Bereitstellen von Windows XP Service Pack 2 in Unternehmensumgebungen

Windows XP SP2 – Implementierungshandbuch für Unternehmen

Zusammenfassung

In diesem Handbuch werden drei Methoden für die Bereitstellung von Microsoft® Windows® XP Service Pack 2 (SP2) in Unternehmensumgebungen beschrieben: Microsoft® Software Update Services (SUS), Systems Management Server (SMS) und Gruppenrichtlinie. Das Handbuch enthält schrittweise Anleitungen zur Verwendung der einzelnen Methoden. Die Zielgruppe besteht aus IT-Implementierern – zuständig für die Ausführung der Ratschläge zur Bereitstellungsplanung, die in Windows XP Service Pack 2 – Planungshandbuch für Unternehmen beschrieben werden.

Auf dieser Seite

	Übersicht
	Entwerfen der Bereitstellung
	Vorbereiten des Service Packs
	Entwickeln von Software Update Services
	Einführen (Rollout) von SP2
	Weitere Informationen

Übersicht

Dieses Handbuch enthält schrittweise Anleitungen zur Verwendung von SUS, SMS und der Gruppenrichtlinie für die Bereitstellung von Windows XP SP2. Es ist in folgende Abschnitte unterteilt:

Entwerfen der Bereitstellung	In diesem Abschnitt werden wichtige Entscheidungen beschrieben, die Sie beim Entwickeln einer SP2-Bereitstellung treffen müssen. Diese Entscheidungen ergänzen die in Windows XP Service Pack 2 – Planungshandbuch für Unternehmen beschriebenen Planungsentscheidungen.
Vorbereiten des Service Packs	In diesem Abschnitt wird beschrieben, wie die SP2-Dateien für die Bereitstellung vorbereitet werden, darunter die Vorgänge zum Entpacken der Dateien und Vorbereiten von Anpassungen bei der Windows-Firewall.
Entwickeln von Software Update Services	In diesem Abschnitt wird beschrieben, wie SP2 mithilfe von SUS bereitgestellt wird. Sie können den Abschnitt überspringen, wenn Sie das Service Pack nicht mithilfe von SUS bereitstellen möchten.
Entwickeln von Systems Management Server	In diesem Abschnitt wird beschrieben, wie SP2 mithilfe von SMS bereitgestellt wird. Sie können den Abschnitt überspringen, wenn Sie das Service Pack nicht mithilfe von SMS bereitstellen möchten.
Entwickeln der Gruppenrichtlinie	In diesem Abschnitt wird beschrieben, wie SP2 mithilfe der Gruppenrichtlinie bereitgestellt wird. Sie können den Abschnitt überspringen, wenn Sie das Service Pack nicht mithilfe der Gruppenrichtlinie bereitstellen möchten.
Verwalten neuer Gruppenrichtlinieneinstellungen	In diesem Abschnitt werden die von SP2 bereitgestellten neuen Gruppenrichtlinieneinstellungen beschrieben. Außerdem werden die Einstellungen vorgeschlagen, die Sie während Ihrer SP2-Bereitstellung untersuchen sollten.
Testen der Service Pack-Bereitstellung	In diesem Abschnitt werden die Labor- und Pilottests für eine SP2-Bereitstellung beschrieben. Er enthält Prüflisten zur Protokollierung der Ergebnisse.
Einführen (Rollout) von SP2	In diesem Abschnitt werden die letzten Phasen der SP2-Bereitstellung beschrieben und Vorschläge für die Weiterentwicklung über die Bereitstellungsphase gemacht.

Bevor Sie mit der technischen Implementierung Ihrer SP2-Bereitstellung beginnen, sollten Sie nach Möglichkeit die von Microsoft zur Verfügung gestellte Dokumentation lesen. Da Windows XP SP2 einen großen Sprung im Hinblick auf Sicherheit bietet, ist es wichtig, dass Sie die neuen Sicherheitsfeatures verstehen. Durch diese Dokumentation können nicht nur die Vorgehensweisen zum Testen, Anpassen und Bereitstellen des Service Packs, sondern auch die aktuellen Sicherheitsverfahren und -richtlinien geändert werden. Die Ressourcen im Abschnitt "Weitere Informationen" sollten unbedingt gelesen werden. Lesen Sie insbesondere Handbuch zum Installieren und Bereitstellen von Microsoft Windows XP Service Pack 2.

Zum Seitenanfang

Entwerfen der Bereitstellung

Bevor das Implementierungsteam SP2 in einem Unternehmen bereitstellt, sollte es die Richtlinien für die Umgebung und Softwareverteilung überprüfen, um die beste Bereitstellungsmethode zu ermitteln. Darüber hinaus muss das Team ermitteln, wie SP2 zur Verteilung angepasst werden soll. Weil jede Umgebung unterschiedlich ist, stellen diese Aspekte das für Sie zutreffende Szenario möglicherweise nicht vollständig dar; deshalb muss das Team Zeit für die Überprüfung der Unternehmensanforderungen aufwenden.

Lesen und beantworten Sie die folgenden Fragen, um besser zu verstehen, wie eine Bereitstellung entworfen wird:

•	Wie soll das Service Pack bereitgestellt werden? Erfordert Ihre Richtlinie für die Softwareverteilung, dass Softwarebereitstellungen unbeaufsichtigt installiert werden? Erlaubt die Richtlinie für die Softwareverteilung Neustarts des Computers? Die Anforderungen und Richtlinien für die Softwareverteilung in Ihrem Unternehmen können von denjenigen in anderen Unternehmen und manchmal zwischen Geschäftszweigen in demselben Unternehmen abweichen. Da es sich bei SP2 um eine wichtige Bereitstellung handelt, gilt die Richtlinie für die Softwareverteilung möglicherweise nicht für diese Aktualisierung. Außerdem ist bei der Installation des Service Packs ein Neustart des Computers erforderlich, so dass Sie diesen Neustart in die Bereitstellung integrieren müssen.
•	Wie viele Benutzer werden während des Bereitstellungszeitplans für das Service Pack remote arbeiten? Sie müssen die Anzahl der Mitarbeiter ermitteln, die offsite arbeiten werden, weil diese Anzahl zu einer Änderung des Zeitplans führen kann. Bei einer umfangreichen Bereitstellung können Sie einen Tag festlegen, an dem die offsite tätigen Mitarbeiter während der Bereitstellung (nach Möglichkeit) ins Büro kommen sollten. Überlegen Sie, ob Sie für die Remotemitarbeiter ein Bereitstellungszeitfenster erstellen, das über einen Zeitraum von 3–4 Tagen, statt über 3–4 Stunden, konfiguriert wird. Sie können sogar eine Zielzusammenstellung nur für Remotebenutzer erstellen und zuletzt an diese verteilen.
•	Welcher Bereitstellungszeitplan ist erforderlich? Ermitteln Sie den besten Zeitpunkt zur Bereitstellung von SP2. Verwenden Sie mehrere Faktoren zur Ermittlung des Verteilungszeitfensters, z. B. die Tageszeit mit dem geringsten Netzwerkdatenverkehr oder mit der niedrigsten Produktivität der Mitarbeiter (möglicherweise während der Mittagspause oder gleich morgens zu Arbeitsbeginn).
•	Soll die Bereitstellung an segmentierte Gruppen erfolgen? Per Container? Über das Subnetz? Nach Unternehmensfunktion? Wenn Sie SP2 mithilfe von SMS bereitstellen, können Sie Softwareprodukte nach Bedarf für beliebig viele Computer im Unternehmen zur Verfügung stellen. Die Clientcomputer, auf denen das Service Pack installiert werden muss, müssen zu einer Zusammenstellung (der so genannten Zielzusammenstellung) gehören. Die Zielzusammenstellung kann einen einzelnen Clientcomputer, alle einem bestimmten Standort zugewiesenen Clientcomputer oder eine beliebige Teilmenge von Clientcomputern enthalten. Wenn das Programm an die Zielzusammenstellung verteilt wird, wird es an sämtliche der Zusammenstellung angehörenden Clientcomputer ausgegeben. Auf diese Weise können Sie Programme an bestimmte Benutzer, bestimmte Benutzergruppen sowie eine beliebige Gruppe von Clientcomputern verteilen, die eine allgemeine Gruppe von Hardware- oder Softwareattributen gemeinsam nutzt. Wenn der Microsoft® Active Directory®-Verzeichnisdienst in Ihrem Unternehmen implementiert ist, können Sie eine Zusammenstellung auf der Basis von Active Directory-Containern gezielt verteilen. Dazu können Sie eine auf Systeme ausgerichtete Zusammenstellung auf der Basis von Organisationseinheiten (Organizational Units – OUs), Domänen, Standort und Gruppenmitgliedschaft erstellen. Sie können aber auch eine auf Benutzer ausgerichtete Zusammenstellung auf der Basis von Domänen, Organisationseinheiten und Gruppenmitgliedschaft erstellen. Zum gezielten Ausrichten von Systemen für die Softwareverteilung mithilfe von Active Directory-Containern muss am Standort mindestens eine Active Directory-Ermittlungsmethode aktiviert sein. Durch das Planen einer segmentierten Service Pack-Übermittlung können Sie die Auswirkungen auf das Netzwerk minimieren. Eine solche Planung ermöglicht Ihnen außerdem das Verkleinern des Zeitfensters für die Problembehandlung. Bei einer geringen Anzahl von Computern ist die Problembehandlung viel einfacher, als wenn die gesamte Computerbasis auf einmal betroffen ist.

Installationsoptionen

Tabelle 1 enthält Beschreibungen der Befehlszeilenoptionen, die von SP2 während der Installation unterstützt werden. Ermitteln Sie die Optionen, die Sie zur Unterstützung Ihrer Anforderungen verwenden müssen. (Diese Befehlszeilenoptionen gelten nicht für Bereitstellungen von SP2 mithilfe der Gruppenrichtlinie.)

Tabelle 1. Befehlszeilenoptionen für das Service Pack

Befehlszeilenoption	Beschreibung
/u oder /passive	Die Installation wird unbeaufsichtigt ausgeführt. Wenn Sie diese Option verwenden, werden während des Installationsvorgangs nur schwerwiegende Fehler auf dem Bildschirm angezeigt.
/f	Diese Option erzwingt, dass andere Anwendungen beim Herunterfahren geschlossen werden.
/n	Sichert keine Dateien für das spätere Entfernen des Service Packs.
/o	Die Installation überschreibt OEM-Dateien ohne Nachfrage.
/z	Der Computer wird nach Abschluss der Installation nicht neu gestartet.
/forcerestart	Der Computer wird nach Abschluss der Installation neu gestartet.
/norestart	Diese Option hat die gleiche Funktion wie die Option /z – sie legt fest, dass der Computer nach Abschluss der Installation nicht neu gestartet wird.
/q oder /quiet	Die Installation verwendet den stillen Modus (identisch mit dem unbeaufsichtigten Modus, wobei jedoch die Benutzeroberfläche ausgeblendet wird). Wenn Sie diese Option verwenden, werden während des Installationsvorgangs keine Eingabeaufforderungen auf dem Bildschirm angezeigt.
/l	Diese Option listet installierte Updates, wichtige Updates und Sicherheitsupdates auf.
*/s:Ordnername***	Diese Option kombiniert bei einer integrierten Installation das Betriebssystem mit dem Service Pack in einem freigegebenen Verteilungsordner (wobei Ordnername für den eigentlichen Ordnernamen steht).
/uninstall	Diese Option deinstalliert das Paket.
/help	Diese Option zeigt dieselben Informationen wie die Option /? an.
*/d:Ordnername***	Diese Option sichert Dateien zum Entfernen des Service Packs in den angegebenen Ordner.

