von Dr. Christian Knermann
Mit seiner modular aufgebauten Deskcenter Management Suite tritt der gleichnamige deutsche Hersteller an, ein ganzheitliches Client- und IT-Service-Management zu realisieren. Im Fokus von Softwareverteilung und Patchmanagement stehen dabei insbesondere Endpunkte unter Windows. IT-Administrator hat sich angesehen, wie sich die vielseitige Suite in der Praxis schlägt.
Unter der Überschrift eines Unified Endpoint Managements (UEM) fasst der Anbieter Deskcenter aus Leipzig sein Portfolio für die ganzheitliche Verwaltung des IT-Betriebs zusammen. Deskcenter orientiert sich dabei an der IT Information Library (ITIL) und somit am international anerkannten De-facto-Standard im Bereich des ITService- Managements. In der größtmöglichen Ausbaustufe deckt die Management Suite entsprechend sämtliche Kernbereiche von ITIL ab. Die Suite ist modular aufgebaut, Kern des Systems bildet die Inventarisierung. Hierbei unterscheidet der Hersteller auf der einen Seite verwaltete Assets, also Endgeräte, die sich in Softwareverteilung und Patchmanagement einfügen, und auf der anderen Seite nicht-verwaltete Assets. Als einzelne Bausteine sind Verteilung von Betriebssystemen, von Software und von Patches verfügbar, jeweils lizenziert pro verwaltetem Asset. Gleiches gilt für das Lizenzmanagement sowie die Funktionen Application Metering, AppCloud und DNA-Softwarekatalog, auf die wir gleich zurückkommen werden. Den Servicedesk lizenziert Deskcenter pro Supportmitarbeiter nach dem „Concurrent Use“-Prinzip.
Sämtliche Lizenzen bietet Deskcenter wahlweise zum einmaligen Kauf zuzüglich jährlicher Kosten für Support und Wartung oder in einem Mietmodell an. In letzterem Fall sind Support und Wartung sowie der DNA-Softwarekatalog inkludiert.
Inventarisierung von Windows, macOS und linux
Im Hinblick auf Inventarisierung und Asset-Management zeigt sich Deskcenter sehr flexibel und erfasst Windows-Clients sowie die darauf installierte Software agentenlos. Das funktioniert, solange die Clients per Windows Management Instrumentation (WMI) kommunizieren. Offiziell unterstützt Deskcenter die Windows-Versionen ab Vista und Server 2008 aufwärts. Der Hersteller integriert weiterhin seit der jüngsten Version der Management Suite auch Apple macOS per „Mac Inventory“ sowie diverse Linux-Distributionen mittels einer „Script Inventory“ genannten Komponente. Beide ermitteln jeweils lokal auf den Clients Daten zu Hardware wie auch Software und schicken sie zur Weiterverarbeitung an den Deskcenter-Server.
Einen Schwerpunkt der Suite – und damit auch unseres Tests – bildet der Bereich des Softwaremanagements. Hier beschränkt sich Deskcenter allerdings auf Endpunkte unter Windows. Die Management-Suite kümmert sich um den initialen Rollout von Betriebssystem und Treibern, um Paketierung und Verteilung von Applikationen sowie das Patchmanagement. Dazu setzt die Suite auf den Clients den hauseigenen SDI-Agenten voraus. Um Windows-Updates kümmert sich Deskcenter autark, also ohne die Microsoft Windows Server Update Services (WSUS) zu benötigen. Auf Wunsch integriert sich die Suite jedoch auch mit einer bereits vorhandenen WSUS-Installation. Im Hinblick auf das Backend setzt Deskcenter ebenfalls auf Windows. Die Serverdienste nutzen als Basis einen Windows Server mit Microsoft SQL Server sowie IIS und synchronisieren Benutzersowie Computerkonten mit einem Active Directory.
Skalierbar und mandantenfähig
Die Architektur der Suite skaliert und kann sowohl organisatorisch als auch geografisch größere Organisationen abbilden (Bild 1). Den Kern des Systems bildet mindestens eine Instanz des Data Services. Sofern Mandantenfähigkeit gefordert ist, also organisatorisch selbständige Einheiten ihren IT-Betrieb teilweise oder ganz in Eigenregie verwalten wollen, können diese jeweils einen separaten Data Service nutzen, der sich einer zentralen Instanz unterordnet. Untermandanten können sich in einem solchen Aufbau nicht gegenseitig in die Karten schauen, doch der Master Data Service behält den Überblick, kann etwa zentral Lizenzen verwalten oder allen Mandanten fertig paketierte Applikationen zur Verfügung stellen.
