Configuration Manager 中的代理服务器支持

适用于: Configuration Manager(current branch)

某些Configuration Manager组件需要连接到 Internet。 如果环境需要 Internet 流量才能使用代理服务器，请将这些系统配置为使用代理。

  • 托管站点系统服务器的计算机支持单个代理服务器配置。 该计算机上的所有站点系统角色共享此相同的代理配置。 如果需要为不同的角色或角色实例使用单独的代理服务器，请将这些角色放在单独的站点系统服务器上。

  • 为已有代理服务器配置的站点系统服务器配置新的代理服务器设置时，将覆盖原始配置。

  • 默认情况下，与代理的连接使用托管站点 系统 角色的计算机的系统帐户。

  • 如果计算机帐户无法进行身份验证，则站点系统服务器可以存储用户凭据以连接到代理服务器。 这些凭据是 站点系统代理服务器帐户。

  • 如果在管理工作站上安装 Configuration Manager 控制台，某些连接将使用代理配置。

使用代理的站点系统角色

以下站点系统角色连接到 Internet，如有必要，可以使用代理服务器：

资产智能同步点

重要

从 2021 年 11 月开始，Configuration Manager的此功能已弃用。 有关详细信息，请参阅 弃用资产智能。

此站点系统角色连接到 Microsoft并使用托管资产智能同步点的计算机上的代理服务器配置。

云分发点

注意

基于云的分发点 (CDP) 已弃用。 从版本 2107 开始，无法创建新的 CDP 实例。 若要向基于 Internet 的设备提供内容，请启用云管理网关 (CMG) 分发内容。 有关详细信息，请参阅 已弃用的功能。

云分发点角色在 Microsoft Azure 中运行。 未将此站点系统角色配置为使用代理。 在管理云分发点的主站点服务器上设置代理配置。

对于此配置，主站点服务器：

  • 必须能够连接到Microsoft Azure才能设置、监视内容并将其分发到云分发点。

  • 默认情况下，使用计算机的 系统 帐户进行连接。 如有必要，它还可以使用站点系统代理服务器帐户。

  • 使用 Windows Web 浏览器 API。

云管理网关连接点

云管理网关 (CMG) 连接点是一个本地角色，用于在 Azure 中与 CMG 服务通信。 有关详细信息，请参阅 CMG 概述。

分发点

如果为Microsoft连接缓存启用Configuration Manager分发点，则它可以通过代理服务器进行通信，以便从 Configuration Manager 版本 2603 开始或在安装 KB33247081 之后进行 Internet 访问。 以前的版本需要直接 Internet 连接或支持相对 URI 的代理。 有关详细信息，请参阅 Microsoft 连接的缓存。

Exchange Server 连接器

此站点系统角色连接到Exchange Server。 它在托管 Exchange Server 连接器的计算机上使用代理服务器配置。

管理点

从版本 2603 开始，管理点使用 Microsoft Identity Service Essentials (MISE) 进行Microsoft Entra令牌验证。 在支持已加入Microsoft Entra用户和设备的环境中，管理点服务器需要 Internet 访问才能连接到Microsoft Entra身份验证终结点。 有关允许的终结点列表，请参阅[管理点 Internet 访问要求] (internet-endpoints.md#management-point) 。

Microsoft Entra令牌验证使用 .NET Framework HTTP 堆栈在系统 (本地系统) 上下文中运行。 因此，如果管理点通过代理到达 Internet，则代理必须通过其 WinINET (Windows Internet 或 Internet 选项) 设置对本地系统帐户可用。

重要

在版本 2603 中，以下代理配置 不 用于 MISE 令牌验证：

  • 在站点系统属性中配置的代理。
  • 具有 netsh winhttp set proxy的计算机范围的 WinHTTP 代理集。

必须在管理点服务器上的 本地系统帐户的 WinINET 设置 中配置代理，如本部分所述。

配置系统上下文 WinINET 代理

使用以下方法之一为管理点服务器上的本地系统帐户设置代理：

  • 注册表：在 下 HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings设置以下值：

    • ProxyEnable (DWORD) = 1
    • ProxyServer (字符串) = <proxyservername>:<portnumber>，例如 proxy.domain.example.com:80
    • ProxyOverride (字符串) = 可选的代理绕过列表，例如 <local>

  • 系统上下文中的 Internet 选项：将 Internet 选项作为本地系统帐户打开并配置 LAN 代理。 例如，使用 PsExec 启动浏览器作为系统帐户：

    PsExec.exe -i -s "C:\Program Files\Internet Explorer\iexplore.exe"

