 TechNet Magazine May 2007

TechNet Magazine May 2007

Comunicazioni: Le nuove funzionalità di messaggistica mobile in Exchange 2007

La messaggistica mobile ha cambiato il nostro modo di lavorare, facendo diventare molto importante il problema della sicurezza dei dispositivi mobili. Di seguito viene fornita una panoramica di come Exchange Server 2007 migliora il livello di interazione dell'utente e aiuta a gestire una forza lavoro sempre più mobile.

Yee-Chen Tjie Comunicazioni: Maggiore conformità con Exchange Server 2007

La necessità di proteggere le risorse aziendali e di garantire la conformità normativa costituisce un onere non indifferente per i reparti IT. Scopri come le nuove funzionalità di Exchange Server 2007 sono in grado di assicurare la protezione dei dati e la conformità normativa.

Alan Maddison Gestione delle identità: Creazione di un flusso di lavoro di provisioning in un unico passaggio

Chi è alla ricerca di un sistema di provisioning basato sul Web potrà scoprire come sia possibile utilizzare MIISWorkflow per creare un sistema di provisioning per gli utenti automatizzato, in un solo passaggio, basato su Microsoft Identity Lifecycle Manager 2007.

Aung Oo Amministrazione di Windows: Semplificare l'amministrazione dei Criteri di gruppo con Windows PowerShell

Windows PowerShell è impostato in modo da semplificare notevolmente il lavoro. In questa sezione viene illustrato come utilizzare le API GPMC scritte per i linguaggi Windows Scripting Host direttamente da Windows PowerShell, semplificando notevolmente la gestione dei Criteri di gruppo.

Thorbjörn Sjövold Amministrazione di Windows: Guida alla distribuzione dei Servizi terminal

L'esecuzione centralizzata delle applicazioni della propria organizzazione offre numerosi vantaggi e acquisire dimestichezza con i concetti di base è più facile di quanto si possa pensare. Di seguito viene illustrato ciò che è necessario sapere per attivare Servizi terminal su Windows Server 2003 e per implementare Servizi terminal in tutta l'organizzazione.

James D. Silliman Dal redattore: Protezione ovunque

Joshua Trupin Lettere: Risposte alle domande degli utenti

Casella degli strumenti: Nuovi prodotti per professionisti IT

Greg Steen SQL: Domante&Risposte: Analizzatore delle procedure consigliate, processori multicore e altro ancora

Edited by Nancy Michell Utilità sotto i riflettori: Toolkit di aggiornamento per siti e modelli SharePoint

Luis Câmara Manoel and Peter Skjøtt Larsen L'azienda IT: Creazione di un piano aziendale

Stephen Ibaraki The Cable Guy: EAPHost in Windows

Joseph Davies Windows PowerShell: La connessione WMI

Don Jones Hey, Scripting Guy!: Gli alberi sono in fiore... e compaiono ovunque nuove finestre. È arrivata la primavera.

The Microsoft Scripting Guys Exchange Queue & A: Timeout di OWA, risoluzione dei problemi relativi ai cmdlet e altro ancora

KC Lemson and Nino Bilic Controllo della protezione: Protezione dell'accesso di rete (Network Access Protection)

John Morello Desktop File: Aggiornamento di Servizi di distribuzione Windows

Wes Miller Taccuino: Restare al passo con i tempi

Joshua Hoffman Windows Confidential: Identificazione dei programmi utilizzati con maggiore frequenza

Raymond Chen


 Comunicazioni: Le nuove funzionalit&#224; di messaggistica mobile in Exchange 2007
Comunicazioni Yee-Chen Tjie

Le nuove funzionalità di messaggistica mobile in Exchange 2007
Panoramica:
  • Configurazione di dispositivi mobili
  • Imposizione di criteri
  • Messaggistica avanzata
  • Accesso ai file mobile

Fino a pochi anni fa accedere ai messaggi della posta elettronica aziendale mentre si era lontani dalla propria scrivania era un'attività insolita e complicata. Oggi, non solo le persone si aspettano di avere accesso ai messaggi di posta elettronica in remoto, ma
non è insolito vedere qualcuno seduto al bar che lavora con una periferica di messaggistica mobile. La messaggistica mobile ha modificato il nostro modo di lavorare. Ha permesso ai dipendenti che si spostano continuamente di essere più efficienti nel portare a termine il proprio lavoro mentre sono lontani dall'ufficio.
Tuttavia, proprio grazie a questi recenti progressi della tecnologia di messaggistica mobile, la sicurezza dei dispositivi portatili è diventata un tema fondamentale. Le aziende cercano il modo migliore per proteggere i dati aziendali riservati che risiedono sui dispositivi portatili.
L'introduzione di Exchange Server 2003 e di una tecnologia chiamata Exchange ActiveSync® ha reso possibile collegare in modo protetto una periferica Windows Mobile® (come un telefono Pocket PC o Smartphone) a Exchange Server 2003 tramite HTTPS. Tuttavia, la gestione del dispositivo portatile era inadeguata. Con la versione Service Pack 2 (SP2) di Exchange Server 2003 e il Messaging and Security Feature Pack (MSFP) per Windows Mobile 5.0, è stato possibile impostare criteri globali validi per tutti i dispositivi Windows Mobile connessi a Exchange. Questi criteri comprendevano PIN obbligatori di lunghezza specificata, timeout di inattività prima della richiesta del PIN e cancellazione della periferica dopo un certo numero di tentativi di immissione PIN non riusciti.
Exchange Server 2003 SP2 ha aggiunto anche la capacità di cancellazione remota tramite lo strumento di amministrazione dispositivi portatili di Exchange, illustrato nella Figura 1. Questo strumento offriva agli amministratori la capacità di emettere un comando di cancellazione per un dispositivo Windows Mobile perso. Alla successiva occasione in cui tale periferica si fosse collegata a Exchange, veniva eseguito un hard reset che cancellava tutto il contenuto nella memoria della periferica.
Figura 1 Strumento di amministrazione Exchange Mobile per cancellare le periferiche
Figura 1 Strumento di amministrazione Exchange Mobile per cancellare le periferiche
Sebbene questo fosse un buon punto di partenza per la gestione e la sicurezza dei dispositivi portatili, restavano irrisolti numerosi requisiti di protezione. Exchange Server 2007 aiuta a risolvere questi problemi.

Configurazione e imposizione della periferica
Per impostazione predefinita, Exchange ActiveSync è attivato per tutti gli utenti della cassetta postale in Exchange Server 2007. Se si desidera che questa funzionalità sia attivata solo per un certo gruppo di utenti, il primo passo è disattivare la funzione per tutti gli utenti. Exchange Management Console non permette di disattivare un singolo gruppo di utenti per ActiveSync, ma è possibile farlo con facilità utilizzando un comando di Exchange Management Shell come questo:
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Questo comando recupera tutte le cassette postali di Exchange Server 2007 e invia le informazioni a un comando Set-CASMailbox per disattivare ActiveSync per tutte le cassette postali esistenti.
Il passo successivo prevede la definizione dei criteri di ActiveSync per la Cassetta postale di Exchange della propria organizzazione. Il numero di criteri da definire dipenderà dai diversi profili di protezione degli utenti. Ad esempio, un analista finanziario che riceve delle informazioni finanziarie riservate nella posta elettronica può avere necessità di criteri più restrittivi per la propria periferica rispetto a un utente generico.
Per configurare i criteri di ActiveSync, andare nella struttura di spostamento di Exchange Management Console e scegliere Accesso client nel contenitore Configurazione di organizzazione. Nel riquadro Azioni, scegliere Nuovo criterio cassetta postale di Exchange ActiveSync.
Nella finestra di dialogo Nuovo criterio cassetta postale di Exchange ActiveSync, è possibile creare criteri flessibili per le impostazioni che controllano se consentire il download di allegati su un dispositivo oppure consentire i dispositivi senza provisionig (vedere la Figura 2). I dispositivi con provisioning sono periferiche con Windows Mobile in grado di applicare e di imporre criteri specifici. I dispositivi senza provisioning sono quelli che possono applicare soltanto un sottoinsieme dei criteri (o nessuno).
Figura 2 Criteri della Cassetta postale di Exchange Server 2007 ActiveSync
Figura 2 Criteri della Cassetta postale di Exchange Server 2007 ActiveSync
Altre funzionalità includono la capacità di configurare le impostazioni per la crittografia e il ripristino di password. Se sulla periferica è abilitata l'opzione Richiedi crittografia, tutti i file sulle schede di memoria della periferica saranno crittografati. L'opzione Abilita ripristino password consente a un utente di recuperare il PIN della periferica tramite Outlook® Web Access 2007.
È opportuno considerare molto attentamente i criteri password per le periferiche prima di applicarli. I PIN lunghi e complicati forniscono una migliore protezione, ma possono rendere le periferiche più difficili da utilizzare. Il giusto equilibrio tra protezione e usabilità è la chiave per determinare la corretta password ed il periodo di timeout prima che venga richiesto il PIN. Anche attivare le opzioni Scadenza password e Imponi cronologia delle password aumenta la protezione, ma le complicazioni nel tenere traccia delle password e dei PIN possono essere frustranti per l'utente.
I criteri Cassetta postale di Exchange Server 2007 ActiveSync aiutano a migliorare la protezione delle periferiche, ma alcune delle funzionalità richiedono Windows Mobile 6.0, che sarà probabilmente già disponibile quando questo articolo verrà pubblicato. Delle funzionalità illustrate nella Figura 2, Richiedi crittografia del dispositivo, Imponi cronologia delle password e Scadenza password (giorni) richiedono tutte la nuova versione. Tuttavia, è comunque possibile approfittare dei nuovi criteri flessibili di Exchange Server 2007 applicandoli agli utenti che utilizzano periferiche con installato Windows Mobile 5.0.
Una volta che i criteri sono definiti, è possibile applicarli agli utenti. In Exchange Management Console, andare a Configurazione destinatario e scegliere Cassetta postale. Scegliere l'utente della cassetta postale che si desidera attivare per uno dei criteri ActiveSync e scegliere Proprietà dal riquadro Azioni. Andare alla scheda di Caratteristiche cassette postali e fare doppio clic su Exchange ActiveSync. Nella casella Proprietà di Exchange ActiveSync, fare clic sul pulsante Sfoglia e scegliere il criterio ActiveSync che si desidera applicare all'utente (vedere la Figura 3). È possibile ripetere gli stessi passaggi per applicare criteri diversi a utenti diversi oppure utilizzare il seguente comando di Exchange Management Shell per applicare un criterio a un gruppo di utenti:
Figura 3 Applicazione dei criteri della Cassetta postale ActiveSync
Figura 3 Applicazione dei criteri della Cassetta postale ActiveSync
Set-CASMailbox –Activesyncmailpolicy
Il passaggio finale prevede di istruire gli utenti finali e il supporto tecnico. Comunicare agli utenti finali che quando si collegano a Exchange Server 2007 viene richiesto dalla periferica un PIN di lunghezza specificata (vedere la Figura 4). Istruirli sui criteri di protezione applicati, in modo che non considerino queste modifiche come un ostacolo al loro lavoro quotidiano.
Figura 4 I criteri della cassetta postale di ActiveSync richiedono un PIN
Figura 4 I criteri della cassetta postale di ActiveSync richiedono un PIN
Sarà opportuno informarli anche di una nuova funzionalità di Exchange Server 2007, la cancellazione automatica remota del servizio tramite Outlook Web Access 2007. Se un utente smarrisce la periferica, può avviarne la cancellazione tramite il collegamento Opzioni di Outlook Web Access, senza contattare il supporto tecnico (vedere la Figura 5). Questo può essere abbastanza utile se una periferica viene smarrita in un momento diverso dal normale orario di ufficio.
Figura 5 Gestione di una periferica tramite Outlook Web Access
Figura 5 Gestione di una periferica tramite Outlook Web Access
Infine, informare il supporto tecnico sulle modalità di cancellazione remota delle periferiche. A tale scopo, aprire Exchange Management Console, selezionare Configurazione destinatario e scegliere Cassetta postale. Da lì, scegliere gli utenti di cui si vuole avviare la cancellazione e selezionare Gestisci dispositivo mobile dal riquadro Azioni. L'interfaccia Gestisci dispositivo mobile è illustrata nella Figura 6. Tenere presente che un utente potrebbe avere più di un dispositivo Windows Mobile connesso a Exchange 2007; fare pertanto attenzione a scegliere quello giusto quando si avvia una cancellazione.
Figura 6 Cancellazione di una periferica utente in modalità remota
Figura 6 Cancellazione di una periferica utente in modalità remota

Gestione e ricerca della posta elettronica
Windows Mobile 6.0 permette di leggere i messaggi di posta elettronica in formato HTML, di impostare notifiche di fuori sede (vedere la Figura 7) e di applicare contrassegni ai messaggi di posta elettronica. Quando i messaggi di posta elettronica sono contrassegnati su una periferica Windows Mobile 6.0, vengono trattati allo stesso modo dei messaggi di posta elettronica contrassegnati in Outlook. Invece di contrassegnare i messaggi di posta elettronica come non letti a cui dare poi seguito, adesso è possibile contrassegnarli e utilizzare le funzionalità avanzate di Outlook per completarne la lettura quando si è ritornati alla propria scrivania. Leggere i messaggi di posta elettronica in formato HTML fornisce vantaggi non solo all'utente del dispositivo mobile, ma anche agli altri destinatari del thread del messaggio. Quando si risponde a un messaggio di posta elettronica utilizzando Windows Mobile 6.0, il messaggio di posta elettronica non viene convertito in solo testo, migliorando così l'esperienza degli altri destinatari che utilizzano Outlook.
Figura 7 Messaggi di fuori sede
Figura 7 Messaggi di fuori sede
Miglioramenti significativi sono stati apportati alle funzionalità di calendario con Windows Mobile 6.0. Adesso è possibile inoltrare, rispondere o rispondere a tutti in una voce del calendario, come pure vedere lo stato delle accettazioni di tutti gli invitati.
Windows Mobile 6.0, utilizzato insieme a Exchange Server 2007, fornisce due nuove funzionalità per ricercare e accedere a documenti in modo mobile. Uno dei principali problemi nell'uso di dispositivi mobili è la limitata capacità di archiviazione. Per questa ragione molti utenti mantengono i messaggi di posta elettronica sulle proprie periferiche solo per due o tre giorni. Spesso gli utenti decidono anche di recuperare i messaggi di una sola cartella della loro Posta in arrivo. Un approccio così minimalista potrebbe essere un problema quando si desidera accedere ai messaggi più vecchi o a messaggi memorizzati in diverse cartelle nella propria cassetta postale.
Con Windows Mobile 6.0, un utente può eseguire una ricerca rapida nell'intera cassetta postale tramite la funzione di ricerca e indicizzazione di Exchange Server 2007. La ricerca di un messaggio di posta elettronica può essere avviata tramite parole chiave anche su cartelle multiple (vedere la Figura 8). Successivamente sarà possibile recuperare in tempo reale i messaggi di posta elettronica dai risultati della ricerca.
Figura 8 Ricerca rapida messaggi di posta elettronica
Figura 8 Ricerca rapida messaggi di posta elettronica

Accesso documenti mobili
Con lo sviluppo del software di collaborazione di documento, come SharePoint® e in virtù dei limiti massimi di dimensioni dei messaggi di posta elettronica che si possono trasportare, gli utenti finali allegano sempre meno documenti ai messaggi di posta elettronica e preferiscono inviare collegamenti ai siti di condivisione file e ai siti SharePoint. A meno di potersi connettere alla propria rete aziendale attraverso una rete privata virtuale (VPN), accedere a questi documenti tramite un dispositivo mobile potrebbe sembrare impossibile. Per chi lavora fuori ufficio, ciò potrebbe essere un ostacolo.
Windows Mobile 6.0 e Exchange Server 2007 permettono agli utenti di accedere ai propri dati tramite siti di condivisioni file UNC e SharePoint, che possono essere resi accessibili in modalità di sola lettura. Exchange Server 2007 può inoltrare le richieste per questi documenti per conto del dispositivo Windows Mobile (vedere la Figura 9). Anche senza una connessione di VPN alla rete aziendale, gli utenti non si limitano ad accedere soltanto ai documenti allegati a messaggi di posta elettronica; anzi possono ottenere qualunque documento che risiede nei siti di condivisione file o SharePoint.
Figura 9 Accesso ai documenti tramite collegamenti UNC
Figura 9 Accesso ai documenti tramite collegamenti UNC
Per amministrare Accesso documenti mobile, aprire Exchange Management Console e selezionare Accesso client in Configurazione server nella struttura di spostamento. Andare alla scheda ActiveSync, selezionare l'oggetto Microsoft-Server-ActiveSync e scegliere Proprietà nel riquadro Azioni. Nella scheda File server remoti, è possibile configurare l'elenco dei nomi host permessi o bloccati per i siti SharePoint e i file server.
Al termine delle operazioni si ritorna ai criteri della cassetta postale di Exchange ActiveSync per verificare che le caselle di controllo per Windows® File Shares e Windows SharePoint Services siano selezionate (vedere la Figura 10).
Figura 10 Abilitazione dell'accesso ai documenti
Figura 10 Abilitazione dell'accesso ai documenti
Ora si è pronti a fornire un accesso migliore ai documenti per tutti gli utenti del dispositivo Windows Mobile.

Riepilogo
Nel mondo odierno del telelavoro, i dispositivi Windows Mobile offrono un modo potente di accedere alle informazioni in qualunque momento, ovunque. La protezione e la gestione dei dispositivi mobili sono diventati temi di grande importanza per i reparti IT. Exchange Server 2007, insieme a Windows Mobile 6.0, facilita la creazione e la gestione di criteri per i dispositivi Windows Mobile che aiutano ad attenuare i problemi, fornendo anche una base per nuove funzionalità a disposizione dei lavoratori non in sede.
Risorse per Windows Mobile
Sono disponibili numerose risorse per approfondire i temi relativi alla distribuzione di Exchange Server 2007 e alla messaggistica in Windows Mobile Messaging.
  • Exchange Server TechCenter
  • Principi di base dell'accesso mobile per Exchange 2007
  • Gestione di Exchange ActiveSync
  • Laboratori virtuali Windows Mobile
  • Windows Mobile 6 SDK

Yee-Chen Tjie è uno specialista in tecnologia di Microsoft nella regione del New England. Si dedica principalmente alle soluzioni per la mobilità e le comunicazioni unificate.
© 2007 Microsoft Corporation e CMP Media, LLC. Tutti i diritti riservati. È vietata la riproduzione completa o parziale senza autorizzazione.


 Comunicazioni: Maggiore conformit&#224; con Exchange Server 2007
Comunicazioni Alan Maddison

Maggiore conformità con Exchange Server 2007
Panoramica:
  • Cartelle gestite
  • Regole di trasporto
  • Classificazione dei messaggi
  • Inserimento nel journal

Attualmente, secondo le stime degli analisti, il 75% dei documenti aziendali viene creato e comunicato tramite e-mail. Senza dubbio, una parte significativa della proprietà intellettuale delle organizzazioni è contenuta nei relativi server di messaggistica. Questo determina un notevole ampliamento dell'ambito delle responsabilità
degli amministratori che gestiscono i server di messaggistica, in cui risiede la maggior parte dei dati critici di un'azienda. Inoltre, il crescente numero di normative locali e federali, sia negli Stati Uniti che negli altri paesi, in cui vengono specificati i requisiti di archiviazione e di conservazione per i dati aziendali rendono molto più complesso e critico questo compito.
La necessità di proteggere le risorse aziendali e di garantire la conformità normativa costituisce un onere non indifferente. Nella fase di progettazione di Exchange Server 2007, Microsoft ha implementato una serie di modifiche e alcuni miglioramenti in modo da ottimizzare le funzionalità di conformità di Exchange semplificando, nel contempo, le attività di gestione. In questo articolo verranno esaminate le modifiche principali introdotte in Exchange Server 2007 che consentiranno di garantire una maggiore conformità alle normative vigenti.

Informazioni sulla conformità
Prima di esplorare Exchange Server 2007, è opportuno fornire una descrizione dei requisiti di conformità. I requisiti di conformità sono in genere raggruppati in tre ampie tipologie: conservazione delle informazioni, controllo dell'accesso e integrità dei dati. Negli Stati Uniti, ad esempio, la normativa SEC Rule 17A-4 specifica i criteri di conservazione dei dati per determinati membri della Borsa, agenti di cambio e operatori, e richiede che le organizzazioni finanziarie siano in grado di acquisire, indicizzare, archiviare, cercare e recuperare il relativi messaggi di e-mail. Il controllo dell'accesso ai dati è incorporato in una serie di leggi note, tra cui le normative Health Insurance Portability and Accountability Act (HIPAA), Gramm-Leach-Bliley Act (o GLB Act) e California Senate Bill 1386 (o SB 1386). Le normative HIPAA e GLB Act regolano la protezione e la riservatezza dei dati personali mentre SB 1386 stabilisce la divulgazione pubblica delle violazioni della protezione dei computer che coinvolgono i dati riservati.
Inoltre, i requisiti di integrità dei dati sono stati incorporati in altre leggi importanti, come Sarbanes-Oxley (SOX), PATRIOT Act e Basel II. Tuttavia, queste normative di alto profilo sono solo una goccia nel mare. Secondo alcune stime, in tutto il mondo vengono applicate oltre 35.000 normative. Ovviamente esistono importanti motivazioni che spingono le aziende a controllare i rischi associati alle modalità con cui conservano le informazioni, controllano l'accesso ai dati e garantiscono l'integrità dei dati. Pertanto, in che modo un amministratore può gestire questi rischi e garantire il rispetto degli obblighi di conformità normativa?
Il primo passaggio consiste nel documentare i criteri di conformità e di conservazione. Il passaggio successivo prevede l'implementazione e la gestione costante di tali criteri. Exchange Server 2007 consente di applicare questi criteri mediante l'uso di cartelle gestite, dell'agente Regole di trasporto, della funzionalità di classificazione dei messaggi e dell'agente Inserimento nel journal.

Cartelle gestite
La conservazione dei dati (o gestione dei record) è una fase critica del processo di garanzia della conformità normativa. Exchange Server 2007 rappresenta un grosso passo in avanti in termini di strumenti resi disponibili agli amministratori per la gestione dei dati. In Exchange Server 2007, la gestione dei record è basata su tre principi: i messaggi obsoleti vengono rimossi, i messaggi necessari vengono conservati e gli utenti sono responsabili per la classificazione dei relativi messaggi.
La maggior parte degli amministratori di Exchange ha dimestichezza con i criteri di Gestione cassette postali di Exchange Server 2003, che possono essere applicati alle cassette postali. In Exchange Server 2007, le cartelle gestite forniscono agli amministratori un metodo gestito a livello centrale per creare e distribuire nuove cartelle predefinite o personalizzate che non possono essere spostate, rinominate o, nella maggior parte dei casi, eliminate. Utilizzando l'SDK, è inoltre possibile creare applicazioni self-service basate sul Web che consentono agli utenti di scegliere quali cartelle aggiungere alle relative cassette postali.
Come illustrato nella Figura 1, Exchange Management Console fornisce un approccio alla creazione delle cartelle basato su procedura guidata (questa funzionalità è anche esposta mediante il cmdlet New-ManagedFolder di Exchange Management Shell).
Figura 1 Utilizzo di Exchange Management Console per creare una nuova cartella
Figura 1 Utilizzo di Exchange Management Console per creare una nuova cartella
L'utilizzo di questa console consente di avviare la procedura guidata illustrata nella Figura 2. Il processo di creazione delle cartelle è molto semplice; è sufficiente immettere il nome e la descrizione della cartella e fare clic sul pulsante Nuovo. Una volta creata la cartella, viene visualizzato un messaggio di conferma.
Figura 2 Una procedura guidata intuitiva semplifica la creazione di una nuova cartella gestita
Figura 2 Una procedura guidata intuitiva semplifica la creazione di una nuova cartella gestita
Una volta applicato un criterio di conservazione dei dati, è necessario fornire agli utenti un metodo semplice per ordinare e archiviare i relativi messaggi, assicurando che i dati vengano conservati in conformità ai requisiti dell'organizzazione. Si supponga che sia necessario distribuire agli utenti finali tre cartelle personalizzate in modo che questi siano in grado di identificare i messaggi di e-mail conservati da tre, cinque o sette anni. Una volta create le cartelle gestite, il passaggio successivo consiste nell'applicare le impostazioni del contenuto a ciascuna cartella. A tal fine, utilizzare la Configurazione guidata nuove impostazioni del contenuto gestito.
L'amministratore della messaggistica è responsabile dell'impostazione della scadenza del contenuto (espressa in giorni) e delle azioni da intraprendere sul contenuto una volta scaduto. È possibile selezionare cinque azioni:
  • Elimina e consenti ripristino
  • Segna come Oltre limite di mantenimento
  • Sposta in una cartella personalizzata gestita
  • Sposta nella cartella Posta eliminata
  • Elimina definitivamente
Durante la configurazione di queste impostazioni è consigliabile focalizzare l'attenzione su tre parametri in particolare. Il primo parametro è relativo al valore per la scadenza dei messaggi; poiché la scadenza viene calcolata in giorni, è opportuno tener conto degli anni bisestili. Il corpo direttivo dell'azienda (per non parlare di un eventuale giudice) non apprezzerebbe affatto una potenziale eliminazione del contenuto prima della scadenza, anche se di un solo giorno. Il secondo parametro riguarda l'inizio del periodo di scadenza. In genere, si tratta del giorno in cui il messaggio è stato recapitato nella cassetta postale, a meno che non si ricevano istruzioni diverse dal team legale dell'azienda. Il terzo parametro è relativo all'azione che viene eseguita alla scadenza del contenuto. La procedura consigliata è quella di eliminare definitivamente l'elemento. Le impostazioni del contenuto consentono inoltre di inserire nel journal i messaggi inoltrandoli a un indirizzo SMTP.
Le cartelle gestite vengono applicate alle cassette postali mediante i criteri cassetta postale della cartella gestita. Exchange Management Console fornisce un'altra procedura guidata per la creazione di questi criteri. I criteri consentono di selezionare e raggruppare più cartelle. In tal modo, è possibile collegare più cartelle a un singolo criterio.
In genere, i criteri cassetta postale della cartella gestita vengono applicati durante la creazione delle cassette postali. In alternativa, è possibile utilizzare Exchange Management Shell per applicare un criterio a una cassetta postale esistente mediante il cmdlet Set-Mailbox. Si supponga che si desideri applicare un criterio cassetta postale della cartella gestita denominato retention a un account di e-mail con l'alias USER1. A tal fine, utilizzare il comando seguente:
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
Le cartelle gestite e le impostazioni del contenuto corrispondenti forniscono un meccanismo efficace per la gestione del processo di conservazione e conformità. Questo meccanismo consente agli utenti non solo di ordinare i messaggi di e-mail rilevanti e di archiviare i dati nelle cartelle gestite in modo centralizzato, ma consente anche l'inserimento nel journal di questi elementi in modo da garantire la conformità alla richiesta del tribunale, in caso di richiesta di individuazione o di ordine di conservazione delle informazioni.

Regole di trasporto
Sono disponibili due agenti Regole di Trasporto in Exchange Server 2007. In termini di conformità, tuttavia, occorre utilizzare solo l'agente che viene eseguito sui server Trasporto hub. Questo agente consente di applicare le regole di conformità basate sui criteri ai messaggi che vengono trasmessi all'interno dell'organizzazione Exchange. L'agente Regole di trasporto eseguito sui server Trasporto Edge, invece, consente di proteggere la propria organizzazione da posta indesiderata e virus.
Alcuni dei requisiti normativi e di conformità più comuni che gli amministratori hanno la responsabilità di implementare includono:
  • Limitazione dell'interazione tra diversi gruppi di mittenti e destinatari
  • Evitare che contenuto inappropriato venga ricevuto o trasmesso dall'azienda
  • Applicazione di filtri alle informazioni riservate
  • Rilevamento o archiviazione dei messaggi inviati e ricevuti da specifici utenti e gruppi
  • Reindirizzamento dei messaggi in ingresso e in uscita per la verifica prima della consegna
  • Applicazione di dichiarazioni di non responsabilità
Il server Trasporto hub è stato scelto per questo agente in virtù del ruolo che svolge in una topologia di Exchange 2007. Nella topologia di Exchange 2007 sono state introdotte modifiche significative che hanno determinato una più stretta integrazione di Exchange con la topologia di Active Directory®. Nel corso del processo di trasmissione dei messaggi di e-mail all'interno dell'organizzazione accade, a un certo punto, che tali messaggi vengono elaborati tramite un server Trasporto hub. Il server Trasporto hub invierà ad Active Directory una query relativa alla configurazione delle regole di trasporto correnti e applicherà le regole a tutti i messaggi che gestisce.
Tutte le regole di trasporto configurate su un server Trasporto hub verranno replicate a tutti gli altri server Trasporto hub tramite il servizio Active Directory. È necessario essere a conoscenza dell'impatto del sito e della topologia utilizzati sul processo di replica e occorre determinare i tempi di distribuzione di una regola in tutta l'organizzazione.
È necessario inoltre tenere presente che un server Trasporto hub gestisce una cache del destinatario per la ricerca dei destinatari e delle liste di distribuzione. L'intervallo di aggiornamento che, per impostazione predefinita, è di quattro ore, avrà effetto sulla temporizzazione delle regole applicate ai messaggi.
Le regole di trasporto sui server Trasporto hub valutano tutte le convocazioni di riunioni, i messaggi standard, i messaggi crittografati e i messaggi protetti da diritti inviati tra gli utenti autenticati. Vengono valutati tutti i messaggi di e-mail inviati in modo anonimo, indipendentemente dal tipo di messaggio, dal mittente e dal destinatario.
Ogni regola di trasporto è costituita dai seguenti componenti: condizioni, eccezioni e azioni. Le condizioni vengono utilizzate per indicare i tipi di attributi di messaggi, come intestazioni, destinatari o mittenti, utilizzati nel processo di identificazione dei messaggi. Quando un messaggio soddisfa tutte le condizioni per una specifica regola, vengono applicate determinate azioni, a meno che il messaggio non corrisponda a un'eccezione configurata. Le eccezioni sono facoltative. Se configurata, un'eccezione impedirà l'elaborazione da parte della regola di trasporto di tutti i messaggi che soddisfano uno dei criteri di eccezione. Le azioni, che sono un componente necessario di ogni regola di trasporto, specificano la modalità di elaborazione di un messaggio. Nella Figura 3 vengono elencate le azioni disponibili che è possibile applicare in base alle regole di trasporto configurate su un server Trasporto hub.
Figure 3 Azioni disponibili per le regole di trasporto su un server Trasporto hub (Close Figure 3)

Azione | Nome dell'azione | Descrizione
Registra un evento con messaggio | LogEvent | Consente di aggiungere un evento al registro applicazioni del computer locale.
Anteponi all'oggetto stringa | PrependSubject | Consente di anteporre una stringa all'inizio del campo dell'oggetto del messaggio.
Applica classificazione messaggi | ApplyClassification | Consente di applicare una classificazione di messaggi al messaggio.
Aggiungi dichiarazione di non responsabilità | ApplyDisclaimer | Consente di applicare una dichiarazione di non responsabilità al messaggio.
Imposta il livello di probabilità di posta indesiderata su valore | SetScl | Consente di impostare il livello di probabilità di posta indesiderata (SCL, Spam Confidence Level) di un messaggio.
Imposta intestazione con valore | SetHeader | Consente di creare un campo di intestazione di un nuovo messaggio o modificare un campo di intestazione di un messaggio esistente.
Rimuovi intestazione | RemoveHeader | Consente di rimuovere il campo di intestazione del messaggio specificato da un messaggio.
Aggiungi un destinatario nel campo A indirizzi | AddToRecipient | Consente di aggiungere uno o più destinatari all'elenco di indirizzi di destinazione del messaggio. I destinatari originali sono in grado di visualizzare l'indirizzo aggiuntivo.
Copia il messaggio a indirizzi | CopyTo | Consente di aggiungere uno o più destinatari al campo copia per conoscenza (Cc) del messaggio. I destinatari originali sono in grado di visualizzare l'indirizzo originale.
Invia il messaggio in copia nascosta a indirizzi | BlindCopyTo | Consente di aggiungere uno o più destinatari di un messaggio all'elenco degli indirizzi in copia per conoscenza nascosta (Ccn) del messaggio di e-mail.
Reindirizza messaggio a indirizzi | RedirectMessage | Consente di reindirizzare il messaggio a uno o più destinatari specificati dall'amministratore. Il messaggio non viene recapitato al destinatario o ai destinatari originali e non viene inviata alcuna notifica ai destinatari o al mittente.
Invia messaggio restituito al mittente al mittente con codice di stato avanzato | RejectMessage | Consente di eliminare il messaggio e di inviare una conferma di mancato recapito al mittente. Il destinatario non riceve il messaggio o la notifica.
Elimina il messaggio automaticamente | DeleteMessage | Consente di eliminare il messaggio. Non viene inviata alcuna notifica al destinatario o al mittente.
Per creare una regola di trasporto, è possibile utilizzare Exchange Management Console e la procedura guidata per la creazione delle regole di trasporto, come illustrato nella Figura 4. In alternativa, è possibile utilizzare Exchange Management Shell per eseguire gli script per la creazione delle regole.
Figura 4 Avviare la procedura guidata per la creazione delle regole di trasporto per configurare una regola di trasporto su un server Trasporto hub.
Figura 4 Avviare la procedura guidata per la creazione delle regole di trasporto per configurare una regola di trasporto su un server Trasporto hub.
È inoltre possibile utilizzare l'SDK per scrivere agenti di trasporto personalizzati in grado di elaborare i messaggi in base agli eventi SMTP all'interno di Exchange. Questa, tuttavia, non è un'operazione semplice.

