Habilitando o WinRM pela Diretiva de Grupo

Question

Estou obtendo sucesso parcial para ativar o WinRM por meio de GPOs do Active Directory em nosso ambiente Server 2008 R2.

Eu criei um GPO que permite "Permitir configuração automática de ouvintes" e também habilita todas as regras predefinidas do WinRM Firewall.

Esse GPO funciona bem para nossos servidores da web. De fato, isso é refletido pelo "Gerenciamento Remoto do Gerenciador de Servidores", apontando para "habilitado" no Resumo do Servidor Gerenciador de Servidores.

No entanto, o mesmo GPO aplicado aos nossos servidores de gerenciamento, que são controladores de domínio, não fornece o mesmo resultado. Eu vejo as configurações de GPO sendo aplicadas, incluindo o ouvinte confirmado por

C:\Windows\system32>winrm e winrm/config/listener
Listener [Source="GPO"]
    Address = *
    Transport = HTTP
    Port = 5985
    Hostname
    Enabled = true
    URLPrefix = wsman
    CertificateThumbprint
    ListeningOn = 10.32.40.210, 10.32.40.211, 10.32.40.212

Mas no Gerenciador de Servidores, Resumo do Servidor, o Gerenciamento Remoto permanece "desativado" e, na verdade, ao tentar se conectar a uma dessas máquinas, o Gerenciador de Servidores fornece um "Acesso Negado".

Ativar manualmente o WinRM localmente por meio do Gerenciador de Servidores "Configurar o Gerenciamento Remoto do Gerenciador do Servidor" em qualquer uma dessas máquinas funciona bem.

Qual pode ser a causa? Pode ter algo a ver com essas máquinas sendo DC e precisando de configurações extras no GPO?

Nick Reid

    

Answer 1

Obrigado, mas se você tivesse lido o meu post, você veria que eu já tinha feito exatamente como você diz. Acontece que, no nosso caso, não foi nada fácil. O problema era, e ainda é, que o usuário do Sql Server Reporting Server 2008 reivindica o HTTP Kerberos SPN, que, portanto, não está disponível para a própria máquina, que é o que o winrm precisa. Gostaria de saber se eles estão cientes desse conflito na Microsoft?

Em resumo, o SSRS 2008 R2 e o WinRM são mutuamente exclusivos porque ambos precisam do SPN HTTP configurado de maneira diferente: o WinRM no nível da máquina, o SSRS no nível da conta de domínio.

SSRS 2008 R2 docs: link

    

Answer 2

Na verdade, é bem fácil.

Há três coisas que você precisa fazer no GPO:

1. Ative o GPO de serviço WinRM "Permitir configuração automática de ouvintes".
2. Torne o serviço de Gerenciamento Remoto do Windows iniciado automaticamente - também feito com o GPO.
3. Adicione uma regra de entrada do firewall (também pode ser feito com GPOs se você usar o Firewall do Windows)

Este artigo explica bem com capturas de tela.