Wenn es nur darum geht, eine verteilte Infrastruktur zu verwalten, sind zusätzliche Data Services aber nicht erforderlich. Der Data Service steuert eine oder mehrere Instanzen des Worker Services, der für das Scannen und Inventarisieren von Clients sowie die Verteilung von Software und Updates zuständig ist. Hierbei adressiert Deskcenter auch den Trend zum verteilten Arbeiten. Eine Installation des Worker Services in der DMZ und der SDI-Agenten auf den Clients vorausgesetzt, finden neue Softwarepakete und Updates auch außerhalb des Unternehmensnetzes und ohne VPN ihren Weg auf die Endpunkte.
in wenigen Stunden betriebsbereit
Im Rahmen des Tests installierten wir die Deskcenter Management Suite in unserer eigenen Infrastruktur mit einem Domaincontroller sowie einem Server für die Deskcenter-Dienste, beide unter Windows Server 2019, und Clients unter Windows 10 20H2. Weiterhin gewährte uns der Hersteller Zugang zu einer seiner Testumgebungen, sodass wir uns auch in einem größeren Umfeld einen Überblick über die Funktionen verschaffen konnten.
Die PDF-Anleitung für das Setup und eine erste Konfiguration umfasst 76 Seiten, das umfassende Benutzerhandbuch ist gar 942 Seiten stark. Wer sich an die Installation wagen möchte, sollte sich von dieser Fülle an Informationen aber nicht abschrecken lassen. Beides zeugt davon, dass der Hersteller alle Aspekte der komplexen Produkt-Suite gewissenhaft dokumentiert hat. Weiterhin unterstützt der Hersteller im Rahmen eines Proof-of-Concept (POC) die Ersteinrichtung, so auch in unserem Fall. Ein vollständiger Aufbau bis hin zum ersten Erfolgserlebnis mit der initialen Verteilung von Software an die Clients, ist in einem halben Arbeitstag geschafft. SQL Server und IIS als Basis. Unseren Domaincontroller hatten wir bereits vorbereitet, ebenso einen weiteren Server, der sämtliche Deskcenter-Dienste und die Datenbank bereitstellen sollte. Für den produktiven Betrieb empfiehlt der Hersteller mindestens die Standard-Edition des Datenbank-Servers und ab einer Anzahl von 350 Clients aufwärts auch separate Maschinen, eine für die Datenbank und eine weitere für die Deskcenter-Dienste. In unserem sehr kleinen Maßstab begnügten wir uns mit einer VM sowie der kostenfreien Express-Edition von Microsoft SQL Server 2019. Den Datenbank-Server sowie die Rolle des Webservers (IIS) mit allen nötigen Rollendiensten und Features hatten wir nach Vorgaben von Deskcenter installiert. Zudem konfigurierten wir die Windows-Firewalls auf allen Systemen entsprechend der Spezifikation von Deskcenter. Auch hier konnten wir wiederum auf die umfangreiche Dokumentation des Herstellers zurückgreifen. Die notwendigen Port-Freigaben betrafen zum einen den SQL Server, auf die nur der Deskcenter Data Service sowie das Management Studio, nicht aber die Clients Zugriff benötigen, und zum anderen die Deskcenter-Dienste.
Die Firewalls der Clients konfigurierten wir zentral per Gruppenrichtlinie, wobei sämtliche Ports und Protokolle aus den Gruppen der Datei- und Druckerfreigabe, Remotediensteverwaltung und Windows-Verwaltungsinstrumentation (WMI) nur für den Fall einer agentenlosen Inventarisierung erforderlich sind. Auf den Data Service greifen Clients mit installiertem SDI-Agenten typischerweise per TCP-Port 81 zu, benötigen diesen aber nur als Rückfalloption, falls der zuständige Worker-Service nicht verfügbar ist. Letzterer verwendet konfigurierbare TCP-Ports ab 7000 aufwärts für die TLS-verschlüsselte Kommunikation mit den Agenten.
