Pré-Requisitos: Conceitos básicos de instalação de software via GPO.
Metodologia: Executar as ações práticas de Distribuição de Software via GPO.
Técnica: Exemplos práticos, passo-a-passo.

Neste item mostrarei como fazer a implementação e a configuração da distribuição de software via GPO. Você aprenderá a criar novos pacotes de distribuição de software via GPO, usando as opções de associar ou publicar. Também mostrarei como configurar as opções de distribuição e as opções de remoção de um pacote. Para acompanhar os exemplos práticos deste tópico é importante que você tenha entendido os conceitos teóricos apresentados no item anterior.

Configurando um pacote de software para ser associado com os usuários:

Neste item mostrarei como associar um software (usando um pacote .msi) com usuários. Aqui é importante o conhecimento de como funcionam as GPOs, descrito anteriormente. Por exemplo, se você vai fazer a distribuição de um programa que deve ser instalado para todos os usuários do domínio. Neste caso você deve criar o pacote de instalação na GPO Default Domain Policy. Agora imagine que você esteja instalando um programa que deve ser associado apenas com os usuários da seção de Vendas e que todas as contas dos usuários da seção de vendas estão na OU Vendas. Neste caso você deve criar o pacote de distribuição de software em uma GPO associada a OU vendas. Se não existir GPO associada a OU Vendas, você deverá cria-la e criar o pacote de distribuição de software nesta GPO.

Neste item vou fazer um exemplo que muito provavelmente você enfrentará na vida real.

Exemplo: Usar a instalação de software via GPO, para garantir que as ferramentas de administração (Start -> Administrative Tools), estejam disponíveis  para os membros do grupo Local do domínio Administrators, em qualquer computador do domínio, no qual um membro deste grupo faça o logon. Em outras palavras, sempre que um membro do grupo Administrator fizer o logon,  o conjunto de consoles de administração (Administrative Tools – Ferramentas administrativas) deverá estar disponível. Quais passos devem ser implementados para solucionar o problema proposto.

Discussões e solução proposta: A primeira questão é definir se será feita uma distribuição do tipo Assign (Associar) ou Publish (Publicar). Pelo enunciado do exemplo, as ferramentas, ou melhor, os atalhos para as ferramentas, já devem star disponíveis após um membro do grupo Administrators ter feito o logon. Em outras palavras, o usuário não deve ter que utilizar a opção Add/Remove Programs (Adicionar ou remover programas) do Painel de controle, para instalar a aplicação. Com isso fica fácil definir que deve ser feita uma distribuição do tipo Assign (Associar). Lembrando que, com a distribuição do tipo Assign, assim que o usuário fizer o logon, os atalhos do programa já estarão disponíveis. Assim que o usuário clicar no atalho, ou tentar abrir um arquivo associado com o programa, o programa será instalado. Alem disso, a distribuição será associada com os usuários e não com computadores, pois quere que as ferramentas administrativas acompanhem os usuários com conta de Administrador, em qualquer comutador no qual eles façam o logon. A próxima etapa é definir o que fazer para que o pacote de ferramentas administrativas seja distribuído apenas para os membros do grupo Administradores, em qualquer computador do domínio, no qual eles façam o logon. Esta também é simples. Vamos criar uma GPO chamada Instala Ferramentas Administrativas. Criaremos esta police associada ao domínio. Em seguida definiremos as permissões desta GPO, de tal maneira que ela se aplica apenas ao grupo Administrators (permissão Apply Policy). Observe que combinando o recurso de distribuição de software via GPO, com o recurso de permissões para a GPO, é possível solucionar problemas, aparentemente de difícil solução.

