Основной режим и интернет-управление клиентами имеют несколько необходимых условий, несоблюдение которых может привести к многочисленным неполадкам и ошибкам. Перед выяснением причин конкретных ошибок убедитесь, что выполнены все эти условия.

Решение

При использовании службы сертификатов Active Directory с Windows Server 2008, не используйте шаблоны версии 3. Использование данных шаблонов сертификатов приводит к созданию сертификатов, не совместимых с Configuration Manager. Например, в результате использования шаблона сертификата версии 3 для запроса сертификата для подписи сервера сайта появляется сообщение о состоянии 5115, отправляемое компонентом SMS_POLICY_PROVIDER при попытке подписи политик сайта вместо сообщения об успешном состоянии 5116. Дополнительные сведения о подтверждении успешного использования сертификата подписи сервера сайта см. в разделе Проверка завершения миграции в основной режим.

Консоль шаблонов сертификата Windows Server 2008 распознает шаблоны версии 3, ссылаясь на столбец Минимально поддерживаемые ЦС. Шаблоны версии 3 отображаются в этом столбце как Windows Server 2008. При копировании существующего шаблона сертификата предлагается выбрать версию шаблона, при этом шаблоны версии 3 отображаются как Windows Server 2008, Enterprise Edition. По умолчанию копии шаблонов являются шаблонами версии 2 (параметр Windows Server 2003, Enterprise Edition), совместимый с основным режимом Configuration Manager.

Решение

Следующие отчеты не отображают каких-либо сведений о клиенте до тех пор, пока клиент не запустил инструмент готовности Configuration Manager к работе в основном режиме

• Клиенты, не имеющие возможность работать в основном режиме
  
  
• Сводные сведения о клиентах, имеющих возможность работать в основном режиме
  
  

Решение

Некоторые или все клиенты, назначенные сайту Configuration Manager 2007, прекратили получать политики и не отправляют данные инвентаризации на сайт после миграции в основной режим по одной или нескольким перечисленным далее причинам:

• Необходимые условия основного режима не соблюдены.
  
  
• Неполадки с сертификатами препятствуют обмену данными.
  
  
• Клиенты не получили инструкции переключиться в основной режим связи.
  
  
• Миграция еще не завершена.
  
  

Решение

При настройке любых из параметров, указанных на вкладке Свойства сайта: Режим сайта, они публикуются в доменных службах Active Directory и используются во время принудительной установки клиента. Чтобы настроить основной режим клиента при помощи данных параметров после их установки, необходимо выполнить следующие условия:

• Расширить схему Active Directory для Configuration Manager 2007.
  
  
• Сайт успешно опубликовывается в доменных службах Active Directory.
  
  
• Клиенты принадлежат одному лесу Active Directory.
  
  
• Клиенты не настроены только для интернет-управления
  
  

Решение

В основном режиме при настройке точки управления балансировкой сетевой нагрузки (NLB) необходимо использовать полное доменное имя (FQDN), а клиенты основного режима должны быть в состоянии обнаружить это полное доменное имя в доменных службах Active Directory или же найти точку обнаружения серверов.

Решение

Клиенты не могут установить связь с точкой управления балансировкой сетевой нагрузки основного режима в случае отсутствия сертификатов инфраструктуры открытого ключа (РКI) или неверной конфигурации точки управления балансировкой сетевой нагрузки.

Решение

Каждый сервер системы сайта в точке управления балансировкой сетевой нагрузки должен иметь сертификат PKI, содержащий полное доменное имя точки управления балансировкой сетевой нагрузки и имя сервера системы сайта. Дополнительные сведения о требованиях к сертификату см. в разделе "Точки управления балансировкой сетевой нагрузки или Точки обновления программного обеспечения балансировки сетевой нагрузки" раздела Требования к сертификатам для работы в основном режиме.

Примечание
Сведения об указании нескольких имен в поле "Дополнительное имя субъекта" см. в статье Как запросить сертификат с альтернативным именем субъекта (http://go.microsoft.com/fwlink/?LinkId=189292).

Если клиент Configuration Manager 2007 использует новый сертификат для подписи сервера сайта, который связан не с тем корневым сертификатом, который использовался с предыдущим сертификатом для подписи сервера сайта, клиент не примет новый сертификат для подписи сервера сайта при получении политик, подписанных новым сертификатом.

Этой происходит в случае, если корневой сертификат для подписи сервера сайта изменен с точки зрения клиента, например, при следующих обстоятельствах:

• Если пользователь переместит клиент Configuration Manager 2007 из одной иерархии Configuration Manager 2007 в другую (например, при слиянии компаний).
  
