פריסה בארגון

1 שתי דרכי התקנה

אותה התקנה, אותה תוכנה. בתחילת ההתקנה בוחרים איך היא תתנהג במחשב:

2 אימות הקובץ

לפני פריסה, ודאו שהקובץ שהורדתם הוא בדיוק הקובץ שפרסמנו - טביעת האצבע (SHA-256) והחתימה:

Get-FileHash .\PersonalITGuy-Setup.exe -Algorithm SHA256

(Get-AuthenticodeSignature .\PersonalITGuy-Setup.exe).SignerCertificate | Format-List Subject, Thumbprint

במחשב שעוד לא סומך על התעודה, Windows יציג את מצב החתימה כ"לא מאומת" (UnknownError) - זה תקין. מה שחשוב הוא שטביעת האצבע של החותם זהה לזו שלמעלה.

3 אמון במוציא לאור (מומלץ בארגון)

התוכנה חתומה בתעודה של Personal IT Guy עצמה ולא בתעודה מסחרית. כשמחשבי הארגון סומכים עליה, Windows מציג "Personal IT Guy" כמוציא לאור מאומת בהתקנה ובבקשת ההרשאות, ואפשר לאשר את התוכנה במדיניות לפי מוציא לאור (AppLocker, WDAC, Defender). זה נעשה פעם אחת, לכל המחשבים.

ב-GPO

1. הורידו את התעודה (הכפתור למעלה) ושמרו אותה בתיקייה משותפת.
2. Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies
3. ייבאו אותה ל-Trusted Root Certification Authorities ול-Trusted Publishers.

ב-Intune

Devices > Configuration > Create > Windows 10 and later > Templates > Trusted certificate, עם התעודה ל-Computer certificate store - Root. ל-Trusted Publishers הריצו דרך Devices > Scripts את פקודת ה-PowerShell שלמטה (השורה השנייה).

במחשב בודד (PowerShell כמנהל)

Import-Certificate -FilePath .\pitguy-codesign.cer -CertStoreLocation Cert:\LocalMachine\Root
Import-Certificate -FilePath .\pitguy-codesign.cer -CertStoreLocation Cert:\LocalMachine\TrustedPublisher

4 התקנת סוכן

1. ודאו שיש לכם שם משתמש וסיסמה לניטור. הם נוצרים במסך הניהול של השירות (ניהול ← משתמשים, "גישה לניטור מרחוק"); אם אתם מקבלים את השירות מספק - בקשו ממנו. אותו משתמש מחבר כמה מחשבים שצריך.
2. הריצו את ההתקנה ובחרו "סוכן בלבד". אין פרטים נוספים להזין בהתקנה.
3. בסיום, לחצו על האייקון שליד השעון ← "התחבר לניטור". הזינו את שם המשתמש והסיסמה ואת שם המחשב שיוצג בלוח, קראו מה נשלח, אשרו שאתם מורשים להפעיל ניטור במחשב - והמחשב מופיע בלוח תוך דקה.

התקנה שקטה

PersonalITGuy-Setup.exe /S /MANAGED

PersonalITGuy-Setup.exe /S /FULL

עדכון גרסה, כולל עדכון שמופעל מרחוק מהלוח, שומר על המצב הקיים של המחשב.

5 פריסה ב-Intune, GPO או כלי RMM

Intune - Win32 app

ארזו את ההתקנה עם IntuneWinAppUtil והגדירו:

PersonalITGuy-Setup.exe /S /MANAGED

"C:\Program Files\PelegSoft\Personal-IT-Guy\Uninstall pitguy.exe" /S

HKEY_LOCAL_MACHINE\SOFTWARE\PelegSoft\Personal IT Guy\Managed  ·  Mode  =  managed

ההתחברות לניטור נעשית בכל מחשב מהאייקון שליד השעון, באותו שם משתמש וסיסמה לכל המחשבים.

GPO - סקריפט הפעלה של המחשב

if (-not (Test-Path 'C:\Program Files\PelegSoft\Personal-IT-Guy\pitguy.exe')) {
  & '\\server\share\PersonalITGuy-Setup.exe' /S /MANAGED
}

סקריפט של GPO רץ כ-SYSTEM: האפליקציה תעלה בכניסה הבאה של משתמש. ההתקנה רצה כ-SYSTEM גם ב-Intune ובכלי RMM - זה תקין.

6 Microsoft Defender

תוכנה שמנהלת מחשב מרחוק, רצה ברקע ומקבלת פעולות משרת, דומה בהתנהגות שלה לכלים זדוניים - ולכן אנטי-וירוס עלול לחשוד בה, בעיקר בגרסה חדשה שעוד לא צברה מוניטין. אם Defender חוסם:

1. ודאו שהקובץ אמיתי - טביעת האצבע והחותם (סעיף 2).
2. ב-Microsoft Defender for Endpoint: Settings > Endpoints > Indicators > File hashes - הוסיפו את טביעת האצבע של הגרסה כ-Allow. בכל גרסה חדשה מוסיפים את שלה.
3. במחשבים שכבר סומכים על התעודה (סעיף 3) אפשר לנסות גם Indicators > Certificates עם קובץ ה-.cer - כך האישור חל על כל הגרסאות.
4. ספרו לנו - נשלח את הגרסה לבדיקה ב-Microsoft כתוכנה לגיטימית.

לא מומלץ להחריג תיקייה שלמה מסריקה; אישור לפי תעודה מדויק ובטוח יותר.

7 רשת וחומת אש

כל התקשורת יוצאת מהמחשב (אין פורט פתוח פנימה), ב-HTTPS:

8 מה מותקן במחשב

מה נשלח ומה המנהל יכול לעשות מפורט במדיניות הפרטיות, סעיף 4.8, ומוצג למשתמש בחלון שליד השעון. לא נשלחים קבצים, היסטוריית גלישה, סיסמאות, תוכן מסמכים או צילומי מסך. מדיניות הפרטיות

9 הסרה

"C:\Program Files\PelegSoft\Personal-IT-Guy\Uninstall pitguy.exe" /S

ההסרה מוחקת את התוכנה, את שירות העזר, את ההפעלה בכניסה ואת הגדרות מצב הסוכן. את המחשב מסירים מהלוח במסך המחשב בלוח הניטור.