August 2007
System Center: Weiterentwicklung von SMS: Eine leistungsfähige neue Lösung zum Verwalten Ihrer Systeme
Die Systemverwaltung dürfte bald sehr viel einfacher werden. Lernen Sie System Center Configuration Manager 2007 kennen, und erfahren Sie, wie wichtige Aufgaben wie das Bereitstellen von Softwareupdates sowie das Verwalten mobiler Geräte und Systemkonfigurationen vereinfacht werden können. John Orefice
System Center: Bereitstellen von Anwendungen und Updates für Ihre Zweigstellen
Zweigstellenverteilungspunkte, eines der neuen Features in Configuration Manager 2007, scheinen auf den ersten Blick nur eine geringfügige Erweiterung zu sein. Doch wenn Sie genauer hinsehen, werden Sie feststellen, dass diese Zweigstellenverteilungspunkte neue, unverzichtbare Möglichkeiten zum Verwalten der Verteilung von Software an Zweigstellen bieten. Steve Rachui
System Center: Einführung zu System Center Essentials 2007
System Center Essentials wurde insbesondere für mittelständische Unternehmen entworfen und bietet eine einheitliche Lösung für das Überwachen, Verwalten und die Problembehandlung von Systemen. Hier erhalten Sie ausführliche Anleitungen zum Installieren und Konfigurieren von Essentials 2007 für Ihr Netzwerk. David Mills
System Center: Überwachen von Servern mit Operations Manager 2007
In Operations Manager 2007, der neuesten Version von MOM, werden einige wesentliche Verbesserungen eingeführt, z. B. neue Verwaltungsoberflächen, bessere Berichterstattung, Unterstützung für Branchenanwendungen und neue Sicherheitsoptionen. Pete Zerger
System Center: Migration von MOM zu Operations Manager 2007
Sie möchten auf Operations Manager 2007 umstellen? Aufgrund von Änderungen an der Architektur ist eine einfache, direkte Aktualisierung von einer früheren Version von MOM nicht möglich. Befolgen Sie stattdessen einen der hier dargestellten Migrationspläne. Andy Dominey
System Center: Virtualisieren von Anwendungen mit Microsoft SoftGrid
Virtualisierte Anwendungen bieten zahlreiche Vorteile, von verbesserter Benutzerfreundlichkeit bis hin zu vereinfachter Systemverwaltung. Hier erhalten Sie einen ausführlichen Überblick darüber, wie Microsoft SoftGrid virtuelle Anwendungen bereitstellt, sich in Ihre Infrastruktur integrieren lässt und Ihrem Unternehmen Zeit und Geld spart. Ahmer Sabri and Kedar Shah
Columns
Mitteilung der Redaktion: Dynamisch und optimiert: | Toolbox: Neue Produkte für IT-Experten: | SQL – Fragen und Antworten: Ermitteln von Sperren, große Abfragen, E/A-Statistiken und mehr:
Schwerpunkt Dienstprogramme: BGInfo: Wäre es nicht hervorragend, wenn alles, was Sie über einen PC wissen müssen – Name, IP-Adresse, Gateway, verfügbarer Speicherplatz und so weiter – an einem Ort zusammengefasst wäre? Mit diesem kostenlosen Tool von Sysinternals ist das möglich.Lance Whitney | The Cable Guy: Automatische IPv6-Konfiguration in Windows Vista: Bei IPv6 geht es um mehr als nur die Erweiterung des Adressraums von 32 Bit auf 128 Bit. Dieser Artikel beschreibt, wie IPv6-Hosts sich sogar ohne die Verwendung eines Adresskonfigurationsprotokolls selbst automatisch konfigurieren können.Joseph Davies | Windows PowerShell: Leistungsfähige Filterung: Die Pipeline ist nicht nur für Cmdlets gedacht. Hier erfahren Sie, wie die Windows PowerShell-Pipeline zum Hinzufügen praktischer Filterfunktionen zu Skripts verwendet werden kann.Don Jones
Hey, Scripting Guy!: Wer ist da?: Bei Active Directory können Benutzer über verschiedene Identitäten verfügen, z. B. die in „givenName“, „displayName“, „userPrincipalName“ oder „distinguishedName“ festgelegten Identitäten. Wie können Sie als Systemadministrator alle diese Informationen über einen Benutzer abrufen? Natürlich mit einem Skript.The Microsoft Scripting Guys | Sicherheit auf dem Prüfstand: PKI-Verbesserungen in Windows: In Windows Vista und Windows Server 2008 bietet die Windows-PKI-Plattform Unterstützung für erweiterte Algorithmen, die Gültigkeitsüberprüfung in Echtzeit und bessere Verwaltbarkeit. Erfahren Sie mehr über die neuen PKI-Features und wie sie verwendet werden können, um Kosten bei gleichzeitiger Verbesserung der Sicherheit zu senken.John Morello | Die Desktopdateien: Erläuterungen zu RDP: Das Remotedesktopprotokoll (Remote Desktop Protocol, RDP), mit dem von einem Remotestandort aus auf Computer zugegriffen werden kann, ist eine nützliche Technologie, die mit jeder Version von Windows verbessert wird. Hier erhalten Sie einen Überblick über die vielen Vorteile von Remotedesktop sowie die mit der Technologie verbundenen Einschränkungen.Wes Miller
Berichte aus der Praxis: IM-Interviews: Sie müssen eine Position besetzen, und Ihnen liegen jede Menge Lebensläufe aus allen Ecken der Welt vor. Wie können Sie die Suche schnell einengen? Die Antwort könnten Interviews über IM sein. Dies ist die Erfolgsgeschichte eines Entwicklers.Nathan G. Jensen | Windows Confidential: Windows-Explorer kann keinen Text liefern: Wieso ist es in Windows-Explorer nicht möglich, eine Liste von Dateien zu kopieren und sie anschließend als Text einzufügen, um eine Liste der Dateinamen zu erhalten? Das Windows-Team hat versucht, diese Funktionsweise zu integrieren. Dies hat jedoch nicht wie vorgesehen funktioniert.Raymond Chen


System Center
Weiterentwicklung von SMS: Eine leistungsfähige neue Lösung zum Verwalten Ihrer Systeme
John Orefice
Kurz zusammengefasst:
  • Betriebssystembereitstellung
  • Softwareupdateverwaltung
  • Verwalten der gewünschten Konfiguration

Systems Management Server (SMS) 2003 ist für Administratoren weltweit zu einem wichtigen Konfigurationsverwaltungs- und Softwarebereitstellungstool geworden. Microsoft bereitet nun
die Einführung einer neuen Version dieser Lösung für die Unternehmensverwaltung vor, wobei die neue Version über neue Funktionen verfügt und einen neuen Namen erhält: System Center Configuration Manager 2007.
Die Komponenten der System Center-Produktfamilie von Microsoft arbeiten zusammen, um die laufenden Verwaltungsarbeiten für komplexe IT-Infrastrukturen zu erleichtern und kostengünstiger zu gestalten. System Center-Lösungen basieren auf Automatisierung und bewährten Methoden des Microsoft® Operations Framework (MOF) und der IT-Infrastrukturbibliothek (Information Technology Infrastructure Library, ITIL) und können auf allen Ebenen einer Organisation verwendet werden.
Configuration Manager 2007 ist lediglich ein Teil der System Center-Familie. System Center Data Protection Manager stellt Sicherung und Wiederherstellung für Unternehmenssysteme bereit. System Center Operations Manager bietet proaktive Systemüberwachung und Automatisierung. System Center Capacity Planner kann zur Kapazitätsplanung und Fallanalyse von Infrastrukturbereitstellungen verwendet werden. Die Liste wird ständig erweitert (weitere Informationen finden Sie unter www.microsoft.com/systemcenter).
In diesem Artikel werden anhand der aktuellsten Betaversion mehrere neue und verbesserte Features vorgestellt, die für Configuration Manager 2007 geplant sind. Sie erhalten einen umfassenden Überblick über diese interessante Veröffentlichung, der Sie vielleicht zum Nachdenken darüber anregt, wie Ihre Organisation durch Configuration Manager Zeit und Geld sparen kann.

Neue administrative Benutzeroberfläche
Seit SMS 1.0 war eine neue und verbesserte Benutzeroberfläche eines der am häufigsten gewünschten neuen Features für SMS. Microsoft erfüllt diesen Wunsch mit mehreren Verbesserungen an der administrativen Benutzeroberfläche von System Center Configuration Manager 2007. Zum Bereitstellen dieser Features wurde die neue Konsole in Configuration Manager 2007 mit C# und Microsoft .NET Framework erstellt. Sie wird auf der Microsoft Management Console (MMC) 3.0-Technologie ausgeführt. Außerdem ist die Benutzeroberfläche wie bei SMS 2003 über ein SDK erweiterbar, sodass Benutzer der Konsole nach Bedarf eigene Add-Ons erstellen können.
Abbildung 1 zeigt die neue Konsole mit erweitertem Computerverwaltungsknoten mit allen verfügbaren neuen Verwaltungsfunktionen. Beachten Sie außerdem das neue Erscheinungsbild des SMS-Standortkonfigurationsbereichs. Die in diesem Bereich aufgezeigten allgemeinen Aufgaben müssen abgeschlossen werden, bevor Configuration Manager nach der Installation betriebsbereit ist. Der Bereich mit Verknüpfungen und Ressourcen enthält relevante Aufgaben, um die Navigationszeit zu häufigen Funktionen in der Konsole zu reduzieren.
Abbildung 1 Verwaltungsschnittstelle von Configuration Manager
Abbildung 1 Verwaltungsschnittstelle von Configuration Manager (Klicken Sie zum Vergrößern auf das Bild)
Einige der über diese neue Konsole bereitgestellten Vorteile und Features sind die Auswahl mehrerer Elemente und Drag & Drop (wichtig für die Sammlungsverwaltung), das Durchsuchen von Ordnern zum virtuellen, statt physischen Organisieren von Elementen in der Konsole, der Aktionsbereich zum Durchführen von Aufgaben für den aktuell angezeigten Bereich, der Vorschaubereich zum Anzeigen von Zusammenfassungsinformationen zu einem bestimmten Element (zum Beispiel ein Betriebssystemabbild), Homepages zum Zusammenfassen von Informationen zu einem besonderen Thema wie Softwarebereitstellung und eine verbesserte Organisationsstruktur für eine stark vereinfachte Navigation.
Wie bereits erwähnt, ist der Aktionsbereich eine der wichtigsten Verbesserungen in der neu überarbeiteten Konsole. Er bietet eine Möglichkeit zum Anzeigen von Aktionen, die für den Kontext des derzeit verwendeten Bereichs der Konsole angemessen sind. Wenn Sie beispielsweise die Sammlung „Alle Systeme“ anzeigen, zeigt der Aktionsbereich Aktionen wie „Sammlungsmitgliedschaft aktualisieren“ und „Agent installieren“ an (siehe Abbildung 2).
Abbildung 2 Verfügbare Aktionen beziehen sich auf die aktuelle Ansicht
Abbildung 2 Verfügbare Aktionen beziehen sich auf die aktuelle Ansicht (Klicken Sie zum Vergrößern auf das Bild)
Außerdem wird mit Configuration Manager 2007 das neue Konzept der Homepages eingeführt. Diese bieten die Möglichkeit, den Status einer bestimmten Funktion wie Softwareupdates, Softwareverteilung oder Verwalten der gewünschten Konfiguration äußerst schnell zu überprüfen. Dies erfolgt innerhalb der Konsole ohne Ausführen von Berichten. Es ist also nicht notwendig, an anderen Stellen nach den Daten zu suchen. Im Rahmen der Vorstellung der verschiedenen Produktfeatures weiter unten in diesem Artikel werden weitere Beispiele zu Homepages angeführt.

Serverrollen und Verteilungspunkte
In Configuration Manager 2007 werden mehrere neue Serverrollen eingeführt, um einige der hier erläuterten neuen Features bereitzustellen. Diese umfassen den Fallbackstatuspunkt (Fallback Status Point, FSP), den PXE-Dienstpunkt (PXE Service Point, PSP), den Zweigstellenverteilungspunkt (Branch Office Distribution Point, DP), den Statusmigrationspunkt (State Migration Point, SMP), den Softwareupdatepunkt (Software Update Point, SUP) und die Systemintegritätsprüfung (System Health Validator, SHV). Wie bei allen SMS- und Configuration Manager-Serverrollen können diese Rollen auf demselben Server gehostet werden, solange angemessene Kapazitätsplanungsaufgaben durchgeführt werden.
Der Zweigstellenverteilungspunkt ist ein wichtiges Feature, das sich aus zwei Gründen vom traditionellen Verteilungspunkt unterscheidet. Zum einen muss er nicht auf einem Serverbetriebssystem installiert werden – er kann auf Windows Vista® oder Windows® XP installiert werden. Es handelt sich dabei um die einzige Configuration Manager-Rolle, die auf einem Clientbetriebssystem installiert werden kann. Dies ist sehr nützlich für eine Zweigstelle ohne lokalen Server oder in Fällen, in denen eine IT-Abteilung Server aus kleineren Zweigstellen entfernen will, um Kosten zu sparen und den Verwaltungsaufwand zu verringern. Wenn in diesem Fall nur Computer vorhanden sind, auf denen Windows XP oder Windows Vista ausgeführt wird, lässt sich der WAN-Datenverkehr durch Einsatz des Zweigstellenverteilungspunkts verringern, da gewährleistet werden kann, dass Clients keine Pakete aus dem WAN abrufen, die lokal zur Verfügung gestellt werden.
Zum Zweiten unterscheidet sich der Zweigstellenverteilungspunkt von einem Standardverteilungspunkt durch die Konnektivität mit anderen Verteilungspunkten. Bei Replikationsdaten herkömmlicher Verteilungspunkte finden Drosselung oder Planung erst statt, wenn sie von einem primären Standort an einen sekundären Standort wechseln. Aus diesem Grund replizieren viele Organisationen Pakete an Zweigstellen nur nachts, wodurch die Softwareverteilung verzögert wird, bis diese Pakete lokal verfügbar sind.
Der Zweigstellenverteilungspunkt verwendet intelligente Hintergrundübertragungsdienste (Background Intelligent Transfer Services, BITS) zum Herunterladen von Informationen von anderen Verteilungspunkten. Hierdurch wird die Bandbreite über einen WAN-Link zwischen einer Zweigstelle und einem Verteilungspunkt, der sich im zentralen Datencenter befindet, erheblich gedrosselt, insbesondere, wenn kein sekundärer Configuration Manager-Standort in der Zweigstelle vorhanden ist. Abbildung 3 zeigt das neue Dialogfeld für Verteilungspunkteigenschaften, mit dessen Hilfe ein Standardverteilungspunkt in einen Zweigstellenverteilungspunkt umgewandelt wird.
Abbildung 3 Konfigurieren eines Zweigstellenverteilungspunkts
Abbildung 3 Konfigurieren eines Zweigstellenverteilungspunkts (Klicken Sie zum Vergrößern auf das Bild)
Mit SMS 2003 wurde eine Replikationstechnologie eingeführt, mit der die Dateideltareplikation von Paketen von einem Standortserver an einen Verteilungspunkt ermöglicht wurde. Diese Technologie eignete sich gut für SMS-Pakete, die sich aus mehreren kleineren Dateien zusammensetzten. Wenn beispielsweise ein SMS-Administrator eine Änderung an nur einer Datei oder an mehreren kleineren Dateien in einem größeren SMS-Paket vornehmen musste, wurden nur die geänderten Dateien im Paket anstelle des ganzen Pakets repliziert.
Da in Configuration Manager 2007 ein stärkeres Gewicht auf die Betriebssystembereitstellung gelegt wird, sollten Sie sicherstellen, dass das Replizieren von Betriebssystemabbildpaketen und anderen größeren Paketen in Ihrer Infrastruktur und über WAN-Links möglichst effizient abläuft. Daher wird mit Configuration Manager 2007 die binäre Deltareplikation von Standortserver zu Standortserver, von Standortservern zu Verteilungspunkten und von Verteilungspunkten zu Zweigstellenverteilungspunkten eingeführt.
Beginnen Sie beispielsweise mit einem neuen Windows Vista-Bereitstellungsabbild, bei dem mehrere Anwendungen vorinstalliert sind. Die Größe dieses Pakets beträgt vielleicht 6 GB, und da es sich um ein WIM-Abbild (Windows Imaging-Format) handelt, besteht es aus einer einzelnen 6 GB-Datei. Wie bereits beschrieben wurde, musste in SMS 2003 das ganze 6 GB-SMS-Paket auf die Verteilungspunkte repliziert werden, wenn beispielsweise das neue WIM-Abbild zum Ändern einer Einstellung oder zum Hinzufügen eines neuen, veröffentlichten 2 MB-Patch geöffnet wurde, da es sich bei dem Abbild um eine einzelne WIM-Datei handelt. Im Gegensatz dazu wird bei der binären Deltareplikation in Configuration Manager 2007 beim Ändern einer Einstellung oder beim Hinzufügen eines einzelnen Patch zum WIM-Abbildpaket nur dieser einzelne 2 MB-Patch bzw. die einzelne Einstellung anstelle der ganzen 6 GB in der Infrastruktur repliziert.

Häufig Prozesse für mobile Geräte
Kurz nach der Veröffentlichung von SMS 2003 veröffentlichte Microsoft das Device Management Feature Pack (DMFP) zum Verwalten mobiler Windows CE- und Pocket PC-Geräte. Da mobile Geräte in Unternehmensorganisationen immer weiter verbreitet sind, muss ihrer Verwaltung eine höhere Priorität beigemessen werden. Aufgrund dieses Trends verbessert Configuration Manager 2007 das SMS 2003 DMFP und bietet eine hervorragende neue integrierte Lösung zum Verwalten mobiler Geräte einschließlich Windows Mobile®-Smartphones und Pocket PC-Telefonen, die der Verwaltung von Servern, Laptops und Desktopcomputern sehr ähnelt.
Die grundlegende Verwaltung mobiler Geräte umfasst Hardware- und Softwareinventur, Funktionen für die Dateisammlung, Softwareverteilung und Einstellungen für die Kennwort- und Sicherheitsrichtlinienverwaltung. Mithilfe der internetbasierten Clientverwaltung von Configuration Manager 2007 können alle Geräte jetzt auf Ihrem Intranet sowie über das Internet verwaltet werden. Dies ist sehr nützlich für Smartphones oder andere Geräte, die sich nur sehr selten, wenn überhaupt, im unternehmensinternen LAN befinden.
Der Prozess für die Bereitstellung des Agents wurde ebenfalls verbessert. Drahtlose Clientupgrades werden jetzt unterstützt, und die Clientverteilung kann über die Configuration Manager-Konsole automatisiert werden.

Wartungsfenster
Viele meiner Unternehmenskunden haben sowohl für Server als auch für manche unternehmenswichtige Desktops vordefinierte Wartungsfenster eingerichtet. Außerdem benötigen Sie regelmäßig Beratung dazu, wie sich größere Anwendungen, z. B. 2007 Microsoft Office System, bereitstellen lassen, ohne den Endbenutzer während der normalen Geschäftszeit zu stören.
Mit Configuration Manager 2007 wird das neue Feature der Wartungsfenster eingeführt. Dies ermöglicht das Definieren von Zeitfenstern, in denen Installationen für eine bestimmte Sammlung erfolgen können. So können Sie eine Ankündigung als obligatorisch einrichten, ohne sich über mögliche Auswirkungen Gedanken zu machen, die beim Installieren des Pakets während der normalen Geschäftszeit oder während anderer ungünstiger Zeiten eintreten könnten.
Sehen Sie sich beispielsweise eine Bereitstellung des 2007 Office System-Pakets an. Die Anwendung soll den Endbenutzern möglichst schnell zugänglich gemacht werden, wobei die normale tägliche Arbeit durch die Bereitstellung jedoch nicht gestört werden soll. Im Wartungsfenster können Sie den Zeitrahmen angeben, in dem das System die Installation durchführen soll, etwa 22 Uhr bis 6 Uhr morgens. Wenn das System aus irgendeinem Grund an einem bestimmten Tag während dieser Zeit nicht zur Verfügung steht, wartet Configuration Manager bis zum nächsten im Wartungsfenster definierten Zeitpunkt, damit der normale Geschäftsablauf nicht unerwartet gestört wird. Sie können Wartungsfenster auf Ankündigungsebene auch ignorieren, sodass wichtige Updates trotz möglicher Einschränkungen sobald wie möglich bereitgestellt werden.

Betriebssystembereitstellung
Die Funktionalität für die Betriebssystembereitstellung ist der wichtigste Bereich von Configuration Manager 2007. Configuration Manager wurde von Microsoft hauptsächlich als Mittel zum Bereitstellen von Betriebssystemen für Server- und Arbeitsstationsplattformen entwickelt. Die besten Features des SMS 2003 Operating System Deployment (OSD) Feature Packs wurden in Configuration Manager 2007 integriert, um die Verwaltung von Betriebssystembereitstellungen grundlegend zu ändern.
Wie Sie vielleicht wissen, wurde mit Windows Vista ein neues Windows Imaging-Format (WIM) für die Betriebssystembereitstellung eingeführt. Es gibt mehrere Vorteile beim Verwenden dieses Formats, wobei als erstes die Tatsache zu nennen ist, dass Configuration Manager 2007 das WIM-Abbildformat systemeigen importiert, sodass Administratoren die Abbilder bearbeiten und sie direkt von der Konsole aus bereitstellen können.
Ein weiteres wichtiges neues Bereitstellungsfeature in Configuration Manager ist der integrierte Task Sequencer. Wenn Sie mit dem Microsoft Solution Accelerator for Business Desktop Deployment (BDD) vertraut sind, werden Sie viele Ähnlichkeiten mit den Features und Optionen in Configuration Manager feststellen, wobei allerdings ein Hauptunterschied besteht: Es ist nicht mehr erforderlich, Skripts für das Bereitstellen oder Aufzeichnen von Betriebssystemabbildern zu schreiben. Durch die Nutzung von Task Sequencer wird der Betriebssystembereitstellungsprozess völlig automatisiert.
Der Task Sequencer kann Sie beim Planen aller Schritte der Betriebssystembereitstellung unterstützen. Dazu zählen auch Schritte, die im älteren Betriebssystem vor der Bereitstellung ausgeführt werden (Benutzerstatusmigration und Übertragung von Anwendungseinstellungen), Schritte zum Bereitstellen des neuen Betriebssystems (Formatieren, Datenträgerpartionierung, Produktschlüssel, Benutzername, Unternehmen, Lizenzierungseinstellungen, Treiberinstallation) und Schritte, die nach der Bereitstellung des neuen Systems erforderlich sind (zusätzliche Anwendungsinstallation, Updateinstallation, Benutzerstatusmigration). Als Beispiel für diese Funktionalität sehen Sie in Abbildung 4 den Task Sequence Editor mit einigen der Features, die Sie in einer Windows Vista-Bereitstellung nutzen können.
Abbildung 4 Bearbeitungsschritte für eine Betriebssystembereitstellung
Abbildung 4 Bearbeitungsschritte für eine Betriebssystembereitstellung (Klicken Sie zum Vergrößern auf das Bild)
Neben dem Task Sequencer gibt es mehrere andere Verbesserungen bei der Betriebssystembereitstellung in Configuration Manager 2007, wie in Abbildung 5 dargestellt. Configuration Manager unterstützt beispielsweise die grundlegende Bereitstellung mit PXE (Pre-Boot eXecution Environment) für x86- und x64-Plattformen mit Gerätetreiberverwaltung. Mit der Gerätetreiberverwaltungsoption kann Ihre Organisation die Anzahl von Abbildern beträchtlich reduzieren, die für verschiedene Arten von Hardware verwaltet werden müssen. Dazu kommt die Unterstützung eines einzigen Abbilds, die mit dem WIM-Format in Windows Vista eingeführt wurde, sodass Sie bei der Betriebssystembereitstellung mit Sicherheit Zeit und Geld sparen können.
Figure 5 Features der Betriebssystembereitstellung

Szenario | SMS 2003 | Configuration Manager 2007
End-to-End-Bereitstellung | Ja | Ja
Voll automatisiert | Ja | Ja
Upgrade mit vollständiger Neuinstallation | Ja | Ja
Grundlegende Bereitstellung mit PXE | Lose Integration mit Remoteinstallationsdiensten (Remote Installation Services, RIS) | Integrierte Integration mit Windows-Bereitstellungsdiensten (Windows Deployment Services, WDS)
Parallel | BDD-Skripts | Ja, über integrierten Statusmigrationspunkt
Vollständige Offlinebereitstellung | Nein | Ja
Windows Vista-Aktualisierungsplanung | Nein | Ja
Vollständige Serverbereitstellung | Nein | Ja
Gerätetreiberverwaltung | Nein | Ja

Softwareupdateverwaltung
Wie viele andere Features in Configuration Manager 2007 wurde auch die Softwareupdateverwaltung völlig überarbeitet. Configuration Manager trennt die Übertragung von Updates und regulären Paketen an einen verwalteten Agent durch Erstellung eines neuen, statusbasierten Kanals für alle wichtigen Softwareupdates und Informationen zur Verwaltung der gewünschten Konfiguration. Von jetzt an wird das Übertragen von Softwareupdates oder der Empfang des Patchstatus von verwalteten Arbeitsstationen, Laptops oder Servern nicht mehr durch das Übertragen eines neuen Softwarepakets gestört.
Die statusbasierte Methode für die Softwareupdateverwaltung bedeutet zudem, dass der Patch- und Updatestatus nicht mehr an Hardwareinventurscans gebunden ist. Demzufolge sind das derzeitige Inventurprogramm für Microsoft Updates (Inventory Tool for Microsoft Updates, ITMU) und der Scankatalog nicht mehr erforderlich. Stattdessen verwendet Configuration Manager die neue Softwareupdatepunkt-Serverrolle (Software Update Point, SUP), die Windows Server Update Services (WSUS) auf dem Back-End als Softwareupdatemodul und Datenbank ausführt.
WSUS sorgt dafür, dass nur ein zentraler Speicherort für die gesamte Updateverwaltung in Configuration Manager erforderlich ist. So können Sie den gesamten, bei Microsoft Update verfügbaren Inhalt einschließlich weniger wichtiger Updates, Treiber und anderer Softwarepakte für die Microsoft-Plattform herunterladen. Außerdem ermutigt Microsoft seine Partner dazu, Softwareupdates mithilfe dieser Methode zu veröffentlichen. Adobe und Citrix sind zwei Unternehmen, die derzeit Manifeste für das Inventurprogramm für benutzerdefinierte Updates (Inventory Tool for Custom Updates, ITCU) in SMS 2003 R2 veröffentlichen und dies auch künftig für Configuration Manager planen.
Dieses neue Softwareupdatemodul stellt zudem den Updatestatus nahezu in Echtzeit bereit, um bessere Berichterstattung und verbesserte Homepageansichten zu ermöglichen. Die benutzerdefinierten Ansichten ermöglichen Ihnen ein schnelles Abrufen von Grafikdiagrammen des Patchstatus in der gesamten IT-Infrastruktur oder für eine bestimmte Sammlung von Computern. Abbildung 6 zeigt, wie einfach es ist, sich Patchkompatibilitätsdaten für ein bestimmtes Bulletin über eine der neuen Homepageansichten anzeigen lassen, die für die Softwareupdateverwaltung angepasst wurden.
Abbildung 6 Anzeigen des Softwareupdatestatus
Abbildung 6 Anzeigen des Softwareupdatestatus (Klicken Sie zum Vergrößern auf das Bild)
Schließlich verringern Vorlagen für die Softwareupdatebereitstellung die Anzahl der zum Übertragen neuer Updates an ein System oder eine Sammlung erforderlichen Schritte dramatisch. Durch die Verwendung von Vorlagen für die Softwareupdatebereitstellung zum Speichern allgemeiner Konfigurationsinformationen, die angeben, ob beispielsweise ein Neustart erzwungen werden soll oder ob der Client Patches vom Verteilungspunkt lokal vor Ausführen der Installation herunterladen soll, verringert dieses Feature die Anzahl der erforderlichen Schritte von 18 beim ITMU in SMS 2003 auf nur 6 in Configuration Manager 2007.

Verwalten der gewünschten Konfiguration
Die Konfigurationsverwaltung ist ein weiteres hervorragendes Feature, das in Configuration Manager 2007 stark verbessert wurde. SMS 2003 Desired Configuration Monitoring wurde im Herbst 2006 veröffentlicht und stellt viele wichtige Features bereit, die in Configuration Manager 2007 Desired Configuration Management enthalten sind. Weitere Hintergrundinformationen zur Überwachung der gewünschten Konfiguration finden Sie im folgenden TechNet Magazin-Artikel: microsoft.com/technet/technetmag/issues/ 2006/09/HighStandards. Abbildung 7 stellt die Homepage „Desired Configuration Management“ dar, die die Konformität für zwei bestimmte Konfigurationsgrundeinstellungen zeigt.
Abbildung 7 Berichterstattung über die Konformität der gewünschten Konfigurationsgrundeinstellung
Abbildung 7 Berichterstattung über die Konformität der gewünschten Konfigurationsgrundeinstellung (Klicken Sie zum Vergrößern auf das Bild)
Hauptbeweggrund für das Verwalten der gewünschten Konfiguration in Configuration Manager waren Untersuchungen bei Microsoft-Kunden, denen zufolge die meisten Dienstausfälle durch eine Betriebssystem- oder Anwendungsfehlkonfiguration auf wichtigen Servern und Desktops verursacht werden. Mithilfe der Funktionalität für das Verwalten der gewünschten Konfiguration in Configuration Manager können Administratoren Konfigurationsabweichungen schnell erkennen, indem sie regelmäßige Scans der Grundwerte auf den Systemen ausführen. Diese Grundwerte werden mithilfe von Konfigurationselementen (Configuration Items, CIs) erstellt und bieten Kompatibilitätsinformationen für eine Sammlung von Computern in Ihrer Organisation.
Das Verwalten der gewünschten Konfiguration hilft jedoch nicht nur beim Erkennen von Konfigurationsabweichungen, sondern auch bei der Berichterstellung zur Einhaltung rechtlicher Vorschriften und der Änderungsüberprüfung. In den meisten Organisationen ist wahrscheinlich eine Berichterstellung zur Einhaltung von Datenschutzgesetzen wie Sarbanes-Oxley (SOX), dem Payment Card Industry Data Security Standard (PCI DSS) und dem Health Insurance Portability and Accountability Act (HIPAA) erforderlich. Configuration Manager 2007 kann die erforderlichen Berichte über das Verwalten der gewünschten Konfiguration bereitstellen.
So funktioniert das Verwalten der gewünschten Konfiguration. Ein Administrator definiert CIs, bei denen es sich um Konfigurationseinheiten handelt, die erkannt, angewendet und von Computern entfernt werden können. Nach Definition der CIs kann aus einem oder mehreren CIs eine Basiskonfiguration erstellt werden. Diese Grundwerte werden dann den Configuration Manager-Sammlungen für die Kompatibilitätsüberwachung und die Berichterstellung zur Einhaltung rechtlicher Vorschriften zugewiesen.
Die CIs sammeln Informationen aus verschiedenen Quellen eines Computers, darunter Active Directory®, Dateimetadaten, Skriptergebnisse, in SQL Server™ gespeicherte Daten, Softwareupdatedaten, WMI, XML, Registrierungswerte, IIS-Metadaten sowie aus dem Vorhandensein und der Konfiguration von Microsoft Installer. Die an diesen verschiedenen Orten gesammelten Informationen werden in der Configuration Manager-Datenbank gespeichert und dienen zur Überprüfung der Kompatibilität eines Systems.
Die Prozesse zum Verwalten der gewünschten Konfiguration und zum Übertragen neuer Updates durch Configuration Manager 2007 sind jetzt übrigens vollständig integriert. Wie bei dem neuen Softwareupdatemodul verwenden alle Daten beim Verwalten der gewünschten Konfiguration den statusbasierten Kanal für hohe Priorität. Die Integration dieser beiden wichtigen Features ermöglicht es dem Administrator, eine neue Basis zum Verwalten der gewünschten Konfiguration zu definieren oder eine vorhandene als Teil des Updatebereitstellungsprozesses mit neuen Updates zu aktualisieren.

Internetbasierte Clientverwaltung
War bei Ihnen schon einmal ein Computer so lange vom Netzwerk getrennt, dass das Computerobjekt in SMS veraltet war? Laut Gesprächen mit meinen Kunden scheint dieser Fall recht häufig einzutreten. Glücklicherweise wird mit Configuration Manager 2007 die neue internetbasierte Clientverwaltung eingeführt. Dieses Feature funktioniert ähnlich wie die Kommunikation zwischen Microsoft Office Outlook® und Exchange Server über HTTPs ohne virtuelles privates Netzwerk (VPN). Falls Sie mit diesem Szenario nicht vertraut sind: Es bedeutet einfach, dass die Kommunikation mit Clientcomputern ohne komplizierte VPN-Verbindung sicherer wird.
Die internetbasierte Clientverwaltung ermöglicht das Verwalten von Computern im Internet mit derselben Steuerungsebene wie bei Computern im Intranet. Tatsächlich funktionieren alle in diesem Artikel erläuterten Features mit der internetbasierten Clientverwaltung mit Ausnahme der Betriebssystembereitstellung, Wake-On-LAN und Remotetools, da diese verschiedene Ports zur Kommunikation verwenden und nicht über SSL oder TLS getunnelt werden können. Gute Beispiele für Situationen, in denen die internetbasierte Clientverwaltung ins Spiel kommt, sind Point-of-Sale-Geräte für Restaurants, Einzelhandelsgeschäfte und Tankstellen, die Heimcomputer von Mitarbeitern sowie Außendienstmitarbeiter oder Beraterteams.
Es müssen bestimmte Anforderungen erfüllt werden, bevor die internetbasierte Clientverwaltung in der Configuration Manager 2007-Infrastruktur aktiviert werden kann. Zunächst benötigen Sie eine Public Key-Infrastruktur (PKI), um allen von Configuration Manager verwalteten Agents digitale Zertifikate zuzuweisen. Dies ermöglicht die Verwendung der gegenseitigen Authentifizierung zwischen den Configuration Manager-Servern und allen Verwaltungsagents, um sicherzustellen, dass die von Ihnen empfangenen Daten verschlüsselt sind und aus einer vertrauenswürdigen Quelle stammen. Sie benötigen weiterhin einen SSL-Terminator als Verbindungspunkt zwischen den Configuration Manager-Servern und allen internetbasierten Clients. Microsoft Internet Security and Acceleration (ISA) Server 2006 ist eine softwarebasierte Lösung, die diese Anforderungen erfüllt.
In der internetbasierten Clientverwaltung wird die neue Fallbackstatuspunkt-Serverrolle (Fallback Status Point, FSP) verwendet. Falls einer Ihrer internetbasierten Agents nicht richtig kommuniziert oder ein Zertifikat abläuft, meldet der Agent das Problem an den Fallbackstatuspunkt, der im Umkreisnetzwerk Ihrer Organisation verfügbar ist. So wird gewährleistet, dass Sie nie den Kontakt mit Ihren im Internet verwalteten Systemen verlieren. Außerdem können die Clients automatisch von der internetbasierten auf die intranetbasierte Verwaltung übergehen und umgekehrt, um geeignete Ressourcen zum richtigen Zeitpunkt bestmöglich zu nutzen.

Andere neue Features
Obwohl dieses Feature nicht als erfolgsentscheidend gilt, ist Wake-On-LAN äußerst wertvoll im Toolbestand eines Administrators, um eine Softwareverteilung, ein Softwareupdate oder eine Betriebssystembereitstellung schnell und automatisch durchzuführen. Configuration Manager 2007 aktiviert die Wake-On-LAN-Funktionalität für alle intranetbasierten, verwalteten Agents, die über eine kompatible Netzwerkkarte verfügen. Abbildung 8 zeigt ein Beispiel, wie Sie Wake-On-LAN für eine Ankündigung im neu entworfenen Assistenten für Neuankündigungen verwenden können. In diesem Fall wird ein neues Paket für eine Gruppe von Computern bereitgestellt. Wenn ein Wake-On-LAN-kompatibles Gerät ausgeschaltet und diese Einstellung im Assistenten aktiviert ist, startet Configuration Manager das System, damit das in der Ankündigung definierte Paket bereitgestellt wird.
Abbildung 8 Wake-On-LAN in einer Ankündigung für eine Softwareverteilung
Abbildung 8 Wake-On-LAN in einer Ankündigung für eine Softwareverteilung (Klicken Sie zum Vergrößern auf das Bild)
Die Remotesteuerung wurde in Configuration Manager vollständig umgeschrieben, um eine sicherere und zuverlässigere Lösung bei bedeutend schnellerer Leistung zu bieten. Anstelle der alten Tools, die seit SMS 1.0 eingesetzt werden, verwendet Configuration Manager jetzt die systemeigene Windows Vista Zusammenarbeitstechnologie, die auf dem Remotedesktopprotokoll (Remote Desktop Protocol, RDP) basiert. Die grundlegende Funktionalität ist insofern dieselbe wie bei SMS 2003, als dass der Endbenutzer keine neuen Sitzungen akzeptieren muss. Es werden jedoch drei neue Zugriffsebenen eingeführt: Uneingeschränkter Zugriff, nur Anzeige und keine. Neben dieser neuen Technologie ist Configuration Manager 2007 nach wie vor mit der Remoteunterstützung integriert, falls diese Funktionalität einmal erforderlich ist.

Schlussbemerkung
In diesem Artikel wurden mehrere der neuen Features und Verbesserungen in System Center Configuration Manager 2007 vorgestellt. Diese Features sollen dazu dienen, den Verwaltungsaufwand zu erleichtern, die Arbeitsauslastung zu verbessern und die Kosten in Ihrer IT-Umgebung zu senken. Mit Configuration Manager 2007 und den anderen Produkten der System Center-Familie können Sie die anspruchvollsten IT-Infrastrukturen bewältigen und ihrem Unternehmen gleichzeitig zu einem Wettbewerbsvorteil verhelfen.
Neben den in diesem Artikel dargestellten Features verfügt das Produkt über viele weitere Verbesserungen wie die Windows Server® 2008 Netzwerkzugriffschutz (Network Access Protection, NAP)-Integration und verbesserte SAM-Funktionen (Software Asset Management), die auf derselben, auch in SMS 2003 SP3 enthaltenen Asset Intelligence-Technologie basieren. Laden Sie den Configuration Manager 2007-Releasekandidaten oder die RTM-Testversion herunter, um diese Features in Ihrer Infrastruktur zu bewerten.
Weitere Informationen und einen Überblick über alle Produkte der System Center-Familie finden Sie unter microsoft.com/systemcenter. Von hier aus können Sie zu jeder beliebigen Lösung der System Center-Familie einschließlich Configuration Manager navigieren.

