设置 SCCM CMG 云管理网关的最佳指南

---

本文详细介绍了设置 SCCM 云管理网关角色的步骤。 SCCM CMG 提供了一种在 Internet 上管理 Configuration Manager 客户端的简单方法。

您可以使用此云管理网关实施指南来安装和配置 CMG。在 SCCM 中设置 CMG（云管理网关）非常简单。

您可以将 CMG 作为 Microsoft Azure 中的云服务部署。 SCCM CMG 设置的最大优点是您无需将本地基础设施暴露到互联网。当您使用 CMG 时，您的管理点不会暴露在互联网上。

您可以在主站点或管理中心站点 (CAS) 上安装云管理网关 (CMG) 的多个实例。

在本指南中，我们将了解什么是 SCCM CMG、如何设置和配置 CMG 以及 CMG 日志文件以进行故障排除。

什么是 SCCM 云管理网关？

云管理网关也称为 SCCM CMG，提供了一种在 Internet 上管理 Configuration Manager 客户端的简单方法。当您将 SCCM CMG 作为 Microsoft Azure 中的云服务部署时，您无需额外的基础设施即可管理 Internet 客户端。

SCCM 云管理网关的最大优势是您无需将本地基础设施暴露到互联网。如果您打算使用 CMG，我建议您阅读 Microsoft 的这篇文章。

CMG 使用 Azure 云服务作为 PaaS，该服务使用虚拟机 (VM)，这会涉及计算成本。默认情况下，SCCM CMG 使用标准 A2 V2 虚拟机。

设置 SCCM 云管理网关时，您可以选择支持 CMG 的 VM 实例数量。一个 CMG 在 Azure 云服务中最多支持 16 个虚拟机 (VM) 实例。

SCCM CMG 高级步骤

• 设置 SCCM CMG 服务器身份验证证书
• 为客户端设置 SCCM CMG 可信根证书
• 将客户端信任的根证书设置为 SCCM CMG
• 为管理点配置 HTTPS 证书
• 配置 Azure 管理证书
• 指定唯一的 SCCM CMG DNS 名称
• 配置 Azure 服务进行云管理
• 验证配置管理器 Azure 服务
• 创建并颁发 Web 服务器 SCCM CMG 证书模板
• 在主站点服务器上导入 Web 服务器 CMG 证书
• 导出 CMG Web 服务器证书
• 设置 SCCM 云管理网关 (SCCM CMG)
• 安装云管理网关连接点
• 允许 SCCM 云管理网关流量和云分发点
• 将 SCCM CMG 与边界组关联
• 为 CMG 配置客户端

SCCM CMG 端口和数据流

当您计划设置 SCCM CMG 时，无需打开本地网络的任何入站端口。 服务连接点和CMG 连接点是发起与 Azure 和 CMG 的所有通信的连接点。

服务连接点在 Azure 中部署和监视服务，因此它必须处于在线模式。 SCCM CMG 连接点连接到 CMG 以管理 SCCM CMG 与本地站点系统角色之间的通信。

下面的截图显示了SCCM云管理网关图。有关 SCCM 云管理网关端口的完整信息，请阅读以下文章。

SCCM CMG 先决条件

下面列出了 SCCM CMG 的重要要求或先决条件：

• 首先，您需要一个 Azure 订阅来托管云管理网关。它可以位于全球 Azure 云或 Azure 美国政府云中。
• 拥有云服务提供商 (CSP) 订阅的客户需要使用 SCCM 版本 2010 或更高版本进行虚拟机规模集部署。
• 您的用户帐户需要是配置管理器中的完全管理员或基础架构管理员。
• 如果您要部署 SCCM CMG，则需要订阅管理员。要将站点与 Azure AD 集成以使用 Azure 资源管理器部署 CMG，您需要全局管理员。
• 在设置云管理网关之前，SCCM服务连接点应处于在线模式。
• 您需要 CMG 的服务器身份验证证书。
• 客户端必须使用 IPv4。
• 配置管理点以允许来自 CMG 的流量。它还需要要求 HTTPS，或将站点配置为增强型 HTTP。
• 与 Azure AD 集成，以便通过 Azure 资源管理器部署服务。
• 当您将站点与 Azure AD 集成以使用 Azure 资源管理器部署 CMG 时，您需要全局管理员。
• 创建 CMG 时，您需要一个作为 Azure 订阅所有者和Azure AD 全局管理员的帐户。
• 您至少需要一台本地 Windows Server 来托管 CMG 连接点。

