Argomento
Questo articolo spiega come configurare un dispositivo Microsoft Windows per consentire la distribuzione dell'agente NinjaOne per Windows tramite il sistema di gestione della rete (NMS) NinjaOne.
Ambiente
Sistema di gestione rete NinjaOne (NMS)
Descrizione
Windows Management Instrumentation (WMI) consente a NinjaOne di individuare e monitorare i dispositivi Windows da remoto, utilizzando il Distributed Component Object Model (DCOM) per la comunicazione. Questo articolo descrive come configurare WMI e DCOM su un dispositivo Windows di destinazione e verificare che le connessioni WMI remote funzionino correttamente.
Indice
- Prerequisiti
- Configurazione e verifica dei servizi e delle connessioni
- Verifica dell'accesso WMI locale
Prerequisiti
Assicurarsi che l'ambiente soddisfi i seguenti prerequisiti prima di iniziare questa procedura:
- I firewall tra il client e il dispositivo di destinazione devono consentire l'accesso alla porta 135 del protocollo TCP (Transmission Control Protocol).
- I firewall intermedi devono consentire il traffico dinamico sulla porta RPC (Remote Procedure Call).
- Sono disponibili credenziali Windows valide per l'autenticazione (Kerberos o NT LAN Manager [NTLM]).
- I servizi Windows Management Instrumentation e DCOM Server Process Launcher sono in esecuzione.
- Le regole del firewall relative a Windows Management Instrumentation (WMI-In) e Windows Management Instrumentation (DCOM-In) sono attive.
- Se si utilizza un account amministratore locale non appartenente a un dominio, è necessario disattivare le restrizioni del Controllo account utente (UAC) remoto e l’account utente utilizzato per l’accesso remoto deve essere membro del gruppo Administrators locale.
Configurazione e verifica dei servizi e delle connessioni
Questo primo passaggio nel processo di configurazione del dispositivo garantisce quanto segue:
- I servizi Windows Management Instrumentation e DCOM Server Process Launcher siano in esecuzione.
- Le regole del firewall relative a Windows Management Instrumentation (WMI-In) e Windows Management Instrumentation (DCOM-In) sono attive.
- Le restrizioni UAC sono disattivate (se si utilizza un account amministratore locale non di dominio).
I passaggi seguenti riguardano la configurazione manuale. È possibile eseguire lo script riportato nella sezione " Script PowerShell per la preparazione del sistema " di questo articolo per automatizzare tali passaggi.
Verifica del servizio WMI
Per completare questa procedura, il servizio WMI deve essere in esecuzione. Eseguire questi passaggi per verificarlo.
- Sul dispositivo di destinazione, fare clic sul menu Start, digitare "Servizi" e aprire la finestra "Servizi".
- Individuare i seguenti servizi nell’elenco e verificare che la colonna "Stato" indichi "In esecuzione", che il "Tipo di avvio " sia "Automatico" e che la colonna "Connettiti come" indichi " Sistema locale":
- DCOM Server Process Launcher
- Windows Management Instrumentation
Attivare le regole del firewall obbligatorie
- Fare clic sul menu Start, digitare " Windows Defender Firewall con sicurezza avanzata" e premere Invio.
- Nella sezione a sinistra di questa finestra, fare clic su "Regole in entrata", quindi attivare le seguenti regole:
- Windows Management Instrumentation (WMI-In)
- Windows Management Instrumentation (DCOM-In)
Disattivare le restrizioni UAC remote (solo account locali)
Eseguire questo passaggio solo quando si utilizzano account amministratore locali su workstation Windows. Per consentire l’accesso amministrativo WMI remoto, è necessario creare un valore nel Registro di sistema di Windows.
- Aprire il menu Start, digitare " Editor del registro di sistema" e premere Invio.
- Accedere alla seguente chiave:
HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem. - Fare clic con il pulsante destro del mouse su un’area vuota del Registro di sistema e selezionare Nuovo → Valore DWORD (32 bit). Il nuovo valore apparirà come voce nell’elenco dei valori.
- Fai doppio clic sul nuovo valore e configura le seguenti impostazioni:
- Nome assegnato: LocalAccountTokenFilterPolicy
- Dati valore: 1
- Riavviare il dispositivo di destinazione.
Script PowerShell per la preparazione del sistema
È possibile eseguire uno script Powershell per eseguire questi passaggi di configurazione.
<# Questo script attiva le regole del firewall per WMI-In e DCOM-In e disattiva le restrizioni remote UAC per gli account locali nel Registro di sistema.
Lo script richiede una sessione PowerShell con privilegi elevati. #>
netsh advfirewall firewall set rule name="Windows Management Instrumentation (WMI-In)" new enable=yes profile=qualsiasi
netsh advfirewall firewall set rule name="Windows Management Instrumentation (DCOM-In)" new enable=yes profile=qualsiasi
Set-ItemProperty -Path "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" -Name "LocalAccountTokenFilterPolicy" -Value 1 -Type DWord -ForceVerifica dell'accesso WMI locale
L’esecuzione corretta di questa verifica conferma:
- la connettività WMI.
- Autenticazione.
- Comunicazione DCOM.
- Autorizzazioni per l'esecuzione di query remote.
Verifica della connettività
- Fare clic sul menu Start e digitare
wbemtest, quindi premere Invio. - Si aprirà il Windows Management Instrumentation Tester. Fare clic su Connetti.
- Si aprirà la finestra Connetti. Nel campo Spazio dei nomi, inserisci quanto segue, sostituendo [TARGET_IP] con l’indirizzo IP o il nome host del sistema remoto:
\[TARGET_IP]rootcimv2. Se la connessione va a buon fine, la finestra di WMI Tester si aprirà correttamente.
Eseguire una query di verifica
Nella finestra WMI Tester, inserisci la seguente query e fai clic su Applica: SELECT * FROM Win32_BIOS. Se la query restituisce informazioni sul BIOS, l’accesso WMI remoto funzionerà correttamente e il dispositivo sarà configurato in modo adeguato per la distribuzione dell’agente NinjaOne per Windows.
Risorse aggiuntive
NinjaOne NMS: Distribuzione dell’agente NinjaOne sui dispositivi Windows rilevati