John Orefice ist Experte für Technologielösungen bei Microsoft und für die mittleren atlantischen US-Bundesstaaten zuständig. Er arbeitet seit mehreren Jahren mit Verwaltungslösungen von Microsoft – ursprünglich als Berater bei Microsoft Consulting Services (MCS) und jetzt in seiner derzeitigen Rolle. Sie erreichen ihn unter john.orefice@microsoft.com.
© 2008 Microsoft Corporation und CMP Media, LLC. Alle Rechte vorbehalten. Die nicht genehmigte teilweise oder vollständige Vervielfältigung ist nicht zulässig.


System Center
Bereitstellen von Anwendungen und Updates für Ihre Zweigstellen
Steve Rachui
Kurz zusammengefasst:
  • Konfigurieren eines Zweigstellenverteilungspunkts
  • Alles über Grenzen
  • Drei Verfahren zum Bereitstellen von Daten

Microsoft veröffentlicht damit die nächste Generation an Systemverwaltungslösungen. Der früher unter dem Namen Systems Management Server (SMS) bekannte neue System Center Configuration Manager 2007
verfügt über zahlreiche beeindruckende neue Features. Eines dieser nützlichen Features ist der Zweigstellenverteilungspunkt (Branch Distribution Point, BDP), eine neue Art von Verteilungspunkt, der speziell für die Anforderungen kleiner oder verteilter Niederlassungen entwickelt wurde. Auf den ersten Blick und im Vergleich zu anderen neuen Features scheint der BDP zwar nur eine geringfügige Neuerung zu sein, aber Sie sollten dieses Feature nicht voreilig abtun.
Von den vorherigen Versionen von SMS wurden als Plattformen zum Hosten von Verteilungspunkten lediglich Serversysteme unterstützt. Dies hatte zur Folge, dass Administratoren, die Zweigstellen betreuen mussten, in denen häufig zu wenige lokale Server vorhanden waren und zur Datenübertragung langsamere WAN-Links benutzt wurden, alle Hände voll zu tun hatten, um eine Infrastruktur zu entwickeln und zusammenzustellen, mit deren Hilfe Software rechtzeitig und effizient verteilt werden konnte. Dies ist genau das Szenario, für dessen Anforderungen der BDP entwickelt wurde.
Der BDP ist für Arbeitsstations- und Serversysteme konzipiert. Diese Komponente wird auf jedem Configuration Manager 2007-Client zur Verfügung gestellt, auch wenn sie standardmäßig nicht aktiviert ist. Obwohl jeder Configuration Manager 2007-Client den erforderlichen Code besitzt, um als BDP arbeiten zu können, sollte nicht jeder Client als BDP konfiguriert werden.

Einrichten eines BDP
Das Aktivieren der BDP-Funktion auf einem Client ist im Grunde mit dem Konfigurieren eines serverbasierten Verteilungspunkts identisch. Zunächst wird ein Client als neues Standortsystem konfiguriert (siehe Abbildung 1). Anschließend wird dieser Client als Zweigstellenverteilungspunkt gekennzeichnet (siehe Abbildung 2). Diese Konfiguration hat zur Folge, dass der BDP als ein für Pakete, Softwareupdates, Betriebssystembereitstellungsabbilder (Operating System Deployment, OSD) und so weiter verfügbarer Verteilungspunkt aufgelistet wird. Vom Standortserver wird eine Richtlinie für den ausgewählten Client vorbereitet, auf dem die BDP-Funktion aktiviert werden soll. Mit dem Herunterladen dieser Richtlinie arbeitet der Client als BDP.
Abbildung 1 Konfigurieren eines Client als neues Standortsystem
Abbildung 1 Konfigurieren eines Client als neues Standortsystem
Abbildung 2 Konfigurieren eines Standortsystems als Zweigstellenverteilungspunkt
Abbildung 2 Konfigurieren eines Standortsystems als Zweigstellenverteilungspunkt
Ein BDP oder jedes beliebige Standortsystem kann konfiguriert werden, eine bestimmte Grenze (in SMS 2003 als Standortgrenze bezeichnet) oder eine Gruppe von Grenzen zu versorgen. Er kann aber auch dafür konfiguriert werden, ohne spezielle Grenzen zu operieren. In Configuration Manager 2007 werden Grenzen in der Regel durch einen IP-Subnetz- oder Active Directory®-Standort definiert.
Um einen BDP zum Versorgen einer bestimmten Gruppe von Grenzen zu konfigurieren, wählen Sie im Standortsystemkonfigurationsfenster die Option „Enable this site system as a protected site system“ (Dieses System als geschütztes Standortsystem aktivieren) aus, und geben Sie danach, wie in Abbildung 1 gezeigt, die gewünschten Grenzen an. Dies ist ein erforderlicher Schritt, wenn Sie den BDP für die weiter unten beschriebene Inhaltsbereitstellung nach Bedarf verwenden möchten. Wird dieser Schritt ausgelassen, dann arbeitet der BDP im Grunde als ganz normaler Verteilungspunkt.

Grenzen
Geschützte Grenzen auf einem BDP dienen lediglich zum Festlegen, welche Clients in der Lage sind, auf den Inhalt dieses BDPs zuzugreifen. Sie spielen jedoch keine Rolle bei der Bestimmung, auf welchen Standardverteilungspunkt ein BDP zugreifen kann, um den von ihm benötigten Inhalt herunterzuladen. Gehen Sie beispielsweise von einer Umgebung aus, in der ein BDP auf Grenze A installiert ist. Grenze B in diesem Szenario enthält den einzigen Standardverteilungspunkt, der den intelligenten Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS) verwendet, und dieser Verteilungspunkt ist dafür konfiguriert, nur Clients in Grenze B zu betreuen. Was geschieht nun, wenn der BDP versucht, Inhalt herunterzuladen? Nach den Regeln für geschützte Grenzen kann erwartet werden, dass dieser Versuch fehlschlägt. In diesem Szenario gelingt das Herunterladen jedoch, denn das Herunterladen per BDP ignoriert die auf Standardverteilungspunkten konfigurierten geschützten Grenzen.
BDPs bieten außerdem sehr viel Flexibilität. Es ist möglich, einen einzigen BDP pro Zweigstellenstandort oder bei Bedarf innerhalb einer einzigen Zweigstelle (Grenze) mehrere BDPs zu aktivieren. Wenn mehrere BDPs dafür konfiguriert werden, dieselben Grenzen zu versorgen, arbeiten sie nach dem Prinzip des Lastenausgleichs zusammen, um für die Clients innerhalb dieser Grenzen Inhalt bereitzustellen.

Bereitstellen von Daten
Nach Aktivieren eines BDPs ruft dieser den benötigten Inhalt auf drei verschiedene Arten ab: über die Bereitstellung durch einen Administrator, über eine Bereitstellung nach Bedarf und über eine manuelle Bereitstellung. Unabhängig davon, welche Methode zum Abrufen von Inhalt verwendet wird, muss mindestens ein Standardverteilungspunkt zur Verfügung stehen, der BITS-fähig ist und über den Inhalt verfügt, der vom BDP abgerufen werden soll. Die drei Methoden zum Abrufen von Inhalt sollen nun etwas genauer untersucht werden.
Bereitstellung durch einen Administrator Dies ist die bereits vertraute Methode der Bereitstellung von Inhalt auf einem Verteilungspunkt. Bei dieser Methode muss der Administrator den BDP manuell als Verteilungspunkt auswählen. Dadurch wird eine Richtlinie vorbereitet, die den BDP anweist, während des nächsten Richtlinienaktualisierungszyklus den durch einen BITS-fähigen Standardverteilungspunkt bereitgestellten Inhalt herunterzuladen.
Bereitstellung nach Bedarf Dies ist eine neue Methode der Bereitstellung von Inhalt, die nur über einen BDP erfolgen kann. Dieses Verfahren ermöglicht es, bei Anforderung von einem Client Inhalt nach Bedarf auf den BDP herunterzuladen. Der Administrator unternimmt keinerlei Schritte, um den Inhalt auf dem BDP bereitzustellen, was bedeutet, dass der BDP innerhalb des Paketknotens nicht als Verteilungspunkt ausgewählt wird. Bei der Bereitstellung nach Bedarf wird der BDP praktisch dann als Verteilungspunkt ausgewählt, wenn Inhalt angefordert wird. Dies erfolgt automatisch im Hintergrund.
Die Bereitstellung nach Bedarf ist nur dann durchführbar, wenn das Paket für diese Option konfiguriert wurde (siehe Abbildung 3) und der BDP geschützt ist, um zu gewährleisten, dass die Clients, die den Inhalt anfordern, nur auf den BDP und nicht auf die Standardverteilungspunkte zugreifen können, die über den Inhalt verfügen. Beachten Sie dabei Folgendes: Wenn mehrere BDPs innerhalb derselben geschützten Grenzen konfiguriert sind, hat die Anforderung einer bedarfsgesteuerten Bereitstellung bei einem einzigen BDP zur Folge, dass der Inhalt für jeden BDP bereitgestellt wird.
Abbildung 3 Aktivieren der bedarfsgesteuerten Verteilung eines Pakets
Abbildung 3 Aktivieren der bedarfsgesteuerten Verteilung eines Pakets
Manuelle Bereitstellung Wie die Bezeichnung dieser Methode bereits erkennen lässt, erfordert dieses Bereitstellungsverfahren einen Administratoreingriff. Das Paket muss so konfiguriert werden, dass der Inhalt manuell übertragen wird (siehe Abbildung 3). Danach muss der Inhalt unter Verwendung einer Verzeichnisstruktur für ein normales Paket manuell zum BDP in den Paketordner kopiert werden.
Der BDP erkennt das neue Paket und stellt es Clients, die es anfordern, zur Verfügung. Da diese Methode es ermöglicht, Inhalt unter Verwendung von Wechseldatenträgern auf den BDP zu übertragen, ist sie für Umgebungen mit begrenzter Bandbreite zwischen dem Standardverteilungspunkt und dem BDP ideal geeignet.
Sie können einen BDP dafür konfigurieren, heruntergeladenen Inhalt in einer bestimmten Partition zu speichern. Wenn keine Partition angegeben wurde, wird diese vom BDP automatisch ausgewählt. Wenn Inhalt für die Bereitstellung auf einem BDP konfiguriert oder eine Anforderung einer bedarfsgesteuerten Bereitstellung verarbeitet wird, ist der Zielinhalt nicht sofort auf dem BDP verfügbar. Stattdessen wird eine Richtlinie vorbereitet, um dem BDP mitzuteilen, dass Inhalt zum Herunterladen verfügbar ist. Im nächsten Richtlinienzyklus erhält der BDP diese Richtlinie und startet ein BITS-gestütztes Herunterladen des betreffenden Inhalts. Mithilfe von Gruppenrichtlinien kann die verwendete Bandbreite und der Zeitplan für BITS-gestütztes Herunterladen präzise kontrolliert werden. Beachten Sie, dass die Verteilungspunktfreigabe auf dem BDP genauso aussieht wie die Freigabe auf einem Standardverteilungspunkt. Der Inhalt wird also nicht verschlüsselt.

Die richtige Konfiguration für Ihre Organisation
Wie bereits erwähnt, wurde der BDP für Zweigstellen entwickelt und ist auf Arbeitsstationssystemen voll funktionsfähig. Ein BDP kann aber auch auf einem Serversystem operieren. Das zugrunde liegende Betriebssystem hat Einfluss darauf, wie viele Verbindungen zum BDP hergestellt werden können. Arbeitsstationen sind auf 10 gleichzeitige Verbindungen beschränkt, während Server nicht an diese Beschränkung gebunden sind. Daher sollten Sie abhängig von der Anzahl gleichzeitiger Verbindungen, die unterstützt werden müssen, unter Umständen ein Serversystem oder innerhalb der Zweigstelle mehrere Arbeitsstationssysteme verwenden. Unabhängig von der verwendeten Plattform muss zusätzlich mindestens ein BITS-fähiger Standardverteilungspunkt mit dem angeforderten Inhalt vorhanden sein.
Der BDP ermöglicht jeder Organisation wesentlich mehr Kontrolle über den Ablauf der Softwareverteilung, unabhängig von der Art der Infrastrukturkonfiguration. Die integrierte Unterstützung von BITS, die das Drosseln und die Zeitplanung für das Herunterladen ermöglicht, bietet Administratoren, die eine präzisere Kontrolle und Vorhersehbarkeit benötigen, erhebliche Vorteile.

Steve Rachui ist Support Escalation Engineer für den Bereich Verwaltbarkeit in der Produktsupportgruppe von Microsoft. Er unterstützt SMS schon seit der Version 1.2. Sie erreichen ihn unter steverac@microsoft.com.


System Center
Einführung zu System Center Essentials 2007
David Mills
Kurz zusammengefasst:
  • Installieren und Aktualisieren
  • Konfigurieren von Essentials 2007
  • Schritte zur Problembehandlung

System Center Essentials 2007 ist eine neue IT-Verwaltungslösung, die speziell für mittelständische Unternehmen mit 50 bis 500 PCs und 5 bis 30 Servern entworfen wurde. Essentials 2007 entstand aufgrund des umfangreichen Feedbacks von IT-Profis mit der spezifischen Anforderung für eine einheitliche
Verwaltungslösung. Essentials 2007 erfüllt diese Anforderung: Der Benutzer kann das System mit einem einzigen Installationsvorgang unter einfacher Konfiguration schnell in Betrieb nehmen.
Insbesondere stellt Essentials 2007 die Funktionalität zur Überwachung, Problembehandlung und Ressourcenüberprüfung bereit, damit Ihre IT-Umgebung stets sicher und auf dem aktuellen Stand ist. Essentials 2007 stellt außerdem eine einheitliche Verwaltungskonsole zur Verfügung, auf der Sie Server, Clients, Hardware, Software und IT-Dienste (siehe Abbildung 1) verwalten können. Außerdem kann Essentials komplizierte Verwaltungsaufgaben wie das Behandeln von Endbenutzerproblemen, Überwachungsvorgänge sowie das Bereitstellen der Server- und Clientsoftware einfacher und effizienter gestalten.
Abbildung 1 Die Essentials 2007-Verwaltungskonsole
Abbildung 1 Die Essentials 2007-Verwaltungskonsole (Klicken Sie zum Vergrößern auf das Bild)

Essentials 2007-Anforderungen
Stellen Sie vor der Installation und Konfiguration von Essentials 2007 sicher, dass Ihre Systeme die Mindestanforderungen für Software und Hardware erfüllen. Bei Ihrem Serverbetriebssystem muss es sich um Windows Server® 2003 SP1 oder R2 bzw. Windows® Small Business Server 2003 SP1 oder höher handeln. Außerdem benötigen Sie Active Directory®, IIS 6.0, Microsoft® .NET Framework 2.0 und 3.0 oder höher und SQL Server™ 2005 SP1. Der Server selbst erfordert mindestens 1 GB RAM, 12 GB freien Speicherplatz und einen Prozessor mit 1,8 GHz. Empfohlen wird ein Computer mit 2 GB RAM, 20 GB freiem Speicherplatz und einem Prozessor mit mindestens 2,8 GHz.
Verwaltete Clientcomputer müssen Windows 2000 Professional SP4, Windows XP SP2 oder Windows Vista® ausführen. Die Betriebssysteme x86 und x64 werden beide unterstützt.
Auf verwalteten Servercomputern muss Windows 2000 Professional SP4 oder ein neueres Betriebssystem ausgeführt werden. Die Betriebssysteme x86 und x64 werden beide unterstützt. Da Sie die IT-Umgebung wahrscheinlich vom eigenen Desktop oder Laptop aus überwachen und verwalten möchten, sollten Sie auf Ihrem Computer die Konsoleninstallation von Essentials 2007 ausführen. Stellen Sie vor dem Start sicher, dass Ihr Computer Windows XP SP2, Windows Vista oder Windows Server 2003 SP1 ausführt.
Denken Sie auch daran, beim Planen der Essentials 2007-Serverkonfiguration genügend Speicherplatz für die Updatedownloads und die Berichtsdatenbank zu berücksichtigen. Die Updatedatenbank nimmt u. U. mehr als 2 GB und der Updateinhalt mehr als 6 GB Speicherplatz in Anspruch. Die Betriebs- und Berichtsdatenbanken von Essentials können bis zu 4 GB beanspruchen. Planen Sie dementsprechend, sodass Sie genügend Speicherplatz zur Verfügung haben.

Installieren von Essentials 2007
Das Einrichten von Essentials 2007 ist unkompliziert, da die Assistenten Sie schnell und effizient durch die wichtigen Aufgaben wie Installation und Konfiguration, Computerermittlung und Updatekonfiguration führen. Wenn Sie den Setup-Assistenten ausführen, überprüft Essentials 2007 diese Voraussetzungen automatisch und teilt Ihnen mit, ob etwas fehlt (siehe Abbildung 2).
Abbildung 2 Überprüfen der Setupvoraussetzungen
Abbildung 2 Überprüfen der Setupvoraussetzungen (Klicken Sie zum Vergrößern auf das Bild)
Wenn sich ein erforderliches Element nicht auf dem Datenträger von Essentials 2007 befindet, gibt es im Setupbildschirm einen Installationslink zur fehlenden Software. Im Setup-Assistenten müssen Sie einen Pfad für das Installationsverzeichnis von Essentials 2007 und Informationen für ein Konto mit Administratorrechten angeben. Das Verwalten von Computern unter Verwendung von Essentials 2007 wird um einiges einfacher, wenn dieses Konto über Administratorrechte auf dem Verwaltungsserver und auf allen verwalteten Computern verfügt. Essentials unterstützt die Verwendung eines einzigen Kontos, um Aufgaben wie das Installieren von Agents auf verwalteten Computern durchzuführen.
Wenn Sie derzeit SQL Server 2005 nicht installiert haben, sodass es Ihnen für eine lokale oder Remoteverwendung mit Essentials 2007 nicht zur Verfügung steht, können Sie während des Setups von Essentials 2007 SQL Server 2005 Express mit erweiterten Diensten lokal installieren lassen. Diese Version von SQL Server ist auf dem Datenträger von Essentials 2007 enthalten. Sie können außerdem eine Version von Essentials 2007 mit SQL Server 2005 Standard erwerben. Diese Version ist speziell für die Verwendung mit Essentials 2007 lizenziert.
Bei der einzigen anderen wichtigen Entscheidung während der Installation geht es darum, wo Essentials 2007 Ihre Updates speichern soll. Sie können Updates lokal speichern. Dann werden sie über das Netzwerk von Ihrem Essentials 2007-Server an die verwalteten Computer bereitgestellt. Dies ist wahrscheinlich die beste Wahl, vor allem dann, wenn der Internetzugang oft einen Engpass für Ihr Netzwerk darstellt. Updates können ebenfalls direkt von der Microsoft Update-Website heruntergeladen werden, wenn ein Computer aktualisiert werden muss. Wenn Sie diese Option auswählen, wird ein Update für 50 Computer 50 Mal heruntergeladen, ein Mal auf jeden Computer. Dies kann umständlich sein, doch der Vorteil ist, dass Sie dabei weniger Speicherplatz auf dem Verwaltungsserver in Anspruch nehmen.
Bei der grundlegenden Bereitstellungstopologie, die durch Essentials 2007 unterstützt wird, werden alle Verwaltungskomponenten auf einem einzigen Server installiert (siehe Abbildung 3). Sie können jedoch die Verwaltungskonsole von Essentials 2007 auf dem Desktop oder dem Laptop in Ihrem Büro installieren und den Verwaltungsserver von einem Remotestandort aus steuern. Vor Installation der Remotekonsole muss der Featurekonfigurations-Assistent auf dem Essentials 2007-Server ausgeführt werden. Dieser Prozess legt fest, ob für die Konfiguration der Remotekonsole eine Domänengruppenrichtlinie oder eine lokale Gruppenrichtlinie verwendet wird. Wenn Sie die Domänengruppenrichtlinie auswählen, muss genug Zeit verstrichen sein, damit sie auf dem Computer aktualisiert werden kann, auf dem Sie die Remotekonsole installieren. Sie können bei Bedarf mehrere Remotekonsolen installieren.
Abbildung 3 Grundlegende Essentials 2007-Konfiguration
Abbildung 3 Grundlegende Essentials 2007-Konfiguration
Wenn Sie eine IT-Umgebung mit mehr als 200 Computern verwalten, müssen Sie SQL Server 2005 auf einem Remoteserver (nicht auf dem Essentials 2007-Server) installieren und diese Remoteinstanz als Ihre Essentials 2007-Datenbank verwenden (siehe Abbildung 4). Dadurch erhalten Sie beim Aufwärtsskalieren eine verbesserte Leistung. Denken Sie allerdings daran, dass sich dieser Remoteserver in der gleichen Domäne wie der Essentials 2007-Verwaltungsserver befinden muss.
Abbildung 4 Verwenden einer Remote-SQL Server-Datenbank
Abbildung 4 Verwenden einer Remote-SQL Server-Datenbank
Wenn Sie während der Installation von Essentials 2007 eine vorhandene SQL-Datenbankinstanz verwenden, müssen Sie sicherstellen, dass die SQL Server 2005 SP1 Reporting Services auf dem Essentials 2007-Verwaltungsserver installiert und konfiguriert wurden.

Aktualisieren auf Essentials 2007
Wahrscheinlich führen Sie bereits Windows Server Update Services (WSUS) 2.0 oder 3.0 aus, um Ihre Microsoft-Updates zu verwalten. Wenn dies der Fall ist und Sie auf Essentials 2007 aktualisieren möchten, um eine umfassendere Verwaltungslösung zu erhalten, haben Sie während des Setupvorgangs von Essentials die Möglichkeit dazu. Bei dieser direkten Aktualisierung werden vorhandene Aktualisierungsinformationen beibehalten, einschließlich Binärdateien, Gruppen und Genehmigungen.
Wenn Sie Microsoft Operations Manager (MOM) 2005 oder MOM 2005 Workgroup Edition verwenden, um wichtige Server zu überwachen, die zusätzlichen Essentials 2007-Features jedoch für das Ressourceninventar sowie die Softwareverteilung und -aktualisierung verwenden möchten, können Sie Ihre Management Packs auf einfache Weise migrieren, indem Sie sie exportieren, konvertieren und anschließend direkt in Essentials 2007 importieren. So wie MOM 2005 nutzt auch Essentials 2007 die Management Packs zum Überwachen von Computern und Geräten. Die Management Packs enthalten außerdem Informationen für das erfolgreiche Diagnostizieren und Beheben von IT-Problemen. Wenn Sie nicht vollständig zu Essentials 2007 migrieren möchten, können Sie den gleichzeitigen Betrieb beibehalten, um unternehmenswichtige Überwachungsfunktionen aufrecht zu erhalten und die Migration zu einem Zeitpunkt Ihrer Wahl durchzuführen.
Beachten Sie, dass einige WSUS-Einstellungen während der Aktualisierung auf Essentials 2007 nicht beibehalten werden. Beim Aktualisieren verlieren Sie Informationen über Computer, automatische Genehmigungen und Einstellungen sowie alle vorhandenen Genehmigungen für Gruppen mit dem Namen „Alle Clients“ oder „Alle Server“. Entfernen Sie deshalb vor dem Aktualisieren die Gruppen „Alle Clients“ und „Alle Server“ aus WSUS. Anschließend müssen Sie die Genehmigungen erneut erstellen, wenn das Setup von Essentials 2007 abgeschlossen ist.
Sie können diese Aktualisierung nicht von WSUS aus durchführen, wenn der vorhandene Server über aktive Downstreamserver verfügt. Essentials 2007 unterstützt den WSUS Upstream Server (USS)-Modus nicht. Da dies nicht zuverlässig erkannt werden kann, erhalten Sie eine Warnung, falls der WSUS-Server über Downstreamserver verfügt. Außerdem sollten Sie eine Aktualisierung nicht fortsetzen, wenn Sie WSUS 2.0 oder 2.0 SP1 mit einem Remotedatenbankserver verwenden, der zum Speichern von WSUS-Daten nicht SQL Server 2005 SP1 ausführt.
Eine Sicherungskopie der aktuellen Datenbank wird während des Aktualisierungsprozesses automatisch erstellt. Wenn die Aktualisierung nicht erfolgreich ist, können Sie die vorherige Umgebung wiederherstellen, indem Sie die Sicherungskopie verwenden. Stellen Sie sicher, dass Sie über ausreichenden Speicherplatz verfügen, um die aktuelle WSUS-Datenbank zu sichern. Überprüfen Sie dazu die aktuelle Datenbankdateigröße, und bestätigen Sie, dass ausreichend Speicherplatz zum Erstellen einer Kopie vorhanden ist.

Konfigurieren von Essentials 2007
Essentials 2007 stellt viele Assistenten bereit, die Ihnen bei Konfigurations- und Verwaltungsaufgaben helfen. Der Featurekonfigurations-Assistent bietet Ihnen eine schnelle Einführung in einige Konfigurationsschritte, die manuell nur schwierig auszuführen sind, z. B. das Konfigurieren der Gruppenrichtlinie. Abbildung 5 zeigt die erste Seite des Assistenten.
Abbildung 5 Starten des Featurekonfigurations-Assistenten
Abbildung 5 Starten des Featurekonfigurations-Assistenten (Klicken Sie zum Vergrößern auf das Bild)
Wenn Sie beim Herstellen einer Internetverbindung einen Proxyserver verwenden wollen, besteht einer der ersten Schritte darin, den Servernamen und die Portnummer anzugeben. Als Nächstes können Sie einen Gruppenrichtlinientyp – entweder eine lokale oder eine Domänengruppenrichtlinie – auswählen, um verwaltete Computer zu konfigurieren. Sie können außerdem eine Ausnahme für die Windows-Firewall erstellen, wenn Sie für das Konfigurieren verwalteter Computer die Domänengruppenrichtlinie ausgewählt haben.
Nun folgt der optionale Schritt, bei dem die Remoteunterstützung der Computer aktiviert wird. Dies trifft dann zu, wenn Sie zum Konfigurieren der Clients die Domänengruppenrichtlinie ausgewählt haben. Beachten Sie, dass dadurch eine Firewallausnahme auf allen verwalteten Computern erstellt wird, um DCOM über TCP-Port 135 zu ermöglichen.
Sie können auswählen, ob Sie die agentlose Fehlerüberwachung von verwalteten Computern aus erfassen möchten. Wenn Sie „Ja“ und einen Ort zum Speichern der Fehler auswählen, senden die verwalteten Computer Fehlerberichte an den Essentials 2007-Server, und Sie können die Berichte anzeigen, um festzustellen, in welchen Anwendungen Probleme auftreten.
Es gibt Optionen, mit denen Sie angeben können, ob ein Fehlerbericht an Microsoft weitergeleitet und ob ein täglicher Zustandsbericht gesendet werden soll, der Informationen zu Warnungen, Updates, Software und Inventar enthält. Wenn Sie die Konfiguration so einstellen, dass Sie den täglichen Zustandsbericht per E-Mail erhalten, können Sie die Vorgänge in Ihrer IT-Umgebung sofort zu Beginn des Arbeitstags erkennen.
Schließlich können Sie festlegen, dass Sie täglich über neu ermittelte Computer informiert werden. Es empfiehlt sich, diese Option zu aktivieren, da sie Essentials 2007 veranlasst, Active Directory täglich im Hinblick auf neue Computer zu überprüfen und diese so zu konfigurieren, dass sie automatisch verwaltet werden.
Das Ausführen des Computer- und Geräteverwaltungs-Assistenten, der für die automatische Computerermittlung konfiguriert wird, veranlasst Essentials 2007, Active Directory abzufragen und alle aufgelisteten Computer in der Domäne zu ermitteln (siehe Abbildung 6). Wenn Sie die erweiterte Ermittlungsoption auswählen, können Sie die ermittelten Geräte nach Typ filtern, z. B. ausschließlich Clients, Netzwerkgeräte, Suche innerhalb eines IP-Adressbereichs oder Erstellen erweiterter Abfragen. Es empfiehlt sich, die automatische Computerermittlung zu aktivieren und diese Option als Erstes auszuführen, um alle Clients und alle Server zu ermitteln. Da Essentials 2007 auch SNMP (Simple Network Management Protocol)-aktivierte Netzwerkgeräte überwacht, können Sie anschließend den Assistenten erneut im erweiterten Modus ausführen, um Netzwerkgeräte zu ermitteln.
Abbildung 6 Starten des Computer- und Geräteverwaltungs-Assistenten
Abbildung 6 Starten des Computer- und Geräteverwaltungs-Assistenten (Klicken Sie zum Vergrößern auf das Bild)
Wenn Ihr Netzwerk mehr als ungefähr 300 Computer enthält, sollten Sie wahrscheinlich die erweiterte Ermittlung auswählen und ausführliche Kriterien bereitstellen, um Ihre Computer zu ermitteln. Stellen Sie beim Angeben eines Administratorkontos sicher, dass das Konto über Administratorrechte für die Computer verfügt, die Sie ermitteln und auf denen Sie Agents installieren wollen. Wenn die Ermittlung abgeschlossen ist, wählen Sie die Computer aus, die Sie verwalten möchten, und klicken Sie auf „Fertig stellen“.
Wenn Sie WSUS bereits verwendet haben, werden Sie mit einigen Einstellungen im Updateverwaltungskonfigurations-Assistenten vertraut sein. Falls beim Herstellen einer Verbindung zwischen dem Server und dem Internet ein Proxyserver erforderlich ist, geben Sie die Proxyservereinstellungen an. Wählen Sie die Produkte aus, für die Sie Updates herunterladen und bereitstellen wollen, und wählen Sie anschließend die Sprachen aus, die Sie für die Updates benötigen (die Sprache des Servers ist die Standardeinstellung). Wählen Sie die Kategorien der Updates aus, die Sie herunterladen und bereitstellen wollen (Wichtige Updates, Sicherheitsupdates und Service Packs stellen die Standardeinstellung dar). Wählen Sie ggf. aus, welche Updatekategorien Sie automatisch genehmigen wollen und für welche Gruppen. (Die Gruppe der wichtigen Updates und Sicherheitsupdates für alle Computer stellt die Standardeinstellung dar.) Legen Sie abschließend den Zeitplan für das Synchronisieren von Updates fest („Täglich“ ist die Standardeinstellung).
Wenn Sie sich beim Konfigurieren von Essentials 2007 mit den Anmeldeinformationen für Domänenadministrator oder Gruppenrichtlinienadministrator anmelden können, sollten Sie die Domänengruppenrichtlinie auswählen, um verwaltete Computer zu konfigurieren. Dies erleichtert die Konfiguration. Wenn Sie die Domänengruppenrichtlinie auswählen, können Sie die Konfiguration der Einstellungen für Windows-Firewall und Remoteunterstützung auf allen verwalteten Computern automatisieren. Diese Option veranlasst Essentials 2007, die Richtlinienkonfigurationen für Sie zu erstellen. Wenn Sie die lokale Richtlinie auswählen, müssen Sie relativ viel manuell konfigurieren.

Problembehandlung bei Essentials
Es müssen einige Punkte beachtet werden, wenn Sie Probleme mit der Computerermittlung, Agentbereitstellung und Kommunikation behandeln. Hier folgt zunächst einmal ein kurzer Überblick über die Funktionsweise der Computerermittlung. Essentials 2007 erstellt mit Ihren Sucheingabeparametern eine LDAP (Lightweight Directory Access Protocol)-Abfrage. (LDAP ist die Abfragesprache, die für die Suche von Objekten in Active Directory verwendet wird.) Die LDAP-Abfrage wird daraufhin an den lokalen Domänencontroller übergeben und eine Suchaufgabe eingereicht. Active Directory gibt die Ergebnisse zum Verwaltungsserver zurück. Der Verwaltungsserver versucht dann, eine Verbindung zu jedem in der Liste zurückgegebenen Computer herzustellen, um sicherzustellen, dass die Kommunikation mit diesen ermittelten Computern funktioniert, sodass die Verwaltungsagents installiert werden können. Nach Überprüfung eines Computers wird dieser für Verwaltungszwecke zur Liste ermittelter Computer hinzugefügt.
Denken Sie jedoch daran, dass der Essentials 2007-Server Computer möglicherweise nicht ermitteln kann, wenn Probleme mit Active Directory, dem Netzwerk und DNS oder mit der Überprüfung vorliegen.
Öffnen Sie die Verwaltungskonsole für Active Directory-Benutzer und -Computer, um zu sehen, ob der Computer aufgelistet ist. Dieses Tool ist standardmäßig auf Windows Server 2003 installiert und kann auf Windows XP Professional vom Windows Server 2003 Administration Pack installiert werden. Wählen Sie den Ordner „Gespeicherte Abfragen“ aus, klicken Sie mit der rechten Maustaste darauf, zeigen Sie auf „Neu“, und klicken Sie dann auf „Abfrage“. Geben Sie einen Namen für die Abfrage ein, und klicken Sie dann auf die Schaltfläche „Abfrage definieren“. Klicken Sie auf die Dropdownliste „Suchen“, und wählen Sie „Computer“ aus. Geben Sie den Namen oder das Suchpräfix ein, und klicken Sie einige Male auf „OK“, um die Abfrage zu generieren.
Überprüfen Sie, ob der Computer jetzt in der Liste der Ergebnisse angezeigt wird. Falls dies nicht der Fall ist, fügen Sie den Computer zu Active Directory hinzu. Stellen Sie sicher, dass die DNSHostname-Eigenschaft für den Computer korrekt festgelegt ist. Diese Eigenschaft finden Sie auf der Registerkarte „Allgemein“ des Computereigenschaften-Dialogfelds in der Verwaltungskonsole für Active Directory-Benutzer und -Computer.
Wenn Sie einen Computer über das Netzwerk kontaktieren müssen, verwenden Sie den Pingbefehl, um damit den Computer zu erreichen, der den gleichen Namen verwendet, der dem Ermittlungsassistenten bereitgestellt wurde. Wenn der Computer auf einen Pingbefehl antwortet, führen Sie Ping mit dem Schalter „-a“ und der IP-Adresse aus:
ping -a <IP address>
Der folgende Befehl zeigt das DNS des Computers an. Es sollte mit der Angabe im ursprünglichen Pingbefehl übereinstimmen. Verwenden Sie diesen Befehl, um den registrierten NetBIOS-Namen und die Domäne für den Computer anzuzeigen:
nbtstat -a <computer name>
Dadurch wird die gleiche Aufgabe mit der IP-Adresse des Computers ausgeführt.
nbtstat -A <IP address>
Beim Befehlsschalter „-a“ wird zwischen Groß- und Kleinschreibung unterschieden. Beachten Sie, dass in der IP-Adresse „-A“ verwendet wird. Wenn der Computer auf die Pinganforderung nicht antwortet oder beim Installieren eines Remoteagents mit der Nachricht „RPC Service Unavailable“ (RPC-Dienst nicht verfügbar) fehlschlägt, ist Windows-Firewall aktiviert. Falls eine Firewall in der Essentials 2007-Bereitstellungsumgebung aktiviert ist, müssen Ausnahmen erstellt werden, sodass der Essentials 2007-Verwaltungsserver Agents auf verwalteten Computern erfolgreich installieren kann und somit verwaltete Computer mit dem Verwaltungsserver kommunizieren können. (Beim Verwenden eines verwalteten Computers ist es nicht erforderlich, Firewallausnahmen manuell zu erstellen, wenn die Domänengruppenrichtlinie anstatt der lokalen Gruppenrichtlinie verwendet wird.)
Wenn die Agentinstallation fehlschlägt, navigieren Sie zum Verwaltungsbereich – dem goldenen Zahnrad in der linken unteren Ecke der Essentials 2007-Verwaltungskonsole neben der Navigationsschaltfläche für „Reporting“ (Berichterstellung) –, und klicken Sie auf „Pending Management“ (Ausstehende Verwaltung). Diese Ansicht stellt die Schritte für die Problembehandlung bereit und bietet Ihnen zudem die Möglichkeit, die Pushinstallation des Agents auf den Computern erneut durchzuführen, auf denen die Installation beim ersten Versuch fehlgeschlagen ist.
Planen Sie für die Anwendung der Firewallrichtlinie auf allen zu verwaltenden Computern auf jeden Fall mehrere Stunden ein. Wenn Sie versuchen, den Featurekonfigurations-Assistenten auszuführen, wählen Sie die Domänengruppenrichtlinie und den Computer- und Geräteverwaltungs-Assistenten in schneller Abfolge aus. Es kann sein, dass die Firewallrichtlinie noch nicht auf die Computer angewendet wurde, die Sie ermitteln und die Ermittlung daher fehlschlägt, falls die Firewall weiterhin aktiviert ist.
Wenn Sie feststellen möchten, ob ein Agent mithilfe von Push erfolgreich auf einen Computer übertragen werden kann, setzen Sie beispielsweise vom Verwaltungsserver Telnet für diesen Computer ein. Wenn Sie den Computer vom Verwaltungsserver aus mit Telnet über Port 135 erreichen, liegen keine Probleme vor. Falls nicht, blockiert die Firewall auf diesem Computer möglicherweise den TCP-Port 135. Um Telnet auszuführen, starten Sie ein Befehlsfenster, und geben Sie Folgendes ein:
telnet <computer_name> 135
Dadurch werden Sie mit dem Computernamen verbunden, den Sie mit Telnet über Port 135 angeben. Port 135 ist wichtig, weil dieser Port für die Installation des Agents von einem Remotestandort aus verwendet wird.
Wenn dies nicht funktioniert, stellen Sie sicher, dass die korrekten Windows-Firewallausnahmen erstellt wurden, um die Agentbereitstellung und die Kommunikation mit dem Verwaltungsserver zu ermöglichen. Wenn dies nicht der Fall ist, müssen Sie die in Abbildung 7 gezeigten Portausnahmen erstellen. Für alle diese Ausnahmen beschränken Sie den Bereich der IP-Adresse des Essentials 2007-Verwaltungsservers auf die benutzerdefinierte Listenoption.
Figure 7 Portausnahmen

Protokoll | Name | Port
TCP | Port 6270 | 6270
TCP | Port 135 | 135
TCP | Port 445 | 445
Wenn Sie für Ihre Computer die Firewallsoftware eines Drittanbieterherstellers verwenden, informieren Sie sich in der Dokumentation für das entsprechende Produkt, wie Ausnahmen erstellt werden. Die in Abbildung 7 aufgelisteten Portausnahmen bleiben jedoch weiterhin gültig.
Wenn der NetBIOS-Name und der vollqualifizierte Domänenname (Fully Qualified Domain Name, FQDN) nicht übereinstimmen, müssen die DNS-Einträge für den Computer korrigiert werden. Wenn der Agent zwar korrekt installiert wird, den Verwaltungsserver jedoch nicht kontaktieren kann, stellen Sie über Terminaldienste oder Remotedesktop eine Verbindung zum Agentcomputer her, und verwenden Sie die Ping- und nbtstat-Befehle, um zu gewährleisten, dass der Agent die NetBIOS- und FQDN-Namen des Verwaltungsservers auflösen kann.
Wenn die IP-Adresse des Essentials 2007-Verwaltungsservers dynamisch zugewiesen wurde, müssen Sie die Firewallrichtlinien auf den verwalteten Computern aktualisieren, wenn sich die IP-Adresse ändert. Zum Aktualisieren der Firewallausnahmen für eine neue Verwaltungsserver-IP-Adresse aktivieren Sie die folgenden zwei Richtlinieneinstellungen im Gruppenrichtlinienobjekt-Editor, und konfigurieren Sie sie folgendermaßen. Für „Windows-Firewall: Remoteverwaltungsausnahme zulassen“ legen Sie für „Unerbetene eingehende Nachrichten zulassen von:“ die neue IP-Adresse des Verwaltungsservers fest. Für „Windows-Firewall: Ausnahme für Datei- und Druckerfreigabe zulassen“ legen Sie für „Unerbetene eingehende Nachrichten zulassen von:“ die neue IP-Adresse des Verwaltungsservers fest.

