Vom installierten Server zum fertigen Arbeitsplatz · Stand September 2026 (Server 1.0.30, Agent 1.0.36)

ZeroPortal – Quick-Admin-Guide

Dieser Leitfaden zeigt Schritt für Schritt und mit Bildschirmfotos, wie Sie nach der Installation des Servers den ersten Arbeitsplatz anbinden und ihm Anwendungen und Richtlinien zuweisen. Er folgt genau der Reihenfolge, in der die Einrichtung in der Praxis abläuft. Hintergründe, Varianten und Betrieb beschreibt das Administrationshandbuch; die Kapitelverweise darauf stehen jeweils am Ende eines Abschnitts.

Die Beispiele verwenden die Beispieldomäne uran.local mit den Portal-Servern appv03 und appv04 (Port 8080), der Paketfreigabe \\appv01\appvshare$ und dem Client WS04.

Inhalt

1. Voraussetzungen
2. Gruppenrichtlinie für die Clients
3. Client vorbereiten
4. Agent installieren
5. App-V-Pakete und Verbindungsgruppen
6. MSIX-Paket verteilen
7. Richtliniensatz und Bereitstellungsformat
8. Store-Paket mit Abhängigkeiten
9. Desktop-Richtlinie
10. Wie es weitergeht

1. Voraussetzungen

Bevor Sie beginnen, sollte Folgendes vorhanden sein:

• Ein installiertes und erreichbares Portal (Handbuch Kapitel 3 und 4). Im Beispiel ein Cluster aus appv03 und appv04; ein einzelner Server genügt ebenso.
• Eine Paketfreigabe mit App-V-Paketen und einem Ordner für MSIX-Pakete, auf die die Portal-Server und die Computerkonten der Clients lesend zugreifen können.
• Die ADMX-Vorlage des Agenten im zentralen Richtlinienspeicher (PolicyDefinitions) Ihrer Domäne. Sie wird mit dem Agenten installiert und liegt danach unter C:\Program Files\NickIT\ZeroPortalAgent\admx (Handbuch Kapitel 7).
• Eine Organisationseinheit für die Clients, die ZeroPortal nutzen sollen, und eine AD-Gruppe für die Benutzer, die Pakete erhalten. Im Beispiel die OU Test-Zeroagent mit dem Computer WS04 und die Gruppe ZeroPortalTest_MSIXUser.

2. Gruppenrichtlinie für die Clients

Alles, was der Agent vor dem ersten Kontakt mit dem Server wissen muss, kommt per Gruppenrichtlinie: welche Server er anspricht und welche Bereiche er abgleicht.

1. Legen Sie ein Gruppenrichtlinienobjekt an und verknüpfen Sie es mit der Client-OU.

   

2. Öffnen Sie Computerkonfiguration → Administrative Vorlagen → NickIT → ZeroPortal Agent und aktivieren Sie die vier Einstellungen Sync App-V einschalten, Sync MSIX einschalten, Sync Richtlinien einschalten und Publishing-Server (im englischen Editor Enable App-V sync, Enable MSIX sync, Enable policy sync, Publishing servers). Nach der Installation sind alle drei Abgleichbereiche aus; ohne diese Einstellungen tut der Agent nichts.

   

3. Tragen Sie unter Publishing-Server die Portal-Server ein, eine URL je Zeile und in Prioritätsreihenfolge. Der Agent nutzt den ersten erreichbaren Server und wechselt bei Ausfall automatisch zum nächsten (Handbuch Kapitel 11).

   

Die Richtlinie greift beim nächsten Gruppenrichtlinienlauf des Clients, bei Bedarf mit gpupdate /force. Weitere Einstellungen der Vorlage (Failover, Zeitverhalten, Diagnose) beschreibt Handbuch Kapitel 7.

3. Client vorbereiten

Drei Dinge braucht der Client, bevor der Agent installiert wird.

Intranetzone. Damit Browser und Agent sich ohne Anmeldefenster per Kerberos am Portal anmelden, gehört die Portal-Domäne in die Zone Lokales Intranet. Im Beispiel geschieht das von Hand über die Internetoptionen; in Produktion verteilen Sie die Zonenzuordnung per Gruppenrichtlinie (Handbuch Kapitel 3, Abschnitt SSO).