• 为将使用 CMG 的设备启用云服务组中的以下客户端设置：

  • 使客户能够使用云管理网关
• 允许访问云分发点

从 ConfigMgr 版本 2203 开始，删除了将 CMG 部署为云服务（经典）的选项。所有 CMG 部署都应使用虚拟机规模集。

云管理网关支持的配置

当您规划 CMG 时，了解云管理网关支持哪些配置非常重要。

• 对于 Windows 版本，Configuration Manager 支持的几乎所有 Windows 版本都支持 CMG。
• CMG 仅支持管理点和软件更新点角色。您还可以使用 CMG 通过 Internet 部署任务序列。
• CMG 不支持仅与 IPv6 地址通信的客户端。 CMG 完全支持 IPv4 客户端。
• 使用网络负载平衡器的软件更新点不适用于 CMG。
• 从版本 2203 开始，删除了将 CMG 部署为云服务（经典）的选项。所有 CMG 部署都应使用虚拟机规模集。

云管理网关的成本

当您计划在 SCCM 中进行 CMG 时，您必须知道它不是免费的，并且存在相关费用。用它。 CMG 需要付费，因为它使用 Azure 中的多个组件。

费用将由您的 Azure 订阅帐户产生。有些成本是固定的，但有些则根据使用情况而变化。

两项主要的 CMG 成本包括托管 CMG 服务的虚拟机的成本以及传输到 CMG 的数据量。

计算 CMG 成本时涉及以下组成部分：

• 虚拟机规模集
• 出站数据传输
• 内容存储

有关 CMG 成本的更多信息，请参阅云管理网关成本文章。

配置管理器 CMG 组件

当您规划 CMG 时，CMG 的部署和操作包括以下组件：

• Azure 中的 CMG 云服务对 Configuration Manager 客户端请求进行身份验证，并将其通过 Internet 转发到本地 CMG 连接点。
• CMG 连接点站点系统角色可实现从本地网络到 Azure 中的 CMG 服务的一致且高性能的连接。它还向 CMG 发布设置，包括连接信息和安全设置。 CMG 连接点根据 URL 映射将客户端请求从 CMG 转发到本地角色。
• 服务连接点站点系统角色运行云服务管理器组件，该组件处理所有 CMG 部署任务。此外，它还监视并报告来自 Azure Active Directory (Azure AD) 的服务运行状况和日志记录信息。确保您的服务连接点处于在线模式。
• 管理点和软件更新点站点系统角色按正常方式服务客户端请求。
• CMG 使用基于证书的 HTTPS Web 服务来帮助保护与客户端的网络通信。

• 基于 Internet 的客户端连接到 CMG 以访问本地 Configuration Manager 组件。客户端身份和身份验证有多种选项：

  • Azure AD
• PKI证书
• Configuration Manager 站点颁发的令牌

CMG 创建一个 Azure 存储帐户，用于其标准操作。默认情况下，CMG 还支持内容，以便向基于 Internet 的客户端提供部署内容。此存储帐户不支持自定义，例如虚拟网络限制。

SCCM CMG 证书要求

在设置 ConfigMgr CMG 之前，您必须真正处理的一件事是 CMG 证书。我没有在 SCCM CMG 先决条件部分中包含此信息，因为该主题非常复杂。不过，我会尽力让你轻松。

• CMG服务器认证证书
• CMG 向客户端信任根证书
• 公共提供商/企业 PKI 颁发的服务器身份验证证书
• 客户认证证书
• SCCM CMG 的客户端信任根证书
• 管理点的 HTTPS 证书
• Azure 管理证书

SCCM CMG 服务器身份验证证书

在 Configuration Manager 控制台中创建云管理网关时需要服务器身份验证证书。 SCCM CMG 设置基本上创建一个 HTTPS 服务，您的 Internet 客户端将连接到该服务。

