SCCM 软件部署 - 用户需要登录，还是只需要在网络上？

Question

我有几个关于使用 SCCM 在 Windows 笔记本电脑上为用户部署软件的问题：

1. 用户是否需要登录到目标笔记本电脑，或者它在公司网络上就足够了？
2. 或者目标笔记本电脑只是在线就足够了？意思是，不一定在公司域上，但可能在用户家庭网络上（适用于在家工作的用户）。这可能需要在用户笔记本电脑上运行某种组件，但 SCCM 是否提供此功能？

Answer 1

1. 用户是否需要登录到目标笔记本电脑，或者它在公司网络上就足够了？

通常，答案是否定的，用户不需要登录，唯一的例外是，如果在应用程序模型中，您在此实例中使用的部署类型需要用户在场（部署类型 - 用户体验 - 登录要求）。我对 Package-Program 模型不是很熟悉，但我相信它没有能力做出这种区分。

软件部署所需的只是 SCCM 客户端可以成功拉取机器策略，通过 BITS 将内容从分发点下载到本地 ccmcache，有一个可操作的服务窗口（维护窗口或过期的截止日期）并离开你走。

客户端需要通过 HTTP 和 HTTPS 访问管理点和分发点。对于软件更新（即 SUP/WSUS），如果您使用备用端口，则需要 HTTP/HTTPS 或 8530/8531。

有关详细信息，请参见此处。

您还需要分配适当的边界组和分发点。当然，您还需要新的 DNS 记录和从客户端到相关 MP 和 DP 的网络路径。通常，如果您的笔记本电脑进入并在公司网络上停留的时间足够长以“正常化”，则无需对 SCCM 基础架构进行任何额外配置就可以了。

2. 或者目标笔记本电脑只是在线就足够了？意思是，不一定在公司域上，但可能在用户家庭网络上（适用于在家工作的用户）。这可能需要在用户笔记本电脑上运行某种组件，但 SCCM 是否提供此功能？

如果没有一些工作，这将行不通。:)

您正在寻找的功能称为基于 Internet 的客户端管理，简而言之，这意味着您设置或利用 PKI 层次结构，以便您的 SCCM 客户端可以在其 HTTPS 协商中进行客户端身份验证，配置您的管理点、分发点/ s 和软件更新点以使用 HTTPS 并使 MP 和 DP 可用于 DMZ 中的 Internet。

客户端将能够知道他们何时脱离网络，并将利用他们必须尝试访问基于 Internet 的 MP 和 DP 的任何连接。SCCM 完全是一种拉式技术，因此只要您的客户端可以访问这些服务器和端口，他们就可以获取更新并将状态消息发回。真他妈的甜。

这是一个需要设置的 PiTA，尤其是让证书正确，因为 IBCM 需要特定的 OID，但是当它全部完成时它非常整洁。

我建议使用无 SQL Server 副本的场景 3，以在安全性和复杂性之间进行一般权衡，但显然您的需求会因您的组织而异。