Re: [請益] GPO派送bat安裝失效

[aeolus0829 (阿洽)]

這不是 gpo 沒派送成功的問題

※ 引述《Neet (尼特)》之銘言：
: 最近因為要導一些軟體所以用bat來做GPO派送
: bat手動點了是可以正常執行的
你是最高權限吧？而你在點兩下的時候，系統是以你的環境參數來做

所以你測試成功不代表使用者一定也能成功

最簡單的方去：隨便用一個一般使用者，用他的權限去執行安裝

可以 -> 表示你的安裝不會動到系統資料匣，像是 windows / program files
不行 -> 你的安裝是放到系統資料匣 那就需要昇權限了

安裝要把它看成
解壓縮
把檔案放到指定位置，像是 windows\system32
註冊 dll 檔
註冊 registry
這些事情都需要權限，而且大多需要系統管理員權限

: 但因為電腦都有降權限，
: 目前觀察到部分沒降權限的電腦就能正常利用派送到的bat安裝
: 已經降了的電腦就變成有派但裝失敗
如上所述，是權限問題造成

: bat內容大概是 \\servername\Software\setup.exe 這樣
: GPO設成 \\servername\deploy\install.bat 像這樣
: 看log或gpresult都是有派送紀錄
: AD則是用Windows Server 2016
: 安裝失敗的機器Win 7/Win 10都有
: 請教各位先進該如何解決，謝謝！
派送老實說我現在也沒在做

古早以前要管 200 台電腦時，是用 ad + gpo + .msi 檔進行派送

(.msi 檔是現成的，自己包又是另外一個麻煩，請google "gpo .msi 派送")

電腦大多也是有降權限，以前一個星期要重灌 4 ~ 8 台的 windows xp 吧...

做派送是比較有意義的


不過目前只管 50 台電腦，而且使用者不太有變動需求，一年可能不用重裝一台 win7

就一台一台裝還比較省心點


ps. 為什麼我一直堅持要用 .msi 檔？

因為 .msi 檔透過 gpo 派送時才不會有權限問題，原理我沒研究，推測 .msi 在安裝時

是用高權限帳號像是 system 或 trust installer

但 setup.exe 要安裝時，windows 會檢查你有沒有權限可以安裝，如果沒有，會要你輸

入高權限的帳號密碼才能安裝



--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.20.129.1
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1517467472.A.3DC.html
※ 編輯: aeolus0829 (211.20.129.1), 02/01/2018 14:53:11
→ PlayStation3: 長知識了
推 eric00169: msi是trust installer我沒記錯的話
推 kugga: 這件事之前有研究過 後來找方向到用psexec寫在批次裡應該可
→ kugga: 以作
推 SWU: psexec還是需要一台主機把指令派出去，數量多效益很差。
→ SWU: 如果讓user自己執行，又會有管理者帳密外洩的疑慮。
推 Neet: 倒是我要裝的軟體還沒試過包成msi，裡面要包license的話有點
→ Neet: 麻煩orz  psexec則是跟樓上說的效率不好
→ kugga: 你可以分批執行吧....不用全擠在同一個時間更新 不過本來就
→ kugga: 是包MSi是比較正常的作法...我家防毒軟體和監控和一堆都是
→ kugga: 這樣玩