Etapa 1: Para criar a GPO Instala Ferramentas Administrativas e criar um pacote de distribuição de software, siga os passos indicados a seguir:

1.         Faça o logon como Administrador ou com uma conta com permissão de administrador.
2.         Abra o console Active Directory Users and Computers (Usuários e computadores do Active Directory).
3.         Clique com o botão direito do mouse no domínio a ser configurado e, no menu de opções que é exibido, clique em Properties (Propriedades).
4.         Na janela de propriedades do domínio dê um clique na guia Group Policy.
5.         Para criar uma nova GPO dê um clique no botão New (Novo). Uma nova GPO será criada e com o nome padrão já selecionado. Digite o nome Instala Ferramentas Administrativas e clique no espaço em branco, abaixo da GPO, para tirar o cursor do lado do nome e efetivamente criar a GPO.
6.         A GPO Instala Ferramentas Administrativas já aparece na lista de GPOs associadas com o domínio, conforme exemplo da Figura 18.34:

Figura 18.34 GPO Instala Ferramentas Administrativas, recém criada.

7.         O próximo passo é alterar a GPO, para criar o pacote de distribuição de software, que será associado a GPO. Clique na GPO Instala Ferramentas Administrativas  para seleciona-la e, em seguida, no botão Edit (Editar), para carregar a GPO Instala Ferramentas Administrativas no console Group Policy Editor.
8.         Como o pacote de distribuição de software será associado com os usuários, selecione a opção: User Configuration -> Software Settings -> Software installation, conforme indicado na Figura 18.35, onde ainda não existe nenhum pacote de software configurado na GPO (nem poderia existir, pois acabamos de criar esta GPO).

Figura 18.35 A opção Software Settings.

9.         Clique com o botão direito do mouse na opção Software Settings e, no menu de opções que é exibido clique em New -> Package... (Novo -> Pacote...), para criar um novo pacote de distribuição de software via GPO.
10.       O Windows Server 2003 exiba a janela Open (Abrir). Nesta janela você deve informar o caminho onde está o arquivo .msi, referente ao programa que será distribuído. No exemplo da Figura 18.36, informei o caminho \\srv-win2003\Softwares\adminpak.msi. Ou seja, o arquivo adminpak.msi, do compartilhamento Softwares que está no servidor srv-win2003. É importante salientar que este caminho deverá ser acessível para os usuários, nas estações onde o software for instalado.

Importante: As informações sobre quais programas estão associados com cada usuário ou computador, ficam gravadas no Active Directory, na própria GPO. Na GPO também ficam informações sobre o caminho do arquivo de instalação (arquivo .msi). Quando o usuário faz o logon, o Windows Server 2003 acessa as informações contidas no Active Directory para saber quais aplicações devem estar disponíveis para o usuário (aplicações que estão associadas com o usuário). Por isso que, mesmo antes de fazer a instalação da aplicação, o Windows Server 2003 já exibe os ícones da aplicação. Estas informações são lidas a partir do Active Directory. Quando o usuário for efetivamente utilizar a aplicação, quer seja clicando no atalho da aplicação ou abrindo um arquivo associado com a aplicação, é que o Windows Server 2003 irá, efetivamente, instalar a aplicação, usando o arquivo .msi configurado quando o pacote foi criado na GPO. É isso.

Figura 18.36 Informando o caminho para o arquivo .msi.

11.       Informe o caminho para o arquivo .msi e clique em Open (Abrir).
12.       Será exibida a janela Deploy Software, na qual você deve definir se o software será associado ou publicado para os usuários (lembre-se que estamos utilizando a opção User Configuration). A opção Advanced permitirá que, além de selecionar se o software será associado ou publicado, você faça modificações no pacote que está sendo publicado. Para o nosso exemplo, marque a opção Assigned, conforme exemplo da Figura 18.37 e dê um clique em OK.

Figura 18.37 Selecionando o tipo de publicação.

13.       O novo pacote já será exibido no painel da direita, onde é exibida uma descrição do pacote (descrição obtida a partir de informações do arquivo .msi), o tipo de distribuição (Assigned ou Published), que no nosso exemplo é Assigned e o caminho (Source) para o arquivo .msi.
14.       Feche o console Group Policy Editor.
15.       Você estará de volta a janela de propriedades do domínio, com a guia Group Policy selecionada. Mantenha esta janela aberta, pois você irá utiliza-la na Etapa 2, logo a seguir.
16.       Pronto, o pacote de distribuição de software foi criado. Agora, a próxima etapa, é configurar as permissões da GPO Instala Ferramentas Administrativas (na qual foi criado o pacote de software), de tal maneira que esta GPO seja aplicada apenas aos usuários do grupo Local do domínio Administrators (Administradores).

