Master Target vorbereiten

Eine vDisk wird schreibgeschützt an viele Target-Geräte gestreamt: Was Sie aufnehmen, wird zur gemeinsamen Grundlage für alle. Das Master Target sollte sich daher in einem sauberen, stabilen, repräsentativen Zustand befinden, wenn das Image erstellt wird. Die folgenden Punkte erklären, wie Sie es vorbereiten — und warum PVS Forge einen Teil davon automatisch erzwingt.

Dem Master Target nur die Default Domain Policy geben

Belassen Sie das Master Target allein bei der Default Domain Policy, ohne zusätzliche Server-Härtungs-GPOs (z. B. RDS-Härtungsrichtlinien). Eine eigene OU hilft, zusätzliche Richtlinien fernzuhalten.

Warum: Das Image erfasst den konfigurierten Zustand der Maschine. Zusätzliche GPOs brennen maschinen- oder rollenspezifische Einstellungen in die vDisk, die dann für jedes gestreamte Target gelten, und manche Härtungseinstellungen können das Imaging selbst stören. Ein minimaler, bekannter Richtliniensatz erzeugt ein vorhersehbares, sauberes Image.

Das Master Target frei von aktiven Sitzungen halten

PVS Forge meldet getrennte RDP-Sitzungen vor dem Imaging automatisch ab. Aktive Konsolen- oder RDP-Sitzungen werden nur abgemeldet, wenn in den Einstellungen Zwangsabmeldung aktiviert ist — andernfalls bricht der Auftrag mit einer Meldung ab.

Warum: Eine offene Sitzung hinterlässt benutzerbezogenen Zustand — Profildaten, temporäre Dateien, geladene Registry-Hives sowie offene Datei-Handles oder Sperren. Das würde in die vDisk aufgenommen oder verhindert, dass Dateien konsistent gelesen werden. Das Imaging einer Maschine ohne aktive Sitzungen (RDP, Konsole) ergibt eine saubere Grundlage, die einen frischen Start abbildet — nicht die Arbeitssitzung einer Person.

Reboot und ausstehende Neustarts

PVS Forge kann das Master Target vor dem Imaging neu starten (optional). Steht ein Neustart aus, startet es unabhängig davon neu — auch wenn der optionale Reboot deaktiviert ist — und wartet, bis die Maschine wieder verfügbar ist.

Warum: Ein ausstehender Neustart bedeutet, dass Windows Wartungsvorgänge nur halb angewendet hat (Updates, Komponentenänderungen), die erst beim nächsten Neustart abgeschlossen werden. Ein Imaging in diesem Zustand erfasst ein inkonsistentes, halb aktualisiertes System, das die Wartung womöglich nie abschließt — und gibt diesen defekten Zustand an jedes gestreamte Target weiter. Der erzwungene Neustart bringt die Maschine vor dem Sealing in einen stabilen, konsistenten Zustand.

PVS Forge verifiziert, dass der Neustart tatsächlich stattgefunden hat: Vor dem Neustart-Befehl wird die Boot-Zeit der Maschine erfasst, und es geht erst weiter, wenn sich die Boot-Zeit geändert hat. Bleibt das Master Target beim Herunterfahren hängen (ein Dienst beendet sich nicht), wird der Lauf mit einer klaren Meldung abgebrochen, statt eine Maschine zu imagen, die gerade heruntergefahren wird — Neustart manuell abschließen und den Lauf erneut starten.

Bekannte Updates vor dem Imaging deaktivieren

Während des Sealings deaktiviert PVS Forge die bekannten Auto-Update-Mechanismen — Windows Update und seine Hilfsdienste sowie, falls vorhanden, die Updater von Edge, OneDrive und Teams.

Warum:

• Das Image wird aus einem Snapshot erstellt. Alles, was nach dem Snapshot aktualisiert, ist nicht in der vDisk — und ein Update, das während des Imagings läuft, macht den erfassten Zustand inkonsistent.
• Auf einer gestreamten vDisk bewirken Updates ohnehin nichts Dauerhaftes: Die Disk ist schreibgeschützt und jede Änderung wird beim nächsten Neustart verworfen.

Das eigentliche Risiko: Updates lähmen laufende Targets

Das größere Problem ist der Zeitpunkt, zu dem Updates laufen. Ein Update kann jederzeit ausgelöst werden — ein Target, das morgens noch rund läuft, kann später plötzlich einbrechen, weil im Hintergrund Updates heruntergeladen oder installiert werden. Im schlimmsten Fall belastet ein Update-Sturm während des Starts oder beim Benutzer-Logon das System so stark, dass es praktisch unbrauchbar wird und Benutzer bei der Anmeldung einen Black Screen bekommen.

Da eine gestreamte vDisk bei jedem Neustart zurückgesetzt wird, wiederholt sich dasselbe Herunterladen und Installieren beim nächsten Start erneut — das Szenario tritt also jeden Tag wieder auf, wenn die Targets z. B. nachts neu gestartet werden. Updates in der vDisk einzufrieren vermeidet das vollständig und hält jedes gestreamte Target schnell und vorhersehbar.

Dasselbe für eigene, sich selbst aktualisierende Anwendungen

PVS Forge kümmert sich um die gängigen Microsoft-Updater, aber jede Drittanbieter-Anwendung mit eigenem Updater — Antivirus / EDR, Browser, Fachanwendungen — hat genau dasselbe Problem: Sie versucht, auf jedem gestreamten Target zu aktualisieren (verschwendet Write-Cache und verursacht Drift) und kann mitten im Imaging aktualisieren.

Deaktivieren Sie die Auto-Aktualisierung solcher Anwendungen als Teil des Imagings über ein benutzerdefiniertes Sealing-Skript.

Nach dem Imaging alles wieder aktivieren

Sobald das Image erstellt ist, unsealt PVS Forge das Master Target: Die zuvor deaktivierten Update-Dienste werden wieder eingeschaltet.

Warum: Nur die gestreamte Kopie soll eingefrorene Updates haben — das Master Target selbst muss wartungsfähig bleiben, damit die nächste vDisk-Version, die Sie erstellen, aktuell ist. Das Unsealing versetzt es zwischen den Imaging-Läufen in einen normalen, update-fähigen Zustand zurück. Haben Sie in Ihrem Sealing-Skript zusätzliche Anwendungen deaktiviert, aktivieren Sie sie auf dem gleichen Weg wieder (oder verlassen Sie sich auf die normale Wartung des Master Targets).