Deploy Omnipoint Secure Client ไปยังเครื่องใน Domain ด้วย Group Policy (Startup Script)

องค์กรที่ใช้ Active Directory ติดตั้ง Omnipoint Secure Client ให้เครื่อง Windows ที่ Join Domain ได้ครั้งละหลายเครื่องแบบ Silent ด้วย Group Policy โดยใช้ Startup Script ใน Computer Configuration ซึ่งติดตั้ง Client ให้ตอนเปิดเครื่อง ก่อนผู้ใช้ Login และไม่ต้องให้ผู้ใช้มีสิทธิ์ Administrator บทความนี้อธิบายขั้นตอนตั้งแต่เตรียม Package และ Shared Folder สร้าง GPO จนถึงการตรวจผลใน Console สำหรับผู้ดูแลระบบ Windows และ Athena SASE

ทำไมใช้ Startup Script

• ตัวติดตั้ง Client ต้องใช้สิทธิ์ Administrator ของเครื่อง
• Startup Script ใน Computer Configuration ทำงานด้วยสิทธิ์ SYSTEM ตอนเปิดเครื่อง จึงติดตั้งได้แม้ผู้ใช้ไม่มีสิทธิ์ Administrator
• Logon Script ใน User Configuration ทำงานด้วยสิทธิ์ของผู้ใช้ที่ Login จึงใช้ได้เฉพาะเมื่อผู้ใช้มีสิทธิ์ Administrator ของเครื่อง
• Startup Script มีผลกับ Computer Object ดังนั้น GPO ต้อง Link กับ OU ที่เก็บ Computer ของเครื่องที่ต้องได้ Client ไม่ใช่ OU ของผู้ใช้

สิ่งที่ต้องเตรียม

• เครื่อง Windows ที่ Join Domain และ Computer Object อยู่ใน OU ที่ต้องการ Deploy
• สิทธิ์แก้ไข Group Policy ของ Domain และ Server สำหรับ Shared Folder (เช่น Domain Controller หรือ File Server)
• Authentication Policy ของ Client พร้อมใช้งาน (PC (Client Access) มี Auth Method ที่ผู้ใช้ AD ใช้ Login ได้)
• ตั้ง Download Concurrency ที่ Download Center ก่อน Rollout ครั้งใหญ่ ดูบทความ Download Center และ Deployment Statistics
• ถ้าเครื่องมี Antivirus ให้เพิ่ม Path ที่ติดตั้ง Client ไว้ใน Whitelist

เตรียม Package และ Shared Folder

1. ที่ Console ไปที่ Platform Management › Endpoints › Client Deployment แท็บ Download Center เลือก Standard Package หรือ Template ที่ต้องการ เลือก Method Package แท็บ Windows แล้วกด Download Package (Package Type แบบ Full-Featured เหมาะกับการ Deploy จำนวนมาก)

2. คัดลอก Package ไปไว้ในโฟลเดอร์บน Server โดยคงชื่อไฟล์เดิมไว้

3. แชร์โฟลเดอร์นี้ ดู Network Path แบบ UNC ได้ที่แท็บ Sharing ของ Properties และกำหนด Share Permissions ให้ Everyone มีสิทธิ์ Read เพื่อให้ทุกเครื่องอ่านไฟล์ Package ได้

   

สร้าง GPO และตั้ง Startup Script

1. เปิด Group Policy Management เลือก OU ที่เก็บ Computer ของเครื่องที่ต้องได้ Client

2. คลิกขวาที่ OU เลือก Create a GPO in this domain, and Link it here... แล้วตั้งชื่อตามหน้าที่ เช่น SASE Client Push

   

3. คลิกขวาที่ GPO แล้วเลือก Edit เพื่อเปิด Group Policy Management Editor

4. ไปที่ Computer Configuration › Policies › Windows Settings › Scripts (Startup/Shutdown) แล้วดับเบิลคลิก Startup

5. ในแท็บ Scripts กด Add แล้วกด Browse ไปที่ Shared Folder ด้วย Path แบบ UNC เลือกไฟล์ Package

6. ที่ Script Parameters กรอก /S เพื่อติดตั้งแบบ Silent แล้วกด OK และ OK

   

7. กลับมาที่ Group Policy Management ตรวจที่แท็บ Scope ของ GPO ว่า Link กับ OU ที่ถูกต้อง

   

Restart เครื่องและให้ผู้ใช้ Login

1. Restart เครื่องใน OU นั้น Startup Script จะติดตั้ง Client แบบ Silent ระหว่างเปิดเครื่อง การติดตั้งอาจเสร็จหลังหน้าจอ Sign-in ของ Windows ปรากฏไม่นาน

2. ผู้ใช้ Login Windows ตามปกติ จะเห็น Shortcut ของ Omnipoint Secure Client บน Desktop โดยไม่ต้องติดตั้งเอง

3. ผู้ใช้เปิด Client กด Log In แล้ว Login ด้วย Account ของ AD ในหน้า Login ขององค์กร การเข้าใช้ App ภายในผ่าน ZTNA ต้อง Login ที่ Client เสมอ ผู้ดูแลระบบลดการกรอกรหัสผ่านซ้ำได้ด้วย Quick Login และให้ SWG กับ XDLA ใช้ตัวตนของ Windows ได้ด้วย SSO ดูบทความ Windows AD SSO และ Quick Login

   

ตรวจสอบผลใน Console

• Endpoints › Endpoint Assets — เครื่องจะปรากฏเมื่อผู้ใช้ Login ที่ Client ครั้งแรก พร้อมคอลัมน์ Client Component Status ของแต่ละ Component
• Client Deployment › Deployment Statistics — อัตราการติดตั้งตามแผนก และรายชื่อผู้ใช้ที่ยังไม่ได้ติดตั้ง
• Dashboard › User Status — ผู้ใช้ที่ออนไลน์อยู่

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ปัญหาที่พบบ่อย