Configuration Manager ist das am meisten eingesetzte und älteste Mitglied der System Center Suite. Im Vergleich zur Vorgängerversion Configuration Manager 2012 R2 Sp1 kann man mit Configuration Manager ab 1511 eine Brücke zur Azure Cloud durch Intune aufbauen. Mit der Version 1910 wurde der System Center Configuration Manager in Microsoft Endpoint Configuration Manager umbenannt. Mit der Version 2303 hat Microsoft den Configuration Manager erneuert umbenannt in Microsoft Configuration Manager.  

In der 1511 Version wurde Intune durch die neue Site System Role „Service Connection Point (SCP)“ noch enger in Configuration Manager integriert. Auch das sog. In-Console Update läuft über diesen SCP. Microsoft nutzt diesen SCP auch, um Informationen (User Data Collection) von der gesamten Configuration Manager Infrastruktur des Kunden zu besorgen und auch, um die notwendigen In-Console Updates zur Verfügung zu stellen. Man muss Intune zwar nicht haben, aber mit der Integration von Intune in Configuration Manager bekommt man nicht nur eine MDM Lösung (Mobile Device Management), sondern auch die Remote Verwaltung von Windows 10.

Ab Configuration Manager 1806 ist die Hybrid Verwaltung Configuration Manager und Intune deprecated. Die Empfehlung ist Intune Standalone zu nutzen und für die Zusammenarbeit das Co-Management zu verwenden. Dies wird in unserem Kurs Intune Hybrid unterichtet.

Infrastruktur:
Die Configuration Manager 2111/2203/2207/2211/2303 Infrastruktur ist nicht starr, also nicht mehr „site“ gebunden wie noch bei Configuration Manager 2007. Dank der Global Database Replication zwischen Central Administration Site & Primary Site und Primary Site & Secondary Site stehen u.a. Collection Daten hierarchieweit zur Verfügung.
Mittlerweile ist es aber nicht mehr empfohlen eine Central Administration Site aufzubauen sondern eine Standalone Primary Site zu installieren.
Nach dem Aufbau der Standalone Primary Site und Platzierung der Site System Roles müssen die Computer durch diverse Discovery und Deployment Methoden mit Configuration Manager Agent installiert werden. Die Clients werden den sog. Boundaries manuell oder automatisch zugeordnet, die wiederum den Boundary Groups angehören müssen, damit sie überhaupt Software (Content) beziehen können.
Mit Configuration Manager 1610 können Boundary Group Relationships zwischen den Boundary Groups in einer Primary Site für intelligentes Distribution Point (DP) Fallback sorgen. Ein Client sucht die geeigneten DPs (mit Content) zuerst in seiner Boundary Group (Current Boundary Group), dann die DPs in der benachbarten BG (Neighbor Boundary Group), die die niedrigste Zeit-Relationship zu seiner BG hat. Letztendlich werden DPs in der Default-Site-Boundary-Group<Site Code> gesucht. Die Infrastruktur einer Configuration Manager 1610 kann dadurch für Fallback Szenarien effektiver gestaltet werden.
Ab Configuration Manager 1702 müssen auch Software Update Points (SUP) in Boundary Groups aufgenommen werden, damit Clients diese finden können.

Umstellung auf HTTPS:
Damit die Verbindung zwischen Management Point und den Clients nicht ungeschützt über HTTP läuft, sollte diese auf HTTPS umgestellt werden. Auch die anderen Site System Server, wie der Distribution- und Software Update Point, sollten auf HTTPS umgestellt werden. Die Umstellung auf HTTPS ist besonders wichtig, wenn die Cloud Features oder das BitLocker Management eingesetzt werden. Es kann zwar das Feature Enhanced HTTP (ab 1810) verwendet werden, aber hierbei werden einfach nur selbstsignierte Zertifikate erstellt. Deswegen wird in diesem Kurs die Umstellung auf HTTPS mit Zertifikaten einer Enterprise PKI praktiziert. Ab der Version 2103 ist die HTTP Kommunikation veraltet.

Configuration Manager Cloud Management Gateway:
Das CMG ermöglicht es, in Azure einen Management Point, Software Update Point und einen Distribution Point (ab Configuration Manager 1806) zu hosten. Diese Site System Komponenten können Configuration Manager Clients, die mit dem Internet verbunden sind, verwalten und mit Content (Software Updates, Applikation und Betriebssystemen) versorgen. In Azure wird hierfür ein Service gemietet, der im Hintergrund auf max.16 VMs verteilt wird. On-Premises muss die Site System Role CMG Connection Points für die Kommunikation mit Azure eingerichtet werden. Die Konfiguration erfolgt ausschließlich in Configuration Manager (On-Premises) und wird über den CMG Connection Point an Azure weitergeleitet, um die Internet Clients mit Configuration Manager Agent zu verwalten. Seit der Version 2010 kann der CMG als Virtual Machine Scale Set (VMSS) bereitgestellt werden. Dieses Thema wird in dem Kurs Intune Hybrid unterrichtet.

Infrastruktur – Hochverfügbare Site Server:
Ab Configuration Manager 1810 können hochverfügbare Site Server aufgebaut werden. Jeder der zwei Site Server nutzt seine lokale SQL Datenbank, welche Teil eines SQL AlwaysOn Clusters ist. Somit kann sowohl der aktive als auch der passive Site Server als Clusternode auf die synchronisierte Datenbank zugreifen. Zu jeder Zeit ist nur ein Site Server aktiv.

Deployment:
Die Hauptaufgabe von Configuration Manager ist Devices & Benutzer mit Software zu versorgen. Das Deployment von Betriebssystemen (OS) und Applikationen bildet daher auch den Hauptschwerpunkt des Kurses. Wir praktizieren im Kurs nicht nur das herkömmliche „statische“ Deployment, sondern dank des Application Models das „Smart-Deployment“. Eine Applikation kann z.B. abhängig von deren „Deployment Types“ (*.msi(x),*.appx, *.appxbundle, usw…) nun auch gezielt an Benutzers „Primary Device“ dank der UDA (User Device Affinity) verteilt werden. Durch Self-Service kann ein Benutzer außerdem seine ihm bereitgestellte Anwendung im Software Center selbst auswählen und installieren.

Administration:
Mit der RBAC (Role-Based Administration Control) können administrative Aufgaben durch die Kombination von Security Roles, Security Scopes und Collection (User, Devices) hierarchieweit sehr fein konfiguriert und delegiert werden. Zur Administration gehören auch die Datenbank-Verwaltung mit Backup & Recovery, sowie alles um die gesamte Configuration Manager-Hierarchie sicher und optimal zu gestalten. Ab Configuration Manager 1810 kann für die Authentifizierung eine Zertifikats- oder „Windows Hello“ -basierte Anmeldung erzwungen werden.

Monitoring & Troubleshooting:
Es gibt eine ganze Menge Logs, die wir als Grundlage für das Troubleshooting im Kurs versuchen, auseinanderzuhalten und aufgabenbezogen zu analysieren. Das Monitoring wird ausgiebig mit den Bordmitteln von Configuration Manager betrieben.

Kurseinschränkungen:
Wegen des sehr großen Umfangs von Configuration Manager wird in diesem Kurs keine Migration von älteren Configuration Manager Versionen behandelt.
Es wird mit der Vollversion Configuration Manager 2303 gestartet.