Serverzertifikat. Der Client muss dem Zertifikat der Portal-Server vertrauen. Mit einem Zertifikat Ihrer Unternehmens-CA ist das bereits der Fall. Im Testaufbau mit selbst signierten Zertifikaten importieren Sie die Serverzertifikate in den Speicher Vertrauenswürdige Stammzertifizierungsstellen des lokalen Computers, denn der Agentendienst läuft als System.

App-V-Client. Auf Windows 10 und 11 Enterprise ist der App-V-Client Teil des Systems und wird einmalig in einer administrativen PowerShell eingeschaltet, danach neu starten:

Enable-Appv

Für reine MSIX-Clients entfällt dieser Schritt.

Ohne ZeroPortal-Agent? Dann tritt das Portal an die Stelle des App-V-Publishing-Servers, und Sie richten den Microsoft-Client selbst darauf aus: Veröffentlichung https://<portal>:<port>/AppVPublishing, Reporting https://<portal>:<port>/AppVReportReceiver, per Gruppenrichtlinie unter System → App-V oder mit Add-AppvPublishingServer. Das Handbuch beschreibt beide Wege samt Empfehlung zum Shared Content Store im Kapitel App-V-Pakete verteilen. Dieser Leitfaden geht den anderen Weg: den Agenten.

4. Agent installieren

1. Öffnen Sie im Browser das Download-Center des Portals (https://<server>:8080/Downloads) und laden Sie den ZeroPortal Client-Agent herunter. Das Portal bietet immer die Version an, die zum Server passt.

   

2. Edge und SmartScreen warnen bei einer selten heruntergeladenen Datei. Wählen Sie Beibehalten und Trotzdem beibehalten; die Datei stammt von Ihrem eigenen Portal, SmartScreen kennt sie nur noch nicht.

   

   

3. Starten Sie die MSI aus dem Download-Ordner, bestätigen Sie die Lizenzvereinbarung und schließen Sie den Assistenten ab. Der Dienst startet sofort; ein Neustart ist nicht nötig. Für die Massenverteilung eignet sich die MSI unverändert für Ihre Softwareverteilung oder eine Gruppenrichtlinie (Handbuch Kapitel 7).

   

   

4. Im Infobereich erscheint das Symbol des Agenten. Das Menü hinter den drei Punkten bietet Einstellungen, den Log-Ordner und die Bereitstellungszeiten. Service: running · no sync yet ist nach der Installation der erwartete Zustand.

   

5. Unter Settings wählt jeder Benutzer Sprache, Design und Benachrichtigungen für sich. Zentrale Vorgaben per Richtlinie oder Gruppenrichtlinie haben Vorrang.

   

5. App-V-Pakete und Verbindungsgruppen

App-V-Pakete werden im Portal einer AD-Gruppe zugewiesen und veröffentlicht; der Agent holt sie beim nächsten Abgleich. Details zu Import und Berechtigungen: Handbuch Kapitel 8.

1. Unter App-V → Pakete sind im Beispiel drei Pakete veröffentlicht: 7-Zip, mRemoteNG und Paint.NET. Die Zuweisung an die Benutzergruppe geschieht auf der Paketseite unter Zugriff.

   

2. Auf dem Client genügt ein Klick auf Sync im Tray-Fenster; sonst wartet der Agent auf den nächsten planmäßigen Abgleich oder die nächste Anmeldung.

   

   

3. Die Pakete erscheinen als Managed packages mit Loaded 0 %: Sie sind registriert, ihr Inhalt wird beim ersten Start gestreamt. Der Wert steigt, sobald eine Anwendung läuft.

   

   

4. Zur Kontrolle auf dem Client dient der App-V-Client selbst:

   powershell Get-AppvClientPackage *Paint*

   

Verbindungsgruppen führen mehrere Pakete in einer gemeinsamen Umgebung aus, etwa eine Anwendung mit ihren Plugins. Unter App-V → Verbindungsgruppen legen Sie die Gruppe an, wählen die Pakete und die berechtigte AD-Gruppe und veröffentlichen sie.

Nach dem nächsten Abgleich stehen alle Mitglieder der Gruppe im Tray-Fenster, die Verbindungsgruppe ist für den Benutzer aktiv, und die Plugins erscheinen in Paint.NET.

Wie lange jeder Schritt gedauert hat, zeigt Deployment times im Tray-Menü.

