System Center Configuration Manager (SCCM) 2012 Kurulumu – Active Directory Öngereksinimlerinin Karşılanması

SCCM 2012 domainimizle entegre olarak çalışacağından kurulumdan önce bazı Active Directory öngereksinimlerinin karşılanması gerekmektedir. Bu öngereksinimler aşağıdaki gibidir.

Kullanıcı Hesapları ve Yetkileri

Configuration Manager’ın görevlerini yerine getirebilmesi için gerekli kullanıcı hesapları ve bu hesapların ihtiyaç duyduğu yetkiler aşağıda verilmiştir.

• SCCM Yöneticisi (sccmadmin) : Configuration Manager hiyerarşisinde en yetkili kullanıcıdır. SCCM2012.emres.com sunucusunda Administrators grubunda olmalıdır.
• SCCM Rapor Kullanıcısı (sccmrptuser) : SCCM Raporlama Servisini kullanmak için gerekli kullanıcıdır. Domain kullanıcısı olması gereklidir.
• SCCM İstemci Kurulum Kullanıcısı (sccmvnextuser) : vNext istemcisi kurmak için gerekli hesaptır. Domain kullanıcısı olması ve vNext kurulacak makinalarda Local Administrator olması gereklidir.
• SCCM İşletim Sistemi Kurulum Kullanıcısı (sccmosuser) : İşletim sistemi kurulumu yapmak için kullanılacak ağ erişim kullanıcısı (Network Access Account) dır. Domain kullanıcısı olması gerekir. Bu hesaba Network Access Account yetkisi SCCM üzerinden verilecektir. Ancak bazı firmalar da tek bir kullanıcı oluşturup tüm yetkileri bu kullanıcı üzerinde toplamayı ve bu kullanıcıya Domain Administrator hakkı vermeyi tercih etmektedirler.

Güvenlik Duvarı Üzerinden İlgili Port’ların Açılması

Bu işlemin Domain Administrator olarak domain üzerinde yapılması gerekmektedir.

SCCM 2012’nin tüm hiyerarşisi öğeleri arasında (Central Administration Site, Primary Site, Secondary Site) veritabanı replikasyonu olacaktır. Bu nedenle güvenlik duvarı tarafında bazı portlara izin vermemiz gerekmektedir. Bu portlar TCP 1433 ve TCP 4022 portlarıdır.

Start -> Administrative Tools -> Group Policy Management konsolunu başlatıyoruz. Bu konsol üzerinde yeni bir grup ilkesi oluşturuyoruz. Bu ilke içerisinde yapacağımız konfigürasyon Computer Configuration -> Policies -> Security Settings -> Windows Settings -> Windows Firewall with Advanced Security altında Inbound Rules seçiyoruz. New Rule oluşturup TCP 1433 ve TCP 4022 portlarına izin veriyoruz.

System Management Kapsayıcısının Oluşturulması

Bu işlemin Schema Admin yetkisi olan bir kullanıcı ile yapılması gerekmektedir.

Domain Controller’da ADSI Edit açılır ve ADSI Edit üzerine sağ tıklanıp Connect to ile Default Naming Context’e bağlanılır. Ardından CN=System üzerine sağ tıklayarak New -> Object -> Container seçilerek Next tuşuna basılır. Değer olarak System Management girilir ve Next sonrasında da Finish ile System Management kapsayıcımız oluşturulmuş oluyor. F5 tuşuna basarak ADSI Edit penceresini yenilediğimizde System Management değerini görüyor olmamız gerekir.

Yeni Oluşturulan Kapsayıcıya Yetki Aktarımı

Bu işlemin Schema Admin yetkisi olan bir kullanıcı ile yapılması gerekmektedir.

Şema genişletme işlemini bitirdikten sonra Active Directory Users and Computers konsolunda domain’imizi genişlettiğimizde System isimli bir kapsayıcının geldiğini görmekteyiz. Eğer göremediyseniz View sekmesinden Advanced Features’i aktif hale getirmemiz gerekmektedir. Domain’imiz kapsamında kullanıcı ve bilgisayarların yönetimini Configuration Manager ile yapabilmemiz için bu kapsayıcıya yetki aktarımı (Delegation) yapmamız gerekmektedir.

Active Directory Users and Computers konsolunda System kapsayıcısına sağ tıklayarak Delegate Control seçilir.

Yetki Aktarımı Sihirbazı başlar.

İlk pencereyi Next tuşuna basarak geçtikten sonraki pencerede Selected Users and Groups altında Add tuşuna basılır ve açılan pencerede Object Types’a tıklanıp Computers öğesinin başındaki kutucuk işaretlenip aramaya bilgisayarlar da dahil edilir.

Configuration Manager kuracağımız sunucuyu SunucuAdı şeklinde (bizim örneğimizde sunucu adımız SCCM2012 olduğundan SCCM2012) aranıp eklenir.

Check Names düğmesine tıklanıp sunucu aratılır. Böylece sunucu adını doğru yazdığımızı da domain controller üzerinden kontrol etmiş oluruz. Aynı şekilde sccmadmin kullanıcısı da yetki devrine eklenir.

Next tuşuna tıklanıp devam edilir ve açılan pencerede Create a custom task to delegate seçilerek varsayılan işleri değil, kendi seçeceğimiz işleri belirleyeceğimizi belirtiyoruz.

Bir sonraki adımda yetki aktarımının kapsamını belirliyoruz. Kapsamımız şema genişletilmesi sırasında oluşturulan kapsayıcı, tüm alt klasörleri ve bunların içinde bulunan öğeler olduğundan This folder, existing objects in this folder, and creation of new objects in this folder seçeneği seçilir.

Next tuşuna basılıp devam edilir. Aktarılacak yetkilerin hangileri olduğu belirlenir. Ekran görüntüsünde olduğu gibi Property-specific ve Creation/deletion of specific child objects kutucukları işaretlenir ve Permissions altından Full control kutucuğu işaretlenir.

Next tuşuna basılıp devam edilir. Son ekranda Finish düğmesine basılıp sihirbaz sonlandırılır ve gerekli yetkiler kapsayıcıya aktarılmış olur.

Yapılan işlemi kontrol etmek için ADSI Edit konsolu açılır. Default Naming Context’e bağlanılır ve System kapsayıcısı üzerine sağ tıklanıp Propeties seçilir. Security sekmesi altında yukarıda yetki verdiğimiz SCCM sunucusunu (SCCM2012) ve sccmadmin kullanıcılarını görüyor olmamız gerekmektedir.

Faydalı olması dileğiyle…