Flash Update mit SCUP

Grössere Updates von Adobe Flash und Adobe Reader verteile ich jeweils als ganzes Paket. (Siehe auch Anleitungen zu Flash und Adobe Reader). Wenn ein Computer neu aufgesetzt wird, erhält er so nicht eine Uraltversion, die dann erst über den unten beschriebenen Weg erneuert wird.

Für kleinere Updates ist aber der Weg mit SCUP (System Center Updates Publisher) sehr komfortabel. Zuerst muss man die entsprechenden Kataloge für Reader und Flash über “Import Update(s)” in SCUP einlesen, damit die neuesten Versionen verfügbar sind.

image

Nun kann man das entsprechende Update auswählen, indem man auf die Fahne klickt. Nun wird sie grün und bei “Publish Type” steht “Full Content”. “ActiveX” ist für den Internet Explorer, das “Plugin” ist für andere Browser wie Firefox.

image

Rechts aussen unter “Aktionen” kann man das ausgewählte Update mit “Publish Update(s)” veröffentlichen.

image

In der SCCM Konsole synchronisiert man nun das “Updaterepository” unter “Softwareupdates”. Nach der Synchronisierung findet man das gewünschte Update und kann dieses nun wie ein normales Windows Update auf die Clients verteilen.

image

Je nachdem wie SCCM eingestellt ist, bekommt der Benutzer einen Hinweis, dass neue Updates vorhanden sind. Diese werden nach der vordefinierten Zeit (im Beispiel eine Stunde) automatisch installiert. Der Benutzer kann die Installation aber vorher auch manuell auslösen.

image

Was Facebook über dich weiss

Max Schrems ist ein Jurastudent aus Österreich und wollte wissen, wie viele Daten Facebook über ihn gespeichert hat.

"1200 Seiten – so etwas hat kein KGB oder CIA über einen Normalbürger"

Nach mehreren Nachfragen wurde im eine CD mit 1200 PDF’s geschickt. Im Moment ist es aber sehr schwierig, an eine solche zu kommen. Max konnte so feststellen, dass auch bereits gelöschtes weiter gespeichert wird.

Nun hat er der Taz seine Online Aktie gegeben, um ein Aufklärungsvideo daraus zu machen…

Typo3 Update

Ich wollte unser Typo3 auf die neueste Version 4.6.0 updaten, aber im Gegensatz zum letzten Update ist da ziemlich was schiefgelaufen. Nun ist es mir doch noch gelungen.

Am besten macht man mit phpmyadmin eine Kopie der betroffenen Datenbank und arbeitet mit der Kopie. Ausserdem habe ich auch den ganzen Typo3 Ordner kopiert, damit ich in einer weiteren Installation testen kann ohne die aktive Installation zu “zerschiessen”.

Bei mir lag es hauptsächlich daran, dass die Datenbank nicht auf UTF-8 umgestellt war und einige Extensions nicht auf dem neuesten Stand waren.

Mit dieser Anleitung ist es mir schlussendlich gelungen, die Datenbank auf UTF-8 umzustellen und anschliessend Typo3 von 4.4 auf 4.6 upzudaten. Vielen Dank an den Ersteller.

Es zeigt sich mal wieder, dass Typo3 dem Ruf gerecht wird, kompliziert zu sein (vor allem für Nicht-Profis wie mich). Dafür bietet es auch immens viel an und man muss sich auch nicht an eine proprietäre Lösung binden. Also weiterhin empfehlenswert…

image

Lange Boot-Zeit bei Windows 7

In unserem Netzwerk haben einzelne Computer begonnen, sehr lange zum Aufstarten zu benötigen. Da kommt dann einfach während Minuten der Bildschirm mit “Bitte warten…”.

image

Komisch ist, dass auch vom gleichen Gerätetyp nur einzelne Computer betroffen sind und gemäss Aussagen von den Benutzern tritt es auch nicht jedes Mal auf.

