it终端安全标准化总体方案(编辑修改稿)

it终端安全标准化总体方案(编辑修改稿)内容摘要：

理点的站点系统的群集。 PXE 服务点 此站点系统角色配置为响应那些网络接口卡配置为允许 PXE 启动请求的计算机，并从其上启动操作系统部署。 仅使用 PXE 启动请求的操作系统部署需要此角色。 报表点 此站点系统角色宿主报表查看器组件，用于基于 Web 的报表功能。 仅使用报表功能时需要此角色。 报表在诊断客户端问题时通常很有帮助。 服务器定位器点 此站点系统角色为 SCCM 2020 客户端查找管理点。 某些客户端部署方案需要此角色。 软件更新点 为运行 Microsoft Windows Server Update Services (WSUS) 的计算机分配的站点系统角色。 仅软件更新功能需要此角色。 状态迁移点 此站点系统角色在计算机迁移到新的操作系统时存储用户状态数据。 当迁移用户状态时，操作系统部署需要此角色。 系统健康验证程序点 为运行网络策略服务的计算机分配的站点系统角色。 仅 SCCM 2020 网络访问保护功能需要此角色。 SCCM 2020 SP1 的附加站 点系统 如果您已升级到 SCCM 2020 SP1，则可能需要下表中所描述的附加站点系统来支持 Service Pack 中添加的额外功能。 站点系统角色 描述 必需。 资产智能同步点 用于连接到 System Center Online 以管理资产智能目录信息更新的站点角色。 仅当 Microsoft SA 许可证客户将 System Center Online 与本地资产智能目录同步时需要。 带外服务点 发现、设置和管理具有管理控制器的台式计算机（例如基于 AMT 的计算机）的站点系统角色。 仅带外管理功能需要此角色。 SCCM 2020 R2 的附加站点系统 支付宝 IT终端安全标准化 1 期 总体方案 第 10 页 上海 xx 公司 软件有限公司 如果您升级到 SCCM 2020 R2，则可能需要下表中所描述的附加站点系统来支持 R2 版本中添加的额外功能。 站点系统角色 描述 必需。 Reporting Services 点 分配给运行 SQL Reporting Services 的计算机的站点系统角色。 仅当想要使用 SQL Reporting Services 来报告 SCCM 2020 R2 数据时需要。 将 SCCM 2020 R2 报表与 SQL Reporting Services 集成可带来更丰富的报告体验。 但 是，报表点仍然运行，且不需要 SQL Reporting Services 或 Reporting Services 点。 客户端状态报告主机系统 尽管客户端状态报告主机系统站点系统角色实际上不是在 SCCM 2020 控制台中配置的站点系统，但可以将它添加到客户端或服务器计算机以向站点服务器返回有关它监视的客户端计算机的报告。 仅当使用客户端状态报告功能时需要。 根据 XX 用户 需求，站点系统设计如下：  管理点  分发点  软件更新点  报表点 考虑到 XX 用户 客户端总数 2020，所以 可以将需要 启用的角色 装在一台 PC服务器 上。 由于站点系统角色可以很方便的通过 添加服务器添加，所以扩展 也 非常方便。 . 功能设计 如果您安装了 SCCM 2020 站点但没有配置任何功能，则此站点基本上无用。 功能使 SCCM 2020 真正发挥作用。 您可以只安装一个功能，也可以安装多个功能。 一些功能依赖于其他功能，例如，网络访问保护要求首先运行软件更新功能。 SCCM 2020 中提供下列功能： 支付宝 IT终端安全标准化 1 期 总体方案 第 11 页 上海 xx 公司 软件有限公司  管理员控制台  集合  清单  查询  报表  软件分发  软件更新  软件计数  移动设备管理  操作系统部署  所需的配置管理  远程工具  网络访问保护  LAN 唤醒  带外管理  客户 端状态报告  SQL Reporting Services 管理员控制台 SCCM 2020 控制台是 SCCM 2020 管理员使用 SCCM 2020 最常见的方式，但一些组织也使用软件开发工具包 (SDK) 来构建自定义用户界面，很多管理员则编写脚本来更有效地管理重复性任务。 