对于有效的 Configuration Manager CMG 服务器身份验证证书，您可以从公共提供商获取证书或从公钥基础结构 (PKI) 颁发证书。在这篇文章中，我将从我的 PKI 颁发证书。

如果您使用的是 SCCM 版本 1802 及更高版本，则可以使用通配符证书作为 CMG 服务器证书。创建此证书之前，请确保用于 CMG 的 Azure 域名是唯一的。

SCCM CMG 受信任的客户端根证书

此证书适用于必须信任 CMG 服务器身份验证证书的客户端。有两种方法可以实现此目的：-

• 使用来自公共且全球信任的证书提供商的证书。
• 使用企业 CA 从您的公钥基础设施 (PKI) 颁发的证书。

SCCM CMG 的客户端受信任根证书

在 Configuration Manager 控制台中设置云管理网关时提供此根证书。 CMG 必须信任客户端身份验证证书。如果您使用 PKI 客户端身份验证证书，则必须将受信任的根证书添加到 CMG。

管理点的 HTTPS 证书

要在管理点上配置 HTTPS 需要 PKI，这个主题很大。别担心，我在这里介绍了 SCCM 的 PKI 证书的逐步部署。

Azure 管理证书

经典服务部署需要 Azure 管理证书。对于 SCCM 1810 及更高版本，Azure 中的经典服务部署已被弃用。因此，开始使用 Azure 资源管理器部署作为云管理网关。

指定唯一的 SCCM CMG DNS 名称

用于在 Azure 中设置 CMG 的 DNS 名称必须是唯一的。您可以在 Azure 门户中检查 CMG DNS 名称的可用性。输入 DNS 名称时，您应该会看到绿色勾号或红色 X。绿色勾号表示“是”，域名可用，红色 X 表示 DNS 名称不可用。

登录Azure 门户并选择云服务（经典）。单击+添加按钮。

输入 DNS 名称，正如我之前提到的，该名称应该是唯一的。就我而言，我看到一个绿色勾号，因此我将使用 prajwalcmg.cloudapp.net 作为 CMG DNS 名称。

此时，您有两个选择。您可以跳过创建此服务，因为它会在我们设置 SCCM CMG 时自动创建。您还可以创建该服务并在设置 SCCM CMG 时使用它。

配置 Azure 服务进行云管理

我们现在将为 CMG 配置 Azure 云服务，您可以使用 Azure 服务向导将其与 SCCM 一起使用。我们将创建提供订阅和配置详细信息的 Web 应用程序和本机客户端应用程序，并验证与 Azure AD 的通信。

转到管理 > 概述 > 云服务 > Azure 服务。右键单击Azure 服务，然后单击配置 Azure 服务。

选择 Azure 服务作为云管理并指定名称和描述。单击下一步。

选择 Azure 环境，即 AzurePublicCloud。首先我们将创建一个网络应用程序，单击浏览。

在服务器应用框中，单击创建。

在“创建服务器应用程序”框中，输入应用程序名称。它可以是任何东西。指定密钥有效期，然后单击登录按钮。

您现在应该会看到一个必须登录的框。输入正确的凭据后，您的 Azure AD 租户名称将与登录成功消息一起显示。单击确定。

选择您刚刚创建的服务器应用程序，然后单击确定。

我们现在将创建一个本机客户端应用程序，因此单击浏览。

输入应用程序名称，您必须重新登录。执行此操作后，请点击确定。

现在我们已经创建了服务器和客户端应用程序。单击下一步。

您可以选择“启用 Azure Active Directory 用户发现”选项。单击下一步。

在摘要页面上单击下一步。

最后，在“完成”窗口中，单击关闭。

验证配置管理器 Azure 服务

要验证为配置管理器创建的 Azure 服务，请单击Azure 服务。在右侧窗格中，您应该会看到 Azure 服务和关联的 Azure 服务，即云管理。

如果单击Azure Active Directory 租户，您应该会看到租户名称和租户 ID。除此之外，您还会在底部窗格中看到应用程序名称、租户 ID、客户端 ID。