Zusammenfassung
Die in diesem Artikel enthaltenen Informationen sind Ihnen hoffentlich bei der Einführung in System Center Essentials 2007 behilflich. Weitere Informationen zu diesem neuen System Center-Produkt erhalten Sie unter microsoft.com/sce.
Sorgfältige Planung ist bei jeder Bereitstellung unerlässlich. In diesem Fall stellen Sie eine völlig neue Lösung zur Verwaltung Ihrer IT-Umgebung bereit. Daher sollten Sie sich die Zeit nehmen, eingehend über Ihre aktuelle Netzwerkkonfiguration und die Arbeitsweise Ihrer Benutzer nachzudenken und festzulegen, auf welche Weise Sie Ihre IT-Ressourcen verwalten möchten. Wenn Sie diese Überlegungen ganz zu Anfang anstellen, erleichtern Sie sich den Weg zu einer erfolgreichen, auf Ihre Anforderungen abgestimmten Konfiguration von Essentials 2007.

David Mills ist seit 7 Jahren für Microsoft tätig und derzeit leitender technischer Produktmanager für System Center Essentials 2007. Bevor er sich dem System Center-Marketingteam anschloss, war er Leiter der User Assistance-Teams in der Windows Server-Abteilung, die für die technische IT-Dokumentation für zentrale Netzwerk- und Verwaltungstechnologien verantwortlich sind.


System Center
Überwachen von Servern mit Operations Manager 2007
Pete Zerger
Kurz zusammengefasst:
  • Neue Features in Operations Manager 2007
  • Verwenden der Betriebskonsole
  • Die Rolle von Rollen
  • Leistungsfähige neue Berichterstattung

System Center Operations Manager 2007 ist in der Microsoft-Unternehmensverwaltungsplattform eine wichtige Weiterentwicklung. Operations Manager 2007 stellt einen Paradigmenwechsel in der Strategie dar, bei der eine Verschiebung von der computerorientierten Überwachung hin zu einer echten dienstorientierten
Überwachungsplattform stattgefunden hat. Obwohl das neue Modell seinem Vorgänger als agentbasierte Überwachungslösung noch ein wenig ähnelt und Konzepte beibehalten werden, die jedem Microsoft® Operations Manager 2005-Administrator (MOM) vertraut sind, hat sich viel verändert. Es gibt interessante neue Features, neue Verwaltungsoberflächen und viele zusätzliche Ressourcen, um mehr über diese aktuelle Ergänzung der Microsoft System Center-Familie zu erfahren.

Verwaltungsoberflächen
Nirgendwo sind Änderungen offensichtlicher als bei den neuen Verwaltungsoberflächen. Die getrennten Betriebs- und Verwaltungskonsolen gibt es nicht mehr. An ihre Stelle ist eine konsolidierte Betriebskonsole getreten, die Funktionen für Verwaltung, Erstellung, Betrieb und Berichterstattung bereitstellt (siehe Abbildung 1). Auch die oft verwirrende Ordnerstruktur der MOM 2005-Verwaltungskonsole gehört der Vergangenheit an. An ihre Stelle ist eine Oberfläche getreten, die Outlook® sehr ähnelt und fünf funktionsspezifische Arbeitsbereiche bereitstellt: Überwachung, Erstellung, Berichterstattung, Verwaltung und „My Workspace“ (Mein Arbeitsbereich).
Abbildung 1 Betriebskonsole
Abbildung 1 Betriebskonsole (Klicken Sie zum Vergrößern auf das Bild)
Der Überwachungsarbeitsbereich bietet Warnungs-, Status-, Leistungs- und Diagrammansichten der Netzwerkinfrastruktur auf einer klaren Oberfläche, ähnlich wie bei der Operatorkonsole in MOM 2005.
Im Erstellungsarbeitsbereich werden neue Regeln konfiguriert und Gruppen erstellt, in denen Regeln und Überwachungsfunktionen eingesetzt werden. In die Betriebskonsole ist eine stark verbesserte Berichtsoberfläche integriert, sodass keine separate Berichtswebsite besucht werden muss. Eine Oberfläche zum Ausführen von Verwaltungsaufgaben wie die Computer- und Netzwerkgerätesuche und die Konfiguration von Sicherheits- und Benachrichtigungseinstellungen ist ebenfalls vorhanden. Schließlich ermöglicht „My Workspace“ Benutzern das Erstellen benutzerdefinierter Ansichten, das Speichern häufig verwendeter Ansichten und Suchvorgänge und die Konfiguration benutzerdefinierter Abonnements für Warnbenachrichtigungen.
Die Betriebskonsole enthält umfassende kontextbezogene Hilfe einschließlich Links zu Produktdokumentation, Onlinewebcasts und konzeptionellen Anleitungen. Die Betriebskonsole enthält außerdem umfassende Suchfunktionen, die Benutzern das Definieren erweiterter Suchkriterien für jeden Objekttyp ermöglichen und die Ergebnisse auf Grundlage von Objekttyp und Wertmerkmalen zurückgeben, die in der Suche definiert wurden.
Der Aktionsbereich auf der Betriebskonsole bietet eine Vielzahl kontextbezogener Aufgaben, die Informationen zu Objektkonfiguration und -status bereitstellen, und ermöglicht den Start des neuen Health Explorer für das Zielobjekt (siehe Abbildung 2). Der Health Explorer enthält eine hierarchische Baumstruktur, die den Status der überwachten Objekte für eine bestimmte Entität (überwachtes Objekt) darstellt. Bei jeder Entität werden mindestens vier Parameter überwacht: Verfügbarkeit, Konfiguration, Leistung und Sicherheit. Die Werte werden überlappend nach oben angezeigt. Der Status dieser Parameter wird auf Basis des Status der Überwachungsfunktionen berechnet, die sich in der Hierarchie darunter befinden.
Abbildung 2 Health Explorer
Abbildung 2 Health Explorer (Klicken Sie zum Vergrößern auf das Bild)
Health Explorer diagnostiziert Fehler bei überwachten Objekten und bietet Ihnen die Möglichkeit, Fehlerbedingungen durch Klicken auf Hyperlinks innerhalb des Ereignisdetails zu behandeln. Sie führen außerdem Diagnose- oder Wiederherstellungsaufgaben aus, die nach Bedarf im Detailbereich des Health Explorer (wie in Abbildung 3) angezeigt werden, oder konfigurieren die Aufgabe so, dass sie automatisch bei Generieren einer Warnung ausgeführt wird. Die Ausgabe von Diagnoseaufgaben (beispielsweise das Abrufen einer Liste aktuell ausgeführter Prozesse) wird automatisch im Detailbereich angezeigt, wenn das Statusänderungsereignis hervorgehoben wird.
Abbildung 3 Diagnose und Wiederherstellungen
Abbildung 3 Diagnose und Wiederherstellungen (Klicken Sie zum Vergrößern auf das Bild)

Webkonsole
Die webbasierten Verwaltungsfunktionen von Operations Manager wurden in dieser Veröffentlichung stark erweitert. Die Webkonsole stellt die Funktionalität der Überwachungs- und „My Workspace“-Bereiche der Betriebskonsole über Internet Explorer® bereit und bietet dieselben Ansichten in der Betriebskonsole einschließlich eines voll funktionsfähigen Aktionsbereichs zum Ausführen kontextbasierter Aufgaben und der Möglichkeit, überwachte Objekte in den Wartungsmodus zu stellen (siehe Abbildung 4).
Abbildung 4 Webkonsole
Abbildung 4 Webkonsole (Klicken Sie zum Vergrößern auf das Bild)
Eine mobile Webkonsole, die den Zugriff von jedem webfähigen, mobilen Gerät aus ermöglicht, ist ebenfalls vorhanden. Die Webkonsole stellt einen RSS-Feed bereit, der Warnungen an den Outlook 2007-Posteingang oder den RSS-Aggregator Ihrer Wahl sendet.

Befehlsshell
Die Operations Manager-Befehlsshell ist eine leistungsfähige Schnittstelle, die vollständige administrative Kontrolle von der Befehlszeile aus ermöglicht. Viele komplizierte Aufgaben können mit einer einzelnen Codezeile (auch als Einzeiler bezeichnet) initiiert werden. Die Befehlsshell ist eine besonders konfigurierte Instanz von Windows PowerShell™, der objektorientierten Befehlszeilenumgebung, die auf Microsoft .NET Framework basiert. Sie bietet Zugriff auf eine Vielzahl von Funktionen, die als Cmdlets bezeichnet werden. Diese können neben viele anderen Dingen jede beliebige Aufgabe auf der Benutzeroberfläche der Betriebskonsole ausführen. Diese Cmdlets ermöglichen die schnelle und einfache Ausführung einer Aufgabe bei mehreren Zielobjekten (beispielsweise das Stellen einer großen Anzahl von Agents in den Wartungsmodus), was über die Betriebskonsole zeitaufwändiger wäre. Um beispielsweise eine Liste aller offenen, wichtigen Warnungen auf eine Webseite zu exportieren, führen Sie folgenden Befehl im Befehlsshellfenster des Operations Manager aus:
get-alert | where {$_.Severity -gt "Warning" -and $_.ResolutionState -eq 0 } | format-table
monitoringobjectdisplayname,name,severity,
description
Die Befehlsshell ist aufgrund der Objektorientierung von Windows PowerShell so leistungsfähig. Sie verfügen über die Leistungsstärke der Operations Manager .NET-Klassenbibliotheken, ohne C# oder Visual Basic® .NET kennen zu müssen.

Computer- und Gerätesuche
Die Computersuche und Agentbereitstellung wurden in Operations Manager ebenfalls weiterentwickelt. Sie können Agents mithilfe des Assistenten für die Computer- und Geräteverwaltung von der Betriebskonsole aus suchen, sodass Administratoren Active Directory® durchsuchen oder manuell einen Zielcomputer oder eine Liste von Computern eingeben können (siehe Abbildung 5). Ausführliche LDAP-Abfragen (Lightweight Directory Access-Protokoll) ermöglichen eine feiner abgestimmte Zielgruppenadressierung bestimmter Computer für die Agentbereitstellung.
Abbildung 5 Erweiterte Suche über Active Directory-Abfragen
Abbildung 5 Erweiterte Suche über Active Directory-Abfragen (Klicken Sie zum Vergrößern auf das Bild)
Mithilfe des Assistenten können Sie nach SNMP-aktivierten Geräten (Simple Network Management-Protokoll) suchen, die dann über Management Pack-Regeln überwacht werden können.
Die Integration in Active Directory ist eine weitere bedeutende Verbesserung. Mit ihrer Hilfe können Administratoren Verwaltungsgruppeninformationen in Active Directory (über ein einfaches Dienstprogramm) registrieren, sodass Operations Manager-Agents den entsprechenden Verwaltungsserver durch Abfragen von Active Directory beim Start lokalisieren können. Die neue Integration ermöglicht Administratoren auch das Automatisieren und Vereinfachen der Bereitstellung von Agents durch Hinzufügen eines Operations Manager-Agents in ein Computerabbild sowie das Bereitstellen von Agents über populäre Systemverwaltungsplattformen (z. B. Systems Management Server 2003 oder System Center Configuration Manager) oder durch die Gruppenrichtlinie.

Sicherheit
Operations Manager 2007 kann zum Überwachen vieler Anwendungsarten verwendet werden, die möglicherweise zum Teil auf bestimmtes Supportpersonal eingeschränkt werden müssen. Glücklicherweise verfügt das neue rollenbasierte Sicherheitsmodell über fünf standardmäßige Benutzerprofile, die den Zugriff auf Grundlage häufiger Aufgabenbereiche gruppieren, vom nur mit Leserechten ausgestatteten Operator bis hin zum Administrator. Alle Standardbenutzerrollen basieren auf einem dieser Standardprofile. Benutzerrollen definieren, welche Vorgänge von einem Benutzer durchgeführt werden können und wie umfangreich diese Rechte sind. Sie können auch benutzerdefinierte Rollen durch Auswählen eines dieser Standardprofile erstellen und dann den Umfang der Rolle festlegen, um die Sichtbarkeit von Überwachungsdaten auf die gewünschte Teilmenge der überwachten Objekte, Aufgaben und Ansichten einzuschränken. Sowohl standardmäßige als auch benutzerdefinierte Benutzerrollen, die auf diesen Benutzerprofilen basieren, können Active Directory-Sicherheitsgruppen zugewiesen werden, sodass die Aufgaben der Benutzerbereitstellung wieder bei den Mitarbeitern der Sicherheitsverwaltung liegt.
„Run As Execution“ (ebenfalls neu in Operations Manager 2007) bietet eine sichere Infrastruktur für das Verwalten der Anmeldeinformationen, die zum Durchführen bestimmter Aktionen erforderlich sind. Für einige Überwachungsaufgaben könnten beispielsweise umfangreiche Anmeldeinformationen oder sogar Nicht-Windows-Anmeldeinformationen erforderlich sein.
„Run As Accounts“ muss mit einem „Run As Profile“ verknüpft werden, das wiederum mit einer Regel oder Aufgabe verknüpft werden muss, für die besondere Rechte erforderlich sind. Mithilfe von „Run As Profile“ können Management Pack-Autoren die Kontoanforderung während des Erstellungsprozesses abstrahieren, sodass der Administrator ein entsprechendes „Run As“-Konto zuordnen kann, nachdem das Management Pack in Operations Manager installiert wurde.
Operations Manager 2007 bietet größere Sicherheit als sein Vorgänger bei der Kommunikation zwischen Agents und Verwaltungsservern, da gegenseitige Authentifizierung erforderlich ist. In vertrauenswürdigen Umgebungen lässt sich die gegenseitige Authentifizierung durch Kerberos erzielen. Für nicht vertrauenswürdige und Umkreisnetzwerkumgebungen kann die Situation komplizierter sein. Gegenseitige Authentifizierung erfordert die zertifikatbasierte Erstellung mittels x.509-Zertifikaten. Deshalb müssen Organisationen ihre Optionen für die Public Key-Infrastruktur (PKI) überdenken, wenn dies nicht gegeben ist.

Serverrollen
Die Verwaltungsserver-, Betriebsdatenbank- und Berichterstattungsserverrollen in MOM 2005 sind in Operations Manager ebenfalls enthalten, doch zusätzlich wurden neue Verwaltungsserverrollen eingeführt. Die Stammverwaltungsserverrolle isoliert wichtige Funktionen wie Benutzerautorisierung, Benachrichtigung und Verwaltung der Konsolenverbindungen mit einer dedizierten Rolle in der Infrastruktur. Für höchstmögliche Leistung sollte der Stammverwaltungsserver für diese Rolle verwendet werden, und es sollten keine Agents zur Berichterstellung an diesen Server konfiguriert werden.
Die neue Gatewayserverrolle sorgt für eine effizientere Verwendung von Verwaltungscomputern in nicht vertrauenswürdigen Domänen und Umkreisnetzwerken durch Bereitstellen einer einzelnen Kommunikation zurück zum Verwaltungsserver. In vielen Fällen können Agents in der Zieldomäne gegenüber dem Gatewayserver über das Kerberos-Protokoll authentifiziert werden, was den Bedarf an zertifikatbasierter Authentifizierung minimiert sowie den Verwaltungsaufwand und die Gesamtbetriebskosten verringert.

Berichterstattung
Als Benutzer werden Sie feststellen, dass Operations Manager 2007 mit einem integrierten Berichterstellungsbereich in der Betriebskonsole bemerkenswerte Verbesserungen bei der Berichterstellung bietet. Entsprechend ist die Sicherheit für die Berichterstellung in die gesamte Operations Manager-Sicherheit integriert.
Es gibt eine Reihe größerer architektonischer Änderungen, beispielsweise wann und wie Daten an die Berichtsdatenbank übermittelt werden. Die DTS-Aufgabe (Data Transformation Services), bei der die Berichtsdaten des Vortags über Nacht aus der Betriebsdatenbank übertragen wurden, gibt es nicht mehr. Stattdessen werden Daten direkt in die Berichtsdatenbank eingefügt, wenn sie an die Betriebsdatenbank übermittelt werden, sodass praktisch keine Wartezeit anfällt.
Operations Manager-Berichte enthalten neue, intelligente Parameterheader, die Flexibilität beim Definieren und Erstellen von Berichten zu bestimmten und relativen Datums- und Zeitbereichen bieten, wobei auch die Berichtsausgabe auf bestimmte, vom Benutzer definierte Geschäftszeiten eingeschränkt werden kann. Die Objektauswahl im intelligenten Parameterheader stellt eine Suche bereit, sodass die Aufgabe der Zielgruppenadressierung bei Objekten für Berichte vereinfacht wird. In Planungsberichten beseitigt die flexible Datumsauswahl die Anforderung zum Ändern von Berichtsdefinitionsdateien, um einen bestimmten, relativen Datumsbereich in Berichtsserien zu erzielen (siehe Abbildung 6).
Abbildung 6 Konfigurieren von Geschäftszeiten
Abbildung 6 Konfigurieren von Geschäftszeiten (Klicken Sie zum Vergrößern auf das Bild)
Mit einer weiteren Verbesserung bei der Berichterstattung wird gewährleistet, dass Berichte selbst bei Ausführung in ausgedehnten Datumsbereichen schnell wiedergegeben werden. Zu diesem Zweck werden Operations Manager-Berichtsdaten automatisch vorindiziert und in stündlichen und täglichen zusammenfassenden Datenpunkten aggregiert, die in Operations Manager-Berichten verwendet werden. Neben der bereits erfolgten Kompilierung der Daten wird die Data Warehouse-Skalierbarkeit verbessert, da die Rohdatenpunkte in der Datenbank viel aggressiver komprimiert werden können, ohne dass sich dies auf die Berichtsfunktion für Verlaufsdaten auswirkt.
Die bei weitem eindrucksvollsten Verbesserungen betreffen den Inhalt und die Features der wiedergegebenen Berichte an sich, die Leistungs- und Verfügbarkeitsverlaufsdaten in einem Format darstellen, das für Netzwerktechniker und IT-Manager relevant ist.
Abbildung 7 zeigt einen Standardleistungsbericht, der aus einem Diagramm mit einer Tabelle besteht. Durch Klicken auf die Zeilen im Diagramm und auf die Beschreibungen in der Tabelle kann ein Detailbericht angezeigt werden, wie in Abbildung 8 dargestellt.
Abbildung 7 Standardleistungsbericht
Abbildung 7 Standardleistungsbericht (Klicken Sie zum Vergrößern auf das Bild)
Abbildung 8 Leistungsdetailbericht (Drilldown)
Abbildung 8 Leistungsdetailbericht (Drilldown) (Klicken Sie zum Vergrößern auf das Bild)
Verfügbarkeitsberichte in Operations Manager basieren auf dem Objektstatus. Jedes Objekt, das einen Status haben kann, kann in einem Verfügbarkeitsbericht angezeigt werden. Mit nur einem Klick können Sie vom Detailbericht zu einem Verfügbarkeitsbericht übergehen (siehe Abbildung 9).
Abbildung 9 Verfügbarkeitsbericht
Abbildung 9 Verfügbarkeitsbericht (Klicken Sie zum Vergrößern auf das Bild)
Für Management Packs ohne Berichte gibt es allgemeine Berichte für die Berichtererstellung zu Verfügbarkeit und Leistung fast jedes verwalteten Objekts, sodass der Bedarf für das Erstellen benutzerdefinierter Berichte verringert wird.
Administratoren werden erfreut darüber sein, dass Operations Manager 2007 mehrere Verwaltungsgruppen unterstützt, die an ein einzelnes Berichts-Data Warehouse Bericht erstatten. Die Berichtssicherheit ist in die rollenbasierte Sicherheit des Produkts integriert, sodass Administratoren den Berichtszugriff durch Active Directory-Sicherheitsgruppen steuern können.

Benachrichtigung
Das Benachrichtigungsmodul wurde in Operations Manager 2007 völlig umgestaltet und enthält nun neue Features, die auf der Wunschliste von Administratoren standen. Dazu zählen zusätzliche Benachrichtigungsoptionen (die als Benachrichtigungskanäle bezeichnet werden) wie Instant Messaging und SMS (dies erfordert die Installation eines SMS-Drittanbieters auf dem Verwaltungsserver). Benachrichtigungsabonnements umfassen jetzt eine Bereichsoption, sodass Administratoren die Sichtbarkeit von Objekttypen und -gruppen einschränken können, die Operatorrollen zur Verfügung stehen, und Benachrichtigungsabonnements genauer planen können.
Die Warnungsalterung (Eskalation) ermöglicht das Senden einer Benachrichtigung, wenn eine Warnung, die die im Abonnement definierten Kriterien erfüllt, für einen vom Benutzer definierten Zeitraum in einem bestimmten Auflösungsstatus verbleibt.
Nachrichtenformate können jetzt pro Abonnement angepasst werden, sodass die Benutzerdefinierung des Nachrichtenformats bis hin zur Einzelbenutzerebene möglich ist. Außerdem können Benutzer mithilfe der benutzerverantwortlichen Benachrichtigung im Bereich „My Workspace“ der Betriebskonsole ihr Benachrichtigungsgerät und die Abonnementeinstellungen definieren. Dies sind nur einige der äußerst praktischen Benachrichtigungsfeatures.

Management Packs
Management Packs bilden nach wie vor das Basisframework der Dienst- und Anwendungsüberwachung in Operations Manager 2007 und stellen Anwendungskenntnisse direkt von den Microsoft-Produktteams bereit. Die Serverüberwachung wurde jedoch durch eine dienstorientierte Überwachung ersetzt, wobei der Status des bereitgestellten Diensts im Mittelpunkt steht.
In diesem Artikel steht nicht genug Platz für eine umfassende Erläuterung zur Verfügung, doch Sie sollten beachten, dass das einfache Objekttypmodell von MOM 2005 (Computer und Computergruppen) als erweiterbares Modell mit Dutzenden überwachter Objekttypen überarbeitet wurde, auf die eine Ausrichtung erfolgen kann. Das Endergebnis ist eine umfassende Entwicklungsumgebung für ISV-Drittanbieter zum Bereitstellen herausragender Branchen-, Netzwerk- und plattformübergreifender Angebote.
Einfache Überwachungsregeln, die den in MOM 2005 verfügbaren ähneln, dienen für verschiedene, allgemeine Überwachungsaufgaben wie Text- und Ereignisprotokollüberwachung, WMI-Ereignisabfragen, nach Zeitplan ausgeführte Skripts und ein erheblich verbesserter SNMP-Trap-Anbieter, sodass das Kompilieren von SNMP-Management Information Bases entfällt.
In Operations Manager erkennen Überwachungsfunktionen jedoch Änderungen des Status verwalteter Objekte. Überwachungsfunktionen umfassen viele Funktionen, die bei MOM 2005-Anbietern nicht vorhanden waren, z. B. TCP-Portüberprüfungen, künstliche Transaktionen für Datenbank- und Websitekonnektivität, ASP.NET-Anwendungs- und Webdienstüberwachung und die dienstorientierte Überwachung für verteilte Branchenanwendungen, die vielleicht am wichtigsten ist. Darauf wird gleich noch im Detail eingegangen.

Automatische Optimierung von Schwellenwerten
Manchmal ist das Verhalten eines bestimmten Indikators nicht bekannt. Für solche Situationen stellt Operations Manager Schwellenwert-Überwachungsfunktionen bereit, die eine automatische Optimierung durchführen. Bei einer Schwellenwert-Überwachungsfunktion mit automatischer Optimierung wird ein Lernprozess verwendet, der über einen definierten Geschäftszyklus hinweg erfolgt (normalerweise eine Woche, aber vielleicht auch nur ein Tag), um die normalen Werte für ein angegebenes Leistungsindikatorobjekt festzulegen und dann Schwellenwerte auf Grundlage von Betriebswerten zu definieren, die während der Lernperiode aufgezeichnet wurden. Diese Schwellenwerte stellen die erwartete Aktivität einschließlich starker Einbrüche oder Spitzen bei der Ressourcennutzung dar, zu denen es während der nächtlichen Anwendungs- und Systemwartung kommen kann.

Künstliche Transaktionen
Um ein dynamischeres Abbild des Anwendungszustands zu erhalten, bietet Operations Manager künstliche Transaktionen an: Aktionen, die in Echtzeit bei überwachten Objekten ausgeführt werden. Künstliche Transaktionen können für Sequenzen bei Websitebesuchen, Datenbankkonnektivität und TCP-Portüberwachung erstellt werden. Sie können die Serverknoten angeben, von denen aus die Transaktionen ausgeführt werden (diese werden als Beobachtungsknoten bezeichnet), sowie das gewünschte Überwachungsintervall. Bei Auswahl mehrerer Beobachtungsknoten können die Ergebnisse verglichen werden, um festzustellen, ob die Erfahrungen bei allen Knoten gleich sind.
Der Webanwendungseditor, der zum Aufzeichnen von Webbrowsersequenzen verwendet wird, ermöglicht es Administratoren auch, Schwellenwerte für die Reaktionszeit auf Warnungs- und Fehlerebene zu definieren, sowie die Leistungsindikatorsammlung für einzelne Vorgänge bei der Ladezeit und Linkwiederherstellung festzulegen. Sichere (SSL) Browsersequenzen, für die verschiedene Authentifizierungsmethoden (wie Basic oder NTLM) erforderlich sind, werden unterstützt.
Überschreibungen (ein vertrautes MOM 2005-Konzept) dienen zum Anpassen der Konfiguration von Operations Manager-Einstellungen für Überwachungsfunktionen, Attribute und Regeln für ein Objekt oder eine Gruppe verwalteter Objekte (siehe Abbildung 10). Die Verwendung von Überschreibungen ist wesentlich für die Kontrolle der von Operations Manager gesammelten Datenmenge. Sie können Gruppen und Überschreibungen zusammen verwenden, um die Auswahl der Überwachungsfunktion, der Regel, des Attributs oder der Objektsuche auf eine Zielgruppe von Objekten nicht nur in Ihren eigenen Management Packs einzugrenzen, sondern auch in den Management Packs von Microsoft und ISV-Drittanbietern.
Abbildung 10 Überschreiben von Parametern für eine Dienstüberwachungsfunktion
Abbildung 10 Überschreiben von Parametern für eine Dienstüberwachungsfunktion (Klicken Sie zum Vergrößern auf das Bild)

Überwachen von Branchenanwendungen
Mithilfe des neuen Distributed Application Designer können Sie ein Abbild wichtiger Anwendungen auf Dienstebene erstellen. Anschließend erhalten Sie einen zusammenfassenden Zustandsindikator der verteilten Anwendungskomponenten. Dieser umfasst entdeckte Objekttypen, z. B. einen Webdienst, eine SQL Server™-Datenbank und sogar Nicht-Windows-Geräte wie Netzwerkrouter und Schalter. Objektbeziehungen und der aktuelle Zustand können dann in einem Diagramm angezeigt werden.
Um dieses leistungsfähige Feature zugänglicher zu machen, bietet Microsoft mehrere verteilte Anwendungsvorlagen an, um Administratoren einen Ausgangspunkt zum Definieren ihrer eigenen Branchenanwendungen zu geben. Vorlagen für viele allgemeine Szenarios sind verfügbar, einschließlich ASP.NET-Anwendung und ASP.NET-Webdienst, Line-Of-Business-Webanwendung, Messaging, SharePoint®-Portalfarm und Terminaldienstfarm.
Neue Vorlagen können zu den Verwaltungsgruppen über Management Packs von Microsoft oder Drittanbietern hinzugefügt werden, die dann im Add Monitoring Wizard angezeigt werden. Überwachungsfunktionen für verteilte Anwendungen für Active Directory, Exchange und Operations Manager werden zuvor bereitgestellt und können nicht bearbeitet werden.

Verfügbarkeit von Management Packs
Mit Management Packs, die speziell für Operations Manager 2007 geschrieben wurden (und als optimierte Management Packs bezeichnet werden), können die neuen Features in Operations Manager 2007 genutzt werden. Ihre Verfügbarkeit ist für neue Softwareveröffentlichungen ab 2008 geplant. Vorhandene MOM 2005-Management Packs können mithilfe des MPConvert-Dienstprogramms in ein für Operations Manager 2007 benutzerfreundliches Format konvertiert werden, oder sie können aus einer vorhandenen MOM 2005-Installation mithilfe des MOM 2005-to-Operations Manager 2007-Migrationstools übertragen werden. Beide Tools sind auf der Operations Manager 2007-CD enthalten. Microsoft konvertiert die MOM 2005-Management Packs in ein für Operations Manager 2007 kompatibles Format, sodass dies im Allgemeinen nur für selbst entwickelte Management Packs erforderlich sein dürfte.

Audit Collection
Audit Collection stellt eine Lösung für die Automatisierung von Sammlungen und zentrale Archivierung verteilter Windows-Sicherheitsereignisprotokolle bereit. Dieses Feature wurde für mittelständische und Großunternehmen entwickelt, die ein hohes Volumen an Sicherheitsereignisprotokoll-Daten für interne und externe Konformitätsprüfungen sammeln und analysieren müssen. Audit Collection besteht aus vier Rollen: dem Sammler, Weiterleitungen, der Datenbankrolle und der Berichterstellungsrolle. Der Sammler ist der Server, der Ereignisse „abfängt“ und sie in die Audit Collection-Datenbank einfügt. Bei der Weiterleitung handelt es sich um einen Dienst, der Sicherheitsereignisprotokoll-Ereignisse nahezu in Echtzeit sendet, sodass die Wahrscheinlichkeit von Eingriffen lokaler Administratoren in Sicherheitsprotokollereignisse minimiert wird. Der Weiterleitungsdienst ist im Operations Manager 2007-Agent enthalten, ist aber deaktiviert, bis Audit Collection für einen bestimmten Agent aktiviert wird.
Bei Audit Collection wird eine automatische nächtliche Datenbankwartung durchgeführt, sodass bei großen Datasets eine durchweg gute Berichtswiedergabeleistung gewährleistet ist. Audit Collection verwaltet ein fortlaufendes Dataset, das standardmäßig 14 Tage lang gespeichert wird und von Administratoren zum Erfüllen der Anforderungen von Organisationen angepasst werden kann. Zum Analysieren gesammelter Ereignisse umfasst Audit Collection eine Berichterstellungsrolle einschließlich eines Basissatzes von etwa 20 Überwachungsberichten sowie eines Hochleistungs-WMI-Abonnenten, der eine einfache Schnittstelle für Ad-hoc-Abfragen bietet, ohne dass Administratoren direkter Datenbankzugriff gewährt werden muss.

Clientüberwachung
Die neuen Clientüberwachungsfeatures in Operations Manager 2007 ermöglichen Administratoren die Überwachung von Desktopbetriebssystemen und Anwendungen, um festzustellen, welche Fehler am häufigsten eintreten, sodass die entsprechenden Schritte eingeleitet werden können, um größtmögliche Vorteile für die Organisation zu erzielen. Die gesammelten Fehlerdaten dienen zum Erstellen ausführlicher Ansichten und Berichte, sodass dem Administrator eine leicht verfügbare Informationsquelle zur Erleichterung von Unterstützungsentscheidungen bereitsteht.
Die Clientüberwachung in Operations Manager 2007 besteht aus drei Ebenen, die einzeln aktiviert werden können:
Ausnahmenüberwachung ohne Agents (Agentless Exception Monitoring, AEM) ermöglicht dem Administrator das Überwachen von Betriebssystemen und Anwendungen auf Abstürze und Fehler hin. Der Administrator kann diese Berichte, die vorher direkt an Microsoft gesendet worden wären, direkt an einen Verwaltungsserver senden, von dem aus sie dann auf Wunsch an Microsoft weitergeleitet werden.
Programm zur Verbesserung der Benutzerfreundlichkeit (Customer Experience Improvement Program, CEIP) Wenn Sie sich am CEIP beteiligen, konfigurieren Sie Clients mit der Gruppenrichtlinie, um Berichte an einen Operations Manager 2007-Verwaltungsserver umzuleiten, statt Berichte direkt an Microsoft zu senden. Die Verwaltungsserver werden dann so konfiguriert, dass diese Berichte an Microsoft weitergeleitet werden.
Beachten Sie, dass die AEM- und CEIP-Clientüberwachungskomponenten ohne Agent ausgeführt werden können.
Clientüberwachung für unternehmenswichtige Arbeitsstationen umfasst die eigentliche Bereitstellung eines Operations Manager-Agent für unternehmenswichtige Desktops. Management Packs umfassen jene für Windows 2000, Windows XP und Windows Vista und den Microsoft Information Worker zum Überwachen von Microsoft Office, Internet Explorer und anderen Microsoft-Desktopanwendungen.

Ein Versuch lohnt immer
Wie Sie sehen, bietet System Center Operations Manager 2007 eine Vielzahl von Features, die dienstorientierte Überwachung mit Integration an allen richtigen Stellen bereitstellen, sodass Sie vorhandene Investitionen in Active Directory nutzen, die Verwaltung rationalisieren und die Gesamtbetriebskosten senken können. Überzeugen Sie sich selbst von dieser hervorragenden neuen Veröffentlichung.
Eine 180-Tage-Testversion von Operations Manager 2007 kann unter microsoft.com/technet/opsmgr/2007/downloads/trials/privacy.mspx heruntergeladen werden. Weitere Informationen zu Microsoft System Center-Technologien erhalten Sie auf der System Center Operations Manager-Homepage unter microsoft.com/systemcenter/opsmgr. System Center-Erfolgsgeschichten (Videos und Fallstudien) finden Sie auf der neuen „Designed for BIG“-Website unter designedforbig.com.

Pete Zerger ist beratender Partner bei AKOS Technology Services. Pete Zerger verfügt über neun Jahre Erfahrung in der IT-Branche. Er ist auf die Bereiche Entwurf und Bereitstellung von Unternehmensbetriebsverwaltung, Verzeichnisdienste und Messaginglösungen spezialisiert. Pete ist als MCSE für Messaging und als MCTS für SQL Server 2005 zertifiziert und ist Microsoft MVP für Microsoft Operations Manager.


System Center
Migration von MOM zu Operations Manager 2007
Andy Dominey
Kurz zusammengefasst:
  • Planung der Bereitstellung von Operations Manager
  • Bewerten von Hardwareanforderungen
  • Erhalten von Verlaufsdaten
  • Testpläne

Serverüberwachung und -verwaltung ist ein entscheidender Teil jeder modernen IT-Infrastruktur. Es ist unerlässlich, dass Ihre IT-Infrastruktur nicht nur richtig funktioniert, sondern dass sie die Datenlast der Benutzer auch angemessen bewältigt. Das Sammeln dieser Informationen ist allerdings leichter
gesagt als getan, und wie die gesammelten Informationen dann genutzt werden sollten, ist ein weiteres Problem. Glücklicherweise gibt es Hilfe. Microsoft® Operations Manager (MOM) ermöglicht seit bereits sieben Jahren eine Lösung, und die neueste Ausgabe, System Center Operations Manager 2007, bietet im Vergleich zur Grundversion viele neue Funktionen.

Warum migrieren?
System Center Operations Manager 2007 enthält zahlreiche bedeutende Verbesserungen gegenüber der vorherigen Version, MOM 2005. Die Kernarchitektur wurde neu gestaltet und erheblich verbessert, sodass das Produkt jetzt bessere Unterstützung für Anwendungen bietet, die über mehrere Geräte verteilt sind. Außerdem werden nicht nur Server unterstützt, sondern alle Komponenten, die zu einem Server gehören.
Darüber hinaus weist Operations Manager ein leistungsfähiges Sortiermodul auf, das Warnungsdaten zusammenführen kann und somit die Anzahl vermeidbarer Warnungen erheblich verringert, sowie einen Health Explorer, der die Problemsuche und -lösung rationalisiert.
Es gibt sich selbst optimierende Schwellenwerte und ein Basismodul, mit dem Sie die Auslastung in der gesamten Umgebung leicht verfolgen können. Außerdem wurde das Berichtsmodul erheblich verbessert und bietet jetzt bessere Grafik und Drillthroughberichterstattung. In Abbildung 1 erhalten Sie einen Eindruck der optischen Darstellung von Berichtsdaten.
Abbildung 1 Verfügbarkeitsbericht in Operations Manager 2007
Abbildung 1 Verfügbarkeitsbericht in Operations Manager 2007 (Klicken Sie zum Vergrößern auf das Bild)
Operations Manager kann sogar zum Überwachen von Desktopcomputern und Servern verwendet werden. Folgende zusätzliche Features sind u. a. in Operations Manager 2007 enthalten:
  • Ausgezeichnete Überwachung für die Windows Server System™-Plattform
  • Leistungsfähige Merkmale und Funktionen für die Anwendungsüberwachung.
  • Automatisierung allgemeiner Aufgaben
  • Datenbankmodul der nächsten Generation, das Skalierbarkeit und Kontrolle auf Unternehmensebene erleichtert.
  • Sicherheitsverbesserungen und Active Directory®-Integration
Weitere Informationen zu den neuen Features in System Center Operations Manager 2007 finden Sie im Artikel „Überwachen von Servern mit Operations Manager 2007“ von Pete Zerger in dieser Ausgabe des TechNet Magazins.

