F-Secure Server Security auf provisionierten XenApp Servern einsetzen

Wer schon mal XenApp Server mit den Citrix Provisioning Services provisioniert hat, kennt das Problem, dass manche Software sich als cloning-untauglich erweist. Eine solche Software ist scheinbar auch F-Secure Server Security, die sich eine eindeutige ID in die Registry schreibt. Wird diese ID nicht auf der vDisk (golden Image) gelöscht, melden danach alle provisionierten XenApps die gleiche ID gegenüber dem Management Server von F-Secure.

Nach der Installation ist deshalb der “F-Secure Management Service” (fsma) auf die Startart “manuell” zu setzen. Keine Sorge, gestartet wird er noch, bloß später.

Die folgende Batch-Datei übernimmt die Aufgabe, jeder provisionierten Maschine eine eindeutige ID zu erstellen und auf der write-cache-disk (persistent disk) zu sichern. Diese Disk muss natürlich bei jeder Maschine vorhanden und NTFS-formatiert sein, setze ich hier voraus, da es ohnehin best practice für provisionierte XenApps ist – schließlich sollte man ja auch auf die gleiche Disk die Eventlogs etc. umleiten.

Diese Batch-Datei sollte man dann direkt auf der vDisk per (lokaler) Gruppenrichtlinie als Startup-Skript definieren, so dass sie bei jedem Systemstart automatisch ausgeführt wird.





Hier ist das Batch-File – sollten die Pfade d:\admindata oder die Registrywerte des 64-Bit-Systems nicht passen, weil die write-cache-disk einen anderen Laufwerksbuchstaben hat oder noch 32-Bit Server provisioniert werden, kann dies mit wenigen Handgriffen angepasst werden :-)

…und ja, der gleiche Trick funktioniert auch mit einigen anderen cloning-unwilligen Produkten anderer Hersteller – hier kann die Batch-Datei als Grundgerüst dienen, um einen eindeutigen Registrywert oder eine INI-Datei (oder, oder, oder) bei allen provisionierten Maschinen jeweils an die richtige Stelle zu transportieren.

@Echo Off
REM ###############################################
REM ####
REM ####  Skript um F-Secure Management Agent
REM ####  zu starten, nachdem ein maschinenabhängiger,
REM ####  konstanter Key in die Reg importiert wurde.
REM #### 
REM ####  Rückfragen an daniel.wipperfuerth@adn.de
REM ####
REM ###############################################
SetLocal
if not exist d:\admindata goto :createadmindata
:regimport
if not exist d:\admindata\fsecureUID.reg goto :createUID
echo importing machine specific UID RegKey
reg import d:\AdminData\fsecureUID.reg
echo starting F-Secure mgmt service
sc start FSMA
goto :FIN
goto :FIN
:createUID
echo deleting old UID key
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Data Fellows\F-Secure\Management Agent\Host Information" /v UID /f
echo starting F-Secure mgmt service to create new UID key
sc start FSMA
ping localhost -n 10 >NUl:
echo exporting newly generated key to d:\admindata
reg export "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Data Fellows\F-Secure\Management Agent\Host Information" d:\admindata\fsecureUID.reg
goto :FIN
goto :FIN
:createadmindata
echo Directory not found, about to create it
mkdir d:\admindata
echo Setting permissions on directory
for /f "delims== tokens=2 usebackq" %%n in (`wmic os get oslanguage /value`) do set oslanguage=%%n
if %oslanguage%==1033 echo y|cacls d:\admindata /s:"D:PAI(A;OICI;FA;;;BA)(A;OICI;FA;;;SY)(A;OICIIO;FA;;;CO)"
if %oslanguage%==1031 echo j|cacls d:\admindata /s:"D:PAI(A;OICI;FA;;;BA)(A;OICI;FA;;;SY)(A;OICIIO;FA;;;CO)"
goto :regimport

:FIN
EndLocal


Have fun!