Einstellungen

Die Seite Einstellungen ist über eine linke Seitenleiste in Tabs gegliedert. Änderungen werden mit der Schaltfläche Speichern unten übernommen, die auf jedem Tab sichtbar bleibt.

Tab	Inhalt
Allgemein	Sprache, Konfigurationsspeicher, Leistung
vDisk & Imaging	Imaging-Verhalten, benutzerdefiniertes Sealing-Skript, PVS-Import-Standards
KI-Analyse	KI-Provider, API-Key, Modell
Benachrichtigungen	E-Mail, Teams, Slack
Proxy	HTTP-Proxy für die KI
Sicherheit	Anmeldedaten und Firewallregel

Allgemein

Unter: Sprache, Leistung

Sprache

Wählen Sie die Oberflächen-Sprache. Die Änderung wird nach einem Neustart von PVS Forge wirksam.

Konfigurationsspeicher

PVS Forge speichert alle Einstellungen in einer zentralen config.json auf dem PVS-Server. Jeder Administrator, der Forge auf diesem Server ausführt, teilt sich dieselbe Konfiguration — identische Imaging-Pfade, Anmeldedaten und Standards für alle.

Passwörter und API-Keys

Sensible Felder (Imaging-/PVS-/SMB-Anmeldedaten, SMTP-Passwort, KI-API-Key) werden mit Windows DPAPI (maschinengebunden) verschlüsselt in der config.json abgelegt — nie im Klartext. Da die Verschlüsselung an die Maschine gebunden ist, lässt sich die Datei nicht einfach auf einen anderen Server kopieren und weiterverwenden.

Den genauen Pfad und die nur in config.json vorhandenen erweiterten Schlüssel finden Sie unter Dateien und Speicherorte.

Leistung & Verbindung

• PVS-Daten zwischenspeichern — entlastet das PVS-Snap-in durch Caching der Lesezugriffe.
• Ping (ICMP) für Erreichbarkeits-Checks verwenden — in Umgebungen deaktivieren, in denen ICMP geblockt ist; PVS Forge verlässt sich dann auf die Port-Prüfungen.
• Begrüßungsdialog beim App-Start anzeigen — schaltet den Startdialog.
• Erst-Setup-Wizard erneut starten — öffnet den anfänglichen Einrichtungsassistenten erneut.

vDisk & Imaging

Unter: Pfade, Import

Imaging-Verhalten

Einstellung	Bedeutung
Netzwerkgeschwindigkeit	Verbindungsgeschwindigkeit (z. B. 10 GbE) zur Schätzung der Imaging-Dauer
Erweiterte Repliken-Prüfung nach Sync	Zusätzliche Integritätsprüfung der gesyncten vDisk-Kopien, als letzter Schritt nach Sync und grünem Replikationsstatus. Geprüft werden nur die per Sync erstellten Kopien — nicht das vom Imager geschriebene Original. Diese zusätzliche Sicherheit kostet einige Minuten je Kopie, hat aber eine höhere Gewichtung als der reine Citrix-Replikationsstatus, der nur Größe und Datum vergleicht und abgerissene Kopien nicht erkennt. Eine Kopie mit nachgewiesener Korruption wird gelöscht und als Sync-Fehler gemeldet; Kopien in Benutzung oder nicht prüfbare werden im Log vermerkt und nie gelöscht. Standard: aus
Reboot vor dem Imaging	Master Target vor dem Sealing neu starten (ein ausstehender Neustart erzwingt ihn ohnehin). Standard: aus
Reboot-Warte- / Bereitschaftszeit	Wie lange auf die Rückkehr des Targets gewartet wird
Computerkennwort-Änderung deaktivieren	Verhindert einen Domänen-Trust-Bruch während der Aufnahme
RDS Netzwerk-/Disk-Fair-Share deaktivieren	Deaktiviert auf Session-Hosts die Fair-Share-Drosselung pro Sitzung für Netzwerk und Disk (best practice) — siehe unten
SAN-Policy auf OnlineAll setzen	Stellt sicher, dass eine lokale Write-Cache-Disk auf jedem gestreamten Target online kommt — siehe unten
Vor dem Imaging zwangsabmelden	Getrennte RDP-Sitzungen werden immer abgemeldet; dies meldet auch aktive Konsolen-/RDP-Sitzungen ab
Lastwarnung vor parallelem Imaging	Vor dem Start von 2 oder mehr parallelen Imaging-Jobs zeigt PVS Forge die aktuelle Last jedes PVS-Servers (aktive Target Devices und Live-Streaming-Aktivität aus den Citrix-Performance-Countern) und lässt den Start bestätigen — paralleles Imaging erzeugt hohe Disk- und Netzwerklast und kann aktiv gestreamte Target Devices beeinträchtigen. Standard: ein
Port des sicheren Kanals	TCP-Port des TLS-Steuerkanals, auf dem der Agent zurueck verbindet (Standard 8745); siehe Netzwerk-Ports