创建并颁发 Web 服务器 SCCM CMG 证书模板

在本节中，我们将使用 Web 服务器证书模板创建一个新的自定义证书。此时，如果您在实施 PKI 期间创建了模板，则只需复制 SCCM IIS 证书并使用它即可。

如果没有，您可以复制 Web 服务器模板并进行配置。该证书将用于安装 SCCM 云管理网关。

登录证书颁发机构服务器，打开证书颁发机构控制台。右键单击证书模板，然后选择管理。

右键单击Web 服务器，然后单击复制模板。

单击兼容性选项卡并确保设置与下面的屏幕截图相同。

单击常规选项卡并指定该寺庙的名称。我将其命名为SCCM CMG 证书。

单击请求处理并确保选中允许导出私钥。

现在单击安全选项卡，添加包含您的 SCCM 主站点服务器计算机帐户的组。选择群组并启用注册权限。

对于企业管理员，您可以取消选中注册权限。单击应用和确定。关闭控制台。

现在右键单击证书模板，然后单击新建 > 要颁发的证书模板。

选择 SCCM CMG 证书并单击确定。

在主站点服务器上导入 Web Server CMG 证书

创建 SCCM CMG 证书后，我们现在将在 SCCM 服务器上导入该证书。

登录 SCCM 服务器。打开证书控制台（运行命令certlm.msc - 这可以节省您的时间）。展开个人 > 证书。右键单击证书 > 所有任务 > 请求新证书。

从证书列表中，选择 SCCM CMG 证书，然后单击其下面的链接。

在“证书属性”对话框中的“使用者名称”下，选择“类型”为“完整 DN”。在备用名称下，选择类型为 DNS，然后输入服务名称。

输入要与 SCCM CMG 一起使用的公共 DNS 名称。我将在此处输入 *.prajwal.org，这允许我使用 CMG 的任何子域。

单击常规选项卡并为此证书指定一个友好名称，然后单击应用和确定。

点击注册。

证书注册成功。单击完成。

导出 CMG Web 服务器证书

在上面的步骤中，您在站点服务器上请求了 CMG 证书并注册了它。现在我们将以 .PFX 格式导出此证书。创建云管理网关时需要此证书。

选择 CMG 证书，右键单击并单击所有任务 > 导出。

欢迎使用证书导出向导，单击下一步。

选择是，导出私钥。单击下一步。

此处不做任何更改，然后单击下一步。

输入 CMG 证书的密码，然后单击下一步。

将 CMG 证书保存在您的计算机上。单击下一步。

单击完成。这样就完成了 CMG 证书导出过程。

设置 SCCM 云管理网关 (SCCM CMG)

请按照以下步骤在 SCCM 中设置云管理网关：

• 启动 SCCM 控制台。
• 导航到管理 > 云服务 > 云管理网关。
• 右键单击云管理网关，然后单击创建云管理网关

您现在应该看到创建云管理网关向导。点击登录并使用您的订阅管理员帐户登录。

成功登录后，您应该会看到自动填充的订阅 ID、Azure AD 应用程序名称和租户名称。点击下一步

在“设置”页面上，单击浏览并选择 CMG 证书。服务名称和部署名称会自动填充。

您可以使用现有资源组或创建新资源组。我将仅使用 1 个虚拟机实例。

您会看到两个选项和一个证书按钮。

• 验证客户端证书吊销。
• 允许 CMG 充当云分发点并提供来自 Azure 存储的内容 - 借助 SCCM 1806，您可以获得这个新选项。现在，CMG 还可以向客户提供内容。此功能减少了 Azure VM 所需的证书和成本。

我将保留上述两个选项的选中状态。接下来点击证书。

您需要指定一个证书来告诉 CMG 它需要信任哪些证书。就我而言，我有 PKI 设置，因此我将添加根证书。如果您需要有关导出根证书的帮助，请参阅如何导出 ConfigMgr 的根 CA 证书。

