August 2007
System Center: Evoluzione di SMS - Una nuova potente soluzione per la gestione dei sistemi
La gestione dei sistemi sta per fare grandi passi avanti. Fai una visita guidata di System Center Configuration Manager 2007 e scopri come semplifica le attività principali, ad esempio la distribuzione degli aggiornamenti software, la gestione dei dispositivi mobili e la gestione delle configurazioni dei sistemi. John Orefice
System Center: Distribuzione di applicazioni e aggiornamenti alle succursali
Una delle nuove funzionalità di Configuration Manager 2007, ovvero i punti di distribuzione della succursale, potrebbe inizialmente sembrare di poco conto. Tuttavia, a un esame più attento, ci si rende conto che offre nuove e indispensabili funzioni per la gestione della distribuzione del software alle succursali. Steve Rachui
System Center: Introduzione a System Center Essentials 2007
Progettato specificatamente per le imprese di medie dimensioni, System Center Essentials offre una soluzione unificata per il monitoraggio, la gestione e la risoluzione dei problemi relativi ai sistemi. Di seguito viene fornita una guida dettagliata per l'installazione e la configurazione di Essentials 2007 per la rete. David Mills
System Center: Uno sguardo ai server con Operations Manager 2007
Operations Manager 2007, la più recente evoluzione di MOM, introduce alcuni miglioramenti fondamentali, tra cui le nuove interfacce di gestione, una funzionalità di reporting avanzata e il supporto di applicazioni line-of-business, nuove opzioni di protezione e altro ancora. Pete Zerger
System Center: Migrazione da MOM a Operations Manager 2007
Pronti alla migrazione a Operations Manager 2007? A causa delle modifiche apportate all'architettura, non è disponibile un percorso di aggiornamento diretto da una versione precedente di MOM. È necessario invece seguire uno dei piani di migrazione illustrati in questo articolo. Andy Dominey
System Center: Virtualizzazione delle applicazioni con Microsoft SoftGrid
Le applicazioni virtualizzate offrono numerosi vantaggi, che vanno dall'ottimizzazione dell'esperienza utente alla semplificazione dell'amministrazione del sistema. Viene ora fornita una panoramica dettagliata su come Microsoft SoftGrid fornisce applicazioni virtuali, su come può essere adattato all'infrastruttura in uso e su come garantisce all'azienda un risparmio di tempo e denaro. Ahmer Sabri and Kedar Shah
Columns
Dal redattore: Dinamicità e ottimizzazione: | Casella degli strumenti: Nuovi prodotti per professionisti IT: | SQL: domande e &risposte: Individuazione di blocchi, query di grandi dimensioni, statistiche di I/O e altro ancora:
Utilità in primo piano: BGInfo: Sarebbe fantastico poter vedere tutte le informazioni di un PC, il nome, l'indirizzo IP, il gateway, lo spazio libero su disco e così via, in un unico punto. Ciò è possibile, grazie a questo strumento di Sysinternals.Lance Whitney | The Cable Guy: Configurazione automatica IPv6 in Windows Vista: La tecnologia IPv6 non implica semplicemente l'estensione dello spazio di indirizzi da 32 bit a 128 bit. Viene ora esaminata la modalità di configurazione automatica degli host IPv6, senza l'uso di un protocollo di configurazione degli indirizzi.Joseph Davies | Windows PowerShell: La forza del filtraggio: La pipeline non è solo per i cmdlet. Vediamo come è possibile utilizzare la pipeline di Windows PowerShell per aggiungere pratiche funzionalità di filtraggio agli script.Don Jones
