Tässä kuvataan ns. "vanhaa standardimikrojärjestelmää", josta ollaan siirtymässä Altiris-tuotteiden avulla tapahtuvaan ylläpitoon. Nämä sivut tullaan poistamaan lähiaikoina tarpeettomina. Lisätietoja ja ohjeita tukihenkilöille löytyy Työasemapalvelun wiki-sivustolta https://wiki.helsinki.fi/display/typa/Etusivu.
Ongelmatapauksissa ota yhteyttä HY:n Helpdesk:iin
Standardimikropalvelulla tarkoitetaan kokonaisuutta, johon kuuluvat
Kaikki ohjelmistot, mahdollisesti käyttöjärjestelmästä alkaen, asennetaan koneen käyttöönoton yhteydessä verkosta. Myöhemmät ohjelmistotäydennykset ja verkosta asennettujen ohjelmien päivitykset ilmaantuvat järjestelmään liitettyihin koneisiin automaattisesti, ilman että käyttäjän tai tukihenkilön tarvitsee tehdä aktiivisesti mitään.
Järjestelmä perustuu tekniseen infrastruktuuriin, jota tietotekniikkaosasto keskitetysti ylläpitää. Tärkeänä suunnitteluperiaatteena on ollut se, että käytön tulisi sujua pitkälti itsepalveluna. Järjestelmästä saadut käyttökokemukset viittaavat siihen, että ainakin perusasiat ovat kunnossa, ja järjestelmä toimii kuten on toivottu. Myös järjestelmään liitettyjen koneiden määrä on kasvanut ilahduttavasti.
Käyttäjiltään/asiakkailtaan järjestelmä/palvelu edellyttää tiettyjen perusasioiden opettelua sekä sitoutumista pelin sääntöihin. Koulutusta ja demonstraatioita järjestetään, jos pyydetään.
Järjestelmää sopii ruveta käyttämään vaikka heti, näiden ohjeiden lukemisen jälkeen. Ohjeita kannattaa aika-ajoin kerrata, koska niitä päivitetään usein.
Atk-tukihenkilöiden postilistalle lähetettyjen standardimikropalvelua sivuavien viestien kooste löytyy täältä. Siihen on hyvä etenkin uusien ylläpitäjien tutustua.
Kaikki sovellukset asennetaan koneeseen verkosta käyttöönoton jälkeen.
Voidakseen käyttää ohjelmistojen jakelu- ja päivityspalvelua, pitää standardimikrot liittää yliopiston Windows-domainiin ad.helsinki.fi, toiselta nimeltään ATKK. Tätä varten tulee ainakin koneen ylläpitäjällä/asentajalla olla domainin käyttäjätunnus eli ns. AD-tunnus. Vahvasti suositellaan, että myös koneen varsinaisilla käyttäjillä on AD-tunnus, ja koneeseen kirjaudutaan tällä tunnuksella. Tällainen tunnushan varsin monilla jo on, ja nyt sitä siis voi Metaframe-käytön lisäksi hyödyntää muutenkin.
Lääketieteellisen tiedekunnan AD-tunnukset ja koneet ovat tiedekunnan omassa domainissa ltdk.ad.helsinki.fi. Tiedekunnan koneiden ylläpito hoidetaan paikallisin järjestelyin. Jäljempänä kuvattava käyttöjärjestelmän asennuspalvelu (RIS) on kuitenkin myös lääketieteellisen käytettävissä. Lisäohjeita tiedekunnan atk-henkilöstöltä.
Koneen ohjelmistovarustus, eli konekohtaisesti asennettujen sovellusten luettelo, määräytyy sen mukaan, mihin domainin hakemiston (Active Directory) "lokeroon" (virallisemmin organisaatioyksikköön) koneen tili sijoitetaan. Tarjolla on muutama vaihtoehto, ja niitä (lokeroita) voidaan helposti kehittää lisää.
Koneen varsinainen käyttäjä voi, mikäli hänellä on AD-tunnus ja hän käyttää tätä koneeseen kirjautuessaan, itse asentaa lisäsovelluksia domainin hakemistossa tarjolla olevasta valikoimasta Add/Remove Programs -kapineen avulla. Hakemistossa tarjolla olevat sovellukset näkyvät ARP:n "Add New Programs" -luettelossa. Administrator-oikeuksia ei tällaiseen asennukseen tarvita. Mutta näin asennetut sovellukset ovat vain asentajan omassa käytössä, eivät koneen kaikkien käyttäjien.