Man kann über eine Gruppenrichtlinie die Meldungen beim Start von Windows 7 anzeigen lassen, aber das hat mich auch nicht weitergeführt.

image

Also habe ich die Logfiles von betroffenen Computern durchgesehen und bin auf folgende Einträge gestossen:

Event-ID: 6005
Quelle Winlogon
Der Anmeldebenachrichtigungsabonnent <GPClient> benötigt einige Zeit, um dieses Benachrichtigungsereignis (CreateSession) zu bearbeiten.

image

Event-ID: 6006 
Quelle Winlogon
Der Anmeldebenachrichtigungsabonnent <GPClient> hat xxx Sekunden benötigt, um dieses Benachrichtigungsereignis (CreateSession) zu bearbeiten. 
Wobei xxx für die Anzahl Sekunden steht und von wenigen bis zu fast 10 Minuten dauern kann. 

image

Da findet man dann viele Hinweise, um was es sich handeln könnte, z.B. eine fehlerhafte DNS Implementierung. Habe dann das Netzwerk überprüft, aber nichts gefunden. Ein anderer Event hat mich dann weiter auf die richtige Spur gebracht.

Event-ID: 10
Quelle WMI
Ereignisfilter mit Abfrage "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99" konnte im Namespace "//./root/CIMV2" nicht reaktiviert werden aufgrund des Fehlers 0x80041003. Ereignisse können nicht durch diesen Filter geschickt werden, bis dieses Problem gelöst ist.

image

Scheinbar passiert das, wenn eine WMI Abfrage nicht genügend Rechte besitzt.

Auszug aus Technet.

0x80041003 (WBEM_E_ACCESS_DENIED)
This typically results when the process trying to access the namespace does not have the required WMI privileges. The account attempting remote access should be an administrator on the target computer; in addition, the account might need to have a specific privilege enabled.
To troubleshoot this error, check the namespace security on the remote namespace to see the privileges enabled for the account.

Dann habe ich in einem Forum einen Hinweis gefunden, mit dem ich das Problem lösen konnte:

Boot into safe mode. First, open services and stop the Windows Management Instrumentation Service. Take ownership of the folder or the contents of the folder "C:\Windows\System32\wbem\Repository." Delete the contents of the folder. Reboot.

Beim Microsoft Support findet man sogar ein FixIt Knopf, um das Problem zu beheben. Dies hat aber bei einem Test bei mir nicht funktioniert. Ausserdem gibt es da noch ein VB Skript, das ich aber nicht getestet habe.

Hingegen hat es funktioniert, wenn man folgende Befehle an einer mit Administratorenrechten gestarteten Eingabeaufforderung eintippt.

Net Stop WinMgmt /y
rd %WinDir%\System32\Wbem\Repository /s /q
Net Start WinMgmt /y

Der Vorteil davon ist, dass sich das skripten und auf die betroffenen Geräte verteilen lässt.

Das Problem lässt sich also so beheben, aber ich weiss immer noch nicht, woher es kommt und daher auch nicht, ob es wieder kommen wird. Dies hinterlässt ein ungutes Gefühl.

Um dem unguten Gefühl wenigstens ein wenig entgegenzuwirken, habe ich bei betroffenen Geräten vollständige Virenscans mit mehr als einem Virenscanner durchgeführt, die aber auch nichts gefunden haben…

Nachtrag

Es scheint besser zu sein, das Repository nicht ganz zu löschen, sondern nur ein WinMgmt /resetrepository durchzuführen. Weil man manchmal noch weitere Dienste stoppen oder sogar einen Task abwürgen muss, habe ich ein Skript geschrieben (dieses muss durch einen Rechtsklick –> Als Administrator ausführen gestartet werden).

net stop ccmexec /y
TASKKILL /F /IM CcmExec.exe
net stop wscsvc /y
net stop iphlpsvc /y
Net Stop WinMgmt /y
net start winmgmt /y
winmgmt /resetrepository

Eigentlich wird nur die letzte Zeile benötigt, aber ich habe festgestellt, dass es dann oft nicht funktioniert. Wenn man aber WinMgmt stoppt und erneut startet, funktioniert es. WinMgmt lässt sich aber nicht immer einfach stoppen, da es Dienste gibt, die von ihm abhängen und auch gestoppt werden müssen. Diese waren bei mir die Dienste ccmexec, wscsvc und iphlpsvc. In einer anderen Umgebung kann es anders aussehen (einfach mal net stop winmgmt in einer Eingabeaufforderung eingeben und schauen, welche Dienste auch noch gestoppt werden müssen). Manchmal lässt sich ccmexec nicht über net stop beenden, daher auch noch die Zeile mit dem Taskkill. Viel Erfolg!