您可以从站点服务器运行控制台，或者，在桌面或咨询台计算机上安装其他控制台以方便管理。 一个控制台可以管理多个站点，多个控制台也可以管理一个站点。 SCCM 2020 控制台作为 Microsoft 管理控制台 (MMC) 管理单元运行，但必须在计 算机上运行 SCCM 2020 安装程序以使管理单元可用。 集合 集合代表一组资源，不仅可以包括计算机，还可以包括 Microsoft Windows 用户和用户组以及其他发现的资源。 集合使您可以将资源组织到方便管理的单元、创建组织结构，在逻辑上表示要执行的任务类型。 集合还可以充当同时在多个资 支付宝 IT终端安全标准化 1 期 总体方案 第 12 页 上海 xx 公司 软件有限公司 源上执行 SCCM 2020 操作的目标（例如软件分发或软件更新）。 集合的成员身份可以是直接或 基于查询的。 基于查询的集合功能非常强大，因为它们可以根据条件将任何资源分组到一起。 例如，如果您希望仅在具有 1 GB 可用磁盘空间和 1 GB RAM 的计算机上部署 Microsoft Office 2020，则可以创建一个集合，对数据库中的 SCCM 2020 清单信息进行查询。 清单 您可以配置 SCCM 2020 以在 SCCM 2020 客户端上列出硬件清单和软件清单。 硬件清单提供有关每台计算机的系统信息（如可用磁盘空间、处理器类型和操作系统）。 您可以通过修改 文件来配置硬件清单返回的 信息。 软件清单代理为您提供客户端计算机上存在的清单文件类型和版本等信息。 软件清单本身只返回文件类型列表，但结合资产智能目录中的软件清单信息，您可以创建有关您环境中使用的应用程序的报表。 软件清单还可以收集数据库中文件的副本，但仅建议用于不经常更改的小文件。 查询 SCCM 2020 中的查询功能使用 WBEM 查询语言 (WQL) 来查询站点数据库。 查询结果在 SCCM 2020 控制台中返回，您可以使用 MMC 导出列表功能导出查询结果。 查询也可用于创建满足查询条件的资源集合。 报表 报表是对许多其他 SCCM 2020 功能的支持功能。 报表将返回到浏览器的网页中。 不需要进行编程，但有关创建 SQL 查询的知识将非常有帮助。 使用报表功能，您可以创建显示您已收集的清单或已成功部署的软件更新的报表。 您还可以创建仪表板，其中综合了多个不同的信息视图。 可使用多个预创建报表以支持常见的报表方案。 有关每个功能所提供的报表的详细信息，请参阅功能文档。 软件分发 软件分发允许您将任何内容传递到客户端计算机。 软件分发中的包可以包含部署软件应用程序的源文件以及被称为程序的命令，告诉客户端要运行哪些可执行文件。 单个包可以包含多个程序， 每个程序均配置为以不同的方式运行。 包还可以包含命令行以运行客户端上已经存在的文件，无需实际包含其他源文件。 支付宝 IT终端安全标准化 1 期 总体方案 第 13 页 上海 xx 公司 软件有限公司 注： SCCM 2020 可以导致在客户端上运行任何可执行文件，但是务必要了解，SCCM 2020 并不实际打包可执行或源文件。 SCCM 2020 与送货员类似；它将软件或命令传递给客户端，但是命令必须能够独立于 SCCM 2020 在客户端上运行。 如果软件或命令没有 SCCM 2020 软件分发就无法运行，则不会使用软件分发运行。 SCCM 2020 使用播发来指定哪些集合接收程序和包。 软件更新 软件更新功能提供 了一组工具和资源，可帮助管理跟踪软件更新并将其应用到企业中的客户端计算机的复杂任务。 SCCM 2020 中的软件更新要求安装 Windows Server Update Services (WSUS) 服务器，并使用其扫描客户端计算机是否有适用的软件更新。 管理员查看环境中需要哪些更新，并创建包含这些软件更新的源文件的包和部署。 随后，客户端从分发点安装软件更新，并将其状态报告回站点数据库。 软件计数 软件计数允许您收集和报告软件程序使用数据。 