Ohjelmistojen päivittäminen perustuu samaan mekanismiin. Konekohtaisesti asennettavat sovellukset asennetaan tai päivitetään koneen uudelleenkäynnistyksen yhteydessä, käyttäjäkohtaisesti asennetut päivitetään loginin yhteydessä ja sovellusta käynnistettäessä. Vaikka nykyiset Windows-koneet ovatkin jo varsin vakaita, on niitä siis syytä käynnistellä silloin tällöin.
Ohjelmistojen asennus- ja päivitysjärjestelmä uudistui keväällä 2006. Vanhassa järjestelmässä konekohtaisesti asennettavat sovellukset asennettiin tai päivitettiin koneen uudelleenkäynnistyksen yhteydessä. Uudessa järjestelmässä asennukset ja päivitykset tapahtuvat koneen ollessa käytössä, taustalla, käyttäjää suuremmin häiritsemättä. Uudessa järjestelmässä käyttäjälle voi myös antaa mahdollisuuden asennuksen/päivityksen lykkäämiseen hieman tuonnemmaksi, ja asennukset voi ajastaa tapahtuvaksi esim. "aikaisintaan ensi yönä". Vanhaa ja uutta järjestelmää käytetään toistaiseksi rinnan, joskin pääosa sovelluksista jaetaan jo uudella järjestelmällä.
Kun sovellukset asennetaan näin, huolehtii koneen Windows Installer -järjestelmäpalvelu myös sovellusten automaattisesta korjauksesta, jos esim. joku asennettu tiedosto tärveltyy. Tämä onnistuu vain, jos koneeseen kirjaudutaan AD-tunnuksella, jolla on lukuoikeus alkuperäiseen asennuspakettiin, joka sijaitsee jossain domainin palvelimessa.
Käyttäjäkohtainen sovellusasennus saattaa aiheuttaa harmia, jos käyttäjä siirtyy koneelta toiselle. Tällöin käyttäjän valitsemat sovelluksetkin asennetaan (jos niitä yritetään käynnistää) aina uudelleen ja uudelleen uusiin koneisiin, jopa sellaisiinkin koneisiin, joihin niitä syystä tai toisesta ei ole sopivaa asentaa. Esimerkiksi luokkakäytössä oleviin koneisiin, jos standardimikroja luokkiin halutaan sijoittaa, sovellukset pitäisi aina asentaa konekohtaisesti, ja kenties jopa estää käyttäjäkohtainen asennus. Tässä joudumme vielä opettelemaan oikeita käytäntöjä.
Myös konekohtainen sovellusasennus voi (vanhaa jakelujärjestelmää käytettäessä) tuottaa yllätyksiä, koska käyttäjä ei voi konetta käynnistäessään tietää, onko koneelle tulossa uusia sovelluksia tai sovellusten päivityksiä. Asennukseen saattaa kulua aikaa runsaastikin, juuri kun olisi kiire päästä käyttämään konetta. (Jos haluaa ehdottomasti varmistaa sen, että käynnistys sujuu nopeasti, voi verkkokaapelin irrottaa käynnistyksen ajaksi.) Uutta jakelujärjestelmää käytettäessä tällaisia vaikeuksia ei pitäisi esiintyä.
Tätä kirjoitettaessa on standardimikroille tarjolla seuraava lokerikko:
kaikki
SUS-asiakkaan alustus
WinXP SP2 (jos käyttöjärjestelmänä WinXP, ja SP2 puuttuu)
perus
Java-runtime (Sun)
Acrobat Reader
RealPlayer Enterprise
FlashPlayer
ShockwavePlayer
SVG viewer
F-Secure Anti-Virus Client Security
PuTTY SSH
WinSCP
Metaframe Presentation Server Client ("ICA-asiakas")
Office 2003 + kielipaketit suomi ja ruotsi
Office Visio 2003 + kielipaketit suomi ja ruotsi
PDF-XChange
QuickTime
Mozilla Firefox
Mozilla Thunderbird
7-zip (pakkausohjelma)
Small CD Writer
Process Explorer
VLChallinto
Notes
Stunnel
HWTN (stunnel-konfiguroitu)
WinXP suomalainen käyttöliittymäkaikki herkut
Corel Draw X3
SPSS 15
WinaXe
Notes
AFPL Ghostscript
GSview
PaintShop Pro X
(muut) kirjastot
WinXP suomalainen käyttöliittymä
Voyager
Kaikista perusvalikoimista on myös Netware-asiakkaan sisältävä versio.
