Installation des opsi-Client-Agent schlägt fehl

[ThomasG]

Hallo Community,

die nachträgliche Installation des opsi-Client-Agents schlägt auf allen Windows-10-Rechnern fehl, sowohl über den 'opsi-client-agent-installer.exe' vom Client aus gestartet, als auch über die Funktion 'Deploy Client Agent' des WebGUI bzw. der opsi-configed Client-Konfiguration.
Alle Voraussetzungen für Windows-Clients aus der Dokumentation sind umgesetzt:

• ein offener c$-Share ist vorhanden

• ein offener admin$-Share ist vorhanden

• User ist mit einem administrativen Account angemeldet

• die Dienste RpcSs und RpcEptMapper laufen

• eine Firewallregel, welche die Datei-und-Druckerfreigabe und Windows-Verwaltungsinstrumentalisierung (WMI) zulässt, wurde erstellt

• der Registry-Schlüssel HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolicy hat den Wert 1

Die EIngabemaske des Installationsprogramms meldet lapidar:

"Installation Unsuccessfull: Installation of opsi-client-agent on client <my_client>.<my_domain>.<tld> unsuccessful"

Das WebGUI meldet im roten Kasten rechts oben:

Failed to deploy OPSI Client Agent.
1b'[3] [2025-09-29 20:12:57.144] [<my_client>.<my_domain>.<tld>] Deployment to <my_client>.<my_domain>.<tld> failed: Installation of opsi-client-agent on client <my_client>.<my_domain>.<tld> unsuccessful (common.py:445)\n[4] [2025-09-29 20:13:02.342] [ ] 1/1 deployments failed (__init__.py:187)\n' - b''

Das Windows-Log sagt gar nichts dazu, und aus dem opsi-Log auf dem Client bzw. der Client-Konfiguration

opsi-client-agent.log

(94.44 KiB) 20-mal heruntergeladen

opsi-script-part-z3R33x7nNJ.log

(94.39 KiB) 16-mal heruntergeladen

werde ich leider auch nicht schlau.

Weil es auf gar keinem einzigen Client funktioniert: Vielleicht habe ich ja eine Administrative Vorlage per GPO verteilt, die sich mit der Installation des Client-Agent beißt? Ich wüsste allerdings nicht, welche das sein sollte.

Hat wer ne Idee, wo man ansetzen könnte?
Vielen Dank schon mal im Voraus für Hinweise!

[n.doerrer]

Moin,

der Text "Installation of {self.product_id} on client {self.host} unsuccessful" kommt aus dem Schritt nach der eigentlichen Installation. Dort wird geprüft, ob ein ProductOnClient-Objekt für den client und das Paket opsi-client-agent (bzw opsi-linux-client-agent/opsi-mac-client-agent) existiert und ob es installationStatus "installed" hat. Das scheint hier nicht der Fall zu sein.
Die opsi-client-agent.log sieht ok aus (script finished: success), daher könnte ich mir vorstellen, dass der falsche Host geprüft wird (DNS-Problem?)

[ThomasG]

Hallo zusammen,

dieses Problem ist leider immer noch nicht gelöst.
Meine Überlegungen dazu:
Wenn erst der Schritt nach der eigentlichen Installation fehlschlägt und nur die Abfrage, ob ein ProductOnClient-Objekt für den client und das Paket 'opsi-client-agent' existiert und ob es den installationStatus "installed" hat, dann bedeutet das doch, dass der opsi-client-agent irgendwo in den Programmen auftauchen sollte.
In der Windows-Systemverwaltung 'Programme und Features' wird der opsi-client-agent jedoch nicht unter den installierten Programmen aufgeführt.
Auch kann ich ihn auf dem Systemlaufwerk nirgends finden, und das Verzeichnis 'opsi.org' enthält nur die Logs meiner erfolglosen Installationsversuche.
Da muss schon vorher etwas schiefgelaufen sein.

Ein DNS-Problem kann eigentlich nicht vorliegen: Die folgenden Tests - auf dem opsi-Server ausgeführt - lieferten jeweils richtige Ergebnisse:

