Client Upgrade (800Clients) Windows 7 auf Windows 10

[Scrj256]

Hallo Luxxer

Im Zuge meiner Diplomarbeit habe ich den Auftrag erhalten ein Konzept auszuarbeiten um ca. 850 Windows 7-Clients (vereinzelt noch XP und 8) auf Windows 10 zu aktualisieren. Ein Punkt meiner Diplomarbeit ist es Informationen von anderen IT'ler einzuholen wie sie ähnliche Client-Upgrades bereits realisiert haben um vielleicht andere Lösungsansätze als mir bisher bekannte mit in das Konzept einzubeziehen.

Nun wollte ich hier mal nachfragen ob es User bzw. Administratoren gibt, die schon Upgrades von Windows 7 auf Windows 10 im Arbeitsumfeld mit einer grösseren Clientanzahl (500<) (an mehreren Lokationen) durchgeführt haben.
Wichtig wäre mir wenn Jemand Dos und Don’ts basierend auf seinen gemachten Erfahrungen schreiben könnte.

Ausgangslage: Der Windows 7 Support läuft am 14. Januar 2020 ab, bis dahin sollten die Clients auf Windows 10 migriert sein. Die meisten Rechner (295) befinden sich da wo sich das Haupt-IT Team (inkl. mir) befindet. Die grössten Aussenstandorte zählen 167, 64 und 67 Clients. Alle anderen 7 verbleibenden Aussenlokationen zählen etwa zwischen 1 und 30 Clients.

Ein Punkt der mich wunder nimmt ist z.B. die Windows 7 inplace Upgrade Funktion, theoretisch könnte man die Clients ja alle per Upgrade von Windows 7 auf Windows 10 heben und das Upgrade wäre beendet. Hat Jemand bereits so ein Upgrade auf Windows 10 im Arbeitsumfeld durchgeführt? Gab es Probleme? Wenn ja welche. -Mir kommen da z. B. spontan die Spezialprogramme (CAD-Software z. B.) in den Sinn, die nach einem Upgrade serw. nicht mehr funktionieren. Zudem wurde mir von unserem Softwareverteilungs-Tool Consultant von einem inplace-Upgrade abgeraten, den genauen Grund konnte er mir aber nicht nennen, dabei hat er uns mal vor 2-3 Jahren so eine Lösung offeriert die dann aber nicht umgesetzt wurde.

Ich gehe im Moment deshalb davon aus (außer Jemand belehrt mich hier eines besseren), dass wir sämtliche Clients neu aufsetzen müssen. Dies hat aber auch Vorteile: z. B. dass mehrere Standardisierte Images ausgerollt werden können um mal alle Rechner wieder zu "säubern" und auf einen gemeinsamen Stand zu bringen. Im gleichen Zug könnte auch eine Windows Volumenlizenz erworben werden damit alle Clients richtig/gleich lizenziert sind, im Moment wird mit den OEM-Lizenzen auf dem Computer lizensiert.
Die User hatten bis anhin Adminrechte auf ihren Computern (bin nun seit 2 Monaten in diesem Betrieb tätig, kann nix dafür), somit war es möglich das User eigene Software installieren konnten. Dies kann mit einer Neuinstallation von Windows 10 gleich unterbunden werden, zudem kann so der Software-Jungle in unserer Firma nachhaltig bereinigt werden.

Welche Tools eignen sich für solche Migrationen? Das Upgrade auf Windows 10 kann staffelweise erfolgen, es müssen nicht alle 800 Clients auf einmal updatet werden sondern ich kann von Abteilung zu Abteilung gehen um das Windows 10 Image stufenweise auszurollen. Spezialsoftware kann je nach Anzahl (10<) Manuell installiert werden oder per Softwareverteilung paketiert und deployed. Am schönsten wäre natürlich wenn ich das mit einer Softwareverteilung machen könnte, das Problem am ganzen ist das alles Paketiert werden muss was auch wieder viel Zeit in Anspruch nimmt. Mein Gedankengang war, dass wir Standardimages erstellen welche entweder per Softwareverteilung (z.B. Highsystem) ausrollen, oder das wir im Vorfeld SSDs mit dem Standard-Image bespielen und austauschen (Acronis True Image Home). Bei der Acronis True Image Home Edition besteht leider das Problem, dass viele Treiber in das Image integriert werden müssen damit Windows 10 auf allen Computermodellen funktioniert, zudem weiß ich nicht wie viele Clients auf einmal auf ein Image (NW Laufwerk) zugreifen können um z. B. gleich 10 Clients auf einmal auszurollen. Das ist aber immer noch einfacher/kostengünstiger als die ganzen Settings per GPO und Softwareverteilung abzubilden. Hat Jemand Erfahrung mit Acronis Snap Deploy 5? Taugt das etwas? bin gerade darauf gestoßen und werde es mir mal genauer ansehen denn ich war grundsätzlich mit Acronis Produkten immer zufrieden, kenne aber nur Produkte aus dem Home-Bereich (Acronis True Image Home) die sich für meinen Anwendungsfall wohl nicht eignen.

Nun seit ihr gefragt, könnt Ihr mir Tipps/Anregungen zur Win7 zu Win10 Migration bzw. meinen Fragen geben? Kennt ihr vielleicht ein Super-Tool was die arbeit der Migration erleichtert? Gibt es Migrations-Arten/Tools von denen ihr (aufgrund eurer gemachten Erfahrungen) entschieden abratet?

Danke im voraus.

 

[Morpheuz]

SCCM inplace upgrade wäre möglich, jedoch erachte ich das auch nicht als sinnvoll. Hier allerdings mal der Link:
Durchführung eines direkten Upgrades auf Windows10 mit Configuration Manager (Windows10) | Microsoft Docs

Wir haben das damals zwar auch mit SCCM gelöst, allerdings als neue Installation und dann ordentliches paketieren und software deployment. Macht auch bei solch einer Netzgröße deutlich mehr sinn solch eine Infrastruktur aufzubauen, um dies später für Software und patchdeployments nutzen zu können.
Die Verteilung auf andere Standorte ist hier auch weniger ein Problem, SCCM kann sog. Distribution Points verwalten und sollte bei versch. Standorten auch genutzt werden.