  
• Если пользователь настроил сайт для использования нового сертификата подписи сервера сайта из другого корневого центра сертификации, чем тот, который выдал предыдущий сертификат подписи сервера сайта.
  
  
• Пользователь обновил корневой сертификат при помощи новой пары ключей, а затем выдал новый сертификат подписи сервера сайта.
  
  

Такое поведение обеспечивает защиту безопасности относительно клиентов, принимающих новый сертификат подписи сервера сайта из скомпрометированной точки управления. В этом сценарии клиенты не будут пытаться загрузить новый сертификат подписи сервера сайта и отклонят загруженную политику, отправив ошибку на точку управления, чтобы предупредить администратора о неуспешной авторизации политики.

Решение

Когда Configuration Manager 2007 работает в основном режиме, клиенты устанавливают связь с сайтом при помощи сертификата инфраструктуры открытого ключа (PKI), который в состоянии проверить подлинность клиента. По умолчанию, если Configuration Manager 2007 обнаруживает несколько действительных клиентов для связи, он не пытается установить связь с точкой управления по умолчанию и будет оставаться без управления.

Наличие нескольких сертификатов на компьютере можно подтвердить при помощи оснастки диспетчера сертификатов Windows на клиенте или при помощи отчетов Configuration Manager 2007, если клиенты назначены резервной точке состояния. Дополнительные сведения см. в разделе Об отчетах о клиентах Configuration Manager.

Решение

Существуют различные решения данной проблемы в зависимости от конкретных требований пользователя по отношению к использованию нескольких сертификатов. Следующая таблица используется для идентификации правильной последовательности действий в зависимости от конкретных требований.

Требование	Решение
Необходимо наличие нескольких сертификатов на компьютере, а клиент Configuration Manager 2007 должен выбрать необходимый сертификат, чтобы установить связь с Configuration Manager 2007 в основном режиме.	Настройте критерии выбора сертификата: Задание критериев выбора сертификата клиента
Наличие нескольких сертификатов не является необходимым на компьютере (например, они являются результатом тестового размещения сертификата или они больше не требуются для данной конкретной цели).	Удалите ненужные сертификаты только после того как убедитесь в том, что они не требуются. Важно! Если пользователь сомневается в необходимости сертификатов, необходимо создать резервную копию перед тем, как экспортировать сертификаты, а затем надежно сохранить их. После этого в локальном хранилище сертификатов остается только один действительный сертификат клиента, который будет использоваться компьютером для установки связи с Configuration Manager 2007 в основном режиме.
Не имеет значения, какой сертификат используется для установки связи с Configuration Manager 2007 в основном режиме.	Настройте клиент так, чтобы выбрать любой действительный сертификат, который в состоянии проверить подлинность клиента. Кроме того, в Configuration Manager 2007 с пакетом обновления 1 (SP1) и более поздних версий выбран сертификат с самым продолжительным периодом действия, что необходимо при использовании защиты доступа к сети с принудительным применением протокола IPsec. Примечание Это поможет установить связь в основном режиме, но является менее надежной конфигурацией, чем указание критериев выбора сертификата, поскольку сервер системы сайта в основном режиме может не доверять сертификату клиента. Дополнительные сведения: Задание критериев выбора сертификата клиента

Необходимо правильно настроить внешние или внутренние брандмауэры, чтобы они пропускали трафик между интернет-клиентами и интернет-системами сайтов.

Решение

Примечание
Данная неполадка решается при помощи клиента Configuration Manager 2007 SP1.

Клиент Configuration Manager 2007, который получает доступ к интернет-сайту при помощи прокси-сервера, не собирает динамически сведения о таких изменениях настройки прокси-сервера, как имя или изменения в учетных данных.

Новые подробные сведения о прокси-сервере будут использоваться тогда, когда клиент Configuration Manager 2007 определит сетевые изменения или будет перезапущен. Таким образом, пользователь сможет увидеть данный сценарий только для интернет-клиента.

Решение

В Windows XP и Windows Server 2003, вкладка клиента Configuration Manager 2007 Интернет в Configuration Manager отображает параметры настройки в разделе Параметры прокси, доступные только для чтения. Однако на компьютерах, использующих Windows Vista, настроенные параметры не отображаются даже после настройки.

Решение

Если пользователь удалит настроенную клиентом интернет-точку управления во время нахождения клиента в Интернете, не заменив ее другой интернет-точкой управления, клиент не сможет установить связь с точкой управления по умолчанию и будет оставаться неуправляемым до перезапуска службы клиента (SMS Agent Host).

Решение

Объявления невозможно запустить через Интернет при использовании функции интернет-управления клиентами. Однако через Интернет можно успешно использовать другие функции, например инвентаризацию оборудования и обновления программного обеспечения.

Решение

Основные понятия

Другие ресурсы