Принцип работы подготовки в Windows

Пакеты подготовки в клиенте Windows предоставляют ИТ-администраторам упрощенный способ применения параметров конфигурации к клиентским устройствам Windows. Конструктор конфигураций Windows — это средство для простого создания пакета подготовки. Конструктор конфигураций Windows можно установить из Microsoft Store.

Пакеты подготовки

Пакет подготовки содержит определенные конфигурации, параметры и ресурсы, которые можно предоставить через съемный носитель или загрузить на устройство.

Возможность добавления разных наборов параметров или конфигураций обеспечивается за счет того, что данные конфигурации, используемые модулем подготовки, создаются из нескольких источников конфигураций, которые состоят из отдельных пакетов подготовки. Каждый пакет подготовки содержит данные подготовки из другого источника.

Пакет подготовки (.ppkg) — это контейнер для набора параметров конфигурации. У этого пакета следующий формат.

• Метаданные пакета. Метаданные содержат основные сведения о пакете, такие как имя пакета, описание, версия, ранжирование и т. д.

• Дескрипторы XML. Каждый дескриптор определяет ресурс настройки или параметр конфигурации, включенный в пакет.

• Полезные данные ресурса — полезные данные ресурса настройки или параметра конфигурации, связанного с приложением или ресурсом данных.

Пакеты подготовки можно использовать для подготовки устройств среды выполнения, используя доступ к пакету на съемном носителе, подключенном к устройству, через nfc или скачивая из удаленного исходного расположения.

Приоритет пакетов подготовки

При наличии нескольких пакетов подготовки для подготовки устройства с целью устранения конфликтов параметров используется сочетание типа владельца пакета и ранга пакета, которые задаются в манифесте пакета. Далее перечислены предварительно определенные типы владельца пакета в порядке возрастания типа владельца по приоритету.

1. Майкрософт
2. Поставщик кремния
3. Изготовитель оборудования
4. Системный интегратор
5. Мобильный оператор
6. ИТ-администратор

Допустимый диапазон значений рангов пакета составляет от 0 до 99.

При возникновении конфликтов параметров конечные значения, подготовленные на устройстве, определяются приоритетом типа владельца и рангом пакетов, содержащих эти параметры. Применительно к пакетам с одинаковым типом владельца ранг пакета определяет пакет, из которого извлекаются значения параметров для их подготовки на устройстве.

XML-файл подготовки Windows

XML-файл подготовки Windows — это платформа, которая позволяет компонентам Майкрософт и Изготовителя оборудования объявлять настраиваемые параметры конечного пользователя и инфраструктуру устройства с целью предоставления возможности владельцу компонента применять параметры, выполняя минимальный объем действий.

Параметры для каждого компонента можно объявить в файле манифеста пакета для этого компонента. Эти объявления преобразуются в схему параметров, которую конструктор конфигураций Windows использует для предоставления возможных параметров пользователям, чтобы они могли создавать настройки в пакетах образов или пакетах подготовки. Конструктор конфигураций Windows преобразует конфигурацию пользователя, объявляемую с помощью файлов ответов подготовки Windows, в формат подготовки, совместимый с устройством.

Когда модуль подготовки выбирает конфигурацию, XML-файл подготовки Windows помещается в выбранные данные подготовки, после чего он сначала передается через диспетчер конфигураций и в итоге попадает к поставщику служб конфигурации подготовки Windows. Затем поставщик служб конфигурации подготовки Windows принимает подготовку и применяет ее к правильному расположению фактического компонента подлежащего использованию.

Модуль подготовки

Подсистема подготовки является основным компонентом для управления подготовкой и настройкой во время выполнения на устройстве под управлением Windows 10/11.

Модуль подготовки предоставляет следующие возможности.

• Настройка подготовки в любой момент работы устройства, включая первую загрузку и настройку устройства или запуск при первом включении. Также настройку подготовки можно выполнять и на других этапах работы устройства.
• Чтение и объединение параметров из нескольких источников конфигурации, которые были добавлены в образ Майкрософт изготовителем оборудования или системным интегратором, либо которые были добавлены ИТ-администраторами/администраторами образовательного учреждения или пользователями в устройство во время выполнения. Источники конфигурации могут быть встроены в образ или созданы из пакетов подготовки, добавленных в устройство.
• Реагирование на триггеры или события, а также запуск этапа подготовки.
• Проверка подлинности пакетов подготовки.
• Выбор набора конфигурации с учетом этапа подготовки и на основе набора ключей (например, диапазонов SIM, MCC/MNC, IMSI и т. д.), которые соответствуют конкретной конфигурации, с последующей передачей этой конфигурации в применяемую инфраструктуру управления конфигурациями.
• Поддержка работы с запуском при первом включении и пользовательским интерфейсом панели управления, чтобы пользователь мог самостоятельно выбрать конфигурацию, когда не удается определить конкретное совпадение.