Möchte dir jetzt nicht die ganze Arbeit der Diplomarbeit abnehmen, daher sag ich nur: nutz SCCM, wie du dies allerdings alles aufsetzen und konfigurieren musst, musst du dir dann selbst erarbeiten

 

[mod666]

Ein Punkt der mich wunder nimmt ist z.B. die Windows 7 inplace Upgrade Funktion, theoretisch könnte man die Clients ja alle per Upgrade von Windows 7 auf Windows 10 heben und das Upgrade wäre beendet. Hat Jemand bereits so ein Upgrade auf Windows 10 im Arbeitsumfeld durchgeführt? Gab es Probleme? Wenn ja welche. -Mir kommen da z. B. spontan die Spezialprogramme (CAD-Software z. B.) in den Sinn, die nach einem Upgrade serw. nicht mehr funktionieren.

An mehreren Clients in der Firma mal versucht, in 4 von 5 Versuchen schief gegangen, weil die Systeme einfach alt und zugemüllt sind... da ist man dann länger mit Fehlersuche beschäftigt als das Ding einfach neu direkt mit Win10 aufzusetzen.

 

[Scrj256]

SCCM inplace upgrade wäre möglich, jedoch erachte ich das auch nicht als sinnvoll. Hier allerdings mal der Link:
Durchführung eines direkten Upgrades auf Windows10 mit Configuration Manager (Windows10) | Microsoft Docs

Wir haben das damals zwar auch mit SCCM gelöst, allerdings als neue Installation und dann ordentliches paketieren und software deployment. Macht auch bei solch einer Netzgröße deutlich mehr sinn solch eine Infrastruktur aufzubauen, um dies später für Software und patchdeployments nutzen zu können.
Die Verteilung auf andere Standorte ist hier auch weniger ein Problem, SCCM kann sog. Distribution Points verwalten und sollte bei versch. Standorten auch genutzt werden.

Möchte dir jetzt nicht die ganze Arbeit der Diplomarbeit abnehmen, daher sag ich nur: nutz SCCM, wie du dies allerdings alles aufsetzen und konfigurieren musst, musst du dir dann selbst erarbeiten

Sehr schade das du mir nicht die Arbeit abnehmen willst . Danke für den Tipp SCCM werde ich mir mal anschauen, habe ich beim alten Arbeitgeber auch schon installiert(für SW Verteilung), aber dann nie mehr weiter konfiguriert weil es so verdammt viele Einstellungsmöglichkeiten gibt und ich nie Zeit dafür hatte mir das genauer anzuschauen.

Habe heute noch Acronis Snap Deploy 5 installiert und getestet. Scheint gut zu funktionieren. Damit lässt sich ein Image ziehen und auf beliebig viele Clients ausrollen. Ich kann mich mit dem geklonten Rechner sogar in unserer Domäne anmelden und das AD merkt es nicht das es sich dabei um einen komplett anderen Rechner handelt (Mit anderer MAC Adresse und komplett anderer HW ).

An mehreren Clients in der Firma mal versucht, in 4 von 5 Versuchen schief gegangen, weil die Systeme einfach alt und zugemüllt sind... da ist man dann länger mit Fehlersuche beschäftigt als das Ding einfach neu direkt mit Win10 aufzusetzen.

Danke für diesen Input, dann fällt das In-Place Upgrade definitiv weg.

 

[Scrush]

hab das auch noch nie gesehen dass man upgraded. alle paar Monate wird das Image neu gebaut mit Microsofts neuen tollen updates und die rechner werden frisch betankt. so hast du auch jedesmall dieselbe ausgangssituation

 

[fdsonne]

Lass die PCs via PXE Boot mit einer full unattended install sich selbst mit Win10 zu einem Stichtag/Zeitpunkt installieren. Das Stichwort heist hier WDS (Windows Deployment Services)
Je nach Speed der Quelle kannst du dort gut skalieren. Für die Remote Standorte brauchst du nen Server vor Ort, wo die Daten liegen oder richtig viel Bumms auf der WAN Strecke. (habe auch schon von Deutschland nach Dubai über PXE gebootet - mit nichtmal 100MBit und 200ms Latenz - geht, aber mehr schlecht als recht )

Die Clientsoftware kommt via Softwareverteilung - alternativ via gescripteter Installation. Sogut wie alles lässt sich unattended installieren.
Treiber stellst du via Boardmittel vom WDS bereit für die Hardware, wo es geht. Für den Rest (meist Sachen die erst durch Install von Software funktionieren) nutzt du Pakete oder auch die Script-Install.
Mit bisschen mehr Aufwand lassen sich auch WSUS Pakete basteln, die dann nur auf den PCs bereitgestellt werden, wo sie benötigt werden (hier musst du bisschen Logik erfinden um das zu gewährleisten)
Das Windows 10 selbst "verbiegst" du in größten Teilen durch GPOs in den Zustand, wo du es haben willst. Manches wirst du scripten müssen (bspw. das deinstallieren der default Apps) oder direkt im Quellimage rausnehmen müssen.


Mit sauberer Planung stellst du hunderte Clients damit ein einem Rutsch um. -> der SCCM kann das in Summe auch. Andere Software zur Paketverteilung ebenso. Hier gilt es aber ehe rauf die Lizenzen zu achten. SCCM kostet richtig Asche.
Was die Client Lizenzen angeht, hier musst du auch aufpassen. Für ein Update von 7 auf 10 wird der User den Key einhämmern müssen - es sei denn, du hast ihn nicht irgendwo in digitaler Form verfügbar und kannst die Install gescriptet aktivieren. (KMS wäre noch ne Option??)
Über den Kauf von Enterprise Versionen sollte man aber eh nachdenken - Stichwort Applocker und Windows Store. Der Store lässt sich via Pro nicht mehr (direkt) verhindern. Es gibt nen Trick über das Ausknipsen der Windows Update Online Funktion, was auch den Store ausschaltet. Aber wenn ihr den Store wollt, aber nicht alles erlauben wollt -> Enterprise wegen AppLocker Feature. Mit dem Applocker wären auch lokale Admin Rechte weniger direkt ein Problem -> ihr whitelistet einfach was die Leute sich installieren dürfen...