Bereitstellungsarten

SP2 unterstützt mehrere Bereitstellungsszenarien. Wenn bekannt ist, welches Bereitstellungsszenario (oder welche Szenarienkombination) verwendet werden soll, können die erforderlichen Faktoren ermittelt werden, z. B. der Serverstandort (an dem die Service Pack-Dateien in Bezug auf die Menge der Benutzer gespeichert werden), die Serverkonfiguration (Hardware, Software usw. zur Sicherstellung der optimalen Serverauslastung) und die Netzwerkkapazitätsplanung (um sicherzustellen, dass die Service Pack-Bereitstellung das Netzwerk nicht lahm legt oder zu erheblichen Leistungsproblemen bei den anderen Unternehmensanwendungen führt). In der folgenden Auflistung werden die Szenarien zum Installieren von SP2 beschrieben:

•	Bereitstellen des Service Packs, damit die Computer lokale Service Pack-Quelldateien verwenden: Bei dieser Methode können Sie das Installationsprogramm von einem zentralen Ort ausführen. Allerdings speichert das Installationsprogramm die Service Pack-Quelldateien lokal auf jedem einzelnen Computer. Damit wird sichergestellt, dass Windows XP Systemdateien ersetzen kann, ohne eine Verbindung zur Freigabe mit den Quelldateien herstellen zu müssen. Diese Methode wirkt sich auf Serverstandort, Serverkonfiguration und Netzwerkkapazität aus.
•	Bereitstellen des Service Packs, damit die Computer freigegebene Remotequelldateien für das Service Pack verwenden: Bei dieser Methode können Sie die Quelldateien im freigegebenen Verteilungsordner statt auf den lokalen Computern speichern. Windows XP muss jedoch über eine Verbindung zur Freigabe mit den Quelldateien verfügen, um die Systemdateien ersetzen zu können. Diese Methode wirkt sich auf Serverstandort, Serverkonfiguration und Netzwerkkapazität aus. Hinweis: In diesem Handbuch werden die beiden vorstehenden Methoden nicht erläutert. Weitere Informationen finden Sie im Handbuch zum Installieren und Bereitstellen von Microsoft Windows XP Service Pack 2.
•	Bereitstellen des Service Packs mithilfe von SUS: Anleitungen zur Verwendung von SUS zum Installieren von SP2 finden Sie im Abschnitt "Entwickeln von Software Update Services". Diese Methode wirkt sich auf Serverstandort, Serverkonfiguration und Netzwerkkapazität aus.
•	Bereitstellen des Service Packs mithilfe von SMS: Anleitungen zur Verwendung von SMS zum Installieren von SP2 finden Sie im Abschnitt "Entwickeln von Systems Management Server". Diese Methode wirkt sich auf den Serverstandort aus. (SMS bietet die Möglichkeit, die Netzwerkverwendung zu beschränken und dadurch zu minimieren.)
•	Bereitstellen des Service Packs mithilfe von Windows Installer und der Gruppenrichtlinie: Wenn Sie diese Methode verwenden möchten, sollten Sie über genaue Kenntnisse von Windows Installer verfügen sowie wissen, wie die Gruppenrichtlinie und Active Directory funktionieren. Weitere Informationen zu Windows Installer, der Gruppenrichtlinie und Active Directory finden Sie auf der Website Windows Deployment and Resource Kits (englischsprachig). Anleitungen zur Verwendung der Gruppenrichtlinie zum Installieren von SP2 finden Sie im Abschnitt "Entwickeln der Gruppenrichtlinie". Diese Methode wirkt sich auf Serverstandort, Serverkonfiguration und Netzwerkkapazität aus.

Remotebenutzer

Bei langsameren DFÜ-Verbindungen lässt sich oft nicht sicherstellen, dass das Service Pack tatsächlich übermittelt und installiert wird. SMS kann das Service Pack auf den Remotearbeitsstationen effizient bereitstellen, indem es bandbreitenbezogene Technologien nutzt, z. B. Microsoft® Internetinformationsdienste (Internet Information Services – IIS), Neustart des Prüfpunkts und den intelligenten Hintergrundübertragungsdienst (Background Intelligent Transfer Service – BITS).

Außerdem sollten Sie die Bereitstellung für einen Zeitpunkt planen, zu dem sich die Remotemitarbeiter im Büro befinden (eventuell während einer Firmenveranstaltung), und sie dann für die normalerweise kleinere Remotegruppe anders durchführen. Sie können aber auch entscheiden, dass das Erstellen und Verteilen von CD-ROMS für die Service Pack-Installation die beste Option für Remotebenutzer ist.

Anpassungen der Windows-Firewalls

Beim Entwerfen der SP2-Bereitstellung sollte das Implementierungsteam einen Plan entwickeln, der auf den Tests des neuen Features "Windows-Firewall" basiert. Damit SP2 in Ihrer Umgebung funktioniert, müssen Sie die Funktionsweise der Windows-Firewall entweder anpassen oder dieses Feature deaktivieren. In folgenden Handbüchern wird erläutert, wie die Windows-Firewall-Features angepasst und bereitgestellt werden können:

•	Windows XP Service Pack 2 - Einstellungen für die Internetverbindungsfirewall bereitstellen
•	Konfiguration der Windows Firewall von Microsoft Windows XP Service Pack 2 über eine INF-Datei
•	Using Windows XP Professional with Service Pack 2 in a Managed Environment: Controlling Communication with the Internet (englischsprachig)

Verketten von Updates, die nach SP2 veröffentlicht wurden

Bei den Windows XP-Updates wurde Qchain.exe-Funktionalität in das Installationsprogramm Update.exe integriert. Diese bietet Ihnen die Möglichkeit zum Installieren von SP2 und anschließend einer beliebigen Anzahl von Updates, die nach SP2 veröffentlicht wurden, ohne den Computer zwischen den einzelnen Installationen neu starten zu müssen. Berücksichtigen Sie beim Verketten von Updates mit SP2 die folgenden Punkte:

•	Wenn mehrere Updates während der Installation dieselbe Datei ersetzen, z. B. eine Systemdatei (DLL-Datei), stellt Qchain.exe sicher, dass die richtige Version beibehalten wird. Verwenden Sie deshalb bei der Installation mehrerer Updates die Option /z, die in Tabelle 2 kurz erläutert wird.
•	Wenn das zu installierende Update das Programm Update.exe nicht als Installationsmodul verwendet, müssen Sie dieses Update möglicherweise separat installieren.

Tabelle 2 führt die Befehlszeilenoptionen auf, die vom Update unterstützt werden.

Tabelle 2. Befehlszeilenoptionen für das Update

Befehlszeilenoption	Beschreibung
/f	Erzwingt, dass andere Anwendungen nach der Installation und vor dem Neustart geschlossen werden.
/n	Sichert keine Dateien für das spätere Entfernen von Updates.
/z	Startet den Computer nach Abschluss der Installation nicht neu.
/q	Verwendet den stillen Modus; zeigt keine Benutzeroberfläche an.
/o	Überschreibt OEM-Dateien ohne Nachfrage.
/u	Verwendet den unbeaufsichtigten Installationsmodus; erfordert keinen Benutzereingriff und zeigt nur schwerwiegende Fehler an.
/l	Listet installierte Updates auf.

Weitere Informationen zur Ausführung einer kombinierten Installation, bei der SP2 und die nach SP2 veröffentlichten Updates zusammen installiert werden, finden Sie im Handbuch zum Installieren und Bereitstellen von Microsoft Windows XP Service Pack 2.

Integrierte Installation und eigenständige Installation

Für SP2 gibt es zwei Installationsmethoden.

•	Integriert: Eine Methode, bei der Betriebssystem und Service Pack zusammen installiert werden. Verwenden Sie integrierte Installationen für neue Computer oder zum Ersetzen des Betriebssystems während einer Desktopbereitstellung.
•	Eigenständig: Ein Service Pack, das nicht in andere Software integriert ist und zum Aktualisieren des Betriebssystems verwendet werden kann, für das es entwickelt wurde. Mithilfe eigenständiger Installationen können Sie Computer, auf denen bereits Windows XP Professional ausgeführt wird, auf SP2 aktualisieren.

In diesem Handbuch wird der integrierte Installationsprozess nicht beschrieben. Weitere Informationen zu integrierten Installationen finden Sie im Handbuch zum Installieren und Bereitstellen von Microsoft Windows XP Service Pack 2. Anleitungen zum Planen und Ausführen einer integrierten Installation auf neuen Computern finden Sie in Solution Accelerator for Business Desktop Deployment (englischsprachig).

Zum Seitenanfang

Vorbereiten des Service Packs

Noch vor der Entwicklung eines Planes zum Bereitstellen von SP2 sollten Sie das Service Pack downloaden und für die Bereitstellung vorbereiten. Wenn Sie die nachstehenden Schritte durchgehen, erhalten Sie die Informationen, die zur Vervollständigung Ihres Bereitstellungsplans benötigt werden. Mehrere wichtige Informationen sollen Ihnen bei der Bereitstellungsplanung helfen.

•	Die komprimierte und unkomprimierte Größe des Service Packs: Wenn Ihnen diese Werte bekannt sind, können Sie einfacher festlegen, wie das Service Pack bereitgestellt und wo es während der Bereitstellung gespeichert werden soll. Dadurch verfügen Sie außerdem über die erforderlichen Daten zum Überprüfen von Netzwerkverbindungen und -geschwindigkeiten. Wenn Sie SMS verwenden möchten, können Sie den SMS-Client vorkonfigurieren, um die Durchführung eines umfangreichen Bereitstellungsprojekts zu erleichtern.
•	Die Komponenten, die bei einer SP2-Bereitstellung angepasst werden können, z. B. die Windows-Firewall: Ein und dieselbe Größe ist wahrscheinlich nicht für alle Komponenten geeignet, wenn Sie die Features und Optionen von SP2 steuern müssen. Es ist wichtig, dass Sie Ihre Optionen für eine benutzerdefinierte Bereitstellung verstehen, um eine starke Bereitstellungsrichtlinie entwickeln zu können.
•	Lesen der Infodatei und der Anmerkungen zur Version nach dem Dekomprimieren des Service Packs: Bei jedem von Microsoft veröffentlichten Service Pack sind in der Infodatei und den "Anmerkungen zu dieser Version" wichtige Informationen enthalten, die u. U. ein anderes Verteilungsverfahren erfordern. Lesen Sie diese Dateien deshalb sofort, nachdem Sie das Service Pack gedownloadet und dekomprimiert haben.
•	Die neuen Features, die die Computerlandschaft verändern könnten: SP2 enthält neue Features und Funktionen. Eine vollständige Beschreibung dieser Änderungen und deren mögliche Auswirkungen auf Ihre Unternehmensumgebung finden Sie unter Diese Funktionsänderungen bringt das Microsoft Windows XP Service Pack 2.

Schritt 1. Beschaffen des Service Packs

Downloaden Sie SP2 unter Windows XP Service Pack 2 - Ressourcen für IT-Profis. Zur Anpassung und Bereitstellung in Unternehmen müssen Sie das Netzwerkinstallationspaket downloaden.

Schritt 2. Entpacken des Service Packs

Beim Netzwerkinstallationspaket (Xpsp2.exe) handelt es sich um ein selbstextrahierendes Paket mit allen Dateien, die für die SP2-Installation auf einem Computer unter Windows XP erforderlich sind. Dieses Paket kopiert alle SP2-Dateien auf den Zielcomputer – ein effektives Verfahren für Administratoren, die einen freigegebenen Netzwerkordner für die Bereitstellung des Service Packs auf mehreren Computern einrichten möchten. Das Service Pack kann zwar als komprimierte Datei in der Form bereitgestellt werden, in der es von der Microsoft-Website gedownloadet wurde. Bei einem Unternehmen empfiehlt es sich jedoch, das Service Pack zu entpacken, damit es vor der Bereitstellung individuell angepasst werden kann. Führen Sie zum Entpacken von SP2 die folgenden Schritte aus:

1.	Downloaden Sie die vollständige Netzwerkinstallation von SP2 (Xpsp2.exe), und speichern Sie sie in einem neu erstellten Verzeichnis auf der Festplatte oder in einer Netzwerkfreigabe.
2.	Erstellen Sie einen Ordner für die zu extrahierenden SP2-Dateien.
3.	Geben Sie im Dialogfeld Ausführen oder an einer Eingabeaufforderung **Pfad\xpsp2.exe –x** ein; dabei steht Pfad für den Pfad zu der gedownloadeten Datei. Wählen Sie im angezeigten Dialogfeld den Ordner aus, den Sie in Schritt 2 erstellt haben.

Eine zusätzliche Befehlszeilenoption in Xpsp2.exe ermöglicht es Ihnen, die Aufforderung zur Eingabe des Pfades für die Service Pack-Extrahierung zu überspringen. Tabelle 3 führt die beiden Methoden zum Extrahieren des Service Packs auf.

