Установка агента на Windows

Обновлено 20.10.2026
Установка агента ProtoOBP на Windows, запуск под GMSA, настройка и управление службой, типовые проблемы.
Tags:

На этой странице:

Установка

  1. Скачайте .msi установщик с агентом (замените <YOUR_TOKEN> на значение вашего токена из вашего лицензионного сертификата)

    curl --header "PRIVATE-TOKEN:<YOUR_TOKEN>"  "https://git.proto.group/api/v4/projects/100/packages/generic/protoobp-agent/7.80.2/protoobp-agent-7.80.2-1-x86_64.msi" --output protoobp-agent-7.80.2-1-x86_64.msi

    $headers = @{
     "PRIVATE-TOKEN" = "<YOUR-TOKEN>"
}
try {
   Write-Host "Requesting file..."
   Invoke-WebRequest `
       -Uri "https://git.proto.group/api/v4/projects/100/packages/generic/protoobp-agent/7.80.2/protoobp-agent-7.80.2-1-x86_64.msi" `
       -Headers $headers `
       -OutFile "protoobp-agent-7.80.2-1-x86_64.msi" `
       -Verbose `
       -ErrorAction Stop
     Write-Host "Download completed."
}
catch {
   Write-Host "HTTP download failed: $($_.Exception.Message)"
}

  2. Запустите .msi установщик в графическом режиме и следуйте указаниям мастера установки агента, разрешите административные привилегии в момент запроса.

    • Для консольной установки используйте PowerShell команду (запуск PowerShell должен быть от Администратора):
      Start-Process -Wait msiexec -ArgumentList '/qn /i protoobp-agent-7.80.2-1-x86_64.msi APIKEY="<YOUR-TOKEN>"'

GMSA

Использование GMSA не является обязательным. GMSA для установки и запуска агент может применяться в доменной структуре с ограничивающими доменными политиками безопасности или если при использовании стандартного способа установки агенту не хватает прав на запуск сервисов из-за ограничений безопасности.

Для использования агента с GMSA выполните следующие шаги:

  1. Создайте Security Group и добавьте в нее все компьютеры, на которых будет установлен агент с использованием GMSA:

    1. Откройте Active Directory Users and Computers (ADUC).
    2. Перейдите в нужный Organizational Unit (OU).
    3. Сделайте клик правой кнопкой мыши и выберите New > Group.
    4. Назовите группу, например, ProtoOBPAgentsGroup
    5. Установите необходимый скоуп группы, например Domain local.
    6. Установите тип группы: Security.
    7. Добавьте в эту группу все компьютеры, которые будут использовать GMSA для установки и запуска агента.

  2. Создайте GMSA c именем ProtoobpGMSA:

    1. Октройте PowerShell с привилегиями Администратора.

    2. Выполните следующую команду для создания GMSA, замените <YOUR_DOMAIN_CONTROLLER_NAME> на DNS имя вашего контроллера домена:

      New-ADServiceAccount `
 -Name ProtoobpGMSA `
 -DNSHostName <YOUR_DOMAIN_CONTROLLER_NAME> `
 -PrincipalsAllowedToRetrieveManagedPassword ProtoOBPAgentsGroup

      Убедитесь, что команда выполнена без ошибок.

      В случае ошибок:

      • создайте Kds ключ:
        Add-KdsRootKey -EffectiveTime ((Get-Date).AddHours(-10))
      • проверьте, что указанная группа существует:
        Get-ADGroup -Identity ProtoOBPAgentsGroup
      • выполните создание GMSA еще раз:
        New-ADServiceAccount `
 -Name ProtoobpGMSA `
 -DNSHostName <YOUR_DOMAIN_CONTROLLER_NAME> `
 -PrincipalsAllowedToRetrieveManagedPassword ProtoOBPAgentsGroup

  3. Подключите GMSA и убедитесь, что GMSA может быть использована на целевой машине. На целевой машине откройте PowerShell и выполните:

    Install-ADServiceAccount -Identity ProtoobpGMSA

    Убедитесь, что команда выполнена без ошибок.

    Проверьте, что GMSA успешно установлена:

    Test-ADServiceAccount -Identity ProtoobpGMSA

    Ожидаемый вывод команды: True

    Устранение неполадок подключения GMSA на целевую машину:

    • проверьте, какие группы имеют разрешение использовать GMSA:
      Get-ADServiceAccount -Identity ProtoobpGMSA -Properties PrincipalsAllowedToRetrieveManagedPassword
      если группа ProtoOBPAgentsGroup отсутствует в списке в разделе PrincipalsAllowedToRetrieveManagedPassword, обновите GMSA и добавьте группу ProtoOBPAgentsGroup:
      Set-ADServiceAccount -Identity ProtoobpGMSA -PrincipalsAllowedToRetrieveManagedPassword ProtoOBPAgentsGroup
    • проверьте, что машина является членом группы:
      Get-ADGroupMember -Identity ProtoOBPAgentsGroup
      убедитесь, что в выводе есть имя текущего компьютра, если его нет – добавьте компьютер в группу:
      Add-ADGroupMember -Identity ProtoOBPAgentsGroup -Members <ComputerName>
    • выполните обновление групповых политик, удалите Kerberos тикеты и перезагрузите компьютер:
      gpupdate /force
klist purge
Restart-Computer

