利用自動(dòng)檢測技術(shù)，通過人工的評估，再實(shí)現(xiàn)自動(dòng)分發(fā)和手工安裝。 ? 應(yīng) 用程序的 補(bǔ)丁 。 ? 系統(tǒng)自動(dòng)更新。 補(bǔ)丁管理包括兩個(gè)方面，針對桌面的補(bǔ)丁管理和針對服務(wù)器系統(tǒng)的補(bǔ)丁管理。 基于微軟的 System Center Configuration Manager 2020 (SCCM 2020) 構(gòu)建， System Center Configuration Manager（ SCCM）為基于 Microsoft Windows174。 Configuration Manager 2020 只是 System Center 系列的一部分?，F(xiàn)在 Microsoft 正在準(zhǔn)備引入新版的企業(yè)管理解決方案，該新版本采用了新功能和新名稱： System Center Configuration Manager 2020。 IT 管理員 System Center Configuration Manager 2020 來管理組織內(nèi) Windows174。完善如桌面計(jì)算機(jī)特殊軟件的申請流程、桌面計(jì)算機(jī)軟件系統(tǒng)介質(zhì)測試流程、桌面計(jì)算機(jī)硬件更換標(biāo)準(zhǔn)及流程、桌面計(jì)算機(jī)維護(hù)流程等多種滿足桌面計(jì)算機(jī)系統(tǒng)運(yùn)行管理需求的流程，以達(dá)到對桌面計(jì)算機(jī)服務(wù)體系的管理和桌面計(jì)算機(jī)標(biāo)準(zhǔn)化的目的。要求對桌面計(jì)算機(jī)用戶進(jìn)行定期培訓(xùn)，內(nèi)容根據(jù)最終用戶操作管理政策的更改及時(shí)更新。 ? 應(yīng)用系統(tǒng)集成：管理監(jiān)控系統(tǒng)針對常用的系統(tǒng)預(yù)制了 Management Pack，可以提供針對這些系統(tǒng)的管理模板。同時(shí)，還可以不斷完善、豐富知識庫內(nèi)的內(nèi)容，以提高 IT管理的水平。通過桌面計(jì)算機(jī)管理監(jiān)控系統(tǒng)的使用，可以： ? 提高系統(tǒng)管理的水平； ? 及時(shí)發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時(shí)響應(yīng)，保證關(guān)鍵系統(tǒng)的運(yùn)行，提高 IT部門的業(yè)務(wù)支持能力； ? 還可以降低 IT維護(hù)人員的工作量，減少 IT 管理人員數(shù)量的要求 通過管理監(jiān)控系統(tǒng)，具體可以實(shí)現(xiàn)以下功能： ? 系統(tǒng)、服務(wù)的實(shí)時(shí)監(jiān)控：通過對 Windows平臺(tái)和 Windows平臺(tái)上應(yīng)用系統(tǒng)的事件、健康情況、性能狀況的監(jiān)控，可以實(shí)現(xiàn)對管理范圍內(nèi)的 重要事件信息的捕獲、評估并及時(shí)呈現(xiàn)給系統(tǒng)管理員，讓系統(tǒng)管理員可以及時(shí)做出反應(yīng)，盡快解決各種潛在的隱患，不至于影響關(guān)鍵應(yīng)用的正常運(yùn)行。在管理中 心通過集中的管理監(jiān)控系統(tǒng)，還可以集中監(jiān)控、管理用于搭建桌面計(jì)算機(jī)支撐平臺(tái)的各種應(yīng)用服務(wù)器。 定位感染病毒的桌面可以通過多種手段，比如，通過網(wǎng)絡(luò)監(jiān)控設(shè)備監(jiān)控局域網(wǎng)交換機(jī)的各個(gè)端口，一旦發(fā) 現(xiàn)流量異常即進(jìn)行報(bào)警，通知管理員，也可以通過安全掃描程序，定期掃描網(wǎng)絡(luò)上的桌面系統(tǒng)狀況，如果發(fā)現(xiàn)感染某種病毒的桌面系統(tǒng)，即進(jìn)行報(bào)警，通知管理員。 安全域策略的下發(fā)前經(jīng)過測試，然后大規(guī)模部署。 