Nachtrag 2

Das WMI-Repository zurücksetzen hilft, aber das Problem tritt bei einzelnen unserer Computer nach einiger Zeit wieder auf. Es gibt einen Hotfix von Microsoft, der das beschriebene Problem adressiert und das Problem bei unseren Computern löst.

innovativeschools.ch

Microsoft bietet auf der Homepage www.innovativeschools.ch diverse Hilfen zur Einführung von neuen Medien in den Schulalltag an.

Ziel ist es, Schulen bei der Gestaltung von Unterricht jenseits von traditioneller Wissensvermittlung zu unterstützen und sie zu modernen Lernorten des 21. Jahrhunderts zu entwickeln. Als Mitglieder im Partners in Learning Schulprogramm entwickeln Schulen ihr Profil und tauschen sich mit gleichgesinnten Schulen aus.

Unter anderem wird ein Evaluationstool angeboten, das gut auch von Schulleitung für Schulentwicklung eingesetzt werden kann.

image

Ausserdem gibt es auch Lernangebote zu verschiedenen Programmen von Microsoft.

image

Auch verschiedene Materialien zu Unterrichtsideen werden angeboten.

image

Java verteilen

Um Java (aktuell Version 8 Update 201)  zu verteilen, gibt es zwei Möglichkeiten. Entweder verteilt man ein MSI Paket oder die EXE-Datei als silent (unattended) Installation.

Das Problem bei Java ist die Autoupdate Funktion. Sobald eine neue Version erscheint, bekommen die User eine Meldung, können als Standardbenutzer aber das Update nicht installieren.

Daher verteile ich die neue Version als angepasstes MSI. Um die MSI Datei zu erhalten, wählt man auf der Download Seite links aussen „Alle Java Downloads„. Hier kann man nun die Windows Offline Datei herunterladen (32bit für den 32bit Internet Explorer). Wenn man mit der Installation beginnt, aber NICHT auf Installieren klickt, kann man unter C:\Users\“benutzername“\AppData\LocalLow\Oracle\Java\“jre-Versionsnummer“ die entpackte MSI Datei wegkopieren und danach die Installation abbrechen.

Um ein passendes MSI zu erstellen, verwende ich Orca von Microsoft, das in den Windows Installer Development Tools enthalten ist. Leider muss man für das kleine Orca die ganzen Tools (1GB) herunterladen. Danach kann man die ISO Datei auf eine DVD brennen oder z.B. mit 7Zip in einen Ordner extrahieren. Im Ordner \setup\WinSDKTools kann man die Datei cab1 mit einem Doppelklick öffnen und dann die Datei WinSDK_Orca_MSI…… Extrahieren. Sobald man diese Datei mit dem Dateinamen .msi ergänzt, kann man Orca per Doppelklick installieren.

image

Nun ändert man mit Orca unter Property die Eigenschaften:

AUTOUPDATECHECK: 0
JAVAUPDATE: 0
EULA: 1 (nicht mehr vorhanden bei Versionen > 8.)
IEXPLORER: 1 (nicht mehr vorhanden bei Versionen >8.)

image

Nun kann man das MSI speichern und z.B. über die Gruppenrichtlinien verteilen….

image

…oder über SCCM mit …

msiexec /i jre.msi

image

Ich habe das Java MSI auf jre.msi umgetauft (ohne Versionsangabe). Somit kann man einfach die neueste Version über die alte kopieren, den Distributionpoint aktualisieren und das Programm erneut zuweisen. Dies ist viel schneller, als wenn man jedes Mal ein neues Paket erstellen muss.

Java lässt sich auf diesem Wege nicht installieren, wenn der Internet Explorer zum Installationszeitpunkt geöffnet ist. Dies ist bei der Installation über die Gruppenrichtlinien kein Problem, weil vor der Anmeldung eines Benutzers der IE nicht geöffnet sein kann…

Man könnte nun den IE vor der Java Installation über einen taskkill Befehl schliessen, was nicht die ganz feine Art ist. Die Installation über WOL in der Nacht durchzuführen kommt bei so vielen Laptops, die in der Nacht nicht am Netz hängen, auch nicht in Frage. Daher verwende ich die Bedingung “Nur wenn kein Benutzer angemeldet ist”.

image

Viel Erfolg!