单击下一步。

在警报页面上，单击下一步。

在完成页面上单击关闭。

云管理网关状态

设置云管理网关后，在SCCM控制台中监控状态。现在，状态为“Provisioning”。

几分钟后，状态更改为配置完成。稍后我将介绍您需要为此监视哪些日志文件。

安装云管理网关连接点

要在 SCCM 中安装云管理网关连接点角色：

• 在 SCCM 控制台中，转到管理 > 站点配置 > 服务器和站点系统角色。
• 右键单击站点服务器并选择添加站点系统角色。

在添加站点系统角色向导的常规窗口中，单击下一步。

选中云管理网关连接点复选框。单击下一步。

选择您的云管理网关，然后单击下一步。

在“完成”窗口中，单击关闭。

允许云管理网关流量

您必须配置管理点和软件更新点站点系统以接受云管理网关流量。在主站点上对为基于 Internet 的客户端提供服务的所有管理点和软件更新点执行此过程。

转到管理 > 站点配置 > 服务器和站点系统角色。选择站点服务器，然后在底部窗格中右键单击“管理点”，然后单击属性。

在管理点属性下，选中允许 Configuration Manager 云管理网关流量框。单击确定。

在“软件更新点属性”下，选中允许 Configuration Manager 云管理网关流量框。单击确定。

允许访问云分发点

在客户端设置下，点击云服务。在设备/用户设置下，将允许访问云分发点设置为是。

SCCM CMG 边界组

如果您使用的是 Configuration Manager 1902，则可以将 SCCM 云管理网关与边界组关联。您可以在设置 SCCM 云管理网关后执行此操作。创建或配置边界组时，在引用选项卡上添加云管理网关。

配置 CMG 客户端

设置 SCCM 云管理网关并且所有站点系统角色都在运行后，客户端会在下一个位置请求时自动获取 CMG 服务的位置。

最重要的是，客户端必须位于 Intranet 上才能接收 SCCM CMG 服务的位置。默认情况下，位置请求的轮询周期为每 24 小时。但是，为了加快请求速度，您可以重新启动计算机上的 SMS 代理主机服务 (ccmexec.exe)。

有时，当您将客户端切换到互联网时，客户端仍然与您的内部管理点进行通信。在这种情况下，您可以通过更改注册表项强制客户端始终使用 CMG。此配置对于测试目的或想要强制始终使用 CMG 的客户端非常有用。

您可以在客户端上设置以下注册表项。通过设置 ClientAlwaysOnInternet=1，客户端将使用 SCCM CMG 服务。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CCM\Security, ClientAlwaysOnInternet = 1

要对 CMG 客户端流量进行故障排除，请使用 CMGHttpHandler.log、CMGService.log 和 SMS_Cloud_ProxyConnector.log。我将在另一篇文章中详细介绍 CMG 故障排除以及与之相关的其他内容。

在 SCCM CMG 上启用远程桌面

设置 SCCM CMG 后，您可以启用远程桌面并访问位于 Azure 中的虚拟机。在 CMG 上启用远程桌面后，您可以从 CMG 虚拟机查看 IIS 日志文件。以下是有关如何在 SCCM 云管理网关中启用远程桌面的分步指南。

用于故障排除的 SCCM CMG 日志

设置 SCCM 云管理网关时，您必须了解可帮助您解决问题的 CMG 日志文件。

下表列出了可用于排除云管理网关相关问题的所有 CMG 日志文件。

CMG Log File NameDescriptionLog File LocationSMS_Cloud_ProxyConnector.logRecords details about setting up connections between the cloud management gateway service and the cloud management gateway connection point.This log file is located on site system server - C:\Program Files\Microsoft Configuration Manager\LogsCloudMgr.logThis file logs details related to cloud management gateway service, ongoing service status, and all the data associated with the service.On site server - C:\Program Files\Microsoft Configuration Manager\LogsCMGContentService.logThis log records the details of the service when you enable a CMG to also serve content from Azure storage.%approot%\logs on your Azure serverCMGService.logRecords details about the cloud management gateway (CMG) service core component in Azure.%approot%\logs on your Azure serverCMGHttpHandler.logYou see this log file only if you are using version 1802. This is because in SCCM 1806, this log has been removed. The component functionality is merged into the CMG service component. Therefore see theCMGService.loginstead.%approot%\logs on your Azure serverCMGSetup.logRecords details about the second phase of the cloud management gateway deployment (local deployment in Azure).%approot%\logs on your Azure server

SCCM CMG（云管理网关）常见问题解答