Code: Alles auswählen

# nslookup <my-domain>.<tld>
Server:         192.168.110.10
Address:        192.168.110.10#53

Name:   <my-domain>.<tld>
Address: 192.168.110.10

# nslookup <my-dc1>
Server:         192.168.110.10
Address:        192.168.110.10#53

Name:   <my-dc1>.<my-domain>.<tld>
Address: 192.168.110.10

# nslookup <my-dc2>
Server:         192.168.110.10
Address:        192.168.110.10#53

Name:   <my-dc2>.<my-domain>.<tld>
Address: 192.168.110.20

# nslookup <my-opsi-srv>
Server:         192.168.110.10
Address:        192.168.110.10#53

Name:   <my-opsi-srv>.<my-domain>.<tld>
Address: 192.168.110.30

# nslookup <my-client>
Server:         192.168.110.10
Address:        192.168.110.10#53

Name:   <my-client>.<my-domain>.<tld>
Address: 192.168.110.102

# host -t A <my-domain>.<tld>
<my-domain>.<tld> has address 192.168.110.10

# host -t A <my-dc1>
<my-dc1>.<my-domain>.<tld> has address 192.168.110.10

#  host -t A <my-dc2>
<my-dc2>.<my-domain>.<tld> has address 192.168.110.20

# host -t A <my-opsi-srv>
<my-opsi-srv>.<my-domain>.<tld> has address 192.168.110.30

# host -t A <my-client>
<my-client>.<my-domain>.<tld> has address 192.168.110.102

# host -t PTR 192.168.110.10
10.110.168.192.in-addr.arpa domain name pointer <my-dc1>.<my-domain>.<tld>

# host -t PTR 192.168.110.20
20.110.168.192.in-addr.arpa domain name pointer <my-dc2>.<my-domain>.<tld>

# host -t PTR 192.168.110.30
30.110.168.192.in-addr.arpa domain name pointer <my-opsi-srv>.<my-domain>.<tld>

# host -t PTR 192.168.110.102
102.110.168.192.in-addr.arpa domain name pointer <my-client>.<my-domain>.<tld>

# host -t SRV _ldap._tcp.<my-domain>.<tld>
_ldap._tcp.<my-domain>.<tld> has SRV record 0 100 389 <my-dc1>.<my-domain>.<tld>

# host -t SRV _kerberos._udp.<my-domain>.<tld>
_kerberos._udp.<my-domain>.<tld> has SRV record 0 100 88 <my-dc1>.<my-domain>.<tld>

# ping <my-client>
PING <my-client>.<my-domain>.<tld> (192.168.110.102) 56(84) bytes of data.
64 bytes from <my-client>.<my-domain>.<tld> (192.168.110.102): icmp_seq=2 ttl=128 time=0.423 ms

Damit gehe ich davon aus, dass das DNS auf dem opsi-Server richtig funktioniert.

Die gleichen Tests habe ich auch auf den Clients ausgeführt (bis auf 'host', das kennt Windows nicht), mit den gleichen richtigen Ergebnissen. Damit gehe ich davon aus, dass das DNS auch auf den Clients korrekt funktioniert.

Beim Durchsehen des Logs ist mir jedoch folgendes aufgefallen:
Im Log steht, dass die Installation des Loginblockers nicht erfolgreich war:

Code: Alles auswählen

[6] 2025-09-29 18:05:07.835] [opsi-client-agent] ~~~~~~~ Start Sub ~~~~~~~  Sub_install_loginblocker
[5] [2025-09-29 18:05:07.836] [opsi-client-agent] comment: Installing login blocker
[5] [2025-09-29 18:05:07.837] [opsi-client-agent] message Installing login blocker
[7] [2025-09-29 18:05:07.841] [opsi-client-agent] expression: [GetSystemType = "64 Bit System"] <<< is false
[6] [2025-09-29 18:05:07.841] [opsi-client-agent] expression: [(GetSystemType = "64 Bit System")] <<< is false
[5] [2025-09-29 18:05:07.841] [opsi-client-agent] Execution of: Files_install_loginblocker_64 /sysnative
[7] [2025-09-29 18:05:07.842] [opsi-client-agent] copy -Vc "C:\Users\Administrator\AppData\Local\Temp\oca-installation-helper-tmp\opsi-client-agent\files\OpsiLoginBlocker\64bit\OpsiLoginBlocker.dll" "C:\WINDOWS\system32\"
[7] [2025-09-29 18:05:07.842] [opsi-client-agent] copy
[5] [2025-09-29 18:05:07.842] [opsi-client-agent] Finished section: Files_install_loginblocker_64 /sysnative
[5] [2025-09-29 18:05:07.843] [opsi-client-agent] Execution of: Files_install_loginblocker_32 /sysnative
[7] [2025-09-29 18:05:07.843] [opsi-client-agent] copy -Vc "C:\Users\Administrator\AppData\Local\Temp\oca-installation-helper-tmp\opsi-client-agent\files\OpsiLoginBlocker\32bit\OpsiLoginBlocker.dll" "C:\WINDOWS\system32\"
[7] [2025-09-29 18:05:07.843] [opsi-client-agent] copy
[5] [2025-09-29 18:05:07.843] [opsi-client-agent] Finished section: Files_install_loginblocker_32 /sysnative
[5] [2025-09-29 18:05:07.845] [opsi-client-agent] Execution of: Registry_install_loginblocker /sysnative
[7] [2025-09-29 18:05:07.846] [opsi-client-agent] expression: [getRegistryValue("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System", "DisableCAD") = "0"] <<< is false
[6] [2025-09-29 18:05:07.846] [opsi-client-agent] expression: [getRegistryValue("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon", "DisableCAD") = "0" or getRegistryValue("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System", "DisableCAD") = "0"] <<< is false
[5] [2025-09-29 18:05:07.848] [opsi-client-agent] message DisableCAD is not set, not restarting logonui.exe
[6] [2025-09-29 18:05:07.853] [opsi-client-agent] expression: [ErrorsOccurredSinceMark > 0] <<< is true
[5] [2025-09-29 18:05:07.857] [opsi-client-agent] message Failed to install loginblocker
[6] [2025-09-29 18:05:07.861] [opsi-client-agent] 
[6] [2025-09-29 18:05:07.861] [opsi-client-agent] ~~~~~~~ End Sub   ~~~~~~~  Sub_install_loginblocker