Nachtrag
Bei der letzten Version hatte ich Probleme mit diversen Computern, die danach zwar angezeigt hatten, dass sie die neue Version installiert hätten, diese war aber nicht in einem funktionsfähigen Zustand. Allenfalls kommt das zustande, wenn sich jemand anmeldet, während die Software installiert wird.

Ich habe mich nun entschieden, auf die Bedingung “Nur wenn kein Benutzer angemeldet ist” zu verzichten und den IE vor der Installation halt doch zu schliessen. Nicht ganz die feine Art, ich weiss…

image

Youtube Filme herunterladen

Es gibt diverse Programme, um Youtube Filme herunterzuladen. Es gibt aber auch den Online-Dienst flish, den man verwenden kann, wenn man z.B. keine zusätzliche Software verwenden möchte oder installieren kann. Die Seite wird über Werbung finanziert, scheint aber von Deutschland aus zu agieren. Damit ist es schon wahrscheinlicher, dass die Seite nicht für dubiose Aktivitäten, wie die Installation von Malware geplant wurde (Dienste von Servern z.B. aus Tonga schreien ja fast schon “wir sind in ein Land gezogen, wo uns die westliche Rechtsprechung nicht erreichen kann” Zwinkerndes Smiley).

image

c’t Artikel zu Medienerziehung

Nach Anfragen von Pädagogen hat die Computerzeitschrift c’t beschlossen, ihre Artikel zu Medienerziehung für öffentliche Schulen zur freien Verfügung zu stellen. Man hat also die Erlaubnis, die vollständigen Artikel beispielsweise bei einem Elternanlass abzugeben. Beide Artikel bieten eine praktische Druckansicht für einen solchen Zweck.

image

Gefahrenzone – Risiken im Internet für Kinder und Jugendliche

Kinder, Internet & Pannen – Medienerziehung mit Verständnis und Augenmass

Dropbox im Netzwerk???

Wir haben in jedem Schulhaus einen Supporter, der lokale Administratorenrechte auf den Computern hat und nach eigenem Ermessen auch zusätzliche Software auf den Computern der Lehrkräfte installieren darf. Nun wurde ich angefragt, ob man für die Lehrkräfte den Dropbox Client installieren dürfe.

image

Dropbox ist ein Speicherplatz im Internet, auf den ich mit diversen Computern und mobilen Clients zugreifen kann, um auf diese Daten von überall her zuzugreifen. Grundsätzlich sind die Daten also bei einer Firma, auf die wir keinen Einfluss haben. Ausserdem hatten sie in der Vergangenheit auch schon Probleme mit der Sicherheit. Daher empfehle ich, nur verschlüsselte oder nicht sensitive Daten einem solchen Dienst anzuvertrauen. Ausserdem erweitert grundsätzlich jede Software, die mit dem Internet kommuniziert, die Möglichkeit für einen Angriff mit Malware.

Bei uns gibt’s die Möglichkeit, von zuhause aus über einen Remotedesktopserver zu arbeiten. Vielleicht geht es aber auch darum, von der Schule aus auf die privaten Daten zuzugreifen. Dagegen spricht ja aus Datenschutzüberlegungen der Schule nichts. Da könnte man einwenden, dass die Schule nicht dafür sorgen muss, dass private Dinge auf den Computern bearbeitet werden können. Auf der anderen Seite weiss man, dass Einschränkungen unzufrieden machen und das Ziel müsste ja sein, für möglichst zufriedene Mitarbeiter zu sorgen…

Die Entscheidung, ob man das installieren kann/darf, ist also nicht nur eine technische, sondern vielmehr eine „politische“. Soll man den kleinen Verlust an Sicherheit und die Möglichkeit, dass sensitive Daten dort gespeichert werden könnten höher gewichten oder den Komfort und die Zufriedenheit der Lehrperson? Ich habe diese Frage nun an unsere EDV-Kommission mit allen Schulhaussupportern und den zuständigen Schulräten gestellt und bin gespannt, was herauskommt…