RDS Netzwerk-/Disk-Fair-Share deaktivieren (standardmäßig an)

Auf einem Master Target mit der Rolle RD-Sitzungshost (typisch für Citrix-/RDSH- Golden-Images) drosselt Windows Ressourcen pro Sitzung über Fair Share Scheduling. Das drosselt auch die vDisk-Übertragung und die Disk-Aktivität des Imaging-Agents und kann das Imaging spürbar verlangsamen. PVS Forge deaktiviert daher während des Sealings das Netzwerk- und Disk-Fair-Share (EnableFairShare = 0 unter HKLM\SYSTEM\CurrentControlSet\Services\TSFairShare\Disk und \NetFS). Das CPU- Fair-Share bleibt unberührt (nur deaktivieren, wenn Sie die CPU stattdessen mit WEM verwalten).

Das ist etablierte RDSH-/Citrix-best-practice — Microsoft deaktiviert es ab Windows Server 2025 selbst standardmäßig. Die Änderung wird bewusst in die vDisk übernommen, damit gestreamte Maschinen den empfohlenen Produktivzustand erhalten; auf dem Master Target greift sie ab dessen nächstem Reboot. Auf Maschinen ohne RD-Sitzungshost-Rolle wird sie automatisch übersprungen. Schalten Sie die Einstellung aus, um Fair Share unverändert zu lassen.

SAN-Policy auf OnlineAll setzen (standardmäßig an)

Windows Server nimmt Disks, die es noch nicht kennt, standardmäßig offline in Betrieb (SAN-Policy Offline Shared) — und die Freigabe "diese Disk darf online" ist an den Geräte-Instanzpfad gebunden, der sich von VM zu VM unterscheidet. In der Praxis heißt das: Eine lokale Write-Cache-Disk, die auf dem Master Target vorbereitet und formatiert wurde, kommt auf den gestreamten Target Devices offline und ohne Laufwerksbuchstaben hoch, und der Write Cache fällt unbemerkt auf den Server zurück.

PVS Forge setzt deshalb während des Sealings die SAN-Policy auf OnlineAll (SanPolicy = 1 unter HKLM\SYSTEM\CurrentControlSet\Services\partmgr\Parameters). Der Wert wird bewusst in die vDisk übernommen — jedes gestreamte Target nimmt seine Cache-Disk damit automatisch online. Citrix dokumentiert dieselbe Änderung als manuellen Schritt pro Gerät; PVS Forge erledigt das für Sie.

Schalten Sie die Einstellung nur aus, wenn Ihre Target Devices echt geteilte SAN-LUNs haben (Fibre-Channel-/iSCSI-Volumes, die mehreren Hosts gleichzeitig zugeordnet sind) — mit OnlineAll kämen solche LUNs auf jedem Target automatisch online. Für virtuelle Target Devices mit dedizierten Disks (der Normalfall) ist die Einstellung unbedenklich.

