SCCM 2012 LAB Part3.软件更新点SUP + Endpoint Protection端点保护 推荐

在第一部分的实验中，我准备并安装了SCCM 2012独立主站点。
链接：http://xutonglin.blog.51cto.com/8549515/1362338
在第二部分的实验中，我只要示范了SCCM 2012管理管理控制台的配置。
链接：http://xutonglin.blog.51cto.com/8549515/1362847
-------------------------------------------------------------------------------------------------------
实验环境：



-------------------------------------------------------------------------------------------------------
Endpoint Protection能够帮助PC抵御恶意软件，例如病毒、间谍软件和其它可能对计算机有害的软件。提供三种方式来提高计算机的安全性：实时保护、扫描选项、检测。
Endpoint Protection需要经常性的定义更新其病毒库、杀毒引擎和信息库，以保证提供最佳的安全性，而定义更新是通过软件更新点SUP来实现的。所以Endpoint Protection整个应用的实现过程跟SUP是息息相关的。

本节一共包括4个模块来组合成整个Endpoint Protection部署到应用的全过程。
1.添加软件更新点。
2.添加站点服务器角色“Endpoint Protection点”。
3.创建“自定义客户端设置”。
4.创建“反恶意软件策略”。
------------------------------------------------------------------------------------------------
1.添加软件更新点。
打开SCCM 2012管理控制台，点击“管理”——“概述”——“站点配置”——“服务器和站点系统角色”——“添加站点系统角色”。



实验环境只有一台站点系统服务器SCCM1，所以这里不需要选择，直接下一步。



选择“软件更新点”。



指定软件更新点设置。


指定活动软件更新点设置。由于前面章节在安装WSUS时使用的是“自定义网站”，所以这里选择"WSUS配置为自定义网站"。


域中没有上游服务器，直接选择“从Microsoft Update同步”。



设置同步计划，这里的设置因环境而异。



设置“被取代软件更新行为”。



选择要同步的软件更新分类，这里一定需要选择“Definition Updates”。这个“定义更新”是用来更新Endpoint Protection的。



选择需要同步的产品，这里除了需要选择网络环境当中必须的软件更新外，特别注意需要勾选“Forefront EndpointProtection 2010”，这个就是用于定义更新System Center 2012 EndpointProtection。


选择同步语言。



完成安装，点击关闭退出向导。



2.添加站点服务器角色“Endpoint Protection点”。
打开SCCM 2012管理控制台，点击“管理”——“站点配置”——“服务器和站点系统角色”——“添加站点系统角色”。



选择即将安装该站点角色的服务器，我们只有一台站点服务器，所以默认下一步。


选择Endpoint Protection点，点击下一步。


阅读条款并且同意条款：


完成安装：


等待一会，将看到System Center 2012 Endpoint Protection出现在SCCM1站点服务器上：


接下来配置Endpoint Protection警报，警报可以通过SCCM 2012管理控制台显示警报信息，也可以配置警报通知邮件来通知相关的用户。
打开SCCM 2012管理控制台，点击“管理”——“概述”——“站点配置”——“站点”——“设置”——“电子邮件通知”。



实验环境没有架设邮件服务器，所以这里设置不了，后面实验架设了邮件服务器再来测试这个功能。



接下来设置Endpoint Protection的设备集合警报，首先要设置特定集合，并将该集合添加到警报成员当中。
创建设备集合Endpoint Protection。


使用直接查询规则添加client1客户端。



完成Endpoint Protection设备集合的创建。


打开新创建的设备集合“Endpoint Protection”属性，切换到“警报”。启用设备集合警报。


点击“警报”选项卡页面“添加”按钮。设置客户端状态属性和Endpoint Protection属性。


点击确定完成Endpoint Protection针对设备集合警报的设置。


由于Endpoint Protection是通过软件更新点SUP来定义更新和同步的，所以需要配置软件更新点SUP设置。所以这也是我将SUP和Endpoint Protection放在同一节讲解的原因。


勾选产品“Forefront EndpointProtection 2010”。点击确定。



设置“同步计划”。


设置“取代规则”。


运行软件更新同步。


查看软件更新同步状态：



创建软件更新自动部署规则。软件更新自动部署规则是SCCM 2012一大主要功能，能够实现Microsoft产品自动周期检测更新。



设置规则名称。


添加属性筛选器“发布或修订日期”。


设置属性筛选器“发布或修订日期”的搜索条件。


同样操作添加属性筛选器“产品”。


选择属性筛选器“产品”的搜索条件“Forefront EndpointProtection 2010”。点击下一步。


设置规则生效时间和运行计划：



选择UTC时间校对，并且设置软件可用时间。


设置用户体验设置：


设置更新警报：


设置软件更新下载行为：


定义自动部署规则的部署包，而且该部署包是需要去放在可用的共享网络路径上的，所有首先我们将在SCCM1服务器上的D盘中去创建共享文件夹Resource，给予Everyone读取权限，并且在resource下创建子文件夹Endpoint Protection。


自定义自动部署规则包名称和网络共享路径。


将自定义规则部署包放置到分发点上。


选择下载更新位置：



选择更新文件语言：


完成设置向导，点击关闭。


查看新建的endpoint protection部署包：


查看新创建的endpoint protection自动部署规则：



选择Endpoint protection自动部署规则，点击“立即运行”。



3.创建“自定义客户端设置”。
SCCM 2012管理控制台有一个默认的“默认客户端设置”。我们一般不修改这个配置，因为该默认客户端设置影响着ConfigMgr2012层次结构中发现到的所有设备。对于Endpoint Protection一般新创建专用的自定义客户端设置。而且最好的做法是在设备集合中也创建相关Endpoint Protection专用的设备集合。跟AD组策略与组织单位的关系很相似。我在上一节已经是创建了设备集合“Endpoint Protection”。



打开“管理”——“客户端设置”——“创建自定义客户端设备设置”。定义名称为“Endpoint Protection”，勾选自定义设置“Endpoint Protection”。


选择自定义客户端设置“Endpoint Protection”右键属性。


修改设备设置属性，点击确定完成。


完成自定义客户端设备创建后需要将该配置关联到相关的设备集合。在SCCM2012中使用的是“部署”。右键“部署”。


选择设备集合“Endpoint Protection”。


由于现在设备集合“Endpoint Protection”中成员之一Client1.所以只有Client1会在一段时间后自动安装上Endpoint Protection 2012软件。


4.创建“反恶意软件策略”。
反恶意软件策略是用于控制Endpoint Protection客户端扫描计划和定义更新方式。打开SCCM 2012管理控制台。点击“资产和符合性”——“Endpoint Protection”——“反恶意软件策略”。


切换到“计划扫描”，启用检查最新定义更新。


切换到“扫描设置”，根据需要修改相关的设置。


切换到“定义更新”，点击右侧“设置源”。修改设置源。


将新创建的反恶意软件策略部署到设备集合“Endpoint Protection”中。


选择部署的设备集合“Endpoint Protection”。


查看部署情况：


至此，我们就完成了System Center Endpoint Protection2012的部署和应用，通过创建“自定义客户端设置”来定义Endpoint Protection的安装方式。通过创建“自定义反恶意软件策略”来定义Endpoint Protection的扫描方式和更新方式。