    然后转到“Internet 选项”“>连接 >LAN 设置”并配置代理服务器。

更改代理后，在 SMS_EXECUTIVE 管理点重启服务，使新设置生效。

验证和故障排除

如果管理点无法访问Microsoft Entra终结点，CCM_STS_ManagedBase.log则管理点上的 会使用基础 SocketException 或 HttpRequestException记录MISE12034错误。 Microsoft Entra联接的客户端无法获取令牌并记录暂时性错误，例如 0x87d00231 。ClientIDManagerStartup

若要确认来自系统上下文中的管理点的连接，请运行以下命令，例如，使用 PsExec.exe -i -s cmd) 作为本地系统帐户 (：

Invoke-WebRequest "https://login.microsoftonline.com/<TenantID>/.well-known/openid-configuration" -UseBasicParsing

注意

此系统上下文代理要求特定于版本 2603。 计划将来进行更新，以允许 MISE 令牌验证使用站点系统属性中配置的代理。

有关此要求的详细信息，请参阅管理点需要 Internet 访问才能Microsoft Entra令牌验证。

服务连接点

此站点系统角色连接到 Configuration Manager 云服务，以下载Configuration Manager的版本更新。 它使用在承载服务连接点的计算机上配置的代理服务器。

软件更新点

此站点系统角色在连接到 Microsoft Update 时使用代理来下载修补程序并同步有关更新的信息。 与所有其他站点系统角色一样，首先配置站点系统代理设置。 然后配置特定于软件更新点的以下选项：

  • 同步软件更新时使用代理服务器

  • 使用自动部署规则下载内容时使用代理服务器

    注意

    虽然此设置可供使用，但辅助站点的软件更新点不使用此设置。

这些设置位于软件更新点属性的“ 代理和帐户设置 ”选项卡上。

注意

默认情况下，当自动部署规则运行时，创建自动部署规则的站点服务器上的 系统 帐户用于连接到 Internet 并下载软件更新。 或者，配置并使用站点系统代理服务器帐户。

如果此帐户无法访问 Internet，则无法下载软件更新。 以下条目记录到 ruleengine.log： Failed to download the update from internet. Error = 12007.

使用代理的其他功能

以下功能使用承载 服务连接点 角色的站点系统的代理：

为站点系统服务器配置代理

  1. 在Configuration Manager控制台中，转到“管理”工作区。 展开“ 站点配置”，然后选择“ 服务器和站点系统角色” 节点。

  2. 选择要编辑的站点系统服务器。 在详细信息窗格中，右键单击 “站点系统 角色”，然后选择“ 属性”。

  3. 在“站点系统属性”中，切换到“ 代理 ”选项卡。配置以下代理设置：

    • 从 Internet 同步信息时使用代理服务器：选择此选项可使站点系统服务器使用代理服务器。

    • 代理服务器名称：指定环境中代理服务器的主机名或 FQDN。

    • 端口：指定要与其与代理服务器通信的网络端口。 默认情况下，它使用端口 80。

    • 使用凭据连接到代理服务器：许多代理服务器要求用户进行身份验证。 默认情况下，站点系统服务器使用其计算机帐户连接到代理服务器。 如有必要，请启用此选项，单击“ 设置”，然后选择 现有帐户 或指定 新帐户。 这些凭据是 站点系统代理服务器帐户。 有关详细信息，请参阅 Configuration Manager 中使用的帐户。

  4. 选择 “确定” 以保存新的代理服务器配置。

Configuration Manager控制台

如果在管理工作站上安装 Configuration Manager 控制台，某些连接将使用代理配置。 由于代理配置，控制台可能无法连接到站点。 为了帮助进行故障排除，可以修改控制台配置文件 Microsoft.ConfigurationManagement.exe.config。 默认情况下，此文件位于 中 C:\Program Files (x86)\Microsoft Endpoint Manager\AdminConsole\bin。 在 Windows 记事本或其他 XML 编辑器中打开它。

更改此原始设置：

  <system.net>
    <defaultProxy useDefaultCredentials="true" />
  </system.net>

使用 defaultProxy 元素添加以下元素： <proxy usesystemdefault="False"/></defaultProxy>

例如：

  <system.net>
    <defaultProxy useDefaultCredentials="true"><proxy usesystemdefault="False"/></defaultProxy>
  </system.net>

后续步骤

如果组织使用防火墙或代理设备限制与 Internet 的网络通信，则需要允许访问 Internet 终结点。 有关详细信息，请参阅 Internet 访问要求。

  • Last updated on