Halukkaille (ja riittävän suurille) asiakasryhmille voidaan järjestää oma lokeronsa. Tästä jäljempänä lisää.
Joitakin mainittuja sovelluksia voi asentaa myös käyttäjäkohtaisesti. Ei kuitenkaan niitä, jotka kuuluvat perusvalikoimaan ja siis asentuvat konekohtaisesti kaikkiin koneisiin. Lisäksi voi käyttäjä halutessaan asentaa Officen ja Windows XP:n kielipaketteja valikoimasta suomi, ruotsi, saksa, ranska, italia, espanja, venäjä, viro. Muista sovelluksista mainittakoon MathReader, ChemSketch, Origin, SAS (testiversio), GIMP ja SciFinder sekä kirjastoväkeä varten mm. Voyager.
Officen kielipaketit asentuvat kokonaisuudessaan vasta kun niitä ensimmäisen kerran tarvitaan. Tämä edellyttää verkkoyhteyttä ja pääsyä domainin tiedostopalvelimeen. Lue lisää...
Kaikki sovellukset eivät välttämättä toimi nikottelematta peruskäyttäjän oikeuksilla, vaikka tämä on ollut pyrkimyksenä.
Sovellusvalikoima karttuu ja päivittyy vähitellen. Windows Installerin käyttämien msi-pakettien saatavuus toivottavasti ajan mittaan paranee, nyt ne joutuu melkein kaikki tekemään itse. Se on varsin vaativaa ja työlästä. Sovellusvalikoiman kehittämistä rajoittaa myös se, että tarjolle voidaan asettaa vain sellaisia sovelluksia, joihin yliopistolla on vapaa (ilmainen tai maksettu) käyttöoikeus.
Kaikista sovelluksista pyritään pitämään tarjolla uusin saatavilla oleva versio. Joitakin saattaa kiinnostaa sovellusten päivitysloki.
Mikään ei tietenkään estä paikallista ylläpitäjää asentamasta koneisiin muitakin sovelluksia. Kuitenkin jos tuntuu siltä, että jonkun ohjelmiston joutuu asentamaan käsin joka koneeseen, ja niitä koneita on paljon, ja sovellus on yleishyödyllinen, niin kannattaa ottaa yhteyttä allekirjoittaneeseen. Asialle kenties voidaan tehdä jotain.
Domainin hakemistossa ("Active Directory") on standardimikroille tarkoitettujen lokeroiden suojaukset määritelty niin, että jokainen yliopiston henkilökuntaan kuuluva domainin käyttäjätunnuksen haltija voi perustaa konetilin, ja liittää koneen domainiin käyttäen tätä tiliä. Tilin perustaminen ja koneen liittäminen ovat siis erillisiä operaatioita, ja liittämisen tulee tapahtua samalla käyttäjätunnuksella kuin tilin perustamisen, ellei jollekin käyttäjäryhmälle ole annettu laajempia oikeuksia. Samaten oikeus esim. koneen ja konetilin nimen muuttamiseen ja koneen irroittamiseen domainista on oletusarvoisesti vain konetilin perustaneella käyttäjällä.
Edellä "yliopiston henkilökuntaan kuuluva" tarkoittaa, että käyttölupien master-tietokannassa henkilö on luokiteltu henkilökuntaan kuluvaksi. Syynä tällaiseen rajoitukseen on se, että yliopistolle lisensioidun Windows-käyttöjärjestelmän sekä muidenkin Microsoft-ohjelmistojen asentaminen opiskelijoiden omiin koneisiin on lisenssisopimuksessa kielletty. Muitakin vastaavia lisenssirajoituksia on. Jos joku opiskelijaksi luokiteltu yliopiston koneita ylläpitävä henkilö tarvitsee erioikeuden, niin laitoksen atk-yhdyshenkilö tms. voi tätä minulle esittää.