Tabelle 3. Befehlszeilenoptionen für die Extraktion

Befehlszeilenoption	Beschreibung
/x	Diese Option extrahiert Service Pack-Dateien, ohne Update.exe zu starten. Sie werden aufgefordert, den Pfad für den Ordner anzugeben, in den Xpsp2.exe extrahiert werden soll.
*/u /x:Ordnername***	Diese Option extrahiert Service Pack-Dateien in den Service Pack-Ordner (hier durch Ordnername bezeichnet) ohne Eingabeaufforderung und ohne Start von Update.exe.

Schritt 3. Anpassen der Windows-Firewalls

SP2 umfasst wichtige Verbesserungen an der Windows-Firewall, der in früheren Windows XP-Versionen integrierten Internet Connection Firewall (ICF). Eine Verbesserung besteht darin, dass die Windows-Firewall während einer eigenständigen oder integrierten Installation von SP2 standardmäßig aktiviert ist. Infolgedessen benötigen Netzwerkadministratoren Flexibilität, um Änderungen an der Standardkonfiguration der Windows-Firewall während und nach der SP2-Installation vornehmen zu können. Das Implementierungsteam muss die Standardkonfiguration der Windows-Firewall möglicherweise aus den folgenden Gründen ändern:

•	Ein nicht von Microsoft stammendes Firewallprodukt ist aktiviert: Wenn in Ihrem Unternehmen bereits ein solches Produkt eingesetzt wird, sollten Sie SP2 mit deaktivierter Windows-Firewall installieren.
•	Sie verfügen über vorinstallierte Programme, die einen spezifischen, nicht angeforderten eingehenden Verkehr erfordern: Durch Tests der Anwendungskompatibilität kann ermittelt werden, bei welchen Anwendungen die Windows-Firewall angepasst werden muss, um einen kontinuierlichen Dienst zu ermöglichen.
•	Aufgrund besonderer Umgebungsanforderungen müssen Sie bestimmte Netzwerkanschlüsse im Voraus öffnen: SP2 ist so konzipiert, dass ein Computer unter Windows XP gesperrt und in einen vollständig sicheren Betriebsmodus versetzt wird. Deshalb müssen Sie die Windows-Firewall derart anpassen, dass sie zusammen mit den Anwendungen und Diensten in Ihrer Umgebung funktioniert. So funktionieren z. B. Verbindungen zu einer Microsoft® SQL Server™-Anwendung möglicherweise erst dann korrekt, nachdem die Windows-Firewall für den Zugriff auf einen bestimmten Anschluss konfiguriert wurde.

Die Windows-Firewall kann durch Ändern der zugehörigen INF-Datei (Netfw.inf), in der die Standardkonfiguration gespeichert ist, vorkonfiguriert werden. Während einer eigenständigen oder integrierten Installation von SP2 importiert die Windows-Firewall deren Konfiguration in diese INF-Datei. Folglich werden Änderungen, die vor der SP2-Installation an der INF-Datei vorgenommen werden, automatisch in die Standardkonfiguration der Windows-Firewall einbezogen.

In diesem Handbuch werden die einzelnen Schritte zum Anpassen der Windows-Firewall nicht erläutert. Entsprechende Informationen finden Sie jedoch unter den folgenden Ressourcen:

•	Konfiguration der Windows Firewall von Microsoft Windows XP Service Pack 2 über eine INF-Datei: Netzwerkadministratoren können Standardeinstellungen mithilfe der INF-Datei der Windows-Firewall (Netfw.inf) vor oder nach der Installation ändern. In diesem Artikel wird die Verwendung der INF-Datei beschrieben.
•	Windows XP Service Pack 2 - Einstellungen für die Internetverbindungsfirewall bereitstellen: In diesem Whitepaper werden die Methoden beschrieben, mit denen Windows-Firewall-Einstellungen in einer verwalteten Umgebung bereitgestellt werden.

Zum Seitenanfang

Entwickeln von Software Update Services

In den folgenden Abschnitten wird beschrieben, wie SP2 mithilfe von SUS bereitgestellt werden kann:

•	"Serverstruktur": Dieser Abschnitt hilft Ihnen beim Bewerten der aktuellen SUS-Infrastruktur.
•	"Serverkonfiguration": In diesem Abschnitt wird beschrieben, wie die SUS-Server konfiguriert werden.
•	"Clientkonfiguration": In diesem Abschnitt wird beschrieben, wie die SUS-Clients für SP2 konfiguriert werden.

Serverstruktur

SUS kann in vielen Konfigurationen bereitgestellt werden, doch für die meisten Konfigurationen trifft eine von zwei Kategorien zu: Bereitstellung auf einem einzigen SUS-Server oder Bereitstellung auf hierarchischen SUS-Servern. In diesem Abschnitt werden beide Strukturen zur Verwendung bei der SP2-Bereitstellung beschrieben.

Bereitstellung auf einem einzigen SUS-Server

Bei dieser Konfiguration nutzen alle Clients im Unternehmen den einzigen SUS-Server für sämtliche Clientupdates und Service Packs – einschließlich SP2. Alle Updates werden auf einem einzigen Server genehmigt und an alle Clients übermittelt, die diesen Server verwenden.

Diese Konfiguration könnte für ein kleines Unternehmen oder eine kleine Arbeitsgruppe (maximal 25 Clients) in Frage kommen. Sie ist aber möglicherweise nicht geeignet, wenn ein Unternehmen größer ist, über mehrere Abteilungen verfügt oder besser steuern möchte, wann das Service Pack bereitgestellt wird.

Bei dieser Konfiguration würden mehrere Abteilungen, Arbeitsgruppen oder Unternehmenseinheiten denselben SUS-Server nutzen. Die Topologie mit einem einzigen SUS-Server bietet jedoch keine maximale Flexibilität für größere Umgebungen. In größeren Umgebungen möchten Sie SP2 normalerweise nicht auf sämtlichen Computern gleichzeitig in derselben Arbeitsgruppe installieren. Deshalb sollten Sie es auf hierarchischen SUS-Servern bereitstellen.

Bereitstellung auf hierarchischen SUS-Servern

Eine Hierarchie von SUS-Servern bietet mehrere Vorteile:

•	Sie können das Service Pack einmal bei Microsoft downloaden und dann in Ihrem Intranet verwalten.
•	Sie können wählen, wann SP2 (und andere Softwareupdates) auf Clients bereitgestellt werden soll(en), ohne das Risiko der gleichzeitigen Bereitstellung auf allen Computern einzugehen.
•	Sie können die Bandbreite steuern und die Last verteilen. Clientgruppen verwenden verschiedene Server, möglicherweise in verschiedenen Subnetzen.

Sie können eine vorhandene Bereitstellung auf einem einzigen SUS-Server in ein hierarchisches Modell mit einem übergeordneten SUS-Server konvertieren, der mehrere untergeordnete SUS-Server enthält (siehe Abbildung 1). Wenn Sie noch keine SUS-Server bereitgestellt haben, können Sie eine eigene SUS-Hierarchie völlig neu entwickeln. Im vorliegenden Handbuch wird allen Fällen vorausgesetzt, dass Sie SUS erfolgreich auf einen einzigen Server in Ihrer Umgebung geladen haben.

In diesem Modell verwendet keiner der Clientcomputer den übergeordneten SUS-Server zum Empfang von Updates. Stattdessen wird SP2 von allen Clients über einen der untergeordneten SUS-Server empfangen. Es wird vorgeschlagen, dass Sie außerdem einen getrennten SUS-Testserver mit einem repräsentativen Clientbeispiel beibehalten, um zunächst die Auswirkung von SP2 abzuschätzen, bevor Sie es auf einer umfangreicheren Produktionsebene einführen.

Mithilfe dieses hierarchischen SUS-Entwurfs können Administratoren besser steuern, welche Clientzusammenstellungen aktualisiert werden sollen. Beachten Sie, dass SP2 auf dem übergeordneten Server als Genehmigt ausgewählt werden muss. Andernfalls steht es zur Installation auf den untergeordneten SUS-Servern nicht zur Verfügung.

Abbildung 1. Vorgeschlagene SUS-Hierarchie
Bild maximieren

Hinweis: Informationen zum Downloaden von Microsoft SUS finden Sie unter Software Update Services Home (englischsprachig).

Serverkonfiguration

Damit eine SUS-Hierarchie vorhanden ist, müssen sowohl die übergeordneten als auch die untergeordneten SUS-Server korrekt konfiguriert werden. Dazu legen Sie die Optionen auf der Seite Set Options der über- und untergeordneten SUS-Server fest:

•

Wählen Sie auf der Seite Set Options der über- und untergeordneten SUS-Server die Option Save updates to a local folder aus.

•

Wählen Sie auf der Seite Set Options des übergeordneten Servers alle Gebietsschemata, die der untergeordnete Server verwenden muss. Wählen Sie auf jedem untergeordneten Server nur die Gebietsschemata, die von diesem untergeordneten Server unterstützt werden müssen. Stellen Sie sicher, dass für alle Gebietsschemata ausreichend Speicherplatz vorhanden ist.

Hinweis: Der Versuch, Gebietsschemata auf SUS-Servern der zweiten Stufe zu synchronisieren, die vom übergeordneten SUS-Server nicht gedownloadet wurden, können zu Fehlern in den SUS-Protokollen führen.

•

Wählen Sie auf der Seite Set Options des untergeordneten Servers die Option Synchronize from a local Software Updates Services server, und geben Sie dann den Namen des übergeordneten SUS-Server ein (siehe Abbildung 2).

Abbildung 2. Konfiguration des untergeordneten Servers
Bild maximieren

In diesem Handbuch wird auch empfohlen, dass Sie die Option Synchronize list of approved items updated from this location (replace mode) deaktivieren, wodurch sichergestellt wird, dass auf dem übergeordneten Server genehmigte Aktualisierungen nicht automatisch auf den untergeordneten SUS-Servern genehmigt sind. Auf diese Weise können Sie die von Ihnen gewählten Aktualisierungen für bestimmte Computerzusammenstellungen genehmigen.

Hinweis: Konfigurieren Sie Ihre untergeordneten SUS-Server so, dass sie spätestens eine Stunde, nachdem der übergeordnete Server die Aktualisierungen von den Microsoft-Servern abgerufen hat, automatisch mit dem übergeordneten SUS-Server synchronisiert werden.

Clientkonfiguration

Nachdem Ihre übergeordneten und untergeordneten SUS-Server bereitgestellt sind, müssen Sie festlegen, welche Clientcomputer welchen untergeordneten Server verwenden. Die Clients erhalten das SP2-Paket nur von untergeordneten und nicht von übergeordneten Servern.

Eine typische Active Directory-Domänenumgebung verfügt über viele Organisationseinheiten, deren Computerkonten bereits eingerichtet sind. Sie können Ihre Windows XP-Clientcomputer mithilfe zweier Methoden anweisen, die Aktualisierung von einem bestimmten untergeordneten SUS-Server durchzuführen: Verwenden von GPOs (Group Policy Objects), die mit den Organisationseinheiten verknüpft sind oder Verwenden von Gruppenmitgliedschaften.

Bereitstellen von SP2 mithilfe von GPOs, die mit Organisationseinheiten verknüpft sind

Sie können GPOs mit Organisationseinheiten verknüpfen, die Computerobjekte enthalten, wie in Abbildung 3 gezeigt. Alle Computer innerhalb der Organisationseinheit verwenden den in der GPO festgelegten SUS-Server. Daher installieren alle Computer innerhalb der Organisationseinheit das SP2 innerhalb von 24 bis 48 Stunden, wenn dieses auf einem bestimmten untergeordneten Server genehmigt wurde.

Abbildung 3. Verwenden von Organisationseinheiten zum Bereitstellen von SP2
Bild maximieren

Das Sie steuern können, welche Clientcomputer einen bestimmten SUS-Server einsetzen, ist diese Methode ideal zum Steuern der Bandbreitenverwendung geeignet. Diese Methode ist jedoch nicht optimal dafür geeignet sicherzustellen, dass die Installationen von SP2 auf den Computern in der Arbeitsgruppe gestaffelt erfolgen. Sie sollten wieder sicherstellen, dass nicht alle Computer einer bestimmten Arbeitsgruppe oder Geschäftseinheit gleichzeitig betroffen sind.