Classificazione dei messaggi
Lo strumento Classificazione messaggi utilizza i metadati per descrivere l'utilizzo previsto o i destinatari di uno specifico messaggio. Sul lato client, questi metadati possono essere utilizzati da Outlook® Web Access (OWA) o Outlook 2007 per visualizzare una descrizione leggibile dall'utente della classificazione. Sul lato server, gli agenti Regole di trasporto possono agire sui messaggi in base alla relativa classificazione.
Le classificazioni predefinite dei messaggi incluse in Exchange Server 2007 sono Riservato, Allegato rimosso, Materiale aziendale riservato e Interno. Tuttavia, è possibile che molte organizzazioni desiderino creare classificazioni personalizzate. È possibile creare nuove classificazioni utilizzando il cmdlet new-MessageClassification in Exchange Management Shell. Se, ad esempio, è necessario limitare l'accesso ai dati finanziari, è possibile creare una classificazione dei messaggi definita Financial—Confidential:
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Tenere presente che, anche se sono necessari solo tre parametri, ovvero Name, DisplayName, e SenderDescription, è consigliabile aggiungere almeno RecipientDescription in modo ottenere un livello di base di funzionalità. Nella Figura 5 viene illustrata questa nuova classificazione, ora disponibile nell'interfaccia di OWA.
Figura 5 L'elenco delle classificazioni dei messaggi include la classificazione Financial—Confidential appena creata
Figura 5 L'elenco delle classificazioni dei messaggi include la classificazione Financial—Confidential appena creata
Questo comando non prevede l'utilizzo del parametro per le impostazioni internazionali e pertanto è applicabile a tutte le impostazioni internazionali all'interno dell'organizzazione Exchange. Se si fornisce il supporto per operazioni globali, è opportuno impostare le classificazioni dei messaggi personalizzate in modo che siano basate sulle impostazioni internazionali.
Inoltre, ricordare di impostare correttamente le autorizzazioni per le classificazioni. Per impostazione predefinita, tutte le nuove classificazioni dei messaggi vengono create con autorizzazioni di lettura assegnate a utenti autenticati. È consigliabile, tuttavia, segmentare le classificazioni dei messaggi in modo che gli utenti possano accedere solo alle classificazioni dei messaggi appropriate per i relativi ruoli. Tenere presente inoltre che ciascuna classificazione può avere una priorità relativa rispetto alle altre classificazioni dei messaggi. Questa priorità specifica l'ordinamento delle descrizioni e determina le classificazioni da associare a un messaggio inoltrato o di risposta.
Una volta create le classificazioni necessarie, il passaggio successivo prevede la creazione delle regole di trasporto che utilizzano le classificazioni. Queste classificazioni di messaggi, naturalmente, non devono essere necessariamente correlate alle azioni, ma possono essere semplicemente informative. Come illustrato nella Figura 6, sono disponibili molte opzioni quando le classificazioni dei messaggi vengono combinate con le regole di trasporto. Ho creato una regola di trasporto che consente di monitorare i messaggi classificati come Financial. Se un messaggio viene contrassegnato come Financial, l'agente della regola di trasporto esaminerà i destinatari. Se uno dei destinatari non è membro del gruppo di distribuzione Financial Dept, il messaggio verrà restituito al mittente con un messaggio di mancato recapito personalizzato.
Figura 6 Creazione di una regola di trasporto per i messaggi classificati come Financial
Figura 6 Creazione di una regola di trasporto per i messaggi classificati come Financial
La funzionalità di classificazione dei messaggi può essere utilizzata anche per applicare "divisioni etiche" all'interno dell'organizzazione. Talvolta, ad esempio, è necessario limitare le comunicazioni tra determinati individui e reparti. La classificazione dei messaggi può essere utilizzata a questo scopo.

Agente Inserimento nel journal
Per garantire la conformità, l'inserimento nel journal può essere un metodo efficace, anche se talvolta può rivelarsi impegnativo. Fortunatamente, Exchange Server 2007 offre funzionalità di inserimento nel journal molto più flessibili. Questa applicazione supporta ora sia l'inserimento nel journal standard (a livello di database delle cassette postali) che la nuova funzionalità di inserimento nel journal avanzato (in base al destinatario) che consente di inserire nel journal singoli utenti e gruppi di distribuzione. Questo consente di semplificare notevolmente il processo di garanzia della conformità alle richieste normative, come blocchi o ordini di conservazione emessi dal tribunale. Inoltre, è possibile disporre di un maggiore controllo sull'impatto che l'inserimento nel journal può avere sull'archiviazione e sulle prestazioni.
Un esempio di questa maggiore flessibilità è rappresentata da una nuova opzione che prevede il supporto dell'inserimento nel journal basato su gruppi di distribuzione dinamici. Si supponga che l'organizzazione abbia l'esigenza di impostare un blocco sui messaggi di determinati dipendenti, probabilmente in conseguenza di indagini interne del reparto delle risorse umane o di una causa legale. Con un gruppo di distribuzione dinamico, l'amministratore può aggiungere e rimuovere gli utenti da un gruppo specificato già inserito nel journal. Questo fornisce un metodo rapido e semplice per configurare l'inserimento nel journal ad hoc.
Utilizzando Exchange Management Console e la Creazione guidata nuovo gruppo di distribuzione dinamico, è possibile selezionare il contenitore utente e, come illustrato nella Figura 7, applicare filtri alle cassette postali incluse in base al valore di determinati attributi di Active Directory. La selezione di uno degli attributi personalizzati, illustrati nella Figura 7, consente all'amministratore di controllare quali utenti inserire nel journal aggiungendo o rimuovendo questo valore.
Figura 7 Utilizzo della Creazione guidata nuovo gruppo di distribuzione dinamico per configurare le regole di inserimento nel journal
Figura 7 Utilizzo della Creazione guidata nuovo gruppo di distribuzione dinamico per configurare le regole di inserimento nel journal
Per un'analisi approfondita dell'inserimento nel journal in Exchange 2007, vedere l'articolo pubblicato a dicembre 2006 di David Strome "Inserimento nel journal più efficace con Exchange 2007". Ulteriori informazioni sono disponibili in "Panoramica sull'inserimento nel journal".

Alan Maddison è consulente senior nella sezione Microsoft Technology Practice di MTI Technology Corporation. Il principale centro di interesse della sua attività è rappresentato da Active Directory, Server Exchange e dalla virtualizzazione.


 Gestione delle identit&#224;: Creazione di un flusso di lavoro di provisioning in un unico passaggio
Gestione delle identità Aung Oo

Creazione di un flusso di lavoro di provisioning in un unico passaggio
Panoramica:
  • Utilizzo di MIISWorkflow
  • Implementazione e configurazione
  • Estensione di MIISWorkflow

Per coloro che sono alla ricerca di un'interfaccia basata sul Web per richiedere e approvare account e operano all'interno di un'organizzazione che ha adottato Microsoft Identity Lifecycle Manager 2007 (ILM 2007, in precedenza denominato Microsoft Identity Integration Server 2003),
l'applicazione MIISWorkflow potrebbe costituire una soluzione semplice ed efficace. MIISWorkflow fa parte del Resource Kit di MIIS 2003 2.0 ed è disponibile da dicembre 2004. Sebbene non sia necessariamente una soluzione completa per ogni ambiente, è un buon punto di partenza per creare un'applicazione personalizzata in grado di soddisfare le esigenze di un'organizzazione.
MIISWorkflow apporta a ILM 2007 funzionalità di provisioning basato sull'approvazione, grazie all'integrazione di un'applicazione Web. Si tratta di un sistema di provisioning orientato a un flusso di lavoro costituito da un solo passaggio, in grado di accettare le richieste degli utenti e instradarle ad approvatori (in genere i responsabili) che dispongono di un'autorità sufficiente per prendere decisioni inerenti alle richieste specifiche. In base alla decisione dell'approvatore, si procede con il provisioning di account utente nelle directory connesse utilizzando le regole di business definite in ILM.
Quest'applicazione consente di gestire soltanto flussi di lavoro costituiti da un solo passaggio e utilizzandola non è possibile creare funzionalità per il flusso di lavoro complesse, quali un processo di approvazione con più passaggi e percorsi paralleli o con un'interfaccia grafica. Se l'organizzazione non richiede queste funzionalità di flusso di lavoro complesse, è possibile servirsi dell'applicazione di esempio MIISWorkflow inclusa nel Resource Kit di MIIS per implementare una soluzione.
In questa sede prenderò come esempio il settore risorse umane (HR) di un'azienda fittizia. In generale, all'interno di un'azienda, i sistemi HR sono l'origine dati più autorevole per le informazioni sul personale. Tuttavia, sebbene di norma contengano dati dettagliati per i dipendenti a tempo indeterminato, spesso le informazioni sui lavoratori temporanei, quali consulenti e stagisti, sono carenti. Inoltre, i dati contenuti nei sistemi HR a volte non includono informazioni sui sistemi ai quali gli utenti possono accedere, comprese le informazioni sugli account utente. Illustrerò qui come creare un semplice sistema di controllo per i lavoratori temporanei nel contesto di un'organizzazione.

Come sfruttare MIISWorkflow
Le organizzazioni possono avvalersi di MIISWorkflow ad esempio per la creazione di un'applicazione che funzioni unitamente ai sistemi HR esistenti. Quando viene assunta una nuova persona, al sistema HR vengono aggiunte le informazioni utente. È possibile progettare flussi ILM che inviano le informazioni al database di MIISWorkflow e quindi utilizzano l'applicazione per il flusso di lavoro per instradare le informazioni utente agli approvatori prima che in ILM venga effettuato il provisioning dell'account nelle directory connesse.
Se l'organizzazione non utilizza sistemi HR per il controllo dei dati dei lavoratori temporanei, è possibile utilizzare l'applicazione MIISWorkflow come origine dati autorevole per gestire i relativi account utente nelle directory aziendali. Poiché l'applicazione per il flusso di lavoro riduce il lavoro amministrativo cartaceo necessario per ottenere le approvazioni, gli utenti non devono aspettare giorni per accedere agli account inclusi nelle directory e nelle applicazioni. È inoltre possibile utilizzare MIISWorkflow per attivare una revoca rapida dell'accesso, migliorando così la protezione dell'organizzazione.
L'applicazione MIISWorkflow può essere utilizzata anche come strumento di controllo del numero di sistemi ai quali un utente può accedere, delle date di richiesta e termine di ogni account, nonché di richiedente e approvatore di ogni account. La capacità di generare rapporti con la cronologia dettagliata degli account agevola l'organizzazione nel conformarsi ai requisiti normativi delle leggi Sarbanes-Oxley e HIPAA.
L'applicazione MIISWorkflow viene eseguita in IIS e utilizza le funzionalità di integrazione delle directory e di provisioning di ILM 2007 per eseguire e annullare il provisioning degli account nelle directory connesse. I componenti dell'applicazione per il flusso di lavoro contengono una raccolta di pagine Web ASP.NET, un database SQL Server™, un agente di gestione e un archivio di criteri di autorizzazione (vedere la Figura 1). L'applicazione utilizza SQL Server per l'archiviazione dei dati, Active Directory ® per l'autenticazione e un archivio di criteri di Windows® Authorization Manager (noto come AzMan) per l'autorizzazione.
Figura 1 Architettura dell'applicazione MIISWorkflow
Figura 1 Architettura dell'applicazione MIISWorkflow
L'applicazione può essere estesa e personalizzata utilizzando C# e ASP.NET. MIISWorkflow è costituita dalle seguenti cinque pagine aspx: ContractorApproval, ContractorHistory, ContractorRequest, ContractorStatus e ContractorUpdate. Queste pagine consentono agli amministratori di richiedere, aggiornare, approvare e controllare lo stato di tutti gli account utente presenti nel sistema. Si noti che, per impostazione predefinita, l'applicazione MIISWorkflow è impostata in modo da utilizzare l'autenticazione Windows integrata in IIS per potersi avvalere di Kerberos.
L'applicazione per il flusso di lavoro attiva ILM in base all'azione dell'approvatore e quindi, in ILM, viene eseguito il provisioning o l'annullamento del provisioning degli account utente nelle directory connesse utilizzando regole definite. Subito dopo l'esecuzione di un'azione sulla richiesta, l'applicazione attiva ILM e le richieste non devono attendere il successivo ciclo di sincronizzazione di ILM perché venga eseguito il provisioning o l'annullamento del provisioning nelle directory connesse.
Per l'applicazione per il flusso di lavoro è necessario che le informazioni degli account utente siano memorizzate nel database di MIISWorkflow, il quale è separato dal database in cui vengono memorizzate le informazioni metaverse, ma è configurato nella stessa istanza di SQL Server. Quando gli utenti autorizzati richiedono un account tramite l'applicazione per il flusso di lavoro, le informazioni vengono salvate in MIISWorkflow. Viene quindi eseguito il rendering dei dati tramite una pagina Web ASP.NET quando un approvatore accede alla pagina. In MIISWorkflow vengono inoltre memorizzate le cronologie delle azioni, unitamente ad altre informazioni sull'account incluso nel database. Le informazioni vengono importate in ILM dal database di MIISWorkflow utilizzando un agente di gestione di SQL Server fornito con l'applicazione e viene eseguito il provisioning o l'annullamento del provisioning dell'account, secondo necessità.
AzMan, utilizzato da MIISWorkflow per l'autorizzazione, fornisce il controllo dell'accesso basato sui ruoli (RBAC) per gestire le attività che gli utenti sono autorizzati a eseguire nell'applicazione a seconda dei ruoli loro assegnati. Per ulteriori informazioni sul controllo dell'accesso basato sui ruoli vedere go.microsoft.com/fwlink/?LinkId=85825. Dopo che un utente è stato autenticato in Active Directory, consentendogli in tal modo l'accesso, l'applicazione per il flusso di lavoro controlla i ruoli definiti nell'archivio delle autorizzazioni di AzMan per autorizzare le operazioni che un utente può eseguire. Sono disponibili due ruoli predefiniti per l'applicazione: richiedente dei consulenti e approvatore dei consulenti. Gli utenti o i gruppi che dispongono del ruolo di richiedente dei consulenti possono soltanto inserire una richiesta tramite l'applicazione, mentre gli utenti o i gruppi con il ruolo di approvatore dei consulenti hanno la possibilità sia di creare richieste sia di approvarle o respingerle.
I criteri di autorizzazione dell'applicazione MIISWorkflow sono contenuti in un file XML. Ai ruoli definiti è possibile assegnare sia utenti e gruppi di Windows sia gruppi di applicazioni. I gruppi di applicazioni consentono alle query LDAP di eseguire, durante il runtime, la ricerca dell'oggetto account Active Directory o Active Directory Application Mode (ADAM) di un utente in base al valore dell'attributo. Se l'utente fa parte del gruppo, da (department=‘marketing’), ad esempio, viene restituito True.

Descrizione dell'applicazione
Gli amministratori controllano l'accesso all'applicazione utilizzando AzMan. A seconda delle modalità di utilizzo dell'applicazione all'interno dell'organizzazione, è possibile concedere il ruolo di richiedente dei consulenti a tutti gli utenti del dominio o soltanto a gruppi selezionati. Il ruolo di approvatore dei consulenti dovrebbe essere concesso soltanto agli utenti e ai gruppi che possono approvare o respingere le richieste. Di norma, dispongono di questo ruolo amministratori HR scelti, oltre agli amministratori dei gruppi e di sistema. Come metodo di autenticazione, per impostazione predefinita, l'applicazione MIISWorkflow utilizza l'autenticazione Windows integrata in IIS, in modo che gli utenti vengano autenticati nell'applicazione tramite le relative credenziali di accesso al desktop di Windows, per cui non verranno richieste nuovamente le credenziali per l'autenticazione a fronte dell'applicazione.
Un utente a cui è assegnato il ruolo di richiedente dei consulenti può puntare il browser alla pagina di richiesta dei consulenti dell'applicazione e immettere le informazioni relative a un consulente per richiedere un account per quest'ultimo. Nella Figura 2 è illustrata la pagina di richiesta dei consulenti.
Figura 2 Pagina di richiesta di un nuovo consulente
Figura 2 Pagina di richiesta di un nuovo consulente
La persona che dispone del ruolo di richiedente immette le informazioni necessarie relative al consulente e inoltra la richiesta. Nella pagina sono disponibili un collegamento per approvare le richieste e uno per controllare lo stato, ma i richiedenti non possono accedere alla pagina di approvazione a meno che non dispongano anch'essi del ruolo di approvatore dei consulenti. Un richiedente può fare clic sul collegamento Contractor Status per visualizzare le proprie richieste, ma non potrà vedere lo stato delle richieste inoltrate da altri.
Soltanto gli approvatori dei consulenti sono autorizzati ad accedere alla pagina di approvazione dei consulenti dell'applicazione, nella quale possono approvare o respingere le richieste dopo averne esaminato le informazioni. Nella Figura 3 è illustrata l'interfaccia della pagina Web di approvazione del consulenti.
Figura 3 Pagina di approvazione dei consulenti
Figura 3 Pagina di approvazione dei consulenti
Gli approvatori possono vedere le richieste inoltrate da tutti i richiedenti. Una richiesta può essere approvata da un approvatore qualsiasi ed è necessaria soltanto una approvazione o un rifiuto per instradare la richiesta al passaggio successivo. Una volta che l'approvatore avrà approvato o respinto la richiesta, questa non sarà più visualizzata nella pagina di approvazione dei consulenti. Viene in tal modo eliminata la ridondanza di azioni di approvazione.
Per esaminare le nuove richieste e per agire sulle richieste in sospeso, in base ai requisiti dell'organizzazione, gli approvatori devono accedere con regolarità alla pagina di approvazione dei consulenti, in quanto l'applicazione non dispone di un meccanismo di notifica che informa l'approvatore della presenza di nuove richieste o di un backlog. Quando l'approvatore approva o respinge la richiesta dalla pagina, l'applicazione attiva ILM e viene eseguito il provisioning o l'annullamento del provisioning degli account nelle directory connesse, in base alla decisione dell'approvatore.
Figura 4 Pagina di stato dei consulenti
Figura 4 Pagina di stato dei consulenti
È possibile controllare lo stato delle richieste in sospeso e i record delle richieste completate dalla pagina di stato dei consulenti (vedere la Figura 4). Un richiedente può svolgere diverse operazioni da questa pagina, ad esempio visualizzare le proprie richieste, oltre a informazioni come ID, nome e cognome del consulente, reparto, stato e data dell'ultima modifica, e modificare le informazioni esistenti, visualizzare la cronologia e terminare l'account di un consulente. Potrà inoltre modificare nome, cognome e reparto e reinoltrare le informazioni per l'approvazione e infine visualizzare un registro delle azioni eseguite sulla richiesta, corredate di data e ora in cui ogni azione è stata svolta, dalla pagina della cronologia dei consulenti (vedere la Figura 5).
Figura 5 Pagina della cronologia dei consulenti
Figura 5 Pagina della cronologia dei consulenti
L'applicazione MIISWorkflow consente di terminare gli account senza interruzioni, in quanto i richiedenti possono svolgere questa operazione dalla pagina di stato dei consulenti. Il richiedente fa clic sul collegamento per disattivare o eliminare immediatamente gli account di un consulente contenuti nelle directory connesse. La possibilità di terminare gli account dei consulenti direttamente dall'applicazione per il flusso di lavoro costituisce un vantaggio per agli amministratori di sistema che non dovranno cercarli in tutte le directory ed eliminarli manualmente. Poiché l'applicazione MIISWorkflow attiva subito ILM per eseguire l'annullamento del provisioning degli account nelle directory connesse, l'eliminazione non richiede molto tempo.

Configurazione dell'applicazione
Per configurare l'applicazione MIISWorkflow è necessario impostare un account di servizio e il database dell'applicazione, configurare ILM in modo che funzioni con l'applicazione per il flusso di lavoro, configurare IIS e quindi l'archivio dei criteri. L'applicazione contiene script e file di configurazione predefiniti per semplificare il processo.
L'applicazione MIISWorkflow viene fornita con un file di query T-SQL per agevolare il processo di creazione del database dell'applicazione. È sufficiente caricare il file di query nell'Analizzatore query ed eseguire la query per creare automaticamente il database.
Per configurare IIS è necessario creare un nuovo pool di applicazioni IIS e una directory virtuale, quindi impostare il controllo dell'accesso e dell'autenticazione per ospitare le pagine ASP.NET. L'applicazione viene fornita corredata anche di un file XML con ruoli predefiniti per configurare un archivio dei criteri di autorizzazione. È possibile assegnare utenti e gruppi ai ruoli esistenti e creare nuovi ruoli utilizzando la console di gestione AzMan.
Il passaggio finale consiste nel configurare l'agente di gestione in ILM per importare i dati dal database di MIISWorkflow in ILM. Per eseguire questa operazione si importa la configurazione dell'agente di gestione nel file XML e si copia un file di estensione predefinito per l'agente di gestione di SQL Server. Sia il file XML sia il file di estensione dell'agente di gestione sono forniti unitamente all'applicazione. È inoltre disponibile un file Leggimi contenente istruzioni dettagliate su come eseguire tutti i passaggi di configurazione.

Estensione dell'applicazione
L'applicazione MIISWorkflow costituisce un punto di partenza per sviluppare una semplice integrazione del flusso di lavoro con MIIS, pertanto, per estendere l'applicazione, potrebbe essere necessario eseguire qualche personalizzazione. Esistono molti altri modi di estendere l'applicazione, oltre ad apportare semplici modifiche alle pagine Web.
È ad esempio possibile aggiungere una funzionalità di notifica, in modo che gli approvatori ricevano un messaggio di posta elettronica quando è presente una richiesta in sospeso. Sfruttando la stessa funzionalità è possibile inviare all'approvatore un messaggio che funge da promemoria, se entro un determinato numero di giorni non ha eseguito alcuna azione sulla richiesta. Se sono necessarie più informazioni sugli utenti di quante non ne siano visualizzate nella pagina predefinita, è possibile aggiungere campi sia alla pagina di richiesta sia alla pagina di aggiornamento dei consulenti. È inoltre possibile aggiungere altri ruoli all'applicazione, ad esempio un ruolo di revisore, per consentire a un utente di visualizzare la cronologia di tutte le richieste e non soltanto delle proprie.
Funzionalità di flusso di lavoro più complesse, quali flussi di lavoro costituiti da più passaggi e la possibilità di progettare un flusso di lavoro con un approccio grafico non rientrano nell'ambito di questa applicazione. È tuttavia possibile utilizzare Windows Workflow Foundation per sviluppare un'applicazione più solida con funzionalità di flusso di lavoro complesse.
Il Resource Kit di MIIS è disponibile al seguente indirizzo:go.microsoft.com/fwlink/?LinkId=85829. È possibile scaricarlo immediatamente per iniziare a creare soluzioni per il flusso di lavoro delle identità personalizzate.

Aung Oo è un esperto di gestione delle identità che lavora per i servizi di consulenza Microsoft (MCS). Aung progetta, sviluppa e distribuisce soluzioni per la gestione delle identità e directory aziendali per clienti appartenenti sia al settore commerciale sia governativo già dalla prima versione rilasciata di Microsoft Identity Management.


 Amministrazione di Windows: Semplificare l'amministrazione dei Criteri di gruppo con Windows PowerShell
Amministrazione di Windows Thorbjörn Sjövold

Semplificare l'amministrazione dei Criteri di gruppo con Windows PowerShell
Panoramica:
  • Che cos'è Windows PowerShell?
  • Come venivano gestiti in precedenza gli oggetti Criteri di gruppo
  • Migrazione di script a Windows PowerShell

La tecnologia dei Criteri di gruppo di Microsoft non si è diffusa in quattro e quattr'otto: è stato alquanto difficile comprenderla e ha richiesto l'adozione di Active Directory, un nuovo servizio del tutto sconosciuto, per nulla simile ai domini account/risorsa che all'epoca costituivano lo standard. Attualmente Criteri di gruppo
costituisce la struttura portante della gestione di quasi tutte le organizzazioni che impiegano un'infrastruttura Windows®. Secondo me succederà la stessa cosa con Windows PowerShell™, la più recente tecnologia di gestione messa a punto da Microsoft. È infatti molto probabile che con Windows PowerShell il lavoro degli amministratori di Criteri di gruppo venga notevolmente semplificato.
In questo articolo illustrerò come sia possibile utilizzare le API della console Gestione Criteri di gruppo (GPMC) Microsoft®, scritte per i linguaggi di Windows Scripting Host, come VBScript e, in generale, per i linguaggi di script basati su COM, per semplificare la gestione di Criteri di gruppo nell'ambiente.

Attività di script di Criteri di gruppo
Con il rilascio della console Gestione Criteri di gruppo qualche anno fa, Microsoft ha messo a disposizione degli amministratori di Criteri di gruppo molte funzionalità utili. In particolare, lo snap-in MMC per Criteri di gruppo ha rappresentato un notevole passo avanti per la gestione di Criteri di gruppo, soprattutto rispetto a Utenti e computer di Active Directory®. Era inoltre inclusa una nuova API che consentiva agli amministratori di utilizzare i linguaggi basati su COM, come VBScript, per eseguire attività di amministrazione di Criteri di gruppo, quali il backup e il ripristino di oggetti Criteri di gruppo, la migrazione di oggetti Criteri di gruppo fra domini, la configurazione delle impostazioni di protezione di oggetti Criteri di gruppo e collegamenti, nonché la generazione di report.
Purtroppo nella console Gestione Criteri di gruppo non è stata fornita la capacità di modificare le impostazioni effettivamente configurate negli oggetti Criteri di gruppo. In altre parole è possibile eseguire operazioni sul contenitore Oggetti Criteri di gruppo, quali leggere le versioni degli Oggetti Criteri di gruppo o le date di modifica, creare nuovi Oggetti Criteri di gruppo, eseguire il backup e il ripristino o l'impostazione di Oggetti Criteri di gruppo da domini diversi e così via, ma non è possibile aggiungere o modificare a livello di programmazione il contenuto dell'Oggetto Criteri di gruppo, ad esempio aggiungendo una nuova cartella reindirizzata o una nuova installazione software. In genere, si procedeva invece creando l'Oggetto Criteri di gruppo e configurando manualmente tutte le impostazioni tramite l'Editor oggetti Criteri di gruppo, quindi si eseguiva il backup dell'oggetto e lo si importava in un ambiente di prova. Dopo avere verificato che tutto funzionasse correttamente, lo si importava nell'ambiente di utilizzo. Malgrado l'assenza di funzionalità, l'utilizzo di script in luogo dell'interazione manuale con l'API GPMC consente un enorme risparmio di tempo e di sforzi, nonché riduce gli errori commessi durante le attività quotidiane di amministrazione di Criteri di gruppo.

Il livello successivo
In che cosa Windows PowerShell differisce dai linguaggi di script come VBScript? Per i principianti, Windows PowerShell è una shell e, almeno ai fini qui contemplati, una shell può essere considerata come un interprete della riga di comando. Nonostante sia possibile eseguire VBScript dalla riga di comando, non è possibile eseguire riga per riga un file VBScript. Al contrario, è possibile creare in tempo reale uno script di Windows PowerShell come una serie di comandi singoli. In Windows PowerShell sono disponibili funzioni operanti come subroutine di VBScript che è possibile creare in tempo reale dal prompt dei comandi di Windows PowerShell.
Per di più, Windows PowerShell è basato su Microsoft .NET Framework, mentre VBScript è basato su una tecnologia COM precedente. Pertanto, la grande quantità di codice .NET che oggi viene prodotta potrà essere utilizzata direttamente da Windows PowerShell.
Se ne deduce che Windows PowerShell offre un supporto completo per gli script e una modalità interattiva, il tutto in un pacchetto. Gli esempi riportati di seguito sono tutti costituiti da input della riga di comando da digitare così come li si legge, ma tuttavia funzioneranno altrettanto bene se vengono inseriti ed eseguiti in un file script di Windows PowerShell.

Ricreare i vecchi script utilizzando Windows PowerShell
L'ultima cosa da fare quando si adotta una nuova tecnologia è non considerare tutto il lavoro precedente. Per accedere agli oggetti COM dall'API GPMC o fondamentalmente riutilizzare qualsiasi codice VBScript già disponibile, è possibile scegliere uno dei tre approcci qui indicati:
  • Creare un cmdlet di Windows PowerShell utilizzando un linguaggio di programmazione come C# o C++ gestito.
  • Utilizzare Windows PowerShell per accedere all'oggetto ScriptControl contenuto in MSScript.ocx per inserire gli script esistenti.
  • Inserire le chiamate COM in funzioni riutilizzabili di Windows PowerShell o, in alternativa, chiamare direttamente gli oggetti COM.
Adotterò soprattutto il terzo approccio, ma vediamo prima rapidamente in che cosa consistono gli altri.

Creazione di un cmdlet in Windows PowerShell
Microsoft ha incluso molti cmdlet Windows PowerShell per consentire la copia dei file, la formattazione dell'output, il recupero di data e ora, e così via, ma è anche possibile creare i cmdlet autonomamente. La procedura è descritta in maniera dettagliata nell'articolo riportato alla pagina msdn2.microsoft.com/ms714598.aspx. Riassumo brevemente i passaggi:
  • Creare una DLL contenente una libreria di classi in uno dei linguaggi di programmazione di .NET, ad esempio C#.
  • Creare una nuova classe ed ereditare dal cmdlet della classe di base.
  • Impostare gli attributi che determinano il nome, l'utilizzo, i parametri di input, e così via, quindi aggiungere il codice.
Considerato che Windows PowerShell si basa su .NET Framework, i tipi presenti nel codice, quali stringa, oggetto e così via, restituiti o inviati come parametri sono identici a quelli di Windows PowerShell, non è pertanto necessaria alcuna conversione tipo speciale.
Il punto di forza di questa soluzione è che si ha a disposizione un linguaggio di programmazione completo.

Inserimento di script esistenti tramite l'oggetto ScriptControl contenuto in MSSCRIPT.ocx
Ovviamente per eseguire un file VBScript è necessario il motore VBScript. Non altrettanto ovvio è che questo motore è un oggetto COM e, visto che è possibile utilizzare oggetti COM da Windows PowerShell, è possibile richiamare il motore VBScript. Ecco un esempio di come potrebbe presentarsi il codice:
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Se il codice viene inserito nell'interfaccia della riga di comando di Windows PowerShell, la funzione ShowMessage di VBScript verrà richiamata ed eseguita con un parametro e come risultato verrà visualizzata una finestra di messaggio contenente il testo Hello World.
Alcuni lettori potrebbero pensare: "Fantastico! Ho già capito come utilizzare COM con Windows PowerShell e quindi posso smettere di leggere l'articolo e cominciare a riempire l'oggetto ScriptControl con la mia raccolta di script GPMC esistenti". Purtroppo non è così. Questa tecnica diventa rapidamente molto complessa e quando gli script aumentano di dimensioni eseguire il debug è tutt'altro che semplice.

Disposizione di oggetti COM
L'opzione migliore è dunque la terza: disporre le chiamate COM in funzioni di Windows PowerShell riutilizzabili che consentono di utilizzare gli oggetti COM nell'API GPMC. Nella riga seguente viene illustrato come creare un oggetto .NET direttamente in Windows PowerShell. In questo caso, si tratta di un oggetto FileInfo che può essere utilizzato per ottenere la dimensione del file:
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Si noti che per i commenti in linea in Windows PowerShell viene utilizzato il simbolo del cancelletto (#). Servendosi di questo oggetto FileInfo del quale è appena stata creata una nuova istanza, è possibile ottenere con facilità la dimensione del file boot.ini semplicemente digitando il codice seguente:
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Un attimo, non dovevamo parlare degli oggetti COM e della conversione in VBScript? Ebbene sì, ma diamo un'occhiata al comando seguente:
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
È possibile osservare che la sintassi è sostanzialmente identica a quella utilizzata in precedenza per creare oggetti nativi da .NET Framework, con due differenze. Innanzitutto, ho aggiunto l'opzione -ComObject la quale fa sì che Windows PowerShell punti al mondo COM anziché al mondo .NET. Secondariamente, utilizzo un ProgID COM anziché un costruttore .NET, in questo caso Scripting.FileSystemObject. ProgID è lo stesso nome che viene sempre utilizzato. L'equivalente in VBScript sarebbe:
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Per ottenere la dimensione del file utilizzando VBScript aggiungere in un file la riga sopra riportata, unitamente al codice seguente:
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
Quindi eseguirlo utilizzando ad esempio Cscript.exe. In Windows PowerShell, la procedura dovrebbe essere come illustrato di seguito, anche eseguendo il codice direttamente dalla riga di comando, se lo si desidera:
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Certo, per convertire uno script VBScript in grado di leggere la dimensione di un file avrei potuto utilizzare il cmdlet di Windows PowerShell che gestisce gli oggetti nelle unità, ma ho preferito dimostrare quanto è facile accedere a COM da Windows PowerShell. Si osservi che nonostante venga fornita a Windows PowerShell l'istruzione di creare un oggetto COM, l'oggetto creato, $il comFileSystemObject, in realtà è un oggetto .NET che inserisce l'oggetto COM e ne espone l'interfaccia. Ai fini di quest'articolo, tuttavia, non è un dettaglio molto rilevante.