Meiner Meinung nach liegt es also am Loginblocker.
Das File 'OpsiLoginBlocker.dll' ist unter 'C:\WINDOWS\system32\' nicht zu finden.
Der Registy-Schlüssel 'DisableCad' hat den Wert REG_DWORD = 1
Was könnte der Grund sein, dass die Installation des Loginblockers fehlschlägt?

Viele Grüße
Thomas

[d.oertel]

Hallo allerseits,

der opsi-script kennt einen "Testsyntax" Modus, welcher bei der Entwicklung und Test von Scripten helfen soll.
Wenn man den opsi-script in den "Testsyntax" mode schaltet, soll er:
a) alle Zeilen prüfen und
b) nichts installieren.

In den beiden (identischen) Logs findet sich in Zeile 83 ein Warnung:

Code: Alles auswählen

(83)      [4] [2025-09-29 18:05:06.934] [opsi-client-agent] Running in TestSyntax mode !!

D.h. opsi-script ist angewiesen nichts zu installieren und nur den Syntax zu checken.

Wahrscheinlich steht der config ("Hostparameter")

Code: Alles auswählen

opsi-script.global.testsyntax

auf true.
Da das Problem auf allen Clients besteht, ist es wahrscheinlich der Config in der "Server-Konfiguration".

In der Server-Konfiguration muß der Config "opsi-script.global.testsyntax" immer auf false stehen.
Diesen Config nur für einzelne Entwicklungsrechner und nur temporär auf true stellen.

Siehe auch:
https://docs.opsi.org/opsi-docs-de/4.3/ ... arams.html
https://docs.opsi.org/opsi-docs-de/4.3/ ... tions.html

Sollte das Problem hier durch nicht gelöst sein, bitte noch mal melden.

gruß
d.oertel

[ThomasG]

Hallo Opsi-Team,

das war in der Tat des Rätsels Lösung!
Vielen Dank für den entscheidenden Hinweis!

Ich war da zwar schon nahe dran, wäre aber von selbst nie darauf gekommen:
Im Programm 'opsi-configed-windows.exe' hatte ich alle Einstellungen unter 'Host-Parameter', sowohl auf dem Server, als auch auf den Clients, per Rechtsklick und Auswahl von: '- Spezifischen Wert entfernen (es gilt der jeweilige Default)' auf die Grundeinstellungen gesetzt.
Das aber bewirkte, dass unter 'opsi-script' -> 'opsi-script.global.testsyntax' ein Minuszeichen bzw. Haken im Auswahlkästchen eingetragen wurde, was wohl zum oben beschriebenen Effekt führte.
Vielleicht könnt ihr hier mal bei Gelegenheit die Default-Einstellung für diesen Menüpunkt überprüfen.

Viele Grüße
Thomas

[ThomasG]

PS: Ein Punkt noch:
Seit dem Entfernen des Hakens bei 'opsi-script.global.testsyntax' wird im Web-GUI unter 'Clients / Konfiguration' -> 'Parameter' ein roter Kasten angezeigt mit der Meldung:

WebGUI-Client-Konfiguration.jpg (19.73 KiB) 94 mal betrachtet

Das finde ich erst mal nicht weiter tragisch, da ich die Client-Konfiguration im Programm 'opsi-configed' einstelle, und da funktioniert es.
Vielleicht gibt sich das auch, wenn der Cache erneuert wird, mal abwarten.
Falls jemand eine Lösung dafür kennt, wäre ich trotzdem dankbar.

Viele Grüße
Thomas