Bereitstellen von SP2 mithilfe der Gruppenmitgliedschaft

Anstelle das GPO auf Organisationseinheitsebene zu verknüpfen, können Sie Sicherheitsgruppen für Ihre Clientcomputer erstellen, die verschiedene Organisationseinheiten umfassen. Dann erstellen und verknüpfen Sie GPOs auf Domänenebene, filtern dabei aber nach bestimmten Sicherheitsgruppen, die diese Computerkonten enthalten. Wie in Abbildung 4 gezeigt, werden drei Sicherheitsgruppen erstellt, die sich über Organisationseinheitsgrenzen hinweg erstrecken:

•	COMPUTER-GRUPPE1 enthält Vertrieb-Computer1, Marketing-Computer1 und Personal-Computer1.
•	COMPUTER-GRUPPE2 enthält Vertrieb-Computer2, Marketing-Computer2 und Personal-Computer2.
•	COMPUTER-GRUPPE3 enthält Vertrieb-Computer3, Marketing-Computer3 und Personal-Computer3. Abbildung 4. Bereitstellen von SP2 mithilfe der Gruppenmitgliedschaft Bild maximieren

Dann werden drei einzelne GPOs mit der Domäne verknüpft, die festlegen, welchen SUS-Server die einzelnen Gruppen verwenden. Das GPO wird jedoch von der Sicherheitsgruppe gefiltert. In diesem Beispiel werden die GPOs Untergeordneten SUS-Server 1 verwenden, Untergeordneten SUS-Server 2 verwenden und Untergeordneten SUS-Server 3 verwenden alle mit der Domäne verknüpft.

In Abbildung 5 wird die Gruppe "Authentifizierte Benutzer" aus dem Abschnitt für die Sicherheitsfilterung des GPOs entfernt und dafür COMPUTER-GRUPPE1 hinzugefügt. Daher wird das GPO Untergeordneten SUS-Server 1 verwenden nur auf Computer in der Sicherheitsgruppe COMPUTER-GRUPPE1 angewendet.

Abbildung 5. Bereitstellen von SP2 mithilfe der Sicherheitsfilterung innerhalb eines GPOs
Bild maximieren

Für jedes neu von Ihnen erstellte GPO müssen Sie die Einstellungen festlegen, die jeder Zusammenstellung von Clientcomputern mitteilt, wann das SP2 installiert werden muss und von welchem untergeordneten SUS-Server der Download erfolgt. Diese Einstellungen befinden sich unter Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Windows Update. Das clientseitige SUS-Verhalten wird von vier Richtlinieneinstellungen bestimmt:

•	Automatische Updates konfigurieren: Nachdem Sie diese Richtlinieneinstellung, wie in Abbildung 6 gezeigt, aktiviert haben, können Sie angeben, wann diese Computerzusammenstellung das SP2 vom SUS-Server installiert. Die wichtigste Einstellung, die Sie ändern müssen, ist jedoch Automatische Updates konfigurieren. Wenn hier der Wert 4 festgelegt wird, installiert der Client die genehmigten Softwareaktualisierungen zum angegebenen Zeitpunkt, einschließlich SP2, wenn dieses auf dem festgelegten untergeordneten SUS-Server ausgewählt ist. Beachten Sie, dass zwischen 24 und 48 Stunden dauern kann, bevor diese Einstellung nach Genehmigung von SP2 auf dem untergeordneten SUS-Server wirksam wird. Abbildung 6. Konfigurieren automatischer Updates Bild maximieren
•	Internen Pfad für den Microsoft Updatedienst angeben: Sie müssen diese Richtlinieneinstellung aktivieren, damit die Clientcomputer einen untergeordneten SUS-Server suchen können. Dann geben Sie in die beiden Textfelder Interner Updatedienst zum Ermitteln von Updates und Intranetserver für die Statistiken den Namen des untergeordneten SUS-Servers in der Form *http://Servername*** ein.
•	Geplante Installationen automatischer Updates erneut planen: Wenn ein Clientcomputer zum Zeitpunkt der geplanten SP2-Installation ausgeschaltet ist, können Sie festlegen, dass das Service Pack beim nächsten Neustart des Computers installiert wird, bevor sich der Benutzer auf dem Computer anmeldet. Aktivieren Sie diese Richtlinie um sicherzustellen, dass das SP2 installiert wird.
•	Kein automatischer Neustart für geplante Installationen automatischer Updates: Mithilfe dieser Einstellung können Sie auswählen, ob der Computer neu gestartet wird, falls der Benutzer auf diesem angemeldet ist. Wenn diese Einstellung aktiviert ist, werden angemeldete Benutzer gefragt, ob der Neustart des Computers akzeptiert wird. Wenn diese Einstellung deaktiviert oder nicht konfiguriert ist, werden angemeldete Benutzer darüber informiert, dass sie 5 Minuten Zeit haben, um ihre Arbeit zu sichern, bevor der Neustart des Computers erzwungen wird.

Entwickeln von Systems Management Server

Die Verwendung von SMS stellt die einfachste und sicherste Methode zum erfolgreichen und ordnungsgemäßen Bereitstellen von SP2 für Ihr Unternehmen dar. Wenn Sie SMS bereits für Softwareverteilungen und Sicherheitsaktualisierungen verwenden, müssten schon eine Richtlinie und eine Umgebung für die Softwareverteilung entwickelt worden sein. Diese Umgebung sollte mindestens aus den folgenden Schritten bestehen:

•	Bewerten Sie die Umgebung fortlaufend, indem Sie die Architektur der Softwareverteilung überprüfen, den SMS-Clientumfang und dessen Zustand verwalten und Inventarisierungen durchführen.
•	Downloaden Sie das SP2, und ermitteln Sie dessen Bedeutung für die Umgebung. Prüfen Sie die Authentizität des Service Packs, indem Sie es auf einem isolierten System installieren, und ermitteln Sie anschließend den Zeitrahmen für die Durchsetzung. Weitere Informationen finden Sie im Abschnitt "Vorbereiten des Service Packs".
•	Beurteilen und Planen Sie die SP2-Bereitstellung, um sicherzustellen, dass die Tests, die Risikobewertung sowie die Freigabeprozesse bereit sind. Weitere Informationen finden Sie im Abschnitt "Entwerfen der Bereitstellung".
•	Führen Sie die SP2-Bereitstellung durch, die das Verteilen und Installieren des Service Packs einbezieht, überwachen Sie den Fortschritt und Erfolg bzw. die Fehler der Bereitstellung und zeichnen Sie diese auf, behandeln Sie Ausnahmen und überprüfen Sie die Bereitstellung.

Beurteilen der Umgebung

Vor der Entwicklung des Bereitstellungsplans und der Verteilungszeitpläne überprüfen Sie Ihre aktuelle SMS-Infrastruktur, einschließlich der Möglichkeit, Software zu verteilen und einschließlich sämtlicher SMS-Clientanforderungen für die Teilnahme an der Einführung (Rollout). Überprüfen Sie die folgenden Richtlinien, damit Ihre SP2-Bereitstellung erfolgreich verläuft.

Suchen und Korrigieren Sie problematische Clients

Finden Sie alle SMS-Clients, die in letzter Zeit keinen Bericht erstellt haben und deren Einträge möglicherweise in der SMS-Verwaltungskonsole nicht vorhanden sind. In einigen Fällen müssen Sie den SMS-Client möglicherweise neu installieren oder reparieren, um sicherzustellen, dass der Computer für die SP2-Installation geeignet ist.

Erfassen und Prüfen des Computerbestands

Stellen Sie vor der SP2-Bereitstellung sicher, dass alle SMS-Clients ihren Bestand gemeldet haben. Ändern Sie den Zeitplan für die Hardware und Software, damit die SMS-Clients die Bestandsaufnahmezyklen einen Tag vor der Bereitstellung von SP2 durchführen, um sicherzustellen, dass die SMS-Daten zum Erstellen von Abfragen und Sammlungen geeignet sind. Wenn Sie die Bestandsaufnahme für die Hardware und Software erzwingen müssen, bevor der SMS-Client den aktualisierten Zeitplan für die Bestandsaufnahme erhält (z. B. Remoteclients), können Sie die in Liste 1 und Liste 2 gezeigten VBScript-Skripts verteilen, um die Bestandsaufnahmezyklen zu erzwingen.

Liste 1. Erzwingen der Bestandsaufnahme für die Hardware

Set cpApplet = CreateObject("CPAPPLET.CPAppletMgr")
Set actions = cpApplet.GetClientActions
For Each action In actions
    If Instr(action.Name,"Hardware Inventory") > 0 Then
        action.PerformAction
End if
Next

Liste 2. Erzwingen der Bestandsaufnahme für die Software

Set cpApplet = CreateObject("CPAPPLET.CPAppletMgr")
Set actions = cpApplet.GetClientActions
For Each action In actions
    If Instr(action.Name,"Software Inventory") > 0 Then
        action.PerformAction
End if
Next

Testen der SMS-Softwarebereitstellung

Es gibt zwei hauptsächliche Möglichkeiten, um auf eine erfolgreiche SP2-Bereitstellung hin zu testen:

•	Testen Sie die Implementierung der Softwareverteilung der Produktionsumgebung hinsichtlich der Verbindungen und der Berichterstellung.
•	Testen Sie das SP2 hinsichtlich der Installation auf Computern, die für die Produktionsumgebung repräsentativ sind.

Stellen Sie ein Testpaket (eine inaktive Nutzlast) für eine oder mehrere Zusammenstellungen innerhalb der Produktionsumgebung bereit, um die SMS 2003-Umgebung, den Bestand, die Zusammenstellungen und Verbindungen zu testen. Wenn ein Administrator ein Verteilungspaket bereitstellt, das nur ein Testpaket enthält, generiert es alle SMS 2003-Berichte und Statusmeldungen, die anzeigen, wie das Update erfolgreich alle angestrebten Computer erreicht hat. Das Testpaket hat jedoch keine Auswirkungen auf die Produktionsumgebung. Es verändert die Zielcomputer nicht und erzwingt auch keine Neustarts.

Hinweis: Das SMS 2003 Toolkit 1 umfasst ein Tool für Testpakete und steht unter folgender Adresse kostenlos zum Download bereit: Systems Management Server 2003 Toolkit 1 (nur auf Englisch verfügbar).

Erhöhen der erweiterten Clientcachegröße

Wenn Sie den erweiterten SMS-Client unter Verwendung der Standardwerte installieren, wird der Downloadcache mit einer Größe von 250 MB erstellt. Das SP2 umfasst ungefähr 270 MB, deshalb müssen Sie die Größe des Downloadcaches erhöhen, der für die SMS-Clients bei der Vorbereitung der SP2-Bereitstellung reserviert wird. Das in Liste 3 gezeigte VBScript-Skript prüft, ob die Standardgröße von 250 MB für den Cache verwendet wird. Ist dies der Fall, vergrößert es den verfügbaren Downloadcache auf 1 GB. (Sie können den Wert für nValueToSet ändern, um die gewünschte Cachegröße anzugeben.) Verteilen Sie das Skript an alle Windows XP-Computer.

Liste 3. Erhöhen des erweiterten Clientdownloadcaches

On Error Resume Next
 Dim nValueToCheck
Dim nValueToSet
 Dim oUIResource
Dim oCache
 Set oUIResource = CreateObject("UIResource.UIResourceMgr")
Set objCacheInfo = oUIResource.GetCacheInfo
 nValueToCheck = 250
nValueToSet = 1000
 ' Set the cache size if it's less than or equal to 250
if objCacheInfo.TotalSize <= nValueToCheck then
    objCacheInfo.TotalSize = nValueToSet
end if

Vorbereiten auf die Bereitstellung

Sie müssen vor der Bereitstellung von SP2 in Ihrer Organisation einige vorbereitende Schritte durchführen. Führen Sie die in den folgenden Abschnitten beschriebenen Schritte mithilfe des Bereitstellungsplans zum Eintragen der erforderlichen Daten durch.

Hinweis: Microsoft hat eine Liste potenzieller Probleme zusammengestellt, deren Sie sich vor der Bereitstellung von SP2 in einer SMS-Umgebung bewusst sein sollten. Prüfen Sie alle SMS-Clientprobleme und Problemumgehungen, die in Systems Management Server 2003 - Häufig gestellte Fragen zu Clients enthalten sind.

Erstellen von Zusammenstellungen

Zusammenstellungen, in denen Mitgliedschaftsrecheln auf Abfragen basieren, sind dynamisch. Nachdem Sie die anfängliche Mitgliedschaftsliste erstellt haben, werden Clients automatisch zur Zusammenstellung hinzugefügt oder aus dieser entfernt. Nachdem Sie die anfängliche Mitgliedschaftsliste erstellt haben, fügt SMS Clientcomputer hinzu oder entfernt diese, wenn sich ihre Attribute ändern (obwohl Clientupdates nicht deinstalliert werden, wenn der Client aus der Zusammenstellung entfernt wird). In einer dynamischen Umgebung hält SMS die Zusammenstellung auf aktuellem Stand, um sicherzustellen, dass nur die geeigneten Clients verteilte Programme erhalten.