Windows PowerShell in azione
Dopo aver visto come accedere a COM da Windows PowerShell, concentriamoci su Criteri di gruppo. Negli esempi qui riportati sono illustrati frammenti di codice che forniscono un'idea di come utilizzare l'API GPMC da Windows PowerShell, ma nel download correlato a questo articolo, in linea all'indirizzo technetmagazine.com/code07.aspx, è disponibile una serie completa di funzioni Windows PowerShell per la gestione di Criteri di gruppo. Nella Figura 1 sono elencate le funzioni incluse nel download.
Figure 1 Funzioni personalizzate disponibili nel download (Close Figure 1)

Nome funzione | Descrizione
BackupAllGpos | Esegue il backup di tutti gli oggetti Criteri di gruppo compresi in un dominio
BackupGpo | Esegue il backup di un solo oggetto Criteri di gruppo
RestoreAllGpos | Ripristina tutti gli oggetti Criteri di gruppo in un dominio da un backup
RestoreGpo | Ripristina un solo oggetto Criteri di gruppo da un backup
GetAllBackedUpGpos | Recupera la versione più recente dei backup di oggetti Criteri di gruppo da un determinato percorso
CopyGpo | Copia le impostazioni di un oggetto Criteri di gruppo in un altro oggetto Criteri di gruppo
CreateGpo | Crea un nuovo oggetto Criteri di gruppo vuoto
DeleteGpo | Elimina un oggetto Criteri di gruppo
FindDisabledGpos | Restituisce tutti gli oggetti Criteri di gruppo in cui sia la parte utente sia la parte computer sono disattivate
FindUnlinkedGpos | Restituisce tutti gli oggetti Criteri di gruppo privi di collegamenti
CreateReportForGpo | Crea un report XML per un solo oggetto Criteri di gruppo di un dominio
CreateReportForAllGpos | Crea un report XML separato per ogni oggetto Criteri di gruppo di un dominio
GetGpoByNameOrID | Trova un oggetto Criteri di gruppo in base al relativo nome visualizzato o ID
GetBackupByNameOrId | Trova il backup di un oggetto Criteri di gruppo in base al relativo nome visualizzato o ID
GetAllGposInDomain | Restituisce tutti gli oggetti Criteri di gruppo di un dominio
È possibile avviare la riga di comando di Windows PowerShell e digitare i comandi mentre si legge questa sezione. Tenere presente tuttavia che alcuni comandi dipendono dai precedenti. Vale a dire che alcuni degli oggetti creati inizialmente verranno utilizzati in seguito, quindi è bene restare nella stessa sessione di Windows PowerShell. Se la si chiude, sarà necessario ricominciare da capo e ridigitare tutti i comandi.
Creiamo quindi un nuovo oggetto Criteri di gruppo utilizzando Windows PowerShell. Il team di Microsoft che si è occupato di Criteri di gruppo ha incluso nella console Gestione Criteri di gruppo vari esempi VBScript completamente funzionanti dei quali è possibile avvalersi per velocizzare le operazioni. Sono contenuti nella directory %Programmi%\GPMC\Scripts, nella quale è presente anche un file, denominato gpmc.chm, contenente la documentazione dell'API GPMC. Esaminiamo ora lo script CreateGPO.wsf e scomponiamolo in sezioni per capire come funziona.
Nella parte iniziale è presente la riga seguente:
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
In pratica questa riga costituisce il punto di partenza di tutte le sessioni o script di gestione di Criteri di gruppo in quanto crea un'istanza della classe GPMgmt.GPM che consente l'accesso a gran parte della funzionalità della console Gestione Criteri di gruppo. Proseguiamo svolgendo invece le seguenti operazioni in Windows PowerShell:
$gpm = New-Object -ComObject GPMgmt.GPM
Ora che conosciamo il punto di partenza per la gestione di Criteri di gruppo, proviamo a immaginare come possiamo utilizzarla. In genere per questo tipo di informazioni ci si affida alla documentazione, ma Windows PowerShell dispone di una funzionalità davvero comoda. Digitando la riga seguente, si ottiene l'output illustrato nella Figura2:
Figura 2 Output di Get-Member
Figura 2 Output di Get-Member
$gpm | gm
Niente male, secondo me. Si noti come il cmdlet Get-Member (o gm) consente di vedere le proprietà e i metodi supportati dall'oggetto dalla riga di comando. Certo, non è come leggere la documentazione, ma agevola l'utilizzo di oggetti già noti quando non si ricorda il numero esatto dei parametri, il nome preciso e così via. Un punto importante da sottolineare è che l'elenco dei nodi contenuto nella documentazione della console Gestione Criteri di gruppo è simile all'oggetto GPM e tutte le altre classi dispongono della lettera I come prefisso. Ciò è dovuto al funzionamento intrinseco di COM e in questa sede non è importante. Questo sistema è rivolto ai programmatori che utilizzano C++ per scrivere il codice COM nativo e denota la differenza tra un'interfaccia e la classe che la implementa. Inoltre, tenere presente che quando si utilizzano le API GPMC è necessario creare in questo modo soltanto un oggetto, ossia GPMgmt.GPM. Tutti gli altri oggetti vengono creati utilizzando metodi che partono da quest'oggetto GPM.
Continuiamo con la creazione di un nuovo oggetto Criteri di gruppo.
Nella Figura 3 è illustrato quanto sia semplice creare un oggetto Criteri di gruppo. Confesso di avere tralasciato parte del codice, compreso quella relativa alla gestione degli errori (ovvero ciò che succederebbe, ad esempio, se non si fosse autorizzati a creare oggetti Criteri di gruppo) e di avere specificato a livello di codice un nome di dominio, ma dovrebbe comunque rendere l'idea.
Figure 3 Creazione di un oggetto Criteri di gruppo (Close Figure 3)
$gpmConstants = $gpm.GetConstants()
# This is the GPMC way to retrieve all
# constants
$gpmDomain =$gpm.GetDomain(“Mydomain.local”, “”, $gpmConstants.UseAnyDC)
# Connects to the domain where the GPO should
# be created, replace Mydomain.local with the
# name of the domain to connect to.
$gpmNewGpo = $gpmDomain.CreateGPO()
# Create the GPO
$gpmNewGpo.DisplayName = “My New Windows PowerShell GPO”
# Set the name of the GPO
Dopo aver descritto come creare un oggetto Criteri di gruppo, apriamone invece uno esistente. Il riferimento al dominio $il gpmDomain è tutt'ora valido, quindi digitiamo quanto segue:
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Viene generato un report HTML delle impostazioni contenute nel Criterio dominio predefinito, ma è naturalmente possibile utilizzare qualunque metodo e proprietà, come ModificationTime, che fornisce informazioni relative all'ultima volta in cui l'oggetto Criteri di gruppo è stato modificato, per scoprire quando sono state modificate le impostazioni dell'oggetto Criteri di gruppo.
Si tratta di una funzionalità estremamente utile. Probabilmente il telefono non la smetta più di suonare per tutte le chiamate degli utenti che si lamentano dello strano funzionamento dei loro computer. In tal caso, al programmatore viene il sospetto che il problema sia legato a un'impostazione dell'oggetto Criteri di gruppo modificata, aggiunta o eliminata, ma senza uno straccio di indizio su quale sia l'oggetto incriminato. Aiuto, Windows PowerShell! Immettendo nella riga di comando di Windows PowerShell lo script illustrato nella Figura 4, vengono visualizzati tutti gli oggetti Criteri di gruppo modificati durante le ultime 24 ore.
Figure 4 Individuazione degli oggetti Criteri di gruppo modificati (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Si osservi l'operatore -ge, equivalente a maggiore di o uguale a. Potrebbe sembrare strano se si è abituati agli operatori < e > di altri linguaggi di script o di programmazione, ma tali operatori vengono utilizzati per il reindirizzamento, ad esempio per reindirizzare l'output al file, quindi non possono essere utilizzati come operatori di confronto in Windows PowerShell.

Disposizione testo
Nel codice illustrato nella Figura 5 è contenuto l'intero script per la copia delle impostazioni di un oggetto Criteri di gruppo in un altro oggetto Criteri di gruppo. A questo punto dovrebbe essere più chiaro come utilizzare questa nuova tecnologia con i Criteri di gruppo e come riutilizzare gli oggetti COM o il codice VBScript che utilizza un oggetto COM.
Figure 5 Copia delle impostazioni di un oggetto Criteri di gruppo in un altro oggetto Criteri di gruppo (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
Windows PowerShell è destinato a diventare, proprio com'è avvenuto per Criteri di gruppo, parte integrante di tutti gli ambienti di gestione Windows. Ma nel mondo esistono milioni di righe di codice VBScript di cui eseguire la migrazione o la manutenzione e speriamo che questa esercitazione possa essere d'aiuto.
È disponibile molto materiale di consultazione utilizzabile per migliorare l'amministrazione di Criteri di gruppo e altri settori in cui è stato utilizzato precedentemente VBScript, comprese le funzioni Windows PowerShell disponibili nell'area download, unitamente a una guida utile per la conversione da VBScript a Windows PowerShell, disponibile sul sito Web di TechNet, che include suggerimenti su come svolgere attività comuni in Windows PowerShell quando si conosce l'equivalente in VBScript. L'indirizzo è il seguente: microsoft.com/technet/scriptcenter/topics/winpsh/convert.
L'API GPMC è inoltre corredata di una documentazione completa. Le informazioni possono essere scaricate dal sito di Criteri di gruppo, all'indirizzo microsoft.com/grouppolicy.
Infine chi non ha ancora installato Windows PowerShell, si affretti, potrà scaricarlo da microsoft.com/powershell. Buon divertimento.

Thorbjörn Sjövold è il fondatore e responsabile delle tecnologie di Special Operations Software (www.specopssoft.com), una società che fornisce prodotti per la gestione dei sistemi basata sui Criteri di gruppo e l'estensione della protezione. È possibile contattarlo inviando un messaggio all'indirizzo thorbjorn.sjovold@specopssoft.com.


 Amministrazione di Windows: Guida alla distribuzione dei Servizi terminal
Amministrazione di Windows James D. Silliman

Guida alla distribuzione dei Servizi terminal
Panoramica:
  • Distribuzione di Servizi terminal con pochi e semplici passaggi
  • Ottimizzazione di Office nell'ambiente Servizi terminal
  • Gestione efficiente degli utenti mediante Servizi terminal

Flashback al 1998: Microsoft rilascia Windows NT 4.0 Terminal Server Edition, nome in codice "Hydra". Microsoft concede in licenza la tecnologia brevettata da Citrix Systems, creando la sua prima offerta
thin client/server. Per gli amministratori di sistema, la distribuzione di "Hydra" rappresentava un processo piuttosto complesso. Nel giro di pochi anni, Servizi terminal è stato modificato in modo radicale. È stato completamente integrato nel kernel e può essere installato con facilità mediante l'Installazione guidata incorporata, che non richiede alcun CD separato o l'esecuzione del download da Internet. Data la relativa facilità di installazione, numerosi sono i motivi a supporto dell'opportunità di distribuire Servizi terminal nella propria organizzazione. Il vantaggio più immediato è rappresentato dalla possibilità di eseguire tutte le applicazioni su un server o su più server centrali e, pertanto, l'architettura e l'hardware client non rappresentano alcun problema. Tutto ciò di cui l'utente finale necessita è un client Remote Desktop Protocol (RDP) per connettersi ai server centrali. Fortunatamente, i client RDP sono disponibili per la maggior parte delle architetture più recenti.
In questo articolo verrà illustrato come attivare Servizi terminal su un'installazione di Windows Server® 2003 esistente, come applicare Criteri di gruppo per Servizi terminal e come utilizzare l'installazione guidata personalizzata per automatizzare le impostazioni dei profili di Microsoft® Outlook®. Al termine, si avrà a disposizione un Terminal Server completamente distribuito che consente l'accesso alle applicazioni agli utenti finali.

Introduzione
Il primo passaggio da eseguire per installare Servizi terminal consiste nell'aprire la Configurazione guidata server integrata, situata in Strumenti di amministrazione di Windows Server 2003. Selezionare Terminal Server e fare clic su Avanti finché la procedura guidata non viene completata. Il programma di installazione visualizza un avviso che informa l'utente che avvierà automaticamente il computer per inizializzare le modifiche. Dopo il riavvio, il server sarà in modalità Terminal Server.
Prima di iniziare, assicurarsi tuttavia di avere a disposizione le licenze di accesso client (CAL) di Servizi terminal; in caso contrario, nessun utente sarà in grado di eseguire la connessione dopo la distribuzione. A questo punto, unire il computer su cui è in esecuzione Servizi terminal al dominio Active Directory® ed eseguire l'accesso con un account con privilegi di amministratore di dominio. Se non si fa parte di un dominio, sarà difficile procedere perché non si sarà in grado di attivare Criteri di gruppo. Nel presente articolo, il server in cui verrà installato Servizi terminal è denominato TS01.
Successivamente, avviare Utenti e computer di Active Directory da Strumenti di amministrazione e creare una nuova unità organizzativa in cui inserire Terminal Server. Per semplicità, all'unità organizzativa verrà assegnato il nome piuttosto "originale" di Terminal Servers. Individuare il Terminal Server in uso, TS01, e spostarlo nella nuova unità organizzativa Terminal Servers.
Successivamente, scaricare e installare la console Gestione Criteri di gruppo (GPMC) dal sito Web microsoft.com/windowsserver2003/gpmc. Questa utilità di gestione consente di impostare un nuovo criterio di gruppo, assegnare autorizzazioni a tale criterio e modificare il criterio in modo da poter attivare o disattivare le impostazioni dei criteri applicabili per ciascun utente che si connetterà. GPMC è uno strumento essenziale per la distribuzione di Servizi terminal in quanto dispone di una procedura di modellazione guidata integrata che riflette immediatamente i criteri che sono stati applicati a un utente e i criteri che non sono stati applicati.
Avviare la console GPMC da Strumenti di amministrazione e individuare la nuova unità organizzativa Terminal Servers nella parte sinistra della finestra Gestione Criteri di gruppo. Fare clic con il pulsante destro del mouse sull'unità organizzativa, scegliere Create and Link a GPO Here, come illustrato nella Figura 1, e assegnare a questo oggetto un nome funzionale come Terminal Server Policy #1.
Figura 1 Creazione e collegamento di un nuovo oggetto Criteri di gruppo
Figura 1 Creazione e collegamento di un nuovo oggetto Criteri di gruppo
A questo punto, nella casella Filtri di protezione nella parte destra della finestra GPMC verrà visualizzato il gruppo Authenticated Users. Questo gruppo viene aggiunto per impostazione predefinita a tutti gli oggetti Criteri di gruppo. Fare clic sul gruppo, quindi sul pulsante Rimuovi. È opportuno invece impostare un gruppo di Servizi terminal nella struttura di Active Directory a cui applicare gli oggetti Criteri di gruppo quando gli utenti accedono a TS01. Il gruppo di Servizi terminal verrà chiamato BottleWashers. Procedere aggiungendo questo gruppo alla struttura di Active Directory mediante Utenti e computer di Active Directory in Strumenti di amministrazione. È necessario inoltre aggiungere BottleWashers al gruppo Utenti desktop remoto in TS01 e in qualsiasi altro Terminal Server installato.
Accedere alla scheda Ambito. Fare clic sul pulsante Aggiungi nella casella Filtri di protezione e aggiungere BottleWashers come gruppo. Al gruppo BottleWashers verranno automaticamente assegnati i diritti Lettura e Applica Criteri di gruppo per Terminal Server Policy #1. Queste due autorizzazioni rappresentano i diritti predefiniti di Criteri di gruppo e sono necessarie per l'applicazione di criteri a un oggetto.
Aggiungere quindi anche il server TS01 alla casella Filtri di protezione. Per questa operazione, è necessario eseguire un passaggio aggiuntivo. Fare clic su Aggiungi, quindi in Tipi di oggetto assicurarsi di inserire un segno di spunta nella scheda Computer; in caso contrario la console GPMC non sarà in grado di individuare TS01 in Active Directory. Il risultato finale dovrebbe essere simile a quanto riportato nella Figura 2.
Figura 2 Aggiunta di TS01 alla casella Filtri di protezione
Figura 2 Aggiunta di TS01 alla casella Filtri di protezione
L'aggiunta di TS01 alla casella Filtri di protezione determina l'assegnazione automatica a questo server dei diritti appropriati per i criteri. È consigliabile a questo punto fare clic sulla scheda Delega in alto a destra della schermata GPMC, quindi individuare Domain Admins, che per impostazione predefinita è elencato in tutti i nuovi criteri. Fare clic sul pulsante Avanzate nell'angolo inferiore destro della schermata.
Verranno visualizzate le impostazioni di protezione per l'oggetto Criteri di gruppo. Accertarsi di selezionare Domain Admins, quindi individuare l'impostazione Applica Criteri di gruppo nella parte inferiore. Sul lato destro, selezionare l'opzione Nega. Quando si fa clic su OK, viene visualizzato il messaggio di avviso standard che viene generato ogni volta che si imposta l'autorizzazione Nega. Questa operazione impedisce l'applicazione del nuovo criterio di Servizi terminal a Domain Admins, un risultato tutt'altro che desiderato.
Nella sezione precedente di questo articolo avevo avvertito della necessità di avere a portata di mano le licenze di accesso client Microsoft. Sarà infatti necessario esaminare la documentazione relativa alle licenze per determinare quali licenze di accesso client di Servizi terminal si sono acquistate. Sono disponibili due tipi di licenze di accesso client per Terminal Server: Per Utente e Per Dispositivo. Per ulteriori informazioni sulla gestione delle licenze, visitare il sito Web all'indirizzo microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx.
In sostanza, la gestione licenze Per Utente consente a un utente di utilizzare una sola licenza di Terminal Server, indipendentemente dal numero di dispositivi (computer) da cui l'utente si connette.
Se nel dominio non è già presente un server licenze Terminal Server, individuare un server membro che possa assumere questo ruolo. Nonostante sia supportato, è preferibile non impostare TS01 come server licenze in quanto se si prevede di aggiungere più Terminal Server alla propria organizzazione in futuro, non si sarà in grado di garantire livelli elevati di tolleranza d'errore per l'infrastruttura. Accedere al Pannello di controllo sul server licenze specificato. Aprire Installazione applicazioni | Componenti di Windows | Licenze Terminal Server, quindi seguire le istruzioni per l'attivazione del server licenze. Una volta completata l'attivazione, fare clic su Avvio | Esegui e immettere:
tscc.msc
Verrà visualizzata la struttura Configurazione Terminal Server/Impostazioni server. In questa struttura fare clic su Impostazioni server | Gestione licenze e scegliere Per Utente o Per Dispositivo. L'impostazione predefinita è Per Dispositivo. Se nel proprio dominio è già presente un server licenze Terminal Server, all'interno di Terminal Server Policy #1 è disponibile un'impostazione che indica il server che svolge il ruolo di server licenze. Una volta completata questa attività, accedere di nuovo a Avvio | Esegui e digitare:
licmgr.exe
A questo punto, è necessario attivare le CAL in modo che gli utenti possano connettersi. Per praticità, è possibile eseguire questa operazione per telefono o dal Web. Gli utenti pertanto saranno in grado di connettersi a Terminal Server ma non saranno disponibili criteri attivati. A questo punto non resta quindi che impostare alcuni criteri importanti. Alcuni dei criteri consigliati da Microsoft sono riportati nell'articolo della Knowledge Base "Blocco di una sessione di Terminal Server in Windows Server 2003 o Windows 2000".

Attivazione dei criteri
L'aspetto principale da tenere presente è non iniziare ad attivare i criteri senza prima conoscere esattamente la funzione svolta da ciascun criterio in modo da evitare risultati indesiderati. Un approccio migliore consiste nell'attivare pochi criteri essenziali ed eseguirne ampiamente il test in un ambiente di laboratorio.
Come primo criterio, è opportuno attivare il criterio di loopback. Per attivarlo, avviare GPMC, individuare Terminal Server Policy #1, fare clic con il pulsante destro del mouse su di esso e scegliere Modifica. Accedere a Configurazione computer | Modelli amministrativi | Sistema | Criteri di gruppo e attivare l'impostazione Modalità di elaborazione loopback dei Criteri di gruppo utente. Dopo aver attivato questo criterio, impostare il valore della relativa modalità, che può essere Sostituisci o Unisci. Per ottenere risultati ottimali in Servizi terminal, selezionare Sostituisci.
Un'altra impostazione di Terminal Server che è opportuno attivare è Aggiungi il gruppo di protezione Administrators ai profili utente comuni in Configurazione computer\Modelli amministrativi\Sistema\Profili utente. Questa impostazione assicura che un utente, in qualità di amministratore, disponga sempre del controllo completo sulle cartelle dei profili utente. È consigliabile impostare questa opzione il prima possibile in quanto non sarà più applicabile se le cartelle sono già state create dopo il primo accesso dell'utente (vedere la Figura 3).
Figura 3 Attivazione del valore Aggiungi il gruppo di protezione Administrators ai profili utente comuni
Figura 3 Attivazione del valore Aggiungi il gruppo di protezione Administrators ai profili utente comuni
Una serie completa di criteri è disponibile in Configurazione computer\Modelli di amministrazione\Componenti di Windows\Servizi terminal. Attivare le seguenti opzioni:
  • Limita gli utenti di Servizi terminal a una sola sessione remota
  • Imposta percorso per profili comuni TS
  • Home directory utente TS
Tenere presente, tuttavia, che la limitazione degli utenti di Servizi terminal a una sola sessione remota non impedirà agli utenti di eseguire l'accesso più volte, come si potrebbe pensare. Al contrario, quando un utente tenta di avviare una seconda sessione di Servizi terminal, assume semplicemente il controllo della prima sessione di accesso.
I profili comuni sono un elemento essenziale per il corretto funzionamento di Terminal Server. Per impostazione predefinita, quando un utente accede a un Server Terminal, viene creato un profilo locale nell'unità C: di Terminal Server, anche se l'unità C: non è visibile agli utenti. Il comportamento predefinito per un profilo comune prevede la sincronizzazione del profilo locale con una risorsa condivisa del profilo comune nella rete quando l'utente si disconnette. È possibile impostare un criterio di gruppo per l'eliminazione di questo profilo locale quando l'utente si disconnette.
Gli altri due criteri di Servizi terminal sopra riportati, Imposta percorso per profili comuni TS e Home directory utente TS, sono correlati ai profili comuni. Queste impostazioni sono spesso specificate a livello di codice nella casella Percorso profilo Servizi Terminal per di un utente di Active Directory. È preferibile e molto più semplice impostare i percorsi di Servizi terminal tramite Criteri di gruppo. Nel caso dei percorsi per il profilo di Servizi terminal di Utenti e computer di Active Directory, se si imposta un nuovo utente o si copia un utente esistente, le informazioni sul percorso del profilo del server Servizi terminal dovranno essere aggiunte manualmente ogni volta, un problema non indifferente. È consigliabile impostare questi percorsi su una condivisione di rete e utilizzare un oggetto Criteri di gruppo per configurarli automaticamente.

Reindirizzamento cartelle
A questo punto, è possibile procedere con una rapida illustrazione di un altro componente molto importante di Servizi terminal, Reindirizzamento cartelle, che consente di ottimizzare l'utilizzo di Servizi terminal impedendo tempi di accesso e di disconnessione eccessivamente lunghi. Le cartelle che è possibile reindirizzare sono Dati applicazioni, Desktop, Documenti e il menu Avvio. Queste quattro cartelle devono essere presenti in una condivisione di rete e richiedono specifici elenchi di controllo di accesso (ACL). Per ulteriori informazioni su questo argomento, consultare l'articolo della Knowledge Base "Creazione dinamica di cartelle reindirizzate con protezione migliorata mediante l'utilizzo della funzionalità Reindirizzamento cartelle in Windows 2000 e in Windows Server 2003".
Il vantaggio di Reindirizzamento cartelle è che l'intero profilo utente non deve essere copiato a ogni accesso o disconnessione dell'utente. Servizi terminal riconosce che queste cartelle risiedono sulla rete e in sostanza fornisce un puntatore a tali cartelle.
Quando si utilizzano profili comuni e Reindirizzamento cartelle, è opportuno esplorare il componente File system distribuito (DFS, Distributed File System) per semplificare la gestione delle condivisioni di rete. A causa dei limiti di spazio, in questo articolo non verrà esaminato il componente DFS, ma è possibile ottenere informazioni più approfondite in merito nel centro Risorse di DFS.
Le impostazioni per Reindirizzamento cartelle sono disponibili in Configurazione utente\Impostazioni di Windows\Reindirizzamento cartelle (vedere la Figura 4). I valori della cartella Reindirizzamento cartelle sono molto semplici. È opportuno rimuovere il segno di spunta in ogni impostazione di Reindirizzamento cartelle con etichetta Concedi all'utente i diritti esclusivi per; in caso contrario gli amministratori non saranno in grado di accedere alle cartelle.
Figura 4 Posizione delle impostazioni di Reindirizzamento cartelle
Figura 4 Posizione delle impostazioni di Reindirizzamento cartelle

Installazione di Microsoft Office
A questo punto, essendo stati attivati alcuni criteri essenziali, è possibile procedere con l'installazione di Microsoft Office 2003 o Microsoft Office System 2007. Microsoft Office è stato ottimizzato per Servizi terminal e pertanto non è necessario apportare molte modifiche durante il processo di installazione. Gli elementi a larghezza di banda elevata all'interno della famiglia di prodotti di Office sono per impostazione predefinita disattivati. A questo punto, è necessario eseguire il download e l'installazione dei file del modello amministrativo (ADM, Administrative Template File) di Criteri di gruppo in modo da poter controllare i criteri all'interno della famiglia di prodotti di Office.
I file ADM sono disponibili all'indirizzo microsoft.com/office/orkarchive/2003ddl.htm. Ai fini del presente articolo, è necessario scaricare solo due file: File di modello di Office (ORKSP2AT.exe) e l'installazione guidata personalizzata. Tuttavia, il secondo file è necessario solo se si intende distribuire Office 2003. Office System 2007 non prevede l'utilizzo di questa procedura guidata; è sufficiente fare clic su Avvio | Esegui e digitare Setup /a. In tal modo, l'applicazione viene avviata automaticamente.
Una volta eseguita la decompressione del primo file, ORKSP2AT.exe, verranno visualizzati numerosi file. I file office11.adm e outlk11.adm sono i file da utilizzare (vedere la Figura 5).
Figura 5 File di modello di Office
Figura 5 File di modello di Office
Avviare Esplora risorse e copiare questi due file in %systemroot%\inf. Avviare di nuovo la console GPMC. Individuare Terminal Server Profile #1 in Oggetti Criteri di gruppo, fare clic con il pulsante destro del mouse su di esso e scegliere Modifica. Accedere a Configurazione computer\Modelli amministrativi all'interno del criterio definito. Fare clic con il pulsante destro del mouse su Modelli amministrativi e scegliere Aggiunta/Rimozione modelli, come illustrato nella Figura 6.
Figura 6 Aggiunta di modelli amministrativi all'oggetto Criteri di gruppo
Figura 6 Aggiunta di modelli amministrativi all'oggetto Criteri di gruppo
A questo punto, i due file sono disponibili per l'utilizzo. Aggiungere un file per volta. Questi file di modello vengono visualizzati in Configurazione utente\Modelli amministrativi\Microsoft Office 2003 e in Configurazione utente\Modelli amministrativi\Microsoft Office Outlook 2003. È possibile visualizzare le impostazioni di questi modelli e attivarle o disattivarle in base alle esigenze.
In questo articolo non verranno esaminate molte impostazioni, ma è opportuno rimuovere due di esse: Assistente di Office e Archiviazione automatica di Outlook. Notare che alcune impostazioni, come Exchange Cache Mode e il filtro della Posta indesiderata, sono disattivate per impostazione predefinita in Servizi terminal; pertanto non è necessario disattivare questi criteri.
Ulteriori informazioni sono disponibili in "Funzionalità di Outlook disattivate con Servizi terminal". L'Assistente di Office può essere disattivato selezionando Configurazione utente\Modelli amministrativi\Microsoft Office 2003\Assistente\Opzioni in Criteri di gruppo.
In un ambiente Servizi terminal, è opportuno impedire la continua visualizzazione di messaggi di richiesta di intervento da parte dell'utente. Un esempio particolarmente intrusivo di messaggi di questo tipo è rappresentato dalle impostazioni di archiviazione automatica della porta per Outlook. Se questa impostazione viene ignorata in Criteri di gruppo, a intervalli specifici verrà visualizzato un messaggio in cui viene chiesto agli utenti di eseguire l'archiviazione automatica. La disattivazione di questa impostazione ne determina la rimozione dal menu Preferenze di Outlook. Naturalmente, potrebbe essere necessario eseguire l'archiviazione automatica. A tal fine, è possibile ottimizzare le impostazioni in Configurazione utente\Modelli amministrativi\Microsoft Office Outlook 2003\Strumenti | Opzioni\Archiviazione automatica all'interno del criterio.
Il passaggio successivo da eseguire per assicurare una corretta distribuzione di Servizi terminal prevede l'installazione di un file PRF di Outlook in modo da impedire la visualizzazione di messaggi in cui viene chiesto agli utenti di configurare manualmente le relative impostazioni di Outlook. Questa attività, al contrario di quanto possa sembrare, non è affatto complessa. Richiede semplicemente l'installazione di OrkTools e l'utilizzo dell'installazione guidata personalizzata per creare un file PRF che indichi all'Installazione guidata di Outlook le azioni da intraprendere. Microsoft Office System 2007 dispone di un meccanismo che rende obsoleto il processo, anche se è comunque possibile utilizzare un file PRF con Office se si desidera.
A questo punto, è possibile installare un file PRF di Outlook tramite CIW. È opportuno non eseguire l'intera routine CIW, ma solo la parte necessaria per esportare il file PRF modificato. È necessario eseguire solo alcuni passaggi.
Innanzitutto, avviare e decomprimere il secondo file scaricato in precedenza, ovvero l'installazione guidata personalizzata. Dopo aver avviato la procedura guidata da Avvio | Programmi | Microsoft Office 2003 Resource Kit, verrà chiesto di specificare il percorso del file MSI di Office 2003. Inserire il disco di Office 2003 e specificare il nome e il percorso del file MSI.
Nel file CIW, passare direttamente alla pagina 17 di 24, ignorando la parte rimanente del file CIW, quindi creare il file PRF. Al punto 17, selezionare Nuovo profilo e assegnargli un nome, ad esempio Outlook, quindi fare clic su Avanti. Verrà visualizzata una schermata che consente di selezionare un server di Exchange (come nella Figura 7). Immettere il nome del server di Exchange e fare clic su Avanti per procedere.
Figura 7 Configurazione della connessione a un server di Exchange
Figura 7 Configurazione della connessione a un server di Exchange
È consigliabile aggiungere la Rubrica di Outlook al profilo creato. In tal modo, gli utenti potranno selezionare i relativi contatti durante la creazione di un nuovo messaggio. Questo singolo passaggio potrebbe consentire di evitare di eseguire manualmente numerose operazioni. È inoltre possibile configurare funzionalità personalizzate aggiuntive se si fa clic sul pulsante Aggiungi. Fare quindi clic su Avanti ed esportare il file PRF.
A questo punto, è necessario creare un file batch e posizionarlo nella condivisione Netlogon nel controller di dominio, anziché in TS01. Il file batch consente di avviare qualsiasi mapping necessario e installare il file PRF per la distribuzione. Ho semplificato questa attività scrivendo gli script WMI. Tuttavia, è opportuno utilizzare questi script solo come riferimento; è necessario infatti inserire le informazioni pertinenti allo specifico scenario. Se si preferisce, è possibile utilizzare un altro processore di script, come KiXTart.
Il file batch (logon.bat) dovrebbe contenere queste righe:
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
Il file Clean.vbs rimuoverà la chiave del Registro di sistema FirstRun in modo da consentire a Outlook di elaborare il file PRF:
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
Il file Outlook.vbs aggiungerà la chiave di installazione di Outlook corretta al Registro di sistema per ciascun utente di Terminal Server. È necessario fornire il percorso in SValue= setting e non dimenticare di aggiungere il file PRF personalizzato alla directory di rete:
sValue = \\Serv01\PRF\Outlook.prf
Modificare questo percorso e inserirvi il file Outlook.prf:
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
Il passaggio successivo del processo di distribuzione prevede l'installazione di Office 2003 o di Microsoft Office System 2007 in TS01. Come menzionato in precedenza, Microsoft Office è stato ottimizzato per un ambiente Servizi terminal. Non è più necessario creare trasformazioni personalizzate. È possibile disattivare altre funzionalità di Office, oltre a quelle preselezionate, ma non è obbligatorio. È inoltre possibile attivare le funzionalità desiderate, ma questa operazione può avere un impatto negativo sulla larghezza di banda. Ricordare di eseguire il test di tutte le funzionalità attivate in un ambiente di laboratorio prima di distribuirle in un ambiente di produzione.
Prima di installare la versione di Microsoft Office, impostare TS01 sulla modalità utente appropriata. Sono disponibili due opzioni: modalità di installazione e modalità di esecuzione. Prima di eseguire un'installazione software, è necessario attivare la modalità di installazione. Per impostare TS01 sulla modalità di installazione, al prompt dei comandi digitare:
C:>change user /install
Una volta completata l'installazione, impostare TS01 sulla modalità di esecuzione digitando:
C:>change user /execute
Se si esegue un file Setup.exe o Install.exe in TS01, verrà automaticamente avviata la modalità di installazione. Tutti i prodotti di Microsoft includono questi file di avvio. Tuttavia, alcune applicazioni non prevedono l'utilizzo di uno di questi file e, pertanto, per evitare problemi utilizzare il comando Cambia. Nel caso in cui venga dimenticata la modalità che si è impostato, procedere come segue: Eseguire semplicemente il comando riportato di seguito che indicherà quanto segue:
C:>change user /query
Già essere arrivati fino a questo punto è un bel traguardo. Ora è possibile accedere a una workstation client di Windows, fare clic su Avvio | Esegui e digitare il seguente comando:
mstsc
Se si utilizza Windows 2000, è possibile scaricare l'utilità Client di Servizi terminal (Mstsc) Microsoft.
Verrà visualizzata la schermata Connessione desktop remoto. Digitare semplicemente il nome per il Terminal Server o l'indirizzo IP per la connessione. Sono disponibili diverse impostazioni sotto il pulsante Opzioni che consentono, ad esempio, di specificare se connettere unità locali o stampanti oppure se modificare la risoluzione video. È inoltre possibile impostare come hardcoded TS01 nell'area Opzioni e salvare il profilo RDP sul desktop. Per impostazione predefinita, il profilo RDP è denominato Default.RDP.

Attività amministrative
Se si desidera eseguire alcune attività amministrative in TS01, è consigliabile utilizzare il comando riportato di seguito in quanto simula le stesse azioni che di solito richiedono la presenza fisica dell'utente alla console del sistema.
Mstsc /console
Se si gestiscono diversi Terminal Server, è opportuno utilizzare l'utilità Desktop remoti in Strumenti di amministrazione in quanto consente di organizzare tutti i Terminal Server remoti in uso in una singola struttura.
L'ultimo comando con cui è opportuno acquisire familiarità è Tsadmin, che consente di visualizzare gli utenti connessi al Terminal Server e i processi di Windows aperti dagli utenti. Consente inoltre di eseguire lo shadowing degli utenti, un enorme vantaggio per gli amministratori. Tenere presente, tuttavia, che se si avvia TSadmin dalla workstation, non si sarà in grado di eseguire lo shadowing degli utenti. Sarà possibile solo visualizzare le connessioni. Per eseguire lo shadowing degli utenti, disconnetterli, o inviare loro un messaggio, è necessario accedere direttamente al server TS01.

Conclusioni
A questo punto, si dovrebbe disporre di una conoscenza approfondita di Servizi terminal e, pertanto, la distribuzione di un Terminal Server si rivelerà un'attività estremamente semplice. È necessario approfondire numerosi altri argomenti, tra cui le impostazioni di Criteri di gruppo e DFS; tuttavia, tenere semplicemente presenti le nozioni di base, come non perdere la testa durante l'impostazione degli oggetti Criteri di gruppo e testare questi oggetti in numerosi scenari prima di renderli disponibili agli utenti, costituisce già un buon punto di partenza.

James D. Silliman, MCSE, è Senior Systems Engineer presso DirectApps, Inc. ed è specializzato nella distribuzione di Terminal Server. DirectApps si occupa della progettazione delle soluzioni .NET e fornisce servizi di hosting e ASP. È possibile contattarlo all'indirizzo James@directapps.com.


 Dal redattore: Protezione ovunque
Dal redattore
Protezione ovunque
Joshua Trupin

Oggi è possibile lavorare ovunque ci si trovi. Negli ultimi dieci anni, il concetto di mobilità dell'ufficio si è realmente sviluppato. Non è più necessario essere seduti alla scrivania per svolgere il proprio lavoro. Le tecnologie di mobilità consentono di essere produttivi per strada, a casa, in treno, anche in auto mentre si è fermi a un semaforo (facendo molta attenzione). È veramente un mondo meraviglioso. A meno di essere un responsabile IT che deve affrontare forse la sua più grande sfida: proteggere e gestire le periferiche che possono muoversi e allontanarsi.
Negli anni '80 protezione significava reagire all'individuazione di nuovi virus dicendo alle persone di mettere i floppy in custodie di plastica per tenerli lontani uno dall'altro. No, seriamente, quando ho seguito questo consiglio, presso un mio precedente datore di lavoro, nessun computer è mai stato attaccato dai virus! Se un programma non autorizzato contagiava un computer, il danno rimaneva contenuto a meno che qualcuno non trasportasse un floppy contenente virus alla scrivania accanto. A volte era più semplice per i professionisti IT andarsi a fare un giro e rimuovere tutte le unità da 5,25" mentre gli altri erano fuori a pranzo. I più fortunati avevano un disco rigido da 10 MB per i dati.
Negli anni '90, è diventato sempre più difficile scoprire gli utenti che contagiavano le proprie macchine perché iniziavano a diffondersi i virus trasmessi tramite il Web. A differenza del decennio precedente, non era più possibile proteggere i computer strappando i dischetti dalle mani di qualcuno con una mossa da film al rallentatore.
Al giorno d'oggi è necessario proteggere l'intera organizzazione aziendale, gestire i criteri di distribuzione di gruppo, preparare i firewall, le quarantene e i percorsi obbligati. E adesso cosa succede? È tutta l'organizzazione ad andarsene in giro! Diritto fuori dalla porta. Che cosa facciamo?
Proteggere i beni in ufficio è soltanto una parte della sfida nell'attuale ambiente IT. Qualunque organizzazione è forte soltanto quanto il suo punto più debole. Se i dipendenti si spostano con dispositivi mobili e con computer portatili connessi alla rete è come andarsele a cercare. Questo mese il nostro editoriale discute di come proteggere i dispositivi mobili in modo che l'amministratore IT, ormai esausto, possa dormire sonni tranquilli.
Naturalmente c'è anche molto altro in questo numero. Si discutono la gestione degli obblighi di conformità con Exchange Server, la protezione dell'accesso alla rete, la distribuzione dei Servizi Terminal, Windows PowerShell, SQL Server e molte altre cose. Non basterebbe una pagina intera a elencarle tutte. In effetti ne servono due, a giudicare dal nostro indice.
Chi vuole descrivere la situazione di protezione più insolita mai incontrata in azienda? Nel blog di TechNet Magazine (blogs.technet.com/tnmag) è possibile raccontare le proprie esperienze. I redattori sono pronti all'azione! —Joshua Trupin

Si ringraziano i seguenti esperti tecnici di Microsoft: Alex Balcanquall, Tad Brockway, Anah Cameron, Jeroen de Borst, Michael Higashi, Ryan Hurst, Paul Limont, Sherman Lovell, Michael Murgolo, Shivakumar Seetharaman, John Speare, David Strome e Jim Truher.