Ich kann mich mit dem geklonten Rechner sogar in unserer Domäne anmelden und das AD merkt es nicht das es sich dabei um einen komplett anderen Rechner handelt

Das ist ziemlich hässlich... Das AD "merkt" da generell nichts. Du hast pro Member ein Computerkonto im AD, jeder PC hat eine SID welche 1:1 mit einem Computerkonto im AD zusammen hängt. Wenn du nun einen PC Bitweise klonst, bleibt die SID identisch -> wenn du pech hast, erzeugst du damit extremste Dreckeffekte.

Ganz ehrlich, mein Vorschlag, arbeite die Diplomarbeit sauber aus, aber lass die Admins lieber ihren Job machen ohne solche komischen Spielereien... Das kann nur in die Schlüpper gehen wenn ihr solch komische Versuche startet. Oder ich versteh den Satz einfach nicht -> aber wieso freut man sich über das Vorhaben? Natürlich geht ein Klon mit der richtigen rangehensweise. Stichwort sysprep.exe (oder ein Tool was das für einen tätigt) -> damit bekommt das Ziel eine eigene SID, nen eigenen Namen und verhält sich "wie" eine eigene Installation. Keine Abhängigkeiten zur Source. Eine AD Anmeldung ist dann aber erst auf dem Klon möglich, wenn dieser neu ins AD gejoint wird. Was du hier aber nicht erwähnst - also gehe ich davon aus, dass ihr wohl eher 1:1 ein Image auf einen anderen PC geschoben habt??

 

[Morpheuz]

Die Enterprise "Edition" lohnt sich nochmals in anderer hinsicht, z.B. always on VPN oder Direct Access, speziell für Außendienstler/HomeOffice interessant.

 

[fdsonne]

Soweit ich das nicht durcheinander haue ist Direct Access EoL und Always On VPN ist nicht Enterprise only...
MMn setzt man für diese Zugriffe aber eh auf ein System eines Dritten. Und wenn es eben ein OpenVPN Server ist oder irgendwas zentrales in einem VPN Router oder sonstwas ist...

Aber unabhängig davon, die Frage ob Enterprise oder nicht muss sich eh aus finanzieller Sicht gestellt werden. Enterprise ist Volumenlizenz oder per Abo. Kein Plan ob es noch groß andere Wege gibt abseits von Grauware oder Ware aus dubioser Herkunft? Es kommen also eh Kosten aufs Papier - bei 800 Clients ist das schon eine Nummer. Ne E3 Enterprise im Abo kostet ca. nen 10er im Monat. Mit Nachlass in der Menge vllt 7€ oder sowas. Es fehlen einige Features. Bei E5 mit den Features sind das schön über nen 10er im Monat.
Die fixe Volumenlizenz im normalen Businessumfeld liegt bei >300€ das Stück. -> SA gibts dazu, spart aber fast auch nix. Dafür sollte man diese aber erneuern/verlängern, da sonst der Updatesupport droht auszulaufen.

 

[Scrj256]

hab das auch noch nie gesehen dass man upgraded. alle paar Monate wird das Image neu gebaut mit Microsofts neuen tollen updates und die rechner werden frisch betankt. so hast du auch jedesmall dieselbe ausgangssituation

Das Inplace Upgrade von 7 auf 10 fällt als Option definitiv weg. Verstehe ich dich richtig? Ihr rollt jedesmal Windows 10 mit der neuste Build-Version aus sobald eine neue Build-Version released wird? Was spricht denn dagegen die Rechner nach der Win10 Installation per Windows Update (WSUS) upzudaten?

- - - Updated - - -

Lass die PCs via PXE Boot mit einer full unattended install sich selbst mit Win10 zu einem Stichtag/Zeitpunkt installieren. Das Stichwort heist hier WDS (Windows Deployment Services)
Je nach Speed der Quelle kannst du dort gut skalieren. Für die Remote Standorte brauchst du nen Server vor Ort, wo die Daten liegen oder richtig viel Bumms auf der WAN Strecke. (habe auch schon von Deutschland nach Dubai über PXE gebootet - mit nichtmal 100MBit und 200ms Latenz - geht, aber mehr schlecht als recht )

Das habe ich vor, entweder per Highsystem SW Verteilung welche bereits bei uns eingerichtet ist, oder Acronis SnapDeploy. Alles andere wäre bei dieser Rechneranzahl wohl Harakiri.
Ich werde die Images hier in der Schweiz konfigurieren und dann entweder auf die Aussenstellen-Server uploaden oder wenn nötig per Post (z.B. China) auf einer externen-HD an den gewünschten Standort senden. Glaube dir das das mehr schlecht als recht geht bei dieser Leitung und Latenz. (Die Lösung um dem entgegenzuwirken heisst Riverbed).

Die Clientsoftware kommt via Softwareverteilung - alternativ via gescripteter Installation. Sogut wie alles lässt sich unattended installieren.
Treiber stellst du via Boardmittel vom WDS bereit für die Hardware, wo es geht. Für den Rest (meist Sachen die erst durch Install von Software funktionieren) nutzt du Pakete oder auch die Script-Install.
Mit bisschen mehr Aufwand lassen sich auch WSUS Pakete basteln, die dann nur auf den PCs bereitgestellt werden, wo sie benötigt werden (hier musst du bisschen Logik erfinden um das zu gewährleisten)
Das Windows 10 selbst "verbiegst" du in größten Teilen durch GPOs in den Zustand, wo du es haben willst. Manches wirst du scripten müssen (bspw. das deinstallieren der default Apps) oder direkt im Quellimage rausnehmen müssen.

Ich denke ich werde möglichst viel im Quellimage bereits anpassen um mir die meisten Scripts zu sparen. Diese Images kann man dann auch verwenden um neue Rechner nach der Migration aufzusetzen. Die Standardsoftware welche viel installiert wird, wird bereits im Image installiert sein bzw. als SW-Deploy Paket weiterhin verfügbar. Die meisten GPOs gibts zum Glück bereits schon da wir bereits Windows 10 im Einsatz haben. Tricky wird es noch mit den Treibern weil wir gefühlt 100 verschiedene Modelle im Einsatz haben, wenigstens alle vom selben Hersteller. Da werde ich mir WDS mal genauer anschauen.