Eine eigenständige SP2-Installation kann nur auf einem Computer durchgeführt werden, der Windows XP Home Edition oder Windows XP Professional ausführt, daher müssen Sie eine auf Abfragen basierende Zusammenstellung erstellen, die alle Windows XP-Computer in Ihrer Organisation sucht. Führen Sie die folgenden Schritte aus, um eine Zusammenstellung zu erstellen:

Klicken Sie in der SMS-Administratorkonsole im linken Bereich auf Standortdatenbank und anschließend auf Sammlungen.

Klicken Sie mit der rechten Maustaste auf Sammlungen, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Sammlung.

Vervollständigen Sie im Dialogfeld Sammlungseigenschaften diese Einstellungen auf den folgenden Registerkarten:

•	Geben Sie auf der Registerkarte Allgemein die allgemeinen Daten für die Zusammenstellung an.
•	Geben Sie auf der Registerkarte Mitgliedschaftsregeln an, wie und wann Ressourcen zur Zusammenstellung hinzugefügt werden. Fügen Sie die Windows XP-Abfragen zum Bereich Mitgliedschaftsregeln hinzu, wie in Abbildung 7 gezeigt. Abbildung 7. Mitgliedschaftsregeln der Windows XP-Zusammenstellung

Nachdem die Zusammenstellung erstellt wurde, verwenden Sie die in Liste 4 gezeigten Abfragen, um Ihre Windows XP-Zusammenstellung zu erstellen.

Hinweis: Die Zeile wurde zur besseren Lesbarkeit in mehrere Zeilen unterteilt. Wenn Sie diese Zeile in einem System testen möchten, müssen Sie sie als einzelne Zeile ohne Zeilenumbruch eingeben.

Liste 4. Mitgliedschaftsabfragen der Windows XP-Zusammenstellung

select sms_r_system.ResourceID,sms_r_system.ResourceType,
sms_r_system.Name,sms_r_system.SMSUniqueIdentifier,
sms_r_system.ResourceDomainORWorkgroup,sms_r_system.Client from 
sms_r_system where OperatingSystemNameandVersion like '%Workstation 5.1%'
 select SMS_R_System.ResourceID,SMS_R_System.ResourceType,
SMS_R_System.Name,SMS_R_System.SMSUniqueIdentifier,
SMS_R_System.ResourceDomainORWorkgroup,SMS_R_System.Client from 
SMS_R_System inner join SMS_G_System_OPERATING_SYSTEM on 
SMS_G_System_OPERATING_SYSTEM.ResourceID = SMS_R_System.ResourceId 
where SMS_G_System_OPERATING_SYSTEM.Version = "5%"

Erstellen des Pakets

Als nächstes generieren Sie einen leeren Eintrag oder ein Paket, in das das Programm abgelegt wird. Führen Sie die folgenden Schritte aus, um ein Paket zu erstellen:

Klicken Sie in der SMS-Administratorkonsole im linken Bereich auf Standortdatenbank und anschließend auf Pakete.

Klicken Sie mit der rechten Maustaste auf Pakete, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Paket.

Vervollständigen Sie im Dialogfeld Paketeigenschaften, das in Abbildung 8 gezeigt wird, diese Einstellungen auf den folgenden Registerkarten:

•	Geben Sie auf der Registerkarte Allgemein die allgemeinen Daten für ein Paket an, z. B. den Paketnamen und die Version.
•	Geben Sie auf der Registerkarte Datenquelle die Einstellungen für die Datenquelle an, z. B. den Quellordner des Pakets (der Ordner, in dem die SP2-Dateien gespeichert werden).
•	Konfigurieren Sie auf der Registerkarte Datenzugriff den Zugriff auf diese Paketdatendateien, z. B. den Verteilungsfreigabenamen.
•	Konfigurieren Sie auf der Registerkarte Verteilungseinstellungen die Einstellungen für den Verteilungspunkt, z. B. das Planen von Aktualisierungen für die Paketdaten.
•	Konfigurieren Sie auf der Registerkarte Berichterstellung, wie SMS die Paketstatusinformationen erkennt.
•	Geben Sie auf der Registerkarte Sicherheit die Sicherheitseinstellungen für das neue Paket an.

SMS zeigt das neue Paket in der SMS-Administratorkonsole an und fügt das Paketzugriffskonto "Benutzer" mit Leseberechtigung zu den Zugriffskonten für dieses Paket hinzu.

Abbildung 8. Erstellen eines Pakets

Erstellen des Programms

Nachdem der Paketeintrag erstellt wurde, müssen Sie die eigentlichen Programmdaten (vollständiger Pfad- und Dateiname) darin ablegen. Führen Sie die folgenden Schritte aus, um die Programmdaten zu erstellen:

Klicken Sie in der SMS-Administratorkonsole im linken Bereich auf Standortdatenbank, dann auf Programme, und klicken Sie anschließend auf Pakete, Paket, wobei Paket das von Ihnen im vorherigen Abschnitt erstellte Paket darstellt.

Klicken Sie mit der rechten Maustaste auf Programme, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Programm.

Vervollständigen Sie im Dialogfeld Programmeigenschaften, das in Abbildung 9 gezeigt wird, diese Einstellungen auf den folgenden Registerkarten:

•	Geben Sie auf der Registerkarte Allgemein die allgemeinen Paketeigenschaften an.
•	Geben Sie auf der Registerkarte Anforderungen den Prozessor und die Betriebssystemplattformen (Windows XP) an.
•	Geben Sie auf der Registerkarte Umgebung die Benutzereinstellungen, Laufwerksmodi und andere Eigenschaften an.
•	Geben Sie auf der Registerkarte Erweitert ein vorausgesetztes Programm und andere erweiterte Einstellungen an. Abbildung 9. Programmeinstellungen

Verteilen des Pakets

Nachdem das Paket erstellt wurde, ist das SP2 für die Bereitstellung auf den Verteilungspunkten bereit. Führen Sie die folgenden Schritte durch, um die SP2-Bereitstellung für die Verteilungspunkte zu starten:

1.	Klicken Sie in der SMS-Administratorkonsole im linken Bereich auf Standortdatenbank und anschließend auf Pakete.
2.	Klicken Sie mit der rechten Maustaste auf das an die Verteilungspunkte zu sendende Paket, zeigen Sie dann auf Alle Aufgaben, und klicken Sie anschließend auf Verwalten der Verteilungspunkte.
3.	Beenden Sie den Assistenten zum Verwalten der Verteilungspunkte, wie in Abbildung 10 gezeigt, und klicken Sie dann auf Fertig stellen.

SMS sendet eine Kopie der Paketdaten an jeden neuen Verteilungspunkt.

Abbildung 10. Assistent zum Verwalten der Verteilungspunkte

Bereitstellen von SP2

Nachdem alle Vorbereitungen für die Bereitstellung abgeschlossen sind und auch die zugehörige Autorisierung erhalten wurde, können Sie das SP2 bereitstellen. Die Bereitstellung bedeutet mehr, als einfach einen Schalter umzulegen und dem Service Pack die Verteilung in der Organisation zu erlauben: Die Bereitstellung muss überwacht werden und erfordert möglicherweise eine Problembehandlung. Die Bereitstellung bedeutet auch, darauf zu achten, dass die SMS-Clients die SMS-Ankündigungen erhalten, das Programm gestartet und das Programm korrekt installiert sowie die auf die Installation folgenden Aufgaben durchgeführt haben. Der erste Schritt bei der Bereitstellung ist das Erstellen und Konfigurieren der Ankündigung, einschließlich dem Einrichten des Zeitplans für die Bereitstellung:

Klicken Sie in der SMS-Administratorkonsole im linken Bereich auf Standortdatenbank und anschließend auf Ankündigungen.

Klicken Sie mit der rechten Maustaste auf Ankündigungen, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Ankündigung.

Vervollständigen Sie im Dialogfeld Ankündigungseigenschaften, das in Abbildung 11 gezeigt wird, diese Einstellungen auf den folgenden Registerkarten:

•	Geben Sie auf der Registerkarte Allgemein den Ankündigungsnamen, die Sammlung der Clients, das Paket und das Programm an.
•	Auf der Registerkarte Zeitplan legen Sie den Zeitplan für das Programm fest, das auf den Clients auf Basis des von Ihnen entwickelten Einführungszeitplans ausgeführt werden soll. Wenn Sie für die Ankündigung keinen Zeitplan festlegen, stellt SMS das Programm sofort zur Verfügung.
•	Geben Sie auf der Registerkarte Sicherheit die Sicherheitseinstellungen für die neue Ankündigung an.

SMS sendet die Ankündigungsdaten, einschließlich der Zeitplandaten, an Clientzugriffspunkte (Client Access Points – CAPs) des Standorts.

Abbildung 11. Dialogfeld mit Ankündigungseigenschaften für Service Pack 2

Überwachen der Bereitstellung

Nachdem die SP2-Bereitstellung gestartet wurde, müssen Sie ermitteln, ob die Clients die Ankündigung erfolgreich ausgeführt haben. Es gibt verschiedene SMS 2003-Tools mit denen Sie die zurückgegebenen Statusmeldungen der SMS-Clients überprüfen können. Eines dieser Tools, die Ankündigungsstatusanzeige, bietet eine Ansicht des Bereitstellungsstatus der Ankündigung auf Basis ihrer Statusmeldungen. Der Administrator ermittelt erst Folgendes, bevor die Statusmeldungen vollständig genutzt werden können:

•	Welche Clients in der Sammlung enthalten sind, aber keine Ankündigung erhalten haben.
•	Welche Clients die Ankündigung erhalten, diese aber nicht ausgeführt haben.
•	Welche Clients das Service Pack nicht erfolgreich ausführen konnten.

Die Statusmeldungen teilen nur mit, ob die Ankündigung ausgeführt wurde. Das Installationsprogramm installiert alle neuen, genehmigten Aktualisierungen. Der SMS-Administrator analysiert die Statusmeldungen, um zu ermitteln, wann das Programm zuletzt erfolgreich auf den einzelnen Clients ausgeführt wurde. Dadurch kann er prüfen, ob eine erfolgreiche Ausführung des Programms auf den Clients erfolgt ist. Der SMS-Administrator untersucht Verzögerungen, die z. B. auftreten können, wenn ein SMS-Client nicht eingeschaltet ist oder nicht ordnungsgemäß funktioniert.

Der SMS-Administrator prüft auch Statusmeldungen, um die Anzahl der Desktopbenutzer zu ermitteln, die das Service Pack freiwillig installiert haben sowie die Anzahl der Benutzer, bei denen die Installation erzwungen wurde und wie die Benutzer, die das Service Pack installiert haben, mit den Neustarts und der geplanten Installation umgehen.

Aufräumen nach der Bereitstellung

Nach der SP2-Bereitstellung sollten Sie diese überprüfen und weitere Untersuchungen anstellen, um sicherzustellen, dass sich neue Computer weiterhin erfolgreich mit dem Netzwerk verbinden können. Remotemitarbeiter haben die Ankündigung z. B. möglicherweise noch nicht erhalten.

Setzen Sie nach der Service Pack-Bereitstellung einen weiteren Bestandsaufnahmezyklus für die Software und Hardware auf den SMS-Clientcomputern durch, um die Daten in der SMS-Datenbank zu aktualisieren. Verwenden Sie Abfragen, um zu überprüfen, dass sich alle gewünschten Computer auf der Ebene SP2 befinden. Verwenden Sie die in Liste 5 gezeigte Abfrage, um die Windows XP-Versionsebenen für alle Computer in Ihrer Organisation anzuzeigen.