  4. Установите агента с использованием GMSA:

    1. Если агент ранее был установлен стандартным методом (запуск от новой учетной записи pobpagentuser, созданной на этапе установки агента), то необходимо полностью удалить агента и его файлы, перед использованием установки с использованием GMSA.
      1. Через Control Panel удалите пакет агента (через графический интерфейс).
      2. Вручную удалите папку C:\ProgramData\Protoobp (обязательный шаг, иначе последующая установка завершится ошибкой)
    2. Запустите .msi установщик агента.
    3. Введите запрашиваемые ключ и адрес бэкенд сервера
    4. На этапе выбора учётной записи (Please enter the username) укажите созданную и установленную на этой машине GMSA в формате: <ВАШ_ДОМЕН>\ProtoobpGMSA$ – обязательно с символом $ в конце. Поле пароль обязательно оставьте пустым.
    5. Зайдите в веб-интерфейс агента, и выполните конфигурацию агента через веб-интерфейс.
    6. Откройте services.msc и убедитесь, что агент запускается от имени доменной GMSA:
      ../images/windows-agent-gmsa.png

Конфигурация

  1. Запустите веб-консоль управления агентом ProtoOBP Agent Manager.
    ../images/windows-protoobp-agent-manager.png

  2. Откроется веб-браузер с консолью управления. В случае запроса изменения настроек безопасности – добавьте в доверенные узлы http://127.0.0.1 и about:blank.
    ../images/windows-protoobp-agent-manager-start-screen.png

  3. Перейдите в раздел Settings и в конфигурации агента укажите следующее:

    api_key: my_api_key
pobp_url: http://<адрес_бекенд_сервера_protoobp>       # используйте httpS только если на сервере ProtoOBP Backend подключен доверенный сертификат
apm_config:
  apm_non_local_traffic: true   
  apm_pobp_url: http://<адрес_бекенд_сервера_protoobp> # используйте httpS только если на сервере ProtoOBP Backend подключен доверенный сертификат
  enabled: true
  telemetry:
    enabled: false
process_config:
  process_collection:
    enabled: false

    Параметры:

    api_keyзначение, указанное в лицензионном сертификате, полученном ранее от вендора, в разделе Учетные данные -> Пароль
    pobp_urlстрока вида http://<адрес_бекенд_сервера_protoobp>, где <адрес_бекенд_сервера_protoobp> - адрес вашего ProtoOBP Backend сервера, доступного для агента
    apm_pobp_urlстрока вида http://<адрес_бекенд_сервера_protoobp>, где <адрес_бекенд_сервера_protoobp> – адрес вашего ProtoOBP Backend сервера, доступного для агента

    Пример окна конфигурации: ../images/windows-agent-config.png

  4. Перезапустите агента, для этого консоли управления кликните на Restart Agent.

    При успешной настройке агента вы сможете увидеть новый хост в разделе Инфраструктура > Хосты в течение одной-двух минут.

Управление

  1. Запустите ProtoOBP Agent Manager:
    ../images/windows-protoobp-agent-manager.png

  2. Для перезапуска агента в левом меню выберите и нажмите на раздел Restart Agent
    ../images/windows-agent-restart-gui.png

Также после запуска ProtoOBP Agent Manager в системном трее доступна иконка с контекстным меню агента для управления агентом:

../images/windows-agent-commands-gui.png

Для команд ниже используйте только привилегированную командную строку (run as Administrator)

ДействиеКоманда
Запуск агента"C:\Program Files\Protoobp\Protoobp Agent\bin\agent.exe" start-service
Остановка агента"C:\Program Files\Protoobp\Protoobp Agent\bin\agent.exe" stop-service
Перезапуск службы"C:\Program Files\Protoobp\Protoobp Agent\bin\agent.exe" restart-service

Типовые проблемы

Сервис не запускается

В случае, если службы Агента не запускаются с ошибкой Access is denied:

  • Убедитесь, что у служебного пользователя, от имени которого запускается агент, есть права Log on as a service. Инсталлятор добавляет это право, но в случае использования групповых доменнных политик это право может быть отозвано у служебной учетной записи. Необходимо настроить групповые политики на разрешение служебному пользователю осуществлять Log on as a service.
    • откройте Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment
    • локальный пользователь, создаваемый в процессе установки (pobpagentuser): ../images/windows-agent-log-on-as-a-service.jpg
    • в случае использования GMSA – DomainName\ProtoobpGMSA$:
      ../images/gmsa-security-log-on-as-a-service.png
  • Убедитесь, что служебный пользователь pobpagentuser является членом группы Users на сервере. В случае использования GMSA такое право должно быть у этой учетной записи.

Ошибка “Сервис помечен для удаления”

В случае запуска процедуры удаления агента, файлы агента удаляются, но службы агента остаются видимы в системе, при попытке их удаления через командую строку выводится сообщение о том, что сервис “помечен для удаления”. В этом случае потребуется перезагрузка машины, чтобы произошло полное удаление сервисов. После перезагрузки возможно заново установить пакет агента. Это особенность операционной системы Windows.