Migration zu Operations Manager
Bevor Sie eine Migration zu Operations Manager 2007 planen, müssen Sie wissen, dass es keinen direkten Upgradepfad für das Produkt gibt. Angesichts der erheblichen Änderungen an der Architektur von Operations Manager ist das Produkt mit vorherigen Versionen nicht hinreichend kompatibel, um eine direkte Aktualisierung zu ermöglichen. Wenn Sie derzeit entweder MOM 2000 oder MOM 2005 ausführen, sollten Sie daher eine der weiter unten in diesem Artikel beschriebenen Migrationsstrategien in Erwägung ziehen.
Wenn Sie jedoch keine frühere Version von MOM ausführen, können Sie einfach die neue Version des Produkts installieren. Sie sollten bereits in einem sehr frühen Stadium des Projekts entscheiden, ob Sie über ausreichende unternehmensinterne Fähigkeiten für eine Installation oder Migration verfügen, oder ob Sie Hilfe von einem Drittanbieter in Anspruch nehmen möchten. Da sich dies natürlich auf die Gesamtkosten des Projekts auswirkt, müssen solche Überlegungen am Anfang des Prozesses angestellt werden.

Migrationsszenarios
Für alle, die MOM derzeit nicht ausführen, ist die Bereitstellung einfach: Planen und entwerfen Sie die Architektur, und stellen Sie dann die Software bereit. Wenn Sie MOM bereits verwenden, unterstützt Microsoft zwei Migrationsszenarios, und zwar entweder nebeneinander auf derselben Hardware oder nebeneinander auf verschiedener Hardware. In diesem Artikel werden beide Szenarios erläutert.
Nebeneinander auf derselben Hardware In diesem Szenario installieren Sie Operations Manager auf derselben physischen Hardware wie Ihre vorhandene MOM 2000- oder MOM 2005-Architektur. Dieser Ansatz ist für Standorte geeignet, an denen die MOM-Infrastruktur nicht ausgelastet und die Serverhardware leistungsfähig genug ist, um die alte Version zusammen mit der neuen zu hosten. Sie sollten diesen Pfad nur in Erwägung ziehen, wenn sich die Installation von Operations Manager voraussichtlich nicht erheblich auf die Leistung der derzeitigen MOM-Server auswirkt.
Nebeneinander auf verschiedener Hardware In diesem Fall wird die neue Installation auf einer neuen oder unterschiedlichen Hardware durchgeführt. Dies ist der bevorzugte Ansatz, da gewährleistet wird, dass sich der Migrationsprozess nur geringfügig auf die aktuelle Verwaltungsinfrastruktur auswirkt. Es sollte darauf hingewiesen werden, dass zusätzliche Hardware nicht unbedingt erforderlich ist. Die neuen Operations Manager 2007-Server lassen sich auf virtuellen Computern bereitstellen, bis die alte Serverhardware neu zugewiesen werden kann.

Überlegungen zur Migration
Bevor Sie sich für eine bestimmte Migrationsstrategie entscheiden, sind einige wichtige Punkte zu bedenken.
Zunächst müssen die Hardware- und Softwareanforderungen und die damit verbundenen Kosten überdacht werden. Selbst wenn Sie die Operations Manager-Infrastruktur teilweise oder ganz auf virtuellen Computern bereitstellen, müssen Sie trotzdem für jeden von Operations Manager zu überwachenden Agent die Betriebssysteme und Anwendungslizenzen sowie die Betriebsverwaltungslizenzen (Operations Management License, OML) berücksichtigen.
Als Nächstes müssen Sie die Ressourcen planen, die zur Durchführung der Migration erforderlich sind. In einem kleinen Unternehmen ist die Planung wahrscheinlich nicht besonders komplex oder schwierig, in größeren Firmen jedoch stellt sie einen wichtigen Bestandteil der gesamten Migrationsstrategie dar.
Weiterhin muss die mögliche Auswirkung der Migration auf die derzeitige Überwachungsinfrastruktur oder auf den Serverbestand als Ganzes in Betracht gezogen werden. Sie müssen auf alle etwaigen Probleme vorbereitet sein, einschließlich der Möglichkeit von Serverneustarts oder sogar Fehlern bei wichtigen Produktionsservern.
Hinweis: Wenn Sie zum Speichern von Archivdaten und zur Berichterstattung entweder die Microsoft Access™-Datenbank in MOM 2000 oder das SQL Server™-Data Warehouse in MOM 2005 verwenden, wird die Migration dieser Daten zu Operations Manager 2007 derzeit nicht unterstützt.

Planen für eine erfolgreiche Migration
Als Berater sehe ich eines der größten Probleme in unzulänglicher Bereitstellungsplanung. Wenn Sie entschieden haben, ob Sie auf neuer oder vorhandener Hardware installieren wollen, ist daher der nächste Schritt die Erstellung eines Projektplans.
Der Projektplan sollte die in diesem Artikel empfohlenen Projektphasen enthalten, auch wenn die hier angeführte Liste nicht vollständig ist. Planen Sie für jede Projektphase unbedingt ausreichend Zeit ein, und berücksichtigen Sie alle erforderlichen Ressourcen.
Wie bereits erwähnt, unterscheidet sich die Architektur von System Center Operations Manager 2007 grundlegend von MOM 2000 und 2005. Zunächst einmal wurde mit RMS (Root Management Server) eine zusätzliche Serverfunktion in Operations Manager eingeführt. RMS verwaltet die Konfiguration für die Verwaltungsgruppe, bearbeitet alle Verbindungen zu anderen Verwaltungsgruppen und Produkten von Drittanbietern und ist darüber hinaus für die Sicherheit der gesamten Verwaltungsgruppe verantwortlich. Diese Funktion kann auf einem bestehenden System Center Operations Manager Management Server gespeichert werden, aber in großen, komplexen Umgebungen wird hierfür ein eigener physischer Server benötigt. Außerdem wurde das in MOM 2005 verwendete Konzept der mehrstufigen Verwaltungsgruppen durch verbundene Verwaltungsgruppen ersetzt. In dieser neuen Architektur werden keine Warnungsdaten zwischen den Verwaltungsgruppen weitergegeben. Stattdessen werden Warnungen verbundener Verwaltungsgruppen einfach auf der Benutzeroberfläche der anfordernden Verwaltungsgruppe anzeigt. Falls Sie erwägen, Agents auf Computern in nicht vertrauenswürdigen Domänen oder Arbeitsgruppen zu installieren, müssen Sie dem Agent und dem Management Server außerdem mit Zertifikaten die gegenseitige Authentifizierung ermöglichen (ein Feature, das in Operations Manager erzwungen wird).
Beim Architekturentwurf für System Center Operations Manager muss Folgendes berücksichtigt werden: die Anzahl der zu überwachenden Server und Clients, ob diese sich in einer vertrauenswürdigen Domäne befinden, welche Anwendungen und Plattformen überwacht werden müssen und ob die Netzwerkinfrastruktur überwacht werden soll. Weiterhin müssen alle etwaigen Anwendungen ermittelt werden, für die benutzerdefinierte Regeln oder Management Packs erforderlich sind.
Dies ist eine geeignete Phase, um Ihre Anforderungen an das Management Pack zu ermitteln. Wenn Sie die zu überwachenden Anwendungen festgelegt haben, entscheiden Sie als Nächstes, welche Management Packs installiert werden sollen. Management Packs enthalten Regeln, Monitore, Tasks und Klassen, die für eine bestimmte Anwendung oder ein bestimmtes Betriebssystem gelten, und müssen importiert werden, wenn die entsprechende Anwendung oder das entsprechende Betriebssystem in Ihrer Umgebung verwendet wird. Die Auswahl der Management Packs in dieser Phase wirkt sich auf die Hardware- und Softwareanforderungen und den Zeitraum aus, der für Installation und Konfiguration der Software einzuplanen ist.
Sobald Sie eine Vorstellung von der Architektur Ihrer Operations Manager-Infrastruktur haben, sollten Sie das System Center Capacity Planner 2007-Tool einsetzen (beim Verfassen dieses Artikels im Betastadium). Verwenden Sie das Tool für eine genaue Planung der Netzwerk- und Serverinfrastruktur, und führen Sie eine Simulation des Tools mit der geplanten Bereitstellung von Operations Manager durch, um sicherzustellen, dass es zum Überwachen und Verwalten Ihrer Infrastruktur ausreicht.
Zu diesem Zeitpunkt sollte insbesondere der Architekturentwurf beachtet werden, wenn eine Migration geplant ist. Bedenken Sie, dass MOM 200x parallel zu Operations Manager ausgeführt wird, was zusätzlichen Netzwerkverkehr zur Folge hat.

Bereitstellung
Die als Nächstes zu planende Phase ist die Bereitstellung. Sie müssen vor der Installation der Software gewährleisten, dass angemessene Hardware bereitgestellt ist. Wenn Sie in eine neue Umgebung installieren, ist physische Hardware vorzuziehen, insbesondere für den Datenbankserver. Verwaltungsserver können jedoch virtualisiert werden, wenn keine physische Hardware zur Verfügung steht. In einem Migrationsszenario ist die Verwendung virtualisierter Server zur Bereitstellung der neuen Infrastruktur eine gute Alternative zum Erwerb zusätzlicher Hardware. In diesem Fall können Sie zur Bereitstellung von Operations Manager virtuelle Computer verwenden, während die alten MOM-Server außer Betrieb genommen und neu aufgebaut werden.
Nach Bereitstellung der Server kann die Softwareinstallation vorgenommen werden. Stellen Sie zunächst sicher, dass die Server, auf denen Operations Manager ausgeführt werden soll, über alle erforderlichen Softwarevoraussetzungen verfügen. Wenn Sie zum Beispiel SQL Server 2000 ausführen und vorhaben, Operations Manager auf demselben Server zu installieren, müssen Sie zuerst auf SQL Server 2005 mit SP1 aktualisieren. Um dies zu überprüfen, führen Sie die in den System Center Operations Manager-Installationsmedien enthaltene Operations Manager-Voraussetzungsprüfung aus.
Wenn alle Softwarevoraussetzungen erfüllt und SQL Server und Reporting Services konfiguriert sind, kann die Operations Manager-Software installiert werden. In einer Einzelserverumgebung ist dies leicht: Sie führen einfach die Operations Manager-Setupdatei auf dem Server aus und führen dann das Setup für die Operations Manager-Berichterstattung aus, wenn dieses Feature verwendet werden soll. In einer verteilten Umgebung jedoch müssen die Komponenten von Operations Manager auf den einzelnen Servern in der richtigen Reihenfolge installiert werden. Zuerst installieren Sie die Datenbank, dann den ersten Management Server, dem automatisch die RMS-Funktion zugewiesen wird. Danach können etwaige zusätzliche Verwaltungsserver installiert werden. Als letzten Schritt installieren Sie die Webkonsole und die Berichtskomponenten.

Migration
In dieser Phase müssen Sie sicherstellen, dass die neue Infrastruktur die vorhandene Überwachung widerspiegelt, bevor die neuen Features eingesetzt werden. Alle in der Legacyumgebung verwendeten Management Packs müssen in der neuen Bereitstellung von Operations Manager dupliziert werden. Wenn ein Management Pack für Operations Manager verfügbar ist, möchten Sie es möglicherweise importieren. Wenn aber Management Packs ohne neuere Versionen vorhanden sind, müssen diese von der derzeitigen Verwaltungsgruppe exportiert, mithilfe des MPConvert-Tools von der Installations-CD konvertiert und in Operations Manager importiert werden, es sei denn, es liegt ein kleines oder einfaches benutzerdefiniertes Management Pack vor. In diesem Fall wäre eine Neuerstellung vorzuziehen. Weiterhin ist ein Tool für das Duplizieren der Konfiguration enthalten. Das Tool für die Migration von MOM 2005 zu Operations Manager unterstützt Sie beim Duplizieren der Konfiguration von einer vorhandenen MOM-Verwaltungsgruppe zu Operations Manager. Es ist ebenfalls auf der Installations-CD von Operations Manager enthalten. Abbildung 2 zeigt eine typische Konfiguration bei einer Migration.
Abbildung 2 Typische Konfiguration während der Migration
Abbildung 2 Typische Konfiguration während der Migration (Klicken Sie zum Vergrößern auf das Bild)
Sobald die Konfiguration dupliziert ist, sollten Sie überprüfen, dass Operations Manager tatsächlich dieselben Warnungen ausgibt und dieselben Daten sammelt wie MOM. Glücklicherweise kann der Operations Manager-Agent gleichzeitig mit Legacy-MOM-Agents ausgeführt werden. Sie können Daten von beiden Agents sammeln und sie nebeneinander auf ihre Richtigkeit hin vergleichen, bevor Sie das Legacysystem außer Betrieb setzen.
Als Nächstes sollten Sie einen Testplan aufstellen. Das Testen kann in einem einfachen Vergleich der Warnungen des Legacysystems mit denen des Operations Manager-Systems bestehen. Für eine gründliche Bewertung der neuen Infrastruktur könnten aber Warnungen sogar speziell generiert werden. Wenn Sie mit den Testergebnissen zufrieden sind, können die Legacy-MOM-Agents entweder mithilfe der MOM-Konsole oder mithilfe von „Software“ auf den Agentcomputern deinstalliert werden.
Berichterstattung ist ein wichtiger Teil der Bereitstellung von MOM und System Center Operations Manager und sollte ebenfalls berücksichtigt werden. Die vorhandene SystemCenterReporting-Datenbank kann derzeit nicht zu Operations Manager 2007 migriert werden. Daher sollten Sie eine neue Instanz von Reporting Services für Operations Manager erstellen und die vorhandene MOM 2005 (SystemCenterReporting)-Datenbank in einer dedizierten SQL Reporting Services-Instanz für die Anzeige von Legacyberichten beibehalten. Die neue Berichtskonsole in System Center Operations Manager 2007 ist im Produkt integriert. Es wird deshalb nicht empfohlen, die Reporting Services-Konsole ausschließlich für Operations Manager einzusetzen. Die Migration von Berichtsdaten wird in Zukunft möglicherweise durch ein Datenmigrationsskript behandelt. Bis dahin müssen Sie sich allerdings von Ihren archivierten Berichtsdaten verabschieden und sich einfach mit der Tatsache trösten, dass das Management über Ihre funkelnagelneuen Berichte so erfreut sein wird, dass der Verlust der alten Daten gar nicht auffallen wird.

Schlussbemerkung
System Center Operations Manager bietet gegenüber MOM 2000 und 2005 erhebliche Verbesserungen, aber diese Fortschritte können mit Nachteilen verbunden sein. Eine größere Änderung an der zugrunde liegenden Architektur (und dadurch der fehlende direkte Upgradepfad) führt dazu, dass die Bereitstellungskosten möglicherweise relativ hoch sind. Der Schlüssel zur Minimierung dieser Kosten liegt in einer angemessenen Planung und im Einsatz der richtigen Fachkräfte für die Migration. Wenn Sie sich an diese Regeln halten, können Sie sich schon bald von den Vorteilen von Microsoft System Center Operations Manager überzeugen.

Andy Dominey ist seit acht Jahren in der IT-Branche tätig und arbeitet derzeit bei 1E in Großbritannien als Spezialist für die Windows-Verwaltung. Mit MOM arbeitet er seit Version MOM 2000. Andy Dominey erhielt für MOM in den vergangenen zwei Jahren die Microsoft MVP-Auszeichnung.


System Center
Virtualisieren von Anwendungen mit Microsoft SoftGrid
Ahmer Sabri and Kedar Shah
Kurz zusammengefasst:
  • Vorteile der Anwendungsvirtualisierung
  • Überblick über die SoftGrid-Architektur
  • Streaming von Softwarepaketen

Den Begriff der Softwarevirtualisierung gibt es in unterschiedlicher Form schon seit den Sechzigerjahren. Es dauerte jedoch Jahrzehnte, bis die IT-Branche das Potenzial der Anwendungsvirtualisierung erkannte
. Jetzt aber finden wichtige Entwicklungen in diesem Bereich statt.
Mit dem Erwerb von Softricity im Juli 2006 hat Microsoft die Bedeutung der Anwendungsvirtualisierung unterstrichen. Aus dieser Akquisition stammt Microsoft® SoftGrid, eine Lösung für die Anwendungsvirtualisierung. Bei SoftGrid werden Anwendungen von einem Datacenter oder einem anderen Netzwerkstandort bedient und lokal auf Remoteclients in einer virtuellen Umgebung ausgeführt. Die virtualisierten Anwendungen werden in Silos ausgeführt. Sie arbeiten unabhängig von Betriebssystem und anderen Anwendungen auf dem lokalen Desktop.
Das Implementieren einer Anwendungsvirtualisierung mit SoftGrid bietet zahlreiche Vorteile, die in diesem Rahmen gar nicht alle behandelt werden können. Im Folgenden werden jedoch die wichtigsten und deutlichsten Vorteile aufgeführt:
Vereinfachte Regressions- und Kompatibilitätstests Durch Ausführen mehrerer Versionen der gleichen Anwendung parallel und ohne Konflikte auf einem einzigen Computer können Komplexität, Zeit und Kosten im Hinblick auf eine Prüfung und Bereitstellung neuer Anwendungen drastisch verringert werden (siehe Abbildung 1).
Abbildung 1 Rationalisieren der Anwendungsbereitstellung mit SoftGrid
Abbildung 1 Rationalisieren der Anwendungsbereitstellung mit SoftGrid (Klicken Sie zum Vergrößern auf das Bild)
Einfachere Systemverwaltung Die IT-Abteilung kann die Umgebung, in der die Anwendungen ausgeführt werden, hervorragend kontrollieren, wodurch die ideale Desktopumgebung leichter aufrechterhalten werden kann.
Weniger Anfragen beim Helpdesk Durch besser verwaltete Desktopumgebungen und weniger Konflikte (dank virtualisierter Anwendungen, die in einem kontrollierten Silo ausgeführt werden) erhält das Helpdesk weniger Benutzeranfragen.
Erhöhte Desktopsicherheit Es findet keine Installation von Anwendungen auf dem Betriebssystem statt, wodurch die Betriebssystemsicherheit generell verbessert wird. Anwendungen werden nur autorisierten Benutzern bereitgestellt, wodurch ein nicht autorisierter Zugriff verhindert wird. Schließlich werden die meisten Anwendungen im Standardsicherheitskontext gerendert.
Sitzplatzmobilität Benutzereinstellungen (Profile und andere Einstellungen) werden auf dem Netzwerk gespeichert. Daher können Benutzer von einem beliebigen PC aus auf ihre Anwendungen, Einstellungen und Steuerelemente zugreifen.
Verbesserte Fehlertoleranz und Notfallwiederherstellung Anwendungen werden in Datendateien umgewandelt, die wie beliebige Unternehmensdaten gespeichert und repliziert werden können. Anwendungen und ihre Updates können mithilfe von Drittanbietertools automatisch zwischen Live- und Massenkopierprogramm (Bulk Copy Program, BCP)-Sites synchronisiert werden, was im Notfall einen sofortigen Zugriff auf Anwendungen ermöglicht.
Letzten Endes erleichtern diese Merkmale die Systemverwaltung, verringern Kosten und ermöglichen Ihrer Organisation, neue Technologien schneller und zuverlässiger zu integrieren. Im Folgenden wird näher untersucht, wie SoftGrid funktioniert.

Bereitstellung virtualisierter Anwendungen
Die SoftGrid-Architektur besteht aus einer Anzahl von Komponenten, die harmonisch zusammenarbeiten. Dazu gehören SoftGrid-Komponenten wie der Datenspeicher, der virtuelle Anwendungsserver, der Sequenzer, die Verwaltungskonsolen, der Verwaltungswebdienst und die Clientanwendung, die mit den Standardinfrastrukturkomponenten wie Active Directory® zusammenarbeiten (siehe Abbildung 2). In diesem Artikel erhalten Sie einen Überblick über die SoftGrid-Architektur sowie Erläuterungen dazu, wie die verschiedenen Komponenten zusammenarbeiten.
Abbildung 2 Die SoftGrid-Architektur im Überblick
Abbildung 2 Die SoftGrid-Architektur im Überblick (Klicken Sie zum Vergrößern auf das Bild)
Der SoftGrid-Datenspeicher dient als zentrales Repository für die gesamte Virtualisierungsumgebung. Der Datenspeicher wird entweder auf SQL Server™ (Version 2000 oder 2005) oder Microsoft SQL Server Desktop Engine (MSDE) installiert und enthält Datensätze, Anwendungen und Konfigurationen sowie Lizenz-, organisatorische und Protokollinformationen.
Virtualisierte Anwendungen werden an den Computer des Benutzers bereitgestellt und in einem Client gerendert. SoftGrid bietet zwei Typen – Microsoft SoftGrid Application Virtualization für Desktops und Microsoft SoftGrid Application Virtualization für Terminaldienste. Jedes Verfahren hat bestimmte Vorteile, allerdings müssen auch gewisse Leistungskompromisse in Kauf genommen werden, die im Abschnitt „Einrichten des Clients“ erörtert werden.
Eine der wichtigsten Komponenten in der SoftGrid-Umgebung ist SoftGrid Virtual Application Server (SVAS). Diese Komponente wird zum Bearbeiten von Benutzeranforderungen für Anwendungen sowie bei Bedarf zum Streaming von Anwendungsdaten zu den Benutzern verwendet.
SVAS wird unter minimalen Hardwareanforderungen als Windows®-Dienst namens „Microsoft System Center Virtual Application Server“ ausgeführt. Standardmäßig befinden sich alle Anwendungsdaten (die weiter unten besprochen werden) im Verzeichnis \Programme\Softricity\SoftGrid Server\content.
SoftGrid wird normalerweise initiiert, wenn ein Benutzer sich bei einer Arbeitsstation anmeldet. Der SoftGrid-Client zeichnet das Sicherheitstoken des Benutzers und die Domänengruppenmitgliedschaft auf und übergibt diese Informationen über einen sicheren Kanal an SVAS. SVAS weist Anwendungen den Benutzerzugriff zu, falls die Sicherheits-ID des Benutzers (SID) im Gruppenmitgliedschaftsverzeichnis der Anwendung vorhanden ist, und auf dem Desktop des Benutzers (bzw. an dem Ort, den der Administrator festlegt, z. B. Startmenü, Schnellstartleiste und so weiter) wird für jede Anwendung eine Verknüpfung erstellt.
Die tatsächliche Bereitstellung einer Anwendung wird in der Regel dann gestartet, wenn ein Benutzer auf das Verknüpfungssymbol klickt, das einer .osd-Datei (Open Software Description) zugeordnet ist. Dabei handelt es sich um eine XML-basierte Datei, die Informationen zum Anwendungspaket enthält. Der Client ruft den virtuellen Anwendungsservernamen von der .osd-Datei ab und initiiert eine Verbindung. Daraufhin authentifiziert SVAS den Client und kontaktiert den Datenspeicher, um die Lizenzüberprüfung vorzunehmen. Wenn der Benutzer authentifiziert ist, streamt SVAS die Anwendungsdaten in Datenblöcken zum Client. Standardmäßig haben die Datenblöcke eine Größe von jeweils 32 KB, sie können jedoch zum Zeitpunkt der Sequenzierung konfiguriert werden.
Beachten Sie, dass nicht die gesamte Anwendung zum Client gestreamt wird. Stattdessen streamt SoftGrid nur den Anteil der Anwendung, der unmittelbar erforderlich ist, um die Anwendung auf dem Client zu starten. Dieser Anteil beträgt in der Regel etwa 20 bis 40 Prozent des gesamten Codes, dies ist allerdings anwendungsabhängig. Zum Beispiel erfordert Microsoft Word 2003, dass für eine 800 MB große Anwendung lediglich 15 MB der Daten zum Client gestreamt werden, bevor die Anwendung gestartet werden kann. Wenn der Benutzer auf einen Teil der Anwendung zugreift, der sich nicht bereits im Cache des Clients befindet, wird der erforderliche Code zum Client gestreamt. Um eine Montagmorgensituation zu vermeiden, in der zu viele gleichzeitige Anforderungen das Netzwerk verlangsamen, können Organisationen häufig genutzte Anwendungen im Voraus auf den Benutzerdesktops zwischenspeichern.

Active Directory
Die Bereitstellung von Anwendungen an autorisierte Benutzer erfolgt nicht über SoftGrid, sondern die Domänenbenutzer und Gruppen von Active Directory (oder Windows NT® 4.0). In einer Umgebung mit mehreren Domänen erfolgt die Bereitstellung an Benutzer unter Verwendung der entsprechenden Gruppenmitgliedschaften (SoftGrid unterstützt lokale, globale und universelle Gruppenmitgliedschaften) und der Vertrauensstellungen mit der Domäne, auf der SVAS installiert ist.
Beim Installieren von SVAS werden Sie zur Angabe verschiedener Dienstkonten und -Gruppen aufgefordert, die die Integration von Active Directory unterstützen und anschließend für administrative Zwecke verwendet werden. So sollten Sie vor der Installation drei Gruppen bzw. Konten erstellen: ein SoftGrid-Browserkonto, eine SoftGrid-Administratorgruppe und eine SoftGrid-Benutzergruppe.
Das SoftGrid-Browserkonto ist für das Durchsuchen von Active Directory zuständig und erfordert daher schreibgeschützte Rechte für alle Active Directory-Domänen in einer Umgebung mit mehreren Domänen. Die SoftGrid-Administratorgruppe wird für den administrativen Zugriff auf die SoftGrid-Verwaltungskonsole und den SoftGrid-Verwaltungswebdienst eingesetzt. Die SoftGrid-Benutzergruppe wird verwendet, um die Standardanbieterrichtlinie zuzuweisen, die dazu dient, allen Benutzern in der Domäne Zugriff auf Anwendungen zu gewähren, die durch die Verwaltungskonsole veröffentlicht werden.

Die virtuelle Umgebung
SystemGuard ist der Kern des SoftGrid-Client, der auf dem lokalen Desktop ausgeführt wird. SystemGuard ist für das Bereitstellen einer voll funktionsfähigen virtuellen Umgebung für Anwendungen verantwortlich, die isoliert ausgeführt werden. In dieser siloartigen Umgebung sind die virtualisierten Betriebssystemkomponenten enthalten, also Registrierung, Dateien, Schriftarten, INI, COM, eingebettete Dienste und Umgebungsvariablen, die für eine ordnungsgemäße Ausführung der Anwendung erforderlich sind (siehe Abbildung 3).
Abbildung 3 Virtualisierte Umgebung für isoliert ausgeführte Anwendungen
Abbildung 3 Virtualisierte Umgebung für isoliert ausgeführte Anwendungen
SystemGuard erstellt für jede ausgeführte Anwendung virtualisierte Registrierungsschlüssel. Diese Schlüssel sind anderen Anwendungen, die auf den lokalen Betriebssystemen ausgeführt werden, nicht zugänglich und für die Tools zur Registrierungsbearbeitung, z. B. regedit, nicht sichtbar. Die Lese- und Schreibvorgänge der Registrierung werden bei Bedarf an die virtuellen Schlüssel weitergeleitet. Beachten Sie jedoch, dass virtualisierte Anwendungen für Informationen, die nicht in den virtualisierten Registrierungsschlüsseln enthalten sind, auf die lokale Registrierung zugreifen können.
Ähnlich erstellt SystemGuard ein virtualisiertes Dateisystem und leitet den Großteil der Lese- und Schreibvorgänge der Anwendung an dieses Dateisystem weiter. Dieses virtualisierte Dateisystem ist isoliert und stellt die Umgebung bereit, die für eine Ausführung mehrerer Versionen der gleichen Anwendung auf einem einzigen Client erforderlich ist.
Es soll jedoch darauf hingewiesen werden, dass die Benutzer weiterhin Zugriff auf alle lokalen Dienste, z. B. Drucken, Ausschneiden und Einfügen sowie Netzwerklaufwerke haben, auch wenn die Anwendungen vom lokalen Betriebssystem isoliert sind.

Verpacken von Anwendungen
Sie fragen sich jetzt vielleicht, wie Sie für die Ausführung Ihrer virtualisierten Anwendung eine völlig funktionsfähige unabhängige Umgebung erstellen. Diese Aufgabe erledigen Sie mit SoftGrid Sequencer. Dieses auf einem Assistenten basierende Tool ermöglicht Ihnen, Anwendungen in einer virtuellen Umgebung zu verpacken, die auf dem Client bereitgestellt und ausgeführt werden kann.
Der Sequenzierungsprozess besteht aus drei Schritten: Installation, Konfiguration und Test sowie Ausführung. Im ersten Schritt (Installation) setzt der SoftGrid Sequencer einen aktiven Überwachungsprozess ein, um die Installation der Anwendung zu überwachen und die Anwendungsabhängigkeiten zu bewerten. Nach Abschluss der Installation werden in der Konfigurations- und Testphase alle notwendigen Änderungen an der Standardkonfiguration vorgenommen, damit die Erstausführung nach Wunsch abläuft. Schließlich kompiliert SoftGrid Sequencer in der Ausführungsphase den Codeblock zum Starten der Anwendung und ruft ihn ab. Feature Block 1 (FB1) ist der Hauptcode, der für das Starten der Anwendung erforderlich ist und dem Benutzer ermöglicht, die Anwendung auszuführen, ohne das gesamte Paket herunterzuladen.
Nach der Sequenzierung einer Anwendung werden vier Dateien erstellt: eine virtualisierungsaktivierte Anwendungsdatei (.sft), eine Open Software Description-Datei (.osd), eine Symboldatei (.ico) und eine Projektdatei (.sprj). Diese werden anschließend in das Inhaltsverzeichnis von SVAS kopiert. Alternativ kann ein Administrator die .ico- und .osd-Dateien unter Verwendung eines HTTP-Servers an die Clients veröffentlichen.
Während SoftGrid in der Regel Anwendungen bereitstellt, die unabhängig voneinander in isolierten Umgebungen ausgeführt werden, lässt SystemGuard eine gewisse Anwendungsinteraktion zu. Sie sollten alle Abhängigkeiten, die ggf. zwischen Anwendungen bestehen, sorgfältig untersuchen und Anwendungen gemeinsam sequenzieren, falls sie auf einer gegenseitigen Interaktion beruhen. Dieser Prozess wird im Allgemeinen als „Suiting“ bezeichnet. Beachten Sie, dass nicht alle Anwendungen, die eine gegenseitige Interaktion erfordern, gemeinsam sequenziert werden können. Das so genannte Suiting ist ein recht schwieriger Prozess und sollte nur nach sorgfältiger Untersuchung der Abhängigkeiten durchgeführt werden, da manchmal das Sequenzieren von zwei oder mehr Anwendungen dem Zweck der Virtualisierung zuwiderläuft.

Vereinfachen der Verwaltung
Die SoftGrid-Verwaltungskonsole stellt ein einziges Tool für das Durchführen aller administrativen Aufgaben bereit. Die Verwaltungskonsole ist standardmäßig auf dem SVAS installiert, kann aber auch auf einem beliebigen anderen Server oder einer Arbeitsstation installiert werden. Es handelt sich dabei um ein MMC 3.0-Snap-In, das den SoftGrid-Verwaltungswebdienst verwendet, um eine Verbindung zum SoftGrid-Datenspeicher herzustellen (siehe Abbildung 4), wodurch es autorisierten Administratoren vollen Zugriff auf Daten gewährt, die in der Datenbank für Verwaltungszwecke gespeichert sind. Bei der Verbindung zwischen der Verwaltungskonsole und dem SoftGrid-Verwaltungswebdienst wird Microsoft .NET Framework Remoting verwendet, das eine Installation der Verwaltungskonsole und des Webdiensts auf demselben oder auf verschiedenen Servern ermöglicht. Abbildung 2 illustriert, wie diese verschiedenen Teile zusammenarbeiten und somit Zugriff auf die gesamte SoftGrid-Implementierung gewähren. Beachten Sie, dass größere Organisationen mehr als eine Instanz des SoftGrid-Verwaltungswebdiensts ausführen sollten.
Abbildung 4 Der SoftGrid-Verwaltungswebdienst als Verbindung zum Datenspeicher
Abbildung 4 Der SoftGrid-Verwaltungswebdienst als Verbindung zum Datenspeicher (Klicken Sie zum Vergrößern auf das Bild)
Der SoftGrid-Verwaltungswebdienst wird unter Windows 2000 oder höher mit IIS 5.0 oder höher ausgeführt. Für die Datenspeicherkonnektivität sind .NET Framework 2.0 oder höher und Microsoft Data Access Components (MDAC) 2.7 oder höher erforderlich.
Die Verwaltungskonsole stellt ein einziges administratives Tool bereit, von dem Anwendungen u. a. veröffentlicht und beendet werden können. Aufgaben sind in neun Hauptkategorien oder Container unterteilt, wie im Menü in Abbildung 5 dargestellt.
Abbildung 5 Verwalten von SoftGrid von einer einzigen Verwaltungskonsole aus
Abbildung 5 Verwalten von SoftGrid von einer einzigen Verwaltungskonsole aus (Klicken Sie zum Vergrößern auf das Bild)
Im Folgenden erhalten Sie einen kurzen Überblick über die Verwaltungsaufgabentypen in den einzelnen Containern. Im Anwendungscontainer kann der Administrator beispielsweise Folgendes durchführen: .sprj-Dateien importieren und an neuere Anwendungen veröffentlichen, den .osd-Speicherort angeben, Anwendungen entfernen und so weiter. Standardmäßig umfasst dieser Container ein veröffentlichtes Paket, mit dem Sie die Clientkonnektivität zum Anwendungsserver testen können.
Bei der Anwendungssequenzierung wird eine Dateitypzuordnung erstellt. Nach dem Import des Pakets werden die Dateitypzuordnungen in der Verwaltungskonsole zur Verfügung gestellt. Im Dateitypzuordnungscontainer können Administratoren alle Dateitypzuordnungen ändern.
Der Paketcontainer steuert Paketversionen für aktive Upgrades. Hierbei handelt es sich um Anwendungsupgrades, die ohne Abmeldung des Benutzers oder Herunterfahren des Servers durchgeführt werden können. Der Administrator kann außerdem mithilfe dieses Containers ein Paket von der Verwaltungskonsole löschen. Beachten Sie, dass das Löschen eines Pakets aus dem Paketcontainer die .sft-Datei aus der Verwaltungskonsole und dem Datenspeicher entfernt. Die Datei wird jedoch nicht aus dem Inhaltsverzeichnis des Anwendungsservers gelöscht.
Wie bereits erwähnt, überprüft der SoftGrid-Client die Lizenzverfügbarkeit, wenn ein Benutzer eine Anwendung startet, und startet die Anwendung nur dann, wenn eine Lizenz in einem Datenspeicher verfügbar ist. Im Anwendungslizenzcontainer können Administratoren den Anwendungen Lizenzen zuordnen. Es werden unbegrenzte Lizenzen, gleichzeitige Lizenzen und namentliche Lizenzen unterstützt.
Im Servergruppencontainer ist eine logische Gruppierung von Anwendungsvirtualisierungsservern und Protokollinformationen enthalten. Administratoren können neue Servergruppen hinzufügen oder Eigenschaften einer vorhandenen Gruppe ändern (z. B. Ports für die Kommunikation oder zugeordnete Speicher und Prozesse).
Im Anbieterrichtliniencontainer kann der Administrator einen Satz von Regeln, d. h. Richtlinien, erstellen. Diese benutzerdefinierten Anbieterrichtlinien werden verwendet, um Benutzern Zugriff auf zahlreiche Anwendungen unter einer jeweils unterschiedlichen Reihe von Bedingungen zu gewähren. Sie können den Kontoautoritätscontainer verwenden, um eine Domäne und die Anmeldeinformationen anzugeben, die SoftGrid für den Zugriff auf die Verzeichnisinformationen der Domäne benötigt. Im SoftGrid-Administratorcontainer sind die Benutzergruppen enthalten, die für das Verwalten der SoftGrid-Umgebung verantwortlich sind. In diesem Container können Administratoren Gruppen hinzufügen oder entfernen, um die Zugriffsberechtigungen zu kontrollieren.
Abschließend ermöglicht der Berichtcontainer, wie der Name schon andeutet, das Erstellen von Berichten, um den Gesamtzustand der SoftGrid-Umgebung zu prüfen. Die folgenden Berichte sind verfügbar: Anwendungsverwendung, Softwareüberwachung, Systemauslastung, Benutzer-/Gruppenaktivität und Systemfehler.