6. MSIX-Paket verteilen

Am Beispiel Firefox ESR: Paket beschaffen, in die Freigabe legen, importieren, berechtigen, veröffentlichen. Hintergründe zu Signatur, Formaten und Downgrade: Handbuch Kapitel 9.

1. Paket beschaffen. Viele Hersteller liefern MSIX-Pakete über winget. Der Download ohne Installation legt die Datei in einen Ordner Ihrer Wahl:

   powershell winget download --id Mozilla.Firefox.ESR.MSIX -d C:\temp\Store-Pakete\firefox\

   

2. In die Freigabe kopieren. Ein Unterordner je Anwendung im MSIX-Ordner der Freigabe hält das Repository übersichtlich.

   

3. Importieren. Unter MSIX → Packages auf Add package klicken, das Repository wählen, mit aktivem Subfolders nach dem Paket suchen und Import wählen. Die Datei bleibt in der Freigabe; das Portal legt nur den Katalogeintrag an.

   

   

   

4. Berechtigen. Auf der Paketseite unter AD entitlements mit Add die AD-Gruppe der Benutzer suchen und übernehmen. Zwei Zeichen reichen für die Suche. Neben AD-Gruppen sind für MSIX auch Portalgruppen, interne Benutzer und API-Clients möglich.

   

   

5. Veröffentlichen. Oben auf der Paketseite Publish wählen. Nach dem nächsten Abgleich erscheint das Paket im Tray-Fenster als MSIX.

   

   

6. App Attach vorbereiten (optional, für Terminalserver und VDI). In der Karte Source & OS compatibility erzeugt Create CIM oder Create VHDX das Image neben dem Paket in der Freigabe. Die Erstellung läuft im Hintergrund weiter, auch wenn Sie den Dialog schließen. Ob ein Client das Image oder das klassische Paket bekommt, entscheidet die Richtlinie im nächsten Abschnitt.

   

   

7. Richtliniensatz und Bereitstellungsformat

Richtlinien werden in Richtliniensätzen gebündelt. Ein Satz hat einen Geltungsbereich (auf welche Computer oder Benutzer er wirkt) und enthält beliebig viele Richtlinien. Für einen VDI- oder Terminalserver-Satz ist die erste Richtlinie das Bereitstellungsformat. Grundlagen und Filter: Handbuch Kapitel 10.

1. Unter Policies mit New set einen Satz anlegen, im Beispiel VDI mit Priorität 10.

   

   

2. Mit Edit scope den Geltungsbereich setzen. Im Beispiel die OU der Clients; ebenso möglich sind Computername mit Platzhalter, IP-Bereich oder AD-Gruppe. Ein Satz, der auf Computer zielt, bringt den dort angemeldeten Benutzern auch die Benutzeranteile mit.

   

   

3. Mit Add policy die Vorlage MSIX delivery format wählen. Die Suche filtert die Vorlagen; das Etikett Machine oder User zeigt, in welchem Abgleich die Richtlinie wirkt.

   

   

4. Die Regeln werden von oben nach unten ausgewertet, die erste passende gewinnt. Die Regel * / Framework / Msix ist vorbelegt, weil Frameworks immer klassisch installiert werden. Darunter die Regel * / Application / AppAttachCim für alle Anwendungen.

   

5. Den Satz mit dem Schalter Active scharfschalten; ein neuer Satz ist zunächst inaktiv.

   

Beim nächsten Abgleich holt der Agent die Regeln und liefert Firefox als App Attach (CIM) aus; ein bereits klassisch installiertes Paket wird umgestellt. Die Bereitstellungszeiten zeigen die Dauer von Paket und Richtlinienlauf.

Auf demselben Weg kommt die Vorlage Agent configuration in den Satz. Sie setzt Agentschalter zentral, ohne Gruppenrichtlinie, zum Beispiel das Leeren der Kerberos-Tickets vor jedem Benutzerabgleich, damit neue Gruppenmitgliedschaften ohne Neuanmeldung greifen.

Für ein einzelnes Gerät oder einen Test geht derselbe Schalter auch lokal, in einer administrativen PowerShell auf dem Client:

Set-ZPAgentConfiguration -PurgeUserTicketsBeforeSync $true

Jeder Schalter der Vorlage ist so ein Parameter; Get-ZPAgentConfiguration zeigt alle mit Wert und Herkunft. Werte aus Richtlinie oder Gruppenrichtlinie gewinnen gegenüber lokalen.