Liste 5. Neubewertung der Windows XP-Versionsebenen

select SMS_G_System_COMPUTER_SYSTEM.Name, 
SMS_G_System_OPERATING_SYSTEM.Version, 
SMS_G_System_OPERATING_SYSTEM.BuildNumber 
from  SMS_R_System inner join SMS_G_System_COMPUTER_SYSTEM 
on SMS_G_System_COMPUTER_SYSTEM.ResourceID = SMS_R_System.ResourceId 
inner join SMS_G_System_OPERATING_SYSTEM on 
SMS_G_System_OPERATING_SYSTEM.ResourceID = SMS_R_System.ResourceId where 
SMS_G_System_OPERATING_SYSTEM.Version > "5%" order by 
SMS_G_System_OPERATING_SYSTEM.Version, 
SMS_G_System_OPERATING_SYSTEM.BuildNumber

Wenn Sie Windows XP-Computer bemerken, die das SP2 nicht ordnungsgemäß installiert haben oder sich nicht korrekt melden, dann untersuchen Sie diese einzeln, um sicherzustellen, dass die SMS-Daten korrekt sind und das SP2 ordnungsgemäß installiert werden kann.

Entwickeln der Gruppenrichtlinie

Sie können die in Active Directory integrierte Technologie verwenden, um die SP2-Bereitstellung zu inszenieren. Wenn Sie die Gruppenrichtlinie zum Bereitstellen von SP2 gewählt haben, wird in diesem Handbuch empfohlen, dass die Clients das SP2 von der am dichtesten gelegenen, nicht zum Netzwerk gehörenden Quelle downloaden. Das Bereitstellen von SP2 über die Gruppenrichtlinie besteht aus drei Hauptschritten:

•

Einrichten einer Freigabe und optionale Verwendung des verteilten Dateisystems (Distributed File System – DFS)

•

Platzieren des Service Packs in der Freigabe oder in allen Freigaben, die vom DFS verwendet werden

•

Eingrenzen bestimmter Computer mithilfe der Gruppenrichtlinien-Softwareinstallation

Hinweis: Wenn sich ein Windows XP-Clientcomputer im Bereich einer GPO befindet, muss dieser zwei Mal neu gestartet werden, um die Anforderung zu verarbeiten. Zu diesem Zeitpunkt wird das SP2 installiert, während der Computer neu gestartet wird.

Konfigurieren des DFS für SP2

In diesem Handbuch wird empfohlen, dass Sie eine DFS-Konfiguration für die SP2-Bereitstellung in einer Hub-and-Spoke-Konfiguration einrichten. In Abbildung 12 wird ein Beispiel gezeigt, dass den meisten Organisation mit mehreren Active Directory-Standorten entsprechen sollte. In dieser Konfiguration platzieren Sie das P2 anfangs auf dem festgelegten Hub-Server und verwenden dann den Dateireplikationsdienst, um das SP2 an die DFS-Spoke-Server zu verteilen.

Abbildung 12. Hub-and-Spoke-DFS-Konfiguration
Bild maximieren

Führen Sie die folgenden Schritte durch, um die erste DFS-Verbindung einzurichten:

1.	Erstellen Sie einen freigegebenen Ordner auf einem Dateiserver oder auf dem DFS-Hub-Server. Entpacken Sie das SP2 dann in das freigegebene Verzeichnis. Informationen zur Befehlszeilenoption für das Entpacken von SP2 in ein Verteilungsverzeichnis finden Sie im Abschnitt "Vorbereiten des Service Packs".
2.	Klicken Sie auf Start, zeigen Sie auf Alle Programme, dann auf Verwaltung, und klicken Sie anschließend auf Verteiltes Dateisystem, um die Konsole für das verteilte Dateisystem zu starten.
3.	Klicken Sie in der Konsole für das verteilte Dateisystem auf Aktion und dann auf Neuer Stamm, um den Assistent zum Erstellen eines neuen Stamms zu starten. Führen Sie die Schritte des Assistenten durch, um einen neuen Domänenstamm zu erstellen.
4.	Klicken Sie auf dem Bildschirm Willkommen auf Weiter, um den Bildschirm Stammtyp anzuzeigen. Ihr Konto muss über die Berechtigung zum Erstellen eines Domänenstamms verfügen. Wählen Sie den Domänenstamm, und klicken Sie dann auf Weiter.
5.	Bestätigen Sie auf dem Bildschirm Hostdomäne den Domänennamen, und klicken Sie dann auf Weiter.
6.	Geben Sie auf dem Bildschirm Hostserver den Namen des Servers ein, der den DFS-Stamm anfangs aufnimmt. Klicken Sie auf Weiter.
7.	Geben Sie auf dem Bildschirm Stammname, der in Abbildung 13 dargestellt ist, einen Stammnamen und bei Bedarf einen Kommentar ein, und klicken Sie dann auf Weiter. Abbildung 13. Der Assistent zum Erstellen eines neuen Stamms Bild maximieren
8.	Bestätigen Sie auf der Seite Fertigstellen des Assistenten Ihre Einstellungen, und klicken Sie dann auf Fertig stellen.

Führen Sie für jeden Spoke-Server die folgenden Schritte durch:

1.	Klicken Sie mit der rechten Maustaste auf den neuen Stamm, und klicken Sie dann auf Neues Ziel, um einen DFS-Spoke-Server hinzuzufügen.
2.	Geben Sie auf dem Bildschirm Hostserver den Namen des Spoke-Servers ein, und klicken Sie dann auf Weiter.
3.	Geben Sie auf dem Bildschirm Stammfreigabe ein Verzeichnis zum Aufnehmen der Replikation an, und klicken Sie dann auf Weiter. Der Assistent erstellt für das angegebene Verzeichnis automatisch eine Freigabe.
4.	Bestätigen Sie auf der Seite Fertigstellen des Assistenten Ihre Einstellungen, und klicken Sie dann auf Fertig stellen.

Führen Sie die folgenden Schritte durch, um mit der anfänglichen Replikation zwischen dem Stamm- und den Spoke-Servern zu beginnen.

1.	Klicken Sie mit der rechten Maustaste auf den Stamm, und klicken Sie dann auf Replikation konfigurieren.
2.	Klicken Sie im Fenster Willkommen des Assistenten zum Konfigurieren der Replikation auf Weiter.
3.	Wählen Sie auf dem Bildschirm Wählen Sie einen ersten Master den Stammserver als ersten Master aus, und klicken Sie dann auf Weiter.
4.	Wählen Sie auf der Seite Topologie die Option Hub-and-Spoke aus, und klicken Sie dann auf Fertig stellen. Hinweis: Allgemeine Verwendungshinweise zum DFS finden Sie unter Distributed File System and File Replication Services (englischsprachig).

Erstellen von Gruppenrichtlinienobjekten

Nachdem Ihr Verteilungsnetzwerk für die Bereitstellung von SP2 über DFS eingerichtet ist, können Sie die Gruppenrichtlinienobjekte (GPOs) erstellen, um das Service Pack an die Clientcomputer zu verteilen. Dazu weisen Sie den Zielcomputern die Datei Update.msi zu. Update.msi ist die Paketdatei des Windows-Installationsprogramms für das SP2. Sie befindet sich im Unterordner i386\update des Service Pack-Ordners. Führen Sie die folgenden Schritte durch, um Update.msi auf Computer anzuwenden:

1.	Klicken Sie in der Gruppenrichtlinien-Verwaltungskonsole mit der rechten Maustaste auf den Knoten Gruppenrichtlinienobjekte, und wählen Sie dann die Option Neu.
2.	Geben Sie in das Textfeld Name einen Namen für Ihr GPO ein, und klicken Sie dann auf OK.
3.	Klicken Sie im Knoten Gruppenrichtlinienobjekte mit der rechten Maustaste auf das neue GPO, und klicken Sie dann auf Bearbeiten.
4.	Klicken Sie im Gruppenrichtlinienobjekt-Editor im Ordner Computerkonfiguration\Softwareeinstellungen mit der rechten Maustaste auf Softwareinstallation, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Paket.
5.	Geben Sie in das Textfeld Dateiname den vollständigen UNC-Pfad (Universal Naming Convention) des DFS-Stamms ein, einschließlich des Pfads zur Datei Update.msi (Beispiel: \\woodgrovebank.com\xpsp2\i386\update\update.msi), und klicken Sie dann auf OK.

Eingrenzen auf bestimmte Computer

Eine typische Active Directory-Domänenumgebung verfügt über viele Organisationseinheiten, deren Computerkonten bereits eingerichtet sind. Wenn Sie bereit sind, können Sie bestimmte Computer eingrenzen. Es gibt drei Hauptmethoden, um bestimmte Computer einzugrenzen:

•	Mithilfe von GPOs, die mit Organisationseinheiten verknüpft sind
•	Mithilfe von GPOs, die mit Organisationseinheiten verknüpft sind und dann über WMI-Filter (Windows Management Instrumentation) gefiltert werden
•	Mithilfe von GPOs, die mit der Domänenebene verknüpft sind und dann über die Sicherheitsgruppenmitgliedschaft gefiltert werden

Verwenden von Organisationseinheiten

Sie können ein Gruppenrichtlinienobjekt mit Organisationseinheiten verknüpfen, die Computerobjekte enthalten. Auf diese Weise installieren alle Windows XP-Computer in einer Organisationseinheit das SP2, nachdem das Gruppenrichtlinienobjekt mit einer bestimmten Organisationseinheit verknüpft wurde. Beachten Sie jedoch, dass diese Methode hinsichtlich Leistung und Stabilität nicht ideal ist, da nicht alle Windows XP-Computer in einer bestimmten Arbeitsgruppe oder Unternehmenseinheit gleichzeitig betroffen sind.

Hinweis: Nicht-Windows XP-Computer versuchen anfangs das SP2 zu laden, ignorieren die Zuordnung aber einfach. Diese Computer versuchen tatsächlich weiterhin, die SP2-Zuordnung bei jedem Neustart zu laden (und zu ignorieren). Erwägen Sie die Erstellung einer Organisationseinheit, die Nicht-Windows XP-Computer enthält, z. B. Microsoft® Windows 2000 Professional-Computer, so dass sich diese nicht im Verwaltungsbereich des Gruppenrichtlinienobjekts befinden und dieses Verhalten somit gemildert wird. Alternativ können Sie die Sicherheitsgruppenfilterung (wird später beschrieben) verwenden, um den Aufgabenbereich des Gruppenrichtlinienobjekts festzulegen, damit Nicht-Windows XP-Computer aus dem GPO herausgefiltert werden.

Verwenden von Organisationseinheiten und WMI-Filtern

Anstatt das SP2 für alle Windows XP-Computer innerhalb einer Organisationseinheit bereitzustellen, können Sie die Bereitstellung auf bestimmte Windows XP-Computer einschränken. Sie können das SP2 z. B. nur auf Windows XP-Computern mit 256 MB RAM, 1 GB freiem Speicherplatz oder mit anderen Eigenschaften bereitstellen. Dazu müssen Sie einen WMI-Filter erstellen. Führen Sie die folgenden Schritte durch, um einen WMI-Filter zu erstellen:

1.	Klicken Sie in der Gruppenrichtlinien-Verwaltungskonsole mit der rechten Maustaste auf den Knoten WMI-Filter, und wählen Sie dann die Option Neu.
2.	Geben Sie im Dialogfeld Neuer WMI-Filter einen Namen für Ihren WMI-Filter ein.
3.	Klicken Sie auf Hinzufügen. Geben Sie in das Textfeld WMI-Abfrage Ihre WMI-Abfrage ein, und klicken Sie dann auf OK.
4.	Klicken Sie im Dialogfeld Neuer WMI-Filter auf Speichern.

Führen Sie die folgenden Schritte durch, um einen WMI-Filter mit einem Gruppenrichtlinienobjekt zu verknüpfen.

1.	Suchen Sie in der Gruppenrichtlinien-Verwaltungskonsole das Gruppenrichtlinienobjekt, auf das der WMI-Filter angewendet werden soll.
2.	Wählen Sie auf der Registerkarte Bereich des GPOs den WMI-Filter, den Sie in der Liste Dieses GPO ist mit folgendem WMI-Filter verknüpft anwenden möchten.
3.	Klicken Sie auf Ja, um den WMI-Filter zu bestätigen. Abbildung 14. Eingrenzen von Computern mithilfe von WMI-Filtern Bild maximieren

Weitere Informationen zum Erstellen von WMI-Filtern finden Sie unter WMI Filters Overview (englischsprachig). In dem in Abbildung 14 gezeigten Beispiel ist eine GPO, die das SP2 zuordnet, mit jeder Organisationseinheit verknüpft, die Windows XP-Computerkonten enthält. Das Service Pack wird tatsächlich jedoch nur auf Windows XP-Computerkonten angewendet, die den Kriterien im WMI-Filter entsprechen.