Siltä varalta, että käyttöjärjestelmän perusasennukseen tai myöhempään uudelleenasennukseen halutaan käyttää tarjolla olevaa Windows Deployment Services -palvelua (josta jäljempänä), liitetään konetilin hakemistotietoihin aina myös koneen bioksessa määritelty yksilöllinen tunniste eli ns. GUID. WDS-palvelimemme vastaa vain sellaisille koneille, joille hakemistosta löytyy GUIDin perusteella valmis tili.
Tilejä voi perustaa ja GUIDeja kirjata normaaleilla Active Directoryn hallintavälineillä. Tämä on kuitenkin tarpeettoman hankalaa, ei vähiten siksi, että GUIDin virheetön selvittäminen ja kopiointi voi olla konstikasta. Tämän vuoksi on laadittu webityökalu, jossa on kaksi osaa:
Nämä välineet löytyvät osoitteesta
Nuuskintaohjelman käyttö vaatii, että koneessa on jo Windows 2000 tai Windows XP -käyttöjärjestelmä ja Windows Management Instrumentation -järjestelmäpalvelu käynnissä.
Rekisteröintisovelluksella voi tehdä tilejä myös ilman edeltävää GUID-nuuskintaa, ja käyttäen muuta kuin rekisteröitävänä olevaa konetta, jos tarvittavat tiedot on selvitetty muulla tavoin. Tämä muu tapa voi olla esim. DOS-boottikorppu, jonka itsepurkautuva image löytyy osoitteesta
http://rontti.helsinki.fi/std/bootguid.exe
Kun tuolla korpulla boottaa koneen, ja komentaa guid koneennimi, niin korpulla olevan tiedoston guid.txt loppuun lisätään rivi, jolla on koneen guid ja nimi. Niitä voi sitten kopioida suoraan rekisteröintisovellukseen jossain toisessa koneessa.
Jos koneessa ei ole levykeasemaa, mutta sen sijaan kyky käynnistyä USB-laitteelta, niin korpun voi korvata USB-muistitikulla.
Toki guidin voi selvittää myös katsomalla bioksesta, mutta 32 merkin virheetön kopiointi on monelle vaikeaa.
Jos koneesta ei löydy GUID-tunnistetta, pitää konetiliä perustettaessa GUIDiksi antaa jokin yksikäsitteinen syntaktisesti kelvollinen tunnus, esim. koneen verkkokortin MAC-osoite, jonka alkuun lisätään tarvittava määrä nollia. Pelkistä nollista koostuva GUID siis ei kelpaa, koska se ei ole yksikäsitteinen. GUID saattaa puuttua, jos kone on liian vanha tai ei noudata speksejä. Tällaisen koneen käyttöjärjestelmää ei tietenkään voi RIS-palvelun avulla asentaa, vaan se pitää asentaa käsin, mutta konetilin perustamiseen siis kelpaa myös keinotekoinen GUID.
Joissakin uudehkoissakin koneissa GUID/UUID pitää erikseen bioksessa enabloida. Tällaisia ovat mm. eräät HP/Compaq-mikrot. Bios-päivityskin on joskus tarpeen.
On myös nähty konetyyppejä, joiden kaikilla yksilöillä on sama GUID. Tällaiset koneet ovat kelvottomia eikä niitä pidä ostaa.
Ennen kuin koneen voi liittää domainiin, siihen pitää tietenkin asentaa Windows-käyttöjärjestelmä. Kun nyt kaikki sovellukset asennetaan koneen käyttöönoton jälkeen verkosta, on luontevaa asentaa verkosta myös itse käyttöjärjestelmä. Tähän käytetään Microsoftin WDS-tuotetta (Windows Deployment Services). Lue lisää...
WDS-palvelu korvaa aikaisemmin käytössä olleen RIS-palvelun (Remote Installation Services).
Vaikka kone asennuksen jälkeen periaatteessa onkin valmis käyttöönotettavaksi, on siinä silti jotain säädettävää. Lue lisää... Tärkeintä on, että asentaja (jos on eri henkilö kuin koneen varsinainen käyttäjä) ennen koneen käyttöön luovuttamista tarkistaa, että kone toimii normaalisti. Tämä tapahtuu kirjautumalla koneeseen omalla domain-tunnuksella, peruskäyttäjän oikeuksin, ja kokeilemalla sovellusten käynnistämistä.