Hey, Scripting Guy!: Chi sei?: Con Active Directory, gli utenti possono avere una serie di identità, ad esempio givenName, displayName, userPrincipalName o distinguishedName. Come può l'amministratore di sistema ottenere tutte queste informazioni su un utente? Con uno script, ovviamente.The Microsoft Scripting Guys | Controllo della protezione: Miglioramenti di PKI in Windows: In Windows Vista e in Windows Server 2008, la piattaforma Windows PKI offre supporto per algoritmi avanzati, controllo della validità in tempo reale e una offre una maggiore facilità di gestione. È sufficiente provare le nuove funzionalità di PKI per rendersi subito conto consentono di ridurre i costi e migliorare la protezione.John Morello | File desktop remoto: Informazioni su RDP: Il Protocollo RDP (Remote Desktop Protocol), che consente di accedere ai computer in remoto, rappresenta un utile strumento tecnologico che funziona al meglio con qualsiasi versione di Windows. Per una visione d'insieme di Desktop remoto, esaminare i vantaggi e le limitazioni che presenta.Wes Miller
Note sul campo: Colloqui tramite la messaggistica immediata: C'è una posizione libera da riempire e numerosissimi curriculum vitae spediti da ogni parte del mondo. Come fare per ridurre i tempi per la ricerca? La risposta potrebbe essere fare colloqui tramite la messaggistica immediata. Di seguito viene riportato il caso di successo di uno sviluppatore.Nathan G. Jensen | Windows Confidential: Esplora risorse non fa testo: Perché non è possibile copiare un elenco di file in Esplora risorse ed incollarli come testo per ottenerne i nomi? Il team di Windows ha tentato di includere questa funzionalità, ma non si sono ottenuti i risultati previsti.Raymond Chen


System Center
Evoluzione di SMS - Una nuova potente soluzione per la gestione dei sistemi
John Orefice
Panoramica:
  • Distribuzione del sistema operativo
  • Gestione degli aggiornamenti software
  • Gestione della configurazione desiderata

Systems Management Server (SMS) 2003 è diventato un importante strumento di distribuzione del software e gestione delle configurazioni per gli amministratori di tutto il mondo. Microsoft si sta preparando
per introdurre una nuova versione della sua soluzione di gestione aziendale, che sarà dotata di nuove funzionalità e presenterà un nuovo nome, ovvero System Center Configuration Manager 2007.
System Center è una famiglia di prodotti Microsoft specificatamente progettati per semplificare e rendere meno dispendiosa la gestione giornaliera della complessa infrastruttura IT. Le soluzioni System Center si basano sull'automazione e le procedure consigliate derivanti da Microsoft® Operations Framework (MOF) e Information Technology Infrastructure Library (ITIL) e possono essere utilizzate a tutti i livelli di un'organizzazione.
Configuration Manager 2007 è solo uno dei componenti della famiglia System Center. System Center Data Protection Manager fornisce le funzionalità di backup e ripristino del sistema aziendale. System Center Operations Manager fornisce le funzioni proattive di automazione e monitoraggio del sistema. System Center Capacity Planner consente la pianificazione delle capacità e l'analisi dell'impatto ("what-if") delle distribuzioni dell'infrastruttura. E l'elenco potrebbe continuare (per ulteriori informazioni, consultare www.microsoft.com/systemcenter).
In questo articolo verranno esaminate diverse nuove funzioni avanzate, pianificate per Configuration Manager 2007, in base alla versione beta più recente. Verrà fornita una panoramica dei vantaggi che si potranno ottenere con questa straordinaria versione e verranno indicati i benefici in termini di tempo e denaro offerti da Configuration Manager.

Nuova interfaccia utente amministrativa
A partire da SMS 1.0, una delle funzioni più richieste in SMS è un'interfaccia utente nuova e ottimizzata. Microsoft risponde a questa esigenza apportando numerosi miglioramenti all'interfaccia utente amministrativa di System Center Configuration Manager 2007. Per abilitare queste nuove funzioni, la nuova console di Configuration Manager 2007 è integrata con C# e Microsoft .NET Framework e viene eseguita sulla tecnologia Microsoft Management Console (MMC) 3.0. Inoltre, analogamente a ciò che avveniva per SMS 2003, l'interfaccia utente è estendibile tramite un SDK affinché tutti gli utenti della console possano creare componenti aggiuntivi per soddisfare le loro specifiche esigenze.