Verwenden von Gruppen

Anstatt ein Gruppenrichtlinienobjekt mit der Organisationseinheitsebene zu verknüpfen, die Clients anweist, das SP2 zu downloaden, können Sie Active Directory-Sicherheitsgruppen erstellen, die Windows XP-Clientcomputer enthalten, die verschiedene Organisationseinheiten umfassen. Dann erstellen und verknüpfen Sie ein Gruppenrichtlinienobjekt auf Domänenebene, filtern dabei aber den Bereich nach bestimmten Sicherheitsgruppen (siehe Abbildung 15).

Verwenden Sie die folgenden Schritte, um einen neue Gruppe in Active Directory zu erstellen:

1.	Klicken Sie in Active Directory-Benutzer und -Computer mit der rechten Maustaste auf eine beliebige Organisationseinheit oder einen beliebigen Ordner, zeigen Sie dann auf Neu, und klicken Sie anschließend auf Gruppe.
2.	Geben Sie in das Dialogfeld Neues Objekt – Gruppe den Namen der Gruppe ein. Sie können die Gruppe z. B. XPCOMPUTER-GRUPPE1 nennen. Stellen Sie sicher, dass für den Gruppenbereich die Einstellung Global und für Gruppentyp die Einstellung Sicherheit festgelegt ist. Klicken Sie anschließend auf OK.
3.	Klicken Sie in Active Directory-Benutzer und -Computer mit der rechten Maustaste auf die neue Gruppe, und wählen Sie dann Eigenschaften. Klicken Sie auf der Registerkarte Mitglieder auf Hinzufügen, und fügen Sie dann die Computer hinzu, die Mitglieder dieser ersten Gruppe sein sollen.

Führen Sie die folgenden Schritte durch, um das Gruppenrichtlinienobjekt mit der Domäne zu verknüpfen:

1.	Klicken Sie in der Gruppenrichtlinien-Verwaltungskonsole mit der rechten Maustaste auf die Domänenebene und dann auf Vorhandenes Gruppenrichtlinienobjekt verknüpfen.
2.	Wählen Sie das mit der Domäne zu verknüpfende Gruppenrichtlinienobjekt aus.

Führen Sie die folgenden Schritte durch, um das Gruppenrichtlinienobjekt nach der zuvor erstellten Gruppe zu filtern:

1.	Wählen Sie für das soeben mit der Domäne verknüpfte Gruppenrichtlinienobjekt die Gruppe Authentifizierte Benutzer aus dem Abschnitt Sicherheitsfilterung, und klicken Sie dann auf Entfernen.
2.	Klicken Sie im Abschnitt Sicherheitsfilterung auf Hinzufügen, und wählen Sie dann die neu erstellte Gruppe aus.

In diesem Beispiel wird das GPO XP/SP2 auf Computer anwenden mit der Domäne verknüpft. Die Standardgruppe "Authentifizierte Benutzer" wird aus dem Abschnitt Sicherheitsfilterung des GPOs entfernt und dafür XPCOMPUTER-GRUPPE1 und XPCOMPUTER-GRUPPE2 hinzugefügt. Deshalb wird das GPO "XP/SP2 auf Computer anwenden" nur auf Windows XP-Computer in den Gruppen XPCOMPUTER-GRUPPE1 und XPCOMPUTER-GRUPPE2 angewendet.

Abbildung 15. Eingrenzen von Computern mithilfe von Gruppen
Bild maximieren

Verwalten neuer Gruppenrichtlinieneinstellungen

Sobald SP2 an einen Client übermittelt und der Computer neu gestartet wurde, werden Computer und Benutzer durch die neuen Gruppenrichtlinieneinstellungen verwaltet. Nach der Installation von SP2 werden ca. 600 neue Richtlinieneinstellungen erkannt. Eine Liste der SP2-Richtlinieneinstellungen finden Sie unter Group Policy Settings Reference for Windows XP Professional Service Pack 2 (englischsprachig). Anhand dieser downloadbaren Microsoft® Office Excel-Kalkulationstabelle lässt sich einfacher ermitteln, welche Richtlinieneinstellungen Auswirkungen auf SP2-Clients haben. Die Kalkulationstabelle erleichtert außerdem die Suche nach dem Pfad zum Aktivieren bzw. Deaktivieren bestimmter Richtlinieneinstellungen, und sie stellt eine Kopie des entsprechenden Hilfetextes zu den Einstellungen bereit. Wenn Sie diese Einstellungen in Ihrer Domäne implementieren möchten, damit sie für alle Windows XP-Clients zur Verfügung stehen, lesen Sie den Knowledge Base-Artikel 816662, "Recommendations for managing Group Policy Administrative Template (.adm) files" (englischsprachig).

Obwohl SP2 viele neue Richtlinieneinstellungen hinzufügt, müssen Sie sorgfältig wählen, welche dieser Einstellungen implementiert werden sollen, weil Sie damit das sicherere Verhalten der neuen Standardeinstellungen von SP2 deaktivieren könnten. Lesen Sie deshalb den Hilfetext zu den einzelnen Richtlinieneinstellungen. Testen und bewerten Sie dann im Testlabor jede mögliche Einstellung, die in der Produktion verwendet werden könnte.

Verwalten der Windows-Firewall

Eines der SP2-Features, das mithilfe der Gruppenrichtlinie verwaltet werden soll, ist die Windows-Firewall. Die Richtlinieneinstellungen für die Windows-Firewall befinden sich in Computerkonfiguration\Administrative Vorlagen\Netzwerk\Netzwerkverbindungen\Windows-Firewall. Innerhalb des Knotens Windows-Firewall sind identische Richtlinieneinstellungen unter Domänenprofil und Standardprofil enthalten (siehe Abbildung 16):

•

Domänenprofil: Wenn Sie die Richtlinieneinstellungen innerhalb des Knotens Domänenprofil konfigurieren, verwenden Computer diese konfigurierten Einstellungen nur, wenn sie gegenüber einem Domänencontroller authentifiziert sind.

•

Standardprofil: Eine andere Gruppe von Optionen für die Firewallkonfiguration steht innerhalb des Knotens Standardprofil zur Verfügung, wenn ein Computer vom Domänennetzwerk getrennt ist. Dabei verfügt der Computer über physische Konnektivität mit einem Netzwerk, kann aber keinen Kontakt mit einem Domänencontroller zur Authentifizierung herstellen. So möchten Sie die Windows-Firewall beispielsweise bei einem Computer deaktivieren, wenn dieser mit der Domäne verbunden ist. Gleichzeitig möchten Sie jedoch sicherstellen, dass die Firewall aktiviert bleibt, wenn sich der Benutzer in einem Hotel befindet oder mit einem anderen Netzwerk verbunden ist.

Weitere Informationen dazu, wie ein Computer ermittelt, ob die Einstellungen für Domänenprofil oder für Standardprofil verwendet werden sollen, finden Sie unter Funktionsweise der Netzwerkerkennung für netzwerkbezogene Gruppenrichtlinieneinstellungen.

Abbildung 16. Richtlinieneinstellungen für die Windows-Firewall
Bild maximieren

Den meisten Unternehmen wird empfohlen, die folgenden Richtlinieneinstellungen für die Windows-Firewall zu konfigurieren:

•

Windows-Firewall – Remoteverwaltungsausnahme zulassen: Diese Richtlinieneinstellung öffnet bestimmte Anschlüsse, um die kontinuierliche Verwendung der Richtlinienergebnissatz-Funktionalität in Windows 2003 und der Gruppenrichtlinienkonsole zu ermöglichen. Außer wenn bei Windows XP-Clientcomputern die Richtlinieneinstellung Windows-Firewall: Remoteverwaltungsausnahme zulassen aktiviert ist, führen Richtlinienergebnissatz-Funktionen zu einem Fehler, weil die Windows-Firewall die Anforderung blockiert hat. Bei aktivierter Richtlinieneinstellung funktioniert außerdem die normale Sammlung von Verwaltungsprogrammen, wie z. B. Active Directory-Benutzer und -Computer und Active Directory-Domänen und -Vertrauensstellungen, weiterhin ordnungsgemäß, wenn sie auf Windows XP-Computern installiert und ausgeführt werden. In diesem Fall besteht nämlich an Anschluss 445 eine Kommunikation zwischen diesen Verwaltungsprogrammen und dem Windows XP-Computer.

•

Windows-Firewall – Alle Netzwerkverbindungen schützen: Legen Sie diese Richtlinie auf Deaktiviert fest, um die erweiterte Windows-Firewall von SP2 sofort zu deaktivieren und den auf allen SP2 Client-Computern aktivierten Standardstatus auf Aktiviert zurückzusetzen. Ändern Sie diese Einstellung nur, wenn es durch Ihre Firmenrichtlinie gefordert wird oder wenn eine Notfallbedingung eintritt, bei der Anwendungen nicht mehr wie zuvor kommunizieren können.

Testen der Service Pack-Bereitstellung

Da SP2 ein umfangreiches Update zu Windows XP darstellt, ist das Testen des Service Packs vor der Bereitstellung an die Produktionsumgebung besonders wichtig. Sie sollten das Service Pack in zwei Bereichen testen: Anwendungskompatibilität und Hardwarekompatibilität. Testen Sie Ihre Anwendungen vor der Bereitstellung von SP2, um sicherzustellen, dass sie mit der neuen Betriebssystemebene kompatibel sind. In einem Unternehmen können mehrere tausend Anwendungen über verteilte Netzwerke installiert sein, und Kompatibilitätsprobleme bei einer oder mehreren dieser Anwendungen können kostspielige Produktivitätsprobleme verursachen.

Zu den Anwendungen, die Sie zur Sicherstellung der Kompatibilität testen müssen, gehören Kernanwendungen, die ein Bestandteil der Standard-Desktopkonfigurationen sind, z. B. Office-Produktivitätssuiten; Branchenanwendungen, z. B. Ressourcenplanungssuiten für Unternehmen; Verwaltungsprogramme, z. B. Antivirus-, Komprimierungs-, Sicherungs- und Remotesteuerungsprogramme; sowie benutzerdefinierte Tools, z. B. Anmeldeskripts. Systemnahe Programme – wie z. B. Antivirusprogramme, Kernelmodus- und Filtertreiber – sind besonders problemanfällig. Außerdem müssen Sie sicherstellen, dass Ihre Serveranwendungen kompatibel sind.

Die Anwendungskompatibilitätstests beginnen damit, dass die im gesamten Unternehmen verwendeten Anwendungen identifiziert und deren Prioritäten festgelegt werden. Auf diese Weise können Sie die Zielsetzungen und den Umfang des Projekts besser ermitteln. Nachdem Sie die Prioritäten festgelegt und die speziellen Überlegungen zu Serveranwendungen untersucht haben, können Sie den Testplan entwickeln. Wenn während der Tests Kompatibilitätsprobleme auftreten, müssen Sie Lösungen entwickeln, diese testen und dann zur Bereitstellung packen. Führen Sie die folgenden Aufgaben zum Lösen von Anwendungskompatibilitätsproblemen aus:

Identifizieren Sie die zu testenden Anwendungen: Erstellen Sie eine Bestandsliste der Anwendungen, und ermitteln Sie deren Dringlichkeitsstufe für Ihr Unternehmen. Wenn Sie SMS verwenden, können Sie Abfragen und Berichte erstellen, um alle Anwendungen im Unternehmen zu identifizieren. Falls SMS in Ihrem Unternehmen nicht eingesetzt wird, können Sie das Windows Application Compatibility Toolkit (ACT) 3.0 verwenden, das die folgenden Tools enthält:

•	Microsoft® Windows Application Compatibility Analyzer: Vereinfacht Tests des Anwendungsbestands und der Anwendungskompatibilität.
•	Windows Application Verifier: Unterstützt Entwickler und Tester während des Entwicklungszyklus bei der Suche nach häufigen Kompatibilitätsproblemen.
•	Compatibility Administrator: Bietet Zugriff auf die erforderlichen Kompatibilitätsupdates zur Unterstützung von Legacyanwendungen in Windows.

Identifizieren Sie Anwendungskompatibilitätsprobleme: Dieser Schritt umfasst das Testen und möglicherweise Debuggen von Anwendungen, um logische oder syntaktische Fehler festzustellen, zu suchen und zu korrigieren. Dabei sollten Sie sich nicht auf Ihre Kenntnisse der erwarteten Funktionsweise der Anwendungen verlassen, sondern die Hilfe derjenigen Personen, die mit den Anwendungen tatsächlich arbeiten, in Anspruch nehmen. Auf diese Weise verbessern Sie Ihre Fähigkeiten zur genauen Bestimmung von Anwendungsproblemen.