Auf diesem Weg übermitteln die Clients ihre Inventardaten an den Worker und erhalten Software-Aufträge. Die Installationsdateien und Patches selbst rufen die Clients von in der Management-Suite als Softwareverteiler bezeichneten Punkten ab. Im einfachsten Fall handelt es sich bei einem Softwareverteiler um eine SMBFreigabe, die aber natürlich nur im internen Unternehmensnetz sinnvoll einsetzbar ist. Alternativ bezieht der Agent Software auch von Softwareverteilern, die per FTP(S), HTTP(S) oder WebDAV erreichbar sind.
Data Service, Management Studio und Webfrontend
So gerüstet konnten wir uns an die Installation der Deskcenter-Infrastruktur begeben und starteten mit dem Data Service. Dabei verlangte die Setup-Routine nach einer Lizenzdatei, die uns Deskcenter für 100 Clients sowie für alle Aspekte der Softwareverteilung zur Verfügung gestellt hatte. Dies umfasste auch die Funktionen Application Metering und AppCloud. Erstere hilft bei der Kostenoptimierung und ermittelt dazu, ob und wie lange verteilte Anwendungen genutzt werden. Das passiert im Sinne des Datenschutzes aggregiert, das System erfasst nur die Nutzungsdauer innerhalb der letzten 90 Tage ohne genauen Zeitpunkt und anonymisiert Benutzernamen dabei auf Wunsch. Bei der AppCloud handelt es sich um einen Onlinedienst, mit dem Deskcenter fertige Pakete für zahlreiche Anwendungen bereitstellt, doch dazu später mehr.
Anschließend installierten wir das Deskcenter Management Studio, die zentrale Verwaltungsoberfläche der Deskcenter Management Suite, gefolgt vom optionalen Deskcenter.Web. Diese ASP.NETWebapplikation bildet die Basis für das Servicedesk-System mitsamt Knowledge Base sowie für den Self-Service zur Installation von Anwendungen. Das Setup der Webapplikation erledigte auch gleich die Einrichtung der REST-API.
Assistent begleitet Erstkonfiguration
Nun konnten wir uns mit dem initialen Admin-Account, den wir während der Installation angelegt hatten, am Management Studio anmelden. Im Studio führte uns ein Assistent durch die insgesamt 16 Dialogschritte der Erstkonfiguration – eine umfangreiche Liste an Arbeitspunkten, teils mit weiteren Unterpunkten, an deren Ende die Management Suite dann aber auch sofort startklar war. Nach dem Willkommensfenster legten wir einen Standardbenutzer für den Fernzugriff auf die Clients fest. Auch Inventarisierung und Softwareverteilung nutzen den Kontext dieses Kontos, das dafür mindestens lokale Admin-Rechte auf den Clients benötigt.
Im folgenden Schritt legten wir einen ersten Worker Service an, dem wir alle Aufgaben von Inventarisierung über IP-Scan und AD-Sync bis hin zum Endpunkt für SDI Agenten zuwiesen. Je nach Größe einer Infrastruktur sowie logischer oder geografischer Segmentierung ermöglicht Deskcenter alternativ, die Aufgaben auf mehrere Worker Services auf unterschiedlichen Servern zu verteilen.
Daraufhin definierten wir exemplarisch zwei Zeitpläne zur stündlichen und täglichen Ausführung, wobei sich Deskcenter hier als äußerst flexibel erwies. Das System kann Aufgaben nur einmalig sowie nach minütlichen, stündlichen, täglichen, wöchentlichen oder monatlichen Intervallen ausführen. Es orientiert sich dabei wahlweise an der Weltzeit oder an der lokalen Zeit der Clients. Jede einzelne Aufgabe, etwa die Synchronisation mit Microsofts Updatekatalog, Download von Updates oder auch Patch-Scans von Clients und Servern, läuft auf Wunsch nach einem eigenen Zeitplan. Optionale Zeitfenster mit täglichem, wöchentlichem oder monatlichem Intervall geben Zeitplänen einen Rahmen, beschränken also die Ausführung auf definierte Wartungsfenster.