Диспетчер конфигураций

Диспетчер конфигураций предоставляет единый способ управления устройствами с Windows 10/11. Настройка главным образом выполняется через протокол управления устройствами Open Mobile Alliance (OMA-DM) и протокол подготовки клиентов Open Mobile Alliance (OMA-CP). Диспетчер конфигураций обрабатывает и анализирует эти запросы протоколов, поступающие из разных каналов, и передает их поставщикам служб конфигурации (CSP) для выполнения конкретных запросов на управление и настройки определенных параметров.

Модуль подготовки использует диспетчер конфигураций для обработки всего фактического объема данных и применения выбранной конфигурации. Модуль подготовки определяет этап подготовки и на основе набора ключей, определяет набор конфигурации, который будет отправлен в диспетчер конфигураций. Диспетчер конфигураций в свою очередь анализирует запросы и обращается к поставщикам служб конфигурации, чтобы получить параметр, который необходимо применить.

Уровнем ниже, под диспетчером конфигураций, расположены поставщики служб конфигурации. Каждый раздел конфигурации передается определенному поставщику служб конфигурации для выполнения интерпретации информации в действие на устройстве. Каждый поставщик служб конфигурации преобразует инструкции в конфигурации и обращается к соответствующим API и компонентам для выполнения запрашиваемых действий подготовки.

Диспетчер политик и ресурсов

Диспетчеры политик, ресурсов и контекста управляют регистрацией и отменой регистрации устройств в корпоративных средах. По сути процесс регистрации устройства в организации представляет собой подготовку конфигурации и политик управления, которые организация хочет применять к устройству. Как правило, это делают выполняя явную регистрацию устройства по сети на сервере управления устройствами организации. Таким образом пользователь получает возможность осуществлять доступ к ресурсам организации через устройство, а организация получает средства управления доступом и самим устройством.

Основные различия между корпоративной регистрацией и настройкой, выполняемой модулем подготовки:

• В ходе регистрации к устройству применяется ограниченный и управляемый набор политик, над которыми у пользователя может отсутствовать полный контроль. Модуль подготовки предоставляет более широкий набор параметров, которые позволяют настраивать дополнительные возможности устройства и, как правило, поддерживают пользовательскую настройку.
• Диспетчер политик управляет параметрами политик из нескольких подразделений организации и выполняет выбор параметра в зависимости от приоритета этих подразделений. Модуль подготовки применяет параметры и не предоставляет средства приоритезации параметров из разных источников. Параметры подготовки, применяющиеся позже, имеют приоритет над более ранними.
• Отдельные параметры политики, применяемые из различных подразделений организации, осуществляющих регистрацию, сохраняются, чтобы позже их можно было удалить при отмене регистрации. Это позволяет пользователю удалять корпоративные политики и восстанавливать состояние устройства, при котором отсутствуют корпоративные ограничения и любые конфиденциальные данные. Модуль подготовки не поддерживает отдельные параметры подготовки или средства отката всех примененных параметров.

В Windows 10 применять политики и выполнять регистрацию необходимо с помощью подготовки в тех случаях, когда у организации или образовательного учреждения нет сервера управления устройствами для их комплексного администрирования. Модуль подготовки поддерживает выполнение подготовки регистрации и политик средствами его конфигурации и интегрируется с существующими компонентами диспетчера политик и ресурсов напрямую или через диспетчер конфигураций.

Триггеры и этапы

Триггеры — это события, возникающие в течение жизненного цикла системы, которые запускают этап подготовки. Некоторые примеры триггеров: загрузка, запуск при первом включении, замена SIM-карты, добавление пользователя, добавление администратора, вход пользователя в систему, обновление устройства, а также различные ручные триггеры (такие как развертывание с USB-накопителя или запуск из вложения электронной почты либо с USB-накопителя).

При срабатывании триггера инициируется подготовка для определенного этапа подготовки. Этапы группируются в наборы на основании области применения параметров.

• Статический: этап первого запуска, во время которого подготовка применяет параметры конфигурации к системе для настройки запуска при первом включении либо применяет параметры на уровне устройства, что невозможно сделать во время создания образа.
• Система: запуск во время запуска при первом включении и настройка параметров на уровне системы.
• UICC: этапы запуска карт UICC при добавлении новой карты UICC в устройство для работы с конфигурацией и фирменной символикой на основании удостоверения карты UICC или SIM-карты. Это позволяет реализовывать сценарии конфигурации среды выполнения, когда один изготовитель оборудования может обслуживать один образ, который можно настроить для нескольких операторов.
• Обновление: запуски после обновления с целью применения изменений к параметрам, которые, возможно, были обновлены.
• Пользователь: запуски во время первого запуска учетной записи пользователя для настройки индивидуальных параметров пользователя.