Mit sauberer Planung stellst du hunderte Clients damit ein einem Rutsch um. -> der SCCM kann das in Summe auch. Andere Software zur Paketverteilung ebenso. Hier gilt es aber ehe rauf die Lizenzen zu achten. SCCM kostet richtig Asche.
Was die Client Lizenzen angeht, hier musst du auch aufpassen. Für ein Update von 7 auf 10 wird der User den Key einhämmern müssen - es sei denn, du hast ihn nicht irgendwo in digitaler Form verfügbar und kannst die Install gescriptet aktivieren. (KMS wäre noch ne Option??)
Über den Kauf von Enterprise Versionen sollte man aber eh nachdenken - Stichwort Applocker und Windows Store. Der Store lässt sich via Pro nicht mehr (direkt) verhindern. Es gibt nen Trick über das Ausknipsen der Windows Update Online Funktion, was auch den Store ausschaltet. Aber wenn ihr den Store wollt, aber nicht alles erlauben wollt -> Enterprise wegen AppLocker Feature. Mit dem Applocker wären auch lokale Admin Rechte weniger direkt ein Problem -> ihr whitelistet einfach was die Leute sich installieren dürfen...

Das Umstellen erachte ich nicht mal als grosses Problem da man das wie von dir geschrieben über Nacht machen kann. Viel mehr sorgen mache ich mir am morgen wenn die User kommen (1st Login) und alles erstmal eingerichtet werden muss.
Betreffend Lizenzen: Das ist auch Teil dieses Konzepts, wir werden voraussichtlich eine Volumenlizenz kaufen, die kann man dann ins Image integrieren und dann sind die Rechner aktiviert, so stelle ich mir das jedenfalls vor. Ansonsten mache ich das per Script beim Rollout.
Ich tendiere auch richtig Windows 10 Enterprise Edition, 1. wegen dem Applocker, dem Store (danke für die Info, so kann ichs intern besser verkaufen)und auch für die Zukunft (Direct Access/Always On VPN).

Das ist ziemlich hässlich... Das AD "merkt" da generell nichts. Du hast pro Member ein Computerkonto im AD, jeder PC hat eine SID welche 1:1 mit einem Computerkonto im AD zusammen hängt. Wenn du nun einen PC Bitweise klonst, bleibt die SID identisch -> wenn du pech hast, erzeugst du damit extremste Dreckeffekte.

Ganz ehrlich, mein Vorschlag, arbeite die Diplomarbeit sauber aus, aber lass die Admins lieber ihren Job machen ohne solche komischen Spielereien... Das kann nur in die Schlüpper gehen wenn ihr solch komische Versuche startet. Oder ich versteh den Satz einfach nicht -> aber wieso freut man sich über das Vorhaben? Natürlich geht ein Klon mit der richtigen rangehensweise. Stichwort sysprep.exe (oder ein Tool was das für einen tätigt) -> damit bekommt das Ziel eine eigene SID, nen eigenen Namen und verhält sich "wie" eine eigene Installation. Keine Abhängigkeiten zur Source. Eine AD Anmeldung ist dann aber erst auf dem Klon möglich, wenn dieser neu ins AD gejoint wird. Was du hier aber nicht erwähnst - also gehe ich davon aus, dass ihr wohl eher 1:1 ein Image auf einen anderen PC geschoben habt??

Das ist/war mir bewusst (ich kann dem Rechner doch nach der Installation (manuel) eine neue Netzwerk-ID generieren lassen (oder per Sysprep) um solche Probleme zu beheben wie von dir erwähnt). Das ist wohl nicht so rüber gekommen in diesem Satz. Als ich am Freitag Acronis Snap-Deploy getestet habe war ich verwundert dass das AD nichts merkte, deshalb freute ich mich darüber das sogar die AD-Anmeldung funktionierte. (Normalerweise kommt doch dann "Die Vertrauenstellung ist nicht mehr gegeben").

- - - Updated - - -

Die Enterprise "Edition" lohnt sich nochmals in anderer hinsicht, z.B. always on VPN oder Direct Access, speziell für Außendienstler/HomeOffice interessant.

Danke für den Input, sehe ich auch so. Die Frage ist nur noch ob das die "Sponsoren" auch so sehen.

- - - Updated - - -

Soweit ich das nicht durcheinander haue ist Direct Access EoL und Always On VPN ist nicht Enterprise only...
MMn setzt man für diese Zugriffe aber eh auf ein System eines Dritten. Und wenn es eben ein OpenVPN Server ist oder irgendwas zentrales in einem VPN Router oder sonstwas ist...

Direct Access ist definitiv Enterprise only. Always On VPN läuft nur auf Windows 10 (nicht abwärts kompatibel) dafür auf anderen Versionen:

Always On VPN supports non-Enterprise Windows 10 client SKUs (Windows 10 Home and Professional)

Quelle: DirectAccess is now Always On VPN | Richard M. Hicks Consulting, Inc.

Aber unabhängig davon, die Frage ob Enterprise oder nicht muss sich eh aus finanzieller Sicht gestellt werden. Enterprise ist Volumenlizenz oder per Abo. Kein Plan ob es noch groß andere Wege gibt abseits von Grauware oder Ware aus dubioser Herkunft? Es kommen also eh Kosten aufs Papier - bei 800 Clients ist das schon eine Nummer. Ne E3 Enterprise im Abo kostet ca. nen 10er im Monat. Mit Nachlass in der Menge vllt 7€ oder sowas. Es fehlen einige Features. Bei E5 mit den Features sind das schön über nen 10er im Monat.
Die fixe Volumenlizenz im normalen Businessumfeld liegt bei >300€ das Stück. -> SA gibts dazu, spart aber fast auch nix. Dafür sollte man diese aber erneuern/verlängern, da sonst der Updatesupport droht auszulaufen.