Umfangreicher Softwarekatalog online
Beim optionalen DNA-Katalog handelt es sich um eine Onlinedatenbank, die der Management-Suite dabei hilft, auf den Clients installierte Software für die Inventarisierung, das Lizenzmanagement sowie auch das Patchmanagement zu identifizieren. Nach Angaben von Deskcenter kennt die Datenbank 1,5 Millionen Fingerabdrücke einzelner Dateien, die zu 400.000 Produkten von 16.000 Herstellern gehören. Um diese Option zu aktivieren, mussten wir einen der zuvor erstellten Zeitpläne zuordnen und entschieden uns für die Aktualisierung des Katalogs einmal am Tag.
Der folgende Dialogschritt forderte uns auf, eine oder mehrere Inventory-Gruppen anzulegen. Mindestens eine solche Gruppe muss existieren, da die Management-Suite alle erfassten Systeme automatisch einer Gruppe zuordnet. Warum kann es mehrere Gruppen geben? Die Inventory-Gruppe bestimmt, welche Methode für die Inventarisierung zum Einsatz kommt, entweder die agentenlose Erfassung per Worker-Service und WMI oder der SDIAgent. In beiden Fällen durften wir abweichend vom globalen Standardbenutzer auch Anmeldeinformationen eines anderen Kontos mitgeben. Das ist praktisch, um auch Clients zu berücksichtigen, die nicht der AD-Domäne angehören.
Weiterhin erwähnenswert ist die Option „Monitore als Asset anlegen“. Damit erfasst die Inventarisierung am Client zusätzlich angeschlossene externe Monitore auf Wunsch im Asset-Management. Der Dateiscan legt fest, in welchen Verzeichnissen Deskcenter nach installierter Software suchen soll und erlaubt Ein- sowie Ausschlüsse.
Im Zuge der Inventarisierung kann Deskcenter beliebige weitere Aktionen als Skript im System- oder Benutzerkontext auf den Clients ausführen. Ein solches Skript durften wir als VisualBasic-, C#-, PowerShell- oder Batch-Code mitgeben.
Für Clients mit installiertem SDI-Agenten verwendet die Management-Suite separate Gruppen. Eine solche Gruppe legt etwa fest, ob der lokale Agent das optionale Benutzermodul lädt, also die Endanwender über anstehende Installationen informiert, oder komplett versteckt im Hintergrund abläuft. Weiterhin weist die Gruppe den Agenten jeweils eine oder mehrere Worker-Service-Instanzen zu. Das ist nützlich für große Infrastrukturen, sodass sich Clients nur zu Worker-Services in ihrer Nähe verbinden.
Weiter ging es mit dem Softwareverteiler, wo wir unsere zuvor erstellte SMB-Freigabe konfigurierten. An dieser Stelle konnten wir auch eine alternative Verbindung via FTP(S), HTTP(S) oder Web-DAV angeben. Eine dritte Art von Gruppen, genannt Softwaregruppen, weist den Clients die Softwareverteiler zu.
Zahlreiche Methoden der Inventarisierung
Die weiteren Punkte der Erstkonfiguration dienen der Management-Suite dazu, die umgebende IT-Infrastruktur möglichst vollständig zu erfassen. Ein IP-Scan sucht nach Zeitplan in definierten Subnetzen nach zu inventarisierenden Endpunkten. Zudem synchronisiert das System Benutzer- und Computerkonten mit einem Active Directory, auf Wunsch auch nur mit einer bestimmten OU.
Weiterhin liest Deskcenter auch Hosts sowie VMs aus Virtualisierungsinfrastrukturen ein und versteht sich dabei mit VMware ESX/vCenter, Microsoft Hyper-V und Xen-kompatiblen Lösungen. Als weitere Quelle bedient sich Deskcenter eines Microsoft-DHCP-Servers, um vergebene IP-Adressen zu ermitteln. Zu guter Letzt durften wir eine oder mehrere SMTP-Konfigurationen hinterlegen, sodass die Management Suite auch Informationen per E-Mail verschicken kann.