Einrichten des Clients
Der SoftGrid-Client ist auf dem Betriebssystem des Computers installiert, den der Benutzer für den Zugriff auf die virtualisierte Anwendung verwendet. Wie bereits erwähnt, werden zwei Clienttypen unterstützt: Microsoft SoftGrid für Desktops oder Microsoft SoftGrid für Terminaldienste. Jedes Verfahren hat bestimmte Vorteile, allerdings müssen auch gewisse Leistungskompromisse in den Bereichen Netzwerkwartezeiten, Serverfarmkonsolidierung und Verwaltungskomplexität in Kauf genommen werden.
Bei einer Desktopimplementierung sind die Anwendungen lokal verfügbar, und Netzwerkverfügbarkeit sowie Durchsatz spielen kaum eine Rolle. Diese Methode empfiehlt sich zum Beispiel für Organisationen, die über Filialen mit begrenzter IT-Infrastruktur verfügen. Die Terminaldienste sind eine gute Option für Organisationen, die Terminalserver bereits eingeführt haben. In diesem Szenario werden Hardware und Software auf effiziente Weise verwendet, wodurch die Anzahl der erforderlichen Server drastisch verringert wird. Natürlich wird dabei eine Umgebung mit wahrer Sitzplatzmobilität ermöglicht. Große Organisationen weisen in der Regel eine Kombination aus einer Desktop- und einer Terminalserverinfrastruktur auf. Bei einer SoftGrid-Bereitstellung erfolgen Installation und Konfiguration der verschiedenen Komponenten bei beiden Methoden auf ähnliche Weise.
Der Client kann unter Verwendung einer beliebigen Standardmethode bereitgestellt werden, z. B. manuelle Installation oder automatisierte Bereitstellung anhand eines Tools wie Systems Management Server 2003. In Abbildung 6 sind die Mindestanforderungen für Hardware und Software aufgeführt, die für die Installation dieser Clients erforderlich sind.
Figure 6 Systemanforderungen für die SoftGrid-Clients

Client | Prozessor | Speicher | Festplattenspeicher | Betriebssystem
Microsoft SoftGrid für Terminaldienste | PIII 850 MHz | 1 GB RAM (mindestens 256 MB, hängt von der Anzahl der Benutzer und Anwendungen ab) | 12 MB für Installation und 4096 MB für Cache | • Windows 2000 Server oder Advanced Server (Terminaldienste aktiviert) • Windows Server 2003 (Terminaldienste aktiviert)
Microsoft SoftGrid für Desktops | PIII 600 MHz | 128 MB | 12 MB für Installation und 2048 MB für Cache | • Windows 2000 Professional oder Windows XP • Windows 2000 Server oder Windows Server 2003
Obwohl die Installation des Clients einfach ist, müssen Sie bei der Installation einige Eigenschaften bereitstellen, beispielsweise den Installationsort, die Cachegröße, den für das virtuelle Laufwerk zu verwendenden Laufwerkbuchstaben, den Speicherort der Anwendungsdateien usw. Nach der Installation des Clients können unter Verwendung der Clientverwaltungskonsole zusätzliche Einstellungen angegeben bzw. Einstellungen geändert werden.
Greifen Sie zum Starten der Clientverwaltungskonsole auf die Systemsteuerung zu, und starten Sie die SoftGrid-Clientverwaltung in der Verwaltung. Sie können eine Verbindung zum lokalen Computer oder zu einem Remotecomputer herstellen.
Abbildung 7 zeigt, dass die Clientverwaltungskonsole aus einem Stammcontainer und drei untergeordneten Containern besteht. Auf der localhost-Stammregisterkarte in SoftGrid können Sie die meisten Funktionsparameter angeben. Dazu gehören das Protokollverzeichnis, das Anwendungsdatenverzeichnis, die Einstellung der Clientausführung und -anzeige, die Häufigkeit der Fehler- und Informationsnachrichten, die maximale Cachegröße, das virtualisierte Laufwerk, die Netzwerk- und Konnektivitätsoptionen bei Verbindungstrennung vom SoftGrid-Server und die Berechtigungen.
Abbildung 7 Clientverwaltungskonsole
Abbildung 7 Clientverwaltungskonsole
Im Anwendungscontainer können Sie Anwendungen anzeigen und ändern. Der Anwendungscontainer stellt Statusinformationen zur lokalen Anwendung bereit, z. B. ob die Anwendung gerade ausgeführt wird, ob die Anwendung im Cache gesperrt ist und welcher prozentuale Anteil der Anwendung (.sft-Datei) zum lokalen Cache gestreamt wurde.
Im Dateitypzuordnungscontainer können Sie eine Dateitypzuordnung anzeigen, ändern und entfernen. Weitere Einzelheiten erhalten Sie im vorherigen Abschnitt über die Dateitypzuordnung.
Der Desktopkonfigurationscontainer ermöglicht Ihnen, die während der Installation angegebenen Anwendungsservereinstellungen anzugeben, zu ändern und manuell zu aktualisieren. Hier können Sie auch auswählen, ob die Clientaktualisierung zum Zeitpunkt der Benutzeranmeldung erfolgen soll (dies ist die Standardauswahl) und wie lange die automatische Aktualisierung dauern soll.

Zusammenfassung
Die Anwendungsvirtualisierung mit Microsoft SoftGrid bietet eine hervorragende Möglichkeit, die Systemzuverlässigkeit zu verbessern und die Verwaltung zu vereinfachen. Auch wenn dabei verschiedene Komponenten zusammenarbeiten, passt sich die Architektur nahtlos in die IT-Infrastruktur ein.
Microsoft SoftGrid für Desktops steht Software Assurance-Kunden als Teil des Microsoft Desktop Optimization Pack zur Verfügung. Weitere Informationen finden Sie unter windowsvista.com/optimizeddesktop. Microsoft SoftGrid für Terminaldienste steht Unternehmenskunden als eine eigenständige Clientzugriffslizenz im Rahmen der Microsoft-Volumenlizenzverträge zur Verfügung. Melden Sie sich zum Herunterladen einer Testversion bei Ihrem Volumenlizenzierungskonto unter https://licensing.microsoft.com an, und wählen Sie unter „Produktdownloads“ die Option „Desktop Optimization Pack for SA“ aus.

Ahmer Sabri ist Technical Specialist in der Finanzdienstleistungsgruppe bei Microsoft. Sie können ihn unter ahmers@microsoft.com erreichen.
Kedar Shah ist Technical Specialist in der Finanzdienstleistungsgruppe bei Microsoft. Sie können ihn unter kedars@microsoft.com erreichen.


Mitteilung der Redaktion Dynamisch und optimiert
Joshua Trupin

In den kommenden Monaten werden Sie wahrscheinlich von zwei IT-Strategien von Microsoft hören: von Dynamic Systems und von Infrastrukturoptimierung. Diese beiden Initiativen sollen Ihnen helfen, IT-Aufgaben erfolgreicher zu bewältigen, und Sie auf die Herausforderungen der Zukunft vorbereiten.
In der Dynamic Systems Initiative wird ein Rahmen für Tools und Anwendungen festgelegt, in dem vier Kernbereiche technischer Innovation miteinander kombiniert werden, um Hilfestellung für die IT-Verfahren von morgen zu bieten. Wenn Sie eine dynamische Umgebung erreichen möchten, sollte Ihre Infrastruktur und Software vereinheitlicht und virtualisiert, prozess- und modellgesteuert, dienstfähig und benutzerorientiert sein.
Die Realisierung einer dynamischen IT-Umgebung ist jedoch nicht allein auf Produkte von Microsoft beschränkt. Statt hauptsächlich Investitionen zur Bewältigung der zunehmenden Komplexität von IT zu tätigen, kann Ihr Unternehmen in Zukunft einen größeren Anteil für die Schaffung von Geschäftsvorteilen durch IT investieren. Wenn Sie mithilfe der Infrastrukturoptimierungsmodelle untersuchen, in welche Richtung sich Ihr Unternehmen in den nächsten zwei Jahren bewegt, können Sie vorhandene Systeme optimal ausnutzen und zugleich auf eine dynamischere Zukunft hinarbeiten.
Generell befindet sich der IT-Lebenszyklus eines Unternehmens zu jedem gegebenen Zeitpunkt in einer von vier Phasen. Grundlegende Infrastruktur: „Wir reagieren auf Notfälle.“ Standardisierte Infrastruktur: „Wir übernehmen die Kontrolle.“ Rationalisierte Infrastruktur: „Wir ermöglichen das Geschäft.“ Dynamische Infrastruktur: „Wir sind eine strategische Ressource.“ Diese Phasen werden unter microsoft.com/io ausführlich behandelt. Sie können die dort zur Verfügung stehende Anleitung dazu nutzen, Ihre Infrastruktur zu analysieren und Pläne für die Zukunft dieser Infrastruktur zu entwickeln. Durch Anwenden der Konzepte von Dynamic Systems können Sie Ihre IT-Organisation in eine wichtige geschäftliche Ressource verwandeln.
Sobald Ihre Organisation die Phase „Dynamische Infrastruktur“ erreicht, sind Ihre IT-Systeme zu selbstverwaltenden, strategischen Geschäftsressourcen herangereift. Ein wahres Paradies der Informationstechnologie. Bei Ihrer Suche nach einer dynamischen IT schreiten Sie am Besten von Phase zu Phase voran, wenn Sie die IT-Verwaltungslösungen aus der System Center-Familie einsetzen. In System Center werden Konfigurationsprogramme, Bereitstellungsanwendungen, ein Operations Manager und noch viel mehr bereitgestellt, denn System Center deckt den kompletten IT-Lebenszyklus von Planung, Bereitstellung und Verwaltung ab.
Zusätzlich kann Ihnen auf diesem Weg natürlich auch das TechNet Magazin weiterhelfen. In dieser Ausgabe liegt der Schwerpunkt auf der Lösungssuite von System Center. Zunächst erhalten Sie eine breit angelegte Übersicht über zwei Hauptkomponenten: System Center Configuration Manager 2007 und System Center Operations Manager 2007. Weiterhin werden Bereitstellung und Betrieb erörtert, sowie das Thema, wie Zweigstellen erfolgreich verwaltet werden können.
Wie ist es um Ihre Infrastruktur bestellt? Besuchen Sie unseren Blog unter blogs.technet.com/tnmag, und teilen Sie uns Ihre Vorstellungen für eine dynamische IT mit. Joshua Trupin


Toolbox Neue Produkte für IT-Experten
Greg Steen

Verwalten von Startkonfigurationsdaten
VistaBootPRO
www.vistabootpro.org
Jeder mir bekannte IT-Experte verfügt über mindestens einen oder zwei Mehrfachstartcomputer. In der Regel umfassen diese Systeme heute eine Instanz von Windows Vista® oder Windows Server® 2008, früher mit dem Codenamen „Longhorn“ bezeichnet. Wenn Sie ein Mehrfachstartsystem mit einem dieser Betriebssysteme ausführen, sollten Sie sich VistaBootPRO von PROnetworks ansehen.
Wie Sie wahrscheinlich wissen, hat Microsoft beginnend mit Windows Vista die Verwaltung der Startkonfiguration verändert. Anstelle einer lesbaren Textdatei wie Boot.ini gibt es jetzt den Startkonfigurationsdatenspeicher (Boot Configuration Data, BCD). Dieser stellt einen sichereren und firmwareunabhängigen Ansatz zum Verwalten von Startumgebungsdetails bereit. Zum Anzeigen und Ändern der BCD gibt es drei grundlegende Möglichkeiten. Bei der ersten wird MSConfig für den grundlegenden Zugriff zum Lesen, Ändern und Neuordnen von Einträgen in den Startkonfigurationsdaten verwendet. Systemadministratoren sind wahrscheinlich mit der zweiten Option am ehesten vertraut, bei der das Befehlszeilentool BCDEdit verwendet wird. Mit diesem Tool können Sie einen neuen Startkonfigurationsdatenspeicher erstellen, vorhandene Speicher ändern und Speicher zum Archivieren und Wiederverwenden importieren oder exportieren. Die dritte Option ist die programmgesteuerte Verwaltung der Startkonfigurationsdaten mithilfe der Windows®-Verwaltungsinstrumentations-API (Windows Management Instrumentation, WMI).
Alle drei Methoden erfüllen die Aufgabe, doch keine ist besonders benutzerfreundlich. VistaBootPRO bietet eine bessere Lösung. Über eine benutzerfreundliche grafische Benutzeroberfläche lässt sich die Startkonfiguration auf einem Computer ändern, auf dem Windows Vista ausgeführt wird. Mithilfe des Tools können Betriebssystemeinträge leicht umbenannt, neue Einträge hinzugefügt, das Startlaufwerk geändert und Zeitüberschreitungsoptionen konfiguriert werden. Zudem können Sie mit VistaBootPRO einen Betriebssystemeintrag auswählen und Startparameter einstellen, beispielsweise das Beschränken der für das Betriebssystem verfügbaren CPUs, das Aktivieren oder Deaktivieren der Datenausführungsverhinderung (Data Execution Prevention, DEP) für Windows Vista oder Windows Server 2008-Einträge, das Reduzieren des verfügbaren physischen Speichers und das Ausführen des Startvorgangs im Debugmodus.
Bevor Sie mithilfe dieses Tools Änderungen an Ihren Startkonfigurationsdaten vornehmen, sollten Sie eine Sicherungskopie des aktuellen Speichers erstellen, falls Probleme eintreten. Die Anwendung warnt Sie, wenn keine Sicherungskopie erstellt wurde, und bietet eine einfache Möglichkeit zum Exportieren der aktuellen Konfiguration. Selbstverständlich können Sie mithilfe von VistaBootPRO gesicherte Konfigurationen auch wiederherstellen.
Alles in allem ist VistaBootPRO eine einfach zu verwendende Anwendung mit guten Features zum Verwalten Ihrer Startkonfigurationsdaten. Zudem ist sie kostenlos erhältlich.

Preis: Kostenlos.
Abbildung vistabootpro (Klicken Sie zum Vergrößern auf das Bild)

Überwachen von Diensten und Geräten
NetGong
netgong.tsarfin.com
Überwachungstools – davon können Sie nie genug haben. Wenn Sie ein neues Überwachungstool für Netzwerkdienste und Geräte erwerben möchten oder einfach nur gerne Überwachungsdienstprogramme ausprobieren, sollten Sie sich NetGong ansehen.
Die Anwendung wird in der Taskleiste ausgeführt und beim Starten von Windows gestartet. Wenn Sie mit der rechten Maustaste auf das Symbol klicken, wird eine Option angezeigt, um die Überwachung schnell zu starten oder zu beenden. Bei einem Doppelklick auf das Symbol wird die Benutzeroberfläche für die Hauptkonfiguration angezeigt, auf der Sie Ereignisse für die überwachten Hosts einstellen, überprüfen und anzeigen können.
Das Einrichten einer Hostüberwachung ist einfach. Geben Sie den Host, den zu überwachenden TCP-Port, das Intervall, in dem die Tests durchgeführt werden sollen, und den gewünschten Warnungstyp ein. Sie können auch eine sinnvolle Beschreibung hinzufügen und die ICMP-Einstellungen (Internet Control Message Protocol) wie Zeitüberschreitung, Paketgröße und Anzahl der Wiederholungen hinzufügen. Standardmäßig ist es bei NetGong erforderlich, dass der überwachte Host auf ICMP-Anforderungen antwortet, aber Sie können diese Option mit einem Kontrollkästchen für automatische Hosts außer Kraft setzen, die ICMP-Anforderungen in Ihrem Netzwerk nicht annehmen.
Die Anwendung verfügt über vier Warnungskategorien: Audio, E-Mail, Nachrichten und Datei. Für die Audiowarnung können Sie eine zu verwendende WAV-Datei angeben. Für Nachrichten können Sie eine Textnachricht definieren, verfügen, dass sie das oberste Fenster ist, und entscheiden, ob das Fenster automatisch oder manuell geschlossen werden soll. Für E-Mail-Warnungen können Sie einen SMTP-Server und die Details der zu sendenden Nachricht angeben. Bei der Dateiwarnung kann eine EXE-Datei (oder Batchdatei) mit konfigurierbaren Parametern, Fenstermodus und Startverzeichnis ausgeführt werden. Für jeden dieser Warnungstypen können Sie einen Zeitplan konfigurieren, in dem Folgendes angegeben wird: wann die erste Warnung gesendet werden soll, die Höchstzahl der zu sendenden Warnungen sowie das Fehlerintervall (Anzahl der Fehler) zwischen den Warnungen. Außerdem können Sie angeben, ob Sie bei Wiederherstellung des Diensts benachrichtigt werden wollen.
NetGong speichert zudem Protokolldateien der Ergebnisse. Sie können Ereignisse in einem Ereignisprotokoll, einer Textdatei oder auf einer dynamisch erstellten HTML-Seite protokollieren. Sie können Überwachungsergebnisse auf Seiten anzeigen, die vom in der Anwendung integrierten Webserver bedient werden, der einen vom Benutzer angegebenen Port überwacht. Zudem können Sie einen Abfragezeichenfolgeparameter mit einem Aktualisierungsintervall senden, damit die Webseite mit den aktuellen Details von Überwachungsereignissen aktualisiert wird.

Preis: 79,95 $ Direktpreis pro Computer (Unternehmenslizenz), 59,95 $ Direktpreis pro Computer (akademische Lizenz), 39,95 $ Direktpreis pro Computer (Heimlizenz).
Abbildung steen.toolbox.netgong (Klicken Sie zum Vergrößern auf das Bild)

Buchbesprechung
Windows PowerShell: TFM
www.sapienpress.com
Sie haben mit Sicherheit schon von der Windows PowerShell™ gehört. Das Thema scheint in aller Munde zu sein. TechNet Magazin hat sogar eine eigene Rubrik dafür (die von einem der Autoren dieses Buchs verfasst wird). Aber haben Sie sich schon intensiv damit befasst?
Windows PowerShell kann ein äußerst wirksames Automatisierungs- und Produktivitätstool sein, wenn Sie erst einmal mit der Funktionsweise vertraut sind. Ganz gleich, ob Sie ein Neuling bei der Skripterstellung oder ein VBScript-Experte sind, der sich mit dieser neuen administratororientierten Skriptsprache und dem Befehlszeilentoolset vertraut machen möchte, ist „Windows PowerShell: TFM“ von Don Jones und Jeffery Hicks ein hervorragender Ausgangspunkt. Dieses in einem leicht verständlichen Stil verfasste Buch ist auf Systemadministratoren ausgerichtet und stellt Themen in den Mittelpunkt, die für die meisten Administratoren nützlich sind.
Der erste Abschnitt des Buchs stellt die Windows PowerShell-Umgebung vor und behandelt die Parameter, die allen Cmdlets gemein sind, sowie die Grundlagen der Syntax und Semantik der Skriptsprache. Konzepte wie Umleitung, Ausführungspipelining, Funktionen, Variablen und das Ausführen mehrerer Shells werden ebenfalls dargestellt. Da Windows PowerShell auf Microsoft® .NET Framework basiert, sind gleichzeitig die Vorteile des verwalteten Codes enthalten. (Es ist zu beachten, dass .NET Framework 2.0 oder später für Windows PowerShell erforderlich ist.) So bietet das Buch auch einen Einblick in die Grundlagen des Frameworks, angefangen beim Sicherheitskontext, in dem Skripts ausgeführt werden, bis hin zu den Konzepten Spiegelung, Assemblys und Klassen.
Nach einer Erläuterung, wie Windows PowerShell in die Windows-Verwaltungsinstrumentation (WMI) eingebunden werden kann, erörtern die Autoren ausführlich die Windows PowerShell-Skriptsprachenstruktur und stellen Beispiele bereit, mit deren Hilfe Sie die Funktion von Objekten und ihren zugeordneten Eigenschaften und Methoden verstehen können. Sie erfahren weiterhin, wie die verschiedenen Operatortypen, angefangen bei grundlegenden arithmetischen Operatoren bis hin zu bitweisen Vergleichsoperatoren, sowie leistungsfähige reguläre Ausdrücke zum Analysieren von Zeichenfolgen für Elemente wie IP-Adressen und Domänencontrollernamen verwendet werden. Das Buch stellt eine wirklich nützliche Grundlage für alle dar, die Windows PowerShell beherrschen möchten.
In den Kapiteln über das Verwalten von Windows und das Erstellen von Datenbankskripts werden einige grundlegende Funktionen von Windows PowerShell aufgezeigt. Sie erfahren mehr über den Umgang mit Ereignisprotokollen, Prozessen, der Registrierung, dem Dateisystem und Verzeichnisdiensten sowie über die Verbindung mit Datenbanken und das Durchführen von Datenbankabfragen.
Andere Abschnitte befassen sich mit der Ausgabe und Formatierung von Daten und legen Einzelheiten zur modularen Gestaltung von Skripts, zur Fehlerbehandlung und zum Debugging dar. Die Autoren machen sogar Vorschläge für Best Practices für das Windows PowerShell-Skripting, einschließlich Namenskonventionen, die Kommentierung von Code und die Verwendung von Einzügen, um den Code lesbarer zu gestalten.
Es ist ratsam, das Buch immer zur Hand zu haben, um leicht auf das Material in den Anhängen zugreifen zu können. Ein Anhang enthält Informationen zu allen 133 Windows PowerShell-Cmdlets, der andere Informationen zu den gebräuchlichsten Typen (und den diesen Typen zugeordneten Methoden und Eigenschaften). Hier können Sie nicht nur schnell nachschlagen, wie ein bestimmtes Cmdlet verwendet wird, sondern erhalten darüber hinaus einen Direkteinblick in den Funktionsumfang von Windows PowerShell.

Preis: 49,99 $ Listenpreis.

Testen Sie Ihre Kabel
SMARTest Compact Network Cable Tester
www.hobbes-usa.com
Kabel, Kabel überall! IT-Experten sind praktisch überall von CAT5-Kabeln umgeben. Sogar von jeder Menge CAT5-Kabeln: Hunderte von Litzen, die Hunderte von Metern lang sind. Wenn Sie für diese Kabel verantwortlich sind, ist ein gutes, einfach zu transportierendes Kabelprüfgerät nicht nur praktisch, sondern unerlässlich. Daher lohnt sich ein Blick auf den SMARTest Compact Network Cable Tester von Hobbes.
Das SMARTest-Gerät ist ein Kabelprüfgerät in Stiftform. Es ist mit Netzwerkkabeln der Klasse CAT 3, 4, 5, 5e und 6 kompatibel und ist Ihnen beim Erkennen häufiger Probleme bei der Kabelverdrahtung behilflich. Sie können in einer Kabellitze nach nicht voll belegten, kurz geschlossenen, umgekehrten und falsch belegten Kabeln sowie vertauschten Paaren und Erdungsproblemen suchen.
Das Gerät läuft mit vier kleinen Uhrenbatterien, sodass die Kabel beim Testen nicht angeschlossen sein müssen. SMARTest soll gar nicht mit einer aktiven Netzwerkverbindung verbunden werden. Zum Prüfen eines Kabels stöpseln Sie einfach ein Ende der Litze in die Haupteinheit und das andere in die abnehmbare Remoteeinheit. Die SMARTest-Einheit verfügt über eine Schnittstelle mit RJ45-Stecker und Buchse sodass jede Kabeleinrichtung geprüft werden kann. Sie können das SMARTest-Gerät sogar zum Prüfen der Verdrahtung oder von Verbindungstafeln und Wandsteckdosen verwenden.
Eine weitere praktische Funktion des Geräts ist die integrierte Tongenerierung, sodass Sie ein Audiosignal durch das von Ihnen geprüfte Kabel senden können. Das Signal kann anschließend mit einer kompatiblen Signalsonde wie der Cable Tracer Probe (ebenfalls von Hobbes) empfangen werden.
Das SMARTest-Gerät mit Tongenerierung kostet im Einzelhandel 80 bis 90 $. Ein optionaler F-Connector-Adapter zum Testen von Koaxialkabeln ist ebenfalls erhältlich.

Preis: 99,99 $ Listenpreis.
Abbildung steen.toolbox.smartest (Klicken Sie zum Vergrößern auf das Bild)

Greg Steen ist Technologieexperte, Unternehmer und Enthusiast. Er ist immer auf der Suche nach neuen Hilfsmitteln und Methoden, um Arbeits- und Entwicklungsprozesse für IT-Experten zu erleichtern.


SQL – Fragen und Antworten Ermitteln von Sperren, große Abfragen, E/A-Statistiken und mehr
Herausgegeben von Nancy Michell

Laden Sie den Code für diesen Artikel herunter: SQLQandA2007_08.exe (151KB)

F: Ich muss die Namen der Objekte in allen Datenbanken anzeigen, die mit Sperren versehen sind. Wie kann ich das erreichen?

A: In SQL Server™ 2000 können Sie die syslocks-Systemtabelle in Master abfragen oder sp_lock ausführen, um aktuelle Informationen zu Sperren abzurufen. Gehen Sie dabei folgendermaßen vor:
SELECT * FROM master..syslocks
EXEC sp_lock
Angenommen aber, dass Sie das eigentliche Objekt NAMES aus der ObjID aus dem OUTPUT des gespeicherten sp_lock-Verfahrens (oder aus der id-Spalte in master..syslocks) übersetzen wollen.
In SQL Server 2005 SP1 und früher können Sie mithilfe der OBJECT_NAME-Funktion nur einen Parameter übergeben: object_id. Um den Objektnamen richtig abzurufen, mussten Sie vor Ausführen von OBJECT_NAME die CURRENT-Datenbank bearbeiten. Dies erschwerte das Überwachen der aktuellen Sperren, da Sie benutzerdefinierten Code schreiben mussten, um zum Abrufen des richtigen OBJECT_NAME jede Datenbank zu durchlaufen.
USE DBNAME
SELECT OBJECT_NAME(object_id)
SQL Server 2005 SP2 verbessert dies durch Hinzufügen eines zweiten Parameters: database_id. Dieser neue Parameter ermöglicht das Abfragen von Objektnamen unabhängig davon, mit welcher CURRENT-Datenbank Sie verbunden sind.
OBJECT_NAME ( object_id [, database_id ] )
Jetzt können Sie sys.dm_tran_locks abfragen und den Objektnamen für jede Datenbank folgendermaßen abrufen:
SELECT
DB_NAME(resource_database_id),
OBJECT_NAME(resource_associated_entity_id, resource_database_id)
FROM sys.dm_tran_locks
WHERE resource_type='OBJECT'
Es ist jedoch zu beachten, dass dies nur in SQL Server 2005 SP2 oder höher funktioniert. Wenn Sie dies in einer früheren Version von SQL Server 2005 ausführen, wird folgender Fehler angezeigt:
Msg 174, Level 15, State 1, Line 1
The object_name function requires 1 argument(s).
In einem weiteren, in Abbildung 1 dargestellten Beispiel, werden sys.dm_exec_sessions verknüpft, um Informationen über die Dienstprozess-IDs (SPIDS) abzurufen, die an den Sperren beteiligt sind. Weitere Informationen finden Sie in der SQL Server-Onlinedokumentation unter technet.microsoft.com/library/ms130214(sql.90).aspx.
Figure 1 Ermitteln von Serverprozess-IDs
SELECT
DB_NAME(resource_database_id) as DBName,
OBJECT_NAME(resource_associated_entity_id, resource_database_id) AS ObjectName,
request_mode,
request_type,
request_session_id,
es.host_name,
es.login_name,
es.login_time
FROM
sys.dm_tran_locks tl
INNER JOIN sys.dm_exec_sessions es
ON tl.request_session_id=es.session_id
WHERE resource_type='OBJECT'

F: Ich arbeite mit einer großen, dynamischen SQL-Abfrage, die bisweilen die Länge von NVARCHAR(max) zu überschreiten scheint. Gibt es eine einfache Lösung, die es mir ermöglicht, eine so große Zeichenfolge auszuführen?

A: Wenn die Länge von NVARCHAR(max) überschritten wird, liegt eine Abfrage von 2 GB Größe vor! Sie müssen wahrscheinlich alle Zeichenfolgen, die Sie verketten, auch in NVARCHAR(max) konvertieren. Eine einfachere Problemumgehung, die auch in Versionen von SQL Server vor SQL Server 2005 wirksam ist, besteht in der Verkettung einer Reihe von kleineren Zeichenfolgen. Hier ist ein Beispiel:
DECLARE @q1 NVARCHAR(4000), @q2 NVARCHAR(4000), @q3 NVARCHAR(4000)
SET @q1 = 'SELECT...'
SET @q2 = 'FROM...'
SET @q3 = 'WHERE...'
EXEC (@q1 + @q2 + @q3)
TIPP: Verwenden der OUTPUT-Klausel
Sie können jetzt von Ihnen durchgeführte Änderungen mithilfe von Datenbearbeitungssprachen-Anweisungen (Data Manipulation Language, DML) überprüfen, ohne Trigger zu verwenden. In SQL Server 2005 wurde eine OUTPUT-Klausel als Teil von DML-Anweisungen eingeführt, mit der während eines DML-Vorgangs durchgeführte Änderungen nachverfolgt werden können. Die OUTPUT-Klausel kann das Resultset in einer Tabelle oder Tabellenvariablen speichern.
Die Funktion ähnelt denen von Triggern bei INSERTED- und DELETED-Tabellen, die auf die während des DML-Vorgangs geänderten Zeilen zugriffen. Um zu sehen, wie dies funktioniert, wird die Adresse aus der Adresstabelle in die Umkehrung des ursprünglichen Werts geändert, wie es die nachstehende Abbildung zeigt. Sie können die in diesem Code dargestellte Logik auch verwenden, um an den Daten vorgenommene Änderungen nachzuverfolgen und in einer Tabelle zu speichern.
Die Ausgabe der Abfrage sieht folgendermaßen aus:
Original Value:'1234 One Microsoft Way, Redmond, Wa.' has been changed to: '.aW,dnomdeR
,yaW tfosorciM enO 4321'

Ändern einer Adresse
--Create the address table
Create Table Address (ProductID Int, SupplierID Int, Address Varchar(255))

--Insert data
Insert into Address Values (234,567,'1234 One Microsoft Way, Redmond, Wa.')

--Declare a table variable
Declare @Recordchanges table (change Varchar(255))

--Update the address
Update Supplier.Address
Set Address=reverse(address)

--Record the updates into the table variable
OUTPUT 'Original Value:' + DELETED.Address+' has been changed to: '+ INSERTED.Address+''
into @RecordChanges

--Query the changes from table variable
Select * from @RecordChanges

Thanks to the following Microsoft IT pros for their technical expertise: Christian Bolton, Dan Carollo, Robert Davis, Jorge Guzman, Saleem Hakani, Ward Pond, Kalyan Yella, and Paolo Zavatarelli.

F: Ich arbeite mit einer unternehmenswichtigen SQL Server 2005-Clusterinstallation auf Windows Server® 2003. Der Microsoft® Distributed Transaction Coordinator (MS DTC) wurde auf derselben Gruppe mit dem Quorum „geclustert“, verwendet aber eine dedizierte Datenträgerressource (MS DTC verwendet denselben Netzwerknamen und dieselbe IP-Adresse wie die Quorumclustergruppe). Ich möchte diese Konfiguration entsprechend der Best Practices von Microsoft ausrichten. Daher brauche ich Hilfestellung beim Verschieben von MS DTC in eine dedizierte Clustergruppe. Reicht es, die MS DTC-Dienste mithilfe des Clusterverwaltungsprogramms zu entfernen und sie in einer dedizierten Gruppe neu zu erstellen?

A: Da Sie bereits über eine dedizierte Datenträgerressource für MS DTC verfügen, müssten Sie in der Lage sein, die Ressource einfach zu entfernen und sie in einer neuen Gruppe neu zu erstellen. Sie müssen in der neuen Gruppe auch einen neuen Netzwerknamen und eine virtuelle IP-Adresse erstellen.
Alternativ könnten Sie den neuen Netzwerknamen und die IP-Adresse in der Clustergruppe erstellen und die Abhängigkeiten zu den neuen Ressourcen ändern. Sie können MS DTC dann in eine neue Gruppe ziehen – der dedizierte Datenträger und die neuen Ressourcen werden dabei ebenfalls verschoben.

F: Ich muss E/A-Statistiken der physischen Datenbankdateien in einer Datenbank anzeigen. Was sollte ich dazu verwenden?

A: Die Systemfunktion „fn_virtualfilestats“, die in SQL Server 2000 und SQL Server 2005 zur Verfügung steht, und die Systemfunktion „sys.dm_io_virtual_file_stats“ (nur in SQL Server 2005) erfüllen genau diese Aufgabe. Die Funktion gibt statistische Informationen zurück, die seit dem letzten Start der Instanz von SQL Server gesammelt wurden. Beispielergebnisse sind in Abbildung 2 dargestellt.
Figure 2 Anzeigen von E/A-Statistiken in einer Datenbank

DbId | FileId | TimeStamp | NumberReads | NumberWrites | BytesRead | BytesWritten | IoStallMS
20 | 1 | 250765718 | 381 | 0 | 3350528 | 0 | 951
20 | 2 | 250765718 | 12 | 8 | 409600 | 491520 | 0
20 | 3 | 250765718 | 5 | 0 | 40960 | 0 | 16
Wenn Sie die E/A-Auswirkung auf die zugrunde liegenden Datendateien verstehen, können Sie das physische Verteilen von Dateien und Dateigruppen auf Datenvolumes, das Erkennen möglicher E/A-Engpässe, die Durchführung der Datenbankwartung auf Dateiebene und ähnliche Aufgaben besser planen. Diese Funktion ist besonders nützlich für das Untersuchen der E/A-Auswirkung für große Datenbanken, in denen möglicherweise mehrere Dateien und Dateigruppen vorhanden sind.
Die Abfrage zum Anzeigen der Datei-E/A-Informationen für SQL Server 2000 sieht folgendermaßen aus:
SELECT *
FROM ::fn_virtualfilestats(default,default)
GO
Zum Anzeigen einer bestimmten databaseID übergeben Sie die ID für die Datenbank wie folgt:
SELECT *
FROM ::fn_virtualfilestats(7,default)
GO
Dies ist der SQL Server 2005-Code, der Dateistatistiken für alle Datenbanken auf dem Server anzeigt:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
GO
Die folgende Abfrage gibt Dateistatistiken nur für die aktuelle Datenbank zurück:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
WHERE DBID=db_id()
GO
Für SQL Server 2005 gibt es auch eine neue Systemfunktion mit der Bezeichnung „sys.dm_io_virtual_file_stats“, die letztendlich die Legacyfunktion „fn_virtualfilestats“ ersetzen soll:
sys.dm_io_virtual_file_stats(
{ database_id | NULL },
{ file_id | NULL }
)
So wird sie verwendet:
SELECT * FROM sys.dm_io_virtual_file_stats(NULL,NULL)
Wenn Sie einen lesbareren Bericht generieren wollen, der die eigentlichen Datenbanknamen und Dateinamen aus der Ausgabe zeigt, können Sie den Code im begleitenden Download für SQL Server 2000 oder SQL Server 2005 verwenden. Der Code ist auf der TechNet Magazin -Website verfügbar.

F: Ich muss auf einfache Art und Weise feststellen, ob eine Löschtransaktion einen Trigger ausgelöst hat. Wie kann ich diese Informationen abrufen?

A: Beim Umgang mit Triggern, die Aktionen wie Löschen, Einfügen und Aktualisieren handhaben, sind eine Reihe verschiedener Verfahren gebräuchlich, um zu bestimmen, ob durch eine Löschtransaktion ein Trigger ausgelöst wurde. Eine populäre Methode besteht im Vergleich der Anzahl der eingefügten und gelöschten virtuellen Tabellen, um festzustellen, ob sie einander entsprechen. Es gibt jedoch eine einfachere Methode: Sie können stattdessen die Columns_Updated-Funktion verwenden.
Wenn ein Trigger nämlich durch eine Löschtransaktion ausgelöst wird, gibt Columns_Updated immer den varbinary-Wert 0x zurück. Durch die folgende Überprüfung wird nachgewiesen, ob der Trigger durch eine Löschtransaktion ausgelöst wurde:
IF Columns_Updated() = 0x
TIPP: Initialisieren von Daten- und Protokolldateien
Wussten Sie, dass Daten- und Protokolldateien initialisiert werden, um auf dem Datenträger vorhandene Daten zu überschreiben, die aus zuvor gelöschten Dateien stammen? Daten- und Protokolldateien werden zunächst initialisiert, indem die Dateien mit Nullen gefüllt werden, wenn eine Datenbank erstellt wird, Dateien, Protokolle oder Daten einer vorhandenen Datenbank hinzugefügt werden, eine vorhandene Datei (auch mithilfe automatischer Vergrößerungsvorgänge) vergrößert oder eine Datenbank oder Dateigruppe wiederhergestellt wird. Aufgrund der Dateiinitialisierung nehmen diese Vorgänge mehr Zeit in Anspruch. Wenn jedoch zum ersten Mal Daten in die Dateien geschrieben werden, muss das Betriebssystem die Dateien nicht mit Nullen füllen.
In SQL Server 2005 können Datendateien unverzüglich initialisiert werden. Diese Funktion ermöglicht die schnelle Ausführung der zuvor erwähnten Dateivorgänge. Durch die sofortige Dateiinitialisierung wird belegter Speicherplatz zurückgewonnen, ohne ihn mit Nullen zu füllen. Stattdessen wird Datenträgerinhalt überschrieben, wenn neue Daten in die Dateien geschrieben werden. Protokolldateien können nicht unmittelbar initialisiert werden. Die sofortige Dateiinitialisierung ist nur in Windows XP Professional und Windows Server 2003 oder späteren Versionen verfügbar.
Da der gelöschte Datenträgerinhalt nur überschrieben wird, wenn neue Daten in die Dateien geschrieben werden, könnte ein nicht autorisierter Prinzipal auf den gelöschten Inhalt zugreifen. Obwohl die Datenbankdatei an die Instanz von SQL Server angehängt ist, wird die Bedrohung der Offenlegung von Informationen durch die freigegebene Zugriffssteuerungsliste (Discretionary Access Control List, DACL) auf der Datei verringert. Diese DACL erlaubt den Dateizugriff nur durch das SQL Server-Dienstkonto und ermöglicht dies lediglich dem lokalen Administrator. Doch wenn die Datei getrennt ist, kann auf sie von einem Benutzer oder Dienst zugegriffen werden, der nicht über SE_MANAGE_VOLUME_NAME verfügt. Eine ähnliche Bedrohung ist bei der Sicherung der Datenbank vorhanden. Der gelöschte Inhalt kann für einen nicht autorisierten Benutzer oder Dienst zugänglich werden, wenn die Sicherungsdatei nicht mit einer entsprechenden DACL geschützt ist.
Wenn Sie Bedenken haben, dass gelöschte Inhalte potenziell offengelegt werden könnten, sollten Sie sicherstellen, dass alle getrennten Datendateien und Sicherungsdateien über einschränkende DACLs verfügen. Zudem sollten Sie die sofortige Dateiinitialisierung für die Instanz von SQL Server durch Widerrufen von SE_MANAGE_VOLUME_NAME im SQL Server-Dienstkonto deaktivieren.

Thanks to the following Microsoft IT pros for their technical expertise: Christian Bolton, Dan Carollo, Robert Davis, Jorge Guzman, Saleem Hakani, Ward Pond, Kalyan Yella, and Paolo Zavatarelli.