Es ist klar das Kosten auf uns zukommen, billig wird es bestimmt nicht, aber das braucht mich nicht weiter zu stören ich muss nur sagen was das ganze kostet deshalb wird dieses Konzept benötigt (um das Budget für 2020 zu machen). Ich hoffe wir können intern Windows 10 Enterprise mit Volumenlizenz (und software Assurance) durchbringen. Die Lizenzkosten belaufen sich dafür (6 Jahre) auf ca. eine Halbe Million CHF. Servern und Calls noch ausgenommen... (Bill Gates müsste man sein)

 

[Kaltes Licht]

Ich schreibe auch mal paar Sätze dazu wenns dich interessiert:

Die Gründe für Windows 10 waren bei uns etwas andere. Anfänglich hat Windows 7, nach der Installation eines Sicherheitsupdates, neue Prozessoren für "unsupported" deklariert und den Windows Update-Dienst eingestellt. Das war nun vor ca. 1.5 Jahren, weshalb wir mit Windows 10 anfangen mussten und heute dementsprechend gut vorgebaut haben und den Umstieg halbwegs gechillt durchziehen. Die Umgebungsgröße -> 400 clients.

Das Inplace Upgrade von 7 auf 10 kam auch für uns nicht in Frage. Auf weniger anspruchsvollen Arbeitsplätzen hat es funktioniert, aber Garantien gab es keine. Ich habe es danach auf CAD-Arbeitsplätzen auch nicht mehr machen wollen Beim Inplace Upgrade sollte man auch die Vorhandene Hardware berücksichtigen. Wir hatten Probleme mit zu kleinen Platten (64-128gb) und zu wenig Ram (2GB).

Diese Tatsachen führen zu Überlegungen neue Clients von der Stange einzukaufen, sie mit Win10 zu betanken und dann ins Rennen zu schicken. Das gab uns auch eine gute Gelegenheit alte Hardware los zu werden und taugliche Clients aufzurüsten. Der Umstieg erfolgte auf Win10 Enterprise. Abseits von der angesprochenen VPN Thematik, funktioniert die Enterprise Version wohl ganz gut mit Gruppenrichtlinien. Das aber nur am Rande. Für diesen Part war ich nicht zuständig. Davor war bei uns jedoch eine Microsoft-Tante die uns klar machte, dass man Clients auf jeden Fall mit einer OEM Lizenz erwerben muss, um diese dann Später mit einer Volumenlizenz zu betanken! Wie es heute aussieht kann ich dir nicht sagen, weil die Ihre Lizenzmodelle jedes Jahr anpassen, aber diesen Punkt würde ich aufjedenfall mal abchecken.

Lokale Admin-Rechte auf Clients haben wir mittlerweile so gut wie überall ausgemerzt. Der eine oder andere CAD-Client hat das noch, aber nur weil es wirklich nicht anders geht.

Wir nutzen das Deployment-Tool Baramundi. Die sind bei uns quasi ums "Eck", was wichtig war, falls irgendwelcher Support nötig wäre. Was Acronis heute kann, weis ich nicht, aber der IT "Spezialist" vor meiner Zeit, hat nur Acronis Klone gemacht. Das gab lustige Seiteneffekte als ich den WSUS in der Firma eingeführt habe. Die Clients hatten dann nämlich alle die gleiche ID Das hat mich nachhaltig geschädigt, weshalb ich von Acronis, im Firmenumfeld, Abstand genommen habe.

Mittlerweile sind wir zu 70% auf Windows 10 umgestellt. Das Inplace-Upgrade von W10 1703 auf W10 1809 wurde ebenso mit dem Baramundi durchgeführt, das ging einwandfrei. Wir mussten mit den Usern nur kommunizieren, dass einige Neustarts passieren werden Das Baramundi hat sich die Clients gekrallt, sobald die verfügbar waren. Natürlich kann man da etwas granularer steuern, wann was laufen soll. Aber ich hab das einfach rausgeballert. Davor in einigen Abteilungen getestet.

Das spricht dann auch gegen das Upgrade von WSUS. Erstens, kann man da schwer Steuern, welche Abteilung was bekommt, zweitens sind die ganzen sinnlosen Apps (die man mühsam herausbaut) wieder dabei. Das geht nicht.
Anders als ein Vorredner, betanken wir unsere Clients immer mit ein und der selben Win10 Version (aktuell 1809). 1903, 1909 lassen wir aus. 2003 installieren wir, wenn die stable ist. Das wird im Jahr 2020 gegen September herum passieren. Falls die Microsoftler nicht wieder irgendwas desaströses verursachen.

 

[Morpheuz]

...
Wir nutzen das Deployment-Tool Baramundi. Die sind bei uns quasi ums "Eck", was wichtig war, falls irgendwelcher Support nötig wäre. Was Acronis heute kann, weis ich nicht, aber der IT "Spezialist" vor meiner Zeit, hat nur Acronis Klone gemacht. Das gab lustige Seiteneffekte als ich den WSUS in der Firma eingeführt habe. Die Clients hatten dann nämlich alle die gleiche ID Das hat mich nachhaltig geschädigt, weshalb ich von Acronis, im Firmenumfeld, Abstand genommen habe.

Sysprep und dessen funktion ist euch aber schon bekannt oder?

Das spricht dann auch gegen das Upgrade von WSUS. Erstens, kann man da schwer Steuern, welche Abteilung was bekommt, zweitens sind die ganzen sinnlosen Apps (die man mühsam herausbaut) wieder dabei. Das geht nicht.
Anders als ein Vorredner, betanken wir unsere Clients immer mit ein und der selben Win10 Version (aktuell 1809). 1903, 1909 lassen wir aus. 2003 installieren wir, wenn die stable ist. Das wird im Jahr 2020 gegen September herum passieren. Falls die Microsoftler nicht wieder irgendwas desaströses verursachen.

[/QUOTE]
Du weißt aber schon, dass du in WSUS Gruppen anlegen kannst und diesen einzeln Updates/Upgrades freigeben kannst?

 

[Kaltes Licht]

Sysprep und dessen funktion ist euch aber schon bekannt oder?

Du weißt aber schon, dass du in WSUS Gruppen anlegen kannst und diesen einzeln Updates/Upgrades freigeben kannst?

Ja. Die Gruppenfunktionalität nutzen wir, jedoch nur für die regulären Updates, nicht für die Inplace Upgrades. Einfach aus dem Grund, weil wir angepasste Images brauchen. Wsus ist dafür nicht so geil.