La figura 1 mostra la nuova console con il nodo Gestione computer espanso, indicante tutte le nuove funzioni di gestione disponibili. Prendere nota anche del nuovo aspetto della sezione relativa alla configurazione del sito di SMS, che illustra le attività comuni da completare per rendere operativo Configuration Manager dopo l'installazione. La sezione relativa ai collegamenti e alle risorse contiene le attività che consentono di esplorare le funzioni comuni della console in modo estremamente rapido.
Figura 1 Interfaccia di amministrazione di Configuration Manager
Figura 1 Interfaccia di amministrazione di Configuration Manager (Fare clic sull'immagine per ingrandirla)
Alcuni dei vantaggi e delle funzioni abilitati da questa nuova console sono il trascinamento e la selezione di elementi multipli (importante per la gestione delle raccolte), le cartelle di ricerca per organizzare gli elementi in modo virtuale anziché fisico nella console, il riquadro delle azioni per eseguire attività appropriate alla sezione corrente, il riquadro dell'anteprima per visualizzare informazioni di riepilogo per un elemento specifico (ad esempio, un'immagine del sistema operativo), le home page per riepilogare le informazioni su un argomento specifico quale la distribuzione del software e una struttura organizzativa ottimizzata per semplificare considerevolmente l'esplorazione.
Come notato, il riquadro delle azioni è uno dei principali miglioramenti della nuova console. Consente di visualizzare le azioni contestualmente appropriate alla sezione della console in uso. Ad esempio, se viene visualizzata la raccolta relativa a tutti i sistemi, il riquadro delle azioni presenterà delle azioni, quali l'aggiornamento dell'appartenenza alle raccolte e l'installazione dell'agente (vedere la figura 2).
Figura 2 Le azioni disponibili sono specifiche per la vista corrente
Figura 2 Le azioni disponibili sono specifiche per la vista corrente (Fare clic sull'immagine per ingrandirla)
Inoltre, Configuration Manager 2007 introduce un nuovo concetto, definito "home page", che consente di esaminare in modo estremamente rapido lo stato di una specifica funzione, ad esempio la funzione degli aggiornamenti software, la distribuzione software o la gestione della configurazione desiderata. A tale scopo, è possibile utilizzare la console senza eseguire i report o ricercare i dati in un'altra posizione. Ricercare in questo articolo altri esempi relativi alle home page forniti per la descrizione delle diverse funzioni del prodotto.

Ruoli del server e punti di distribuzione
Configuration Manager 2007 introduce diversi nuovi ruoli del server per abilitare alcune delle nuove funzioni che verranno trattate nel corso di questo articolo. Tra questi ruoli sono inclusi l'FSP (Fallback Status Point), il PSP (PXE Service Point), il Branch Office DP (Branch Office Distribution Point), l'SMP (State Migration Point), il SUP (Software Update Point) e l'SHV (System Health Validator). Analogamente a ciò che avviene per tutti i ruoli del server di SMS e Configuration Manager, questi ruoli possono trovarsi sullo stesso server, ma a condizione che vengano eseguiti esercizi appropriati per la pianificazione delle capacità.
Il ruolo Branch Office DP è importante e si distingue dal DP tradizionale per due motivi. In primo luogo, non è necessario che sia installato su un sistema operativo server — può essere installato su Windows Vista® o Windows® XP. È il solo ruolo di Configuration Manager che può essere installato su un sistema operativo client. Ciò si rivela un grande vantaggio per una succursale priva di server locale o nei casi in cui un reparto IT desideri rimuovere i server dalle succursali più piccole per risparmiare denaro e ridurre l'overhead amministrativo. In questi casi in cui vi sono computer su cui è in esecuzione solo Windows XP o Windows Vista, il ruolo Branch Office DP può essere utilizzato per ridurre il traffico WAN garantendo che i client non estraggano pacchetti dalla rete WAN quando sono resi disponibili localmente.
La seconda differenza tra il ruolo Branch Office DP e un DP standard è identificabile nella sua connettività ad altri DP. I dati di replica dei punti di distribuzione tradizionali non risultano limitati o pianificati, a meno che non vengano trasmessi da un sito primario a un sito secondario. Per questo motivo, numerose organizzazioni replicano i pacchetti per le succursali solo durante la notte, ritardando la distribuzione del software finché i pacchetti non diventano disponibili localmente.