Best practice: Binden Sie die Write-Cache-Disk auf den Target Devices an derselben SCSI-Position (Controller/LUN) an wie auf dem Master Target — dann passt die in der vDisk gespeicherte Disk-Konfiguration direkt. Die SAN-Policy dient als Sicherheitsnetz für jede Abweichung.

Paralleles Imaging mehrerer Master Targets

Wählen Sie die parallel zu erstellenden Master Targets mit der Checkbox neben ihrer Position aus und nutzen Sie dann Alle starten — die ausgewählten Targets laufen als ein Batch und werden nach belegter Größe über die PVS-Server verteilt (last-balanciert). Die Checkbox im Kopf wählt alle auf einmal aus bzw. ab. Ein einzelner Play-Button erstellt immer nur dieses eine Target, unabhängig von der Auswahl.

Benutzerdefinierte Sealing-Skripte

Führen Sie eigene Skripte rund um das Imaging auf dem Master Target aus: ein Pre-Sealing-Skript bevor das Image erstellt wird (seine Änderungen landen in der vDisk) und ein Post-Sealing-Skript nach dem Imaging, vor der Reaktivierung (um rückgängig zu machen, was das Pre-Sealing-Skript getan hat).

• Pre-Sealing- / Post-Sealing-Skript-Pfad — lokaler Pfad auf dem Master Target oder eine vom MT erreichbare UNC-Freigabe (z. B. NETLOGON), nur .ps1 oder .cmd.
• Timeout (Sekunden) — ein gemeinsamer Wert für beide Skripte (Standard 90). Ein Skript, das länger läuft, wird beendet (als Skript-Fehler protokolliert).

Muss unbeaufsichtigt laufen

Skripte müssen headless laufen: keine Pausen, kein Read-Host, keine GUI. Ein Exit-Code ungleich null bricht das Imaging nicht ab — er wird protokolliert, der Lauf läuft weiter, und der Job wird immer in Status und E-Mail markiert, damit ein fehlgeschlagenes Skript nie unbemerkt bleibt. Ein fehlender Pfad oder eine nicht unterstützte Endung wird von der Vorabprüfung erkannt und bricht vor dem Imaging-Start ab.

Die vollständigen Regeln, die Fallen im Dienst-Kontext, UNC-/NETLOGON-Details, die Liste der unterstützten Umgebungsvariablen sowie fertige PowerShell- und CMD-Vorlagen finden Sie unter Benutzerdefiniertes Sealing-Skript.

PVS-Import

Einstellung	Bedeutung
Write-Cache setzen	Ob PVS Forge die Write-Cache-Einstellungen beim Import anwendet
Write-Cache-Typ	RAM + Disk mit Async-I/O (Standard) oder ohne Async-I/O (Diagnose)
Write-Cache-Größe	Cache-Größe in MB (z. B. 4096; größer bei VDAs mit mehr RAM)

KI-Analyse

Unter: Provider, API-Key

Konfiguriert die optionale KI, die auf der Vergleichsseite genutzt wird.

• KI-Provider — Provider wählen oder Eigener Endpunkt mit Angabe der Endpunkt-URL.
• API-Key — Ihr Provider-Schlüssel (verschlüsselt gespeichert).
• Modell — leer lassen für den Standard (claude-haiku-4-5-20251001) oder ein Modell manuell eingeben (z. B. ein Sonnet-Modell).
• Web-Recherche aktivieren (nur Anthropic Claude) — lässt die KI bei der Analyse aktuelle Advisories und CTX-Artikel nachschlagen.
• Verbindung testen bestätigt, dass Schlüssel und Endpunkt funktionieren.

Benachrichtigungen

Unter: E-Mail, Teams, Slack

Senden Sie eine Benachrichtigung, wenn ein Imaging-Auftrag abgeschlossen ist. Jeder Kanal lässt sich unabhängig aktivieren.