Подготовка устройства во время запуска при первом включении

Модуль подготовки всегда применяет пакеты подготовки, сохраняющиеся в папке C:\Recovery\Customizations в разделе операционной системы. Когда модуль подготовки применяет пакеты подготовки из папки %ProgramData%\Microsoft\Provisioning, определенные применения параметров среды выполнения (например, параметр установки и настройки приложений для Windows), могут выходить за пределы этапа запуска при первом включении и в последствии обрабатываться в фоне при загрузке устройства в режиме настольного компьютера. Параметры для настройки политик и некоторые важные системные конфигурации необходимо всегда задавать до наступления этапа, в ходе которого они вступят в силу.

Пользователи устройства могут применять пакет подготовки из удаленного источника при первой загрузке устройства в режиме запуска при первом включении. Подготовка устройства во время запуска при первом включении активируется только после того, как будут настроены язык, языковой стандарт, часовой пояс и другие параметры на первой странице пользовательского интерфейса запуска при первом включении. При запуске подготовки устройства пользовательский интерфейс подготовки отображается на странице запуска при первом включении. Пользовательский интерфейс подготовки предоставляет пользователям возможность выбирать пакет подготовки, полученный из удаленного источника (например, по радиочастотной связи ближнего действия или со съемного носителя).

В таблице ниже перечислены способы запуска подготовки устройства, когда пользователь выполняет первую загрузку в режиме запуска при первом включении.

Модуль подготовки всегда копирует полученные пакеты подготовки в папку %ProgramData%\Microsoft\Provisioning перед их обработкой во время запуска при первом включении. Модуль подготовки всегда применяет пакеты подготовки, встроенные в установленный образ Windows, во время перехода к этапу OOBE для настройки Windows, независимо от того, подписан ли пакет и является ли он доверенным. Когда модуль подготовки применяет зашифрованный пакет подготовки на устройстве конечного пользователя во время запуска при первом включении, пользователи сначала должны ввести действительный пароль, чтобы расшифровать пакет. Модуль подготовки также проверяет, подписан ли пакет и является ли он доверенным. Если это не так, пользователь должен дать свое согласие, перед тем как пакет будет применен к устройству.

Когда модуль подготовки применяет пакеты подготовки во время запуска при первом включении, он применяет к устройству только параметры среды выполнения из пакета. К параметрам среды выполнения могут относиться системные параметры конфигурации, в том числе политики безопасности, параметры установки/удаления приложений для Windows, конфигурация сети, регистрация в системе MDM в ходе начальной загрузки, подготовка файловых ресурсов, конфигурация учетной записи и домена, обновление выпуска Windows и др. Модуль подготовки также проверяет наличие параметров конфигурации на устройстве (например, регион/языковой стандарт или SIM-карта) и применяет многовариантные параметры с совпадающими условиями.

Подготовка устройства во время его выполнения

Во время выполнения устройства пользователь может инициировать применение отдельных пакетов подготовки. В следующей таблице показано, когда можно инициировать подготовку во время выполнения устройства.

При применении пакетов подготовки со съемного носителя, подключенного к устройству, параметры пользовательского интерфейса позволяют просматривать содержимое пакета перед выбором пакета для подготовки. Чтобы свести к минимуму риск попадания на устройство нежелательных файлов при применении пакетов подготовки из неизвестных источников, пакет подготовки можно подписать и зашифровать. Партнеры также могут настраивать политики, которые будут ограничивать применение пакетов подготовки во время выполнения устройства. Чтобы применить пакеты подготовки во время выполнения устройства, нужны права администратора. Если пакет не подписан или является недоверенным, пользователь должен дать свое согласие, перед тем как пакет будет применен к устройству. Если пакет зашифрован, перед тем как пакет можно будет применить к устройству, необходимо ввести действительны пароль, чтобы расшифровать пакет.

При применении нескольких пакетов подготовки к устройству модуль подготовки устраняет конфликты между параметрами с несогласующимися значениями из разных пакетов путем определения ранга пакета с помощью сочетания типа владельца пакета и ранга пакета, указанных в метаданных пакета. Параметр конфигурации, применяемый из пакета подготовки с самым высоким рангом, будет представлять собой конечное значение, примененное к устройству.

После применения отдельного пакета подготовки к устройству пакет сохраняется в папке %ProgramData%\Microsoft\Provisioning на устройстве. Администратор может удалять пакеты подготовки с помощью команды Добавить или удалить пакет подготовки в разделе Параметры>Учетные записи>Доступ к рабочей или учебной учетной записи.