update ohne admin?

[gmc616]

Mal angenommen ihr schreibt eine Anwendung, die hauptsächlich in Firmen eingesetzt wird.
Diese Anwendung kann sich selbstständig übers Internet updaten.
Für das eigentlich Update, also z.B. das Kopieren der Dateien ins Programme-Verzeichnis sind aber Admin-Rechte erforderlich.
Nun ist es vernünftigerweise so, dass die Benutzer dort in den Firmen an ihren Rechnern i.a.R. keine Admin-Rechte haben und keine Software installieren dürfen.
Da aber Teile dieser Anwendung in regelmäßigen Abständen aktualisiert werden sollen, ist es notwendig, dass der Benutzer ohne große Probleme Updates eurer Software installieren kann, ohne ihm gleich alle Admin-Rechte über die Maschine geben zu müssen.
Mit den Admins lässt sich verhandeln.

Wie würdet ihr das lösen?


Gruß
gmc

[wicht]

Über einen Dienst im Hintergrund. Dann über Socket/MMF mit dem Dienst kommunizieren.

[gmc616]

Und wozu?

[p80286]

Zitat:

Zitat von gmc616

Da aber Teile dieser Anwendung in regelmäßigen Abständen aktualisiert werden sollen, ist es notwendig, dass der Benutzer ohne große Probleme Updates eurer Software installieren kann, ohne ihm gleich alle Admin-Rechte über die Maschine geben zu müssen.

Na so wie Du es vorgeschlagen hast.
Für das Verzeichnis in dem die Software steckt bekommt der/die Benutzer das Schreibrecht und gut ist.

Gruß
K-H

[gmc616]

Naja. Es geht aber nicht ausschließlich um Schreibrechte im Programme-Verzeichnis.
Hier und da müssen verschiedene DLL's registriert, Schreibzugriff auf HKLM und andere Dinge, die Adminrechte benötigen.

Man könnte eine "update.exe" bauen, und die über RunAs mit AdminRechten starten. Das würde aber bedeuten, dass der Admin bei jedem Update zu allen Rechnern geht um dort sein Passwort ein zugeben. Blöde Lösung.

Über einen Dienst ... :gruebel: ... wäre eine Idee. Ist mir momentan aber zu aufwendig.

[himitsu]

Verpass dem installierendem Setup ein Admin-Manifest, dann solle Windows/UAC für dieses Updateprogramm die nötigen Admin-Rechte anfordern und gut ist.

Die Rechte des Programmverzeichnisses zu lockern ist keine gute Idee.

Und wenn nicht nötig, dann ist ein ständig mitlaufender Update-Servise zwar nutzbar,
aber müssen denn wirklich immer mehr Programme meißt nutzlos im Hintergrund laufen?

[gmc616]

Zitat:

Zitat von himitsu

Verpass dem installierendem Setup ein Admin-Manifest, dann solle Windows/UAC für dieses Updateprogramm die nötigen Admin-Rechte anfordern und gut ist.

Wird schwer auf nem XP-System, die da immer noch im Einsatz sind.

Zitat:

Zitat von himitsu

Und wenn nicht nötig, dann ist ein ständig mitlaufender Update-Servise zwar nutzbar,
aber müssen denn wirklich immer mehr Programme meißt nutzlos im Hintergrund laufen?

Sehe ich auch so.

[hoika]

Hallo,

ab Vista kannst du keine Schreibrechte im Programme-Verzeichnis mehr "setzen".

MS empfiehlt MSP-Dateien (MS-Patch)
oder halt einen Dienst.

Ich hatte das für w2k auch mal als Update-Script per XCopy nach \\XXX\c$ gemacht,
was ein Admin ausgeführt hatte (alle Rechner waren an, OK, der hatte nur 4 ;) ).


Heiko

[Willmar.Heinrich]

Eine Bemerkung aus der Sicht des Unternehmens:

Ich arbeite zur Zeit für ein Großunternehmen in der Softwareverteilung. Der erste Grundsatz ist: Solchen "selbstupdatenden Applikationen" wird das entweder rigoros abgewöhnt oder die Appl fliegt komplett aus dem Warenkorb.

Hintergrund: Die zentrale IT will wissen, was auf ihren Maschinen passiert. Ungeprüfte Updates werden da nicht zugelassen. Lösung: Der Hersteller liefert ein MSP, das wird getestet und dann mit den firmenüblichen Verteilungsmechanismen ausgerollt, so dass alle Monitoring- und Reporting-Funktionen greifen.

[wicht]

Zitat:

Verpass dem installierendem Setup ein Admin-Manifest, dann solle Windows/UAC für dieses Updateprogramm die nötigen Admin-Rechte anfordern und gut ist.

So mache ich es auch für meine kleinen Programme, allerdings will man es ja nicht unbedingt, dass der Admin immer an alle Arbeitsplätze laufen muss, um das Passwort einzugeben.. Da fällt mir gerade noch dieses MSI System ein, da kann man doch irgendwie von einem PC aus auf allen Rechnern der Dömäne ein Setup starten oder so? Kenne ich mich aber nicht mit aus...