Etapa 2: Definir as permissões para a GPO Instala Ferramentas Administrativas, de tal maneira que ela seja aplicada apenas aos usuários do grupo Administrators (Administradores), siga os passos indicados a seguir:

1.         Você já deve estar com a guia Group Policy, da janela de propriedades do domínio, selecionada. Se tiver fechado esta janela, abra-a novamente, seguindo os passos de 1 a 4, da Etapa 1.
2.         Clique na GPO Instala Ferramentas Administrativas, para seleciona-la.
3.         Clique no botão Properties (Propriedades), para abrir a janela de propriedades da GPO. Clique na guia Security (Segurança).
4.         Por padrão é definida permissão para uma série de grupos, tais como Authenticated Users, Domain Admins e assim por diante. Vamos remover todos estes grupos e adicionar apenas o grupo Administrators.
5.         Para remover um grupo ou usuário que esteja na lista de permissões, basta dar um clique no grupo ou usuário a ser removido, para seleciona-lo e depois um clique em Remove (Remover). Repita estes passos para remover todos os grupos/usuários.
6.         Agora vamos adicionar o grupo Administrators. Clique em Add... (Adicionar...). Será aberta a janela para selecionar um usuário ou grupo do domínio, a qual já utilizamos várias vezes. Vamos digitar o nome do grupo. Digite Administrators, conforme indicado na Figura 18.38:

Figura 18.38 Definindo permissões para o grupo Administrators.

7.         Clique em OK. O grupo administrators será adicionado a lista de usuários com permissões de acesso a GPO. Este usuário deverá ter tanto acesso de leitura (Read), quanto de aplicar a policy (Apply Policy), quanto para administrar a Policy, já que nenhum outro grupo terá permissão a esta GPO. Por isso marque a permissão Full Control (Controle total), que todas as demais permissões também serão marcadas. A sua janela deve estar conforme indicado na Figura 18.39:

Figura 18.39 Permissão de controle total para o grupo Administrators.

8.         Clique em OK para fechar a janela de propriedades da GPO e para aplicar as alterações efetuadas.
9.         Você estará de volta a guia Group Policy. Clique em Close (Fechar), para fechar a janela de propriedades do domínio.
10.       Você estará de volta ao console Active Directory Users and Computers (Computadores e Usuários do Active Directory). Feche-o.

Pronto, você acabou de criar um pacote de distribuição de software, associa-lo com os usuários e definiu as permissões da GPO, de tal maneira que elas sejam aplicadas apenas ao grupo Administrators. Faça o logon com uma conta pertencente ao grupo Administrators, em qualquer estação de trabalho da rede. O menu Administrative Tools (Ferramentas administrativas) deverá ser exibido completo, com todos os ícones. Como o software foi associado com o usuário, os ícones são automaticamente exibidos, porém a ferramenta será efetivamente instalada, quando o usuário abri-la pela primeira vez.

Configurando as propriedades de um pacote de software.

Após ter publicado um pacote de software, você poderá configurar diversas opções, as quais definem como este pacote será utilizado.

Para configurar as configurações do pacote criado no exemplo anterior, siga os passos indicados a seguir:

1.         Faça o logon como Administrador ou com uma conta com permissão de administrador.
2.         Abra o console Active Directory Users and Computers (Usuários e computadores do Active Directory).
3.         Clique com o botão direito do mouse no domínio a ser configurado e, no menu de opções que é exibido, clique em Properties (Propriedades).
4.         Na janela de propriedades do domínio dê um clique na guia Group Policy.
5.         Clique na GPO Instala Ferramentas Administrativas e em seguida clique no botão Edit (Editar), para carregar esta GPO no console Group Policy Editor.
6.         Selecione a opção User Configuration -> Software Settings -> Software Installation. O pacote de distribuição de software, criado no exemplo anterior, já deve estar sendo exibido no painel da direito.
7.         Clique com o botão direito do mouse neste pacote e, no menu de opções que é exibido, clique em Properties (Propriedades).
8.         A janela de propriedades do pacote de distribuição será aberta, com a guia General (Geral), selecionada por padrão, conforme indicado na Figura 18.40:

Figura 18.40 A guia geral de propriedades do pacote de distribuição.