8. Store-Paket mit Abhängigkeiten

Pakete aus dem Microsoft Store bringen eine Lizenzdatei und Abhängigkeiten auf Frameworks mit. Das Portal erkennt beides und führt Sie durch die fehlenden Teile. Am Beispiel Microsoft To Do:

Store-Anwendungen ohne Store. Über winget lassen sich auch Pakete aus dem Microsoft Store herunterladen, samt der Lizenzdatei, die Windows für die Installation braucht. So verteilen Sie Store-Anwendungen an Geräte, die keinen Zugriff auf den Store haben oder auf denen er gesperrt ist. Die Store-ID steht in der URL der Produktseite (apps.microsoft.com/detail/9NBLGGH5R558) oder kommt von winget search "To Do" --source msstore.

1. Beschaffen. winget lädt das Paket über die Store-ID; neben dem Bundle liegt danach die Lizenzdatei <ID>_License.xml. Beide Dateien zusammen in die Freigabe kopieren; das Portal erkennt die Lizenzdatei beim Import und zeigt sie auf der Paketseite unter Store license. Die Frameworks (Visual C++, .NET Native, UI.Xaml) legen Sie in einen eigenen Ordner.

   powershell winget download --id 9nblggh5r558 -d C:\temp\Store-Pakete\ms-todo\

   

   

   

2. Bundle importieren. Wie in Abschnitt 6, mit Suche nach todo. Bei einem Bundle fragt das Portal, welche Architekturen ausgeliefert werden sollen; für Arbeitsplätze genügt x64.

   

   

3. Abhängigkeiten nachziehen. Die Paketseite listet die Abhängigkeiten aus dem Manifest und meldet missing, solange ein Framework nicht im Katalog ist. import … öffnet den Importdialog direkt mit dem passenden Suchbegriff; wählen Sie die x64-Variante. Danach steht in catalog.

   

   

   

4. Berechtigen. Die AD-Gruppe am Hauptpaket eintragen; die Abhängigkeiten erhalten die Berechtigung automatisch und zeigen entitled.

   

   

5. Gemeinsam veröffentlichen. In der Paketliste mit Show frameworks die Frameworks einblenden, alle Zeilen markieren und veröffentlichen.

   

   

Nach dem Abgleich zeigt das Tray-Fenster To Do; die Frameworks werden nur mit der Einstellung Show framework packages sichtbar.

9. Desktop-Richtlinie

Benutzereinstellungen kommen über denselben Satz. Die Vorlage Desktop (wallpaper, theme, icons) setzt Hintergrundbild, hellen oder dunklen Modus, die Standardsymbole und auf Wunsch ein Info-Overlay im Stil von BGInfo.

1. Im Satz VDI mit Add policy nach desktop suchen und die Vorlage wählen.

   

   

2. Bildpfad, Darstellung, Farbmodus und die Symbole festlegen. Individual effects kennt drei Zustände: nicht konfiguriert, gesetzt, erzwungen aus. Das Overlay wählen Sie aus den hinterlegten Definitionen.

   

3. Speichern. Die Registry-Anteile schreibt der Agent beim nächsten Benutzerabgleich, sichtbar werden sie spätestens mit der nächsten Anmeldung.

   

Da der Satz auf die Computer-OU zielt, gilt die Desktop-Richtlinie für jeden Benutzer, der sich an einem dieser Computer anmeldet. Diese Auswertung setzt Agent 1.0.36 oder neuer voraus.

10. Wie es weitergeht

• Weitere Clients: Computer in die OU verschieben, Agent per Softwareverteilung installieren. Alles andere kommt aus Gruppenrichtlinie und Portal.
• Weitere Anwendungen: Paket in die Freigabe, importieren, berechtigen, veröffentlichen. Neue Versionen als eigenes Paket importieren; die veröffentlichte Version gewinnt.
• Hochverfügbarkeit, Sicherung, Logs, Updates: Handbuch Kapitel 11 bis 13.
• Fehlersuche auf dem Client: Tray-Menü Open logs öffnet den Log-Ordner des Agenten; die Tabelle der häufigen Symptome steht in Handbuch Kapitel 13.