Schwerpunkt Dienstprogramme BGInfo
Lance Whitney

Laden Sie den Code für diesen Artikel herunter: BgInfo v4.10 (274KB)

Sie versuchen, ein Problem mit dem PC eines Benutzers zu lösen und brauchen Informationen über den Computer – Name, IP-Adresse, Gateway, Speicher, verfügbarer Speicherplatz und so weiter. Zum Zusammenstellen aller dieser Daten müssen Sie in der Regel mehrere Quellen durchforsten oder dem Benutzer alle möglichen Fragen stellen. Wäre es nicht bequem, wenn alles, was Sie über einen PC wissen müssen, an einem Ort zugänglich wäre? Dies ist mithilfe eines kostenlosen Tools namens BGInfo von Sysinternals möglich.
BGInfo (eine Abkürzung für Background Information), ein von Bryce Cogswell geschriebenes Programm, fragt bei einer Windows®-Arbeitsstation oder einem Server Schlüsseldaten ab – angefangen von netzwerkbezogenen Statistiken (IP-Adresse, Router, Domänenname, MAC-Adresse) bis hin zu Hardware- und Softwareinformationen (Computername, Speicher, Betriebssystemversion und Service Pack-Version). Das Programm zeigt dann alle diese Daten auf dem Desktop als Teil des Hintergrundbilds an, sodass die Informationen deutlich sichtbar sind, ohne zu stören (siehe Abbildung 1).
Abbildung 1 BGInfo zeigt Systeminformationen auf dem Desktop an.
Abbildung 1 BGInfo zeigt Systeminformationen auf dem Desktop an. (Klicken Sie zum Vergrößern auf das Bild)
Zum Ausführen von BGInfo doppelklicken Sie auf die bginfo.exe-Datei. Eine Installation ist nicht erforderlich. Der Konfigurationsbildschirm wird zur Überprüfung und Auswahl der anzuzeigenden Datenfelder angezeigt. Standardmäßig zeigt BGInfo 24 separate Informationen an. Sie können Felder entfernen, die nicht angezeigt werden sollen, und diese später wieder hinzufügen, wenn Sie es sich anders überlegen. Außerdem können zusätzliche Felder leicht eingefügt werden. BGInfo zeigt beliebige Umgebungsvariablen, die meisten Registrierungswerte sowie die Ausgabe von VBScript und von Abfragen der Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI) an. Die WMI-Schnittstelle bietet eine einfache Methode zum Erstellen von Abfragen durch Auswählen von Werten aus einem Dropdownmenü. BGInfo kann auch bestimmte Dateien abfragen, sodass deren Versionsinformationen, Zeitstempel und Inhalt angezeigt werden.
Die Anzeige ist sehr anpassbar. Sie können verschiedene Textattribute wie Ausrichtung, Schriftart, Schriftgrad und Farbe ändern. Des Weiteren können Sie die Position der Daten in verschiedene Bereiche des Desktops verschieben und die maximale Breite des Anzeigebereichs in Zoll angeben. Schließlich können den Textdaten mithilfe von BGInfo Grafiken hinzugefügt werden, sodass ein Bild (beispielsweise das Logo Ihres Unternehmens) eingefügt werden kann. Wenn Sie alle diese Information nicht auf dem Desktop anzeigen wollen, richten Sie BGInfo einfach als Symbol in der Taskleiste ein. Durch Klicken auf das Symbol werden alle Informationen angezeigt.
Nach Auswahl der Formatierungsoptionen können Sie auf die Schaltfläche „Preview“ (Vorschau) klicken, um die Anzeige zu prüfen. Wenn alles Ihren Vorstellungen entspricht, übernehmen Sie die Einstellungen. BGInfo kann bei Bedarf manuell auf jedem beliebigen PC ausgeführt oder automatisch aktualisiert werden. Zum regelmäßigen Aktualisieren der Daten fügen Sie die BGInfo.exe-Datei dem Startordner hinzu, oder richten Sie die Aktualisierung als geplanten Task ein. Nach Anpassen von BGInfo auf einem Computer wollen Sie dieselben Einstellungen wahrscheinlich auf anderen PCs verwenden. Speichern Sie Ihre Einstellungen als BGI-Datei, und laden Sie diese dann auf andere Computer, auf denen das Programm ausgeführt wird.
Sie können BGInfo zwar jeweils auf einem PC ausführen, möchten das Programm aber möglicherweise auf mehreren Netzwerkclients auslösen. Es ist möglich, die bginfo.exe-Datei in ein Anmeldeskript einzufügen, da das Programm mehrere Befehlszeilenoptionen zum Steuern des Verhaltens bereitstellt. Die von BGInfo gesammelten Daten können auch in eine externe Datei exportiert werden, beispielsweise eine Textdatei, Excel®-Tabelle, Access™-Datenbank oder SQL-Datenbank. So steht Ihnen eine nützliche Ressource aller Netzwerk-PC-Statistiken zur Verfügung.
Die Hilfe zu BGInfo ist umfassend und leicht verständlich. Sie enthält sogar Tipps zum Schreiben einfacher VBScript- und WMI-Abfragen, deren Ausgabe von BGInfo aufgezeichnet werden kann. Das Programm wird auf allen Windows-Versionen ausgeführt, von Windows 95 bis hin zu Windows Vista®. Unter microsoft.com/technet/sysinternals/Miscellaneous/BgInfo.mspx erfahren Sie mehr über BGInfo. Dort können Sie auch das Tool herunterladen.

Lance Whitney ist IT-Berater, Schulungsleiter und Autor technischer Artikel. Whitney hat sich intensiv mit dem Optimieren von Windows-Arbeitsstationen und -Servern beschäftigt. Er ist von Hause aus Journalist und hat vor etwa 15 Jahren den Sprung in das kalte Wasser der IT-Welt getan.


The Cable Guy Automatische IPv6-Konfiguration in Windows Vista
Joseph Davies

Bei IPv6 geht es um mehr als die Erweiterung des Adressraums von 32 Bit in IPv4 auf 128 Bit. IPv6-Hosts können sich auch selbst automatisch konfigurieren, ohne ein Adresskonfigurationsprotokoll wie DHCP für IPv6 (DHCPv6) zu verwenden.
Basierend auf RFC 2462 konfigurieren alle IPv6-Knoten automatisch eine Link-Local-Adresse für jede Schnittstelle. Ein IPv6-Host verwendet auch die Routersuche (einen Austausch von Routeranfragen und Routerankündigungen), um zusätzliche Adressen und Konfigurationseinstellungen zu bestimmen. In der vom Router gesendeten Routerankündigung enthalten sind die Kennzeichen „Verwaltete Adresskonfiguration“ (Managed Address Configuration, auch M-Kennzeichen genannt) und „Andere statusbehaftete Konfig.“ (Other Stateful Configuration oder O-Kennzeichen), die anzeigen, ob der Host DHCPv6 für zusätzliche Adressen oder Konfigurationseinstellungen verwenden sollte.

Arten der automatischen IPv6-Konfiguration
Neben der Link-Local-Adresse können Hosts auch die statusfreie automatische Konfiguration zum Konfigurieren von Adressen und anderen Einstellungen auf Grundlage des Eingangs von Routerankündigungen verwenden. Diese Nachrichten können eine oder mehrere Optionen für die Präfixinformationen umfassen, die der empfangende Host zum Ableiten statusfreier Adressen verwenden kann.
Entsprechend ist die statusbehaftete automatische Konfiguration die Konfiguration von Adressen und anderen Einstellungen, die auf der Verwendung von DHCPv6 zum Erhalt von Adressen basiert. Ein Host verwendet die statusbehaftete automatische Konfiguration, wenn er eine Routerankündigung erhält, bei der das M-Kennzeichen auf 1 eingestellt ist.
Schließlich kann ein Host sowohl die statusfreie als auch die statusbehaftete automatische Konfiguration verwenden, bei der es sich um eine Kombination von Adressen handelt, die in der Routerankündigung enthalten sind und von einem DHCPv6-Server eingehen.

Automatisch konfigurierte Adressstatus
Wenn sich eine automatisch konfigurierte Adresse den Status „Vorläufig“ hat, wird sie durch die Erkennung auf doppelte Adressen (Duplicate Address Detection, DAD) gerade als eindeutig überprüft. In der Randleiste „Der automatische RFC 2462-IPv6-Konfigurationsprozess“ finden Sie Informationen, wie DAD durchgeführt wird. Eine Adresse mit dem Status „Gültig“ wurde als eindeutig überprüft und kann zum Senden und Empfangen von Unicastverkehr verwendet werden. Der Status „Gültig“ umfasst die Status „Bevorzugt“ und „Veraltet“. Im Status „Bevorzugt“ kann die Adresse für unbeschränkte Kommunikation verwendet werden. Im Status „Veraltet“ sollte die Adresse nicht für neue Kommunikation verwendet werden, doch für existierende Kommunikation kann diese Adresse weiter verwendet werden.
Der automatische RFC 2462-IPv6-Konfigurationsprozess
Die folgenden Schritte beschreiben den automatischen Konfigurationsprozess für einen IPv6-Host, wie in RFC 2462 definiert:
  • Leiten Sie eine vorläufige Link-Local-Adresse mit einer Extended Unique Identifier (EUI)-64-Schnittstellen-ID ab.
  • Führen Sie DAD auf der vorläufigen Link-Local-Adresse durch, indem Sie eine Nachbaranfrage senden, in der die Zieladresse in der Nachricht auf die vorläufige Link-Local-Adresse eingestellt ist.
  • Wenn eine als Antwort auf die Nachbaranfrage gesendete Nachbarankündigung eingeht, handelt es sich bei der vorläufigen Link-Local-Adresse um eine doppelte Adresse. Halten Sie die automatische Adresskonfiguration an. An dieser Stelle muss der Host manuell konfiguriert werden.
  • Wenn keine (als Antwort auf die Nachbaranfrage gesendete) Nachbarankündigung eingeht, ist die vorläufige Link-Local-Adresse eindeutig. Ändern Sie den Status der Adresse auf der Schnittstelle in „Bevorzugt“.
  • Senden Sie eine Routeranfrage.
  • Wenn keine Routerankündigungen eingehen, verwenden Sie DHCPv6, um Adressen und andere Konfigurationsparameter zu erhalten.
  • Wenn eine Routerankündigung eingeht, konfigurieren Sie vorläufige Adressen für die enthaltenen Präfixe und führen die Erkennung auf doppelte Adressen für jede vorläufige Adresse durch. Wenn die Adressen einmalig sind, ändern Sie den Status der Adressen auf der Schnittstelle in „bevorzugt“ um.
  • Wenn das M-Kennzeichen in der Routerankündigung auf 1 eingestellt ist, verwenden Sie DHCPv6, um zusätzliche statusbehaftete Adressen zu erhalten.
  • Wenn das M-Kennzeichen in der Routerankündigung auf 0 und das O-Kennzeichen auf 1 eingestellt ist, verwenden Sie DHCPv6, um zusätzliche Konfigurationsparameter zu erhalten.

Ein veröffentlichender Router oder DHCPv6-Server gibt die gültige und bevorzugte Gültigkeitsdauer für ein Adresspräfix an. Eine Adresse geht in den Status „Veraltet“ über, wenn die bevorzugte Gültigkeitsdauer der Adresse überschritten wird. Die bevorzugte Gültigkeitsdauer einer automatisch konfigurierten Adresse wird durch den Eingang von Routerankündigungen oder durch Erneuern der DHCPv6-Adresskonfiguration aktualisiert. Abbildung 1 zeigt die Status einer automatisch konfigurierten Adresse und ihre Beziehung zur bevorzugten und gültigen Gültigkeitsdauer.
Abbildung 1 Die Status einer automatisch konfigurierten Adresse
Abbildung 1 Die Status einer automatisch konfigurierten Adresse (Klicken Sie zum Vergrößern auf das Bild)
Mit Ausnahme der automatischen Konfiguration für Link-Local-Adressen ist die automatische Adresskonfiguration nur für IPv6-Hosts angegeben. IPv6-Router müssen Adress- und Konfigurationsparameter auf andere Weise, z. B. durch manuelle Konfiguration erhalten.
Die Randleiste „Der automatische RFC 2462-IPv6-Konfigurationsprozess“ beschreibt ausführlich den automatischen IPv6-Adresskonfigurationsprozess für Hosts, der in RFC 2462 definiert ist.

Automatisches IPv6-Konfigurationsverhalten für Windows Vista
Computer, auf denen Windows Vista® oder Windows Server® 2008, ehemals mit dem Codenamen „Longhorn“ bezeichnet, ausgeführt wird, generieren standardmäßig zufällige Schnittstellen-IDs für nichttemporäre, automatisch konfigurierte IPv6-Adressen, einschließlich öffentlicher und Link-Local-Adressen, anstelle von EUI-64-basierten Schnittstellen-IDs. Eine öffentliche IPv6-Adresse ist eine globale Adresse, die im DNS registriert ist und in der Regel von Serveranwendungen für eingehende Verbindungen, beispielsweise einen Webserver, verwendet wird. Sie können dieses Standardverhalten mit folgendem Befehl deaktivieren:
netsh interface ipv6 set global randomizeidentifiers=disabled
Bei Deaktivierung verwendet IPv6 EUI-64-basierte Schnittstellen-IDs.
Bei Verwendung einer zufällig abgeleiteten Schnittstellen-ID ist die Chance einer Duplizierung der Link-Local-Adresse äußerst gering. Daher warten Computer, auf denen Windows Vista oder Windows Server 2008 ausgeführt wird, nicht auf den Abschluss von DAD, bevor Routeranfragen gesendet werden, die ihre abgeleiteten Link-Local-Adressen verwenden. Dies wird als optimistische DAD bezeichnet. Routersuche und DAD werden parallel durchgeführt, um Zeit während des Schnittstelleninitialisierungsprozesses zu sparen.
Computer, auf denen Windows Vista oder Windows Server 2008 ausgeführt wird, versuchen nicht, die statusbehaftete, automatische Adresskonfiguration mit DHCPv6 durchzuführen, wenn keine Routerankündigungen eingehen.
Der automatische Windows Vista-IPv6-Konfigurationsprozess
Die folgenden Schritte beschreiben den automatischen Konfigurationsprozess für einen IPv6-Host, auf dem Windows Vista ausgeführt wird:
  • Leiten Sie eine vorläufige Link-Local-Adresse für die LAN-Schnittstelle mit einer zufällig abgeleiteten Schnittstellen-ID ab (dies ist die Standardeinstellung).
  • Führen Sie DAD für die abgeleitete Link-Local-Adresse der LAN-Schnittstelle durch. (Senden Sie eine Nachbaranfrage mit dem Zieladressfeld, das auf die vorläufige Link-Local-Adresse eingestellt ist.)
  • Führen Sie die Routersuche auf der LAN-Schnittstelle durch. (Senden Sie eine Routeranfrage von der vorläufigen Link-Local-Adresse.)
  • Wenn als Antwort auf die in Schritt 2 gesendete Nachbaranfrage eine Nachbarankündigung eingeht, markieren Sie die Link-Local-Adresse als Duplikat.
  • Wenn keine Nachbarankündigungen als Antwort auf die Nachbaranfrage eingehen, ändern Sie den Status der Link-Local-Adresse auf der LAN-Schnittstelle in „bevorzugt“ um.
  • Wenn keine Routerankündigungen eingehen, halten Sie die automatische IPv6-Adresskonfiguration auf der LAN-Schnittstelle an. Fahren Sie mit Schritt 13 fort.
  • Wenn eine Routerankündigung eingeht, erstellen Sie vorläufige öffentliche Adressen, die den globalen oder einmaligen lokalen Adresspräfixen in der Nachricht basierend auf der zufälligen, in Schritt 1 abgeleiteten Schnittstellen-ID entsprechen, und führen DAD durch.
  • Erstellen Sie vorläufige temporäre Adressen, die den globalen oder eindeutigen lokalen Adresspräfixen in der Nachricht entsprechen, die neue, zufällig abgeleitete, zufällige Schnittstellen-IDs verwendet, und führen Sie DAD durch.
  • Wenn für jede neue Adresse keine Nachbarankündigungen als Antwort auf die Nachbaranfrage eingehen, ändern Sie den Status der Adresse auf der LAN-Schnittstelle in „bevorzugt“ um.
  • Wenn bei der Routerankündigung sowohl das M- als auch das O-Kennzeichen auf 0 eingestellt sind, halten Sie die automatische IPv6-Konfiguration auf der LAN-Schnittstelle an. Fahren Sie mit Schritt 13 fort.
  • Wenn bei der Routerankündigung das M-Kennzeichen auf 1 eingestellt ist, verwenden Sie DHCPv6, um statusbehaftete IPv6-Adressen und zusätzliche Konfigurationseinstellungen zu erhalten.
  • Wenn bei der Routerankündigung das M-Kennzeichen auf 0 und das O-Kennzeichen auf 1 eingestellt ist, verwenden Sie DHCPv6, um zusätzliche Konfigurationseinstellungen zu erhalten.
  • Leiten Sie Link-Local-ISATAP-Adressen ab, die auf den IPv4-Adressen der LAN-Schnittstelle basieren, und weisen Sie diese der ISATAP-Tunnelschnittstelle zu.
  • Versuchen Sie, den Hostnamen „ISATAP“ in einer IPv4-Adresse aufzulösen.
  • Wenn der Hostname „ISATAP“ nicht aufgelöst werden kann, halten Sie die IPv6-Konfiguration an.
  • Wenn der Hostname „ISATAP“ in einer IPv4-Adresse aufgelöst wird, senden Sie eine IPv4-gekapselte Routeranfrage an den ISATAP-Router.
  • Wenn eine Routerankündigung vom ISATAP-Router eingeht, erstellen Sie zusätzliche ISATAP-Adressen, die den angekündigten globalen oder einmaligen lokalen Adresspräfixen entsprechen, und weisen diese der ISATAP-Tunnelschnittstelle zu.

Automatisch konfigurierte Adressen für Windows Vista
Wie bereits beschrieben, konfiguriert das IPv6-Protokoll für Windows Vista und Windows Server 2008 Link-Local-Adressen automatisch mittels zufällig abgeleiteter Schnittstellen-IDs für alle LAN-Schnittstellen.
Wenn eine eingegangene Routerankündigung ein globales oder einmaliges lokales Präfix umfasst, konfiguriert IPv6 globale oder einmalige lokale Adressen, die dieselbe zufällig abgeleitete Schnittstellen-ID verwenden, und weist diese der LAN-Schnittstelle zu, die die Routerankündigung erhalten hat. Solche Adressen werden als öffentliche Adressen bezeichnet.
IPv6 in Windows Vista konfiguriert standardmäßig auch vorläufige globale oder einmalige lokale Adressen, die verschiedene zufällig abgeleitete Schnittstellen-IDs verwenden, und weist diese der LAN-Schnittstelle zu, die die Routerankündigung empfangen hat. Vorläufige Adressen werden in RFC 3041 definiert und dienen zur Bereitstellung einer gewissen Anonymität für die vom Client initiierte Kommunikation. Im Gegensatz dazu erstellt IPv6 in Windows Server 2008 vorläufige Adressen nicht standardmäßig. Sie können vorläufige Adressen mithilfe dieses Befehls aktivieren:
netsh interface ipv6 set privacy-enabled
Wenn das M-Kennzeichen in eingegangenen Routerankündigungen auf 1 eingestellt ist, wird DHCPv6 von IPv6 zum Konfigurieren zusätzlicher globaler oder einmaliger lokaler Adressen für die LAN-Schnittstelle verwendet.
IPv6 erstellt auch eine ISATAP-Tunnelschnittstelle (Intra-site Automatic Tunnel Addressing Protocol) für jede LAN-Schnittstelle auf dem Host. RFC 4214 beschreibt die ISATAP-IPv6-Übergangstechnologie. Mit ISATAP können IPv6-Hosts über ein Nur-IPv4-Intranet durch Kapseln eines IPv6-Pakets mit einem IPv4-Header kommunizieren. Weitere Informationen zu ISATAP finden Sie unter „IPv6-Übergangstechnologien“.
Für jede ISATAP-Tunnelschnittstelle konfiguriert IPv6 Link-Local-ISATAP-Adressen für die IPv4-Adressen, die der entsprechenden LAN-Schnittstelle zugewiesen sind. Beispiel: Für die ISATAP-Tunnelschnittstelle, die einer LAN-Schnittstelle entspricht, der die IPv4-Adresse 192.168.91.211 zugewiesen ist, weist IPv6 die Link-Local-ISATAP-Adresse FE80::0:5EFE:192.168.91.211. zu.
ISATAP-Hosts führen außerdem die ISATAP-Routersuche durch. Um eine Routerankündigung von einem ISATAP-Router zu erhalten, muss IPv6 standardmäßig den Hostnamen „ISATAP“ in einer IPv4-Adresse auflösen können. Dies erfolgt über Windows-basierte Methoden zur Hostnamensauflösung wie DNS. Nach Auflösen des Namens sendet der Host eine IPv4-gekapselte Routeranfrage an den ISATAP-Router. Der ISATAP-Router sendet dann eine IPv4-gekapselte Routerankündigung an den Host. Auf Grundlage des Inhalts der eingegangenen Routerankündigung konfiguriert IPv6 auch globale oder einmalige lokale ISATAP-Adressen auf den ISATAP-Tunnelschnittstellen.
Windows Vista unterstützt auch die IPv6-zu-IPv4- und Teredo-IPv6-Übergangstechnologien. Zum Zweck der Vereinfachung wird die automatische Konfiguration der IPv6-zu-IPv4- und Teredo-Tunnelschnittstellen eines Windows Vista-basierten IPv6-Hosts hier jedoch nicht erörtert.
Die Randleiste „Der automatische Windows Vista-IPv6-Konfigurationsprozess“ beschreibt den automatischen Konfigurationsprozess für einen Windows Vista-basierten IPv6-Host mit einer einzigen LAN-Schnittstelle, die mit globalen oder einmaligen lokalen Adresspräfixen entweder auf seiner LAN- oder ISATAP-Tunnelschnittstelle konfiguriert ist.
Ein Host, der auf Windows Vista ausgeführt wird, hat beispielsweise eine einzelne LAN-Schnittstelle. Der Host erhält eine Routerankündigung auf seiner LAN-Schnittstelle, in der das M- und O-Kennzeichen auf 0 eingestellt sind, und enthält die Präfixe 2001:DB8:D005:F282::/64 und FD4A:3A9:27A1:F282::/64. Er empfängt keine Routerankündigung von einem ISATAP-Router. Abbildung 2 zeigt ein Beispiel der aus dem Befehl resultierenden Ausgabe
Figure 2 Ausgabe von netsh interface ipv6 show address
Interface 1: Loopback Pseudo-Interface 1

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite ::1

Interface 8: Local Area Connection

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Temporary Preferred 6d19h37m21s 6d19h37m21s 2001:db8:d005:f282:ed46:5dd4:5439:2e1c
Public  Preferred  infinite infinite 2001:db8:d005:f282:3521:12fa:2c44:87d1
Temporary Preferred 6d19h37m21s 6d19h37m21s fd4a:3a9:27a1:f282:ed46:5dd4:5439:2e1c
Public   Preferred  infinite infinite fd4a:3a9:27a1:f282:3521:12fa:2c44:87d1
Other   Preferred  infinite infinite fe80::3521:12fa:2c44:87d1%8

Interface 17: Local Area Connection* 9

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite fe80::5efe:10.47.181.92%17

netsh interface ipv6 show address
für diesen Beispielhost. In der Abbildung heißt die ISATAP-Tunnelschnittstelle, die der LAN-Schnittstelle mit der Bezeichnung „Local Area Connection“ entspricht, Local Area Connection* 9.
Neben automatisch konfigurierten Adressen unterstützt das IPv6-Protokoll für Windows Server 2008 und Windows Vista auch die manuelle Konfiguration statischer IPv6-Adressen mithilfe des folgenden Befehls
netsh interface ipv6 add address
oder über die Internetprotokoll Version 6 (TCP/IPv6)-Komponente aus den Eigenschaften einer Verbindung im Netzwerkverbindungsordner.
In diesem Artikel wurde davon ausgegangen, dass Sie bereits über allgemeine Grundkenntnisse der IPv6-Adressierung und Protokollausführung verfügen. Weitere Informationen zu diesem Thema finden Sie im Whitepaper „Einführung in IPv6“ unter microsoft.com/technet/ network/ipv6/introipv6.mspx.

Joseph Davies ist technischer Redakteur bei Microsoft und lehrt und schreibt seit 1992 über Themen im Bereich der Windows-Netzwerke. Er hat fünf Bücher für Microsoft Press verfasst und ist Autor des monatlich erscheinenden TechNet-Artikels „The Cable Guy“.


Windows PowerShell Leistungsfähige Filterung
Don Jones

Im Artikel des letzten Monats wurde die Leistungsstärke und Flexibilität der Windows PowerShell-Pipeline erläutert, mit der ein Datensatz oder, genauer gesagt, ein Objektstrom von einem Cmdlet an ein anderes übergeben werden kann, sodass dieser Satz weiter verfeinert wird, bis er genau Ihren Vorgaben entspricht. Es wurde darauf hingewiesen, dass auch Ihre eigenen Skripts,
nicht nur Cmdlets, die Pipeline nutzen können. In diesem Monat soll ausführlich auf dieses Thema eingegangen werden.
Häufig werden in Windows PowerShell™ Skripts geschrieben, die für mehrere Remotecomputer agieren – normalerweise durch die Windows®-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI). Wie bei jeder Aufgabe im Zusammenhang mit Remotecomputern besteht die Möglichkeit, dass einer oder mehrere dieser Computer beim Ausführen des Skripts nicht verfügbar sind. Daher müssen Skripts solche Situationen handhaben können.
Es gibt natürlich eine Reihe von Möglichkeiten, wie ein Skript mit der Fähigkeit ausgestattet werden kann, ein WMI-Verbindungstimeout zu behandeln, doch mir gefällt dieser Ansatz nicht besonders, da die Timeoutdauer relativ lang ist (standardmäßig etwa 30 Sekunden). Das Skript würde sehr viel langsamer ausgeführt, wenn es auf mehrere Timeouts warten müsste. Stattdessen soll das Skript eine schnelle Überprüfung durchführen, um zu sehen, ob ein bestimmter Computer online ist, bevor ein Verbindungsversuch durchgeführt wird.

Das Windows PowerShell-Paradigma
In anderen Skriptsprachen wie VBScript wird in der Regel jeder Computer für sich behandelt. Ein Computername wird also (möglicherweise aus einer Liste mit Namen, die in einer Textdatei gespeichert sind) abgerufen, bevor eine Pinganforderung an das System gesendet wird, um seine Verfügbarkeit festzustellen. Wenn der Computer verfügbar ist, wird die WMI-Verbindung hergestellt, und die erforderlichen Arbeiten werden durchgeführt. Dies ist ein allgemeiner Ansatz für den Skriptstil. Wahrscheinlich wird der gesamte Code in einer Schleife geschrieben und diese Schleife dann für jeden Computer wiederholt, für den eine Verbindung hergestellt werden muss.
Windows PowerShell ist jedoch besser für Batchvorgänge geeignet, da sie auf Objekten basiert und direkt mit Gruppen oder Objektsammlungen arbeiten kann. Das Paradigma in Windows PowerShell besteht nicht in der Arbeit mit einzelnen Objekten oder Datenelementen, sondern in der Arbeit mit ganzen Gruppen, wobei die Gruppe Stück für Stück verfeinert wird, bis das gewünschte Ergebnis erzielt wird. Statt beispielsweise jeweils einen Computernamen aus der Liste abzurufen, wird die ganze Namenssammlung auf einmal eingelesen. Statt Pinganforderungen an jeden Computer in einer Schleife zu senden, schreiben Sie eine einzelne Routine, die eine Sammlung von Namen akzeptiert, eine Pinganforderung an sie sendet und dann die Namen ausgibt, zu denen eine Verbindung hergestellt werden konnte. Der nächste Prozessschritt besteht darin, die WMI-Verbindung zu den verbliebenen Namen herzustellen, an die eine Pinganforderung gesendet werden konnte.
In Windows PowerShell wird genau dieser Ansatz für eine Reihe von Aufgaben eingesetzt. Um beispielsweise eine Liste von auszuführenden Diensten abzurufen, gehen Sie wie folgt vor:
Get-Service | Where-Object { $_.Status –eq "Running" }
Abbildung 1 zeigt, wie die Ausgabe auf dem Computer aussieht. Statt jeden Dienst nacheinander zu überprüfen, wurden alle Dienste mithilfe von Get-Service abgerufen. Diese wurden an Where-Object geleitet, und anschließend wurden alle nicht ausgeführten Dienste ausgefiltert. Genau dies soll mit dem Skript erzielt werden: Abrufen einer Liste von Computernamen, Ausfiltern der Namen, an die keine Pinganforderung gesendet werden kann, und Übergabe der reagierenden Computer an den nächsten Schritt.
Abbildung 1 Abrufen von Computern, an die eine Pinganforderung gesendet werden kann
Abbildung 1 Abrufen von Computern, an die eine Pinganforderung gesendet werden kann (Klicken Sie zum Vergrößern auf das Bild)

Filterfunktionen
Obwohl Sie Ihr eigenes Cmdlet schreiben könnten, gibt es eine einfachere Lösung. Zum Schreiben von Cmdlets ist Visual Basic® oder C# und einige Entwicklungserfahrung mit Microsoft® .NET Framework erforderlich. Der wichtigere Aspekt ist jedoch, dass mehr Arbeit erforderlich ist, als Sie für diese Aufgabe wahrscheinlich aufwenden wollen. Glücklicherweise können Sie in Windows PowerShell eine besondere Funktion schreiben, die als Filter bezeichnet wird und in der Pipeline agieren kann. Die grundlegende Gliederung einer Filterfunktion sieht folgendermaßen aus:
function <name> {
  BEGIN {
    #<code>
  }
  PROCESS {
    #<code>
  }
  END {
    #<code>
  }
}
Diese Funktion enthält drei unabhängige Skriptblöcke mit der Bezeichnung BEGIN, PROCESS und END. Eine Filterfunktion, also eine Funktion, die in der Pipeline Objekte filtern soll, kann abhängig von Ihrem angestrebten Ziel aus einer beliebigen Kombination dieser drei Skriptblöcke bestehen. Sie funktionieren folgendermaßen:
  • Der BEGIN-Block wird einmal ausgeführt, wenn die Funktion erstmalig aufgerufen wird. Sie können ihn bei Bedarf für Setuparbeiten verwenden.
  • Der PROCESS-Block wird einmal für jedes Pipelineobjekt ausgeführt, das an die Funktion übergeben wird. $_variable stellt das aktuelle Pipelineeingabeobjekt dar. Der PROCESS-Block ist in einer Filterfunktion erforderlich.
  • Der END-Block wird einmal ausgeführt, nachdem alle Pipelineobjekte verarbeitet wurden. Er kann bei Bedarf für etwaige Beendigungsarbeiten verwendet werden.
Im hier angegebenen Beispiel soll eine Filterfunktion erstellt werden, die eine Sammlung von Namen als Eingabeobjekte übernimmt und dann versucht, an jedes einzelne eine Pinganforderung zu senden. Jedes Objekt, das erfolgreich ein Pingsignal erhält, wird in der Pipeline ausgegeben. Systeme, bei denen dies nicht möglich ist, werden einfach entfernt. Da für die Pingfunktionalität kein besonderes Setup oder Beendigung erforderlich ist, kann einfach der PROCESS-Skriptblock verwendet werden. Der Code in Abbildung 2 stellt das vollständige Skript dar.
Figure 2 Pingadresse und Computerneustart
1  function Ping-Address {
2    PROCESS {
3      $ping = $false
4      $results = Get-WmiObject -query `
5      "SELECT * FROM Win32_PingStatus WHERE Address = '$_'"
6      foreach ($result in $results) {
7        if ($results.StatusCode -eq 0) {
8          $ping = $true
9        }
10      }
11      if ($ping -eq $true) {
12        Write-Output $_
13      }
14    }
15  }
16
17  function Restart-Computer {
18    PROCESS {
19      $computer = Get-WmiObject Win32_OperatingSystem -computer $_
20      $computer.Reboot()
21    }
22  }
23
24  Get-Content c:\computers.txt | Ping-Address | Restart-Computer
Es ist zu beachten, dass zwei Funktionen definiert wurden: Pingadresse und Computerneustart. In Windows PowerShell müssen Funktionen definiert werden, bevor sie aufgerufen werden können. Demzufolge ist die erste ausführbare Zeile des Skripts Zeile 24, in der das Get-Content-Cmdlet verwendet wird, um eine Liste von Computernamen aus einer Datei abzurufen (ein Computername pro Zeile). Diese Liste, bei der es sich aus technischer Sicht um eine Sammlung von Zeichenfolgeobjekten handelt, wird in die Pingadressfunktion geleitet, die alle Computer ausfiltert, die kein Pingsignal erhalten. Die Ergebnisse werden in die Neustartfunktion geleitet, die WMI zum Remoteneustart aller Computer verwendet, die ein Pingsignal erhalten haben.
Die Pingadressfunktion implementiert einen PROCESS-Skriptblock, was bedeutet, dass die Funktion eine Eingabesammlung von Objekten erwartet. Der PROCESS-Skriptblock behandelt diese Eingabe automatisch. Es mussten keine Eingabeargumente zum Eingrenzen der Eingabe definiert werden. Der Prozess beginnt in Zeile 3 durch Einstellen der Variablen „$ping“ auf „$false“, wobei es sich um eine integrierte Windows PowerShell-Variable handelt, die den booleschen Wert „False“ darstellt.
Dann wird die lokale Win32_PingStatus-WMI-Klasse verwendet, um eine Pinganforderung an den angegebenen Computer zu senden. Beachten Sie, dass die $_-Variable in Zeile 5, die das aktuelle Pipelineobjekt darstellt, in die WMI-Abfragezeichenfolge eingebettet ist. Wenn eine Zeichenfolge mit doppelten Anführungszeichen versehen ist, versucht Windows PowerShell immer, Variable wie $_ durch ihren Inhalt zu ersetzen, sodass Sie sich nicht um die Zeichenfolgeverkettung kümmern müssen. Diese Funktionsfähigkeit wird in Zeile 5 verwendet.
Zeile 6 ist eine Schleife, die die Pingergebnisse prüft. Wenn diese Ergebnisse erfolgreich zurückgegeben werden (d. h. mit dem StatusCode Null), wird $ping auf $true gesetzt, was den Erfolg anzeigt. Prüfen Sie in Zeile 11, ob $ping auf $true gesetzt wurde. Wenn dies der Fall ist, wird das ursprüngliche Eingabeobjekt in den standardmäßigen Ausgabestrom ausgegeben. Windows PowerShell verwaltet den standardmäßigen Ausgabestrom automatisch. Wenn sich diese Funktion am Ende der Pipeline befindet, wird der Ausgabestrom in eine Textdarstellung umgewandelt. Wenn in der Pipeline mehr Befehle enthalten sind, werden die Objekte des Ausgabestroms (in diesem Fall Zeichenfolgeobjekte, die Computernamen enthalten) an den nächsten Pipelinebefehl übergeben.
Die Computerneustartfunktion ist etwas einfacher, aber auch hier wird ein PROCESS-Block verwendet, sodass sie leicht an der Pipeline beteiligt werden kann. In Zeile 19 stellt die Funktion eine Verbindung zum genannten Computer her und ruft seine Win32_OperatingSystem-WMI-Klasse ab. Zeile 20 führt die Methode „Reboot“ der Klasse aus, um den Remotecomputer neu zu starten.
Hier ist es Zeile 24, in der alles tatsächlich ausgeführt wird. Natürlich ist beim Ausführen dieses Skripts Vorsicht geboten. Es startet jeden in c:\computers.txt genannten Computer neu, was verheerende Auswirkungen haben könnte, wenn Sie die Namen in der Textdatei nicht genau überprüfen!

Nächste Schritte
Bei diesem Skript kann es allerdings Probleme geben. Es sollte die Möglichkeit eines WMI-Fehlers berücksichtigt werden, der nicht im Zusammenhang mit grundlegender Konnektivität steht, beispielsweise eine Firewall, die die erforderlichen Ports beim Remotecomputer sperrt, oder ein WMI-Sicherheitsfehler. Diese Probleme können durch Implementieren eines Traphandlers behandelt werden, ein perfektes Thema für einen zukünftigen Artikel.
Zudem führt dieses Skript eine ziemlich gravierende Aktion durch: den Neustart eines Remotecomputers. In jedem Skript, das solch eine möglicherweise gefährliche Aktion versucht, sollten zwei gebräuchliche Windows PowerShell-Parameter (–Confirm und –WhatIf) implementiert werden. Eine genaue Erläuterung dieses Vorgangs ist im Rahmen dieses Artikels nicht möglich, aber auch dies eignet sich hervorragend als zukünftiges Thema. In der Zwischenzeit finden Sie weitere Informationen im Windows PowerShell-Teamblog. Architekt Jeffrey Snover behandelt dieses Thema.
Selbst ohne eine nähere Erklärung dieser Features erhalten Sie eine gute Vorstellung davon, wozu Filterfunktionen fähig sind. Ich werde in weiteren Artikeln näher auf diese Technik eingehen und erläutern, in welcher Weise Funktionen eine hervorragende Möglichkeit zum Modularisieren von wiederverwendbarem Code bieten und die allgemeine Funktionalität Ihrer Skripts verbessern.

Don Jones ist der führende Experte für die Skripterstellung bei SAPIEN Technologies und Mitverfasser von Windows PowerShell: TFM (SAPIEN Press, 2007). Sie erreichen ihn unter www.ScriptingAnswers.com.