9.         Na guia Geral você pode alterar o nome do pacote e o endereço do site de suporte ao programa. Ao criar o pacote, este endereço é obtido automaticamente a partir das informações contidas no arquivo .msi. Defina as configurações desejadas e dê um clique na guia Deployment (Distribuição).
10.       Será exibida a guia Deployment, com as opções indicadas na Figura 18.41:

Figura 18.41 A guia Deployment de propriedades do pacote de distribuição.

11.       Nesta guia você pode alterar o tipo de publicação de Assigned para Published e vice-versa. No grupo Deployment Options (Opções de distribuição), você pode configurar as seguintes opções:

• Auto install this application by file extension activation (Auto-instalar esta aplicação por ativação de extensão de arquivo): Esta opção esta sempre marcada quando a publicação for do tipo Assigned e não poderá ser desmarcada para publicações do tipo Assigned. Se a publicação for do tipo Published, esta opção poderá ser marcada para fazer com que a aplicação seja instalada, quando o usuário abrir um arquivo associado com a aplicação. Com isso, mesmo sem usar a opção Add/Remove Programs (Adicionar ou remover programas) do Painel de controle, o usuário poderá instalar uma aplicação que foi publicada via GPO, simplesmente abrindo um arquivo associado com a aplicação.

• Unistall this application when it falls out of scope of management (Desinstalar esta aplicação quando ela estiver for a de escopo de gerenciamento): Determina que a aplicação será removida quando a GPO deixar de ser aplicada (por exemplo, se a GPO for excluída ou desvinculada do domínio). Para aplicações associadas ou publicadas para usuários, esta configuração terá efeito durante o próximo logon, para aplicações que foram associadas com computadores, esta configuração terá efeito na próxima reinicialização. Ao fazer esta configuração, não exclua a GPO logo em seguida, senão não dará tempo de esta configuração ser aplicada a todos os usuários e/ou computadores.

• Do not display this package in the Add/Remove Programs control panel (Não exibir este pacote na opção Adicionar ou remover programas do Painel de controle): Impede que o programa seja exibido na opção Adicionar ou remover programas do Painel de controle.

• Install this application at logon (Instalar esta aplicação durante o logon): Esta opção somente está disponível para pacotes do tipo Assigned. Se esta opção for marcada, a aplicação será efetivamente instalada durante o logon, ao invés de serem disponibilizados apenas os ícones para a aplicação. Com isso quando o usuário clicar no atalho, a aplicação será imediatamente inicializada, uma vez que já foi instalada durante o logon. Esta opção não deve ser utilizada para usuários conectados via links de WAN, com o servidor onde está o pacote .msi de instalação. Pois neste caso, o processo de logon poderá demorar muito tempo (até mesmo horas, dependendo do tamanho do programa a ser instalado). O mais provável é que o usuário desligue o computador diretamente no botão, achando que algo está errado.

12.       Na opção Installation user interfaces options você pode definir se, durante a instalação, devem ser exibidas todas as telas de instalação (Maximum) ou somente aquelas telas que exijam alguma ação do usuário (Basic). Clique no botão Advanced... (Avançado). Será aberta a janela de opções avançadas, indicada na Figura 18.42:

Figura 18.42 A janela de opções avançadas.

13.       Nesta janela você pode definir se devem ser ignoradas as configurações de idioma, durante a instalação do programa e se for uma aplicação de 32 Bits, se ela deve também ser instalada em computadores que usam versões de 64 bits do Windows. Defina as configurações desejadas e clique em OK.
14.       Defina as configurações desejadas na guia Deployment e clique na guia Upgrades. Serão exibidas as opções indicadas na Figura 18.43:

Figura 18.43 A guia Upgrades de propriedades do pacote de distribuição.