Neuigkeiten & Updates

Optional, standardmäßig aus. Aktiviert prüft PVS Forge beim Start einmalig download.pvs-forge.com auf Produkt-Neuigkeiten und neue Versionen und zeigt sie im Benachrichtigungs-Center an (Eintrag Notification unten in der Seitenleiste). Ein Update-Hinweis bietet Download, Was ist neu und Ausblenden.

Erfordert ausgehenden Web-Zugriff (nutzt die Proxy-Einstellungen). Es werden keine Daten gesendet — nur eine kleine öffentliche Datei wird abgerufen. Ohne Verbindung bleibt es still.

E-Mail (SMTP)

Feld	Hinweise
SMTP-Server / Port	Ihr Mail-Relay
SSL verwenden	Für TLS-gesicherte Relays aktivieren
Benutzername / Passwort	Optional, falls das Relay Authentifizierung verlangt
Empfänger	Eine oder mehrere Adressen
Absender	Absenderadresse
E-Mail-Format	Multipart (HTML + Plain-Text, empfohlen) oder nur Plain-Text (Compliance/Restricted)

Mit Test-E-Mail senden prüfen Sie die Konfiguration.

Jede Ergebnis-E-Mail eines Imaging-Auftrags — bei Erfolg und bei Fehlschlag — enthält das vollständige Auftragsprotokoll als PDF-Anhang (pvsforge_<vDiskName>.pdf). Ein fehlgeschlagener Lauf lässt sich so direkt aus dem Postfach analysieren, ohne PVS Forge zu öffnen.

Teams / Slack

Aktivieren Sie den Kanal und fügen Sie die Incoming-Webhook-URL Ihres Teams-Kanals oder Slack-Workspaces ein.

Proxy

Unter: HTTP-Proxy für die KI

Steuert, wie PVS Forge den KI-Provider über HTTP erreicht.

• Proxy-Modus — Kein Proxy (direkte Verbindung), System-Proxy (Windows-Einstellungen) oder Benutzerdefinierter Proxy.
• Proxy-URL und Bypass-Liste für den benutzerdefinierten Modus.
• Authentifizierung — Keine, Basic oder NTLM (mit Benutzername und Passwort).

Sicherheit

Unter: Anmeldedaten, Firewall

Anmeldedaten und das Tier-Konzept

PVS Forge kann bis zu zwei Anmeldedaten-Sätze verwenden:

• Anmeldedaten Master Target — ein Benutzer mit lokalen Administratorrechten auf dem Master Target. Wird für alles verwendet, was das Master Target betrifft: WinRM-Steuerung und die SMB-Übertragung der Imaging-Komponente dorthin.
• Anmeldedaten PVS Server — ein Benutzer mit Schreibrechten auf den PVS-Store (\\server\store).

Anmeldedaten PVS Server sind kein Standardwert — sie dienen einem Tier-Konzept

Dieses Feld ist standardmäßig leer. Lassen Sie es leer, verwendet PVS Forge die Anmeldedaten des Master Targets für alles — das Master Target und seinen Share ebenso wie die PVS-Server.

Füllen Sie es nur für ein Tier-Konzept aus, bei dem das Master Target (und sein Share) in einem anderen Sicherheits-Tier liegen als die PVS-Server. In diesem Fall decken die Master-Target-Anmeldedaten das Master Target und seinen Share innerhalb des Tiers ab, während die PVS-Server-Anmeldedaten für die PVS-Server verwendet werden.

Die Karte „Anmeldedaten PVS Server" ist standardmäßig ausgeblendet

Um die Oberfläche schlank zu halten, wird die Karte Anmeldedaten PVS Server in den Einstellungen standardmäßig nicht angezeigt. Um sie einzublenden, setzen Sie in config.json "ShowPvsServerCredentials": true und starten Sie PVS Forge neu.

Jede Karte hat eine Schaltfläche Verbindung testen. Passwörter und API-Keys werden mit Windows DPAPI verschlüsselt gespeichert, gebunden an die Maschine, die PVS Forge ausführt.