Hey, Scripting Guy! Wer ist da?
Die Scripting Guys von Microsoft

Laden Sie den Code für diesen Artikel herunter: HeyScriptingGuy2007-082007_08.exe (152KB)

Vor kurzem sah sich der Scripting Guy, der diesen Artikel geschrieben hat, im Fernsehen ein Baseballspiel an. Als das Spiel zu Ende war, las er ein Magazin, ließ aber das Fernsehgerät laufen. Nach Lektüre des Magazins bemerkte er, dass im Fernsehen gerade ein Kriegsfilm aus dem Zweiten Weltkrieg gezeigt wurde. In dem Augenblick war gerade eine dieser typischen Szenen zu sehen, die folgendermaßen ablaufen: Ein junger amerikanischer Soldat steht nachts Wache und hört plötzlich ein Geräusch.
„Wer ist da?“, brüllt der Wachhabende.
„Ich bin es, Gefreiter Smith“, antwortet eine Stimme.
„Gefreiter Smith? In unserer Truppe gibt es keinen Gefreiten Smith.“
„Ich bin neu hier. Ich wurde gerade erst aus Kompanie A hierher versetzt.“
„Ach, wirklich? Aus Kompanie A? Na schön, Smith: Wer hat das Endspiel der amerikanischen Baseballmeisterschaft von 1934 gewonnen?“
„Die New York Yankees.“
Falsch geraten, Freundchen „Smith“! (Smith wurde natürlich sofort verhaftet und in eine Zelle gesperrt.) Jeder gute Amerikaner, also jeder echte Amerikaner, weiß natürlich, dass die St. Louis Cardinals – Sie wissen schon, Dizzy Dean und die Gas House Gang – das Endspiel der amerikanischen Baseballmeisterschaft von 1934 gewonnen haben. Jeder, der das nicht weiß, kann nur Eines sein: ein Spion.
Wenn jemand, der den Artikel dieses Monats gelesen hat, nicht weiß, dass die St. Louis Cardinals das Endspiel der amerikanischen Baseballmeisterschaft von 1934 gewonnen haben, kann nur Folgendes daraus geschlossen werden: Das Spiel ist aus, denn Sie sind offensichtlich ein Spion. Wir hoffen, dass Sie genug Anstand haben, sich bei der nächsten Polizeidienststelle zu stellen. Oder rufen Sie zumindest dort an, denn Spione holt die Polizei in der Regel auch mit einem Dienstwagen ab.
Im Verlauf des Films wurde dem Scripting Guy, der diesen Artikel geschrieben hat, plötzlich klar, dass er ziemlich gute Chancen hatte, die zweite Frage des Wachpostens richtig zu beantworten: Wer hat das Endspiel der amerikanischen Baseballmeisterschaft von 1966 gewonnen? Die Baltimore Orioles. Und das Endspiel der amerikanischen Baseballmeisterschaft von 1960? Die Pittsburgh Pirates. Und das Endspiel der amerikanischen Baseballmeisterschaft von 1994? Ah! Das ist eine Trickfrage: 1994 gab es nämlich kein Endspiel der amerikanischen Baseballmeisterschaft.
Heutzutage dagegen hätte der Scripting Guy schon große Schwierigkeiten, gleich die allererste Frage zu beantworten: Wer ist da? Diese Frage ist heute nicht mehr so einfach zu beantworten wie in den Vierzigerjahren. Schließlich können schon allein bei Active Directory® die Benutzer mehrere verschiedene Identitäten besitzen, zum Beispiel die Folgenden:
  • ihren Vornamen („givenName“)
  • ihren Nachnamen („sn“)
  • ihren Anzeigenamen („displayName“)
  • ihren Benutzerprinzipalnamen („userPrincipalName“)
  • ihren Anmeldenamen („samAccountName“)
  • ihren Distinguished Name („distinguishedName“)
Alle diese Namen identifizieren dieselbe Person, und alle diese Namen sind Namen, die abhängig von den jeweiligen Umständen wichtig sein können. Genau hier liegt aber das Problem. Die meisten Benutzer kennen ihren Vornamen und ihren Nachnamen. Doch wenn Sie einen Benutzer fragen, „Wie lautet Ihr Distinguished Name?“, werden nur wenige in der Lage sein, zu antworten, „Na, das ist doch ganz einfach! Ich bin CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com. Aber alle meine Freunde nennen mich einfach nur CN=Ken.Myer.“
Als Systemadministrator oder Helpdeskmitarbeiter müssen Sie diese Namen ebenfalls kennen. Doch wie gelangen Sie in den Besitz dieser Informationen? Nun, eine Methode wäre, die Benutzer an Fleischerhaken aufzuhängen, bis sie Ihnen endlich ihren Distinguished Name verraten. Das würde bestimmt funktionieren, aber die meisten Personalabteilungen raten heutzutage von solchen Praktiken ab. Daher müssen Sie unter Umständen auf Plan B zurückgreifen: ein Skript. Welche Art von Skript? Wie wäre es denn für den Anfang mit dem Skript in Abbildung 1?
Figure 1 Abrufen von Benutzerattributen mit ADSystemInfo
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName

Set objUser = GetObject("LDAP://" & strUser)
WScript.Echo "First Name: " & objUser.givenName
WScript.Echo "Last Name: " & objUser.sn
WScript.Echo "Display Name: " & objUser.displayName
WScript.Echo "User Principal Name: " & objUser.userPrincipalName
WScript.Echo "SAM Account Name: " & objUser.sAMAccountName
WScript.Echo "Distinguished Name: " & objUser.distinguishedName
Wenn Gefreiter Smith doch nur VBScript gelernt hätte ... Dieses Skript nutzt ein nur wenig bekanntes, aber äußerst nützliches ADSI-Objekt namens „ADSystemInfo“. Dies ist ein hübsches kleines Objekt, das alle möglichen Informationen über den Benutzer, der im Augenblick am lokalen Computer angemeldet ist, sowie über den lokalen Computer selbst und die Domäne zurückgibt, der er angehört. Werfen Sie beispielsweise einen Blick auf Abbildung 2.
Figure 2 Anzeigen verschiedener Arten von Domäneninformationen
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

Wscript.Echo "User name: " & objSysInfo.UserName
Wscript.Echo "Computer name: " & objSysInfo.ComputerName
Wscript.Echo "Site name: " & objSysInfo.SiteName
Wscript.Echo "Domain short name: " & objSysInfo.DomainShortName
Wscript.Echo "Domain DNS name: " & objSysInfo.DomainDNSName
Wscript.Echo "Forest DNS name: " & objSysInfo.ForestDNSName
Wscript.Echo "PDC role owner: " & objSysInfo.PDCRoleOwner
Wscript.Echo "Schema role owner: " & objSysInfo.SchemaRoleOwner
Wscript.Echo "Domain is in native mode: " & objSysInfo.IsNativeMode
Heute soll es aber nur um die Eigenschaft „UserName“ gehen. Was ist an „UserName“ denn so besonders? Nun ja, es entspricht zufällig der Eigenschaft „distinguishedName“. Was ist an „distinguishedName“ so besonders? Nun, „distinguishedName“ ähnelt einem UNC-Dateipfad: So, wie ein UNC-Pfad ermöglicht, eine Datei an einer beliebigen Stelle im Netzwerk eindeutig zu identifizieren, ermöglicht „distinguishedName“ (z. B. „CN=Ken.Myer, OU= Finance, DC=fabrikam, DC=com“), ein Benutzerkonto in Active Directory eindeutig zu identifizieren. Dies wiederum ermöglicht es, eine Bindung zu diesem Benutzerkonto herzustellen. Sobald diese Verbindung hergestellt ist, können über diesen Benutzer alle gewünschten Informationen abgerufen werden, einschließlich der Information, wer er ist.
Das ist genau das, was im ersten hier gezeigten Skript erfolgt. Zunächst wird eine Instanz des Objekts „ADSystemInfo“ erstellt und danach dem Wert der Eigenschaft „UserName“ eine Variable namens „strUser“ zugewiesen:
Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName
Beachten Sie, dass hier gar nicht viel zu tun ist. Zum Beispiel muss weder der Benutzername noch die Benutzerdomäne oder die Organisationseinheit angegeben werden, in der sich das Benutzerkonto befindet, denn das erledigt alles „ADSystemInfo“. Sobald der „distinguishedName“ des Benutzers vorliegt, kann mithilfe der folgenden Codezeile eine Bindung zu seinem bzw. ihrem Benutzerkonto hergestellt werden:
Set objUser = GetObject("LDAP://" & strUser)
Wenn die Verbindung hergestellt ist, können auch hier die Werte aller Active Directory-Attribute dieses Kontos abgerufen werden. Im Beispielskript wurden lediglich einige der Namenseigenschaften des Benutzers abgerufen, aber es hätten genauso gut auch seine Telefonnummer, sein Firmenstandort, seine E-Mail-Adresse usw. abgerufen werden können.
Das ist großartig. Sie müssen lediglich allen Benutzern dieses Skript aushändigen, und danach müssen sich Ihre Benutzer nie wieder die Frage stellen, wer sie denn eigentlich sind. (Sollten sie sich diese Frage doch einmal stellen, haben sie die Antwort sofort parat.) Doch was ist nun mit einer ganz ähnlichen Frage: Wer ist da? Es ist ja schön und gut, den Benutzer identifizieren zu können, der am lokalen Computer angemeldet ist. Doch wie um alles in der Welt kann festgestellt werden, wer an einem Remotecomputer angemeldet ist? Wie Sie vielleicht bereits ahnen, ist dieses Problem etwas schwieriger zu lösen.
Dasselbe haben wir ebenfalls gedacht. Sie können nicht einfach das ADSystemInfo-Skript auf einen Remotecomputer anwenden. Dies ist deshalb nicht möglich, weil das Objekt „ADSystemInfo“ nur lokal erstellt werden kann. Damit bleiben drei Möglichkeiten:
  • Erstellen Sie ein Anmeldeskript, das den Namen des angemeldeten Benutzers in einem sofort zugänglichen Speicherort aufzeichnet.
  • Verwenden Sie die WMI-Klasse „Win32_ComputerSystem“ und die Eigenschaft „UserName“.
  • Setzen Sie eine völlig andere Methode ein.
Die erste Möglichkeit klingt recht einladend. Wie Sie vielleicht bemerkt haben, kann das Objekt „ADSystemInfo“ sowohl den Distinguished Name des Computers (die Eigenschaft „ComputerName“) als auch den Distinguished Name des Benutzers zurückgeben. Betrachten Sie nun das Beispielskript in Abbildung 3.
Figure 3 Anmeldeskript
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

strUser = objSysInfo.UserName
strComputer = objSysInfo.ComputerName

Set objUser = GetObject("LDAP://" & _
    strUser)
strUserName = objUser.displayName

Set objComputer = GetObject("LDAP://" & _
    strComputer)
objComputer.Description = strUserName
objComputer.SetInfo
Wie funktioniert es? Zunächst werden die Werte der Eigenschaften „UserName“ und „ComputerName“ abgerufen und in einem Variablenpaar („strUser“ und „strComputer“) gespeichert. Danach wird die Bindung zum Benutzerkonto in Active Directory hergestellt (genau wie zuvor), der Wert des Attributs „displayName“ abgerufen (genau wie zuvor) und dieser Wert in einer Variablen namens „strUserName“ gespeichert. Ganz einfach, nicht wahr?
Anschließend kann mithilfe der folgenden Codezeile eine Verbindung zum Active Directory-Computerkonto hergestellt werden:
Set objComputer = GetObject("LDAP://" & _
    strComputer)
Sobald diese Verbindung hergestellt ist, wird der „displayName“ des Benutzers der Eigenschaft „Description“ des Computers zugewiesen und danach die Methode „SetInfo“ aufgerufen, um diese Änderung in Active Directory einzutragen:
objComputer.Description = strUserName
objComputer.SetInfo
Was ist der Sinn dieser Vorgehensweise? Die Antwort ist ganz einfach: Nehmen Sie einmal an, Ken Myer meldet sich am Computer „atl-ws-01“ an. Was glauben Sie, welchen Wert die Eigenschaft „Description“ des Computers „atl-ws-01“ annehmen wird? Ganz genau: „Ken Myer“, also genau die Person, die an diesem Computer angemeldet ist. Möchten Sie wissen, wer sich am Computer „atl-ws-01“ angemeldet hat? Fragen Sie einfach die Eigenschaft „Description“ ab.
Im Allgemeinen funktioniert dieses Szenario recht gut – es funktioniert sogar noch besser, wenn Sie ein Abmeldeskript einrichten, das bei jeder Abmeldung des Benutzers den Inhalt der Eigenschaft „Description“ löscht. Dies ist jedoch keine völlig sichere Lösung. Warum nicht? Anmeldeskripte werden nämlich nicht immer ausgeführt. Sie werden beispielsweise dann nicht ausgeführt, wenn sich jemand mithilfe von RAS anmeldet. Ein Anmeldeskript wird auch dann nicht ausgeführt, wenn ein Benutzer seine bzw. ihre Netzwerkverbindung unterbricht, sich mithilfe zwischengespeicherter Anmeldeinformationen anmeldet und danach den Computer wieder ans Netzwerk anschließt. Nehmen Sie außerdem einfach einmal an, dass ein Benutzer seinen Computer ausschaltet, ohne sich abzumelden. Dies bedeutet, dass sein Abmeldeskript nie ausgeführt wird. In diesem Fall ist Ken Myer angeblich weiterhin am Computer „atl-ws-01“ angemeldet, obwohl der Computer noch nicht einmal in Betrieb ist. Es handelt sich hier also um ein nützliches Verfahren, aber ...
Wie steht es also mit der zweiten Möglichkeit, der Verwendung der Klasse „Win32_ComputerSystem“? Auch diese Methode funktioniert in vielen Fällen, aber das Problem liegt bei der Klasse „Win32_ComputerSystem“ darin, dass sie nicht immer den Namen des angemeldeten Benutzers zurückgibt, insbesondere bei Benutzern, die nicht über Administratorrechte verfügen, und bei Computern, auf denen Windows® 2000 ausgeführt wird. Aus dem Skript in Abbildung 4 können Sie wahrscheinlich ersehen, wer an einem Computer angemeldet ist, aber auch hier ist die Richtigkeit der Information nicht garantiert.
Figure 4 Finden Sie mit WMI heraus, wer angemeldet ist
strComputer = "."

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * From Win32_ComputerSystem")

For Each objItem in colItems
  Wscript.Echo objItem.UserName
Next
Übrigens wird in diesem Fall der Wert der Eigenschaft „UserName“ im Format „Domäne\Benutzername“ abgerufen. Anders ausgedrückt: als „FABRIKAM\kenmyer“.
Hier noch ein weiterer Hinweis: Selbst wenn ein Name ausgegeben wird, bedeutet dies nicht unbedingt, dass tatsächlich ein Benutzer am Computer angemeldet ist. Wenn sich Ken Myer beim Computer „atl-ws-01“ abmeldet, wird sein Name als Wert der Eigenschaft „UserName“ beibehalten und erst bei der Anmeldung eines anderen Benutzers ersetzt.
Oje.
Aber warten Sie mal: Das macht uns noch lange nicht zu Spionen. Es gibt noch ein weiteres Verfahren, das eingesetzt werden kann. Wenn ein Benutzer an einem Computer angemeldet ist, wird mit Sicherheit der Prozess „Explorer.exe“ ausgeführt. Wird Explorer.exe nicht ausgeführt, ist normalerweise niemand am Computer angemeldet. Da Explorer.exe unter den Anmeldeinformationen des angemeldeten Benutzers ausgeführt wird, kann mithilfe eines Skripts wie in Abbildung 5 fast immer ermittelt werden, wer an einem Computer angemeldet ist.
Figure 5 Ermitteln des Besitzers von Explorer.exe
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser, strDomain
    Wscript.Echo strDomain & "\" & strUser
  Next
End If
In diesem Fall wird eine Verbindung zum WMI-Dienst auf einem Remotecomputer (atl-ws-01) hergestellt. Danach wird die folgende Codezeile verwendet, um eine Sammlung aller Instanzen der Klasse „Win32_Process“ mit dem Namen „Explorer.exe“ abzurufen:
Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where " & _
  "Name = 'explorer.exe'")
Was nun? Wenn Explorer.exe nicht ausgeführt wird, dann ist es, wie bereits erwähnt, sehr wahrscheinlich, dass niemand am Computer angemeldet ist. Wie lässt sich erkennen, ob Explorer.exe ausgeführt wird? Eine ganz einfache Möglichkeit besteht darin, den Wert der Eigenschaft „Count“ der Sammlung zu überprüfen. Wenn „Count“ den Wert 0 hat, liegt eine leere Sammlung vor, und eine leere Sammlung kann es nur dann geben, wenn auf atl-ws-01 keine Instanzen von Explorer.exe ausgeführt werden. Wenn dies der Fall ist, geben Sie die Meldung zurück, dass niemand am Computer angemeldet ist:
Wscript.Echo "No one is logged on " & _
"to the computer."
Wenn „Count“ nicht den Wert 0 hat, durchlaufen Sie mithilfe einer „For Each“-Schleife die Sammlung der Prozesse mit dem Namen „Explorer.exe“ (es wird davon ausgegangen, dass die Sammlung nur einziges Element enthält). Anschließend wird für jede Instanz von Explorer.exe die Methode „GetOwner“ aufgerufen, um zu ermitteln, unter welchem Konto Explorer.exe ausgeführt wird:
objProcess.GetOwner strUser, strDomain
Beachten Sie, dass der Methode „GetOwner“ ein Paar von Out-Parametern übergeben wird: „strUser“ und „strDomain“. Out-Parameter sind einfach nur Variablen, denen Sie einen Namen zuweisen und die Sie einer Methode übergeben. Danach weist die Methode diesen Out-Parametern Werte zu. In diesem Fall wird der Variablen „strUser“ der Anmeldename des angemeldeten Benutzers (kenmyer) und der Variablen „strDomain“ der Domänenname für den angemeldeten Benutzer (FABRIKAM) zugewiesen. Anschließend müssen lediglich die Werte dieser beiden Out-Parameter zurückgegeben werden:
Wscript.Echo strDomain & "\" & strUser
Wissen Sie was? Das ist recht gut. Sie können aber noch einen Schritt weiter gehen. Wenn Sie die Methode „GetOwner“ verwenden, erhalten Sie den Anmeldenamen (den „samAccountName“) des Benutzers, der am Computer angemeldet ist. Das ist nicht schlecht, aber wie bereits erwähnt, besitzen Benutzer neben ihrem „samAccountName“ noch viele weitere Namen. Um die Frage „Wer ist da?“ wahrheitsgemäß beantworten zu können, wäre es hilfreich, beispielsweise den „displayName“ des Benutzers zu kennen. Diese anderen Namen können aber mithilfe von „GetOwner“ nicht ermittelt werden, oder?
Nein, das ist nicht möglich. Sie können aber den „samAccountName“ in ein Active Directory-Suchskript stecken und anschließend das Benutzerkonto mit diesem Anmeldenamen suchen und eine Bindung dazu herstellen. Diese Aufgabe wird dadurch erleichtert, dass ein „samAccountName“ innerhalb einer Domäne eindeutig sein muss. Sobald die Bindung zum Benutzerkonto hergestellt wurde, können auch hier die Werte aller Active Directory-Attribute einschließlich der Eigenschaft „displayName“ abgerufen werden.
Das Skript in Abbildung 6 kann an dieser Stelle nicht ausführlich erläutert werden. Weitere Informationen zu Active Directory-Suchvorgängen finden Sie im Artikel He, wo ist mein Drucker?. Es genügt zu sagen, dass dieses Skript den Anmeldenamen des angemeldeten Benutzers ermittelt, Active Directory nach dem Benutzer mit diesem Anmeldenamen („samAccountName“) durchsucht, eine Bindung zum betreffenden Benutzerkonto herstellt und anschließend den „displayName“ des Benutzers zurückgibt. Und das alles mit links!
Figure 6 Bindung zum angemeldeten Benutzer
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser,strDomain
  Next
End If

Const ADS_SCOPE_SUBTREE = 2

Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("ADODB.Command")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"
Set objCommand.ActiveConnection = objConnection

objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE

objCommand.CommandText = "SELECT displayName FROM " & _
  "'LDAP://DC=wingroup,DC=fabrikam,DC=com' WHERE " & _
    "objectCategory='user' " & _
    "AND samAccountName = '" & strUser & "'"
Set objRecordSet = objCommand.Execute

objRecordSet.MoveFirst

Do Until objRecordSet.EOF
  Wscript.Echo objRecordSet.Fields("displayName").Value
  objRecordSet.MoveNext
Loop
Was ist also die Ausbeute von heute? (Die Leute von Microsoft reden übrigens wirklich so. Wenn Sie den Scripting Guy so richtig in den Wahnsinn treiben wollen, brauchen Sie nur etwas Ähnliches zu sagen wie: „Die Prinzipalresultate müssen ergebnisorientiert selektioniert werden“.) Nun, zum einen wissen Sie jetzt, wie Sie Informationen über den an einem Computer angemeldeten Benutzer abrufen können – unabhängig davon, ob es sich um einen lokalen Computer oder einen Remotecomputer handelt. Was noch viel wichtiger ist: Sie wissen jetzt, wie Sie vorgehen müssen, falls Sie mal plötzlich durch ein Zeitloch fallen und sich im Zweiten Weltkrieg wiederfinden: Achten Sie darauf, dass Sie eine Ausgabe dieses Artikels bei sich haben (damit Sie die Frage „Wer ist da?“ richtig beantworten können), und tragen Sie immer eine Liste der Endspielgewinner der amerikanischen Baseballmeisterschaften mit sich herum. Man kann ja schließlich nie wissen, wann jemand die Frage stellt: „Wer hat das Endspiel der amerikanischen Baseballmeisterschaft von 1903 gewonnen?“
Hinweis: Die Boston Red Sox. Das war übrigens das allererste Endspiel der amerikanischen Baseballmeisterschaft. Wer hat denn nun das Endspiel der amerikanischen Baseballmeisterschaft von 1904 gewonnen? Was soll das heißen, Sie wissen es nicht? Würden Sie uns bitte für eine Sekunde entschuldigen? Wir müssen mal kurz telefonieren ...

Die Scripting Guys von Microsoft arbeiten für (und sind Angestellte von) Microsoft. Wenn sie nicht gerade ihrem Hobby, dem Baseball (oder verschiedenen anderen Aktivitäten) nachgehen, betreiben sie das TechNet-Skriptcenter. Besuchen Sie es unter www.scriptingguys.com.


Sicherheit auf dem Prüfstand PKI-Verbesserungen in Windows
John Morello

Dieser Artikel basiert auf einer Vorabversion von Windows Server 2008. Die in diesem Artikel enthaltenen Informationen können jederzeit geändert werden.

Seit der Veröffentlichung von Windows 2000 umfasst Windows leistungsfähige, plattformübergreifende Unterstützung für die Public Key-Infrastruktur (PKI). Diese Veröffentlichung enthielt die erste systemeigene Zertifizierungsstellenfunktion. Außerdem wurde die automatische Registrierung eingeführt und Unterstützung für die Smartcard-Authentifizierung bereitgestellt. In Windows XP und Windows Server 2003 wurden diese
Funktionen erweitert, um flexiblere Registrierungsoptionen mit Zertifikatsvorlagen der Version 2 und Unterstützung für die automatische Registrierung von Benutzerzertifikaten bereitzustellen. In Windows Vista® und Windows Server® 2008 (früher mit dem Codenamen „Longhorn“ bezeichnet) geht die Windows®-PKI-Plattform mit Unterstützung für erweiterte Algorithmen, Gültigkeitsüberprüfung in Echtzeit und besserer Verwaltbarkeit noch einen Schritt weiter. Dieser Artikel stellt die neuen PKI-Features in Windows Vista und Windows Server 2008 vor und erläutert, wie sie von Unternehmen zur Kostensenkung und Verbesserung der Sicherheit eingesetzt werden können.
Die PKI-Verbesserungen in Windows Vista und Windows Server 2008 betreffen vier Hauptbereiche: Kryptografie, Registrierung, Verwaltbarkeit und Sperrung. Neben diesen featurespezifischen Verbesserungen gibt es bei der Windows-PKI-Plattform weitere Fortschritte beim Betriebssystem wie beispielsweise den Roles Manager, der ein leichteres Erstellen und Bereitstellen neuer Zertifizierungsstellen (certificate authority, CA) ermöglicht. Zudem können die Verbesserungen in der PKI-Plattform in vielen anderen Bereichen von Windows genutzt werden, beispielsweise die Unterstützung in Windows Vista für die Verwendung von Smartcards zum Speichern von Schlüsseln für das verschlüsselnde Dateisystem (Encrypting File System, EFS).

Kryptografie
Die Verbesserungen im Bereich Kryptografie sind zweifacher Art. Zum einen bietet Windows mit der Einführung von Cryptography Next Generation (CNG) nun eine dynamisch austauschbare, protokollagnostische Verschlüsselungsfunktion, mit der die Entwicklung einzelner Algorithmen und der programmgesteuerte Zugriff auf sie erleichtert werden. Zum anderen verfügt CNG über neue Unterstützung für die Suite-B-Algorithmen, die 2005 von der National Security Agency (NSA) eingeführt wurden.
CNG ist eine neue zentrale Kryptografieschnittstelle für Microsoft und die empfohlene API für zukünftige Windows-basierte Anwendungen, die die Kryptografie unterstützen. CNG stellt eine Vielzahl neuer Funktionen für Entwickler bereit, darunter einfachere Erkennbarkeit und Ersetzung von Algorithmen, ersetzbare Zufallszahlengeneratoren und eine kryptografische Kernelmodus-API. Trotz all dieser neuen Funktionen ist CNG völlig abwärtskompatibel mit dem im Vorgängerprodukt CryptoAPI 1.0 bereitgestellten Satz von Algorithmen. Derzeit wird CNG für die 140-2-Level 2-Zertifizierung nach FIPS (Federal Information Processing Standards) sowie für allgemeine Kriterien auf ausgewählten Plattformen bewertet.
Die CNG-Suite-B-Unterstützung umfasst alle erforderlichen Algorithmen: AES (alle Schlüsselgrößen), die SHA-2-Familie (SHA-256, SHA-384 und SHA-512) der Hashalgorithmen, Elliptische Kurve Diffie-Hellman (ECDH) und Elliptische Kurve Digital Signature Algorithm (ECDSA) über die standardmäßigen wichtigen P-256-, P-384- und P-521-Kurven des National Institute of Standards and Technology (NIST). Die NSA hat erklärt, dass zertifizierte Suite-B-Implementierungen zum Schutz von als streng geheim und geheim klassifizierten Informationen und von privaten Daten verwendet werden, die in der Vergangenheit als weitgehend vertraulich, aber nicht geheim eingestuft wurden. Alle Suite-B-Algorithmen wurden offen entwickelt, und einige andere Regierungen sind ebenfalls daran interessiert, sie als nationale Standards zu übernehmen.
Diese Verbesserungen an der niedrigsten Stufe der Windows-PKI-Plattform bieten Entwicklern sicherere Methoden zum Schutz von Daten und gleichzeitig ein Subsystem, das sich im Lauf der Zeit leichter verwalten und verbessern lässt. Da CNG eine dynamisch austauschbare Architektur ist, können bei Bedarf neue Algorithmen hinzugefügt werden, und CNG abstrahiert diese Anbieter aus der Anwendungsschicht. Das Ergebnis: Windows Vista und Windows Server 2008 bieten eine erweiterte, optimierbare Plattform zum Entwickeln PKI-aktivierter Anwendungen und Dienste.

Registrierung
Die Zertifikatsregistrierung in Windows wurde mit einem neuen Assistenten für die Registrierung, besserer Behandlung von Zertifikatsablaufdaten, einer neuen API, einer „Registrieren im Auftrag von“-Funktion und der Serverspeicherung von Anmeldeinformationen stark verbessert. Diese erweiterten Funktionen verringern die Gesamtbetriebskosten einer PKI, indem sich Zertifikate unternehmensweit zentral verwalten und mit minimaler Beeinträchtigung für die Benutzer bereitstellen lassen.
Die bemerkenswerteste Änderung aus Registrierungssicht ist die neue Benutzeroberfläche für die Zertifikatsregistrierung, die in Abbildung 1 und 2 dargestellt ist. Diese Benutzeroberfläche ersetzt die vorherige, eingeschränkte Oberfläche, bei der Daten von Benutzern während des Registrierungsprozesses nicht akzeptiert werden konnten. Die neue Oberfläche ermöglicht Benutzern das Erfassen von Daten während der Registrierung (wenn der Administrator die Zertifikatsvorlage entsprechend konfiguriert). Die Benutzeroberfläche bietet zudem klare Erklärungen dafür, warum ein Benutzer möglicherweise nicht in der Lage ist, sich für eine bestimmte Vorlage registrieren zu lassen.
Abbildung 1 Auswählen verfügbarer Zertifikate
Abbildung 1 Auswählen verfügbarer Zertifikate (Klicken Sie zum Vergrößern auf das Bild)
Abbildung 2 Status nicht verfügbarer Zertifikate
Abbildung 2 Status nicht verfügbarer Zertifikate (Klicken Sie zum Vergrößern auf das Bild)
Eine weitere wichtige Verbesserung der Registrierungsoberfläche ist die Behandlung ablaufender Zertifikate. Die neue Benutzeroberfläche bietet den Endbenutzern klare Informationen dazu, welche Zertifikate wann ablaufen, und ermöglicht es den Benutzern, Zertifikate leicht zu erneuern oder die Warnungen derselben Oberfläche zurückzuweisen. Obwohl Administratoren Zertifikate durch die automatische Registrierung automatisch aktualisieren können, ist diese Warnungsfunktion wichtig für mobile oder nicht verbundene Benutzer, die sich selten beim Unternehmensnetzwerk anmelden und deren Zertifikate fast abgelaufen sind.
Für Entwickler, die mit der Zertifikatsregistrierung arbeiten, gibt es eine neue API, die gegenüber den alten ActiveX®-basierten Steuerelementen (xenroll.dll und scrdernl.dll) beträchtliche Verbesserungen bietet. Diese neue Zertifikatsregistrierungs-API stellt eine klar definierte Klassenhierarchie bereit, die viel leichter verständlich ist und für die sich Code viel leichter schreiben lässt. Die neue API ersetzt xenroll in Windows Vista und Windows Server 2008.
Diese Änderung bei der API wirkt sich sowohl auf Entwickler als auch IT-Experten aus, da Windows Vista-Clients die webbasierten Registrierungsfunktionen in Windows Server 2003 nicht verwenden können. Dies ist darauf zurückzuführen, dass die Registrierungsseiten (standardmäßig im virtuellen Verzeichnis „/certsrv“ gespeichert) das xenroll-Steuerelement verwenden, das in Windows Vista nicht mehr vorhanden ist. Der Knowledge Base-Artikel „Verwenden von webbasierten Registrierungsseiten der Zertifikatsdienste mit Windows Vista“ (support.microsoft.com/kb/922706) bietet Informationen zu einer Problemumgehung. Die automatische Registrierung von Windows Server 2003 bei Windows Vista ist davon nicht betroffen.
In vorherigen Veröffentlichungen von Windows Server gab es für Registrierungsagents keine Einschränkungen, wen sie in wessen Namen registrieren konnten. Das heißt, wenn einem Benutzer die Funktionen eines Registrierungsagents zugewiesen wurden, konnte er Registrierungen im Namen beliebiger Benutzer in der Gesamtstruktur durchführen. Folglich konnte dieser Benutzer seine Rechte einfach erweitern, indem er Registrierungen im Namen eines vorhandenen Benutzers durchführte und mithilfe des neu erstellten Zertifikats die Identität des Benutzers annehmen konnte. Um dieser Bedrohung entgegenzuwirken, wurden die Funktionen eines Registrierungsagents nur sehr vertrauenswürdigen Personen gewährt. Dieser Ansatz verbesserte zwar die Sicherheit, aber gleichzeitig wurden die Bereitstellungsmodelle dadurch weniger flexibel, da nur eine kleine Anzahl von Personen über die Möglichkeit verfügte, Registrierungen im Namen anderer Benutzer durchzuführen. Demzufolge wuchs die Komplexität für große, geografisch verstreute Organisationen beim Bereitstellen von Zertifikaten für Endbenutzer (beispielsweise Smartcards).
In Windows Server 2008 können Registrierungsagents sehr viel präziser eingeschränkt werden. Einschränkungen können darauf basieren, welche Registrierungen im Namen von Benutzern durchgeführt werden können oder mit welchen Vorlagen registriert werden kann, wie in Abbildung 3 dargestellt. Eine Organisation kann beispielsweise einem lokalen IT-Mitarbeiter die Möglichkeit geben, Registrierungen im Namen aller Benutzer in seiner Zweigstelle durchzuführen, aber nicht für Benutzer in der Personalabteilung. Dieser präzisere Ansatz für Registrierungsagents ermöglicht es Unternehmen, die Registrierungsfunktionen innerhalb der Organisation wirksamer und sicherer zu delegieren.
Abbildung 3 Einschränkungen für Registrierungsagents
Abbildung 3 Einschränkungen für Registrierungsagents (Klicken Sie zum Vergrößern auf das Bild)
Eine der größten Herausforderungen beim Verwalten einer PKI ist die Verwaltung aller Schlüsselpaare, die über die Geräte einer Organisation verstreut sind. Selbst in einer mäßig komplexen PKI-Umgebung kann ein Benutzer über mehrere verschiedene Schlüsselpaare verfügen (beispielsweise für EFS, Authentifizierung in einem drahtlosen Netzwerk und S/MIME), die unabhängig vom Ort der Benutzeranmeldung verfügbar sein müssen. Aufgrund der zunehmenden Verbreitung von mobilen Computern und Terminaldiensten ist es wichtiger als je zuvor, diese Schlüsselpaare im Netzwerk zu replizieren, damit sie für Benutzer unabhängig vom Ort der Benutzeranmeldung verfügbar sind. Tokens (z. B. Smartcards), die der Benutzer bei sich trägt, lösen zwar bestimmte Aspekte dieses Problems, doch gibt es in Organisationen möglicherweise andere Benutzer, die keine Karten erhalten oder über Zertifikate verfügen, die nicht auf den Karten gespeichert sind. Die Serverspeicherung von Anmeldeinformationen (Credential Roaming) löst diese Probleme durch das sichere Speichern der Schlüsselpaare und Zertifikate innerhalb von Active Directory®, sodass sie den Benutzern unabhängig vom Anmeldeort zur Verfügung stehen.
Die Serverspeicherung von Anmeldeinformationen wurde erstmals in Windows Server 2003 SP1 bereitgestellt und ermöglicht das sichere Roaming von Zertifikaten und Schlüsseln in Computern ohne die Verwendung von Roamingbenutzerprofilen. In Windows Vista und Windows Server 2008 ist diese Funktion standardmäßig enthalten und wird im CSC-Dienst (Certificate Services Client) implementiert. Konfigurationsoptionen (beispielsweise welche Zertifikate das Roaming durchführen können und wie Konflikte beigelegt werden) werden über die Gruppenrichtlinie verwaltet. In Windows Vista und Windows Server 2008 kann der CSC-Dienst auch das Roaming von gespeicherten Benutzernamen und Kennwörtern durchführen. Diese Funktion ist standardmäßig in Windows Vista enthalten, doch die Serverspeicherung von Anmeldeinformationen wird auch in Windows XP und beim Anmelden bei einem Windows Server 2003-Domänencontroller (bei Bereitstellung eines Updates – siehe support.microsoft.com/kb/907247) vollständig unterstützt. Sie müssen daher nicht bis zum Abschluss einer Windows Vista-Bereitstellung warten, bevor Sie diese Technologie nutzen können.

Verwaltbarkeit
In Windows Server 2008 wurde eine Reihe von Aktualisierungen zum Verbessern der Verwaltbarkeit des CA-Diensts (Certificate Authority) durchgeführt, sodass dieser nun leichter eingerichtet, überwacht und unter hoher Verfügbarkeit ausgeführt werden kann. Das Zertifizierungsstellensetup ist in das Role Manager-Tool integriert. Es stellt eine rationalisierte Methode zum Installieren des Zertifizierungsstellendiensts bereit. Für jeden Schritt im Prozess werden Standardwerte definiert, und das Setup kann nun unbeaufsichtigt durchgeführt werden. Weiterhin gibt es beim Setup bessere Diagnosefunktionen, sodass sich mögliche Fehler oder Problembedingungen leichter beheben lassen.
Das Überwachen des Zertifizierungsstellendiensts wurde in Windows Server 2008 stark verbessert, was auch auf die Zertifikatsdiagnose insgesamt in Windows Vista zutrifft. Neben der viel flexibleren Ereignisinfrastruktur, die das ganze Produkt umfasst, verfügt der Zertifizierungsstellendienst selbst nun über eine integrierte Überwachungskonsole und bindet sich in System Center Operations Manager 2007 (früher als MOM bezeichnet) ein, um Warnungen auf Unternehmensebene bereitzustellen. Die Unternehmens-PKI-Überwachungskonsole ist eine Verbesserung gegenüber dem in Windows Server 2003 AdminPak eingeführten Vorgänger. Die neue Konsole ist im Produkt selbst enthalten und kann jetzt OCSP (Online Certificate Status-Protokoll)-URIs zusätzlich zu allen Zertifizierungsstellen in einer bestimmten Gesamtstruktur überwachen.
Das Operations Manager-Management Pack stellt eine passive Überwachungsfunktion für die PKI einer Organisation einschließlich integrierter, auf Schwellenwerten basierender Warnungen bereit. Mithilfe des Management Pack kann beispielsweise überwacht werden, wie aktuell eine Zertifikatssperrliste (Certificate Revocation List, CRL) ist. PKI-Administratoren erhalten eine Warnung, wenn eine CRL eine bestimmte Anzahl von Tagen oder Stunden vor ihrem Ablauf erreicht. Schließlich steht eine Vielzahl neuer Leistungsindikatoren zur Verfügung, die die Problembehandlung und das Überwachen der Gesamtleistung des Zertifizierungsstellendiensts unterstützen. Diese Zähler können zum Aufzeichnen von Daten verwendet werden (z. B. wie viele Zertifikate pro Sekunde ausgestellt werden).
Eine neue Funktion ist erstmals in Windows Server 2008 enthalten: Unterstützung für die Clusterbildung des Zertifizierungsstellendiensts auf Hardwareebene. Diese Clusterunterstützung nutzt standardmäßige MSCS-Technologie (Microsoft Cluster Service) und unterstützt Zwei-Knoten-aktiv/passiv-Konfigurationen. Clusterunterstützung ermöglicht das Ausführen einer hochverfügbaren Ausgabeinfrastruktur und kann in geografisch vielfältigen Clusterbereitstellungen verwendet werden. Wenn Sie sich für den Clusterunterstützung entscheiden, gilt es zu beachten, dass die einfache Clusterbildung einer Zertifizierungsstelle nicht zur Verfügbarkeit für die ganze PKI führt. Obwohl die Clusterbildung dazu beitragen kann, dass die Zertifizierungsstellen selbst verfügbar sind, gibt es bei einer richtig funktionierenden PKI wahrscheinlich andere Komponenten, die nicht direkt auf den Zertifizierungsstellen ausgeführt werden. So müssen beispielsweise die CRL-Verteilungspunkte (CRL Distribution Points, CDPs) und OCSP-Responder mit hoher Verfügbarkeit ausgeführt werden, um sicherzustellen, dass die Sperrung durchgeführt werden kann. Wenn zudem Hardwaresicherheitsmodule (Hardware Security Modules, HSMs), insbesondere netzwerkbasierte HSMs verwendet werden, stellen diese ebenfalls eine potenzielle Fehlerquelle in einer PKI dar. Die Clusterbildung ist eine leistungsstarke, neue Funktion zum Bereitstellen hoher Verfügbarkeit für die Zertifizierungsstelle, aber sie ist kein Allheilmittel für die Verfügbarkeit einer ganzen PKI-Bereitstellung.