Standardimikroille tarkoitetun ohjelmistojakelun käyttö ei varsinaisesti edellytä, että peruskäyttöjärjestelmä on asennettu juuri näin. Mikä tahansa ehjäksi oletettu Windows 2000 tai Windows XP kelpaa, ainakin periaatteessa, kunhan siitä ensin poistetaan ne sovellukset, jotka on tarkoitus asentaa verkosta. Tarkempia ohjeita...
WDS kykenee vain asentamaan käyttöjärjestelmän, ei päivittämään sitä. Käyttöjärjestelmän turvapäivitysten asentamiseen käytetään yliopiston olemassaolevaa WSUS-palvelua, jolla on jo lähes 8000 käyttäjää. Kaikki standardimikrot liitetään automaattisesti WSUS-palvelun asiakkaiksi. WSUS-päivityksen aikataulu on paikallisen ylläpitäjän määrättävissä, sitä ei siis säädellä domainin policyillä.
Standardimikroihinkin asennettavan F-Securen virusvahti/palomuuriyhdistelmän päivittämisestä ja konfiguroinnista huolehtii erillinen ylläpitopalvelin. Standardimikrojen ohjelma-asennusmekanismi vastaa vain alkuasennuksesta.
Useimmilla asiakaskoneilla lienee joko paikallinen tulostin, tai lähistöllä verkkotulostin, jolle voi tulostaa LPR-protokollalla ("Standard TCP/IP Port"). Tällaisen tulostimen voi mikä tahansa Windows-kone "jakaa" (share) verkkoon, jolloin tuosta koneesta tulee tulostuspalvelin. Oletusarvoisesti jokainen domainiin liitetyn Windows-koneen jakama kirjoitin julkaistaan myös hakemistossa, jos ei rastia oteta pois ao. ruudusta, ja sen käyttö muilta koneilta on naurettavan yksinkertaista ("Find printer..."). Asiakaskoneessa tarvittavat tulostinajurit asentuvat tällöin automaattisesti, eikä käyttäjällä tarvitse olla korotettuja oikeuksia.
Laitoskohtaisten tulostuspalveluiden järjestäminen on siten hyvin helppoa. Jos kysyntää ilmenee, niin julkisempiakin palveluita voidaan järjestää.
Jos koneeseen asennetaan Netware-asiakas, niin Netware-tulostusjonot ovat toki myös käytettävissä. Käyttäjällä pitää tällöin kuitenkin olla vähintään Power User -oikeudet, jotta ajurien asennus onnistuu. NDPS-tulostimien ajurien asentaminen onnistuu kyllä tavalliseltakin käyttäjältä, jos Netware-asiakkaassa on mukana Workstation Manager -komponentti.
Jotta voitaisiin puhua todella ylläpidetyistä standardimikroista, pitää vikasietoisuutta parantaa tarjoamalla käyttäjille roaming-profiilit ja kotihakemistot varmuuskopioiduissa tiedostopalvelimissa.
Roaming-profiilit ovat tarpeen myös sellaisille, jotka käyttävät vain yhtä konetta. Jos se yksi kone menee rikki, ja pitää korvata uudella, niin on erittäin hyödyllistä, jos profiilista (eli kansion Documents and Settings \ tunnus sisällöstä) on ajantasainen kopio tiedostopalvelimella. Jos käytetään vain yhtä konetta, ei roaming-profiilin käyttö edes hidasta toimintaa havaittavasti.
Windows-tiedostopalvelimia voi pystyttää laitoskohtaisestikin, mutta tietotekniikkaosasto tarjoaa tiedostopalvelua kaikille domainin käyttäjille. Palvelu on käyttäjäkohtainen, eikä laitosten tarvitse osallistua asiaan millään tavoin. Ainoastaan normaalia suuremmat kiintiötoiveet pitää laitoksen yhdyshenkilön hyväksyä, tämä tapahtuu normaaleilla yhdyshenkilön lupatyökaluilla. Lue lisää...