Netzwerk-Ports

PVS Forge koordiniert drei Rollen. PVS1 ist der PVS-Server, auf dem PVS Forge läuft (und meist der Store), MT ist das zu imagende Master Target und PVS2 steht für jeden weiteren PVS-Server, auf den synchronisiert wird.

Von	Nach	Port	Protokoll	Verwendung	Anmeldedaten
PVS1	MT	5985/TCP	WinRM	Steuerung: Erreichbarkeit, geplante Aufgabe, Sealing & Imaging	Master Target
PVS1	MT	445/TCP	SMB	Imaging-Komponente nach \\MT\C$ übertragen	Master Target
MT	PVS1	8745/TCP	TLS	Sicherer Steuerkanal: Live-Status, Cancel und weiteres	gepinntes per-Job-Zertifikat
MT	PVS1 / Store	445/TCP	SMB	VHDX (und die Inventar-/Layout-Daten) in den Store schreiben	Identität des Imaging-Jobs
PVS1	PVS2	5985/TCP	WinRM	Sync-Orchestrierung und Speicherplatz-Prüfung	PVS Server (oder Master Target)
PVS1	PVS2	445/TCP	SMB	vDisk auf den anderen PVS-Server synchronisieren	PVS Server (oder Master Target)
PVS1	MT, PVS2	–	ICMP	Optionaler Erreichbarkeits-Ping (unter Allgemein deaktivierbar)	–

Protokoll-Regeln

WinRM wird immer über Hostname / FQDN erreicht (Kerberos benötigt ihn), während die SMB-Erreichbarkeit über IPv4 geprüft wird. Der sichere Steuerkanal (TLS) ist standardmäßig TCP 8745 und wird unter vDisk & Imaging konfiguriert.

Firewall für den sicheren Kanal (TCP 8745)

PVS Forge legt auf dem PVS-Server automatisch eine permanente eingehende Regel PVSForge Exchange an (TCP 8745, Profil Domäne/Privat), damit das Master Target den sicheren Steuerkanal erreicht. Eine Firewall zwischen den Netzen (Netz-Firewall, VLAN-ACLs) bleibt Ihre Aufgabe — geben Sie MT → PVS auf TCP 8745 frei. Der Kanal ist TLS-gesichert und tauscht Informationen wie Live-Status, Cancel-Signal und weiteres aus; das Master Target prüft ein per-Job- Zertifikat. Es werden keine Steuer-/Status-Dateien mehr in den Store geschrieben — nur die VHDX und die Inventar-/Layout-Daten. Kommt der sichere Kanal nicht zustande, wird das Imaging mit klarer Meldung abgebrochen (es gibt keinen Rückfall auf unverschlüsselten Austausch).

Wenn TCP 8745 durch eine zwischengeschaltete Firewall blockiert ist: Der Port lässt sich auf jeden bereits freigegebenen Wert ändern — zum Beispiel 443, der in vielen Firewall-Richtlinien standardmäßig offen ist. Tragen Sie den neuen Port unter vDisk & Imaging → Port des sicheren Kanals ein; die Änderung wirkt mit dem Speichern (laufen gerade Imaging-Jobs, bleibt der alte Port bis zu deren Abschluss aktiv). PVS Forge öffnet den Port bereits beim Programmstart — ein Portkonflikt fällt daher beim Speichern oder beim nächsten Start auf, nicht mitten im Imaging. Ports bekannter Dienste werden beim Speichern abgewiesen: Citrix PVS (SOAP, Streaming, PXE-/TFTP-Boot) und Windows-Infrastruktur (SMB, RPC, RDP, WinRM, SQL Server). Welcher Prozess einen Port belegt, zeigt netstat -ano | findstr ":<port> ". Port 443 ist eine gute Wahl auf einem dedizierten PVS-Server, der keine HTTPS-Dienste betreibt.