Sperrung
CRLs werden seit langem zur Überprüfung der Gültigkeit von Zertifikaten verwendet. Diese CRLs umfassen die Seriennummern aller Zertifikate, deren Gültigkeitszeitraum noch nicht abgelaufen ist, die aber nicht mehr vertrauenswürdig sind. Wenn beispielsweise ein Mitarbeiter über ein Zertifikat mit dem Ablaufdatum 31.12.2008 verfügt, aber die Organisation am 1.9.2007 verlässt, werden die Seriennummern der Zertifikate dieses Mitarbeiters auf die CRL gesetzt. Dann wird die CRL an mehreren Sperrlisten-Verteilungspunkten (Certificate Distribution Points, CDPs) wie HTTP- und LDAP (Lightweight Directory Access-Protokoll)-Pfaden zur Verfügung gestellt.
CRLs sind noch immer weit verbreitet, haben jedoch einige wesentliche Nachteile. Zum einen werden CRLs von Zertifizierungsstellen regelmäßig (normalerweise ein- oder zweimal pro Tag) veröffentlicht. Clients laden diese CRLs dann herunter und speichern sie bis zum nächsten Veröffentlichungsintervall im Cache. Während dieser Zwischenspeicherung können Zertifikate gesperrt werden, sodass der aktuell Status für den Client nicht offensichtlich ist. Zweitens können CRLs in großen Organisationen sehr umfangreich werden (bisweilen über 100 MB). Das Verteilen dieser Dateien über ein großes, stark verstreutes Netzwerk wird dann schwierig oder gar unmöglich, besonders in Zweigstellenszenarios oder anderen Umgebungen mit begrenzter Bandbreite.
Zum Beheben dieser Probleme wurde OCSP erstellt und in RFC 2560 definiert. OCSP bietet eine Echtzeitmethode zum Überprüfen des Status von Zertifikaten. Ein OCSP-Client wird auf dem Computer ausgeführt, der die Gültigkeit eines untergeordneten Zertifikats prüfen muss. Die Clientsoftware nimmt dann Bezug auf einen OCSP-Responder und sendet eine Nachricht, in der der Gültigkeitsstatus des untergeordneten Zertifikats abgefragt wird. Der Responder prüft die Gültigkeit des Zertifikats und antwortet dem Client in Echtzeit. Bei dieser Methode werden Zwischenspeicherungs- und Verteilungsprobleme vermieden.
Die OCSP-Clientfunktion ist nun zum ersten Mal in Windows Vista enthalten (vorher war Drittanbietersoftware erforderlich) und über die Gruppenrichtlinie konfigurierbar. In der Standardeinstellung versucht Windows, OCSP zu verwenden, greift aber auf standardmäßige CRL-Lookups zurück, wenn der Responder nicht verfügbar ist.
In Windows Server 2008 wird ein OCSP-Responder zum Beantworten dieser Anforderungen bereitgestellt. Der Responder wird durch den Role Manager installiert und kann vom Operations Manager 2007 Management Pack überwacht werden. Da sowohl der Client als auch der Responder dem OCSP-Standard entsprechen, lassen sie sich leicht in vorhandene OCSP-Umgebungen integrieren, in denen ähnliche standardbasierte Komponenten von Drittanbietern verwendet werden. Es gibt beispielsweise vollständige Unterstützung für einen Windows Vista-Client, der den Zertifizierungsstatus mit einem Drittanbieterresponder überprüft, und für einen Windows Server 2008-Responder beim Beantworten von Abfragen einer Drittanbieterclientanwendung. Zusätzlich kann der Windows OCSP-Responder Anforderungen von Zertifikaten beantworten, die von einer standardkonformen Zertifizierungsstelle ausgestellt werden. Windows Server 2008-Zertifizierungsstellen (und Windows-basierte Zertifizierungsstellen im Allgemeinen) sind nicht erforderlich.

Schlussbemerkung
Die PKI-Plattform in Windows Vista und Windows Server 2008 enthält viele Verbesserungen und mehrere neue Features, durch die das Bereitstellen und der Betrieb einer PKI sicherer und kostengünstiger wird. Die neue CNG-API stellt Entwicklern eine einfachere Programmierumgebung bereit und unterstützt neue kryptografische Standards. Registrierungsverbesserungen erleichtern Organisationen die Massenbereitstellung von Zertifikaten und das sichere Roaming von Schlüsseln innerhalb des Unternehmens. Entsprechend erleichtern das neue Management Pack und die Zertifizierungsstellen-Clusterfunktion die Überwachung von Zertifizierungsstellen und gewährleisten hohe Verfügbarkeit. Schließlich wurde die Sperrungsüberprüfung so verbessert, dass beim Bereitstellen von Echtzeitprüfungen für Zertifikate eine standardbasierte Methode verwendet wird, und zwar ohne die Bandbreitenkosten einer CRL-Verteilung. In Windows Vista und Windows Server 2008 wird die Windows-PKI-Plattform daher auf eine ganz neue Ebene verlagert.
Ressourcen zur PKI-Verbesserung
  • Windows-PKI-Homepage
  • Problembehandlung von PKI-Problemen in Windows Vista
  • Kryptografie-API: Die nächste Generation
  • Zertifikatsregistrierungs-API Verwenden webbasierter Registrierungsseiten der Zertifikatsdienste mit Windows Vista
  • Konfigurieren und Problembehandlung des Zertifikatsdiensteclients – Serverspeicherung von Anmeldeinformationen

John Morello ist seit 2000 für Microsoft tätig. Als leitender Berater hat er Sicherheitslösungen für Fortune 100-Unternehmen sowie für US-amerikanische Kunden aus dem zivilen Bereich und dem Verteidigungswesen entworfen. Derzeit arbeitet er als leitender Programmmanager im Bereich Windows Server an Sicherheits- und ortsunabhängigen Zugriffstechnologien. Sie können den Blog seines Teams unter blogs.technet.com/WinCAT lesen.


Die Desktopdateien Erläuterungen zu RDP
Wes Miller

Das RDP ermöglicht den Remotezugriff auf Computer. Dies ist eine sehr nützliche Technologie, die im Laufe der Jahre zweifellos eine ganze Menge Systemadministratoren gerettet hat. RDP gibt es schon lange, und mit der Zeit wurde die Remotezugriffsunterstützung immer besser. Es wurde 1998 für Windows NT 4.0 Terminal Server
Edition (TSE) eingeführt und in fast jeder Veröffentlichung von Windows® weiterentwickelt.
Ab Windows 2000 konnten fast alle Benutzer leicht von einem Remotestandort aus auf ein Serversystem zugreifen, weil Terminaldienste als optionale Windows-Komponente eingeführt wurden und so konfiguriert werden konnten, dass das System als eigentlicher Terminalserver verwendet wurde bzw. als das, was heutzutage als Remotedesktop bezeichnet wird. Windows Server® 2003 und Windows XP stellten eine systemeigene Remotedesktopfunktionalität bereit, mit der Sie das System so kontrollieren können, als ob Sie sich vor Ort befinden. Ich verwende Remotedesktop inzwischen tagtäglich, um auf meinen Heimcomputer und Server von einem Remotestandort aus zuzugreifen und meinen Media Center Extender zu verwenden.
In Windows XP und späteren Versionen von Windows wurde die Remoteunterstützung hinzugefügt, die ähnliche Ergebnisse wie bei Remotedesktop bietet, doch so funktioniert, dass ein lokaler Benutzer Hilfe von einem Remotebenutzer anfordert. Als weitere Entwicklung der Remotezugriffsunterstützung ermöglicht Windows Vista® jetzt Remotebenutzern die Remoteunterstützung, falls sie von der Gruppenrichtlinie genehmigt wird.
Sie werden feststellen, dass Remotedesktop diese leistungsfähige Funktionalität auf einer völlig neuen Ebene zur Verfügung stellt. Selbstverständlich hat Remotedesktop einige Einschränkungen, doch die vielen Vorteile überwiegen. Im Folgenden werden alle Aspekte erörtert.

Gute, schlechte und herausragende Aspekte
Die wichtigste Einschränkung unter Windows XP (mit Ausnahme von Media Center Edition) besteht darin, dass sich immer nur ein interaktiver Benutzer anmelden kann. Der schnelle Benutzerwechsel in Windows XP sorgt zwar dafür, dass die Anmeldung nicht nur auf einen Benutzer beschränkt ist, trotzdem kann nur ein Benutzer die Maus oder die Tastatur interaktiv verwenden, ganz gleich, ob lokal oder von einem Remotestandort aus. Bei den Windows Server-Versionen (nicht als Terminalserver ausgeführt) können zwei Remotedesktopsitzungen gleichzeitig eine Verbindung herstellen. Zum Herstellen einer Verbindung über Remotedesktop zur eigentlichen Konsolensitzung in Windows Server 2003 starten Sie die Clientanwendung für Terminaldienste (MSTSC.exe) mit dem optionalen Parameter bzw. der optionalen Konsole. Die Konsolensitzung ist sehr wichtig, da einige ältere Anwendungen, bei deren Entwurf Terminaldienstesitzungen nicht berücksichtigt wurden, Dialogfelder oft nur bei der Konsolensitzung (Sitzung 0) anzeigen. Abbildung 1 zeigt einen Benutzer, der bei der Konsolensitzung auf Windows Server 2003 angemeldet ist. Der Windows XP- und Windows Server 2003-Remotedesktop setzt die Lizenzierung durch, um sicherzustellen, dass nur die Anzahl zulässiger Benutzer interaktiv angemeldet ist.
Abbildung 1 Bei Sitzung 0 angemeldet
Abbildung 1 Bei Sitzung 0 angemeldet (Klicken Sie zum Vergrößern auf das Bild)
Darüber hinaus können sich sowohl die Netzwerkbandbreite als auch die Gruppenrichtlinie auf die Benutzererfahrung mit Remotedesktop auswirken. Windows XP kann eine Auflösung bis zu 24-Bit und eine Umleitung des Sounds, lokalen Druckers, Datenträgers und der Zwischenablage für das Ausschneiden und Einfügen bereitstellen. Aufgrund der Bildschirmanzeige von Remotedesktop wird durch das Entfernen grafischer Elemente von der Remotesitzung (Themen, Hintergründe usw.) die verfügbare Netzwerkbandbreite stark verbessert. Somit reagiert die Sitzung viel besser auf Benutzeranweisungen. Windows Vista baut darauf auf, indem eine 32-Bit-Auflösung und eine zusätzliche Geräteumleitung hinzugefügt wurden.
Beachten Sie, dass einige Prozesse, z. B. grafisch intensive Vorgänge, auch in den besten Remotedesktopsitzungen eine Herausforderung darstellen können, wenn nicht genügend Bandbreite vorhanden ist. Planen Sie deshalb dementsprechend.

Neue Funktionalität in Windows Vista
Mit Windows Vista wurden sehr wichtige Änderungen am Remotedesktop erzielt. Wie bereits erwähnt, gehören zu den offensichtlichsten Änderungen die 32-Bit-Anzeigeauflösung und die Schriftartverbesserung. Eine ähnliche Verbesserung besteht in der Möglichkeit, Windows Vista-Sitzungen über mehrere Monitore auszuführen – und zwar durch Starten des Terminaldiensteclients mit dem Befehl „/span“. Beachten Sie, dass „/span“ nur mit Windows Vista-Remotehostsystemen funktioniert und monitorübergreifend die gleiche Auflösung auf dem Client sowie ausgerichtete Monitore erfordert. Beim Verteilen wird das Remotesystem (der Client) als eine einzige große Anzeige behandelt. Das Vergrößern einer Anwendung kann demzufolge unerwartete Auswirkungen haben, z. B. unpraktisch platzierte Dialogfelder, die vom Benutzer verschoben werden müssen.
Darüber hinaus können Sie die Benutzeroberfläche der Remotesitzung im Windows Aero™ Glass-Modus ausführen (solange das lokale System Aero Glass unterstützt, auch wenn das Remotesystem es nicht unterstützt), wenn der Client, von dem Sie verbinden, ein Windows Vista-Client und das Remotesystem ein Windows Vista-System ist. Dies ist auf die Neustrukturierung des Windows-Remotedesktops zurückzuführen, bei der viele der Fensterverwaltungsvorgänge auf dem Clientsystem durchgeführt werden, wenn es sich beim Client um Windows Vista handelt. Dadurch wird die Benutzerfreundlichkeit verbessert und die Bandbreitenverwendung reduziert.
Windows Vista enthält außerdem eine wichtige Sicherheitsverbesserung, die Netzwerkebenenauthentifizierung (Network Level Authentication, NLA). NLA dient zum Verhindern von Man-in-the-Middle-Angriffen, bei denen ein böswilliger Benutzer den Server, zu dem Sie augenscheinlich eine Verbindung hergestellt haben, manipuliert. NLA verbessert außerdem den Authentifizierungsvorgang, da nicht die gesamte Windows-Benutzeroberfläche für die Authentifizierung gestartet wird. Dadurch werden die Auswirkungen auf das Remotesystem sowie die Anfälligkeit für DoS-Angriffe verringert. Für NLA ist Windows Vista sowohl auf dem Client als auch auf dem Remotesystem erforderlich. Abbildung 2 zeigt, wie Sie über den RDP 6.0-Client angeben, ob die Authentifizierung durchgesetzt oder eine Warnung ausgegeben werden soll oder ob es überhaupt erforderlich sein soll. Beachten Sie Folgendes: Wenn Sie eine Verbindung zu einem Remotesystem herstellen, das eine Windows-Version ausführt, die älter als Windows Vista ist, müssen Sie sicherstellen, dass für diese Verbindung zumindest eine Warnung eingestellt ist. Andernfalls schlägt die Verbindung fehl.
Abbildung 2 Erweiterte Verbindungseinstellungen
Abbildung 2 Erweiterte Verbindungseinstellungen (Klicken Sie zum Vergrößern auf das Bild)
Verbesserte Ressourcenumleitung (nicht nur für Laufwerke und Drucker) ist eine weitere wichtige RDP-Verbesserung in Windows Vista. Solange die Treiber auf dem Remotesystem vorhanden sind und das Gerät die Umleitung unterstützt, können Sie zahlreiche neue Gerätetypen, einschließlich Smartcards, umleiten. Zusätzliche Gerätetypen können von den jeweiligen Herstellern unterstützt werden.
Darüber hinaus unterstützt Windows Vista Gatewayserver über den RDP 6.0-Client. Dadurch können Benutzer bei der Arbeit nahtlos über das Internet eine Verbindung zu Systemen herstellen, ohne dass eine VPN-Verbindung oder Drittanbietersoftware erforderlich ist. Abbildung 3 zeigt die Terminaldienste-Gatewayservereinstellungen. Stellen Sie sich einen Gatewayserver so ähnlich vor wie ein VPN, ohne dass eine bestimmte Clientsoftware benötigt wird, abgesehen von der RDP 6.0-Clientsoftware (keine VPN-Einstellungen oder proprietäre Software erforderlich).
Abbildung 3 Terminaldienste-Gatewayservereinstellungen
Abbildung 3 Terminaldienste-Gatewayservereinstellungen (Klicken Sie zum Vergrößern auf das Bild)
Windows Vista enthält außerdem die Infrastruktur für ein neues Feature namens „RemoteApp“™. RemoteApp erledigt folgende Aufgaben für Sie. Remotedesktop ermöglicht Ihnen, eine Verbindung zu einer gesamten Windows-Sitzung herzustellen. Angenommen Sie möchten lediglich Microsoft® Word oder Microsoft PowerPoint® ausführen. RemoteApp stellt die dafür erforderliche Funktionsfähigkeit bereit. Szenarios zum Aktivieren einer stabilen Anwendungsfreigabe werden in Windows Server 2008 ebenso vorhanden sein.
Darüber hinaus wurde in Windows Vista eine neue Unterstützung für die Windows-Desktopfreigabe-API hinzugefügt, die die Veröffentlichung freigegebener, auf Zusammenarbeit ausgerichteter Anwendungen ermöglicht. Eine Beispielanwendung wurde vom Microsoft-Terminalserverteam unter dem folgenden Link bereitgestellt: blogs.msdn.com/ts/ archive/2007/03/23/writing-a-desktop-sharing-application.aspx illustriert, wie die API zur Windows-Desktopfreigabe funktioniert.
Eine wichtige Änderung, die Sie bei Windows Vista und darüber hinaus berücksichtigen sollten, ist, dass Sitzung 0 (im klassischen Sinn die Konsolensitzung, in der Legacyanwendungen die Anzeige von Dialogfeldnachrichten veranlassen) dem Benutzer in der Regel nicht zugänglich ist. Dadurch wird die Interaktivität zwischen Systemdiensten (die in Sitzung 0 ausgeführt werden, wenn auch nicht auf interaktive Weise) und interaktiven Benutzern verringert. Außerdem ermöglicht dies eine Verminderung der Angriffsfläche für übermäßig berechtigte Dienste und interaktive Benutzer in Windows Vista, das den Schwerpunkt auf die Einschränkung von Berechtigungen (über die Benutzerkontensteuerung und andere Sicherheitsverbesserungen) gelegt hat. Damit brauchen Sie sich generell aber nur zu beschäftigen, wenn Sie Legacysoftware auf Windows Vista ausführen, und diese sich entweder bei der Installation oder der Ausführung unerwartet verhält.
Verfügbarkeit von Remotedesktop
Ein wichtiger Aspekt im Hinblick auf Remotedesktop ist die Frage, wann diese Funktion überhaupt verwendet werden kann. Windows XP Professional, Media Center Edition und Tablet PC Edition enthalten Remote Desktop-Funktionalität. Dies trifft auch auf alle Versionen von Windows Server 2003 zu. Windows Vista umfasst Remote Desktop-Funktionalität in den Ausgaben Business, Enterprise und Ultimate. Home-Editionen von Windows, einschließlich Windows XP Home Edition, und alle Home-Editionen von Windows Vista enthalten keine Remote Desktop-Funktionalität.

Terminaldiensteclient
Sie finden den neuen RDP 6.0-Client unter go.microsoft.com/fwlink/?LinkId=91612. Wie oben erwähnt, umfasst der Client die vollständige Funktionalität, um eine Verbindung zu einem RDP 6.0-System (Windows Vista oder Windows Server 2008) herzustellen.
Abbildung 4 zeigt den RDP 6.0-Client. Eine beachtliche Verbesserung in MSTSC ist die Möglichkeit, Anmeldeinformationen zwischenzuspeichern. Wenn Sie von Windows Vista mit Windows Vista oder Windows Server 2008 verbinden, wird sogar einmaliges Anmelden (Single Sign-On, SSO) von der Gruppenrichtlinie unterstützt.
Abbildung 4 RDP 6.0-Client
Abbildung 4 RDP 6.0-Client (Klicken Sie zum Vergrößern auf das Bild)
Version 6.0 von MSTSC.exe enthält zahlreiche Befehlszeilenparameter, die unten aufgelistet sind. Im Folgenden werden die einzelnen Parameter erläutert.
mstsc [<connection file>] [/v:<server[:port]>]
[/console] [/f[ullscreen]] [/w:<width>] [/h:<height>]
[/public] | [/span] [/edit "connection file"] [/migrate] [/?]
/v:<Server[:Port]> Gibt den Remotecomputer, mit dem Sie eine Verbindung herstellen möchten, und den optionalen Portwert an. (Port 3389 ist die Standardeinstellung und kann auf allen Versionen von Windows geändert werden.)
/console Ermöglicht eine Verbindung mit der Konsolensitzung älterer Versionen von Windows. Diese Einstellung funktioniert unter Windows Vista oder Windows Server 2008 nicht.
/f Startet die Remotedesktopverbindung im Vollbildmodus.
/w:<Breite> Gibt die Breite des Fensters „Remotedesktopverbindung“ an.
/h:<Höhe> Gibt die Höhe des Fensters „Remotedesktop“ an.
/public Führt die Remotedesktopverbindung im öffentlichen Modus aus. Im öffentlichen Modus erfolgt durch den RDP-Client keine Zwischenspeicherung der Daten im lokalen System. Verwenden Sie den öffentlichen Modus, wenn Sie zum Beispiel eine Verbindung von einem System in einem Konferenzzentrum zu einem Geschäftsserver herstellen.
Weiterer Einsatz von Terminaldiensten
Sie kennen möglicherweise zwei andere Microsoft-Technologien nicht, die Terminaldienstekomponenten verwenden. Der schnelle Benutzerwechsel in Windows XP und Windows Vista funktioniert so, dass mehrere Benutzer sich beim gleichen System anmelden können, jedoch schnell zwischen Benutzerkontexten wechseln, ohne einen der Benutzer zum Abmelden zu zwingen. Windows Media Center Edition (und Windows Vista) sind auf dieser Infrastruktur aufgebaut, um Media Center Extenders zu ermöglichen – praktisch ein Thin-Client-Terminal mit Audio-/Video-Renderingtechnologie und -codecs, um sich anzumelden und die Media Center-Erfahrung von einem Remotestandort aus auf einem Fernseher über eine Kabelverbindung oder eine drahtlose Verbindung zu rendern. In Windows XP sind dies in der Regel nicht geschäftsbezogene Szenarios, da immer ein System erfordert wird, das nicht an eine Domäne angeschlossen ist und in dem der schnelle Benutzerwechsel aktiviert ist. Denken Sie daran, dass beide Technologien in den Windows Vista-Produkteditionen für Unternehmen vorhanden sind, obwohl diese Nutzungsszenarios nicht wirklich in Unternehmen vorherrschen. Deshalb werden sie hier nicht in aller Ausführlichkeit behandelt.

/span Stimmt die Remotedesktopbreite und -höhe mit dem lokalen virtuellen Desktop ab und verteilt dies bei Bedarf monitorübergreifend. Beachten Sie, dass die Monitore alle die gleiche Höhe haben und parallel ausgerichtet sein müssen.
/edit Öffnet die angegebene RDP-Verbindungsdatei zum Bearbeiten. RDP-Dateien werden verwendet, um die Verbindungsinformationen für ein bestimmtes Remotesystem zu speichern.
/migrate Wandelt ältere Verbindungsdateien, die mit dem Clientverbindungsmanager erstellt wurden, in neue RDP-Verbindungsdateien um.
Viele der Verbesserungen im MSTSC-Client sind auch dann verfügbar, wenn das Terminaldienste-ActiveX®-Steuerelement verwendet wird, sowie TSMMC.msc, siehe Beschreibung weiter unten, um von der gleichen Konsole aus eine Verbindung zu mehreren Systemen herzustellen.

Neue Funktionalität in Windows Server 2008
Zusätzlich zu aller Funktionalität und allen Änderungen, die bereits in Bezug auf Windows Vista erwähnt wurden, umfasst Windows Server 2008 eigene Remotedesktopfunktionen: Terminal Services Web Access und Terminal Services Easy Print.
TS Web Access ermöglicht einem Benutzer, der einen Webbrowser verwendet, die Anzeige einer Liste von Programmen, die auf dem Remoteserver als RemoteApps aktiviert wurden, sowie das einfache Starten dieser Programme durch einen einzigen Klick über das Remotedesktop-ActiveX-Steuerelement. In mancher Hinsicht ähnelt diese Benutzererfahrung der SoftGrid-Anwendungsvirtualisierung, die im letzten Monat im Artikel über das Microsoft Desktop Optimization Pack angesprochen wurde, bei der ein Remotebenutzer mühelos eine Anwendung startet, ohne eine lokal installierte Software zu benötigen. Es wird sicher in den nächsten Jahren noch interessant, wie die Szenarios zum Verwenden von SoftGrid im Vergleich mit Terminaldienstetechnologien abschneiden.
TS Easy Print ermöglicht ein Umleiten aller Druckeraufgaben, die auf dem Remotesystem (Hostsystem) stattfinden, zum lokalen (Client-)System. Sie denken vermutlich, dass die Druckerumleitung dies bereits veranlasst. Das ist jedoch nicht der Fall. Easy Print funktioniert, ohne dass zusätzliche Druckertreiber auf dem Hostsystem oder Benutzeraktionen für die Installation des Geräts erforderlich sind. Wenn ein lokaler Drucker vorhanden ist, funktioniert Easy Print auf dem Remotesystem genauso wie auf dem lokalen System. Damit Easy Print funktioniert, muss das Remotesystem Windows Server 2008 ausführen, und alle Client- und Serversysteme müssen den Terminaldienste 6.1-Client ausführen und über Microsoft .NET Framework 3.0 SP1 verfügen. Es ist vorgesehen, dass beide in Abstimmung mit der Veröffentlichung von Windows Server 2008 geliefert werden.

Tipps für das Verwenden von Remotedesktop
Wie bereits erwähnt, verwende ich Remotedesktop jeden Tag – um genau zu sein, die Remotedesktop-MMC (Microsoft Management Console). Remotesysteme werden hier als Knoten hinzugefügt, sodass ein schneller und leichter Wechsel zwischen mehreren Systemen von der gleichen Benutzeroberfläche aus ermöglicht wird. Abbildung 5 zeigt, wie die MMC-Benutzererfahrung aussieht. Das MMC-Snap-In ist Teil des Windows Server 2003 Administration Tools Pack, dessen aktuelle Version unter go.microsoft.com/fwlink/?LinkId=91685 verfügbar ist.
Abbildung 5 MMC-Seite
Abbildung 5 MMC-Seite (Klicken Sie zum Vergrößern auf das Bild)
Ein anderer erfreulicher Tipp, den ich zufällig entdeckt habe, betrifft das Ausschneiden und Einfügen. Client- und serverübergreifendes Ausschneiden und Einfügen war in Windows XP neu. Damit es funktioniert, müssen sowohl der Client als auch der Server Windows XP ausführen, und die Zwischenablage muss umgeleitet werden (siehe Abbildung 6). Windows Vista-Clients unterstützen das Ausschneiden und Einfügen, wenn die Umleitung der Zwischenablage für die Verbindung aktiviert ist.
Abbildung 6 Einstellungen der lokalen Ressourcen
Abbildung 6 Einstellungen der lokalen Ressourcen (Klicken Sie zum Vergrößern auf das Bild)
Außerdem sollte beachtet werden, dass ggf. benötigte Tastenkombinationen wie Strg+Alt+Entf nicht an das Remotesystem übertragen werden. Sie gelten immer auf dem lokalen System. Drücken Sie auf dem Client Strg+Alt+Ende, um Strg+Alt+Entf an das Remotesystem zu senden.
Schließlich möchte ich Ihnen empfehlen, regelmäßig den Blog des Microsoft-Terminaldiensteteams unter blogs.msdn.com/ts zu besuchen. Ich tue dies ebenfalls.
Persönlich finde ich, dass Remotedesktop und Terminaldienste mein Leben dermaßen erleichtern, dass ich es mir ohne sie gar nicht mehr vorstellen kann. Dieser Artikel hat Ihnen hoffentlich einen Einblick in die neue Funktionalität im RDP 6.0-Client und Windows Vista sowie Windows Server 2008 vermittelt.

Ich danke Nelly Porter, der leitenden Programmmanagerin des Terminaldiensteteams, für ihre Hilfe bei der Recherche zu diesem Artikel.

Wes Miller ist Entwicklungsmanager bei Pluck (www.pluck.com) in Austin, Texas. Davor arbeitete er bei Winternals Software in Austin und bei Microsoft als Programmmanager und Produktmanager für Windows. Sie können Wes Miller unter technet@getwired.com erreichen.


Berichte aus der Praxis IM-Interviews
Nathan G. Jensen

Kürzlich veröffentlichte mein Unternehmen eine Onlineanzeige für einen leitenden Softwareingenieur (Telearbeit), woraufhin wir mit Bewerbungen aus aller Welt förmlich überschüttet wurden. Als leitendem Entwickler fiel mir die Aufgabe zu, technische Interviews mit all diesen Kandidaten zu führen. Frustriert sah ich mir die umfangreiche Liste an und überflog einen übertriebenen Lebenslauf nach dem anderen. Aus Erfahrung wusste ich, dass die meisten Bewerber nicht über die entsprechenden Qualifikationen verfügen würden – aus diesem Grund sind technische Interviews so wichtig.
Ich zog es in Betracht, mit den vielen Bewerbern nacheinander Telefoninterviews zu führen, aber mir war klar, dass das gut einen Monat dauern würde. Da kam mir eine geniale Idee: Warum die Interviews nicht über IM führen? Brillant! Und es hat funktioniert.
Als erstes schickte ich an alle Kandidaten eine Massen-E-Mail als Bcc-Kopie, in der ich erklärte, dass ein eingehendes technisches Interview erforderlich sei und Windows Live™ Messenger – nicht das Telefon – als Kommunikationsmittel verwendet würde. Durch die E-Mail wurde bereits etwa die Hälfte der Bewerber ausgesiebt, weil die Betreffenden vermutlich wussten, dass sie das technische Interview nicht durchstehen würden. Bei den übrigen würde ein IM-Chat funktionieren, denn ich wollte direkte Antworten auf klare technische Fragen, eine nach der anderen. In dieser Phase des Interviewprozesses waren kommunikative Fähigkeiten nicht weiter wichtig.
Abbildung Ich hatte mehrere IM-Windows offen und bombardierte alle Kandidaten mit meinen technischen Fragen.
Abbildung Ich hatte mehrere IM-Windows offen und bombardierte alle Kandidaten mit meinen technischen Fragen. (Klicken Sie zum Vergrößern auf das Bild)
Meine erste Schlussfolgerung war, dass diese Hightech-Form der Befragung Zeit und Geld sparen würde. Es würden keine Telefongebühren anfallen. Als die Bewerber begannen, mir Pinganforderungen für ein Interview zu senden, wurde mir klar, dass ich mehrere von ihnen gleichzeitig und effizient ins Rennen schicken konnte. Das Ganze war sogar ein ziemlicher Spaß. Ich hatte mehrere IM-Windows offen und bombardierte alle Kandidaten mit meinen technischen Fragen. Da ich die Fragen zuvor verfasst hatte, musste ich sie praktisch nur kopieren und einfügen.
Ich hatte die Fragen vorher im Web sorgfältig durchleuchtet, um möglichst wenige Antworten zu erhalten, die dem Internet entnommen waren. Es wäre leicht zu erkennen, wenn Antworten aus einem ausgefeilten Artikel oder einer offiziellen Dokumentation zu stammen schienen. Außerdem kann Windows Live Messenger den Zeitstempel jeder Antwort nachverfolgen, sodass später festgestellt werden kann, welche Kandidaten zu lange für die Antwort gebraucht haben.
Ich hatte ein weiteres „Aha“-Erlebnis, als während dieser gleichzeitig ablaufenden IM-Chats das Telefon klingelte und ich feststellte, dass ich mit den Interviews fortfahren und gleichzeitig Telefongespräche führen konnte. Das absolute Multitasking!
Nach einer Weile erkannte ich sogar noch einen weiteren Vorteil. Bei technischen Interviews am Telefon ist es nämlich äußerst ärgerlich, wenn eine kurze Frage gestellt und eine kurze Antwort erwartet wird, aber der Bewerber eine fünfminütige Dissertation liefert. Mit IM wird dieses Problem beseitigt, weil die Betreffenden zumeist knappe IM-Antworten geben.
Am Ende der einzelnen Interviews speicherte ich die Chatprotokolle, sodass Aufzeichnungen zur späteren Prüfung und Beurteilung zur Verfügung stehen würden. Außerdem konnte ich diese Protokolle für einen objektiven Vergleich an meinen Chef senden. Letztendlich nahm der gesamte Prozess ein paar Stunden statt einer Woche in Anspruch – die Zeit, die zum Vereinbaren von Terminen und für Gespräche mit den 25 Kandidaten erforderlich gewesen wäre.
Ich war mit meiner Entdeckung sehr zufrieden. Wir stellten den Bewerber ein, der schnell die richtigen Antworten gegeben hatte und dessen anschließendes Bewerbungsgespräch mit meinem Chef am Telefon gut verlief. Mithilfe dieses schnellen, effizienten und produktiven Prozesses fanden wir den richtigen Kandidaten bereits ein paar Tage nach der Stellenausschreibung.

Nathan G. Jensen ist leitender Webentwickler und freiberuflicher Autor in Salt Lake City. Sie erreichen ihn über die folgende Website: builderdash.com.


Windows Confidential Windows-Explorer kann keinen Text liefern
Raymond Chen

Es war einmal ein PowerToy mit dem Namen „Send To X“. Dieses PowerToy stellte viele schöne Funktionen zur Verfügung. So konnten Sie beispielsweise mehrere Dateien auswählen, mit der rechten Maustaste klicken und danach den Befehl „Send To Clipboard as Names“ (Als Namen an die Zwischenablage senden) auswählen. Wie erwartet, wurden dadurch die Namen der ausgewählten Dateien in die Zwischenablage kopiert.
Dies war auf jeden Fall ein sehr nützliches PowerToy, aber wieso musste es überhaupt erst entwickelt werden? Wieso können die Dateien nicht einfach in Windows®-Explorer kopiert und danach als Text eingefügt werden, um eine Liste der Dateinamen zu erhalten? Oder noch besser: Wieso können Dateien nicht einfach aus Windows-Explorer gezogen und im Editor abgelegt werden, um eine Liste ihrer Namen zu erhalten?
Keiner unserer Versuche hat funktioniert.
Eine über die Zwischenablage oder durch Ziehen und Ablegen durchgeführte Datenübertragung wird durch OLE-Datenobjekte vermittelt, die durch die IDataObject-Schnittstelle dargestellt werden. Ein Datenobjekt bietet verschiedene Formate an. Einige Zwischenablageformate wie Text und Bitmaps gibt es schon so lange, wie es Windows gibt. Weitere Formate sind im Lauf der Zeit hinzugekommen. Als das Verfahren des Ziehens und Ablegens zum ersten Mal in Windows integriert wurde, wurde es in Form eines HDROP eingebunden. Dieses HDROP konnte an Funktionen wie „DragQueryFile“ übergeben werden, um die Dateinamen zu extrahieren. Wenn Sie ein Objekt aus Windows-Explorer in die Zwischenablage kopieren, bietet das resultierende Datenobjekt unter anderem das oben erwähnte HDROP, die Dateiinhalte und einen Dateigruppendeskriptor an. Eines der nicht vom Datenobjekt angebotenen Formate ist das Textformat.
Wenn einem Ablageziel, also einem Bereich, auf dem Sie Objekte ablegen können, mitgeteilt wird, dass ein Datenobjekt auf ihm abgelegt werden soll, fragt das Ablageziel das Datenobjekt, was es enthält. Das Datenobjekt antwortet, indem es alle von ihm unterstützten Formate absteigend in der Reihenfolge ihrer Priorität auflistet. Mit anderen Worten: Das vom Datenobjekt an erster Stelle zurückgegebene Format ist das Format, das dieses Objekt am besten beschreibt. Danach kommt das zweitbeste Format und so weiter. Am Ende wird das letzte, am wenigsten geeignete Format angegeben. So führt beispielsweise ein aus einem Fenster von Windows-Explorer gezogenes Datenobjekt, das mehrere Objekte darstellt, wahrscheinlich an erster Stelle eine Shell-ID-Liste an, da diese eine nahezu perfekte Darstellung der Inhalte eines Fensters von Windows-Explorer bietet. An zweiter Stelle steht vielleicht ein Dateigruppendeskriptor, gefolgt von den Dateiinhalten, und danach ein HDROP.
1998 hat das Shell-Team versucht, die Liste der angebotenen Formate um reinen Text zu erweitern und dieses Textformat an das Ende der Liste zu setzen. Dies sollte im Grunde heißen: „Wenn gar nichts mehr geht, können Sie mir wenigstens ein bisschen Text (d. h. die Liste der Dateien) entlocken“. Leider wurden viele Programme durch das Textformat abgelenkt und ließen die anderen Formate völlig außer Acht. Diese Programme steuerten also sofort das Textformat an, das nichts weiter als eine Liste der Dateinamen enthielt. Dies hatte zur Folge, dass das Programm beim Ziehen einer Datei aus Windows-Explorer und dem anschließenden Ablegen dieser Datei in einem Dokument lediglich den Dateinamen statt die Datei selbst in das Dokument einfügte.
Das war ein großes Problem.
Aufgrund des ausgesprochen negativen Feedbacks in Bezug auf die Anwendungskompatibilität wurde diese Änderung wieder zurückgenommen. So kommt es, dass beim Ziehen und Ablegen oder beim Einfügen von Dateien, die aus Windows-Explorer kopiert wurden, die Dateinamen vom Shell-Datenobjekt nicht als Text angeboten werden.
In Windows Vista® wird dieses Problem jedoch behoben, da Sie die Möglichkeit haben, den Pfad als Text zu kopieren: Halten Sie beim Klicken mit der rechten Maustaste die Umschalttaste gedrückt, um das erweiterte Kontextmenü zu öffnen. Dadurch wird die neue Option „Als Pfad kopieren“ bereitgestellt. Ein spezielles PowerToy ist also nicht mehr erforderlich.

Raymond Chen befasst sich auf seiner Website „The Old New Thing“ und in seinem gleichnamigen Buch (Addison-Wesley, 2007) mit der Geschichte von Windows und mit der Win32-Programmierung. Die Arbeit an betrieblichen Mechanismen überlässt er anderen.