这些报表提供的数据可供组织内的很多组使用，如 IT 部和公司采购部。 SCCM 2020 中的软件计数支持下列情况：  确定要使用哪些软件应用程序以及使用者。  确定指定软件应用程序的并发使用数。  确定实际的软件许可证要求。  确定冗余的软件应用程序安装。  确定可进行重新定位的不使用的软件应用程序。 移动设备管理 支持移动设备作为 SCCM 2020 客户端。 针对文档用途，移动客户端被视为单独的功能。 移动客户端可运行 SCCM 2020 功能的子集（如清单和软件分发），但不能通过远程控制来管理，也不能象桌面客户端那样接收操作系统部署。 操作系统部署 操作系统部署允许您在计算机上安装新的操 作系统和软件。 您可以使用操作系统部署将操作系统映像安装到全新或现有的计算机，以及没有连接到 SCCM 支付宝 IT终端安全标准化 1 期 总体方案 第 14 页 上海 xx 公司 软件有限公司 2020 站点的计算机。 通过使用任务序列和驱动程序目录，操作系统部署使您可以使用一个可安装在各种类型计算机和配置上的动态映像来安装软件，从而简化了新计算机的安装。 操作系统部署为将操作系统映像部署到计算机提供下列解决方案：  提供安全的操作系统部署环境。  通过允许一个映像工作在不同计算机硬件配置下，协助管理部署映像的成本。  协助统一部署策略，以帮助为将来的操作系统部署方法提供稳固的部署基础。 所需的配置管理 所需 的配置管理允许您定义配置标准和策略，审核整个企业对已定义配置的符合性。 Microsoft 和其他供应商提供的最佳方案配置可以 Microsoft174。 SCCM 2020配置包的形式使用。 随后，可对这些配置包进行改进以满足自定义的业务需要。 此外，所需的配置管理支持自定义配置的创作环境。 此功能旨在为组织内的多个组提供数据，包括 IT 部和公司安全部。 所需的配置管理支持下列情况：  检测生产服务器配置漂移并确认设置的服务器是否满足预期的构建要求。  为咨询台提供可能的原因信息，缩短事件的解决时间 (TTR) 并针对问题提供可能的原因分析  报告与法规策略和内部安全策略的符合性  提供更改验证并跟踪 远程工具 SCCM 2020 中的远程工具包括的远程控制功能允许具有足够访问权限的操作员远程管理 SCCM 2020 站点层次结构中的客户端计算机。 您可以使用远程控制来解决客户端计算机上的问题，并在需要访问用户计算机时提供远程咨询台支持。 网络访问保护 支付宝 IT终端安全标准化 1 期 总体方案 第 15 页 上海 xx 公司 软件有限公司 网络访问保护 (NAP) 是 Windows XP SP Windows Vista 和 Windows Server 2020 操作系统内置的策略强制平台，帮助您通过强制符合系 统健康要求来更好地保护网络资产。 您可以配置 DHCP 强制、 VPN 强制、 强制、 IPSec 强制或所有的四种强制，具体取决于您的网络需求。 SCCM 2020 中的网络访问保护可与 Windows Server 2020 上的 Windows 网络策略服务器 (NPS) 配合使用，通过客户端修正来强制软件更新符合性。 网络策略允许您限制对客户端的网络访问，直到它们具有您指定为必需的软件更新。 注： 网络访问保护不是设计用于保护网络免受恶意用户的攻击。 而是旨在帮助管理员保持网络中的计算机的健康，反过来 帮助维护网络的整体完整性。 网络访问保护不会防止授权用户使用符合的计算机将恶意程序上载到网络或执行其他不适当的行为。 LAN 唤醒 LAN 唤醒功能有助于达到更高的 SCCM 2020 活动成功率，减少工作时间内的关联网络流量，不要求计算机在工作时间外保持开机，从而有助于组织节省电源。 SCCM 2020 中的 LAN 唤醒支持下列情况：  在配置的软件更新部署截止时间之前发送唤醒传输。  在配置必需播发（可以是面向软件分发的，也可以是面向任务序列的）计划之前发送唤醒传输。 带外管理 仅适用于 SCCM 2020 SP1。 SCCM 2020 SP1 中的带外管理功能为具有 Intel vPro 芯片组和 In。