Joshua Trupin


 Lettere: Risposte alle domande degli utenti
Lettere
Risposte alle domande degli utenti

Creazione di immagini
Nell'articolo "Guida introduttiva a Windows® PE" (settembre 2006), Wes Miller fa riferimento a mkimg.cmd. Questo file di comando non esiste sul mio sistema Windows Vista™, sul quale sono installati sia WAIK (Windows Automated Installation Kit) che BDD (Business Desktop Deployment Solution Accelerator) 2007. Nelle distribuzioni correnti, dispongo di mkimg_pe2004.cmd e mkimg_pe2005.cmd. Tuttavia, essi richiamano un file bldini.cmd che sembra non esistere. Dove è possibile trovare questi file?
— Jim A.

In effetti, l'articolo è stato pubblicato prima del lancio di Windows Vista e si riferisce esclusivamente alla versione di Windows PE disponibile per Windows XP e Windows Server® 2003 (noto come Windows PE 1.6). Sul nostro numero di novembre 2006 è stato pubblicato un articolo successivo che trattava di Windows PE 2.0, vale a dire la versione disponibile per Windows Vista. È possibile trovare l'articolo sul nostro sito Web.
È possibile creare e personalizzare le immagini di Windows PE 2.0 con gli strumenti trovati in WAIK, in particolare, il comando "mkimg" è stato sostituito da "peimg". È possibile trovare una descrizione della creazione di un'immagine Windows PE 2.0 nella documentazione in linea su WAIK.

Miti sulla protezione
In risposta al suggerimento secondo il quale le password lunghe sono preferibili a quelle complicate ("Decostruzione dei comuni miti sulla protezione", maggio/giugno 2006), qual è il metodo migliore per recuperarle al momento necessario? Le password lunghe possono essere difficili da ricordare. Ho ascoltato anche il consiglio di utilizzare una password diversa per ogni sistema che richiede l'accesso, ma si potrebbero creare gli stessi problemi per il salvataggio e il recupero.
— Ian R.

Lo abbiamo chiesto al nostro amico e collaboratore Steve Riley, il quale ha risposto nel modo seguente:
Quello sulla capacità mentale di recuperare le password è un problema interessante. Ritengo che sia più facile ricordare una frase utilizzata come passphrase che un insieme arbitrario di caratteri che compongono una password complessa. E se si utilizza la modalità mapping, è possibile ricordare molte passphrase. Ad esempio, supponiamo che per l'accesso a Hotmail® si utilizzi la passphrase "Io e il mio cane abbiamo ricevuto la posta". È facile ricordare perché si tratta di un'associazione (ricevere la posta) con la destinazione (il sito per i messaggi di posta elettronica). È possibile utilizzare la modalità mapping per ottenere "Io e il mio cane siamo andati a fare spese" come passphrase per eBay, "Io e il mio cane siamo andati a lavorare" come passphrase per l'account di dominio in ufficio e "Io e il mio cane abbiamo ammirato delle opere d'arte" come passphrase per il sito di foto preferito.
Le risorse da cui poter prendere le passphrase sono quasi illimitate. Conosco qualcuno che utilizza solo citazioni dai film di Monty Python. Un altro utilizza solo frasi di cinque parole, ognuna delle quali inizia con lettere consecutive della tastiera ("Assieme siamo davvero forti giovani."—ASDFG). Con un po' di creatività, le passphrase consentono di eliminare la maggior parte dei problemi associati alle password, rafforzando allo stesso tempo la segretezza utilizzata per dimostrare la propria identità.

"Decostruzione dei comuni miti sulla sicurezza" è un articolo valido. Ha scardinato le mie convinzioni più radicate. Ma se il software ha consentito di generare e utilizzare gruppi di caratteri univoci (non parlo di quelli presenti in Webdings® ma di gruppi di caratteri mai visti prima) in un programma indipendente, non rende le cose ancora più difficili? Nessuno disporrà mai di un gruppo completo di caratteri tutti univoci in modo che solo l'utente sappia quali sono stati generati e utilizzati. Personalmente preferirei ricreare una breve riga di tali caratteri piuttosto che digitare "Guerra e pace" nel caso in cui perdessi la mia chiave USB.
— H.D.

L'idea è interessante ma il punto è che non siamo sicuri di come si possa fare a ricordare un carattere univoco e mai visto prima. A meno di non essere The Artist Formerly Known As Prince.

Sysprep
Nell'articolo "Tecniche per semplificare la creazione di immagini desktop" (maggio/giugno 2006), Shelly Bird afferma che, quando si crea una cartella Sysprep, "il processo inizia con la creazione dell'immagine master su un sistema legacy con hardware di base..." Cosa significa esattamente? Sto prendendo in esame BDD e non trovo nulla che suggerisca la distribuzione di una sola immagine.. In che modo è possibile ottenere queste informazioni?
— Jon S.

Nell'articolo citato, si parla della creazione di una configurazione di riferimento standardizzata che può essere catturata come immagine e ridistribuita su altri computer. In altre parole, si prende l'hardware più semplice presente nel proprio ambiente (come minimo comune denominatore), si installa Windows e lo si configura con specifiche di base (qualunque modifica che si desidera distribuire in tutta l'organizzazione), si installano tutte le applicazioni che si desidera includere e, quindi, si prepara l'hardware per la distribuzione utilizzando lo strumento Sysprep (che rimuove tutte le informazioni hardware specifiche, consentendo all'immagine di essere ridistribuita a un nuovo hardware).
La guida migliore a questo processo è quella contenuta in Guida del team per le funzionalità del sistema di imaging del computer, a sua volta parte di BDD. Il componente del sistema di imaging del computer di BDD include uno strumento scaricabile in grado di aiutare l'utente a personalizzare e a preparare l'immagine. Per ulteriori informazioni, vedere il sito microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx.

Conversione dell'autenticazione
Utilizzo SQL Server™ 2005 sul lavoro. In che modo è possibile passare dall'Autenticazione di Windows all'Autenticazione SQL Server (utilizzando i dati di accesso di quest'ultimo)?
— Sara J.

Il seguente argomento presente nella documentazione in linea di SQL Server dovrebbe aiutare a risolvere il problema: msdn2.microsoft.com/ms188670.aspx. Consigliamo comunque l'utilizzo dell'Autenticazione di Windows a causa delle implicazioni sulla protezione derivanti dall'utilizzo dell'autenticazione server (soprattutto senza una password). Proprio per questa ragione, non utilizziamo più nei nostri codici di esempio l'autenticazione server senza password.

Lode sperticata
Adoro leggere TechNet Magazine tutti i mesi. Mi piace talmente tanto che porto sempre qualche copia nello zaino o in macchina ovunque vada: al lavoro, a casa, insomma, ovunque. Mi piacerebbe avere l'intera rivista sul Tablet PC o sul Pocket PC Phone. Vorrei anche averne una versione radio da ascoltare con il lettore MP3. In complesso, la rivista è eccezionale. La adoro. Ne parlo con tutti i colleghi e la reclamizzo come se fosse la mia bibbia personale.
— Erasmo M.

Volevi il contenuto audio? Ti abbiamo accontentato! Ogni mese, offriamo un podcast di TechNet Magazine. Basta andare sul sito di TechNet Magazine (www.technetmagazine.com) e fare clic sul collegamento Podcast, a sinistra. Non vediamo l'ora che ci ascolti!

Poster puzzle
Il poster Active Directory® Component Jigsaw apparso sul numero di marzo/aprile 2006 era la migliore rappresentazione grafica che abbia mai visto sul modo in cui Active Directory funziona in Windows Server 2003. Ho gestito il progetto che ha portato l'organizzazione per la quale lavoro a utilizzare Windows 2000 e Active Directory e questo tipo di poster avrebbe facilitato molto il lavoro. Ancora adesso, i nostri amministratori dell'organizzazione non sono sempre d'accordo sui componenti evidenziati chiaramente nel poster e l'accesso a questo genere di informazioni permetterebbe loro di lavorare in maniera più coesiva e consistente. È possibile scaricare il poster?
— Mike C.

Non hai idea di quante richieste abbiamo ricevuto per questo poster. Sono in molti a fare la tua stessa domanda. Abbiamo reso il poster disponibile per il download sul sito go.microsoft.com/fwlink/?LinkID= 80428, ma consigliamo di non tentare di stamparlo su carta formato A4 (o Letter) perché è troppo grande.

Configurazione delle firme per la posta elettronica in Outlook
Sono un amministratore di sistema per la mia azienda e sto realizzando uno script per standardizzare la Firma di Outlook® per tutti gli utenti nel mio dominio. Utilizzo il codice di esempio presente nell'articolo "Configurazione delle firme per la posta elettronica in Outlook" (ottobre 2006). Ho riscontrato, però, un piccolo problema: quando tento di personalizzare e impostare il colore dei caratteri da utilizzare per la firma, utilizzando il seguente codice, il colore del carattere rimane nero:
objSelection.Font.Color = wdRed
Riesco a modificare il carattere e la sua dimensione, ma non il colore.
— Edison P.

Abbiamo chiesto agli Scripting Guys il motivo (abbiamo una linea di comunicazione privilegiata) e hanno risposto come segue:
Secondo noi, per modificare il colore dei caratteri è necessario utilizzare le enumerazioni wdColor. Prova a fare quanto segue:
  • definire la seguente costante nello script:
wdColorRed = 255
  • assegnare il colore utilizzando questo codice:
objSelection.Font.Color = wdColorRed
Questo dovrebbe risolvere il problema.

Per ottenere Windows PE
La nostra azienda dispone di un contratto di licenza Microsoft® Select. Sapreste dirmi chi devo contattare per ottenere la quinta generazione di Windows PE da utilizzare nella nostra organizzazione? In particolare, vorremmo utilizzare la funzionalità di avvio dalle unità memoria flash USB.
— Thom S.

Windows PE è disponibile come vantaggio del contratto Software Assurance. È possibile determinare se il proprio programma di contratto include questo vantaggio visualizzandoGrafico per il confronto dei benefici. In caso positivo, Windows PE è disponibile per il download con l'account MVLS (Microsoft Volume Licensing Services) della propria organizzazione (è possibile accedere a https://licensing.microsoft.com). Per ottenere assistenza per l'accesso a questo sito Web, consigliamo di contattare il coordinatore dei contratti della propria organizzazione oppure il proprio rappresentante dei contratti Microsoft.


 Casella degli strumenti: Nuovi prodotti per professionisti IT
Casella degli strumenti
Nuovi prodotti per professionisti IT
Grog Steen

Analisi del traffico HTTP
HttpWatch Professional Edition
httpwatch.com

HTTP è un protocollo di livello 7 incredibilmente utile su cui è basata la comunicazione dei siti Web e dei browser. Inoltre, con l'introduzione dei servizi Web, viene utilizzato da molte applicazioni Windows® Forms per scaricare gli aggiornamenti del programma e collegarsi con il server per la convalida. L'individuazione di problemi, l'ottimizzazione delle prestazioni o la verifica di comunicazioni protette tra applicazioni su HTTP può risultare un'operazione complessa, tuttavia HttpWatch Professional Edition consente di risolvere i problemi delle comunicazioni tra Web e browser.
HttpWatch consente di visualizzare i dettagli relativi alle richieste Web.
HttpWatch consente di visualizzare i dettagli relativi alle richieste Web.
HttpWatch Professional si integra sia a Internet Explorer® 6.0 che a Internet Explorer 7 ed è possibile visualizzarlo nella parte inferiore del browser oppure come strumento autonomo accanto al browser. Quando viene selezionato il pulsante Record, HttpWatch inizia ad acquisire e registrare le informazioni sul traffico, visualizzando tutti i dettagli relativi alle richieste Web. Consente di visualizzare il flusso HTTP non elaborato, i reindirizzamenti che si verificano nella richiesta della pagina, la coppia valore-chiave di stringa della query associata alla richiesta, il metodo HTTP, le informazioni sulla compressione HTTP e le informazioni di codifica Chunked. Inoltre, HttpWatch consente di visualizzare informazioni dettagliate sui cookie associati alla richiesta, fornendo il percorso, il dominio, la data di scadenza e il valore del cookie. Infine, poiché l'applicazione
viene eseguita come plug-in di Internet Explorer, è possibile visualizzare tutti i dettagli relativi alle richieste HTTPS decrittografate.
HttpWatch consente di esaminare i dati relativi alle prestazioni delle richieste a livello di rete, poiché indica i tempi di risposta al millisecondo, le ricerche DNS, le connessioni TCP, le informazioni sull'indirizzo IP, le porte e i byte inviati e ricevuti dal browser. Pensi di sapere tutto quello che accade per una richiesta? La richiesta di visualizzazione di una pagina HTML è composta da un numero considerevole di parti. Fortunatamente, HttpWatch include un'opzione che consente di filtrare la visualizzazione per tipo di contenuto, codice di risposta, URL, intestazioni o stringhe di contenuto specifiche. In questo modo è possibile isolare l'area di richiesta e concentrarsi rapidamente sui dettagli desiderati.
Sul sito Web questo prodotto viene descritto come uno strumento per la risoluzione dei problemi dei propri clienti. L'applicazione consente di salvare le informazioni sulla richiesta, in modo che i clienti possano inviare i dettagli relativi a eventuali richieste problematiche. Ciò può essere utile per la risoluzione dei problemi. Per inviare tramite posta elettronica il file HWL proprietario, sono sufficienti pochi clic del mouse. Una volta ricevuto il file dal cliente, è possibile visualizzarlo tramite il visualizzatore autonomo dei file di registro incluso nel pacchetto di installazione. È anche possibile esportare i dati della richiesta nei formati CSV e XML, in modo da poterli utilizzare in altre applicazioni.
HttpWatch include un'API di automazione esposta, che consente di registrare informazioni a livello HTTP durante il test per individuare i colli di bottiglia delle prestazioni. Con il pacchetto vengono installati tre esempi di come utilizzare l'API: uno in C tramite una libreria di interoperabilità e due tramite COM per JavaScript e Ruby. Se si utilizza Ruby con Watir a scopo di test, controllare se il sito Web del prodotto include un'esercitazione su come integrare HttpWatch alla piattaforma di test.
Prezzo: 249 dollari per licenza di un singolo utente.

Recensioni
Microsoft Solutions Framework Essentials
microsoft.com/mspress

Per fornire soluzioni tecnologiche di successo, è necessario che le aziende dispongano di processi efficaci e comunicazioni chiare. Il libro di Michael S. V. Turner, Microsoft Solutions Framework Essentials (Microsoft Press, 2006), fornisce gli elementi di base di Microsoft® Solutions Framework (MSF) versione 4.0 e illustra come utilizzarli per sviluppare e implementare procedure testate per i processi e le comunicazioni.
Turner fornisce subito un consiglio eccellente, affermando che non si deve abbandonare immediatamente la struttura corrente dell'organizzazione e dei processi quando si applicano le procedure e linee guida di MSF. Al contrario, è consigliabile implementare una parte di MSF nel processo di sviluppo del prodotto o progetto e valutarne quindi il successo. Nel caso in cui tale valutazione sia positiva, è necessario scegliere un altro aspetto di MSF applicabile al progetto e introdurlo nel ciclo standard. In questo modo, è possibile adattare MSF all'ambiente e limitare allo stesso tempo eventuali problemi imprevisti causati dalle modifiche.
Il libro è destinato a chiunque sia coinvolto nella fornitura di soluzioni tecnologiche, indipendentemente dal grado di esperienza tecnica. Nel capitolo intitolato Building an MSF Team viene illustrato come tutti gli utenti possano contribuire a creare soluzioni di successo. Tuttavia, questa fase viene anche indicata come una delle più difficili nell'implementazione di MSF, poiché implica la necessità di apportare modifiche alle responsabilità quotidiane degli utenti.
Un aspetto fondamentale relativo alla modifica della struttura consiste nel formare un team di specialisti i cui membri rappresentino diverse prospettive e nel fornire vantaggi aggiuntivi al processo globale. Naturalmente, ciò non significa che non sarà più necessario un responsabile autorevole. Come descritto in precedenza, i membri del team MSF sono suddivisi in sette gruppi: Gestione del prodotto, Gestione del programma, Architettura, Sviluppo, Test, Esperienza utente e Rilascio/Operazioni, ciascuno con strutture e responsabilità specifiche. Per le organizzazioni con gruppi più numerosi, il libro fornisce alcuni consigli su come ridimensionare l'idea dei gruppi di specialisti per supportare team e gruppi di maggiori dimensioni.
Il rischio è una costante di qualsiasi progetto, pertanto vengono forniti numerosi suggerimenti di riorganizzazione per consentire una gestione efficace dei rischi. La riduzione dei rischi associati al progetto è un aspetto importante, pertanto il processo di gestione dei rischi è suddiviso in sei passaggi: identificazione, analisi e assegnazione di priorità, pianificazione, registrazione e creazione di report, controllo delle modifiche e lezioni apprese dall'esperienza passata. Inoltre, è necessario continuare a valutare i rischi durante tutto il ciclo del progetto. I punti delineati in questa sezione consentono di limitare la possibilità di errore.
Vengono descritti nei dettagli gli elementi di base per la fornitura della soluzione, incluse le fasi in cui viene individuata, pianificata, creata, stabilizzata e distribuita, nonché l'ambito delle responsabilità di ciascun gruppo di specialisti in ogni fase. Viene presentato il modello di controllo di MSF, una visualizzazione più dettagliata di ogni fase del ciclo di vita di fornitura della soluzione: concezione, pianificazione, creazione, stabilizzazione, distribuzione e controllo (ovvero una guida alla fornitura della soluzione).
Nonostante si possa pensare che il proprio ruolo nell'organizzazione non richieda gli strumenti e i processi illustrati in questo libro, si consiglia di leggerlo ugualmente per ottenere informazioni sui processi correnti relativi alle operazioni, allo sviluppo o alla gestione dei progetti. Anche se il proprio lavoro non è legato allo sviluppo del software, gli argomenti trattati da Turner forniranno un punto di partenza per migliorare l'efficienza e i canali di comunicazione all'interno dell'organizzazione.
Prezzo: $44.99.

Modifica dei file
UltraEdit
ultraedit.com

La casella degli strumenti di ogni professionista IT deve includere un editor completo di tutte le funzionalità. UltraEdit di IDM Computer Solutions è un editor che supporta tutte le funzionalità e caratteristiche standard di qualsiasi editor di testo valido, inclusi l'inserimento di caratteri ASCII, le macro, la ricerca e la sostituzione in base a espressioni regolari, l'avvio di applicazioni esterne, il supporto UTF e la gestione rapida di file di testo di grandi dimensioni. Tuttavia, UltraEdit presenta alcune funzionalità poco comuni che lo rendono particolarmente utile.
Per le modifiche di base, offre una funzione di controllo ortografico integrata multilingue e con 100.000 parole, il completamento automatico e l'evidenziazione della sintassi del codice per linguaggi standard quali C#. È possibile impostare il ritorno a capo automatico in una colonna specifica, una funzionalità utile per la formattazione di messaggi di posta elettronica di testo le cui righe devono avere una determinata lunghezza. In questo scenario, per inviare il messaggio di posta elettronica tramite UltraEdit, sono sufficienti pochi clic del mouse. L'applicazione è integrata in Esplora risorse, pertanto l'apertura del file che si desidera modificare è un'operazione estremamente semplice.
Evidenziazione della sintassi del codice in UltraEdit
Evidenziazione della sintassi del codice in UltraEdit
UltraEdit non si occupa solo di file di testo, ma è in grado di gestire file binari e fornire la visualizzazione di un editor standard di valori esadecimali, riferimenti alle righe ed eventuali valori ASCII. Nella modalità di modifica esadecimale è possibile tagliare, copiare e incollare valori, nonché effettuare operazioni standard di ricerca e sostituzione. UltraEdit include un client FTP integrato che supporta le connessioni su FTP e SFTP. Inoltre, è possibile aprire connessioni standard Secure Shell (SSH) o TELNET.
Per gli sviluppatori Web l'applicazione contiene uno strumento di convalida HTML integrato per il controllo delle pagine Web. UltraEdit, inoltre, dispone di una modalità a colonne per lavorare con file di database basati su testo e file di registro delimitati. Questa modalità semplifica le operazioni di modifica, poiché consente di visualizzare, sommare e modificare facilmente i dati. In UltraEdit è anche possibile raggruppare una serie di file in un progetto o in un'area di lavoro, consentendo di aprire un insieme di file correlati con un semplice clic del mouse. Nel complesso, UltraEdit presenta diverse funzionalità in grado di semplificare e ottimizzare l'esperienza IT.
Prezzo: 49,95 dollari per licenza di un singolo utente.

Gestione della configurazione mobile
Net-Switch
net-switch.com

È un problema comune. Spostandosi con il computer portatile da un ambiente a un altro (ad esempio, dal centro dati al proprio ambiente QA), è necessario riassegnare continuamente l'indirizzo IP statico del computer e la stampante predefinita. Net-Switch fornisce una soluzione a questo problema. Questa utilità consente di impostare e salvare diverse configurazioni di rete, ciascuna con la propria assegnazione di stampante predefinita. In questo modo non occorre ricordarsi i numeri o digitarli manualmente ogni volta che ci si sposta da un ambiente a un altro.
Net-Switch consente di gestire le impostazioni del computer portatile
Net-Switch consente di gestire le impostazioni del computer portatile
L'applicazione è incredibilmente facile da utilizzare. È sufficiente assegnare un nome alla configurazione, scegliere una scheda di rete, assegnare un IP statico con la relativa maschera, il gateway e i server DNS associati (oppure selezionare DHCP) e impostare una stampante predefinita. È una soluzione economica per evitare una seccatura quotidiana.
Prezzo:19,95 dollari con acquisto diretto.

Scrivi a Casella degli strumenti
Se hai uno strumento o un'utilità che vorresti vedere recensiti qui, scrivi all'autore all'indirizzo tntools@microsoft.com.

Grog Steen è un professionista IT oltre ad essere un appassionato imprenditore. È sempre alla ricerca di nuovi metodi e strumenti che aiutino a rendere più semplici le operazioni e lo sviluppo per i professionisti IT.


 SQL: Domante&amp;Risposte: Analizzatore delle procedure consigliate, processori multicore e altro ancora
SQL: Domante&Risposte
Analizzatore delle procedure consigliate, processori multicore e altro ancora
A cura di Nancy Michell

D: Ho alcune domande sulla regola dell'Analizzatore procedure consigliate (BPA) relativa all'utilizzo di viste/tabelle qualificate a livello di schema. In base alla documentazione su BPA, questa regola non verifica la qualifica dello schema nelle tabelle temporanee. I flag dei report di BPA fanno riferimento a tabelle temporanee create all'interno di stored procedure. È necessario che tali tabelle vengano qualificate? In tal caso, con quale schema? Credo che le tabelle temporanee debbano essere qualificate per i rispettivi proprietari proprio come le altre tabelle.
R: L'indicazione di BPA in merito ai riferimenti di viste e tabelle qualificate a livello di schema non è applicabile a SQL Server™ 2005, poiché la separazione tra utente e schema ha risolto il problema che richiedeva questa procedura nelle versioni precedenti di SQL Server. La qualifica a livello di schema era necessaria per consentire il riutilizzo del piano di query da parte di più utenti con schemi predefiniti diversi in SQL Server 2000. Tali utenti potevano anche utilizzare oggetti dbo senza qualifica, tuttavia SQL Server doveva prima verificare gli schemi predefiniti degli oggetti, impedendo il riutilizzo del piano di query. Poiché la separazione tra utente e schema consente a diversi utenti di condividere uno schema predefinito e, generalmente, a tutti gli utenti di database di accedere agli oggetti dei propri schemi predefiniti, sarà possibile condividere e riutilizzare piani ad hoc con nomi di viste e tabelle non qualificati. La presenza di nomi di viste e tabelle non qualificati all'interno di stored procedure non ha mai comportato alcun problema, riducendo ulteriormente le basi logiche di questa procedura. In SQL Server 2005, BPA non includerà regole simili in quanto non dispone di un parser T-SQL. Al contrario, verificherà la presenza di eventuali impostazioni di protezione e di configurazione errate.

D: Ho rilevato un comportamento anomalo in SQL Server 2005 SP1. Se elimino i record di una tabella e contemporaneamente vi inserisco altri dati, gli inserimenti vengono bloccati finche non è stata completata l'operazione di eliminazione. Esiste un modo per individuare la causa del blocco?
R: Sì. Per individuare i blocchi, è possibile eseguire lo script delle viste a gestione dinamica (DMV), come indicato nella Figura 1.
Figure 1 Trova i blocchi (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

D: Oltre alla tecnologia di hyperthreading e dual core, i fornitori di chip stanno iniziando a rilasciare processori a quattro, otto e più core. Sto considerando l'acquisto di un nuovo server con processori multicore per supportare una distribuzione di SQL Server 2005 Standard Edition e vorrei sapere se con un processore a 4 core sarò in grado di utilizzare una singola CPU fisica (dal momento che la Standard Edition è limitata a quattro CPU).
R: Ai fini del supporto di CPU e della gestione licenze, questa edizione di SQL Server considera soltanto il numero di CPU/socket fisici, indipendentemente dal numero di core del processore. Ad esempio, il fatto che SQL Server 2005 Standard Edition supporti fino a 4 CPU significa che supporterà 4 CPU/socket fisici indipendentemente dal numero di core presenti in ogni CPU (se si dispone di 4 CPU fisiche ciascuna con 4 core, nella distribuzione della Standard Edition sarà possibile utilizzare 16 CPU logiche). Inoltre, anche se si dispone di 16 core/CPU logiche, la gestione licenze richiede il pagamento solo di 4 CPU fisiche e non di tutti i 16 core. Per ulteriori informazioni su SQL Server e sul multicore, vedere microsoft.com/sql/howtobuy/multicore.mspx.

D: Sto per acquistare nuovi server di database. La mia organizzazione dovrebbe utilizzare architetture a 64 bit oppure continuare con versioni a 32 bit già testate?
R: Dipende. Questa è una domanda molto comune ora che i fornitori stanno convertendo il proprio hardware dall'architettura x86 a quella x64. La prima questione da valutare è l'utilizzo di memoria a cui sarà soggetto il server di database. Se l'istanza di SQL Server utilizzerà meno di 3 GB di RAM durante il ciclo di vita dell'hardware (in genere tre anni), sarà ragionevole un'architettura a 32 bit x86, a condizione che venga applicata anche agli altri server (controller di dominio, server DNS, server applicazioni, server Web e server di posta). Se l'istanza di SQL Server utilizzerà più di 16 GB o se saranno presenti più istanze per ciascun server (o cluster), è necessario considerare l'ipotesi di passare alle tecnologie a 64 bit. Se verranno utilizzati più di otto processori, in genere viene consigliato IA64. Tuttavia, in seguito a un'ampia diffusione di CPU x64 a quattro e otto core, il passaggio a x64 anziché a IA64 potrebbe comportare notevoli vantaggi in termini di costi.
Durante il passaggio a x64 (o IA64), è possibile che la distribuzione della stessa architettura in ambienti di sviluppo, test e prestazioni non venga inclusa nelle stime di costo iniziali. Tuttavia, è anche necessario considerare se si desidera continuare a utilizzare la tecnologia precedente fino al termine del ciclo di vita dell'hardware. Dopo 18 mesi, sarà quasi impossibile trovare hardware esclusivamente per x86. Se si sceglie tale soluzione, l'aggiornamento nei due anni successivi sarà costoso come in uno scenario di sostituzione. Il passaggio immediato all'hardware a 64 bit, invece, offrirà più opzioni negli anni a venire.
Un momento ideale per passare all'architettura a 64 bit è quando si acquista nuovo hardware, ovvero all'inizio del ciclo di rilascio di un'applicazione di base oppure quando si effettua l'aggiornamento da SQL Server 2000 a SQL Server 2005.

D: Ho abilitato la distribuzione dei log tra due server. Durante il fine settimana si è verificato un problema hardware sul server primario che ha causato l'interruzione della distribuzione dei log. Riprendendo il monitoraggio della distribuzione dei log, ho constatato che LS_backup_dbname veniva eseguito correttamente nonostante diverse ore di inattività.
Sul server secondario, tuttavia, mentre il processo di copia viene eseguito correttamente, quello di ripristino sembra ignorare i file e generare sempre gli stessi errori. In altri termini, il processo viene eseguito, ma ignora ogni file e restituisce un errore. Pertanto l'intervallo di tempo dall'ultimo ripristino risulta di 849 minuti. In passato, quando si verificavano situazioni simili, reinizializzavo semplicemente la configurazione della distribuzione, ovvero la disattivavo e la riattivavo, quindi effettuavo un backup, lo ripristinavo nel server secondario e la distribuzione dei log ricominciava. Esiste un modo migliore per gestire questa situazione?
R: Probabilmente il risultato ottenuto è un effetto derivante dalla mancanza dei file di backup. Come è noto, i processi relativi al backup, alla copia e al ripristino della distribuzione dei log vengono eseguiti in modo indipendente. Anche i file di backup precedenti nella posizione di copia vengono rimossi in base alla pianificazione specificata. Se per un determinato periodo di tempo il processo di ripristino non viene eseguito, è possibile che venga superato l'intervallo e che, di conseguenza, manchino i file di backup. La logica del processo di ripristino della distribuzione dei log tenta di eseguire il ripristino da diversi tipi di errore causati da varie condizioni operative. Fondamentalmente, analizza i file quando vengono rilevati degli errori e tenta di individuare i file di backup corretti. Se non viene trovato un file di backup corretto, è possibile che i file necessari siano stati rimossi o che sia stato riconfigurato il processo di backup della distribuzione dei log.
Una soluzione potrebbe essere l'esecuzione manuale del ripristino tramite i file di backup del log delle transazioni creati inavvertitamente dall'altro processo di backup. Il problema relativo alla semplice copia di tali file nella posizione corrispondente alla distribuzione dei log consiste nelle convenzioni di denominazione riconosciute dalla distribuzione dei log. Tuttavia, una volta eseguito il ripristino manuale da quel punto, il normale processo di ripristino dovrebbe continuare.

D: In che modo deve essere utilizzato T-SQL per determinare la quantità di memoria fisica totale e di quella disponibile?
R: Per ottenere i dati richiesti, è necessario eseguire la query illustrata nella Figura 2.
Figure 2 Recupera memoria (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

Q: Vorrei memorizzare la password dell'amministratore di sistema in un file crittografato con una chiave simmetrica per semplificare la creazione dei database da un'applicazione. Posso farlo?
R: Innanzitutto, non è mai consigliabile utilizzare l'account dell'amministratore di sistema da un'applicazione. Inoltre, anziché l'autenticazione di SQL Server, è preferibile utilizzare l'autenticazione di Windows.
Per eseguire attività con privilegi di alto livello, è necessario procedere come segue: Definire le autorizzazioni minime necessarie per eseguire l'azione. Definire un ruolo di database contenente tali autorizzazioni. Assegnare un utente al ruolo. Creare una stored procedure con la clausola EXECUTE AS che eseguirà tali funzioni. Per una spiegazione della clausola Execute As, visitare la pagina msdn2.microsoft.com/ms188354.aspx.
Naturalmente, ignorando che l'account in questione sia l'account dell'amministratore di sistema e considerando che l'autenticazione di Windows non è sempre possibile, la domanda fondamentale è la seguente: come è possibile memorizzare in modo protetto una password per un account di SQL Server per garantirvi l'accesso da parte di una determinata applicazione e impedirlo a eventuali utenti o applicazioni non autorizzate?
La crittografia della password è un primo passo nella direzione giusta, ma sposta semplicemente il problema della protezione dalla password alla chiave di crittografia.
Partendo dal presupposto che si tratti di un'applicazione basata su Microsoft® .NET Framework, si consiglia di consultare la sezione Enterprise Library all'indirizzo msdn2.microsoft.com/aa480453.aspx e i consigli forniti nella sezione Modelli & procedure di MSDN® all'indirizzo msdn.microsoft.com/practices. La sezione Enterprise Library contiene diversi blocchi delle applicazioni, inclusi un blocco di configurazione, uno di crittografia e uno di accesso ai dati, che potrebbero essere utili innanzitutto per memorizzare in modo protetto le password, ma anche per gestire l'accesso globale ai dati.
Se non è possibile trovare le informazioni desiderate nella sezione Enterprise Library (ad esempio perché non si utilizza .NET Framework), si consiglia di acquisire familiarità con CryptoAPI: msdn2.microsoft.com/aa380255.aspx. La funzionalità crittografica di base, distribuita con il sistema operativo, consentirà di unire le chiavi crittografiche a un'entità utente o a un computer, semplificando la gestione delle chiavi (che diventa un problema dopo la crittografia della password).

D: Desidero spostare il server cluster a due nodi di SQL Server 2000 (attivo/attivo, su hardware a 64 bit) dal dominio A al dominio B all'interno della stessa foresta. Il database di SQL Server è nella rete SAN. L'architettura di Active Directory® richiede un dominio radice vuoto con due domini figlio (il dominio A e il dominio B). Il dominio B sarà quello in cui verranno collocati tutti i componenti dell'infrastruttura. Si tratta di un ambiente Windows Server® 2003 Enterprise con controller di dominio aggiuntivi in cui viene eseguito Windows 2000.
È possibile modificare l'appartenenza al dominio del server cluster di SQL Server dal dominio A al dominio B?
R: Per iniziare, si consiglia di consultare gli articoli "Come modificare i domini per un cluster di failover di SQL Server 2000" e "Come spostare un server cluster di Windows da un dominio a un altro". Lo stesso processo è applicabile a un cluster a più istanze. La sola differenza è che sarà necessario ripetere i passaggi per ogni istanza in base alle esigenze. Non è mai "consigliabile" modificare un dominio del cluster, poiché l'operazione comporta notevoli complessità, tuttavia è stata effettuata molte volte. L'unica alternativa consiste nel ricreare una nuova istanza side-by-side ed eseguire la migrazione dei dati.
Ogni progetto è diverso e viene utilizzata un'ampia gamma di strumenti per apportare la modifica effettiva a livello di dominio (inclusi i mapping dei SID, le migrazioni degli account, le considerazioni sulla protezione e così via). Spesso è questa la parte più complicata del processo e non la modifica vera e propria.

