Выяснилось, что возможностей для удаленной установки клиентской части у Zlock как минимум две: при помощи стандартного распространения установочного msi-файла политиками AD и с использованием службы удаленной установки, имеющейся в консоли управления. Эта служба, кстати, позволяет таким образом запустить на клиентском компьютере любой установочный дистрибутив любого другого продукта. То есть вместе с основным продуктом вы заодно получите приятную «добавку», упрощающую удаленную установку программ на рабочие станции в локальной сети.

После тестовой проверки на нескольких рабочих станциях и убеждения в том, что продукт не валит сразу систему в BSOD, следующим тестом «права на жизнь» стала попытка установить клиентскую часть на все компьютеры локальной сети. Процесс удаленной установки, на мой взгляд, слегка усложнен необходимостью сначала создать службу удаленного управления, затем «подключиться» к группе компьютеров и только затем запустить групповую инсталляцию. На самом деле проще было бы эти 3 шага объединить в одном действии: «Установить программу», так как логично предположить, что если вы хотите что-то удаленно установить на клиентский компьютер, то и программу удаленного управления также необходимо подключить. Думаю, что авторы программы прислушаются к таким «косметическим» замечаниям и в следующей версии поправят это. Хотя про следующую версию я напишу отдельно.

Учитывая, что при установке клиентской части автоматически будут приняты определенные настройки «по умолчанию», разумно создать их заранее и сохранить в виде файла default.zcfg в папку, откуда будет производиться установка. Данную папку предоставим в общий доступ для возможности установки программы с наследованием настроек по сети, чем всегда смогут воспользоваться специалисты технического отдела, которые подключают пользователям новые рабочие станции, а также проводят профилактические работы с ними (например, переустановка ОС). Это тоже понравилось, так как направлено на реализацию той самой «корпоративности продукта» и освобождения главного специалиста от необходимости постоянного вмешательства в работу helpdesk-специалистов.

Для своей сети я сразу воспользовался общепринятым принципом построения практически любых систем защиты: «что не разрешено – то запрещено» и в политике по умолчанию запретил запись на все съемные носители для всех пользователей, кроме Администраторов Домена. При создании такой политики безопасности «по умолчанию» очень внимательно отнеситесь к разрешениям на локальные жесткие диски (Zlock позволяет заблокировать доступ и к ним). Если вы случайно создадите неверную политику и запретите любой доступ к дискам с ОС – то компьютеры просто не загрузятся. Также не забывайте про обязательное предоставление доступа для учетной записи SYSTEM, от имени которой запущено большинство системных процессов (см. рис. 1).