Bereitungstellung von RDS-Programmen per GPO

remote_desktop_servicesIn diesem Artikel möchte ich beschreiben, wie man mit Bordmitteln den Benutzern die Verknüpfungen zu den Remote Desktop Service (RDS)-Programmen auf den Desktop bzw. in das Startmenü legt. Voraussetzung hierfür sind die Remote Desktop Services unter Windows Server 2008 R2.

Die Installation per GPO hat den Vorteil, das sie unbemerkt im Hintergrund stattfindet und keinerlei Aktion des Benutzers erfordert. Dies hebe ich besonders als Vorteil heraus, da ich vorher versucht habe die Programme per Desktop Authority zu verteilen (Application Launcher), dies führte allerdings immer zu Nachfragen der UAC, was nicht das gewünschte Ergebnis war.

Ich habe bereits zwei RDS-Server sowie einen RD Connection Broker installiert, es läuft ein Network Load Balancing-Cluster und auf den RDS-Servern ist bereits Office 2010 und der C-Entron-Client installiert. Auf beiden RDS-Servern müssen nun die gewünschten Programme im RemoteApp-Manager freigegeben werden, und es muss für jedes Paket, was freigegeben werden soll, ein Windows Installer-Paket erstellt werden.

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-01

Zur Erstellung der Installer-Pakete ein paar Infos und Tipps:

  • Der Name der Desktop-Verknüpfung und der Name im Startmenü ist der, der im RemoteApp-Manager eingetragen ist. Ich habe zur Verdeutlichung, das es sich um RDS-Programme handelt, an den Namen ein “- RDS” angehangen.
  • Das Zertifikat, was hier eingetragen ist, wird mit in das Paket gepackt. Wir haben bei uns und bei den Kunden, bei denen wir die Remote Desktop Services im Einsatz haben, eine PKI (Private Key Infrastruktur) laufen, mit der wir Zertifikate erstellen können, die ein Single-Sign-On erlauben. In meiner Umgebung ist es besonders wichtig, das für den Namen des Clusters ein Zertifikat erstellt wird, d.h. meine RDS-Umgebung hört auf den Namen “RDSFarm.rachfahl.de”. Wenn ich das Zertifikat nicht ändere oder ein Zertifikat nehme, welches auf den Namen des Servers ausgestellt wird, kommt es zu Problemen. Daher muss VOR der Erstellung der Pakete ein funktionierendes Zertifikat erzeugt und eingespielt werden!
  • Wenn man einen Doppelklick auf eines der Programme macht, bekommt man das Eigenschaften-Fenster angezeigt. In diesem Fenster gibt es das Feld “Alias”. Die msi-Datei wird später den Namen haben, der im Feld “Alias” eingetragen wurde, standardmäßig steht oder der Name der Datei, z.B. “Winword.exe”.
  • Man kann mehrere Windows Installer-Pakete gleichzeitig erzeugen, einfach alle Programme markieren und den Menüpunkt “Windows Installer-Paket erstellen” auswählen.

Hier noch zwei Screenshots von den Einstellungen, die vorgenommen werden können:

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-02

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-03

Nachdem wir die benötigten msi-Dateien erstellt haben, gehen wir auf einem Domänen-Controller in die “Gruppenrichtlinienverwaltung”. Dort erstellen wir unter “Gruppenrichtlinienobjekte” ein neues Objekt, ich habe es “RDS-Installation – Paketname” genannt.

Wichtig: Ich hatte mit der Installation der Pakete nur Erfolg, wenn ich pro GPO nur ein Paket installiert habe. Ist laut Microsoft auch Empfehlung.

Wir öffnen nun das Objekt und navigieren zu “Benutzerkonfiguration” – “Richtlinien” – “Softwareeinstellungen” – “Softwareinstallation

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-04 Dort gehen wir im Kontextmenü auf “Neu” – “Paket…”

Es öffnet sich ein Fenster, in dem wir das zu installierende Paket suchen und auswählen. Im sich öffnenden Fenster wählen wir die Option “Zugewiesen” aus.

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-05 Das Paket erscheint nun, und wir können mit einem Doppelklick die Eigenschaften des Pakets sehen. Als einzige Einstellung, die angepasst werden muss, wählen wir unter “Bereitstellung von Software” die Option “Anwendung bei Anmeldung installieren”. Das Fenster wird mit OK geschlossen, ebenso der Editor.

Das soeben erstellte GPO muss nun noch einer OU zugewiesen werden, und zwar dort, wo sich die Benutzer befinden, die das Paket bekommen soll. Weiterhin muss wahrscheinlich eine Sicherheitsfilterung erstellt werden die bestimmt, welche Benutzer das Paket erhalten. In meinem Fall sieht das ganze wie folgt aus:

Server-2008-R2-Bereitstellung-von-RDS-Programmen-per-GPO-06

Nun werden die Pakete ausgerollt, und die betreffenden Benutzer erhalten die Pakete.

Teilen:

Jan Kappen

Jan Kappen ist ausgebildeter Fachinformatiker in der Richtung Systemintegration. Er hat seine Ausbildung im Sommer 2008 abgeschlossen und arbeitet seitdem bei der Rachfahl IT-Solutions GmbH & Co. KG. Jan Kappen ist unter anderen MCITP Server Administrator, Enterprise Administrator und Enterprise Messaging Administrator 2010 sowie MCTS für System Center Virtual Machine Manager 2008, Windows Server 2008 Active Directory, Windows Server Virtualization und Windows Server 2008 Network Infrastructure. Im April 2015 wurde Jan Kappen im Bereich "File System Storage" für seine Expertise und seine Community-Arbeit mit dem MVP Award von Microsoft ausgezeichnet.

3 Kommentare:

  1. Hallo,

    was auch noch geht ist, per GPO den Remote-App Feed an alle Windows 7 Clients zu verteilen. Thomas Brinkmann erklärt, wie:

    http://www.thombos-site.de/RemoteApp.htm

    Gruß
    Ben

  2. Hallo.
    Sehr gute Anleitung; leider scheint es nicht zu funktionieren:

    VirtualBox -> 1 Server Win2k8R2 als DC, 1 Server Win2k8R2 als Terminalserver
    1 Client Win7Profx64
    Hab alles so gemacht wie in der Anleitung (also natürlich die GPO auf dem DC-Server erstellt. msi-Pakete vorher vom TS in “gemeinsame Ordner” der VM kopiert.); sogar Neustart, auch gpupdate /force nicht vergessen auf dem Server (sogar auf dem Client ausgeführt – Meldung in der Konsole: …Neustart erforderlich…)
    Leider keine Verknüpfungen im Startmenü oder sonstwo anders.

  3. Hab´s entdeckt:
    Die Verknüpfungen befinden sich unter c:\programme(x86)\remote packages. der benutzer kann diese dann über das kontextmenü an den desktop senden. ist immer noch blöd, da ich die verknüpfungen nicht direkt auf den desktop verteilen konnte, funktioniert aber immerhin.
    mich würde noch interessieren, wie ich das bewerkstellige.
    Martin.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.