Si ringraziano i seguenti professionisti IT di Microsoft per la propria esperienza tecnica: Sunil Agarwal, Laurent Banon, Steve Bloom, Chad Boyd, Matt Burr, Shaun Cox, Cindy Gross, Bobby Gulati, Matt Hollingsworth, Arnost Kobylka, Mikhail Shir, Fernando Pessoa Sousa, Stephen Strong e Ramu Veeraraghavan.


 Utilit&#224; sotto i riflettori: Toolkit di aggiornamento per siti e modelli SharePoint
Utilità sotto i riflettori
Toolkit di aggiornamento per siti e modelli SharePoint
Luis Câmara Manoel and Peter Skjøtt Larsen
Scarica il codice per questo articolo: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

Dopo il recente lancio di Windows SharePoint Services (WSS) 3.0, molti amministratori si trovano a dover affrontare l'attività di aggiornamento dei siti e dei dati WSS 2.0 esistenti nei nuovi ambienti WSS 3.0. Sebbene WSS 3.0 sia dotato di strumenti completi che consentono di eseguire in modo adeguato la migrazione dei dati del sito e
l'aggiornamento della struttura del sito, è possibile che sia necessario del lavoro aggiuntivo per aggiornare la struttura di siti o modelli di sito personalizzati.
Tuttavia, è possibile che sia necessario del lavoro aggiuntivo per aggiornare la struttura di siti o modelli di sito personalizzati. Per fortuna, il team di Microsoft® Solution Accelerator ha rilasciato il Toolkit di aggiornamento per siti e modelli di Windows® SharePoint® Services, che contiene istruzioni e strumenti per questa attività (vedere il riquadro "Risorse di WSS"). In questo articolo si concentra l'attenzione su alcune delle sfide e soluzioni associate all'aggiornamento di siti personalizzati ad ambienti WSS 3.0. È però necessario leggere prima il riquadro "Terminologia WSS" per acquisire familiarità con alcune definizioni dei termini più comuni.

Il processo di aggiornamento
Perché è necessario eseguire l'aggiornamento? Le nuove funzionalità di WSS 3.0 che possono spingere i proprietari di un sito a eseguire l'aggiornamento sono molte:
  • Il Cestino, che consente agli utenti di recuperare i documenti eliminati inavvertitamente.
  • La protezione a livello di cartella, che consente agli amministratori del sito di controllare quali persone o gruppi possono accedere alle cartelle.
  • L'invio di e-mail agli elenchi, che consente di ricevere negli elenchi, come gli elenchi di post di un blog su un sito SharePoint, il contenuto tramite messaggi di e-mail.
  • Il pulsante Azioni sito, che consente agli utenti di creare facilmente siti e pagine, modificare le pagine e gestire le impostazioni del sito.
  • Gli spostamenti, che offrono agli utenti un contesto di navigazione immediato.
  • La visualizzazione delle versioni mobili, che consentono agli utenti in continuo movimento di sfruttare le comode funzionalità di sincronizzazione offline.
  • I feed RSS, che consentono ai programmi che supportano RSS, come Internet Explorer 7.0 e Outlook® 2007, di recuperare informazioni dagli elenchi.
  • Il controllo delle versioni nelle raccolte di documenti, che consente di controllare le versioni dei documenti prima della modifica.
Poiché il processo di aggiornamento di sito e modello dipende dall'esecuzione di determinate operazioni specifiche prima e dopo l'effettivo aggiornamento del server a WSS 3.0 (vedere la Figura 1), la definizione dei requisiti di aggiornamento di sito e modello diventa una fase importante della strategia complessiva di aggiornamento a WSS 3.0. I proprietari del sito e i gestori del server devono collaborare per l'individuazione dei siti e modelli da aggiornare e per cui creare un'istanza in un ambiente WSS 3.0. Una volta selezionati questi siti personalizzati, il lavoro di aggiornamento può iniziare.
Figura 1 Flusso di lavoro per l'aggiornamento di un sito e modello di sito WSS
Figura 1 Flusso di lavoro per l'aggiornamento di un sito e modello di sito WSS

Individuazione dei modelli di sito personalizzati
Come si determina se i siti sono stati personalizzati? In WSS 3.0 è disponibile lo strumento di analisi pre-aggiornamento, che genera un report sulle modifiche apportate ai modelli di sito per la farm. Lo strumento deve essere eseguito prima di iniziare la migrazione per selezionare i modelli di sito che richiedono un'attenzione particolare.
Lo strumento produce un report in formato XML, come illustrato nella Figura 2. L'elemento unghostedPage indica che un sito è stato personalizzato.
Figure 2 Report dello Strumento di analisi pre-aggiornamento sulle modifiche apportate ai modelli di sito (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Definizioni di sito personalizzate
È probabile che la maggior parte dei siti WSS 2.0 personalizzati da aggiornare siano stati costruiti su modelli creati dalle definizioni del sito standard di WSS. È possibile, tuttavia, che alcuni dei modelli di sito personalizzati siano stati creati su definizioni del sito personalizzate se, ad esempio, gli sviluppatori di un'organizzazione hanno creato delle definizioni del sito personalizzate oppure se si sono acquistate delle applicazioni di terze parti o modelli costruiti su definizioni del sito personalizzate. In questo articolo si prenderà in esame solo uno scenario con definizioni del sito standard. Per ulteriori informazioni su scenario con modelli di sito personalizzati, consultare il riquadro "Risorse di WSS".
Dopo aver verificato che i file .stp e i siti sono stati effettivamente costruiti sulla base di definizioni del sito standard e che, quindi, in WSS 3.0 esistono gli aggiornamenti delle definizioni del sito, è possibile procedere a installare e creare un'istanza per i siti.
Per aggiornare i modelli di sito WSS 2.0 specifici, è prima di tutto necessario installare i modelli su un server WSS 2.0 (vedere la fase 1 nella Figura 1). Quindi è necessario creare siti basati su ciascuno dei modelli installati.
Per semplificare il processo di installazione di più i file .stp, di creazione delle istanze per più siti e di eliminazione dal server di eventuali file temporanei dopo il processo di aggiornamento, Solution Accelerator offre una serie di script che sfruttano i comandi di Stsadm.exe (per ulteriori informazioni, vedere il riquadro "Script di soluzione"). Stsadm.exe è un'applicazione da riga di comando che consente di eseguire una serie completa di operazioni di WSS per la gestione di server e siti SharePoint. Gli script di soluzione automatizzano il processo, consentendo di eseguire installazioni e creare istanze in batch o di eseguire queste attività in modo sequenziale. Il risparmio di tempo può rivelarsi considerevole quando è necessario installare molti .stp e creare istanze per molti siti.
Script di soluzione
Per il processo di installazione e creazione del sito si utilizzano due script che eseguono Stsadm.exe:
  • Miginststp.cmd installa i modelli del sito utilizzando l'operazione addtemplate di Stsadm.exe. Questa operazione prevede i parametri _SOURCEFILELOCATION, _SOURCEFILENAME e _FILETITLE.
  • MigMakeSite_1.cmd crea i siti nuovi. MigMakeSite_1.cmd esegue l'operazione createweb di Stsadm.exe. Questa operazione prevede i parametri SERVERURL, _SITENAME, _SITETEMPLATENAME e _SITETITLE.
Eseguire questi script sul server locale WSS 2.0 con accesso alla posizione dei file (.stp) di modello del sito salvati. Per eseguire gli script, è necessario essere membri del gruppo Administrators locale del server o membri del gruppo WSS Administrators con le autorizzazioni necessarie per la creazione di siti. Nella guida Toolkit di aggiornamento per siti e modelli di Windows SharePoint Services sono riportate istruzioni dettagliate su come sfruttare appieno questi script. Con i file .stp installati e le istanze dei siti create, ora è possibile procedere all'aggiornamento del server. Gli approcci all'aggiornamento di WSS 3.0 sono descritti dettagliatamente in "Aggiornamento alla versione 3.0 di Windows SharePoint Services" (vedere il collegamento nel riquadro "Risorse di WSS").

Terminologia WSS
Windows SharePoint Services ha una sua propria terminologia. Qui è riportato un breve glossario di termini comunemente utilizzati.
Definizione del sito Una serie di file che definiscono un tipo di sito specifico. Una definizione del sito contiene file .xml, .aspx, .ascx e Pagina master, oltre ai file di modello di elenco e contenuto memorizzati in una cartella speciale sul server Web front-end. WSS è dotato di una serie di definizioni del sito standard già pronte per l'uso tra cui Sito del team, Sito vuoto e Area di lavoro documenti. All'inizio questi sono gli unici modelli di sito memorizzati nella raccolta di modelli e disponibili nell'elenco Selezionare un modello in Nuovo sito di SharePoint.
Modelli di sito I modelli di sito definiscono le modalità di creazione delle istanze per i siti di SharePoint. Per creare un nuovo sito di SharePoint, è necessario scegliere un modello di sito su cui basare il nuovo sito. È, ad esempio, possibile creare un nuovo sito denominato "Consiglio di amministrazione" basato su un modello standard "Sito vuoto". Sarà quindi possibile aggiungere elenchi, raccolte, web part e altre personalizzazioni al sito di cui si è creata un'istanza. Per rendere queste personalizzazioni disponibili per gli altri utenti, è possibile salvare il sito come modello denominato "Consiglio d'amministrazione" basato sulla definizione del sito "Sito vuoto". In WSS il modello di sito personalizzato viene salvato come file .stp (modello sito), inserito nella raccolta di modelli di siti e visualizzato nell'elenco "Selezionare un modello" della pagina Nuovo sito di SharePoint, in modo che gli utenti possano creare nuovi siti basati su questo nuovo modello. I modelli di sito contengono una serie di file di configurazione del sito, tra cui file .xml, .aspx, immagini e altri ancora che vengono quindi compressi in un unico file .stp (i file .stp hanno una funzione simile ai file .cab). Il più importante di questi file è Manifest.xml, che contiene informazioni fondamentali come struttura del sito, elenchi e raccolte, posizione delle web part, definizioni di elenco personalizzate e definizione del sito su cui è basato il modello personalizzato.
Modello di applicazione Modelli di sito di Windows SharePoint Services sviluppati per soddisfare le esigenze di processi o attività aziendali specifiche. Vengono pubblicati da Microsoft e sono disponibili per il download gratuito per tutti i clienti di WSS.
Sito personalizzato Sito di SharePoint con un'interfaccia utente modificata.
Pagina master Un'area in cui è possibile memorizzare le informazioni di layout predefinite, come banner, controlli per l'esplorazione e altri menu, per un'interfaccia coerente in tutto il sito.
Pagine fantasma Pagine il cui contenuto non è memorizzato nel database dei contenuti di WSS, ma viene letto da un file di definizione del sito. Le pagine fantasma non sono state personalizzate.
Pagine non fantasma Pagine modificate dal file di definizione del sito e il cui contenuto è memorizzato nel database dei contenuti di WSS.

Dopo l'aggiornamento del server: ispezione del sito
A questo punto si è giunti alla fase 2 del flusso di lavoro dell'aggiornamento (vedere la Figura 1). Le operazioni che si eseguono in questa fase dell'aggiornamento di sito e modello sono le seguenti:
  1. Aprire e verificare i siti aggiornati.
  2. Applicare la Pagina master predefinita.
  3. Risolvere i problemi dei nuovi siti relativi a layout e funzioni.
  4. Salvare i siti corretti come nuovi modelli di sito WSS 3.0.
  5. Ridistribuire i nuovi modelli di sito WSS 3.0 sul server.
  6. Creare i siti dai modelli di sito ridistribuiti.
  7. Aprire i nuovi siti e controllare che funzionino come previsto.
  8. Avviare il processo di pulizia.

Ripristino della definizione del sito
Quando si apre per la prima volta il sito aggiornato, si nota che somiglia molto al sito WSS 2.0. Per fare in modo che venga visualizzato come un vero sito WSS 3.0, è necessario prima ripristinare la definizione del sito nel nuovo sito WSS 3.0. In tal modo si risolve la maggior parte dei problemi di layout senza perdere alcuna personalizzazione delle web part, sempre che queste già risiedano in un'area di web part esistente nella pagina di definizione del sito. Questa azione consente inoltre di applicare la Pagina master predefinita alle pagine si tutti i siti.
Una Pagina master, come suggerito dal nome, è un'area in cui è possibile memorizzare le informazioni di layout predefinite, come banner, controlli per l'esplorazione e altri menu per ottenere un aspetto uniforme. Ne consegue che è possibile apportare delle modifiche di progettazione sulla Pagina master per ottenere che le modifiche vengano propagate in tutto il sito. Con l'applicazione delle pagine master, nei siti aggiornati vengono attivate tutte le funzionalità native di WSS 3.0.
Anche se il sito a questo punto ha acquisito aspetto e funzionalità di un sito WSS 3.0 nativo, è tuttavia probabile che si rilevino alcune aree problematiche, come aree discussioni, web part personalizzate, collegamenti ipertestuali e temi.

Risoluzione dei problemi
Nei modelli di sito personalizzati e aggiornati possono verificarsi alcuni problemi. Di seguito sono riportati alcuni dei problemi più comuni e alcune semplici idee su come risolverli.
A un sito è applicato il foglio di stile predefinito WSS 2.0. Rimuovere il foglio di stile precedente in SharePoint Designer.
Web part mancanti o in posizioni errate. Spostare o inserire le web part con SharePoint Designer.
Funzionamento non corretto delle web part. Rimuovere le web part non compatibili con WSS 3.0 e contattare lo sviluppatore delle web part per chiedere se esistono web part corrispondenti per gli ambienti WSS 3.0.
Elenchi e raccolte personalizzate che non hanno l'aspetto previsto. Salvare i dati esistenti, quindi ricreare l'elenco o la raccolta personalizzata e importare i dati salvati.
Le funzionalità per WSS 3.0 non sono disponibili. Potrebbe essere necessario attivare le funzionalità di collaborazione in modo esplicito in Caratteristiche sito.
I collegamenti ipertestuali non funzionano più. I collegamenti ipertestuali hardcoded possono richiedere l'aggiornamento manuale.
Il tema è stato modificato. Applicare il tema WSS appropriato.

Quasi finito
Con l'approssimarsi della fine del processo e dopo la risoluzione di tutti i problemi, è il momento di eseguire una verifica finale dei siti. È necessario salvare i siti corretti come modelli di sito WSS 3.0, eseguire una nuova installazione di .stp e creazione dell'istanza del sito (è possibile utilizzare gli script riportati in questo articolo) e, infine, aprire il sito per verificare che tutti i problemi siano stati risolti, i siti siano stati aggiornati e i file .stp siano pronti per la distribuzione nell'ambiente di lavoro.

Alternative all'aggiornamento
L'aggiornamento dei modelli con gli strumenti e i processi automatici descritti potrebbe non rivelarsi sempre l'approccio migliore. Se si utilizzano modelli di terze parti molto personalizzati, potrebbe essere troppo difficile aggiornare i modelli e risultare preferibile attendere una nuova versione del modello. In altri casi la creazione di un modello tutto nuovo su WSS 3.0, con la successiva implementazione delle funzionalità del modello precedente, può risultare l'opzione migliore.

Modelli di applicazione
È disponibile una serie di modelli di applicazione sviluppati da Microsoft per WSS 2.0 e WSS 3.0. La nuova serie per WSS 3.0 contiene le versioni aggiornate di alcuni dei modelli di applicazione per WSS 2.0. Se si utilizza uno di questi modelli, sarà possibile caricare nell'ambiente WSS 3.0 la versione aggiornata per WSS 3.0.
Se si utilizza uno dei modelli di applicazione per WSS 2.0 non aggiornati per WSS 3.0, Solution Accelerator fornisce una serie di modelli di applicazione per WSS 2.0 aggiornati in modo da funzionare anche in ambienti WSS 3.0.

Riepilogo
Il Toolkit di aggiornamento per siti e modelli di Windows SharePoint Services si rivelerà estremamente utile per conservare e riutilizzare i modelli, i siti e le personalizzazioni 2.0 nel nuovo ambiente 3.0. Per ulteriori informazioni su questo argomento e ottenere il Toolkit, visitare i siti indicati nel riquadro "Risorse di WSS".
Desideriamo ringraziare Betty Houser per il suo contributo a questo articolo e al Solution Accelerator.
Risorse di WSS
  • Strumento di analisi pre-aggiornamento
  • Toolkit di aggiornamento per siti e modelli di Windows SharePoint Services
  • Aggiornamento alla versione 3.0 di Windows SharePoint Services (Libreria tecnica di Windows SharePoint Services 3.0)
  • Distribuzione di file di definizione di aggiornamento e di nuove definizioni del sito

Luis Câmara Manoel è un Program Manager del gruppo di Microsoft Solution Accelerator. Lavora in Microsoft da un anno. In precedenza Luis ha lavorato come Project e Program Manager in Novell Inc e Volera a Provo, Utah. È possibile contattare Luis scrivendo all'indirizzo luiscam@microsoft.com
Peter Skjøtt Larsen è un Product Manager del gruppo di Microsoft Solution Accelerator. Lavora in Microsoft da più di quattro anni nel settore sviluppo e marketing. In precedenza ha sviluppato software per client e server nei settori della finanza, ingegneria e telecomunicazione. È possibile contattare Peter all'indirizzo petela@microsoft.com


 L'azienda IT: Creazione di un piano aziendale
L'azienda IT
Creazione di un piano aziendale
Stephen Ibaraki

Per molti lettori queste probabilmente sono notizie già note, ma non è possibile oggigiorno fare un acquisto o investimento IT senza una buona giustificazione. Acquistare solo per il puro desiderio di possedere l'ultima novità informatica è ormai una tendenza superata. La tecnologia senza limiti e non pianificata una volta era considerata la chiave per dominare il mercato
e far crescere l'azienda. Questo concetto è svanito con l'implosione delle aziende Web e ha avuto come risultato la contrazione degli investimenti IT. Oggi i progetti IT devono rappresentare un valore concreto per le aziende.
Con budget sempre più ristretti, come è possibile giustificare un investimento IT? La risposta sta nel creare un business case che comprenda una soluzione tecnologica completa e unificata. Come risulterebbe tale creazione? Quali sono gli elementi fondamentali per la creazione di un business case? Come si utilizza un modello di piano aziendale per giustificare un progetto IT? Cosa è necessario cercare quando si integrano le corrette soluzioni tecnologiche all'interno del business case? Esporrò alcune idee da considerare durante la creazione di un business case.

Creazione di aziende
Un'azienda o organizzazione di successo deve generare un valore quantificabile per gli azionisti che possono essere impiegati, clienti, partner, fornitori e proprietari. Questo valore deve essere chiaramente definito e misurato con regolazioni continue che garantiscono una crescita.
In un mondo che comunica sempre più tramite le reti, un'azienda deve favorire una collaborazione efficace con le reti interne ed esterne, ottimizzando così l'interazione delle relazioni in tempo reale. Nessuno ama aspettare un servizio, una risposta a una query o il rilascio di un prodotto. A maggior ragione, nessuno vuole posticipare un progetto o restare inattivo a causa dell'interruzione delle comunicazioni. Con l'avvento di Internet e la velocità sempre crescente della globalizzazione, la concorrenza può trovarsi dietro l'angolo così come in un altro continente. Pertanto, un'azienda deve differenziarsi in questo ambiente competitivo. Come può un'organizzazione distinguersi dalla massa?
Un'azienda, inoltre, deve essere agile: deve essere sempre consapevole dell'ambiente interno ed esterno ed essere in grado di scegliere rapidamente e implementare un'iniziativa commerciale. Così facendo, l'azienda trae vantaggio dai propri punti di forza e pone rimedio alle debolezze, al fine di sfruttare le nuove opportunità. Si tratta di sbocchi che consentono la crescita attraverso nuovi mercati, nuovi prodotti e nuovi servizi. Un'azienda deve anche valutare e ridurre i rischi che provengono dalla concorrenza, senza dimenticarsi di migliorare la produttività e l'efficienza, riducendo al tempo stesso i costi e i rischi operativi.
Un investimento tecnologico deve favorire l'agilità e garantire tempi minori per il time-to-market, una risposta immediata alle esigenze dei clienti, la previsione dei rischi derivanti dalla concorrenza, una produttività più alta, un'efficienza migliorata nonché la riduzione di costi e rischi operativi.
Finora, ho parlato dei fattori che portano al successo di un'azienda e di come l'IT deve sostenerli e rispettarli. Infatti, se questo non accade, l'IT diventa una delle spese generali la cui esistenza non può essere giustificata. Seguire l'approccio del piano aziendale renderà disponibile il business case al fine di garantire il successo dell'azienda. Questo si traduce nel successo della strategia IT.

Creazione di un piano aziendale
È fondamentale collegare gli investimenti IT al valore aumentato dell'azienda: differenziazione, costi inferiori, maggiore attenzione al mercato, collaborazione e innovazione. L'approccio del piano aziendale soddisfa questa necessità.
Gli elementi di base di un piano aziendale IT vengono illustrati nella Figura 1. Qual è l'obiettivo del tuo progetto? Le dichiarazioni degli obiettivi descrivono le attività aziendali attuali e le previsioni di crescita. Accertarsi di aver spiegato con chiarezza come il progetto IT persegue questo obiettivo globale. Sarà necessario spiegare chiaramente i collegamenti tra l'attività IT e gli obiettivi aziendali, nello specifico come gli obiettivi IT seguano la direzione strategica dell'azienda. In pratica è necessario un allineamento.
Figure 1 Elementi del piano aziendale (Close Figure 1)

Elemento | Descrizione
Scopo | Delinea le relazioni tra l'investimento e gli obiettivi aziendali.
Visione | Il risultato aziendale e il modo in cui l'IT supporterà questo obiettivo.
Missione | Attività aziendali attuali e il modo in cui l'IT migliora quest'obiettivo aziendale.
Opportunità aziendale | Il mercato da acquisire e il valore aggiunto per l'azienda.
Modello aziendale | Prodotti o servizi offerti dall'IT per cogliere le opportunità aziendali.
Mercati di destinazione | I clienti (o i clienti potenziali) da servire.
Integrazione con l'IT | Allineamento dei prodotti e dei servizi con le risorse tecnologiche.
Analisi competitiva | L'elenco dei concorrenti, insieme ai relativi punti di forza e punti deboli.
Analisi SWOT | I punti di forza, i punti di debolezza, le opportunità e le minacce.
Analisi delle risorse | L'infrastruttura esistente e le risorse pianificate necessarie.
Metriche per il successo IT | Gli aspetti del piano che è possibile misurare.
Proiezioni finanziarie | L'intervallo di tempo per l'utile sugli investimenti.
La dichiarazione delle opportunità aziendali spiega come l'IT consenta o semplifichi nuove opportunità aziendali e il valore restituito. Cos'è il modello aziendale specifico? Quali prodotti e servizi offre a sua volta l'azienda come profitto? Quanto è grande il mercato potenziale e quanto è possibile acquisire grazie a un miglioramento dell'IT? In che modo l'IT incrementa questo modello aziendale? È necessario spiegare come l'investimento IT possa migliorare il flusso di lavoro e le procedure aziendali all'interno del modello aziendale dichiarato: migliorare le operazioni, ridurre i costi, migliorare l'efficienza, semplificare la collaborazione, potenziare le comunicazioni, la pianificazione e la messaggistica. Tutti questi miglioramenti possono contribuire a ridurre i costi o aumentare la produttività. È necessario ricordarsi di sottolineare l'innovazione delle operazioni aziendali che può essere raggiunta tramite l'IT.
Inoltre, è necessario analizzare anche i mercati di destinazione. Considerare come i piani IT consentano all'azienda di entrare al meglio nei mercati di destinazione esistenti o in nuovi mercati. Sottolineare quali sistemi di consegna sono utilizzati per i prodotti e servizi e come il supporto IT consenta di migliorare servizi e consegne in questi mercati.
Questo dovrebbe condurre direttamente a un'analisi del modo in cui i prodotti e i servizi IT vengono integrati con la tecnologia IT Quali prodotti e servizi specifici sono immessi nella piattaforma tecnologica integrata e unificata? In che modo l'IT supporta i prodotti o i servizi? Come si riconduce questo agli obiettivi dell'azienda? Si tratta di uno spunto per capire come l'IT possa migliorare la gestione dei servizi, la fornitura dei progetti e le relazioni interne e esterne. L'IT consente all'azienda di cambiare, migliorando le aspettative del livello di servizio, fornendo una supervisione efficace, l'impostazione delle priorità, la conformità alle norme, privacy e protezione. Tutti questi punti devono essere trattati nel piano aziendale.
L'analisi competitiva esamina lo scenario nel quale l'azienda opera. Chi sono i diretti concorrenti dell'azienda? Quali sono i loro punti di forza e le debolezze? Sottolineare come i concorrenti utilizzano la tecnologia e come hanno migliorato la propria posizione sul mercato. L'IT offre all'azienda un margine competitivo sulla concorrenza? Spiegare come l'IT migliora l'agilità dell'azienda, contribuisce alla crescita, accelera l'ingresso su nuovi mercati, supporta nuovi clienti, migliora il servizio per i clienti esistenti, e così via. In che modo la tecnologia offre differenziazione e vantaggi per la tua attività? In che modo l'IT alza le barriere impedendo l'ingresso ai concorrenti?
Un'analisi SWOT offre una visione formale dei punti di forza, dei punti di debolezza, delle opportunità e delle minacce per l'azienda. Quali sono le opportunità e i rischi esterni all'azienda? In che modo l'IT migliora i punti di forza interni dell'azienda per trarre vantaggio dalle nuove opportunità esterne? In che modo l'IT supera i punti di debolezza interni e consente all'azienda di sfruttare nuove opportunità come risultato di questi sforzi? Come vengono diminuiti i rischi esterni tramite gli investimenti IT?
Considerare i requisiti per un investimento IT prima, durante e dopo l'implementazione. I requisiti comprendono persone, hardware e infrastrutture. Da quali informazioni o infrastrutture esistenti è possibile trarre vantaggio e per quali è necessario fissare il budget? Quanto tempo sarà necessario per recuperare i costi del nuovo training o della nuova apparecchiatura? Se esistono vantaggi derivanti dai nuovi investimenti oltre allo specifico piano aziendale, assicurarsi che vengano evidenziati adeguatamente.
Per sapere se il piano aziendale rispetta le aspettative, è necessario spiegare chiaramente in anticipo le metriche del successo. Quali aspetti del piano possono essere misurati? Con che frequenza si misurerà il successo e come si agirà se non si stanno effettivamente raggiungendo gli obiettivi? Quali sono i piani di backup in presenza di forze disgreganti inaspettate?
Nessun piano aziendale è completo senza le proiezioni finanziarie. Quali sono i costi totali di possesso e come verranno giustificati nelle nuove opportunità aziendali? E qual è il valore di tali opportunità? Dove e in che modo viene realizzato l'utile sugli investimenti nel raggiungimento del successo aziendale? Quali sono gli intervalli di tempo per l'utile sugli investimenti? In che modo l'IT migliora gli obiettivi finanziari dell'azienda attraverso la crescita dei ricavi e della redditività e la riduzione dei costi?

Guardare avanti
Non esistono garanzie che i piani funzionino. Ma la stesura e lo sviluppo di un piano aziendale costituisce un ottimo punto di partenza. Avrai pensato a tutti i problemi potenziali, modificato il piano o evidenziato le contingenze. Avrai già un'idea chiara dei costi e dei vantaggi previsti, compresi i costi derivanti da un'eventuale rinuncia a procedere. Infine, non è possibile sapere se un'operazione è riuscita o meno senza un termine di paragone con il quale confrontarsi. Queste metriche diventeranno utili per dimostrare al capo l'importanza del piano per l'azienda, specialmente al momento dell'assegnazione delle gratifiche.
Per la discussione in corso sull'azienda IT, consultare il forum IT Managers Connection su blog.technet.com/cdnitmanagers. Sul sito Web Microsoft sono disponibili numerose risorse relative ai piani aziendali. Il sito Small Business Center offre una guida sulla scrittura di un piano aziendale all'indirizzo microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx e Office Online (office.microsoft.com/en-us/templates) ha numerosi modelli di piano aziendale oltre a quelli forniti con Microsoft Office System 2007.

Stephen Ibaraki è un famoso docente di corsi tecnologia applicata alle aziende, con oltre 35 anni di esperienza in azienda e IT. Attualmente è vicedirettore di Network Professional Association (NPA). È possibile contattarlo tramite il sito Web www.StephenIbaraki.com.


 The Cable Guy: EAPHost in Windows
The Cable Guy
EAPHost in Windows
Joseph Davies
Le informazioni in versione provvisoria su Windows Server "Longhorn" sono soggette a modifiche.

Quando un client di accesso si connette a una rete protetta, deve utilizzare un metodo di autenticazione negoziata per verificare la propria identità con un server di autenticazione. Ad esempio, il client di accesso e il server di autenticazione possono utilizzare lo stesso protocollo di autenticazione della password specifico, come Microsoft Challenge Handshake Authentication
Protocol versione 2 (MS-CHAP v2). Tuttavia, quando un client di accesso e il server di autenticazione utilizzano metodi di autenticazione incorporati e codificati, è difficile aggiungere nuovi protocolli.
Extensible Authentication Protocol (EAP) è un framework architetturale che fornisce l'estendibilità per i metodi di autenticazione delle tecnologie di accesso protetto alle reti comunemente utilizzate, come le reti wireless basate sul protocollo IEEE 802.1X e le connessioni remote Point-to-point Protocol (PPP) o VPN. EAP non è un metodo di autenticazione come MS-CHAP v2, ma piuttosto un framework sul client di accesso e sul server di autenticazione che consente ai fornitori di reti di sviluppare e installare facilmente i nuovi metodi di autenticazione conosciuti come metodi EAP. Per ulteriori informazioni di base su EAP, vedere la pagina Web di EAP di Microsoft al sito microsoft. com/eap.
Sebbene EAP sia stato supportato in Microsoft® Windows® fin da Windows 2000, l'architettura EAP in Windows XP e in Windows Server® 2003 ha limitazioni di estendibilità per i metodi EAP e per i supplicant, che sono componenti software che possono utilizzare EAP su un tipo specifico di livello di collegamento. L'architettura EAPHost in Windows Vista™ e nella prossima versione di Windows Server "Longhorn", indirizza queste limitazioni, rendendo molto più facile, per i fornitori di reti di terze parti, estendere Windows per i nuovi supplicant e per i metodi EAP.

Supporto EAP in Windows Server 2003 e Windows XP
Windows Server 2003 e Windows XP utilizzano EAP per le connessioni wireless o cablate che eseguono l’autenticazione con il protocollo 802.1X e per le connessioni basate sul PPP come l’accesso remoto o basato su VPN oppure le connessioni da sito a sito. In particolare, questi sistemi operativi contengono un'implementazione EAP che aderisce alla RFC 2284 e contiene IEEE 802.1X e il supplicant di PPP. Nella Figura 1 viene illustrata l'architettura EAP e del supplicant per Windows XP e per Windows Server 2003. È necessario notare, tuttavia, che nell'implementazione di EAP in Windows XP Service Pack 2 (SP2) e in Windows Server 2003 SP1 non sono supportati RFC 3748 (lo standard Internet corrente per EAP) e le altre RFC EAP.
Figura 1 Architettura EAP e del supplicant per Windows XP e Windows Server 2003
Figura 1 Architettura EAP e del supplicant per Windows XP e Windows Server 2003
Una API EAP fornisce i mezzi per estendere l'autenticazione in Windows XP e in Windows Server 2003. Anche se i fornitori di terze parti possono sviluppare e installare i nuovi metodi EAP, i supplicant di 802.1X e i PPP incorporati non possono utilizzare tutti i metodi EAP installati. Ad esempio, un fornitore potrebbe creare un nuovo ID che analizza il metodo EAP di autenticazione, ma quel metodo non potrebbe essere disponibile per le connessioni wireless.
A causa delle limitazioni dei supplicant incorporati, alcuni software di terze parti e i fornitori di hardware sviluppano un supplicant proprio, che in genere sostituisce e disattiva i supplicant incorporati e l'intera architettura EAP. Questa alternativa presenta tuttavia qualche problema. In primo luogo, sostituendo i supplicant incorporati e l'architettura del protocollo EAP si incorre in costi relativi allo sviluppo e in ritardi. Inoltre, se un’azienda cliente non sviluppa supplicant propri, per acquistare una licenza e installare un prodotto di terze parti rischia di incorrere in costi per ogni singola postazione.

Funzionalità di EAPHost
EAPHost fornisce le seguenti nuove funzionalità:
Supporto per i metodi aggiuntivi EAP. EAPHost supporterà l'installazione e l'uso di tutti i metodi EAP elencati sul Registro di sistema EAP al sito www.iana.org/assignments/eap-numbers e gli altri metodi di autenticazione popolari come Lightweight EAP (LEAP), sviluppato e fornito da Cisco Systems, Inc.
Individuazione rete. EAPHost supporta l’individuazione rete come definito nella specifica RFC 4284.
Conformità RFC 3748. EAPHost è conforme alla macchina a stati EAP e indirizza numerose vulnerabilità della protezione specificate in RFC 3748. Precedentemente, i supplicant dovevano implementare le proprie macchine a stati. Inoltre, EAPHost supporta funzionalità come i tipi Expanded EAP (compresi i metodi EAP specifici del fornitore).
Coesistenza del metodo EAP. EAPHost consente la coesistenza simultanea di implementazioni multiple dello stesso metodo EAP. Ad esempio, è possibile installare e scegliere la versione Microsoft di Protected EAP (PEAP) e la versione di PEAP di Cisco Systems, Inc.
Architettura modulare di supplicant. EAPHost supporta un'architettura modulare di supplicant in cui i nuovi supplicant possono essere aggiunti facilmente senza dover sostituire l’intera implementazione EAP come avveniva nella versione precedente.
Per i fornitori del metodo EAP, EAPHost supporta i metodi EAP già sviluppati per Windows XP e Windows Server 2003 e un metodo più facile di sviluppare i nuovi metodi EAP per Windows Vista e Windows Server "Longhorn". EAPHost consente anche una classificazione migliore dei tipi EAP in modo che il supplicant incorporato IEEE 802.1X li possa utilizzare.
Per i fornitori di supplicant, EAPHost fornisce il supporto per supplicant aggiuntivi per i nuovi livelli di collegamento. Poiché EAPHost è integrato con Protezione accesso alla rete, i nuovi supplicant non devono necessariamente riconoscere Protezione accesso alla rete. Per partecipare a Protezione accesso alla rete, è necessario che i nuovi supplicant registrino un identificatore di connessione e una funzione di richiamata che li informa di ripetere l'autenticazione. Per ulteriori informazioni su Protezione accesso alla rete, vedere l'articolo Controllo della protezione di John Morello in questo numero di TechNet Magazine, come pure la pagina Web Protezione accesso alla rete all'indirizzo microsoft.com/nap. Per le informazioni su come sviluppare i metodi EAP o i supplicant per EAPHost, vedere Extensible Authentication Protocol Host al sito msdn2.microsoft.com/aa364249.aspx.