Komplexität gut strukturiert
Damit war die Grundkonfiguration vollständig und wir konnten uns dem gut strukturierten Management-Studio widmen, das den komplexen Funktionsumfang in logisch nachvollziehbare und nach kurzer Einarbeitung beherrschbare Bereiche unterteilt. Die Hauptnavigation findet sich horizontal angeordnet am unteren Bildrand, was am oberen Rand Platz schafft für eine pro Bereich spezifische Icon-Leiste. Alle zuvor im Assistenten getroffenen Entscheidungen konnten wir nachträglich im Bereich „Konfigurationen“ anpassen. Hier durften wir auch SNMP-Gruppen mitsamt Version und Community anlegen, um SNMP-fähige Endpunkte, wie Drucker und IP-Telefone, zu inventarisieren.
Im Bereich „Infrastruktur“ wusste die Management-Suite positiv zu überraschen mit der Fülle an Informationen über unsere Umgebung, die Deskcenter automatisch ermittelt hatte. So hatte das System alle unsere im AD vorhandenen Benutzer und Computer eingelesen, auf Virtualisierungshosts sowohl unter Hyper-V als auch unter dem Xen- Abkömmling XCP-NG vorhandene VMs und mittels IP-Scan auch nicht im AD repräsentierte Netzwerkdrucker gefunden. Alle Objekte wurden damit auch im Bereich Organisation und im Asset-Management nutzbar. Dabei durften wir konfigurieren, welche Attribute aus dem AD welchen in der Deskcenter-Datenbank entsprechen. Auf Wunsch synchronisiert Deskcenter nur in eine Richtung oder auch bidirektional, sodass Informationen etwa zu Abteilung oder Standort eines Benutzers nur an einer Stelle zu pflegen sind. Da wir diese Felder bereits im AD gefüllt hatten, war unsere Organisation in Deskcenter schnell abgebildet. Welche Software auf unseren Clients installiert war, hatte Deskcenter per WMI ermittelt. Lediglich Anzahl vorhandener Lizenzen mussten wir im Bereich des Lizenzmanagements noch eintragen.
Neuinstallation nach Maß
Auch die komplette Neuinstallation eines Clients gibt keine Rätsel auf. Für die Installation verwendet Deskcenter das gängige PXE-Verfahren und installiert dazu einen PXE-Dienst mit auf dem Worker Service. Den finden die Clients auf den üblichen Wegen per DHCP-Option oder IP-Helper. Sollte beides nicht möglich sein, hilft alternativ ein ISO-Bootimage.
Vorgefertigte Pakete aus der AppCloud
Nachdem wir unsere Clients mit dem SDIAgenten ausgestattet hatten, konnten wir uns endlich der Installation von Anwendungen im Bereich „Softwaremanagement“ zuwenden. Auch hier zeigte die Deskcenter Management Suite, dass sie auf die Anforderungen größerer Umgebungen zielt. Die kleinste Einheit ist ein Softwarepaket. Dabei handelt es sich jeweils um eine einzelne Installationsroutine, also eine EXE- oder MSIDatei mitsamt Installationsbefehl zur unbeaufsichtigten Installation. Sollte kein Installer mit entsprechendem Parameter verfügbar sein, bietet Deskcenter optional das Lizenzieren des Package-Studios an, welches beim Bauen eines Installationspakets unterstützt. Ein oder mehrere solcher Pakete bilden eine Zusammenstellung, die etwa 32- und 64-Bit-Varianten einer Applikation zusammenfasst. Software-Bundles schnüren wiederum mehrere Zusammenstellungen zu größeren Einheiten.
Wie genau das Ganze praktisch funktioniert, konnten wir an Beispielen aus dem Katalog der „AppCloud Produkte“ nachvollziehen (Bild 3). Hier fanden wir zahlreiche fertige Pakete für Software. Pro Eintrag aus diesem Katalog konnten wir eine Zusammenstellung in unserem System erzeugen, den gewünschten Softwareverteiler wählen und auch festlegen, ob die Software zunächst nur an eine Testgruppe gehen oder als Release sofort in die Produktion übernommen werden soll. Sobald wir mittels der Softwareregel-Gruppen Clients und Zusammenstellungen einander zugeordnet hatten, konnten wir uns davon überzeugen, dass Deskcenter entsprechende Softwareaufträge erzeugte und die Software auf unsere Zielcomputer ausbrachte.