Sysprep ist mir bekannt, jedoch nicht den IT Admins vor mir Aber gut, das ist nun auch schon 10 Jahre her. Mittlerweile sind die in Rente

 

[Scrj256]

Ich schreibe auch mal paar Sätze dazu wenns dich interessiert:

Natürlich, mich interessieren alle eure Lösungsansätze, die schlechten fast noch mehr als die guten um Fehler die einen riesen Mehraufwand bedeuten zu verhindern.

Mittlerweile sind die in Rente

-------------------------------------------------------


Kleines Update: Nach einem Test mit meinem IT-Kollegen mit dem bestehenden SW-Deploy Tool werden wir das ganze wohl über die Softwareverteilung machen. Nach der Win10 Installation werden die benötigten Treiber je nach Modell (und das sind einige Weltweit) automatisch heruntergeladen und installiert. Das Tool von Lenovo "ThinkVantage Update Retriever" ist genial für das, da kann man die Treiber-Updates auf einem Server bereitstellen und die URL des Lenovo System Update(neu: Lenovo Vantage) per GPO auf den eigenen Update Server anpassen wo die fürs Computermodell passenden Treiber dann geholt werden (oder die .inf Dateien runterladen und von Think Vantage Update Retriever exportieren und gleich ins Image integrieren). Meines Wissens bietet HP oder Dell (und auch andere Hersteller) keine solche (brauchbaren) Treiber-Tools (oder ich kenne sie nicht). -Kennt ihr sie vielleicht?

Das ganze per SW-Deploy Ist gar nicht so ne schwierige Sache wenn man die Initialconfig einmal hat, später ist das ganze ausrollen viel angenehmer (wie von einigen hier erwähnt) als mit kompletten Images wo man dann noch mit Sysprep "herumfummeln" muss (kann auch sehr mühsam sein wenn man den Zeitpunkt nicht erwischt und der PC hochfährt und man wieder Sysprep starten muss). Nützlich ist das ganze per SW-Deploy auch wenn man eine neuere Build Version irgendwann installieren will, deshalb ist die Variante per SW-Deploy (statt Image Deploy) in Zukunft wohl mit viel weniger Konfigurationsaufwand zu handeln. Vor allem muss ich (fast) keine GPOs mehr machen weils die bei uns für Win10 schon gibt.

BTW: Kann es sein das SW-Deploying mit Windows 7 viel komplizierter war? Da war ich noch jünger und nicht so beteiligt an der SW-Deploy Geschichte in meinen alten Firmen, aber die hatten immer ein riesen Aufwand mit der ganzen Paketierung. -Scheint heute nicht mehr so zu sein, da kann wohl jeder Sysadmin SW-Deployment Pakete erstellen habe ich das Gefühl (ausser es wird sehr kompliziert). Oder täuscht mich da meine Gefühl, wird SW einfach vermehrt als .msi angeboten als früher was die Paketierung natürlich vereinfacht?

Danke für eure Feedbacks

 

[Scrj256]

Nun ist eine Frage aufgetaucht die ich mit Inet-Recherche nicht 100% schlüssig beantworten kann, ich hoffe hier kann jemand weiterhelfen. Es geht um die Lizenzierungsmodelle von Windows 10.
Wenn man eine Win 10 Enterprise Volumenlizenz mit Software Assurance kauft, erhält man meines Wissens alle Updates (Sicherheitupdates & neue Feature/BUILD-Versionen) solange man die Software Assurance weiter bezahlt. Diese Build-Versionen können über Windows Update aktualisiert werden. Soweit so gut.

Was passiert nun wenn ich statt eine Win 10 Enterprise Volumenlizenz (EA+MPSA) Windows 10 Professional Einzellizenzen kaufe? Wie lange kann ich dann mit diesen Windows 10 Professional Versionen auf den neusten Build Updaten bzw. wie lange erhalte ich in dieser Zeit Sicherheit und Feature Updates? Muss ich nach 3 Jahren alle Rechner neu aufsetzen(auf die aktuelle neue BUILD-Version), oder könnte man dann wieder Einzellizenzen kaufen, einspielen und per Windows Update auf den neusten Build-Release updaten? Scheisse ist die MS Lizenzierung kompliziert.

Es geht darum zu erklären warum man unbedingt die teure Enterprise Version kaufen sollte statt Windows Professional Einzellizenzen. Von den Features mal abgesehen (leider entscheidet kein Admin über das Budget ). Für mich sprechen die hohen Rollout Manpower kosten die alle 3 Jahre anfallen eine entscheidende Rolle, oder verstehe ich etwas falsch?
Hier meine Berechnungen:

 

[chriscrosser]

...das kann doch niemand lesen - entziffern (dein B-foto)

 

[Scrj256]

Ist es so verständlicher?



Die Frage nochmals: Was passiert wenn ich eine Windows Pro Lizenz kaufe nach Ablauf der 3 Jahre? Erhalte ich dann keine Sicherheitsupdates mehr? Erhalte ich die neuen Build Versionen nicht mehr? Kann ich neue Lizenzen kaufen, einspielen und auf die neuste Build-Version updaten?

 

[Morpheuz]

Pro bekommt die neuen Builds, das ist auch gar nicht das Thema. Wichtig ist hier der Enterprise Support und die Enterprise Features.

 

[Scrj256]

Pro bekommt die neuen Builds, das ist auch gar nicht das Thema. Wichtig ist hier der Enterprise Support und die Enterprise Features.

Die Features die man bei Pro nicht hat sind mir klar, aber was bedeutet denn Enterprise Support? Das Enddatum für erweiterten Support ist überall gleich: https://support.microsoft.com/de-de/lifecycle/search/18165. Wie muss ich mir das vorstellen, kann ich einfach länger die aktuelle Build Version verwenden bevor ich eine aktuelle Build Version einführen muss? Wichtig sind im Firmenumfeld die Security Updates die sollte man einfach immer erhalten.

Nehmen wir an es kommt eine neue Build Version raus zb. Build 1909 (die kommt im Sept 2019) was habe ich dann für einen Vorteil mit der Enterprise Version im Gegensatz zu Pro Lizenzen? Das geht einfach nicht in meinen Kopf rein.

Was sind die Konsequenzen wenn die Zeit ausläuft auf der Grafik? Die Feature Updates braucht man ja nicht zwingend die richten mehr schaden an als das sie helfen.


Ich bezahle dem der mir diese ausführlich Frage beantworten kann gerne einen Starbucks-Kaffe oder ein Sixpack Bier über Paypal.