Architettura dell'infrastruttura EAP e EAPHost
L'architettura EAPHost è costituita dall'architettura dell'infrastruttura EAP per EAPHost, dall'architettura EAPHost sul peer EAP (autenticazione del client) e dall'architettura EAPHost sul server di autenticazione. Nella Figura 2 vengono illustrati i componenti dell'architettura dell'infrastruttura EAP per EAPHost nei computer in cui è in esecuzione Windows Vista o Windows Server "Longhorn". Su questi sistemi operativi, il peer EAP dispone di un livello dei supplicant (come il supplicant incorporato per 802.1X), della nuova architettura EAPHost per i peer EAP (che facilitano la comunicazione e la gestione dei supplicant e dei metodi EAP) e di un livello dei metodi EAP per eseguire l'autenticazione.
Figura 2 Architettura dell'infrastruttura EAP per EAPHost
Figura 2 Architettura dell'infrastruttura EAP per EAPHost
Il server di autenticazione per Windows Server "Longhorn" dispone di Server dei criteri di rete, della nuova architettura EAPHost per i server di autenticazione e di un livello dei metodi EAP. Presente come Internet Authentication Service (IAS) in Windows Server 2003, Server dei criteri di rete è un server Remote Authentication Dial-In User Service (RADIUS) e un proxy e un server dei criteri Protezione accesso alla rete.
Il supplicant sul peer EAP utilizza una tecnologia di livello di collegamento come PPP o 802.1X per inviare e ricevere i messaggi EAP sul collegamento tra il peer EAP e l’autenticatore pass-through (un server di accesso alla rete come punto di accesso senza fili o un server di accesso remoto). L'autenticatore pass-through e Server dei criteri di rete sul server di autenticazione utilizzano RADIUS per inviare e ricevere i messaggi EAP sulla rete basata su IP tra l'autenticatore pass-through e Server dei criteri di rete.
Dopo che il peer EAP e il server di autenticazione hanno negoziato l'utilizzo di un metodo EAP specifico, la comunicazione logica consiste di messaggi EAP inviati tra il metodo EAP negoziato sul peer EAP e il server di autenticazione.
Nella Figura 3 viene illustrata l'architettura EAPHost sul peer EAP in cui è in esecuzione Windows Vista o Windows Server "Longhorn". Questa architettura consiste di supplicant, di componenti EAPHost, di componenti di gestione del metodo EAP e di componenti Protezione accesso alla rete.
Figura 3 Architettura EAPHost sul peer EAP
Figura 3 Architettura EAPHost sul peer EAP
Windows Vista e Windows Server "Longhorn" contengono un supplicant 802.1X per le connessioni wireless basate sullo standard 802.1X e per le connessioni cablate. Si sta esaminando un supplicant di PPP per l'accesso remoto o basato su VPN o per le connessioni da sito a sito in vista di un aggiornamento futuro a questi due sistemi operativi. È possibile aggiungere ulteriori supplicant sviluppati da terze parti. EAPHost API consente ai supplicant di utilizzare EAP per le connessioni. Per maggiori informazioni, vedere l'articolo in msdn2.microsoft.com/aa364249.aspx.
I componenti EAPHost incorporano la macchina a stati del client EAP/convalida protocollo, che mantiene la macchina a stati del peer EAP (vedere RFC 3748) e convalida i messaggi EAP. Incorpora anche la gestione metodo EAP, che gestisce i vari metodi EAP compatibili o meno con EAPHost compatibili. Permette, inoltre, di rendere i metodi EAP disponibili per le applicazioni e per i servizi. Infine incorpora la gestione librerie EAP, che facilita il caricamento e lo scaricamento di librerie del metodo EAP.
I componenti del metodo EAP includono:
I metodi EAP incorporati. Comprendono PEAP, EAP-Transport Layer Security (TLS) ed EAP-MS-CHAP-V2.
Due API di host. Questi ospitano i metodi EAP non EAPHost compatibili (EAP API Legacy) e i metodi EAPHost compatibili di terze parti (Metodo API EAPHost).
Il metodo traduttore legacy. Questo metodo effettua la conversione tra i metodi EAP non compatibili con EAPHost, scritti su API EAP legacy e su API metodo EAPHost.
Gestione proxy del metodo EAP . Questo ospita i metodi EAP di terze parti, anche se non sono compatibili con EAPHost.
API del metodo EAP è la nuova API per i metodi EAP compatibili con EAPHost. I metodi EAP esportano le API definite in API del metodo EAP. EAPHost carica i metodi EAP e le chiamate nelle funzioni API esportate.
I componenti Protezione accesso alla rete contengono gli elementi seguenti:
Messenger Client di imposizione Protezione accesso alla rete EAP . Questo componente facilita la comunicazione dei dati relativi a Protezione accesso alla rete, come le istruzioni di integrità ed eventi, tra Client di imposizione Protezione accesso alla rete di EAPHost e gli altri componenti di EAPHost.
Client di imposizione Protezione accesso alla rete EAPHost . Interagisce con gli altri componenti Protezione accesso alla rete per fornire la convalida di integrità e l’imposizione di accesso limitato quando una connessione autenticata con lo standard 802.1X non è conforme ai requisiti di integrità del sistema Protezione accesso alla rete.
Agente Protezione accesso alla rete. Mantiene lo stato di integrità attuale del client e facilita la comunicazione tra i Client di imposizione Protezione accesso alla rete installati e il livello degli Agenti integrità sistema. Ogni Agente integrità sistema è definito per uno o più requisiti di integrità del sistema.
Come viene illustrato nella Figura 3, i fornitori di terze parti possono sviluppare nuovi supplicant e nuovi metodi EAP compatibili con EAPHost. È possibile utilizzare anche i metodi EAP esistenti sviluppati per Windows Server 2003 o per Windows XP.
Nella Figura 4 viene illustrata l'architettura EAPHost sul server di autenticazione in cui sono in esecuzione Windows Server "Longhorn" e Server dei criteri di rete. Questa architettura è simile a quella utilizzata per il peer EAP per supportare i metodi EAP. Invece dei supplicant, il server di autenticazione dispone di Server dei criteri di rete, che impiega API EAPHost per utilizzare e configurare i metodi EAP. Entro i componenti EAP, macchina a stati del client EAP/convalida protocollo esegue il lavoro di manutenzione della macchina a stati del server di autenticazione EAP e di convalida dei messaggi EAP in entrata.
Figura 4 Architettura EAPHost sul server di autenticazione
Figura 4 Architettura EAPHost sul server di autenticazione
EAPHost sul server di autenticazione consente ai fornitori del software di terze parti di sviluppare e installare i metodi nuovi EAP compatibili con EAPHost e supporta i metodi EAP già sviluppati per Windows XP e Windows Server 2003.
Sia per il peer EAP che per il server di autenticazione, EAPHost fornisce anche una API proxy interfaccia utente EAPHost (non illustrata nelle Figure 3 e 4), utilizzata dai metodi compatibili con EAPHost per visualizzare le finestre di dialogo che richiedono l'interazione utente. La API proxy interfaccia utente EAPHost consente ai fornitori di terze parti di aggiungere le loro finestre di dialogo per una procedura utente più intuitiva.

Conclusioni
EAPHost in Windows Server "Longhorn" e in Windows Vista aggiorna l'implementazione EAP in Windows per gli standard di Internet più recenti e fornisce una nuova architettura modulare per estendere Windows con i metodi di autenticazione EAP e con i supplicant. I fornitori di reti possono estendere il livello di interazione dell'utente esistente in Windows senza sostituire l'intera implementazione EAP di Windows sviluppando i nuovi supplicant scritti nella API EAPHost e i nuovi metodi di autenticazione scritti nella API metodo EAPHost. EAPHost supporta anche i metodi EAP esistenti sviluppati per il Windows Server 2003 e Windows XP.
EAPHost per Windows XP
Microsoft è pianificato per rilasciare un aggiornamento per Windows XP SP2 contenente l'architettura EAPHost, il supporto per RFC 3748 e un supplicant basato su EAPHost per la connettività cablata di 802.1X. Con l'aggiornamento, i supplicant EAPHost sviluppati per Windows Vista potranno essere utilizzati in Windows XP SP2. Per le informazioni più recenti su questo aggiornamento, vedere il blog del team responsabile del prodotto Protezione accesso alla rete al sito blogs.technet.com/nap.

Joseph Daviesè autore tecnico presso Microsoft. Dal 1992 tiene corsi e scrive su argomenti legati alle reti Microsoft. Ha scritto cinque libri per Microsoft Press ed è autore della rubrica mensile TechNet Cable Guy.


 Windows PowerShell: La connessione WMI
Windows PowerShell
La connessione WMI
Don Jones

Una delle tecnologie alle quali mi affidavo maggiormente nel mondo di VBScript era Strumentazione gestione Windows, o WMI. In modo interessante, Windows PowerShell ha forti relazioni con WMI, e non solo in senso tecnico. Jeffrey Snover, che ha sviluppato l'architettura Windows PowerShell, è stato anche un principale collaboratore nella creazione di
Wmic.exe, un'utilità da riga di comando Windows Server® 2003 utilizzata per lavorare con WMI. Sotto molti aspetti, Wmic.exe aveva prefigurato Windows PowerShell™ in quanto lavorava in modo simile. Per ulteriori informazioni su WMIC, vedere l'articolo di John Kelbley dell'edizione di settembre 2006 TechNet Magazine, disponibile in linea all'indirizzo microsoft.com/technet/technetmag/issues/2006/09/WMIData.
Windows PowerShell fornisce il supporto per WMI in modo conforme e basato sugli oggetti come il resto delle funzionalità della shell. Ciò rende WMI molto più facile da imparare ed utilizzare, soprattutto in situazioni ad hoc, rispetto alle precedenti tecnologie, come VBScript.

Panoramica su WMI
Leggendo i libri e gli articoli sugli script, è quasi impossibile non vedere menzionato WMI. Tuttavia, è così facile utilizzare effettivamente WMI da dimenticare come è la sua struttura all'interno del sistema, che è importante soprattutto per il funzionamento in Windows PowerShell.
WMI è principalmente un sistema di classi organizzate che rappresentano le informazioni di gestione dal sistema operativo Windows® e altri prodotti hardware e software basati su Windows. Una classe non è che una descrizione astratta delle proprietà e delle funzionalità possedute da un dato componente software o hardware. Ad esempio, una classe di disco logico potrebbe descrivere una periferica che ha un numero di serie, una capacità di archiviazione fissa, una quantità di capacità disponibile, e così via. Nel frattempo, una classe che descrive un servizio Windows potrebbe specificare che il servizio ha un nome, che è in grado di avviarsi e arrestarsi, il suo stato corrente, e così via.
In WMI, le classi rappresentano tutto ciò che WMI può gestire. Se WMI non ha una classe per qualcosa, non può gestire tale componente. Microsoft documenta le classi principali di Windows WMI alla pagina msdn2.microsoft.com/aa394554.aspx; altri prodotti, come Internet Information Services, SQL Server™, documentano le loro classi di WMI separatamente.
Poiché le classi sono così tante, in WMI sono organizzate in una gerarchia di spazi dei nomi. Ad esempio, lo spazio dei nomi contenente le classi principali del sistema operativo Windows è denominato root\cimv2, mentre Microsoft IIS 6.0 memorizza le classi in root\MicrosoftIISv2. Per convenienza, lo spazio dei nomi root\cimv2 è lo spazio dei nomi WMI predefinito, un'impostazione condivisa da Windows PowerShell, che facilita il lavoro con le classi principali.
Una "istanza" è un'occorrenza reale di una classe. Se, ad esempio, il computer ha due dischi logici, si otterranno due istanze della classe del Win32_LogicalDisk. Se ci sono 50 servizi in esecuzione sul computer, WMI vedrà 50 istanze della classe Win32_Service. Lavorare con WMI significa essenzialmente chiedere a WMI di fornire una o più istanze, e poi esaminare le proprietà di quelle istanze per trovare le informazioni di gestione necessarie o eseguire i metodi di quelle istanze per apportare modifiche alla gestione, come ad esempio avviare o arrestare un servizio.
WMI utilizza un'architettura client-server. A partire da Windows 2000, in ogni versione di Windows è integrata WMI (le versioni successive hanno esteso il numero di classi disponibili), quindi il client di WMI e il software di server di WMI sono facilmente disponibili. Quando si utilizza WMI, si invia in realtà una richiesta al Servizio WMI in esecuzione su qualsiasi computer interessato. Quel Servizio WMI recupera le istanze WMI specificate e le restituisce affinché sia possibile lavorare con esse. Qui entra in gioco Windows PowerShell, che semplifica il processo di richiesta delle istanze, le ottiene e lavora con esse.

Ottenere un oggetto WMI
Dal momento che ci si riferisce genericamente alle istanze di classe di WMI come ad oggetti, ha senso recuperare quelle istanze in Windows PowerShell tramite il cmdlet Get-WMIObject. Questo cmdlet ha un alias conveniente, gwmi, che utilizzerò per la maggior parte dei miei esempi. Nella sua forma più semplice, si specifica semplicemente il nome della classe di WMI da recuperare e poi si guardano i risultati (vedere la Figura 1). Quando ho eseguito gwmi win32_service, Windows PowerShell si è connesso al servizio di WMI sul mio computer locale (poiché non avevo specificato un altro computer) e allo spazio dei nomi root\cimv2 (poiché non avevo specificato uno spazio dei nomi diverso). Windows PowerShell ha recuperato tutte le istanze della classe specificata e, poiché non dato altre istruzioni, ha convertito queste istanze in una rappresentazione testuale. In altre parole, Windows PowerShell ha preso gli oggetti e ha prodotto del testo che un essere umano è in grado di leggere.
Figura 1 Quando si esegue gwmi win32_service, Windows PowerShell restituisce tutte le istanze della classe specificata in un formato di testo leggibile
Figura 1 Quando si esegue gwmi win32_service, Windows PowerShell restituisce tutte le istanze della classe specificata in un formato di testo leggibile
Specificatamente, Windows PowerShell converte in testo gli oggetti di WMI leggendo e visualizzando i nomi e i valori delle proprietà di classe selezionate. Per la classe Win32_Service, sceglie una serie di sei proprietà.
In realtà, in questo modo Windows PowerShell converte qualunque oggetto in testo. Le proprietà che sceglie di visualizzare sono, per la maggior parte, definite in una serie di file format.ps1xml localizzati nella cartella di installazione di Windows PowerShell. Questi file di definizione formato hanno la firma digitale di Microsoft. Si sconsiglia di modificare questi file, anche se è possibile fornire i propri file di formattazione. Non è purtroppo questa la sede adatta per trattare di questo argomento, che verrà sviluppato in seguito.
Il cmdlet gwmi può aiutare ad esplorare il proprio computer per scoprire quali classi sono disponibili. Eseguendo gwmi –namespace "root\cimv2" –list, ad esempio, si ottiene un elenco completo di classi in quello spazio dei nomi. Ricordare, tuttavia, che le classi sul proprio computer sono pertinenti soltanto se si gestisce il proprio computer; per un computer remoto, si devono scoprire le classi disponibili su quel sistema. Per questo, si utilizzerà il parametro di computer gwmi per connettersi a un computer remoto. Ad esempio, gwmi –namespace "root\cimv2" –list –computer ServerA elencherà tutte le classi nello spazio dei nomi root\cimv2 sul computer remoto denominato ServerA.

Strumentazione gestione Windows (WMI) remota
Nella versione 1.0 di Windows PowerShell, gwmi riguarda il solo cmdlet che supporta direttamente la gestione remota. Ciò è dovuto principalmente al fatto che quel controllo remoto è creato nell'architettura di WMI sottostante. E, perché Windows PowerShell utilizza semplicemente quell'architettura esistente, è soggetto alle funzionalità di sicurezza di quell'architettura. Di seguito viene riportato un esempio:
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
In quest'istanza, ho cercato di connettermi ad un computer remoto, denominato Media Server, per il quale non ho l'autorizzazione per l'accesso. Come amministratore, è necessario avere l'autorizzazione per lavorare con questo servizio WMI del computer, ma è probabile che le mie credenziali di workstation locale non siano sufficienti. Potrei, ad esempio, accedere a un dominio diverso, non trusted, o potrei avere accesso a un account con meno privilegi. Fortunatamente, gwmi supporta un parametro credenziale che mi consente di specificare una serie alternata di credenziali utente per la mia connessione WMI. Di seguito, è riportato un esempio molto semplice:
gwmi win32_service –credential mydomain\administrator –computer mediaserver
La mia credenziale, più specificatamente, il mio nome utente, è fornito nel formato DOMAIN\Username.
Notare che non è possibile inserire una password in nessun campo, me la richiederà Windows PowerShell. Deliberatamente, Windows PowerShell non fornisce un modo per inserire una password sulla riga di comando perché così facendo permetterebbe di impostare le password come hardcoded nei file script, che è un rischio di protezione assoluto. Esiste, tuttavia, un altro metodo con il quale è possibile lavorare al parametro credenziale, e cioè creando una specie di oggetto credenziale, denominato PSCredential, in anticipo. La chiave è il cmdlet Get-Credential:
$cred = get-credential mydomain\administrator
Quando lo eseguo, mi viene ancora richiesta la password corrispondente. Questa volta, tuttavia, l'oggetto credenziale creato è memorizzato nella variabile $cred. Se si guarda il contenuto di $cred, si vede il nome ma non la password:
PS C:\> $cred

UserName
--------
mydomain\adminstrator
Posso riutilizzare poi quell'oggetto credenziale quanto voglio:
gwmi win32_service –credential $cred –computer mediaserver
Ciò semplifica le connessioni WMI ripetute a un computer remoto predefinendo un oggetto riutilizzabile credenziale. Si noti comunque che il cmdlet Get-WMIObject non supporta attualmente i livelli di specificazione di autenticazione (altrimenti conosciuti come rappresentazione) nello stesso modo supportato da VBScript. Consultare msdn2.microsoft.com/aa389290.aspx per ulteriori informazioni.

Individuazione automatica
Una delle caratteristiche che preferisco di Windows PowerShell è che non volgarizza niente. Ho illustrato come Windows PowerShell ha selezionato soltanto una serie di proprietà per la classe Win32_Service che ho richiesto. La shell ha comunque accesso a tutte le proprietà, tuttavia, e può anche dire quali sono. Per farlo, basta inviare l'oggetto (o gli oggetti) al cmdlet Get-Member (o il suo alias, gm), come illustrato nella Figura 2.
Figura 2 Inviando un oggetto al cmdlet Get-Member, la shell dice a quali metodi e proprietà è possibile accedere
Figura 2 Inviando un oggetto al cmdlet Get-Member, la shell dice a quali metodi e proprietà è possibile accedere
Oltre alle proprietà, la shell elenca anche i metodi disponibili, così non è necessaria la documentazione per scoprire ciò che la classe può fare. È possibile vedere che la classe fornisce i mezzi per modificare una configurazione dell'istanza, sospende un servizio, arresta un servizio, e così via.
Per utilizzare questi metodi o visualizzare altre proprietà, è spesso più semplice mettere le istanze in una variabile:
$server = gwmi win32_operatingsystem
$server.reboot()
Questo campione recupererà la sola istanza disponibile della classe Win32_OperatingSystem (quella classe ha soltanto un'istanza per computer) e lo salva nella variabile $server. Utilizzerà poi la variabile $server per accedere al metodo di riavvio dell'istanza, riavviando il computer. È necessario essere prudenti.

Rich Query Language
Se si utilizza WMI con VBScript o un'altra tecnologia, probabilmente si è abituati a recuperare istanze di classe WMI utilizzando una query scritta in WQL, il linguaggio di query WMI. La sintassi di tipo SQL rende più facile recuperare le istanze specifiche, come un servizio specifico, piuttosto che tutte le istanze di una data classe. Fortunatamente, gwmi consente anche di specificare una query così:
gwmi –query “select * from win32_service where name=’alerter’”
Questa sintassi di gwmi (che è stata aggiunta appena prima che Windows PowerShell fosse ufficialmente rilasciato) è incredibilmente utile e semplifica molto la migrazione delle query WMI complicate che è possibile avere sviluppato per altri scopi. Come sempre, Windows PowerShell restituirà gli oggetti completi con le loro proprietà e i loro metodi, offrendo un accesso completo alla gestione WMI.

Guardare avanti con WMI
WMI continua ad essere sviluppato per le versioni future di Windows, aggiungendo nuove classi e funzionalità. E continua ad essere aggiunto ai nuovi prodotti di Microsoft. Mentre per la maggior parte dei prodotti di Microsoft non sono state ancora rilasciate versioni create specificatamente per Windows PowerShell, la capacità di Windows PowerShell di connettersi a WMI è uno dei benefici più grandi che lo rendono utile anche oggi.
Ho soltanto fatto un breve accenno a WMI. Spero di avere stimolato la curiosità e spinto a esplorare Windows PowerShell per scoprire le funzionalità disponibili.

Don Jones è responsabile progetti e servizi di SAPIEN Technologies e coautore di Windows PowerShell: TFM (SAPIEN Press). Contattare Don tramite il suo sito Web all'indirizzo www.ScriptingAnswers.com.


 Hey, Scripting Guy!: Gli alberi sono in fiore... e compaiono ovunque nuove finestre. &#200; arrivata la primavera.
Hey, Scripting Guy!
Gli alberi sono in fiore... e compaiono ovunque nuove finestre. È arrivata la primavera.
Gli Scripting Guys di Microsoft

Ah, è arrivata la primavera. Era ora! Dopo un inverno che ha registrato piogge da record, grandinate, tempeste di vento e neve, una delle quali ha provocato la caduta di un albero nel giardino di uno Scripting Guy, mancando di poco la casa e facendo scappare il cane dietro al divano, finalmente è arrivata la primavera e ci stiamo godendo una fresca pioggerellina prima che inizi il periodo delle calde piogge estive.
Fuori sta piovigginando, quindi potrebbe essere l'occasione buona per avventurarci tra i nostri script ed esaminare le applicazioni HTML (HTA). E quando diciamo "avventurarci", è proprio quello che intendiamo. Non forniremo alcun tipo di introduzione, ma partiremo dal presupposto che chi legge sappia già come creare una HTA. In caso contrario, si consiglia di consultare la sezione Script Center dell'HTA Developers Center. In particolare, si consiglia di leggere i due articoli inclusi nella sezione HTA per principianti. Successivamente, potremo riprendere da questo punto.
In questo articolo verranno illustrate le procedure per creare finestre di dialogo e per passare le informazioni tra la HTA principale e la finestra di dialogo. Eh sì, l'aria fresca di primavera ci ha reso piuttosto ambiziosi... Meglio approfittarne finché dura.
Probabilmente si saprà già che una finestra di dialogo può essere di due tipi: modale e non modale. La differenza consiste nel fatto che quando viene aperta una finestra di dialogo modale, non è più possibile tornare alla finestra principale finché la finestra modale non viene chiusa. Quando viene aperta una finestra di dialogo non modale, al contrario, è possibile passare da una finestra all'altra. Tuttavia, se si chiude la finestra principale, verrà chiusa anche quella non modale.
La procedura per creare entrambi i tipi di finestre di dialogo è identica. L'unica differenza è che per creare una finestra di dialogo modale viene chiamata la funzione ShowModalDialog, mentre per creare una finestra non modale viene chiamata la funzione ShowModelessDialog. Entrambe le funzioni accettano gli stessi parametri. Si consideri, ad esempio, una HTA semplice che consente di aprire una finestra di dialogo modale (vedere la Figura 1).
Figure 1 Finestra di dialogo iniziale semplice (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Questa HTA è stata denominata Modal Example. Nell'area <body> della HTA sono stati aggiunti due elementi: un pulsante denominato Show Dialog Box e una casella di testo denominata textbox, come illustrato nella Figura 2. Se si seleziona il pulsante, verrà eseguita la subroutine ShowDialog.
Figura 2 Finestra di dialogo modale della HTA
Figura 2 Finestra di dialogo modale della HTA
La subroutine ShowDialog è abbastanza semplice. Viene chiamata la funzione ShowModalDialog, che inoltra come parametro il nome del file HTA da visualizzare come finestra di dialogo modale, in questo caso modaldialog.hta. Si presuppone che il file modaldialog.hta si trovi nella stessa cartella della HTA. In caso contrario, sarà necessario includere il percorso completo del file.
Successivamente, viene restituito un valore (intReturn) da ShowModalDialog che viene visualizzato nella casella di testo. Di seguito verrà descritto il modo in cui si ottiene tale valore. È importante notare che la chiamata a ShowModalDialog non restituirà alcun valore finché la finestra di dialogo modale non verrà chiusa. Ciò significa che, finché non verrà eseguita questa operazione, il valore restituito non verrà assegnato alla casella di testo.
Esaminiamo ora il file modaldialog.hta, ovvero la finestra di dialogo aperta dalla chiamata HTA (vedere la Figura 3). In questa HTA, sono stati creati due elementi: una casella di riepilogo denominata listbox e un pulsante denominato OK, come illustrato nella Figura 4. Alla casella di riepilogo sono stati aggiunti quattro elementi denominati Option 1, Option 2 e così via, a ciascuno dei quali sono stati assegnati i valori corrispondenti, da 1 a 4. Selezionando il pulsante OK, viene eseguita la subroutine CloseWindow.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Figura 4 HTA relativa alla finestra di dialogo modale
Figura 4 HTA relativa alla finestra di dialogo modale
La subroutine CloseWindow è abbastanza semplice. Innanzitutto, è necessario leggere il valore dell'elemento selezionato nella casella di riepilogo e assegnarlo alla proprietà window.returnValue. Ad esempio, se l'utente sceglie Option 2, viene assegnato il valore 2 a window.returnValue, quindi viene chiamato il metodo window.Close per chiudere la finestra di dialogo.
A questo punto, il controllo ritorna alla HTA principale. Si tenga presente la chiamata a ShowModalDialog:
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
Il valore restituito assegnato a intReturn corrisponde al valore assegnato a window.returnValue nella HTA della finestra di dialogo. Pertanto, se si sceglie Option 2 nella finestra di dialogo, assegnando il valore 2 a window.returnValue, il valore di intReturn sarà pari a 2 e la seguente riga di codice visualizzerà tale valore nella casella di testo:
textbox.Value = intReturn
Dopo aver esaminato come ottenere un valore da una finestra di dialogo, verrà illustrata la procedura da utilizzare per passare il valore alla finestra di dialogo. Sebbene la procedura sia identica per entrambe le finestre, in questo esempio verrà utilizzata una finestra non modale (vedere la Figura 5).
Figure 5 Passaggio a una finestra non modale (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Figura 7 Dati inoltrati alla finestra di dialogo non modale
Figura 7 Dati inoltrati alla finestra di dialogo non modale
Questa volta è stata creata una casella di riepilogo a discesa denominata lstServers (il fatto che sia a discesa può essere dedotto dalla dimensione pari a 1). Inoltre, è stato creato un pulsante denominato Retrieve Processes. Selezionando questo pulsante, viene eseguita la subroutine ShowDialog. La subroutine ShowDialog è costituita da un'unica riga, ovvero la chiamata alla funzione window.ShowModelessDialog, come illustrato di seguito:
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
Il primo parametro che viene inoltrato a questa funzione è il nome della HTA da eseguire nella finestra di dialogo, in questo caso modelessdialog.hta. Il secondo parametro è la proprietà Value della casella di riepilogo. Si tenga presente che la proprietà Value contiene il valore dell'opzione scelta nella casella di riepilogo. Pertanto, se l'utente sceglie Server2 dalla casella di riepilogo, la proprietà Value sarà server2. Questo parametro indica la modalità con cui vengono inoltrate le informazioni alla finestra di dialogo. È possibile inoltrare più valori inserendoli nel parametro sotto forma di array o raccolta.
Di seguito verrà illustrato in che modo viene ricevuto il valore del parametro nella finestra di dialogo. Tuttavia, è necessario prima segnalare che è stato introdotto un terzo parametro:
“dialogHeight:400px;dialogWidth:300px”
Questo parametro contiene una stringa che specifica l'altezza e la larghezza da impostare per la finestra di dialogo. In questo caso, sono state specificate un'altezza di 400 pixel (400 px) e una larghezza di 300 pixel. Come illustrato nell'esempio della finestra modale, è possibile lasciare vuoto il parametro e la finestra di dialogo verrà visualizzata in base alla dimensione predefinita impostata nel computer.
Esaminiamo ora il file modelessdialog.hta (Figura 6) e il modo in cui viene letto il valore passato alla finestra di dialogo.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
In questa HTA, l'unico elemento che viene specificato è una sezione contenente l'area completa della finestra di dialogo. Nello script è stata definita la subroutine window_onLoad. Questa subroutine verrà eseguita non appena viene aperta la HTA (in questo caso, dalla chiamata a ShowModelessDialog). Di seguito è riportata la prima riga della subroutine:
strComputer = window.dialogArguments
Viene assegnato alla variabile strComputer il contenuto della proprietà window.dialogArguments ovvero il valore inoltrato al secondo parametro della chiamata a ShowModelessDialog. Se nella finestra principale è stato scelto Server2, la variabile strComputer conterrà il valore server2.
La parte restante della subroutine consente semplicemente di recuperare tutti i processi dalla variabile strComputer e di visualizzarli nell'area della sezione. I risultati di questa operazione sono illustrati nella Figura 7.
A questo punto, si avrà a disposizione tutta l'estate per giocare con le finestre di dialogo HTA. A meno che non si viva nell'Emisfero meridionale, nel qual caso, con l'inverno che avanza, si potrebbe avere qualche difficoltà se si verificano tante interruzioni di corrente come quelle che abbiamo avuto noi durante l'inverno.

Gli Scripting Guys di Microsoft lavorano o, per meglio dire, sono stipendiati da Microsoft. Quando non si dedicano al baseball (o a varie altre attività) da giocatori, allenatori o semplici spettatori gestiscono il TechNet Script Center. Consultare la pagina www.scriptingguys.com.


 Exchange Queue &amp; A: Timeout di OWA, risoluzione dei problemi relativi ai cmdlet e altro ancora
Exchange Queue & A
Timeout di OWA, risoluzione dei problemi relativi ai cmdlet e altro ancora
KC Lemson and Nino Bilic

D Di recente abbiamo eseguito la migrazione da Exchange Server 2003 a Exchange Server 2007. Stiamo ricevendo lamentele a proposito dei timeout di OWA (Outlook® Web Access) per gli utenti con restrizioni che hanno selezionato l'opzione "Computer privato" all'accesso a OWA 2007. Quale comando di Exchange Management Shell si deve utilizzare per verificare il timeout dei computer privati?
R È necessario prima di tutto ricordare il funzionamento di alcune opzioni, spiegando i motivi dell'esistenza di una selezione separata per i computer privati e i computer pubblici (vedere la Figura 1) e illustrando i diversi comportamenti di queste opzioni. L'intenzione delle opzioni è fornire all'utente un modo per specificare in Exchange il livello di protezione necessario. Se si accede a OWA utilizzando un chiosco pubblico in un aeroporto, ad esempio, oppure utilizzando il computer di casa. L'amministratore di Exchange può decidere di trattare i due tipi di sessione in modo diverso. L'amministratore può, ad esempio, rendere più rapidi i timeout delle sessioni autenticate per i computer pubblici (una questione di minuti) rispetto ai computer privati (fino a un massimo di tre giorni). L'amministratore può configurare anche le altre impostazioni in modo diverso in base alla scelta dell'utente. Può, ad esempio, impostare l'accesso alle librerie di documenti Sharepoint® e ai file condivisi di Windows® in modo che sia consentito solo in caso di accesso privato. È ovvio che l'efficacia della funzionalità dipende dalla scelta dell'opzione giusta da parte dell'utente. Se gli amministratori hanno motivo di ritenere che gli utenti non sempre sceglieranno l'opzione giusta, possono comunque impostare i medesimi valori di timeout e delle altre configurazioni per entrambe le opzioni.
Figura 1 I tipi di sessione pubblica e privata del computer consentono di impostare valori diversi per timeout e altre configurazioni
Figura 1 I tipi di sessione pubblica e privata del computer consentono di impostare valori diversi per timeout e altre configurazioni
L'opzione in questione è stata ereditata da Exchange 2003, quando è stata introdotta per la prima volta in OWA autenticazione basata su moduli (nota storica: la prima implementazione di autenticazione basata su moduli è stata progettata in parte da una brillante program manager. Non rivelerò la sua identità, ma si può dire che poi ha trovato fama e fortuna scrivendo un articolo bimestrale per TechNet Magazine).
L'impostazione viene effettivamente memorizzata nel Registro di sistema, ma poiché Windows PowerShell™ è dotato di un'interfaccia per l'aggiornamento del Registro di sistema, è possibile configurare questa impostazione utilizzando Exchange Management Shell. Nell'esempio seguente il timeout viene impostato a 1440 minuti, o a un giorno, quando gli utenti scelgono l'opzione di computer privato durante l'accesso:
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Poiché l'impostazione è nel Registro di sistema, è ovviamente possibile aggiornare la chiave utilizzando regedit, scegliendo:
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
In ogni caso è necessario riavviare IIS per consentire a OWA di accettare la nuova impostazione. A tal fine è possibile scegliere Start | Esegui ed eseguire il comando iisreset /noforce.

D Incoraggiamo tutti i dipendenti che utilizzano i client MAPI di Outlook completi ad archiviare gli elementi non urgenti nei file delle cartelle personali (.pst). Tuttavia, gli elementi archiviati non sono disponibili quando gli utenti accedono a Outlook Web Access da casa. È possibile rendere disponibili i file .pst tramite l'interfaccia di OWA?
R Purtroppo OWA non supporta l'accesso ai file .pst. OWA è stato progettato e costruito per essere un client esclusivamente online. Il lavoro per garantire che non restasse alcuna traccia dei dati personali sul computer locale è stato enorme. Sono stati inclusi anche funzionalità come il meccanismo di chiusura di sessione protetta presentato per la prima volta con Exchange 2003 e WebReady Document Viewing di Exchange 2007, che garantisce l'eliminazione dal disco rigido delle copie degli allegati memorizzate nella cache. Dunque l'accesso ai file .pst da OWA non si addice allo scopo prefisso di creare un client esclusivamente online e semplice da distribuire.
Ciò detto, l'uso dei file .pst è in generale uno scenario interessante che è opportuno approfondire. L'autunno scorso abbiamo incontrato un cliente che aveva utenti con quote della cassetta postale di circa 200 MB e quasi ogni utente utilizzava almeno uno, se non più, file .pst. Poiché l'organizzazione si era dotata di un criterio di gestione che consentiva di ripulire e sostituire i computer degli utenti con uno sforzo minimo, a tutti gli utenti veniva richiesto di memorizzare i file .pst su una condivisione di rete. La condivisione di rete veniva, a propria volta, inserita in un backup da un sistema centralizzato.
Per iniziare, sono già noti dei problemi relativi all'accesso ai file .pst da condivisioni di rete. Così come OWA è stato progettato per essere un client online,. i file .pst sono stati creati per la memorizzazione locale. Qualunque sia il livello di funzionalità e la velocità, la rete è soggetta a latenza e ad altri problemi che rendono di difficile gestione l'archiviazione remota dei dati (a cui devono per di più accedere più utenti contemporaneamente).
Inoltre, l'organizzazione aveva definito delle quote della cassetta postale piuttosto ridotte (noi dobbiamo ritenerci dei veri privilegiati con una cassetta di posta aziendale di circa 2 GB) perché non si desiderava tenere tutti quei dati in Exchange, che avrebbe altrimenti dovuto sostenere la responsabilità del backup di tutti i dati. Ancora, con gli utenti che memorizzavano i dati in file .pst su una condivisione di rete sottoposta a backup, gli amministratori non risparmiavano né tempo né lavoro. Anzi, se possibile, il carico di lavoro aumentava a causa di una varietà di fattori, come: nessuna archiviazione a istanza singola su più file .pst; costi di helpdesk correlati ai problemi con i file .pst (come password dimenticate e inaffidabilità della di rete in generale); difficoltà nell'eliminazione dei messaggi nei file pst dopo un attacco di virus; difficoltà di individuazione dei messaggi nei file .pst in caso di questioni di natura legale; overhead per la gestione di un sistema di backup diverso e cosí via.
È dunque necessario considerare con attenzione tutti i costi correlati alle decisioni di configurazione. Si potrebbe scoprire che i costi si sommano e che un'altra configurazione potrebbe in definitiva rappresentare una scelta migliore.