Installation nach grafischem Ablaufplan
Für komplexere Anwendungsfälle konnten wir Zusammenstellungen bearbeiten und nach unseren Wünschen anpassen. Eine besondere Stärke von Deskcenter ist dabei der Ausführungsplan, der in Form eines grafischen Editors den Verlauf einer Installation steuert. So fragt die vorgefertigte Zusammenstellung des beliebten Quellcode-Editors Visual Studio Code zunächst die Architektur des Clients ab und installiert dann passend dazu wahlweise das 32- oder 64-Bit-Setup. Einen solchen Ausführungsplan konnten wir nahezu beliebig erweitern, etwa vorab Speicherplatz oder RAMAusstattung des Zielcomputers prüfen, vor oder nach der Installation Registrierungsschlüssel sowie Ordner und Dateien lesen und auch schreiben.
Der Editor schlägt auch die Brücke zu den anderen Bereichen der Management Suite. So prüfen Lizenzaktionen vorab, ob überhaupt eine Lizenz frei ist, und ordnen diese nach erfolgreicher Installation automatisch zu. Sollte eine Installation fehlschlagen, erzeugt der Ausführungsplan auf Wunsch auch gleich ein Ticket für den Helpdesk (Bild 4).
Umgekehrt bietet das Webfrontend des Helpdesk Endanwendern eine Self-Service-Funktion, mit der sie Software zur Installation bestellen können. Voraussetzung dafür ist, dass sie im Asset-Management als Hauptbenutzer des Zielsystems eingetragen sind. Softwareaufträge, die nicht vollautomatisch durchlaufen, weil es sich etwa um kostenpflichtige Software handelt, müssen derzeit allerdings von einem IT-Mitarbeiter freigegeben werden. Erst eine kommende Version soll laut Hersteller auch Freigabeprozesse für Vorgesetzte mitbringen.
Im Bereich der „Patches“ bedient sich Deskcenter Microsofts Windows-Update-Katalog und lädt die von den Endpunkten benötigten Patches herunter. Über Art und Weise der Verteilung bestimmen „Patchgruppen“, die den Installationszeitpunkt festlegen und auch, ob Benutzer die Installation verschieben dürfen. Weiterhin konnten wir hier einen Testzeitraum in Tagen definieren, der an die Softwaregruppen im Bereich „Konfigurationen“ gekoppelt ist. Ist dort für eine Softwaregruppe der Teststatus aktiv, erhalten alle Clients in dieser Gruppe die Updates sofort. Alle übrigen Gruppen bekommen die Updates erst nach Ablauf des Testzeitraums.
Fazit
Ganz ähnlich dem Softwaremanagement konnten wir im Bereich „OS Deployment“ OSD-Konfigurationen erstellen. Eine solche Konfiguration besteht aus dem Setup der gewünschten Windows-Version, einer Vorgabe für die Partitionierung sowie einer Antwortdatei für die unbeaufsichtigte Installation. Erwähnenswert ist hier, dass wir die Antwortdatei nicht mühsam von Hand schreiben mussten. Deskcenter unterstützte uns mit einem Generator, der uns Eingabefelder und Dropdown-Boxen für alle Einstellungen des Windows-Setups anbot und daraus automatisch eine passende Antwortdatei erzeugte. Optional durften wir auch Treiber zu Treiberpaketen schnüren und in den Prozess einbinden, im Rahmen der Installation Skripte ausführen sowie auch gleich den SDI-Agenten und darüber weitere Software installieren.
Den kompletten Funktionsumfang der Deskcenter Management Suite in allen seinen Facetten zu beschreiben, würde den Umfang dieses Artikels bei Weitem sprengen, bildet die Suite doch alle relevanten Bereiche eines an ITIL orientierten IT-Betriebs ab. Der umfassenden Inventarisierung mit ihren zahlreichen Methoden – IP-Scan, DHCP, SNMP, WMI, Inventory – entgeht kaum ein Asset, sodass Deskcenter eine optimale Basis für alle weiteren Module schafft. Die Bausteine zur Verteilung von Betriebssystemen, Applikationen und Patches wissen zu überzeugen, adressieren allerdings nur Windows-Clients. Hier seien als äußerst praktische Werkzeuge insbesondere der grafische Editor für die Ausführungspläne und die AppCloud erwähnt, die den Admins die Verteilung von Applikationen vereinfachen.