Il ruolo Branch Office DP utilizza BITS (Background Intelligent Transfer Services) per scaricare informazioni da altri DP. Ciò si rivela estremamente vantaggioso per limitare la larghezza di banda di un collegamento WAN tra una succursale e un punto di distribuzione nel centro dati centrale, in particolar modo quando nella succursale non esiste alcun sito secondario di Configuration Manager. La figura 3 mostra la nuova finestra di dialogo relativa alle proprietà DP che consente di trasformare un ruolo DP standard in un ruolo Branch Office DP.
Figura 3 Configurazione di un Branch Office DP
Figura 3 Configurazione di un Branch Office DP (Fare clic sull'immagine per ingrandirla)
SMS 2003 ha introdotto una tecnologia di replica per consentire la replica delta di pacchetti da un server del sito a un punto di distribuzione. Questa tecnologia funzionava correttamente per i pacchetti di SMS composti di diversi file più piccoli. Ad esempio, se un amministratore di SMS doveva apportare una modifica a un unico file o a diversi file più piccoli inclusi in un pacchetto SMS di dimensioni maggiori, venivano replicati soli i file modificati del pacchetto anziché l'intero pacchetto.
Dato che la distribuzione del sistema operativo diventa sempre più importante per Configuration Manager 2007, sarà necessario verificare che la replica di pacchetti di immagini del sistema operativo e di altri pacchetti più grandi nell'infrastruttura e nei collegamenti WAN venga eseguita nel modo più efficiente possibile. A tale scopo, Configuration Manager 2007 introduce la replica delta di file binari da un server del sito all'altro, da un server del sito a un DP e da un DP a un Branch Office DP.
Ad esempio, si prenda in considerazione l'immagine di una nuova distribuzione di Windows Vista nella quale sono preinstallate diverse applicazioni. Questo pacchetto potrebbe essere di 6 GB e, dato che corrisponde a un un'unica immagine di formato WIM, è anche un unico file di 6 GB. Come descritto in precedenza, se in SMS 2003 veniva aperta la nuova immagine WIM per modificare un'impostazione o aggiungere una nuova patch rilasciata, dato che l'immagine corrispondeva a un unico file WIM, l'intero pacchetto SMS di 6 GB doveva essere replicato ai DP. A differenza di ciò, con la replica delta dei file binari in Configuration Manager 2007, se viene modificata un'impostazione o viene aggiunta un'unica patch al pacchetto di immagini WIM, verrà replicata solo tale impostazione o patch di 2 MB all'interno dell'infrastruttura anziché l'intero pacchetto di 6 GB.

Processi comuni per dispositivi mobili
Subito dopo il rilascio di SMS 2003, Microsoft ha rilasciato Device Management Feature Pack (DMFP) per gestire i dispositivi mobili Windows CE e Pocket PC. Dato che l'utilizzo dei i dispositivi mobili nelle organizzazioni diventa sempre più frequente, l'esigenza di poterli gestire in modo efficace assume una priorità sempre più alta. Considerata questa tendenza, Configuration Manager 2007 utilizza SMS 2003 DMFP e fornisce una nuova eccezionale soluzione integrata per gestire i dispositivi mobili, tra cui gli smartphone Windows Mobile® e i telefoni Pocket PC, allo stesso modo in cui vengono gestiti server, computer portatili e computer desktop.
La gestione di base dei dispositivi mobili include l'inventario hardware e software, le funzionalità di raccolta dei file, la distribuzione software e altre impostazioni per la gestione dei criteri di protezione e della password. Utilizzando la gestione client basata su Internet di Configuration Manager 2007, tutti i dispositivi possono ora essere gestiti sulla Intranet e su Internet. Ciò si rivela un grande vantaggio per gli smartphone o gli altri dispositivi disponibili sulla LAN aziendale raramente o quasi mai.
Anche il processo per la distribuzione dell'agente è stato migliorato. Sono ora supportati aggiornamenti client rapidi ed è possibile automatizzare la distribuzione client tramite la console di Configuration Manager.