D Ho un problema con un comando di Exchange Management Shell. Non funziona, come mai?
R Non è possibile rispondere a questa domanda, ma si può dire che per ottenere la migliore assistenza in questi casi è possibile utilizzare il cmdlet incorporato in Windows PowerShell denominato start-transcript, per registrare i comandi che si eseguono e i risultati che si ottengono. In tal modo sarà possibile incollare i dettagli esatti in un messaggio e-mail, un post di un blog o di un forum.
Aprire una sessione Exchange Management Shell e digitare start-transcript, come nella Figura 2. Exchange Management Shell inizierà a registrare automaticamente tutti i comandi eseguiti in un file di testo simile a quello illustrato nella Figura 3 (la posizione del file di testo viene indicata dall'applicazione). Per interrompere la registrazione, è sufficiente digitare stop-transcript.
Figura 2 Utilizzo del cmdlet start-transcript per registrare i comandi utilizzati e i rispettivi risultati
Figura 2 Utilizzo del cmdlet start-transcript per registrare i comandi utilizzati e i rispettivi risultati
Figura 3 Windows PowerShell salva una copia dei comandi utilizzati in un file .txt
Figura 3 Windows PowerShell salva una copia dei comandi utilizzati in un file .txt
Un elenco completo dei comandi utilizzati e dei risultati ottenuti sarà di grande aiuto a chi dovrà risolvere il problema. Ma prima di condividere il registro con qualcuno che non si conosce, è bene controllare ed eliminare gli eventuali riferimenti a dati riservati.

D Ho notato che durante l'installazione di Exchange 2007 viene creata una nuova unità organizzativa nel dominio radice. È denominato Gruppi di protezione di Microsoft Exchange e contiene cinque nuovi gruppi di protezione di Exchange 2007. È possibile spostare questi gruppi in un'altra unità organizzativa? E in un altro dominio?
R Questa domanda fa riferimento ai cinque gruppi di protezione universale (USG) che vengono creati nel dominio radice durante la fase di preparazione di Active Directory. I gruppi in questione sono:
  • Exchange Organization Administrators
  • Exchange Recipient Administrators
  • Exchange View-Only Administrators
  • Exchange Servers
  • ExchangeLegacyInterop
Ai tempi di Exchange 2000 e 2003, la possibilità di spostare i gruppi di protezione predefiniti (Exchange Domain Servers ed Exchange Enterprise Servers) era limitata. È più preciso affermare che l'operazione di spostamento era possibile, ma il processo comportava alcuni problemi (per ulteriori informazioni, vedere support.microsoft.com/kb/260914). In pratica le possibilità erano molto limitate.
Con Exchange 2007 le cose sono cambiate. I cinque gruppi predefiniti possono essere spostati. È possibile spostarli in un'altra unità organizzativa entro lo stesso dominio o in un altro dominio.
Qualora si "perdesse" uno dei cinque gruppi e non si ricordasse più la sua posizione, ovvero l'unità organizzativa o il dominio, è sempre possibile controllare il valore dell'attributo otherWellKnownObjects nel contenitore seguente:
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
Quando si spostano i gruppi, la rispettiva posizione viene aggiornata in questo attributo che consente di scoprire in qualsiasi momento la posizione dei gruppi. Utile, vero?

D ho trovato un gruppo di protezione globale denominato "Exchange Install Domain Servers" nel dominio. A cosa serve?
R È probabile che esistano delle schede in Active Directory®. Esisterà un gruppo Exchange Install Domain Servers in ogni dominio con il server Exchange 2007 installato. Il gruppo viene creato nell'unità organizzativa Oggetti di sistema di Microsoft Exchange (MESO). Se si esamina questo gruppo, si noterà che viene impostato come membro del gruppo Exchange Servers del dominio radice, che è un gruppo di protezione universale.
In breve, Exchange Install Domain Servers è un gruppo utilizzato per risolvere potenziali scenari di lunghi cicli di replica di Active Directory quando si esegue l'installazione di Exchange 2007 in uno dei domini figlio. Si immagini, ad esempio, di disporre di un dominio radice denominato Root, di un dominio figlio denominato Child e di un dominio figlio di Child denominato Grandchild (lo schema dei nomi denota come sempre una grande fantasia! Le nostre password sono ancora più imprevedibili).
Per preparare l'installazione di Exchange 2007 in questa organizzazione, è necessario prima di tutto estendere lo schema e preparare il dominio Root. In tal modo si creano i cinque USG illustrati nella risposta precedente.
Si immagini quindi di dover eseguire l'installazione nel dominio Grandchild. Per consentire l'avvio dei servizi di Exchange 2007 nel dominio locale, l'installazione inserisce un account computer per il computer di Exchange 2007 nel gruppo Exchange Servers del dominio Root. Poiché ci si trova nel dominio Grandchild, la replica dell'appartenenza del gruppo Exchange Servers potrebbe richiedere del tempo.
Exchange Servers è un gruppo universale e l'appartenenza viene replicata in tutta la foresta. A causa della potenziale latenza della replica, è possibile che l'installazione nel dominio Grandchild non riesca ad avviare i servizi, poiché le autorizzazioni potrebbero non essere state ancora replicate al momento della fine dell'installazione. È per questo motivo che alla prima installazione di un server di Exchange 2007 in un dominio, nel dominio locale viene creato il gruppo Exchange Install Domain Servers.
Durante l'installazione, l'account computer di Exchange viene posizionato come membro di tale gruppo. L'appartenenza al gruppo garantisce ai servizi autorizzazioni sufficienti per l'avvio al termine dell'installazione, anche se l'appartenenza al gruppo Exchange Servers non è stata ancora replicata dal dominio Root. Si noti, tuttavia, che la replica nel dominio locale è di solito più veloce della replica tra domini.

D Nella documentazione di Exchange 2007 si afferma che è necessario eseguire l'installazione con l'opzione /PrepareLegacyExchangePermissions, anche prima di estendere lo schema per Exchange 2007. Perché? E il nome dell'opzione non vi sembra un po' troppo lungo?
R Fa sempre piacere sapere che gli utenti leggono la documentazione prima di eseguire l'installazione. Piaciuta?
/PrepareLegacyExchangePermissions (o /pl per brevità) è un'opzione che, espressamente, attribuisce ai Servizi aggiornamento destinatari (RUS) di Exchange 2000 e 2003 le autorizzazioni necessarie per scrivere nelle proprietà di informazioni di Exchange e informazioni personali. Durante il processo di estensione dello schema di Exchange 2007, alcuni attributi (come gli indirizzi proxy) vengono spostati dalla proprietà dalle informazioni pubbliche di Active Directory alla proprietà delle informazioni di Exchange. Per impostazione predefinita, i RUS di Exchange 2000 e 2003 non detengono i diritti di scrittura per la proprietà delle informazioni di Exchange. Nella realtà, questo significa che se si eseguisse l'estensione dello schema di Exchange 2007 prima, si comprometterebbero i RUS di Exchange 2000 e 2003 perché non potrebbero contrassegnare alcun nuovo destinatario. Per leggere ulteriori informazioni sulle proprietà, è possibile visitare il nostro blog all'indirizzo msexchangeteam.com.
È quindi molto importante eseguire l'opzione /pl prima dell'estensione dello schema per Exchange 2007. È inoltre necessario accertarsi che la modifica venga replicata su tutti i domini con destinatari di Exchange 2000 o 2003 (con i RUS per tali domini). Se in un secondo momento vengono aggiunti altri domini alla foresta e si rende necessaria anche l'aggiunta dei RUS di Exchange 2000 o Exchange 2003, l'opzione /pl dovrà essere eseguita anche in questi domini.
A questo proposito è opportuno notare che, per la prima esecuzione di un'opzione /pl, è preferibile utilizzare un account con diritti Enterprise Admin. Quindi l'installazione dal dominio radice individuerà i domini per cui è necessario eseguire l'opzione /pl ed eseguirà l'opzione su tutti i domini individuati. Se non si utilizza un account Enterprise Admin, sarà necessario eseguire l'opzione /pl utilizzando un account Domain Admin per ciascun dominio. Per fortuna, nella documentazione di Exchange 2007 sono descritti tutti i requisiti di autorizzazione.
Infine, a proposito della lunghezza del nome, Basta provare a pronunciare tre volte in rapida successione /PrepareLegacyExchangePermissions:
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
Avevamo anche pensato di utilizzare un nome un po' più lungo, tipo /PrepareLegacyExchangePermissionsWOWQuestoSìCheÈUnNomeLungo, ma alla fine abbiamo optato per il più breve e semplice /PrepareLegacyExchangePermissions.
Ormai è fatta, ma è sempre possibile utilizzare la forma abbreviata /pl. E giuriamo che non è uno scherzo!

KC Lemson è User Experience Manager per Exchange Server. Nel tempo libero aspetta di ricevere messaggi e-mail in cui le consiglino dove investire i fondi scolastici dei ragazzi
Nino Bilic, Technical Lead per Exchange Server, è impegnato a compilare statistiche sul numero di partite di Halo che riesce a fare durante una normale giornata di lavoro


 Controllo della protezione: Protezione dell'accesso di rete (Network Access Protection)
Controllo della protezione
Protezione dell'accesso di rete (Network Access Protection)
John Morello
Le informazioni contenute in questo articolo sono relative a una versione non definitiva di Windows Server "Longhorn" e sono soggette a modifiche.

Una delle minacce alla protezione più subdole che le organizzazioni di tutte le dimensioni oggi devono affrontare, sono i dispositivi non autorizzati all'interno del perimetro della rete. Per quanto si possa proteggere un'organizzazione contro i pericoli esterni che viaggiano su Internet, i rischi possono sempre provenire da un dipendente che diventa in buona fede un vettore di
malware trasmessi da un worm o trojan horse. Questo tipo di rischio è particolarmente sentito negli ambienti IT di organizzazioni di piccole e medie dimensioni, in cui i computer portatili personali e aziendali dei membri dello staff spesso coincidono e dove le tecnologie di controllo dell'accesso alla rete sono spesso troppo costose e troppo complesse da distribuire. In genere sono proprio queste organizzazioni che pagano il prezzo più alto in termini di tempi di inattività, quindi la protezione contro questo tipo di minacce è fondamentale.
La tecnologia NAP (Network Access Protection) di Microsoft consente alle organizzazioni di qualsiasi dimensione di controllare in modo proattivo l'integrità dei computer che si connettono alla rete e di garantirne costantemente l'integrità per l'intera durata della connessione. Con la tecnologia NAP è possibile costituire un'architettura flessibile basata sui criteri, per proteggere le organizzazioni dai computer non conformi connessi alla rete in modo intenzionale o involontario da dipendenti, fornitori e visitatori. La protezione NAP si fonda su quattro pilastri: convalida dei criteri, isolamento, monitoraggio/aggiornamento e conformità costante.

Panoramica sulla tecnologia NAP
Il primo servizio fondamentale fornito da NAP è la convalida dei criteri. La convalida dei criteri è il processo con cui NAP valuta un sistema a fronte di una serie di regole definite dall'amministratore e classifica lo stato di integrità del sistema.
Gli amministratori IT specificano una serie di elementi dei criteri che NAP utilizza come pietra di paragone quando i computer tentano di connettersi alla rete. I computer che soddisfano gli elementi di criteri vengono considerati integri, mentre quelli che non superano una o più verifiche (in base a quanto specificato dall'amministratore) vengono giudicati non integri. I criteri possono riguardare, ad esempio, la presenza di un software antivirus e antispyware, se un firewall è attivo e se il computer ha eseguito o meno gli aggiornamenti della protezione. Inoltre, poiché è possibile estendere le funzionalità di NAP, i produttori indipendenti di software possono creare plug-in propri per NAP che consentano di eseguire verifiche su applicazioni specifiche.
Un altro servizio fondamentale fornito da NAP è la limitazione della connettività di rete. In base ai criteri definiti da un amministratore, NAP può impostare stati di connettività di rete diversi per i computer. Se, ad esempio, un computer è giudicato non integro perché mancano degli aggiornamenti critici della protezione, NAP può collocare tale computer in una rete di quarantena, dove resterà isolato dal resto dell'ambiente finché non sarà tornato integro. Senza NAP, il client non integro avrebbe libero accesso alla rete dell'organizzazione. Se la mancanza degli aggiornamenti critici avesse poi già consentito a del malware di attaccare il computer, l'infezione si sarebbe diffusa al resto della rete con la partecipazione attiva del computer infetto. Nella Figura 1 viene illustrato un esempio generico dell'architettura.
Figura 1 Architettura NAP generica
Figura 1 Architettura NAP generica
La semplice limitazione della connettività, tuttavia, non è un metodo efficiente per la gestione dei computer non integri (dopotutto, gli utenti devono pur lavorare). Dunque NAP fornisce anche servizi di monitoraggio e aggiornamento che i computer non integri in quarantena possono utilizzare per risolvere i problemi di integrità, senza l'intervento di un amministratore. Nell'esempio riportato sopra, la rete limitata consentirebbe al computer non integro di accedere solo alle risorse di rete specifiche necessarie per l'installazione degli aggiornamenti che mancano, come il computer Windows Server® Update Services (WSUS). In altre parole con la protezione NAP attiva, il computer non integro può accedere solo alle risorse di rete che gli consentiranno di tornare integro, mentre non viene consentito il traffico verso il resto della rete fino alla risoluzione del problema.
L'ultimo pilastro della tecnologia NAP è la conformità costante, che prevede l'applicazione continua dei criteri di integrità impostati per l'intera durata della connessione alla rete e non solo per la connessione iniziale. In base all'esempio, si consideri ciò che potrebbe accadere dopo l'aggiornamento del computer (a cui viene quindi concesso l'accesso senza limitazioni alla rete). Se il computer in un secondo momento smettesse di essere conforme a causa, ad esempio, della disattivazione di Windows Firewall, NAP rimetterebbe automaticamente in quarantena il computer. NAP consente inoltre agli amministratori di configurare il monitoraggio e aggiornamento automatici, con la correzione automatica dello stato di non conformità senza alcun intervento da parte dell'utente, anche molto tempo dopo la connessione iniziale alla rete.
NAP può utilizzare tecniche diverse per il controllo dell'accesso alla rete. Per le organizzazioni con switch di rete gestiti, è possibile utilizzare 802.1X per garantire il controllo degli accessi in base alle porte a livello dell'hardware di rete. NAP consente inoltre di utilizzare l'imposizione basata su IPSec, con cui le reti protette vengono create tramite associazioni IPsec e stratificate sulle reti fisiche. Con l'imposizione basata su IPSec, NAP controlla l'accesso all'area protetta creando e rimuovendo in modo dinamico i certificati utilizzati dal motore di IPSec. Infine, NAP può fornire l'imposizione basata su DHCP. In questo caso il server DHCP fornisce ai client non integri i lease IP dai pool limitati. Tali lease utilizzano suffissi DNS e route IP separati per controllare le risorse a cui può accedere un client limitato.
Il componente server di NAP è stato creato sulla prossima versione di Windows Server, nome in codice "Longhorn", in modo specifico nel nuovo NPS (Network Policy Server), il successore molto più avanzato del Servizio di Autenticazione Internet. Per le organizzazioni che utilizzano l'imposizione basata su 802.1X, l'hardware di rete deve supportare l'autenticazione 802.1X e le funzionalità dinamiche VLAN (nei siti di riferimento riportati in "Risorse per NAP" sono disponibili ulteriori informazioni sui produttori di hardware specifico). Per l'imposizione basata su DHCP, è necessario un servizio DHCP abilitato all'utilizzo di NAP, come quello disponibile in Windows Server "Longhorn". Sul client, il supporto di NAP è integrato in Windows Vista™. Il supporto di NAP sarà anche disponibile come componente aggiuntivo di Windows® XP, con un nuovo supplicant 802.1X che abiliterà l'imposizione basata su 802.1X su Windows XP.
Inoltre, NAP si integra con il Centro sicurezza PC Windows, oltre che con altri agenti di verifica dell'integrità di terze parti, e fornisce informazioni sull'integrità dei computer. Grazie a questa caratteristica, NAP è in grado di assumere decisioni relative alla convalida dei criteri in base ai dati esposti tramite il Centro sicurezza PC Windows.
NAP è una soluzione di gestione dei criteri di livello aziendale davvero completa, non è quindi possibile illustrare tutte le funzionalità e le strategie di distribuzione in un solo articolo. In questo articolo si concentrerà dunque l'attenzione sulle distribuzioni per organizzazioni di piccole e medie dimensioni, in cui l'attività dello staff di IT è già molto intensa e differenziata e in cui la distribuzione di NAP può essere semplificata per garantire un rapido ritorno dell'investimento richiesto per la distribuzione. Molte delle lezioni e la guida generica, tuttavia, possono essere ugualmente applicate a qualsiasi progetto NAP in organizzazioni di ogni dimensione. Il processo di esempio non è stato, tuttavia, pensato come una procedura dettagliata per l'installazione, ma piuttosto come una panoramica di carattere generale sulle principali aree di interesse per una corretta distribuzione di NAP basata su DHCP. Il collegamento a una guida di installazione più dettagliata è riportato nella barra laterale "Risorse per NAP".

Il problema di Contoso
Per analizzare meglio l'utilizzo di NAP per la risoluzione dei problemi particolari e delle esigenze di organizzazioni di piccole e medie dimensioni, si utilizzerà come esempio il caso di Contoso, Inc. Contoso è un'organizzazione fittizia di medie dimensioni con 250 computer distribuiti in tre uffici principali. La forza lavoro è estremamente mobile, con molti utenti che lavorano da casa oppure che si connettono all'ufficio principale da posizioni remote presso i clienti. Ne consegue che la metà del totale dei computer utilizzati in azienda è costituita da computer portatili e Tablet PC. Come molte altre organizzazioni, Contoso ha dovuto affrontare problemi di protezione sempre più complessi con l'aumento della mobilità della sua forza lavoro. I computer portatili di alcuni utenti hanno contratto del malware presso le sedi dei clienti o abitazioni private e si sono quindi connessi alla rete interna di Contoso.
Contoso ha adottato delle misure per tenere i computer remoti sempre aggiornati. Spesso, alcuni utenti lavorano presso le sedi dei clienti per periodi prolungati prima di tornare a uno degli uffici di Contoso. In queste situazioni i computer utilizzati dagli utenti restano spesso in arretrato di mesi per quanto riguarda gli aggiornamenti della protezione, con un conseguente aumento del rischio globale per il resto dei computer sulla rete di Contoso. Contoso necessita quindi di una soluzione che consenta di garantire che tutti i computer connessi alla rete, sia in locale che in remoto, restino protetti e integri.
NAP può aiutare Contoso a conseguire questo risultato? Basta ricordare i pilastri di NAP già annunciati. Grazie alla convalida dei criteri, NAP può verificare l'integrità di tutti i computer che si connettono alla rete di Contoso. La convalida dei criteri consente di determinare se le firme del programma antivirus di un computer sono aggiornate e se sono state applicate tutte le patch con gli aggiornamenti della protezione. Quando le routine di convalida dei criteri di NAP determinano che un computer non è integro, NAP può limitare la connettività di rete per tale host. In tal modo si evita che un computer utilizzato fuori degli uffici aziendali che ha contratto il malware diffonda il problema alle altre parti della rete. NAP limiterà la connettività in modo che il computer non integro possa accedere esclusivamente alle risorse di monitoraggio e aggiornamento definite dall'amministratore IT di Contoso. Il computer non integro, ad esempio, potrebbe accedere al server WSUS di Contoso e al server che ospita le firme del programma antivirus. Infine, NAP garantisce che dopo il ristabilimento dello stato di integrità del computer, tale stato verrà mantenuto con continuità. Nell'esempio illustrato qui, se l'host non integro fosse utilizzato da un telelavoratore su VPN e l'utente avesse disattivato il firewall dell'host, NAP risolverebbe automaticamente il problema. Non appena il firewall viene disattivato, l'infrastruttura di NAP mette in quarantena il computer, riattiva il firewall, rivaluta l'integrità del computer e, dopo averne rilevato l'integrità, ricolloca il computer sulla rete senza limitazioni. I quattro pilastri di NAP rispondono direttamente alle principali esigenze di protezione dell'ambiente informatico dinamico e mobile di Contoso.

Progetto di implementazione di NAP
Per molte organizzazioni di piccole e medie dimensioni, l'imposizione basata su DHCP per NAP è l'opzione di implementazione più facile e rapida, poiché l'imposizione DHCP non richiede alcuna modifica di rete aggiuntiva e alcun servizio ulteriore oltre a DHCP e NPS. Se è vero che le opzioni con l'imposizione IPSEC e 802.1X sono più flessibili, è anche vero che richiedono delle modifiche aggiuntive alla rete e la distribuzione di nuovi servizi. Per gli ambienti a minore complessità, l'utilizzo d DHCP garantisce i maggiori vantaggi di NAP con costi di implementazione molto più bassi e con un minore impegno dal punto di vista operativo.
Nell'ambiente di Contoso viene utilizzato come nucleo della distribuzione di NAP un computer che utilizza Windows Server "Longhorn". Poiché NAP richiede un NPS di Windows Server "Longhorn", non è possibile eseguirne la distribuzione sulle versioni precedenti di Windows Server. L'imposizione basata su DHCP per NAP richiede inoltre un server DHCP di Windows Server "Longhorn". Per consolidare i servizi, Contoso può distribuire sullo stesso server sia NPS che DHCP, che coesistono senza problemi. L'infrastruttura server NAP di base per Contoso risulta quindi abbastanza semplice: un singolo computer con Windows Server "Longhorn" esegue entrambi i componenti di criteri e imposizione.
Sul lato client, i computer di Contoso che utilizzano Windows Vista sono già dotati delle funzionalità necessarie per supportare NAP. La sola modifica necessaria sul lato client per i computer che utilizzano Windows Vista, consiste nell'attivazione della funzionalità NAP, che può essere eseguita tramite Criteri di gruppo. Per i computer di Contoso che utilizzano Windows XP, è necessario installare un pacchetto del client NAP separato. Sui computer con Windows XP che appartengono al dominio la funzionalità Centro sicurezza PC Windows è disattivata per impostazione predefinita. Se il criterio di NAP utilizza le informazioni sullo stato di Centro sicurezza PC per valutare l'integrità dei computer, per il corretto funzionamento di NAP è necessario che Centro sicurezza PC venga eseguito. Quindi, sui computer di Contoso che utilizzano Windows XP, gli amministratori hanno attivato Centro sicurezza PC tramite Criteri di gruppo. Oltre queste modifiche, il supporto di NAP non richiede alcun altro intervento sul lato client.

Distribuzione di NAP in Contoso
Dopo le modifiche necessarie di Criteri di gruppo descritte in precedenza, il passo successivo per la distribuzione di NAP in Contoso è l'installazione di Windows Server "Longhorn". Tutte le versioni di Windows Server "Longhorn" contengono i componenti di NAP necessari, dunque in Contoso è possibile utilizzare qualsiasi versione sia in grado di soddisfare le esigenze dell'azienda. Al termine dell'installazione, l'amministratore IT utilizzerà lo strumento Gestione server per aggiungere nuovi ruoli al computer. Per l'imposizione basata su DHCP utilizzata da Contoso, i ruoli richiesti sono NAS e Server DHCP. La procedura guidata di aggiunta dei ruoli facilita la gestione da parte dell'amministratore delle eventuali dipendenze e l'aggiunta di eventuali altre funzionalità necessarie sul server. Dopo l'aggiunta dei ruoli, è già possibile iniziare a configurare la protezione NAP di Contoso.
L'amministratore di Contoso utilizza lo strumento Gestione server per accedere allo snap-in DHCP per MMC (Microsoft Management Console) e aggiunge un nuovo ambito. La configurazione del server DHCP di Windows Server "Longhorn" provoca la sostituzione di tutti i servizi DHCP esistenti sui segmenti IP serviti. Una volta creato e popolato lo scopo con le opzioni corrette sulla rete di Contoso, è necessario attivare NAP. È possibile eseguire questa operazione nella scheda Network Access Protection delle proprietà dell'ambito (vedere la Figura 2).
Figura 2 Attivazione di NAP
Figura 2 Attivazione di NAP
NAP passa i computer dall'accesso limitato alla rete all'accesso senza limitazioni entro lo stesso ambito, utilizzando un'opzione di ambito classe nuovo utente NAP. Questa serie speciale di opzioni di ambito (compresi server DNS, suffisso DNS predefinito e cosí via) si utilizza quando vengono forniti dei lease a client non integri. Ad esempio, se ai client integri viene fornito un suffisso DNS predefinito "contoso.com", ai client non integri viene fornito un suffisso "restricted.contoso.com", come illustrato nella Figura 3. Dopo aver configurato le opzioni di ambito DHCP, è possibile installare il server dei criteri di rete NPS e creare delle regole.
Figura 3 Accesso limitato
Figura 3 Accesso limitato
Un criterio di NPS è costituito da quattro componenti principali. Convalida integrità sistema (SHV) definisce le verifiche da eseguire per valutare l'integrità di un computer. Nei gruppi di server di monitoraggio e aggiornamento è contenuto l'elenco dei sistemi a cui i computer non integri possono accedere per tornare integri (WSUS, ad esempio). Il componente del modello di convalida integrità sistema viene utilizzato per definire gli stati di integrità effettivi. Ad esempio, è possibile che in Contoso si definisca come "Conforme" un computer che supera la SHV di Protezione di Windows, anche se non supera un'altra verifica SHV prevista dal produttore del programma antivirus. Questi componenti vengono infine combinati in una serie di criteri di rete, che contengono la logica che determina ciò che accade ai computer in base allo stato di integrità corrispondente.
Le convalide integrità sistema sono degli elenchi di elementi che vengono controllati dall'agente NAP e di cui viene comunicato lo stato a NPS. Una distribuzione NAP predefinita comprende la SHV di Windows, che si connette a Centro sicurezza PC Windows e consente a NAP di controllare lo stato di tutti i componenti di protezione riferiti tramite Centro sicurezza PC. Sono compresi il firewall, l'antivirus, l'aggiornamento automatico e i componenti antispyware.
È opportuno ricordare che NAP è stato progettato per essere esteso e ampliato con SHV di terze parti ed eseguire così verifiche più dettagliate di singoli componenti (per ulteriori informazioni, vedere microsoft.com/windowsserver2003/partners/nappartners.mspx). Ad esempio, la SHV di Protezione di Windows consente a NAP di controllare se l'antivirus è attivato e aggiornato. Tuttavia, la SHV di Protezione di Windows non consente di eseguire verifiche più dettagliate sull'applicazione antivirus, come la frequenza di scansione del computer o altre opzioni specifiche dell'applicazione. Il produttore del programma antivirus, tuttavia, può creare SHV personalizzate che si connettano alla propria applicazione e consentano verifiche dell'applicazione specifiche e più approfondite rispetto alla SHV predefinita di Windows. Questa SHV potrebbe collaborare con la SHV di Windows e qualunque altra SHV esistente, poiché una distribuzione NAP può utilizzare simultaneamente più SHV (vedere la Figura 4).
Figura 4 SHV di Protezione di windows
Figura 4 SHV di Protezione di windows
I gruppi di server di monitoraggio e aggiornamento vengono utilizzati per specificare a quali risorse può accedere un computer non integro. I gruppi contengono spesso delle risorse come i server WSUS o Systems Management Server (SMS), oltre ai server di aggiornamento dell'antivirus. È fondamentale inserire non solo i server, ma anche i server per la risoluzione dei nomi utilizzati dai client per trovarli. Poiché i client di Contoso vengono configurati tramite i Criteri di gruppo in modo da utilizzare il server denominato wsus.contoso.com per Aggiornamenti automatici, i gruppi di server di monitoraggio e aggiornamento devono contenere non solo l'indirizzo IP del server WSUS, ma anche quello del server DNS utilizzato dai client per convertire il nome completo dominio del server (FQDN) in un indirizzo IP numerico. Se non si consente l'accesso a queste risorse di risoluzione dei nomi (che possono essere sia DNS che WINS, a seconda della configurazione dei client), i client non saranno in grado di risolvere gli indirizzi IP delle risorse di monitoraggio e aggiornamento e, quindi, di accedervi. Nella Figura 5 vengono illustrate le impostazioni DNS e IP per l'esempio.
Figura 5 Nomi DNS e indirizzi IP
Figura 5 Nomi DNS e indirizzi IP
I modelli di convalida integrità sistema vengono utilizzati per definire ciò che contraddistingue un computer integro. I modelli di convalida acquisiscono i risultati delle verifiche SHV e definiscono i computer come integri o non integri in base al superamento o meno di una o più di tali verifiche (vedere la Figura 6).
Figura 6 Controlli di conformità
Figura 6 Controlli di conformità
Nell'ambiente di Contoso (come in molte distribuzioni di piccole e medie dimensioni) sono definiti solo due stati. Viene definito integro un computer che supera tutte le verifiche SHV. Viene definito come non conforme un computer che non supera una o più di queste verifiche. Se necessario, le organizzazioni possono decidere di implementare logiche più complesse (creando, ad esempio, standard di conformità diversi per gli utenti n base al ruolo, al reparto, alla posizione geografica e cosí via), ma in tali casi è probabile che l'individuazione e la risoluzione dei problemi diventi più difficile e lunga.
Tutti i componenti vengono integrati nei criteri di rete. I criteri di rete vengono definiti dagli amministratori e istruiscono NPS su come trattare i computer in base al rispettivo stato di integrità. I criteri vengono valutati dall'alto in basso (come visualizzati nell'interfaccia utente di NPS) e l'elaborazione si interrompe quando viene trovata una corrispondenza per una regola dei criteri.
Anche in questo caso, la semplicità è lo scopo principale per la rete di Contoso, dunque sono necessari solo pochi criteri. Il primo criterio è Compliant-FullAccess. In base a questo criterio ai computer che superano tutte le verifiche SHV viene concesso l'accesso alla rete senza limitazioni. In particolare, quando viene valutata l'integrità di un computer che ha superato tutte le verifiche, NPS richiede al server DHCP di offrire al computer un lease IP con le opzioni di ambito "normali". Compliant-FullAccess viene posizionato, in genere, come primo criterio nell'ordine di elaborazione, poiché la maggior parte dei computer controllati è conforme. Se si posiziona questo criterio al primo posto, si ridurranno il carico e i tempi di elaborazione su NPS.
Il criterio successivo è Noncompliant-Restricted. Nell'ambiente di Contoso qualunque computer che non supera una o più verifiche SHV (creando quindi una corrispondenza al modello di convalida di non integrità del sistema ) conferma questo criterio. Quando viene rilevata una corrispondenza a questo criterio, NPS richiede al server DHCP di offrire al client un lease IP con le opzioni di ambito speciali "limitate" di NAP. I computer non conformi potranno dunque accedere solo alle risorse definite nel gruppo di server di monitoraggio e aggiornamento di Contoso.
Il terzo criterio viene utilizzato per compatibilità con le versioni precedenti. È importante ricordare che, per impostazione predefinita, il supporto di NAP è disponibile per Windows XP e versioni successive del sistema operativo (sebbene produttori di software indipendenti possano sviluppare client NAP per le versioni meno recenti di Windows e sistemi operativi diversi da Windows). Se Contoso utilizza ancora Windows 2000 nell'ambiente di produzione, potrà creare una regola (Downlevel-FullAccess nell'esempio) per consentire ai computer che non supportano NAP in modo predefinito di ottenere un accesso normale alla rete (con opzioni di ambito fornite dal server DHCP). Questo criterio deve essere valutato per ultimo e deve essere creato e attivato solo quando è necessario consentire l'accesso alla rete a computer di livello inferiore (vedere la Figura 7).
Figura 7 Impostazioni di accesso per i computer di livello inferiore
Figura 7 Impostazioni di accesso per i computer di livello inferiore
Cosa accade se sulla rete di Contoso sono presenti delle risorse che non sono e non saranno mai compatibili con NAP, come le stampanti o altro hardware? Inoltre, cosa accade se in Contoso si utilizzano computer che supportano NAP ma che si desidera esentare dalle verifiche dei criteri, in modo temporaneo o definitivo? Una modo facile per esentare dei computer è in base all'indirizzo MAC. Per fornire a questi computer un bypass per i controlli di NAP, gli amministratori di Contoso possono creare un criterio nuovo (Exempt by MAC) e concedere l'accesso completo alla rete. Il criterio utilizza un'istruzione di condizione in cui la proprietà RADIUS del client di Identificativo stazione chiamante corrisponde all'indirizzo MAC dei dispositivi che necessitano di un bypass per NAP. Quando un computer conferma questa istruzione del criterio, NPS richiede a DHCP di offrire un lease con le opzioni di ambito "normali". Questo criterio deve essere riportato come primo nell'ordine di valutazione, per ridurre i tempi e il carico di elaborazione complessivi su NPS. Sui computer che corrispondono a questo criterio non deve essere eseguita alcuna valutazione di SHV, quindi non è necessario dedicare dei cicli di elaborazione in NPS per controllarli (vedere la Figura 8).
Figura 8 Bypass di alcuni computer
Figura 8 Bypass di alcuni computer
Quando vengono utilizzati in combinazione, i criteri illustrati aiutano a garantire una rapida e precisa valutazione da parte del NPS di Contoso dei computer che si connettono alla rete. I criteri inoltre consentono di configurare le esenzioni necessarie per i computer di livello inferiore e per i dispositivi o i periodi per cui sono necessari dei bypass anche se supportano NAP.