Edit: Oder man nutzt etwas wie ClickOnce von Microsoft - die App wird über einen Webserver oder so mit "einem Klick" (wenn nicht wieder mal irgendwas schief geht, ich mag das Ding nicht so gerne) installiert, aber eben nicht in %ProgramFiles% sondern in %AppData% des gerade angemeldeten Benutzers. Bei jedem Start schaut ClickOnce dann auf den Server, ob es eine neue Version gibt.
So machen wir das in der Firma, die Updatepakete werden dort dann beim Kunden auf einem Server bereitgestellt, ClickOnce auf den Benutzer-PCs prüft und aktualisiert automatisch etc...

[generic]

Ich würde den Admins MSIs bzw. MSP Dateien geben.

Diese Verteilen die Admins, nach einen Test in der Testumgebung per ActiveDirector in Live System.
Wenn die Firma größer ist, werden die den MS-SMS haben und dort drüber die Software verteilen.

Definitiv nicht, solltest du selbst automatische Updates machen. Wenn ein Update fehl schlägt, dann können die Admins schlecht zurück rudern und du hast den Ausfall in der Firma zu verantworten. Die damit verbunden Schadensersatzsachen, wie Ausfallzeiten der Mitarbeiter sind nicht wenig.

Außerdem die Firma bzw. die Admins haben zu entscheiden, wann ein Update eingespielt wird oder nicht.

Warum wollt ihr alle eigentlich die Schutzfunktionen von Windows aushebeln?

[p80286]

Zitat:

Zitat von Willmar.Heinrich

Hintergrund: Die zentrale IT will wissen, was auf ihren Maschinen passiert. Ungeprüfte Updates werden da nicht zugelassen. Lösung: Der Hersteller liefert ein MSP, das wird getestet und dann mit den firmenüblichen Verteilungsmechanismen ausgerollt, so dass alle Monitoring- und Reporting-Funktionen greifen.

Ich sitze hier zwischen zentraler IT und dem Anwender.
Und für unsere abteilungsspezifischen Anwendungen mache ich die Updates. Ist zwar etwas aufwendiger, aber ich weiß dann auch was auf den einzelnen Maschinen läuft. Ist allerdings so gelöst, daß eine meiner UIDs Schreibrechte besitzt.

Autoupdates (eine Anwendung) sind bei uns abgeschaltet. Was weiß ich denn wer sich da einhackt

Gruß
K-H

[himitsu]

Ein normaler Benutzer sollte sich ja keine Adminrechte anfordern können.
Dann wird auch die Manifestvariante nichts einfach so installieren.
Und Autoupdates sollten eh abstellbar sein, dann kann der Admin dann immernoch selber, über alternative Wege, eingreifen können.

[gmc616]

Zitat:

... aber eben nicht in %ProgramFiles% sondern in %AppData% des gerade angemeldeten Benutzers

Coole Idee! :thumb: Doch echt! Muß ich mir merken!

Zitat:

Zitat von Willmar.Heinrich

Lösung: Der Hersteller liefert ein MSP,das wird getestet und dann mit den firmenüblichen Verteilungsmechanismen ausgerollt, so dass alle Monitoring- und Reporting-Funktionen greifen.

Hört sich viel versprechend an. ... ähm, was ist MSP? :gruebel:

google hilft mir grade nicht weiter :witch:

[s.h.a.r.k]

Zitat:

Zitat von gmc616

Zitat:

Zitat von Willmar.Heinrich

Lösung: Der Hersteller liefert ein MSP,das wird getestet und dann mit den firmenüblichen Verteilungsmechanismen ausgerollt, so dass alle Monitoring- und Reporting-Funktionen greifen.

Hört sich viel versprechend an. ... ähm, was ist MSP? :gruebel:

Das hier dürfte helfen.

[hoika]

Hallo,

Zitat:

Hört sich viel versprechend an. ... ähm, was ist MSP?

Wer lesen kann ...

Zitat:

MS empfiehlt MSP-Dateien (MS-Patch)

Heiko

[generic]

[quote="gmc616"]

Zitat:

Hört sich viel versprechend an. ... ähm, was ist MSP? :gruebel:

Das sind Patch Dateien für MSI Pakete.

Ich hatte im Entwickler Magazin eine Serie dazu geschrieben:
# Entwickler Magazin (Ausgabe: 03.09/15.04.2009) Artikel: MSI-Pakete mit Open-Souce-Software erzeugen Teil 4
# Entwickler Magazin (Ausgabe: 02.09/12.02.2009) Artikel: MSI-Pakete mit Open-Souce-Software erzeugen Teil 3
# Entwickler Magazin (Ausgabe: 01.09/10.12.2008) Artikel: MSI-Pakete mit Open-Souce-Software erzeugen Teil 2
# Entwickler Magazin (Ausgabe: 06.08/15.10.2008) Artikel: MSI-Pakete mit Open-Souce-Software erzeugen


MSPs erzeugen ist in einer der letzten Ausgaben erklärt (glaube ich)