פריסה בארגון

1 שתי דרכי התקנה

אותה התקנה, אותה תוכנה. בתחילת ההתקנה בוחרים איך היא תתנהג במחשב:

2 אימות הקובץ

לפני פריסה, ודאו שהקובץ שהורדתם הוא בדיוק הקובץ שפרסמנו - טביעת האצבע (SHA-256) והחתימה:

Get-FileHash .\PersonalITGuy-Setup.exe -Algorithm SHA256

(Get-AuthenticodeSignature .\PersonalITGuy-Setup.exe).SignerCertificate | Format-List Subject, Thumbprint

במחשב שעוד לא סומך על התעודה, Windows יציג את מצב החתימה כ"לא מאומת" (UnknownError) - זה תקין. מה שחשוב הוא שטביעת האצבע של החותם זהה לזו שלמעלה.

3 אמון במוציא לאור (מומלץ בארגון)

התוכנה חתומה בתעודה של Personal IT Guy עצמה ולא בתעודה מסחרית. כשמחשבי הארגון סומכים עליה, Windows מציג "Personal IT Guy" כמוציא לאור מאומת בהתקנה ובבקשת ההרשאות, ואפשר לאשר את התוכנה במדיניות לפי מוציא לאור (AppLocker, WDAC, Defender). זה נעשה פעם אחת, לכל המחשבים.

ב-GPO

1. הורידו את התעודה (הכפתור למעלה) ושמרו אותה בתיקייה משותפת.
2. Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies
3. ייבאו אותה ל-Trusted Root Certification Authorities ול-Trusted Publishers.

ב-Intune

Devices > Configuration > Create > Windows 10 and later > Templates > Trusted certificate, עם התעודה ל-Computer certificate store - Root. ל-Trusted Publishers הריצו דרך Devices > Scripts את פקודת ה-PowerShell שלמטה (השורה השנייה).

במחשב בודד (PowerShell כמנהל)

Import-Certificate -FilePath .\pitguy-codesign.cer -CertStoreLocation Cert:\LocalMachine\Root
Import-Certificate -FilePath .\pitguy-codesign.cer -CertStoreLocation Cert:\LocalMachine\TrustedPublisher

4 התקנה מנוהלת

1. קחו קוד צירוף לכל מחשב. הקודים נוצרים במסך הניהול של השירות (ניהול ← ניטור מרחוק); אם אתם מקבלים את השירות מספק - בקשו ממנו קודים. כל קוד מחבר מחשב אחד.
2. הריצו את ההתקנה ובחרו "התקנה מנוהלת - ניטור בלבד". הזינו את הקוד ואת שם הארגון שיוצג למשתמש, ואשרו שאתם מורשים להתקין ניטור במחשב.
3. בסיום, האפליקציה עולה ברקע, מתחברת, והמחשב מופיע בלוח תוך דקה.

התקנה שקטה

PersonalITGuy-Setup.exe /S /MANAGED /CODE=XXXXXXXX /ORG="IT Solutions"

PersonalITGuy-Setup.exe /S /MANAGED

PersonalITGuy-Setup.exe /S /FULL

עדכון גרסה, כולל עדכון שמופעל מרחוק מהלוח, שומר על המצב הקיים של המחשב.

5 פריסה ב-Intune, GPO או כלי RMM

Intune - Win32 app

ארזו את ההתקנה עם IntuneWinAppUtil והגדירו:

PersonalITGuy-Setup.exe /S /MANAGED /CODE=XXXXXXXX /ORG="IT Solutions"

"C:\Program Files\PelegSoft\Personal-IT-Guy\Uninstall pitguy.exe" /S

HKEY_LOCAL_MACHINE\SOFTWARE\PelegSoft\Personal IT Guy\Managed  ·  Mode  =  managed

קוד צירוף מחבר מחשב אחד. לפריסה בכמה מחשבים צרו קוד לכל מחשב, או התקינו בלי קוד והזינו אותו אחר כך בחלון שליד השעון.

GPO - סקריפט הפעלה של המחשב

if (-not (Test-Path 'C:\Program Files\PelegSoft\Personal-IT-Guy\pitguy.exe')) {
  & '\\server\share\PersonalITGuy-Setup.exe' /S /MANAGED /ORG="IT Solutions"
}

סקריפט של GPO רץ כ-SYSTEM: האפליקציה תעלה בכניסה הבאה של משתמש. ההתקנה רצה כ-SYSTEM גם ב-Intune ובכלי RMM - זה תקין.

6 Microsoft Defender

תוכנה שמנהלת מחשב מרחוק, רצה ברקע ומקבלת פעולות משרת, דומה בהתנהגות שלה לכלים זדוניים - ולכן אנטי-וירוס עלול לחשוד בה, בעיקר בגרסה חדשה שעוד לא צברה מוניטין. אם Defender חוסם:

1. ודאו שהקובץ אמיתי - טביעת האצבע והחותם (סעיף 2).
2. ב-Microsoft Defender for Endpoint: Settings > Endpoints > Indicators > File hashes - הוסיפו את טביעת האצבע של הגרסה כ-Allow. בכל גרסה חדשה מוסיפים את שלה.
3. במחשבים שכבר סומכים על התעודה (סעיף 3) אפשר לנסות גם Indicators > Certificates עם קובץ ה-.cer - כך האישור חל על כל הגרסאות.
4. ספרו לנו - נשלח את הגרסה לבדיקה ב-Microsoft כתוכנה לגיטימית.

לא מומלץ להחריג תיקייה שלמה מסריקה; אישור לפי תעודה מדויק ובטוח יותר.

7 רשת וחומת אש

כל התקשורת יוצאת מהמחשב (אין פורט פתוח פנימה), ב-HTTPS:

8 מה מותקן במחשב

מה נשלח ומה המנהל יכול לעשות מפורט במדיניות הפרטיות, סעיף 4.8, ומוצג למשתמש בחלון שליד השעון. לא נשלחים קבצים, היסטוריית גלישה, סיסמאות, תוכן מסמכים או צילומי מסך. מדיניות הפרטיות

9 הסרה

"C:\Program Files\PelegSoft\Personal-IT-Guy\Uninstall pitguy.exe" /S

ההסרה מוחקת את התוכנה, את שירות העזר, את ההפעלה בכניסה ואת הגדרות המצב המנוהל. את המחשב מסירים מהלוח במסך המחשב בלוח הניטור.