Conclusioni
NAP è il frutto di un'ampia gamma di tecnologie e, specialmente negli scenari più complessi, richiede una pianificazione completa e delle verifiche accurate. In questo articolo si è concentrata l'attenzione su uno scenario meno complesso, ma sul sito Web di NAP sono disponibili guide più dettagliate per distribuzioni di ogni dimensione. Il sito Web contiene inoltre informazioni per una corretta pianificazione di implementazioni con 802.1X e IPSEC, spesso più adatte dell'imposizione basata su DHCP per le aziende.
NAP rappresenta una piattaforma potente ed estendibile per la valutazione dell'integrità dei computer che si connettono a una rete. Per le organizzazioni di piccole e medie dimensioni, l'imposizione basata su DHCP può garantire molti vantaggi con costi di implementazione e gestione ridotti. NAP è uno dei vantaggi principali offerti da Windows Server "Longhorn" e può aiutare le organizzazioni a migliorare protezione e conformità.
Risorse di NAP
  • Protezione dell'accesso di rete (Network Access Protection)
  • Configurazione della protezione dell'accesso alla rete con l'imposizione basata su DHCP in test di laboratorio
  • Partner di NAP
  • Webcast del white paper "Introduzione alla protezione dell'accesso alla rete"

John Morello lavora in Microsoft da sei anni ricoprendo diversi ruoli. Come consulente senior, ha progettato soluzioni di protezione per le aziende Fortune 100 nonché per i clienti della difesa e civili americani. Attualmente è Senior Program Manager presso il gruppo Windows Server e si dedica alle tecnologie di accesso remoto.


 Desktop File: Aggiornamento di Servizi di distribuzione Windows
Desktop File
Aggiornamento di Servizi di distribuzione Windows
Wes Miller

In molti dei miei articoli più recenti ho illustrato le tecnologie di distribuzione correlate a Windows Vista e alla prossima versione di Windows Server, nome in codice "Longhorn". L'unica costante nell'ambito dello sviluppo del software è il cambiamento e pertanto in questo articolo vi presento un piccolo aggiornamento relativo a Servizi di distribuzione Windows (WDS, Windows Deployment Services), che verrà fornito in
Windows Server® "Longhorn". Avendo inoltre raccolto una serie di domande, alcune delle quali poste dai lettori, altre estratte da discussioni a cui ho partecipato negli ultimi mesi, una parte del presente articolo è dedicata alle risposte ad alcune di queste domande relative a ImageX, WDS e Windows® PE.

Nuove funzionalità e miglioramenti
Durante la fase di pianificazione della progettazione di WDS, si sperava che la funzionalità fornita come componente aggiuntivo a Windows Server 2003 sarebbe stata quasi identica alla funzionalità della versione che verrà fornita successivamente in Windows Server "Longhorn". Tuttavia, il team responsabile dello sviluppo di WDS per Windows Server "Longhorn" si è concentrato principalmente su tre nuove funzionalità principali che saranno specifiche di WDS sulla piattaforma server disponibile a breve.
Tra queste nuove funzionalità figurano la distribuzione multicast, il miglioramento delle prestazioni di download TFTP e il supporto per l'avvio di rete basato su EFI (Extensible Firmware Interface) per i sistemi x64. Queste funzionalità sono molto importanti ed estremamente vantaggiose per gli utenti e gli amministratori di WDS e pertanto in questo articolo verrà esaminata ciascuna di esse in modo da fornire una panoramica delle novità che sono state introdotte. È opportuno tuttavia sottolineare prima una precisazione importante: non si prevede di includere queste funzionalità in nessuna delle future versioni di WDS per Windows Server 2003.

Multicast
Molto tempo prima che iniziassi a collaborare con il team di Windows, il supporto multicast era una delle funzionalità maggiormente trattate e richieste per Servizi di installazione remota (RIS, Remote Installation Services) oltre che per la distribuzione di Windows in generale. I clienti che avevano utilizzato tecnologie di distribuzione di terze parti erano consapevoli delle potenzialità della distribuzione multicast. Alcune tecnologie di distribuzione specifiche per gli scenari all'interno di Microsoft, in particolare Servizi di distribuzione automatica (ADS, Automated Deployment Services), hanno implementato il multicast, ma nessuna di esse supporta l'utilizzo di questa tecnica per la distribuzione OEM e aziendale e pertanto è rimasta solo una funzionalità molto richiesta, in particolare dai clienti OEM e aziendali.
Il vantaggio principale del multicast è quello di consentire a più computer simultaneamente di ricevere una comunicazione, ovvero le informazioni inviate dal mittente (in questo caso il server WDS) vengono comunicate una sola volta. Ogni client deve quindi ascoltare l'intera comunicazione per poterla ricevere. Poiché tutti i client sono simultaneamente in ascolto di un unico indirizzo di rete, il vantaggio è duplice: miglioramento della velocità di distribuzione poiché la rete è meno congestionata con più client che eseguono la stessa attività e riduzione della saturazione di rete in quanto ogni client è in ascolto di un singolo flusso.
Lo svantaggio del multicast è da sempre stato rappresentato dall'infrastruttura stessa del multicast. Tutti conoscono il "gioco del telefono senza fili". I passaggi sono molto semplici:
  1. Uno dei giocatori inizia il gioco bisbigliando una frase all'orecchio del suo vicino.
  2. Questi ascolta la frase
  3. e la ripete al prossimo giocatore.
  4. Il ciclo continua fino all'ultima persona che partecipa al gioco.
Il problema intrinseco del multicast è rappresentato dal fatto che, per poter dire a quattro persone l'intera frase, è necessario che tutti e quattro siano presenti nella stanza e siano contemporaneamente in ascolto. Se una quinta persona entra nella stanza, a meno che non sappia di dover mettersi immediatamente in ascolto, sarà necessario ripetere l'intera frase anche a quest'ultima persona.
Il multicast funziona in modo molto simile. Si invia un'immagine binaria (in genere un'immagine disco basata su settore) via cavo. Tutti i client che necessitano di ricevere questa immagine, se non sono ancora pronti quando l'immagine viene trasmessa per la prima volta, devono in genere attendere in una coda. L'aspetto più fastidioso tuttavia è rappresentato dal fatto che, se i client perdono una quantità eccessiva di dati a causa dei problemi o delle prestazioni della rete, dovranno abbandonare interamente la coda di comunicazione (in quanto non sono in grado di assicurare di aver ricevuto l'intera immagine disco) o l'intero gruppo deve rallentare per soddisfare le esigenze del client in cui si sono verificati dei problemi. In uno scenario che prevede la distribuzione di centinaia di sistemi contemporaneamente, assicurare che tutti i client vengano avviati contemporaneamente e che i problemi di velocità di un client non abbiano alcun impatto sugli altri è un aspetto su cui deve essere concentrata maggiormente l'attenzione durante la progettazione di un sistema multicast.
Il team WDS ha introdotto significativi cambiamenti a questo proposito rilasciando un nuovo motore multicast che sfrutta l'infrastruttura del formato Windows Imaging (WIM) basata su file per rendere disponibili alcune funzionalità con caratteristiche esclusive. È possibile eseguire gli stessi scenari multicast gestiti temporaneamente supportati dalla maggior parte del software multicast di terze parti, ma la soluzione multicast per WDS offre molte altre funzionalità.
Innanzitutto, i computer client possono partecipare in qualsiasi momento al processo di trasferimento. La trasmissione multicast è una trasmissione di flussi di file basata su un approccio di tipo "round robin" che continua fino a quando non vengono soddisfate le richieste di ogni computer client. Per questo motivo, non è importante sapere quando i client si connettono. I client rimangono in ascolto del server WDS e, quando il server ha completato la trasmissione del file immagine, ricomincia dall'inizio. Se un client perde un file, rimane semplicemente in ascolto finché il file non viene recuperato (si pensi a dei cavalli su una giostra).
Secondo, il protocollo è completamente nuovo e dispone del controllo della congestione e del flusso, il che indica che funziona in modo corretto sulle reti di produzione senza interferire con le comunicazioni di rete esistenti. Un timore comune degli amministratori di rete, giustificato da alcune soluzioni multicast, è rappresentato dal fatto che l'attivazione di tali soluzioni determina in genere la saturazione della rete quando invece, ironicamente, lo scopo è quello di rendere più efficiente la comunicazione.
Terzo, la soluzione è stata progettata in modo da essere indipendente da WDS e da Active Directory®. Ne consegue che, per sfruttare i vantaggi di questa soluzione, non è necessario disporre di Active Directory o di un'implementazione attiva di WDS. Il multicast ImageX può essere eseguito in modo indipendente in quanto si presta a numerosi scenari. Il client multicast è un'applicazione da riga di comando che può eseguita su "Windows Server "Longhorn" (e la versione associata di Windows PE), Windows Vista™, Windows XP Service Pack 2 (SP2) o il sistema operativo Windows Server 2003 SP2 recentemente rilasciato.
Sono disponibili nuove attività di gestione nella console MMC di WDS e nell'applicazione WDSUtil per l'impostazione e la configurazione del multicast. È stata inoltre introdotta una modifica nell'interfaccia utente del client WDS che indica che il multicast è in uso.
Gli strumenti di gestione WDS consentono agli amministratori di monitorare lo stato di avanzamento della trasmissione in tempo reale verso i client (inclusa la rimozione dei client da una trasmissione). Gli strumenti di gestione offrono inoltre funzionalità complete di registrazione e generazione di report. Ne consegue che ora gli amministratori hanno a disposizione un metodo per registrare le installazioni, una funzionalità che sfortunatamente non era inclusa in RIS.
Il multicast in WDS per Windows Server "Longhorn" è uno degli annunci più interessanti finora pubblicati. È straordinario sapere che il team è stato in grado di venire incontro a questa esigenza molto richiesta dai clienti sviluppando una soluzione che dovrebbe soddisfare in modo efficiente anche le necessità dei clienti OEM e aziendali.

Prestazioni di download TFTP migliorate
Il protocollo TFTP (Trivial File Transfer Protocol) è un componente chiave della tecnologia Preboot eXecution Environment (PXE), che è a sua volta la struttura portante di RIS prima e di WDS ora. La scelta del protocollo TFTP non è stata determinata dalla sua efficienza di rete o dalla sua affidabilità, ma si è basata principalmente sul fatto che questo protocollo presenta dimensioni notevolmente ridotte (essendo senza stato, non protetto e basato su UDP) e si presta all'incapsulamento in una ROM di avvio, necessaria per l'avvio PXE dei sistemi dalla rete.
Per Windows Server "Longhorn," il protocollo TFTP Daemon (TFTPD) è stato completamente riscritto in modo da rendere possibile l'introduzione di significativi miglioramenti nei tempi di download TFTP (un importante miglioramento introdotto attualmente riguarda il fatto che l'intero processo di distribuzione di WDS è basato sull'avvio Windows PE dall'immagine RAM). Questa è senza dubbio una buona notizia per i clienti che hanno sempre desiderato un incremento delle prestazioni durante il download di Windows PE da RIS o WDS su Windows Server 2003.
Man mano che il mondo dei computer inizia ad allontanarsi dall'onnipresente BIOS (attualmente la struttura principale dei computer x86) per implementare la tecnologia EFI, Microsoft ha configurato WDS in modo da poter funzionare correttamente con i nuovi sistemi server x64 attualmente disponibili che vengono avviati tramite EFI, piuttosto che mediante il BIOS. La funzionalità inclusa consentirà l'avvio PXE dei sistemi client x64 da un server WDS.

Domande
Con l'aggiornamento di WDS a disposizione, ho deciso di dedicare la parte rimanente del presente articolo alle risposte ad alcune domande che ho ricevuto tramite messaggi di e-mail o che mi sono state rivolte nelle recenti discussioni online e che ritengo potrebbero essere di interesse generale per i miei lettori.

D È possibile utilizzare WDS in un ambiente non basato su DHCP? La mia rete non consente il traffico DHCP o PXE.
R Sì, è possibile utilizzare WDS in un ambiente non basato su DHCP, ma la soluzione non garantisce caratteristiche di scalabilità in quanto è necessario creare supporti CD univoci per ogni installazione che si intende supportare, ciascuno con il proprio indirizzo IP univoco. Probabilmente è più opportuno utilizzare supporti DVD per l'installazione. Se occorre eseguire l'installazione tramite WDS senza DHCP, attenersi alla procedura riportata di seguito.
  1. Creare un'immagine di individuazione WDS con un server definito in modo statico (che fa riferimento allo specifico server WDS da cui verrà eseguita l'installazione).
  2. Consentire il traffico DHCP attraverso la porta 4011 sul server WDS di destinazione. Anche se non si utilizza DHCP, è necessario consentire il traffico DHCP in quanto in questo modo i client WDS eseguono l'autenticazione handshake nei confronti del server.
  3. Creare supporti Windows PE univoci con un indirizzo IP statico anziché DHCP.
Tenere presente che questa soluzione può causare non poche difficoltà in quanto i supporti client devono essere univoci per evitare conflitti tra gli indirizzi IP ed è necessario che l'utente faccia riferimento a uno specifico server WDS sulla rete. Poiché PXE (basato su DHCP) è la struttura portante di WDS, non è difficile comprendere perché WDS funzioni molto meglio se DHCP è supportato nell'ambiente in cui si opera.

D Desidero eseguire l'avvio PXE di Windows PE 2.0 da un server PXE diverso da WDS. Come è possibile eseguire questa operazione?
R L'articolo della Knowledge Base all'indirizzo support.microsoft.com/kb/926172 potrebbe fornire alcune indicazioni su come utilizzare Windows PE 2.0 su un server PXE non WDS. Tenere presente tuttavia che il supporto Microsoft per questo tipo di configurazione è piuttosto limitato.

D Che cos'è BDD? Lo strumento Windows Automated Installation Kit (WAIK) è incluso in BDD?
R BDD (in realtà Business Desktop Deployment Solution Accelerator) è una struttura software che fornisce indicazioni su come utilizzare gli strumenti di distribuzione di Windows, come WAIK, in modo gestibile e riproducibile. Lo strumento WAIK non è incluso direttamente in BDD, ma BDD è in grado di integrare tutti gli strumenti necessari, compreso WAIK, in modo da consentirne l'installazione, se non sono stati già installati. Pertanto, sebbene WAIK non sia tecnicamente incluso in BDD, questa soluzione per poter funzionare richiede l'utilizzo dello strumento WAIK. Per ulteriori informazioni su BDD; visitare il sito Web all'indirizzo microsoft.com/desktopdeployment.

D Dove posso scaricare WDS per il sistema Windows Server 2003 di cui dispongo?
WDS è disponibile per il download come parte di WAIK nella directory WDS (go.microsoft.com/fwlink/?LinkId=85377).

D Come è possibile configurare Windows PE 2.0 per l'avvio con un indirizzo IP statico e il supporto per la configurazione DNS?
R Per configurare un indirizzo IP statico, utilizzare il file di esempio unattend.xml nella Figura 1 e inserirlo nella cartella principale del CD, nell'unità flash USB o in un altro supporto di avvio da cui possa essere prelevato. Se si desidera disporre anche del supporto DNS, sarà necessario eseguire il seguente comando:
Figure 1 Figura 1: unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

D È possibile avviare Windows PE da un controller Fibre Channel?
R Sì, purché HBA Fibre Channel supporti la registrazione del volume di avvio tramite Int13 in modo da essere visualizzato nel BIOS come volume di avvio per Windows PE. È necessario inoltre aggiungere il driver del controller Fibre Channel allo stesso modo di qualsiasi altro driver del controller di archiviazione predefinito.

D Windows PE 2.0 viene sempre avviato da un'immagine RAMDisk. Alcuni dei miei sistemi non dispongono di una quantità sufficiente di RAM per eseguire questo tipo di avvio. È possibile avviare Windows PE 2.0 senza un'immagine RAMDisk?
R Sì. I sistemi con meno di 256 MB di RAM in particolare possono richiedere per l'avvio un'implementazione di Windows PE senza RAMDisk. È disponibile un articolo di supporto di Microsoft in cui viene descritto come eseguire questa operazione. È importante sottolineare un paio di aspetti: non si sarà in grado di eseguire lo swapping dei supporti, operazione invece supportata da RAMDisk, e il sistema si avvierà più lentamente rispetto a una versione di Windows PE 2.0 basata su RAMDISK.

D Ho cercato di avviare Windows PE 2004 e Windows PE 2005 (1.5 o 1.6) da supporti diversi da DVD e ho provato a copiare un'immagine (o altri dati) da un DVD. Non intendo eseguire l'avvio dal DVD ma semplicemente copiare i dati dal DVD. Non sono tuttavia in grado di eseguire questa operazione. Il DVD è leggibile con un'installazione completa di Windows, ma se utilizzato in un ambiente Windows PE viene visualizzato un messaggio di errore che indica che il volume è danneggiato o illeggibile. È possibile risolvere questo problema?
R Sì. Per impostazione predefinita, Windows PE 1.x non fornisce il supporto per i supporti in formato UDF. I DVD sono, per definizione, formattati con lo standard ISO Bridge (un formato doppio che prevede la combinazione di ISO e UDF) o semplicemente con UDF. Per consentire il corretto funzionamento del sistema Windows PE installato, è necessario aggiungere all'installazione il driver UDF. Il driver è incluso ma non è installato. Per installarlo, procedere come segue:
  1. Nel Blocco note, aprire il file txtsetup.sif nella directory I386 (o MiniNT, in caso di installazione di Windows PE da disco rigido).
  2. Individuare la sezione [CdRomDrivers.Load] e cercare la riga con il driver cdfs.sys. Sotto tale riga, aggiungere la riga udfs = udfs.sys. Si dovrebbe ottenere un risultato simile al seguente:
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Individuare la sezione [CdRomDrivers] e cercare la riga contenente cdfs. Sotto tale riga, aggiungere la riga udfs = "Universal Disk File System". Si dovrebbe ottenere un risultato simile al seguente:
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Salvare e chiudere il file txtsetup.sif e ricreare l'immagine di Windows PE in base alle esigenze. A questo punto dovrebbe essere possibile leggere da Windows PE qualsiasi supporto DVD in formato UDF.

D Dispongo di numerosi sistemi precedenti, su cui viene eseguito Windows XP, che non supportano ACPI. È possibile utilizzare Windows PE 2.0 su questi sistemi in modo da eseguirne la migrazione a Windows Vista o per reinstallare Windows XP?
R No, non è possibile. Windows PE 2.0 supporta solo sistemi compatibili con ACPI (Advanced Configuration and Power Interface) e non può essere avviato su questi sistemi. Se è necessario utilizzare Windows PE su questi sistemi, utilizzare Windows PE 1.6 o versione precedente.

D Ho scritto un'applicazione in Visual Studio® 2005 e vorrei eseguirla su Windows PE (1.x o 2.0). Funzionerà in modo corretto?
R Questo dipende dalla modalità di scrittura dell'applicazione. Se si è utilizzato codice C++ non gestito, l'applicazione dovrebbe funzionare. Se si è utilizzato uno dei linguaggio del codice gestito, ad esempio C# o J#, o qualsiasi codice C++ gestito, l'applicazione non funzionerà. Poiché Microsoft® .NET Framework (qualsiasi versione) non è disponibile in Windows PE, non è possibile eseguire codice gestito.

D Sto tentando di scrivere un'applicazione da utilizzare sul sistema Windows PE 2.0 e ho bisogno di aiuto. Qual è la migliore risorsa in cui ricercare informazioni di supporto?
R È consigliabile iniziare con la Guida per gli sviluppatori di Windows PE.

D Ho avviato Windows PE 2.0 da un CD diverse volte, ma la lettera di unità (RAMDisk) è sempre X. Come è possibile sapere qual è la lettera di unità effettiva da cui si è avviato?
R La lettera di unità da cui Windows PE ha eseguito l'avvio iniziale è riflessa nella seguente chiave del Registro di sistema:
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Se si rileva che questa chiave non è stata compilata perché in Windows PE è stata utilizzata una shell di terze parti, eseguendo il comando indicato di seguito sarà possibile aggiornare la chiave con il valore corretto:
start /w wpeinit UpdateBootInfo

D È possibile utilizzare ImageX e i file WIM per eseguire il backup dei miei sistemi?
R Teoricamente è possibile, ma non consigliabile. ImageX, al contrario di un vero strumento di backup, non è in grado di eseguire il backup di file bloccati o aperti. È pertanto consigliabile continuare a utilizzare una vera utilità di backup in grado di assicurare la protezione dei file aperti e bloccati.

D Se si acquisisce un file WIM non compresso, sarà possibile distribuirlo più rapidamente rispetto alla stessa immagine di volume compressa?
R No, non in modo significativo. L'acquisizione richiede più tempo a causa della compressione. Tuttavia, l'applicazione dell'immagine a un sistema di destinazione non richiede tempi significativamente più lunghi, indipendentemente dal tipo di compressione utilizzato (nessun tipo, XPress o LZX). È consigliabile scegliere il tipo di compressione in base alle dimensioni effettive dell'immagine e alla quantità di tempo che è possibile dedicare all'acquisizione.

D Se si intende applicare un'immagine WIM al disco, è necessario eseguirne una nuova partizione e formattarlo?
R Sì. Per ottenere un'immagine pulita di un sistema, è necessario innanzitutto eseguire la pulizia del volume con lo strumento diskpart (o eliminare e creare nuovamente la partizione di destinazione). In alternativa è possibile formattare completamente il volume prima dell'applicazione dell'immagine.
Inoltre, occorre tenere presente che le versioni di Windows precedenti a Windows Vista utilizzavano un settore di avvio differente. Se pertanto si utilizza Windows PE 2.0 per distribuire Windows Server 2003 o versione precedente, è necessario eseguire il comando indicato di seguito dall'interno di Windows PE per impostare il settore di avvio su un settore da cui Windows Server 2003 o versione precedente è in grado di eseguire l'avvio prima di iniziare l'installazione di Windows o applicare un'immagine WIM:
bootsect /nt52 sys C: /force

Conclusioni
Spero che abbiate trovato l'aggiornamento di WDS e le risposte a queste domande utili e interessanti. Ringrazio tutti coloro che mi hanno inviato le domande e prometto di fare del mio meglio per poter fornire una risposta a ciascuna di esse quando possibile in questo articolo. Potete pertanto continuare a inviare eventuali domande all'indirizzo di e-mail elencato nella mia biografia.
Windows Vista Hardware Assessment
Baldwin Ng

Buone notizie: il tuo manager risponde finalmente alla proposta che hai avanzato qualche mese fa. Sembra che stia prendendo seriamente in considerazione l'idea di eseguire l'implementazione di Windows Vista in tutta l'organizzazione e ha iniziato a considerare i vantaggi e il risparmio sui costi associati alla gestione di un singolo sistema operativo. Tuttavia, non è completamente convinto che sia economicamente vantaggioso sostituire tutti i PC per l'installazione di Windows Vista. Desidera pertanto informazioni concrete e dettagliate relativamente ai PC di cui è possibile eseguire la migrazione a Windows Vista immediatamente e ai PC di cui è possibile eseguire la migrazione effettuando un aggiornamento minimo, come l'aggiunta di memoria di sistema e di spazio su disco rigido. E desidera una risposta entro la fine della settimana. È necessario definire innanzitutto un punto di partenza: Come è possibile ottenere la risposta in pochi giorni quando l'organizzazione non dispone di strumenti sofisticati per la gestione delle risorse o della rete? A rendere le cose più complicate è il fatto che il tuo predecessore non ti ha lasciato informazioni sufficienti sulle risorse di rete già esistenti.
Microsoft ha di recente rilasciato Windows Vista Hardware Assessment, un acceleratore di soluzione che consente di determinare se la propria organizzazione è pronta per la migrazione a Windows Vista (microsoft.com/technet/wvha). Questo strumento è in grado di valutare rapidamente i computer in una rete e generare report dettagliati sullo stato di preparazione e sulla compatibilità dei relativi dispositivi e infrastruttura hardware nel giro di poche ore nella maggior parte delle organizzazioni di medie dimensioni, senza installare alcun agente software sui PC della rete.
Basandosi sulle potenti tecnologie di raccolta dell'inventario e di generazione di report precedentemente sviluppate per Microsoft Assessment and Deployment Solution (ADS), Windows Vista Hardware Assessment crea una serie di report sullo stato di preparazione dell'organizzazione tramite un processo in tre fasi:

1. Inventario hardware
Mediante l'uso di Strumentazione gestione Windows (WMI), Active Directory® e altri protocolli di rete di Windows, come NetServerEnum, questo strumento è in grado di rilevare i computer presenti in un dominio e i computer inclusi in un gruppo di lavoro. Una volta completato l'inventario, tutte le informazioni sui dispositivi e sulle risorse di sistema vengono memorizzate nel database SQL Server™ 2005 Express. La versione corrente di questo strumento supporta l'individuazione in rete di un massimo di 5.000 computer. Le versioni future saranno probabilmente in grado di garantire una scalabilità che consente di supportare reti di maggiori dimensioni.

2. Analisi della compatibilità
Utilizzando i database di dispositivi e BIOS più aggiornati del team di Windows, lo strumento analizza lo stato di preparazione di ciascun computer sulla base della compatibilità dell'hardware e dei dispostivi per Windows Vista. Inoltre, le informazioni sui driver vengono prelevate tramite un servizio Web aggiornato periodicamente in modo da ottenere le informazioni più aggiornate ogni volta che lo strumento viene eseguito.

3. Report sullo stato di preparazione
L'ultimo passaggio è la generazione automatica di un set di report sullo stato di preparazione nel formato dei documenti di Microsoft Word e dei fogli di calcolo di Excel ®. Questi report forniscono lo stato di preparazione oltre ai consigli per l'aggiornamento di ciascun computer.
Windows Vista Hardware Assessment integra ogni altro acceleratore di soluzione di Windows Vista, tra cui Business Desktop Deployment 2007 e la Guida alla protezione per Windows Vista. Per ulteriori informazioni, dare un'occhiata alla pagina iniziale degli acceleratori di soluzioni.

Baldwin Ng è Product Manager del team Microsoft responsabile degli acceleratori di soluzioni la cui attività è incentrata sulla creazione di strumenti software automatici che garantiscono un utilizzo più rapido ed efficiente del software Microsoft da parte dei clienti e dei consulenti. È possibile contattarlo all'indirizzo Baldwin.Ng@microsoft.com.

Wes Miller è Development Manager presso Pluck (www.pluck.com) ad Austin, Texas. Wes ha lavorato per Winternals Software ad Austin e in Microsoft come Program Manager e Product Manager di Windows. È possibile contattarlo all'indirizzo technet@getwired.com. Wes ringrazia Scott Dickens, Program Manager per Servizi di distribuzione Windows presso Microsoft, per il contributo che ha apportato alla redazione del presente articolo con la sezione relativa alle nuove funzionalità WDS.


 Taccuino: Restare al passo con i tempi
Taccuino
Restare al passo con i tempi
Joshua Hoffman

Il lavoro esterno... era il mio pane quotidiano. Prima di passare al mio ruolo attuale (di redattore tecnico di questa ottima pubblicazione) quasi due anni fa, ero un professionista IT attivo. Ho lavorato cinque anni presso i servizi di consulenza Microsoft e svariati anni nei reparti IT di diverse società Fortune 100. Poi sono stato attratto da questo lavoro. Non mi lamento. Siamo un gruppo affiatato e ho occasione di conoscere i lettori e di lavorare con loro! E se mai dovessi prendere ancora un aereo alle 6 del mattino di un lunedì, lo farò con piacere.
Ma, come sempre, c'è un risvolto della medaglia. Molti professionisti IT sostengono che il modo migliore di imparare sempre qualcosa di nuovo in questo lavoro (ed essere sempre aggiornati) è di metterlo in pratica. L'applicazione pratica è un valido strumento di apprendimento. Ma poi vengono gli avanzamenti di carriera, le responsabilità cambiano e improvvisamente ci si ritrova ad essere un professionista IT senza un sistema da amministrare o un'infrastruttura da gestire. E le cose cambiano molto rapidamente. Da quando ho intrapreso questa nuova strada, è uscita una nuova versione di Windows® con una nuova struttura di distribuzione, una nuova infrastruttura di protezione, una nuova gestione di rete e altre caratteristiche. È stata rilasciata anche la nuova versione di Office. E di Exchange Server. E di SQL Server™. E di Microsoft® Operations Manager. Inoltre, sono apparsi nuovi strumenti: Windows PowerShell™, MMC 3.0, Windows Automated Installation Kit. Spero di non aver dimenticato niente.
Pare proprio che in due anni possa cambiare molto. Quindi se il modo migliore di imparare qualcosa consiste nel metterlo in pratica e il lavoro non include più la parte "attiva", come è possibile tenersi informati e aggiornati?
Spero che questa rivista sia d'aiuto. So per certo che aiuta me. Ci avvaliamo di molti autori che conoscono profondamente la loro materia e io traggo sempre beneficio dalla loro esperienza. Ma allo stesso modo, qualche volta è indispensabile fare pratica. Solitamente inizio con Virtual PC (o Virtual Server), che è possibile scaricare gratuitamente dal sito Web di Microsoft (è possibile trovare i collegamenti nella sezione download del nostro sito Web). Con la tecnologia di virtualizzazione è possibile creare rapidamente la propria Active Directory® o personalizzare una distribuzione di Windows Vista™ sul computer portatile. Non è necessario nessun altro hardware. Percorrendo il processo da solo riesco meglio a comprendere in che modo funziona qualcosa che mi interessa.
L'unico problema è che con Virtual PC è possibile creare l'ambiente virtuale (installare il sistema operativo, configurare tutto correttamente e così via), il che va bene se è ciò che si desidera imparare. Ma cosa succede se si vuole semplicemente esplorare una funzionalità o una funzione di un prodotto? Ad esempio, se si desidera conoscere le nuove funzionalità originali di Exchange Server 2007? L'installazione e la configurazione di Windows Server®, Active Directory e Exchange Server partendo da zero sembrano laboriose. Entra nei laboratori virtuali di TechNet. A mio modesto parere i laboratori virtuali rappresentano una delle migliori risorse di training per continuare a fare progressi nel tempo. Il team del laboratorio virtuale ha già svolto la parte più difficile. Possiede oltre 180 computer virtuali preinstallati e preconfigurati che coprono le diverse combinazioni di oltre 20 prodotti. Ogni prodotto è fornito di una serie di esercizi di training che aiutano a procedere nelle attività comuni e nelle nuove caratteristiche. E la parte migliore è che l'intero processo viene eseguito in un ambiente di browser, ospitato sui server gestiti da Microsoft e dunque non è necessario utilizzare le proprie risorse hardware.
È, pertanto, più difficile, ma sempre possibile, rimanere aggiornati se non si è più in prima linea. Ho illustrato alcune delle mie risorse preferite. E come sottolineava il mio caro amico Edward Dake in questa rubrica qualche mese addietro, una delle migliori risorse è aiutarsi a vicenda. È sempre possibile chiedere aiuto.

Joshua Hoffmanè redattore di articoli tecnici e contributi esterni per TechNet Magazine.


 Windows Confidential: Identificazione dei programmi utilizzati con maggiore frequenza
Windows Confidential
Identificazione dei programmi utilizzati con maggiore frequenza
Raymond Chen

Facendo clic sul pulsante Start viene visualizzato il relativo menu. Sul lato sinistro è presente un elenco di programmi. Ma come si presenta l'elenco dei programmi scelti? Il principio generale prevede che i programmi eseguiti più spesso vengano visualizzati nella prima pagina del menu Start. Molto presto però ci siamo resi conto che era necessario intervenire per metterlo a punto.
Secondo la regola di base, ogni volta che un programma viene avviato, guadagna un punto. Al contrario, più lungo è l'intervallo di tempo che intercorre fra un'esecuzione e l'altra, maggiore è il numero di punti persi dal programma. Nel menu Start vengono visualizzati i programmi con il maggior numero di punti. Semplice, no? Ma non è questa la parte dell'algoritmo che crea confusione. Dopo l'applicazione della regola fondamentale, entra in gioco l'ottimizzazione ed è proprio questa è fonte di maggiori perplessità.
Prima di parlare dell'ottimizzazione, occupiamoci di alcuni aspetti della regola di base che non sono poi così scontati. Si noti che la regola riguarda l'avvio dei programmi, non l'utilizzo dei collegamenti. Con alcuni programmi vengono installati diversi collegamenti e poco importa quale di essi venga utilizzato per avviare un programma. Se tutti indicano lo stesso eseguibile, il programma accumula tutti i punti guadagnati attraverso i vari collegamenti.
Menu Start
Un programma può guadagnare punti anche se non viene avviato dal menu Start, purché lo si esegua da Esplora risorse. I programmi inoltre guadagnano punti anche se vengono eseguiti manualmente, ad esempio aprendo la cartella e facendo doppio clic sul file eseguibile, e potranno alla fine arrivare alla prima pagina del menu Start.
Posto che un programma abbia guadagnato punti a sufficienza da essere visualizzato nella prima pagina del menu Start, se dispone di più collegamenti che indicano tutti lo stesso file, dovrà essere determinato quale icona di collegamento visualizzare in Windows®. E anche qui non sorprende il fatto che la risoluzione venga interrotta a favore del collegamento utilizzato con maggiore frequenza.
Durante l'ottimizzazione vengono utilizzati filtri che escludono alcuni programmi dall'elenco. Ad esempio, un programma inserito volutamente nel menu Start potrebbe non essere visualizzato in quanto non ha senso visualizzare due icone per lo stesso programma. Eppure se l'utente ha deciso di inserirlo nel menu Start è perché lo utilizza spesso.
Un altro passaggio del processo di ottimizzazione consiste nell'applicazione di filtri per escludere il rumore. Molti programmi venivano visualizzati perché si trattava di collegamenti a programmi di supporto comuni, come il Blocco Note o Wordpad, oppure di collegamenti per visualizzare un file Leggimi. Era necessario escludere questi collegamenti tramite filtri in modo che non figurasse, ad esempio, una rappresentazione del Blocco Note. Si noti che è possibile registrare un programma come non idoneo per essere incluso nella prima pagina del menu Start creando un valore NoStartPage nella registrazione della relativa applicazione.
La regola di base inoltre non teneva conto dei programmi che, dopo essere stati avviati inizialmente, rimangono sempre in esecuzione. Applicandola rigorosamente, i programmi con questa caratteristica guadagnerebbero un punto all'avvio, per perderlo poi nel corso del tempo. Diciamo che, in questo caso, la parola "frequentemente" è un eufemismo da interpretare come "tutto il santo giorno". È stata quindi aggiunta un'altra regola: il programma guadagna un punto per tutti i giorni consecutivi in cui rimane in esecuzione. Ciò è sufficiente per mantenerlo nella classifica dei programmi con più punti, ma non tanto da superare i programmi che di fatto vengono utilizzati. Dopotutto, se un programma è sempre in esecuzione, non sarà necessario avviarlo spesso.
In Windows Vista™ sono state aggiunte alcune nuove regole di ottimizzazione. Ad esempio, quando si sceglie fra i collegamenti candidati per un programma che non è mai stato avviato dal menu Start, viene ora preferito il collegamento senza parametri della riga di comando e il programma eseguito per ultimo viene sempre visualizzato nell'elenco, a prescindere dal relativo punteggio.

Raymond Chen, The Old New Thing, come nel suo libro omonimo (Addison-Wesley, 2007), vengono illustrate la storia di Windows e la programmazione in Win32. Per lui è importante ricevere chiamate dagli utenti che riceveranno risposta in base all'ordine di ricezione.