Finestre di manutenzione
Molti dei clienti aziendali con i quali lavoro dispongono di finestre di manutenzione per server e determinati desktop di importanza critica. Inoltre, chiedono regolarmente consigli su come distribuire applicazioni più grandi quale Microsoft Office System 2007, senza interrompere l'utente finale durante gli orari di lavoro tradizionali.
Configuration Manager 2007 introduce una nuova funzione relativa alle finestre di manutenzione. Questa funzione consente di definire finestre temporali durante le quali possono essere eseguite le installazioni per una particolare raccolta. Ciò consente di rendere obbligatorio un avviso senza dover pensare alle ripercussioni correlate all'installazione del pacchetto durante i normali orari di lavoro o in orari sconvenienti per gli utenti.
A titolo di esempio, prendere in considerazione la distribuzione del pacchetto Office System 2007. Si desidera mettere a disposizione questa applicazione per gli utenti finali nel minor tempo possibile, ma si desidera anche evitare che interferisca con il lavoro che essi svolgono durante la giornata. È possibile impostare la finestra temporale per indicare l'intervallo di tempo durante il quale il sistema deve eseguire l'installazione (probabilmente, tra le 20:00 e le 6:00). Se per un qualsiasi motivo il sistema non è disponibile nel periodo di tempo specificato da questa finestra di manutenzione in un determinato giorno, Configuration Manager attenderà l'orario successivo indicato nella finestra per garantire che l'attività non subisca interruzioni impreviste. È anche possibile ignorare le finestre di manutenzione a livello di avviso, per distribuire un aggiornamento critico nel modo più rapido possibile nonostante le eventuali restrizioni applicate.

Distribuzione del sistema operativo
La funzionalità di distribuzione del sistema operativo è l'area di maggiore interesse di Configuration Manager 2007. Microsoft ha progettato Configuration Manager come strumento fondamentale per distribuire i sistemi operativi per piattaforme server e workstation. Le funzioni più interessanti di SMS 2003 Operating System Deployment (OSD) Feature Pack sono state integrate in Configuration Manager 2007 per modificare radicalmente la modalità di gestione delle distribuzioni dei sistemi operativi.
Come è noto, Windows Vista ha introdotto un nuovo formato WIM (Windows Imaging) per la distribuzione del sistema operativo. L'utilizzo di questo formato garantisce numerosi vantaggi, a partire dal fatto che Configuration Manager 2007 importa il formato immagine WIM in modo nativo per consentire agli amministratori di lavorare con le immagini e di distribuirle direttamente dalla console.
Un'altra importante nuova funzione di distribuzione di Configuration Manager è il sequencer delle attività. Se si ha familiarità con Microsoft Solution Accelerator for Business Desktop Deployment (BDD), sarà possibile notare molte similitudini con le funzioni e le opzioni disponibili in Configuration Manager, ma anche una grande differenza: non sarà più necessario scrivere script per la distribuzione o l'acquisizione delle immagini dei sistemi operativi. Inoltre, grazie al sequencer delle attività, il processo di distribuzione del sistema operativo diventa completamente indolore.
Il sequencer delle attività consente di definire tutti i passaggi da eseguire nella distribuzione del sistema operativo, inclusi quelli eseguiti nel vecchio sistema operativo prima della distribuzione (migrazione dello stato utente e trasferimento delle impostazioni delle applicazioni), i passaggi per distribuire il nuovo sistema operativo (formattazione, partizione del disco, codice "Product Key", nome utente, azienda, impostazioni per la gestione delle licenze e installazione dei driver) e quelli richiesti dopo la distribuzione dei sistema operativo (installazione di applicazioni aggiuntive, installazione degli aggiornamenti e migrazione dello stato utente). Come esempio di questa funzionalità, la figura 4 mostra l'editor delle sequenze di attività in cui sono evidenziate alcune funzioni vantaggiose di una distribuzione di Windows Vista.