Lösen Sie Anwendungskompatibilitätsprobleme: Identifizieren und erstellen Sie Anwendungskompatibilitätslösungen. Hierzu kann auch das Ändern des Quellcodes und erneute Kompilieren von Anwendungen gehören, über deren Quellcode Sie verfügen, wenn die Anwendung intern entwickelt wurde. Sie können sich auch an den Hersteller oder Entwickler der Anwendung wenden und ihn um Hilfe bei der Lösung von Anwendungskompatibilitätsproblemen während der Testphase bitten. Nutzen Sie ACT 3.0.

Sorgen Sie für das Bereitstellen oder Verteilen von Anwendungen und Lösungen: Zu diesem Zweck können Sie verschiedene Bereitstellungs- und Verteilungstools, z. B. SMS, unter Windows XP Professional und Windows Server 2003 verwenden.

Beim Testen von SP2 sollten Sie nach den folgenden häufigen Kompatibilitätsproblemen suchen:

•

Installation: Bei einer Anwendung können Installationsprobleme aus den folgenden Gründen auftreten:

•	Schreiben von Einträgen direkt in die Registrierung, ohne Verwendung des Windows Installer-Dienstes oder der Shell-APIs (Application Programming Interfaces).
•	Überprüfung auf eine bestimmte Version des Betriebssystems.
•	Keine Unterstützung von Festplatten über 2 GB.
•	Keine Unterstützung langer Dateinamen.
•	Versuche des direkten Zugriffs auf Hardware, statt Aufrufen der entsprechenden APIs.

•

Kernelmodustreiber: Die Programmtypen, bei denen Probleme der Kernelmodustreiber am häufigsten auftreten können, sind Antivirusprogramme, persönliche Firewallprogramme, Defragmentierungsprogramme und CD-Schreibprogramme.

•

Berechtigungen: Berechtigungsprobleme können auftreten, wenn eine Anwendung auf Bereiche des Dateisystems oder der Registrierung zuzugreifen versucht, die für alle Benutzer und Anwendungen in einer früheren Version des Windows-Betriebssystem zugänglich sind, jedoch nicht mehr in Windows XP Professional.

•

Netzwerkzugriff: Aufgrund der Windows-Firewall funktionieren einige Anwendungen, die Zugriff auf einen bestimmten Netzwerkanschluss erfordern, möglicherweise nicht mehr. Ermitteln Sie diese Anwendungen, und testen Sie sie auf vollständige Funktionalität.

Sogar wenn ein Computer unter Windows XP oder Windows XP mit Service Pack 1 korrekt funktionierte, sollten Sie die Zeit zur Ermittlung aufwenden, ob die SP2-Installation zu irgendwelchen Hardwareproblemen führen könnte. Erwägen Sie diese Aktionen, um Hardwarekompatibilitätsprobleme noch vor den Tests im Labor zu minimieren.

Überprüfen Sie vor der Aktualisierung auf SP2, ob der Computer über die neueste BIOS-Version verfügt, die mit SP2 kompatibel ist. Ein aktualisiertes BIOS können Sie vom Computerhersteller erhalten. Möglicherweise müssen Sie vor der Bereitstellung von SP2 Zeit aufwenden, um sicherzustellen, dass alle Computer im Unternehmen das korrekte BIOS aufweisen.

Verwenden Sie die Windows XP Professional Hardware Compatibility List (HCL – englischsprachig). Dabei handelt es sich um eine Liste von Hardwaregeräten, die Hardwarekompatibilitätstests erfolgreich bestanden haben.

Ein in dieser Liste nicht aufgeführtes Gerät funktioniert möglicherweise, wird von Windows XP Professional jedoch nicht unterstützt. Infolgedessen könnte ein Update auf dem Computer bewirken, dass das Gerät nicht mehr funktioniert. Wenn Geräte auf einem Computer unter Windows XP Professional nicht funktionieren, wenden Sie sich an den Gerätehersteller, um einen Treiber zu erhalten, der mit Windows XP Professional kompatibel ist.

Labortests

Um zu ermitteln, ob Ihre Anwendungen und Hardware mit SP2 kompatibel sind, müssen Sie sie in einer Laborumgebung auf Computern testen, die die Hardware- und Softwarekonfigurationen in Ihrem Unternehmen darstellen. Diese Konfigurationen enthalten Variablen, wie z. B.:

•	Eine Mischung aus Clients, die unterschiedliche Revisionen von Hardware und Betriebssystem einschließen sollte (beispielsweise Laptops und Arbeitsstationen, auf denen Windows XP ohne installierte Service Packs ausgeführt wird)
•	Eine Mischung aus Anwendungen, die auf einem einzelnen Computer zu installieren sind

Die Größe und Komplexität des Testlabors wird durch die Komplexität der zu testenden Anwendungen sowie durch die Netzwerkumgebung bestimmt.

Zusätzlich zur Duplizierung von Hardware- und Softwarekonfigurationen sollten Sie die Vorgehensweise simulieren, mit der Sie die Anwendungen in der Produktionsumgebung installieren und einsetzen. Beachten Sie auch die Funktionsänderungen in SP2. Sehen Sie sich dazu die Liste der Funktionalitätsänderungen im Whitepaper Diese Funktionsänderungen bringt das Microsoft Windows XP Service Pack 2 an.

Pilottests

Die Durchführung der Pilottests ist der letzte Hauptschritt vor der Bereitstellung von SP2. Eine Pilotversion ist eine Bereitstellung von SP2 an eine Teilmenge der Live-Produktionsumgebung oder einer Benutzergruppe. Die Pilottests sollen in erster Linie demonstrieren, dass SP2 in der Produktionsumgebung genauso gut wie im Labor funktioniert und dass es die geschäftlichen Anforderungen Ihres Unternehmens erfüllt.

Mit der Durchführung eines Pilottests wird das Risiko eines Unternehmens verringert, dass während einer umfangreichen Bereitstellung Probleme auftreten. Möglicherweise erwägen Sie die Durchführung mehrerer Pilottests, die aus separaten Tests für verschiedene Technologien oder Unternehmensgruppen bestehen. Der Pilottest sollte lange genug ausgeführt werden, damit die Pilotgruppe SP2 während ihrer täglichen Aktivitäten testen kann, ob Probleme auftreten, die die Produktivität behindern könnten – z. B. über mehrere Tage bis Wochen. Abbildung 17 veranschaulicht einen typischen Pilottest.

Abbildung 17. Workflow des SP2-Pilottests

Die Pilottester sollten Feedback dazu liefern, wie gut der Computer und die Anwendungen nach der Installation funktionieren. Das Release Management-Team verwendet dieses Feedback zum Lösen auftretender Probleme oder zum Erstellen eines Notfallplans. Letztlich führt der Pilottest zur Entscheidung, ob eine vollständige Bereitstellung durchgeführt oder der Vorgang verlangsamt werden soll, damit Sie Probleme lösen können, die die Bereitstellung gefährden könnten.

Informationen zur Durchführung eines Pilotprogramms finden Sie unter Microsoft Solutions Framework (englischsprachig).

Die wichtigsten Daten, die Sie während der Pilotphase erhalten, bestehen aus dem Feedback der Pilotgruppe. Deshalb sollten Sie die in Tabelle 4 aufgeführten Fragen während der Installationstests an jedes Mitglied der Pilotgruppe verteilen und um Beantwortung bitten. Je nach der technischen Begabung der Pilottester können Sie auch bestimmte Schritte einbeziehen, die die Tester zur Überprüfung ihrer Antworten ausführen sollten. Zusätzlich zur Frage, ob SP2 ordnungsgemäß installiert wurde, händigen Sie den Testern beispielsweise eine Liste der zu überprüfenden Installationsprotokolldateien sowie Anweisungen zur Überprüfung der Informationen in der Windows-Ereignisanzeige aus.

Tabelle 4. Bewertung des SP2-Pilottests

Frage	Antwort (Ja/Nein)
Wurde SP2 ordnungsgemäß installiert?
Traten während der Installation irgendwelche Fehler auf?
Wurde der Computer nach der Installation ordnungsgemäß neu gestartet?
Konnten Sie sich nach der SP2-Installation am Computer anmelden?
Wurden nach der Anmeldung irgendwelche Fehlermeldungen angezeigt?
Konnten Sie nach der Anmeldung die Anwendungen ausführen, die Sie normalerweise verwenden?
Wird der Computer ordnungsgemäß heruntergefahren?
Wird der Computer ordnungsgemäß neu gestartet?
Anmerkungen:

Erwägen Sie auch, ein Formular ähnlich Tabelle 5 zu verteilen, damit die Pilottester ihre Informationen während der Pilotphase aufzeichnen können.

Tabelle 5. "Tagebuch" zum SP2-Pilottest

Datum	Probleme

Zum Seitenanfang

Einführen (Rollout) von SP2

Die genauen Schritte für die Bereitstellung sind von der gewählten Bereitstellungsmethode abhängig. Weitere Informationen zu diesen Schritten finden Sie in den Abschnitten "Entwickeln von Software Update Services", "Entwickeln von Systems Management Server" und "Entwickeln der Gruppenrichtlinie". In der folgenden Liste werden weitere Probleme beschrieben, die Sie nach Beginn einer SP2-Einführung berücksichtigen sollten.

•	Kommunikation. Teilen Sie Ihre Pläne den Benutzern mindestens zwei Tage (oder früher – abhängig von Ihrer Firmenrichtlinie für Kommunikation und Softwareverteilung) vor dem Datum und der Uhrzeit mit, die ursprünglich für die SP2-Bereitstellung geplant wurden. Auf diese Weise können sich die Benutzer innerhalb eines ausreichenden Zeitraums auf die Bereitstellung und Installation vorbereiten, und die Unternehmensgruppen haben die Möglichkeit, die Bereitstellung zu verzögern, wenn wichtige Unternehmensbelange dies erfordern.
•	Bereitstellungsüberwachung. Es wird vorgeschlagen, dass sich IT-Mitarbeiter während der Bereitstellung in der Nähe befinden. Obwohl der Bereitstellungsprozess weitgehend automatisiert ist, können IT-Mitarbeiter Stichproben der Qualität durchführen. (Außerdem kann es für Benutzer beim Auftreten von Problemen eine große Beruhigung sein, schnell auf einen Techniker zugreifen zu können.)
•	Computersicherung. Implementieren Sie für Computer und Benutzer, bei denen der ununterbrochene Geschäftsbetrieb besonders wichtig ist, eine Notfallstrategie, wie z. B. die Verwendung der Datenträgerabbildtechnologie (Disk-Imaging), zum Sichern der Computerdaten. Erwägen Sie zumindest die Verwendung von Tools wie dem User State Migration Tool (USMT – Benutzerstatus-Migrationstool), um die Dokumente und Einstellungen der Benutzer zu sichern.
•	Entfernen von SP2. Wenn Sie SP2 für Fehlerbehandlungszwecke auf einem Computer deinstallieren müssen, können Sie das Service Pack über die Systemsteuerungsoption Software entfernen und den Computer auf seinen vorherigen Status wiederherstellen. Beim Entfernen mithilfe der SMS-Softwareübermittlung können Sie Fehlermeldungen, die das Service Pack auf dem Computer möglicherweise erzeugt, u. U. nicht untersuchen. Hinweis: Sie können das Service Pack über die Systemsteuerungsoption Software nur dann entfernen, wenn Sie bei der Installation von SP2 gewählt haben, dass Sicherungsdateien erstellt werden sollen.

Zum Seitenanfang

Weitere Informationen

•	Windows XP Service Pack 2 - Ressourcen für IT-Profis
•	Diese Funktionsänderungen bringt das Microsoft Windows XP Service Pack 2
•	Handbuch zum Installieren und Bereitstellen von Microsoft Windows XP Service Pack 2
•	Release notes for Windows XP Service Pack 2 (englischsprachig)
•	Handbuch zum Installieren und Bereitstellen von Updates für Microsoft Windows XP Service Pack 2
•	Windows XP Service Pack 2 - Einstellungen für die Internetverbindungsfirewall bereitstellen
•	Windows XP Service Pack 2 Support Center

Zum Seitenanfang

2 von 2

In diesem Beitrag

•	Windows XP SP2 – Planungshandbuch für Unternehmen
•	Windows XP SP2 – Implementierungshandbuch für Unternehmen