 

[Morpheuz]

Du musst nicht neue Builds installieren. Wenn du allerdings Support haben willst (Updates und Ticketanfragen beim Support nach dem jeweiligen Zeitraum für die Edition (30Monate bei Enterprise nach nem Buildrelease)) dann solltest du Upgraden.
Wichtig ist hier bei Enterprise dass du wie oben genannt den Microsoftsupport nerven kannst und Tickets aufmachen kannst über einen längeren Zeitraum nach einem Buildrelease für die Septemberbuilds (30 Monate bei Enterprise, 18 bei Pro/Std). Wird hier gut und ausführlich aufgelistet wann die Zeiträume für welche Builds gelten: Windows 10: Verlngerung auf 30 Monate Support | Borns IT- und Windows-Blog

 

[Scrj256]

Du musst nicht neue Builds installieren. Wenn du allerdings Support haben willst (Updates und Ticketanfragen beim Support nach dem jeweiligen Zeitraum für die Edition (30Monate bei Enterprise nach nem Buildrelease)) dann solltest du Upgraden.
Wichtig ist hier bei Enterprise dass du wie oben genannt den Microsoftsupport nerven kannst und Tickets aufmachen kannst über einen längeren Zeitraum nach einem Buildrelease für die Septemberbuilds (30 Monate bei Enterprise, 18 bei Pro/Std). Wird hier gut und ausführlich aufgelistet wann die Zeiträume für welche Builds gelten: Windows 10: Verlngerung auf 30 Monate Support | Borns IT- und Windows-Blog

Danke für die Info, gib mir deine Paypal Angaben per PN durch dann überweise ich dir was für deine selbstlose Hilfe.

 

[fdsonne]

Du musst nicht neue Builds installieren.

Das stimmt aber so nicht - du bekommst, egal ob Enterprise oder Pro, egal ob SA aktiv oder nicht ab einem bestimmten Alter keine Patches mehr. Das heist, du musst die neuen Builds eben doch installieren.

Der (mMn) unbekannte Knackpunkt ist, wie lange Microsoft den aktuellen Plan weiter verfolgt. Stand jetzt ist es so, dass es offiziell mit einer validen Win10 "Lizenz" kein Ende gibt. Das heist, hast du ein Win10 kannst du auf geraume Zeit gesehen immer weiter hoch updaten wie du möchtest. Die Frage wäre nur, wie lange machen die bei MS das noch mit? Beim Server 2016 haben sie diese "Tradition" schon gebrochen - es gibt nen 2016 Server, es gibt SAC Versionen in Form der Builds und mittlerweile nen 2019 Server, der den 2016er komplett ersetzt. Willst du 19 - brauchst du ne neue Lizenz (oder ne aktive SA)
Es wäre im Rahmen des möglichen, dass Micrsoft den Cut irgendwann auch beim Client macht. Das könnte bspw. mit dem technisch unterbundenen Ende der Upgrade Möglichkeit von 7/8.1 auf 10 einher gehen, was technisch heute zwar noch geht, aber formal lizenzpolitisch ja schon nicht mehr erlaubt ist.

Nehmen wir an es kommt eine neue Build Version raus zb. Build 1909 (die kommt im Sept 2019) was habe ich dann für einen Vorteil mit der Enterprise Version im Gegensatz zu Pro Lizenzen? Das geht einfach nicht in meinen Kopf rein.

Was sind die Konsequenzen wenn die Zeit ausläuft auf der Grafik? Die Feature Updates braucht man ja nicht zwingend die richten mehr schaden an als das sie helfen.

Verstehe ehrlich gesagt die Frage nicht so richtig...
Wenn du sagst: "Die Features die man bei Pro nicht hat sind dir klar", was möchtest du dann noch für Antworten auf die Unterschiede von Pro auf Ent haben?

Die Enterprise bietet dir je nach Version und Typ und/oder die Frage ob mit SA oder ohne gewisse mehr Features. Bspw. hättest du die Möglichkeit auf LTSC/LTSB zu gehen. Das heist, 10 Jahre keine Buildupdates "notwendig", wenn dir der definierte Stand xy reicht. Im Endeffekt das Equivalent zu einer Win7 oder Win8.1 Version vom Supportzeitraum her. Das meint auch nicht den Telefonjoker bei MS - sondern Update-Support in Form von monatlichen Patches.

Rein aus Unternehmenssicht ist wie oben schon erwähnt die Frage, in wie weit man darauf vertraut, dass MS nicht ab einer kommenden Version mal die Hand auf hält? Eine Garantie, dass das so kommt oder nicht, kann und wird dir keiner geben.
Willst du Gewissheit, kaufst du eine Lizenz mit SA -> diese berechtigt sich zum Upgrade innerhalb der Gültigkeit. Oder nutzt das Mitmodell mit den CSP Lizenzen, die dich monatlich Miete zur Nutzung kosten und jeweils immer die neueste Version beinhalten.
Bei der Kauflizenz gibt es sowohl die Pro als auch die Enterprise mit SA. Oder wahlweise auch ohne (ja auch die Enterprise - macht aber keinen wirklichen Sinn, weils preislich quasi nicht günstiger wird)

Die entscheidende Frage ist also nicht, ob du Pro oder Enterprise kaufst - sonder ob du aktiv eine SA hast respektive einen aktiven Vertrag über Mietlizenzen. Wenn ja - quasi 100% Gewissheit und Planbar bis auf Jahre im voraus. Wenn nein, dann kann es mit der nächsten Version von Win10 schon vorbei sein mit Updates.



Des weiteren muss man sich halt überlegen ob die Pro im Unternehmenseinsatz überhaupt "taugt" - Microsoft hat halt länger schon angefangen Business Features aus der Pro zu schmeißen. Wie bspw. schon erwähnt den Store, der nicht deaktivierbar ist respektive nur über einen Umweg, welcher wieder andere Möglichkeiten verbaut.

Rein vom technischen her muss man aber aktuell sagen, dass es im Moment keine Unterschiede auf der Laufzeit gibt. Ne Pro musst du früher oder später Updaten auf ein neues Build -> und das funktioniert bis dato. Ne Enterprise genau so, auch das funktioniert (hier bisschen mehr Aufwand - Media Creation Tool funktioniert nicht bzw. erst nach Verarztem mit der Ent-WIM/ESD)
Wenn du die Clients zyklisch eh neu per Image ausrollst - ist das aber auch kein Thema.