Kann der Listener auf dem PVS-Server nicht erstellt werden (etwa weil ein anderer Prozess den Port bereits belegt), startet PVS Forge den Job gar nicht erst: Die Zeile zeigt sofort einen Fehler und das Notification Center erklärt Ursache und Lösungswege — es geht keine Zeit mit Warten auf einen Agent verloren, der nie verbinden könnte.

SMB-Firewallregel auf dem Master Target

Seit Windows Server 2025 ist eingehendes SMB (445) auf frisch in die Domäne aufgenommenen Maschinen standardmäßig blockiert — PVS Forge benötigt SMB jedoch, um die Imaging-Komponente auf das Master Target zu übertragen. Diese Einstellung steuert, ob PVS Forge vor dem Imaging per WinRM eine benannte Firewallregel (PVSForge-SMB-In) auf dem Master Target anlegt:

• Deaktiviert (Standard) — kein Eingriff in die Firewall.
• Temporär — Regel vor dem Imaging anlegen, danach wieder entfernen.
• Permanent — Regel anlegen und bestehen lassen.

Gehärtete Umgebungen

Öffnen Sie SMB in gehärteten Umgebungen stattdessen per Gruppenrichtlinie und lassen Sie diese Option deaktiviert.

Dateien und Speicherorte

PVS Forge legt Konfiguration, Verlauf und Logs als Dateien auf dem PVS-Server ab.

Datei	Speicherort	Zweck
config.json	%ProgramData%\KoetzingIT\PVSForge\config.json	Zentrale Einstellungen für alle Administratoren (Passwörter/API-Keys DPAPI-verschlüsselt)
imaging-runs.json	%AppData%\KoetzingIT\PVSForge\imaging-runs.json	Verlauf der Imaging-Läufe, angezeigt auf der Verlauf-Seite
pvs-forge-<datum>.log	%AppData%\KoetzingIT\PVSForge\logs\	Tägliches rollierendes Anwendungs-Log (30 Tage Aufbewahrung)

%AppData% vs. %ProgramData%

%AppData% ist das Roaming-Profil des aktuellen Benutzers (C:\Users\<Benutzer>\AppData\Roaming); %ProgramData% ist das maschinenweite C:\ProgramData. Die Konfiguration liegt zentral unter %ProgramData%; Verlauf und Logs liegen im benutzerbezogenen %AppData%.

Dateien im vDisk-Store

Neben jeder VHDX legt PVS Forge einige Begleitdateien ab, die nach der vDisk benannt sind. Sie sind im Explorer als versteckt markiert.

Datei	Inhalt
<vdisk>.inventory.json	Software-Inventar (OS, Anwendungen, Hotfixes, Citrix, FSLogix, Sicherheits-Agenten)
<vdisk>.storage.json	Hardware-/Disk-Layout und Kapazitätsdaten
<vdisk>.seal-unseal.log	Protokoll der Seal- und Unseal-Schritte dieses Imaging-Laufs

Wechsel in die Datenbank

Diese pro-vDisk-Dateien werden derzeit in den Store geschrieben. Eine der nächsten Versionen schreibt diese Informationen stattdessen in die SQL-Datenbank.

Erweiterte Schlüssel (nur config.json)

Einige Schlüssel haben keine UI und werden nur aus config.json gelesen. Fügen Sie sie von Hand hinzu und starten Sie PVS Forge neu:

Schlüssel	Wirkung
ShowPvsServerCredentials	true blendet die Karte Anmeldedaten PVS Server in den Einstellungen ein
PVSForge_Debug_Log	true schreibt ein zusätzliches ausführliches pvs-forge-debug-<datum>.log

Zurücksetzen

Wird eine Einstellung inkonsistent (z. B. ein API-Key, der nach einem Update leer bleibt), schließen Sie PVS Forge, löschen Sie die betreffende config.json und geben Sie Ihre Einstellungen neu ein und speichern sie.