網(wǎng)絡(luò)資源的訪問許可控制有兩種技術(shù)實(shí)現(xiàn)，一種是 網(wǎng)絡(luò)認(rèn)證；一種是 IPSec安全網(wǎng)域的隔離； ，其技術(shù)實(shí)現(xiàn)拓?fù)浣Y(jié)構(gòu)如下圖： 7 桌 面8 0 2 . 1 x 支 持 的 交 換 機(jī)目 錄 服 務(wù)R a d i u s 服 務(wù) 器出示計(jì)算機(jī)證書進(jìn)行通道認(rèn)證RadiusClientServer通訊目錄進(jìn)行后臺(tái)認(rèn)證網(wǎng) 線 連通出示用戶證書否則網(wǎng)線斷路 在這樣的技術(shù)方案中，需要部署 支持的網(wǎng)絡(luò)交換機(jī)，以及部署 Windows 2020服務(wù)器平臺(tái)內(nèi)置的 Radius 服務(wù)器，還包括為每臺(tái)桌面部署計(jì)算機(jī)證書，為每個(gè)用戶部署用戶證書。其技術(shù) 方案如下圖： 6 V P N 桌 面內(nèi) 部 網(wǎng) 絡(luò)隔 離 網(wǎng) 絡(luò) 資 源客 戶 端 桌 面 連 接12V P N 服 務(wù) 器 （ I S A S e r v e r ） 將 桌 面連 接 到 隔 離 的 網(wǎng) 絡(luò) 資 源 ， 只 能 訪 問有 限 服 務(wù)3運(yùn) 行 在 桌 面 的 腳 本 進(jìn)行 桌 面 配 置 的 檢 查4腳 本 發(fā) 送 “ 成 功 ”命 令 給 V P N 服 務(wù) 器 5V P N 服 務(wù) 器 將 桌 面 連 接 到內(nèi) 部 網(wǎng) 絡(luò)???? VPN接入控制在客戶端需要進(jìn)行腳本的定義和開發(fā)，可以根據(jù)安全規(guī)范的要求定義出客戶端腳本的需求。在現(xiàn)有的條件下，考慮在信息產(chǎn)業(yè)局內(nèi)部實(shí)現(xiàn)安全、高效、可控的互聯(lián)網(wǎng)訪問速度，也是重要的任務(wù)。在目前的網(wǎng)絡(luò)資源使用中，有如下突出問題需要解決： ? Inter 訪問控制； ? VPN 接入控制。主要包括有物 理層、邊緣層、網(wǎng)絡(luò)層、主機(jī)層、應(yīng)用層、數(shù)據(jù)層防御 。深度防御策略部署包括全方位的保護(hù)性措施，從外部路由器直到您資源的所在位置以及兩者之間的所有位置點(diǎn)。 4 第二章 安全 體系架構(gòu) 層次化的安全防御系統(tǒng) 建立深度防御以使安全得到最大程度保護(hù)。 ? 信息安全管理的基礎(chǔ)平臺(tái)，奠定 IT 管理和應(yīng)用服務(wù)的基礎(chǔ)，為信息化建設(shè)構(gòu)筑堅(jiān)強(qiáng)的技術(shù)架構(gòu)。 ? 桌面計(jì)算機(jī)軟硬件標(biāo)準(zhǔn)化。此外，缺乏工具對補(bǔ)丁的分發(fā)給出及時(shí)有效地分析和監(jiān)控 ； ? 提供 IT 管理相應(yīng)的手段、政策和制度。 在本文檔中 描述 了 在 廈門市政務(wù)內(nèi)網(wǎng)和外網(wǎng) 設(shè)計(jì)和部署 基于 Microsoft174。三層交換機(jī)、路由器和核心政務(wù)網(wǎng)之間做靜態(tài)路由，從而使各業(yè)務(wù)部門系統(tǒng)數(shù)據(jù)運(yùn)行在一條專用通 道上，在網(wǎng)絡(luò)層上為各業(yè)務(wù)部門內(nèi)部的各種應(yīng)用系統(tǒng)提供一個(gè)安全、保密的運(yùn)行環(huán)境。 廈門市 政務(wù)信息網(wǎng)包括兩個(gè)獨(dú)立的網(wǎng)絡(luò)系統(tǒng) —— 內(nèi)網(wǎng)和外網(wǎng)。為了滿足安全需求，贏得挑戰(zhàn)， 必須建立完善的安全體系架構(gòu)，以適應(yīng)迅速發(fā)展的業(yè)務(wù)需求與技術(shù)要求。 System Center Configuration Mana