 

[Scrj256]

Verstehe ehrlich gesagt die Frage nicht so richtig...
Wenn du sagst: "Die Features die man bei Pro nicht hat sind dir klar", was möchtest du dann noch für Antworten auf die Unterschiede von Pro auf Ent haben?

Es geht eigentlich darum die deutlich höheren Lizenzkosten von Enterprise zu rechtfertigen mit einer guten Begründung damit wir am Schluss nicht noch Pro kaufen (müssen) weil man am falschen Ort sparen will. Mir als IT'ler (und meinen IT-Kollegen) ist schon klar das wir Win 10 Enterprise brauchen. Nur wie erklärt man den grossen Preisunterschied einem GL/Kadermitglied welches wenig Ahnung von IT hat und nur die nakten Zahlen sieht? Der fragt (sich) dann: "Huh 100'000€ billiger in der Lizenzbeschaffung über 3 Jahre, warum nehmen wir nicht Pro". Die Person die das entscheidet muss das ganze ja "nur" bezahlen aber nicht selber einrichten und verwalten. Wenn z.B. Rollouts häufiger stattfinden müssen aufgrund der häufiger auftretenden Build-Updates (Bei Pro alle 18 Monate) (Bei Ent -Sept. Release alle 30Monate) ist das z.B. ein Argument weil man dann die Rolloutkosten ungefähr ausrechnen und gegenüberstellen kann (bis der Breakeven erreicht ist) über eine längere Zeit.

Die Enterprise bietet dir je nach Version und Typ und/oder die Frage ob mit SA oder ohne gewisse mehr Features. Bspw. hättest du die Möglichkeit auf LTSC/LTSB zu gehen. Das heist, 10 Jahre keine Buildupdates "notwendig", wenn dir der definierte Stand xy reicht. Im Endeffekt das Equivalent zu einer Win7 oder Win8.1 Version vom Supportzeitraum her. Das meint auch nicht den Telefonjoker bei MS - sondern Update-Support in Form von monatlichen Patches.

Achtung: Diese Version ist für Kassencomputer usw. gedacht, nicht aber für Windows Systeme auf denen mit Office usw. gearbeitet wird -> Windows 10 LTSC ist keine Lösung als Standard-Client Betriebssystem!

Rein aus Unternehmenssicht ist wie oben schon erwähnt die Frage, in wie weit man darauf vertraut, dass MS nicht ab einer kommenden Version mal die Hand auf hält? Eine Garantie, dass das so kommt oder nicht, kann und wird dir keiner geben.
Willst du Gewissheit, kaufst du eine Lizenz mit SA -> diese berechtigt sich zum Upgrade innerhalb der Gültigkeit. Oder nutzt das Mitmodell mit den CSP Lizenzen, die dich monatlich Miete zur Nutzung kosten und jeweils immer die neueste Version beinhalten.

Wenn ich das richtig verstehe heisst das, dass man mit einem Professional-Key ohne SA (im Moment) immer auf den neusten Build updaten kann, dass dies aber jederzeit von Microsoft gestoppt werden kann wenn sie ihre Preispolitik ändern und mann dann wieder neue Keys kaufen müsste oder einfach SA dazu was sich dann preislich auch wieder nicht lohnt bzw. man mit Enterprise mit SA von Anfang an günstiger gefahren wäre?

Die entscheidende Frage ist also nicht, ob du Pro oder Enterprise kaufst - sonder ob du aktiv eine SA hast respektive einen aktiven Vertrag über Mietlizenzen. Wenn ja - quasi 100% Gewissheit und Planbar bis auf Jahre im voraus. Wenn nein, dann kann es mit der nächsten Version von Win10 schon vorbei sein mit Updates.

Dafür gehören die Lizenzen dann nach Ablauf des Vertrages nicht der Firma sondern verlieren ihre Gültigkeit, zumindest mit einer EAS (Enterprise Agreement Suscription) das ist ja dann auch beschi**en. (Folien 8-10) http://download.microsoft.com/download/5/a/9/5a9c465a-baf8-47d0-9f64-26a3d7223103/0205_LicSpec_Online-Test_Enterprise_Agreement_und_EAS.ppt (Ja die PP-Präsentation muss repariert werden bevor sie geöffnet werden kann )

 

[mhrpcler]

Mal eine andere Frage zu den Lizenzen...
Wenn zur Zeit kein Enterprise Agreement mit Software Asurance im Einsatz ist und mehrere hundert Clients mit OEM-Lizenzen installiert wurden, wo kommen dann die Geräte- oder Benutzer CALs für die Windows Server und jede einzeln Windows VM her, auf welche die Clients bzw. User zugreifen?
Ohne passende Lizenzierung wäre das weit weg von jeder imaginären Grauzone.

 

[Scrj256]

Mal eine andere Frage zu den Lizenzen...
Wenn zur Zeit kein Enterprise Agreement mit Software Asurance im Einsatz ist und mehrere hundert Clients mit OEM-Lizenzen installiert wurden, wo kommen dann die Geräte- oder Benutzer CALs für die Windows Server und jede einzeln Windows VM her, auf welche die Clients bzw. User zugreifen?
Ohne passende Lizenzierung wäre das weit weg von jeder imaginären Grauzone.

Das wird über Server CALs abgehandelt (bei den Server Lizenzen haben wir SA). Ist auch bei Office 365 Lizenzen so dass die teuersten Lizenzmodelle die Calls bereits enthalten für z.B. Office 365 Terminalserver Nutzung. Microsoft hat die Lizenzierung Varianten im Vergleich zu Win 7 geändert und die Calls können entweder über die Win10 Lizenz oder über Server-Calls gekauft werden.

 

[Scrj256]

Das ist der bester Artikel den ich in den letzten 4 Monaten zum Thema Win10 Lizenzen Entscheidung ob Enterprise oder Professional gelesen habe, ich möchte euch den natürlich nicht vorenthalten: Windows-10-Upgrades: Flexiblerer Zwang | c't Magazin