作者aeolus0829 (阿洽)
看板MIS
标题Re: [请益] GPO派送bat安装失效
时间Thu Feb 1 14:44:28 2018
这不是 gpo 没派送成功的问题
※ 引述《Neet (尼特)》之铭言：
: 最近因为要导一些软体所以用bat来做GPO派送
: bat手动点了是可以正常执行的
你是最高权限吧？而你在点两下的时候，系统是以你的环境参数来做
所以你测试成功不代表使用者一定也能成功
最简单的方去：随便用一个一般使用者，用他的权限去执行安装
可以 -> 表示你的安装不会动到系统资料匣，像是 windows / program files
不行 -> 你的安装是放到系统资料匣 那就需要昇权限了
安装要把它看成
解压缩
把档案放到指定位置，像是 windows\system32
注册 dll 档
注册 registry
这些事情都需要权限，而且大多需要系统管理员权限
: 但因为电脑都有降权限，
: 目前观察到部分没降权限的电脑就能正常利用派送到的bat安装
: 已经降了的电脑就变成有派但装失败
如上所述，是权限问题造成
: bat内容大概是 \\servername\Software\setup.exe 这样
: GPO设成 \\servername\deploy\install.bat 像这样
: 看log或gpresult都是有派送纪录
: AD则是用Windows Server 2016
: 安装失败的机器Win 7/Win 10都有
: 请教各位先进该如何解决，谢谢！
派送老实说我现在也没在做
古早以前要管 200 台电脑时，是用 ad + gpo + .msi 档进行派送
(.msi 档是现成的，自己包又是另外一个麻烦，请google "gpo .msi 派送")
电脑大多也是有降权限，以前一个星期要重灌 4 ~ 8 台的 windows xp 吧...
做派送是比较有意义的
不过目前只管 50 台电脑，而且使用者不太有变动需求，一年可能不用重装一台 win7
就一台一台装还比较省心点
ps. 为什麽我一直坚持要用 .msi 档？
因为 .msi 档透过 gpo 派送时才不会有权限问题，原理我没研究，推测 .msi 在安装时
是用高权限帐号像是 system 或 trust installer
但 setup.exe 要安装时，windows 会检查你有没有权限可以安装，如果没有，会要你输
入高权限的帐号密码才能安装
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 211.20.129.1
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1517467472.A.3DC.html
※ 编辑: aeolus0829 (211.20.129.1), 02/01/2018 14:53:11
1F：→ PlayStation3: 长知识了 02/01 19:35
2F：推 eric00169: msi是trust installer我没记错的话 02/01 19:57
3F：推 kugga: 这件事之前有研究过 後来找方向到用psexec写在批次里应该可 02/01 20:33
4F：→ kugga: 以作 02/01 20:33
5F：推 SWU: psexec还是需要一台主机把指令派出去，数量多效益很差。 02/01 20:56
6F：→ SWU: 如果让user自己执行，又会有管理者帐密外泄的疑虑。 02/01 21:05
7F：推 Neet: 倒是我要装的软体还没试过包成msi，里面要包license的话有点 02/01 21:44
8F：→ Neet: 麻烦orz psexec则是跟楼上说的效率不好 02/01 21:45
9F：→ kugga: 你可以分批执行吧....不用全挤在同一个时间更新 不过本来就 02/01 22:26
10F：→ kugga: 是包MSi是比较正常的作法...我家防毒软体和监控和一堆都是 02/01 22:27
11F：→ kugga: 这样玩 02/01 22:27