15.       Nesta janela você pode configurar um arquivo de atualização a ser aplicado a aplicação. O arquivo de atualização deve estar configurado em uma GPO do domínio. Ao selecionar o pacote de atualização (Usando o botão Add..), você poderá informar se a aplicação atual deve ser desinstalada e depois instalada a atualização ou se a atualização deve ser instalada sobre a versão atual. Nesta janela você também pode marcar a opção Required upgrade for existing packages (Requerer atualização para os pacotes existentes) para forçar a atualização dos computadores com a versão atual, ou seja, para forçar que a atualização seja aplicada nestes computadores. Defina as configurações desejadas e clique na guia Categories.
16.       Nesta guia você pode definir uma categoria para a aplicação. Ao definir uma categoria, a aplicação passará a ser exibida dentro da categoria selecionada, na janela Add/Remove Programas (Adicionar ou remover programas) do Painel de controle. Faça as configurações desejadas e clique na guia Modifications.
17.       Esta guia é utilizada para aplicar os arquivos de modificação (Arquivos de transformação .mst), os quais irão personalizar a instalação do programa. Você pode utilizar o botão Add... (Adicionar...) para informar a localização do arquivo de modificação (.mst). Sempre é importante lembrar que este arquivo deve estar em um drive de rede, o qual possa ser acessado pelos computadores onde a aplicação será instalada. Defina as configurações desejadas e clique na guia Security.
18.       Os pacotes de distribuição de software são objetos do Active Directory. Todo objeto do Active Directory tem uma ACL – Access Control List (Lista de Controle de Acesso). Você pode utilizar esta lista para limitar a quais usuários o pacote será distribuído. Este é mais um local (além da guia Security da própria GPO), onde você pode limitar quais usuários terão acesso ao pacote de distribuição de Software. Na Figura 18.44 são exibidas as configurações de segurança padrão, para novos pacotes de distribuição de software:

Figura 18.44 Configurações padrão de segurança.

19.       Defina as configurações desejadas e clique em OK.

Sobre as propriedades de um pacote de distribuição de software é isso.

Removendo um pacote de distribuição de software.

Pode ser necessário remover um pacote de distribuição de software. Ao remover o pacote, você terá a opção de escolher se o respectivo software também deverá ser removido dos comutadores onde o software foi instalado, ou se apenas será removido o pacote, mas serão mantidas as instalações já efetuadas.

Para remover o pacote de distribuição de software, criado anteriormente, siga os passos indicados a seguir:

1.         Faça o logon como Administrador ou com uma conta com permissão de administrador.
2.         Abra o console Active Directory Users and Computers (Usuários e computadores do Active Directory).
3.         Clique com o botão direito do mouse no domínio a ser configurado e, no menu de opções que é exibido, clique em Properties (Propriedades).
4.         Na janela de propriedades do domínio dê um clique na guia Group Policy.
5.         Clique na GPO Instala Ferramentas Administrativas e em seguida clique no botão Edit (Editar), para carregar esta GPO no console Group Policy Editor.
6.         Selecione a opção User Configuration -> Software Settings -> Software Installation. O pacote de distribuição de software, criado no exemplo anterior, já deve estar sendo exibido no painel da direito.
7.         Clique no pacote de software a ser removida e, no menu de opções que é exibido, clique em All Tasks -> Remove... (Todas as tarefas -> Remover). Será exibida a janela Remove Software (Remover Software), indicada na Figura 18.45:

Figura 18.45 Opções ao remover o pacote de instalação.

8.         Neste janela estão disponíveis as seguintes opções:

• Immediately unistall the software from users and computers (Desinstalar imediatamente o programa – dos usuários e computadores): Ao marcar esta opção, o software será desinstalado quando os usuários fizerem o logon (se o pacote estiver associado com usuários) ou quando os computadores forem reinicializados (se o pacote estiver associado com computadores).

• Allow user to continue to use the software, but prevent new installations (Permita que os usuários continuem a utilizar o software, mas previna novas instalações): Define que não serão permitidas novas instalações do software, mas as instalações atualmente existentes não serão removidas.

9.         Defina as configurações desejadas e clique em OK para remover o pacote de distribuição de software. O pacote será removido e, dependendo da opção que você selecionou, o software será desinstalado.

Sobre distribuição de software via GPO era isso. Agora passarei ao recurso que é uma novidade no Windows Server 2003: Restrição de Software via GPO.