Vaikka standardimikroon kirjaudutaankin Windows-domainin tunnuksella, ja ohjelmistoylläpito perustuu Windows-domainiin, on täysin mahdollista asentaa koneeseen myös Netware-asiakas. Tällöin käyttäjä pääsee (erillisen loginin jälkeen) käsiksi R-levyynsä ja Netware-tulostusjonoihin, sekä muihin Netware-palvelimien tarjoamiin resursseihin. Mutta domain-tunnuksen roaming-profiilia tai kotihakemistoa ei voi millään tuntemallani konstilla ohjata Netware-palvelimeen. Profiilin talletus on näistä se vakavampi ongelma; kotihakemiston puutteen voi aina korvata tallettamalla tiedostonsa jonnekin muualle, esimerkiksi Netware-kotihakemistoon.
Jos tyydytään konekohtaisesti asennettuihin sovelluksiin, eikä kaivata sovellusten automaattista korjautumista, ei käyttäjä tarvitse domain-tunnusta. Tämä avaa tiettyjä mahdollisuuksia. Jopa "dynamic local user"-niminen viritys toimii, ja zenworksin avullakin voi standardimikroon sovelluksia jaella, kunhan välttää konflikteja.
Netware-asiakasta ei kuitenkaan kannata asentaa koneeseen vain "varmuuden vuoksi". Se hidastaa havaittavasti koneen käynnistymistä ja koneeseen kirjautumista. Etenkin kannettavissa koneissa, joita usein käytetään ilman toimivaa tai nopeaa verkkoyhteyttä, on Netware-asiakas suorastaan haitallinen.
Käyttäjäryhmille, kuten tiedekunnille ja suurille laitoksille, voidaan tarvittaessa järjestää ikioma "lokero", johon konetilit sijoitetaan. Tällöin voidaan sovellusvalikoima räätälöidä (tarjolla olevasta valikoimasta), ja konetilien hallintaoikeus voidaan antaa ryhmälle, johon kuuluvat tiedekunnan tms. kaikki koneasennuksia suorittavat tukihenkilöt. Normaalistihan esim. konetilin poistamisen voi suorittaa vai se käyttäjä, joka on tilin alunperin perustanut.
Räätälöityjä lokeroita on jo useita. Tästä vaihtoehdosta vakavasti kiinnostuneet ottanevat yhteyttä. Korostan kuitenkin, että aivan muutamaa konetta varten ei lokeroa perusteta, eikä pelkästään tutustumistarkoitukseen. Alkukokeiluihin riittävät kaikille avoimet vakio-lokerot.
Kannettavien koneiden suosio kasvaa, ja koneita liitetään myös standardimikropalveluun. Aivan ongelmatonta tämä ei kuitenkaan ole:
Kannettavien erikoisongelmista ja niihin keksityistä ratkaisuista lisää täällä...
Myös standardimikrojen yleisestä toimivuudesta on viime kädessä vastuussa paikallinen ylläpitäjä. Domainin ohjelmajakelu kyllä pyrkii pitämään perusohjelmistot ajan tasalla, WSUS-palvelu huolehtii käyttöjärjestelmän tärkeistä päivityksistä, ja keskitetty virustorjunnan ja palomuurin ylläpito kenties pitää haittaohjelmat kurissa. Mutta silti voi ongelmia tulla.
Jos ongelmana on se, että koneeseen ei tule domainin ohjelmapäivityksiä, niin ensimmäisenä kannattaa käynnistää kone uudelleen ja komentaa sitten gpupdate. Tämän jälkeen voi tutustua luetteloon ohjelmapäivitysten epäonnistumisen yleisimmistä syistä. Myös koneen omaa tapahtumalokia (application ja system) on syytä tutkia. Ja hyvä on myös kerrata Specops Deploy-järjestelmän toimintaperiaatteet.
Tukihenkilön on myös syytä seurata Specops-asennusten virhelistaa. Listalle kerätään kerran tunnissa ne koneet, joissa on viimeisen viikon aikana havaittu ohjelma-asennuksiin liittyviä ongelmia.
Jos ongelma liittyy yksittäiseen sovellukseen tai käyttöjärjestelmän säätöihin, voi tarkistaa löytyykö asia sekalaisten kikkojen joukosta.
Pahoissa pulmissa voivat tukihenkilöt toki aina kääntyä standardimikropalvelun ylläpidon puoleen.