Figura 4 Modifica dei passaggi per la distribuzione del sistema operativo
Figura 4 Modifica dei passaggi per la distribuzione del sistema operativo (Fare clic sull'immagine per ingrandirla)
Oltre al sequencer delle attività, esistono numerosi altri miglioramenti apportati alla distribuzione del sistema operativo in Configuration Manager 2007, come illustrato nella figura 5. Ad esempio, Configuration Manager supporta la distribuzione bare metal con Pre-Boot Execution Environment (PXE) per le piattaforme x86 e x64 con la gestione dei driver dei dispositivi. L'opzione di gestione di driver dei dispositivi consente all'organizzazione di ridurre significativamente il numero di immagini da gestire per diversi tipi di hardware. Congiuntamente al supporto di singole immagini introdotto con il formato immagine WIM di Windows Vista, viene pressoché garantito un assoluto risparmio di tempo e denaro durante le distribuzioni dei sistemi operativi
Figure 5 Funzioni di distribuzione del sistema operativo

Scenario | SMS 2003 | Configuration Manager 2007
Distribuzione end-to-end | Sì | Sì
Completamente automatizzata | Sì | Sì
Aggiornamento ex novo | Sì | Sì
Distribuzione bare metal con PXE | Ampia integrazione con i Servizi di installazione remota (RIS) | Integrazione incorporata con i Servizi di distribuzione Windows (WDS)
Parallela | Script di BDD | Sì, tramite l'SMP
Distribuzione completa non in linea | No | Sì
Pianificazione dell'aggiornamento per Windows Vista | No | Sì
Distribuzione server completa | No | Sì
Gestione dei driver dei dispositivi | No | Sì

Gestione degli aggiornamenti software
Al pari di molte altre funzioni di Configuration Manager 2007, anche la gestione degli aggiornamenti software è stata ampiamente rinnovata. Configuration Manager modifica il modo in cui aggiornamenti e pacchetti regolari vengono trasmessi a un agente gestito creando un nuovo canale ad alta priorità basato sugli stati per tutti gli aggiornamenti software e le informazioni relative alla gestione della configurazione desiderata. La trasmissione di un ulteriore pacchetto software non interferirà più con l'inoltro di aggiornamenti software o la ricezione dello stato delle patch da server, computer portatili o workstation gestite.
Il metodo basato sugli stati per la gestione degli aggiornamenti software implica anche che lo stato di aggiornamenti e patch non è più associato alle analisi dell'inventario hardware e, di conseguenza, l'attuale Inventory Tool for Microsoft Updates (ITMU) e l'analisi del catalogo non saranno più necessari. Configuration Manager utilizza il nuovo ruolo del server SUP (Software Update Point) eseguendo Windows Server Update Services (WSUS) sul back-end come database e motore degli aggiornamenti software.
WSUS consente di disporre di una posizione centrale per la gestione di tutti gli aggiornamenti in Configuration Manager. Ciò consente di scaricare tutto il contenuto disponibile in Microsoft Update, inclusi aggiornamenti non critici, driver e altri pacchetti software per la piattaforma Microsoft. Tra l'altro, Microsoft incoraggia anche i suoi partner al rilascio di aggiornamenti software tramite questo metodo. Adobe e Citrix sono solo due delle molte aziende che al momento pubblicano manifesti per Inventory Tool for Custom Updates (ITCU) in SMS 2003 R2 per promuovere un ulteriore sviluppo di Configuration Manager.
Questo motore degli aggiornamenti software fornisce anche un aggiornamento dello stato in tempo quasi reale per consentire un reporting più efficace e viste di home page ottimizzate. Tali viste personalizzate possono mostrare grafici veloci dello stato delle patch in una infrastruttura IT o per una specifica raccolta di computer. La figura 6 mostra quanto sia semplice visualizzare i dati di conformità delle patch per uno specifico bollettino tramite una delle viste di home page personalizzate per la gestione degli aggiornamenti software.
Figura 6 Visualizzazione dello stato degli aggiornamenti software
Figura 6 Visualizzazione dello stato degli aggiornamenti software (Fare clic sull'immagine per ingrandirla)
Per concludere, i modelli di distribuzione degli aggiornamenti software riducono drasticamente il numero di passaggi necessari per inserire nuovi aggiornamenti in un sistema o in una raccolta. Utilizzando questi modelli per archiviare le informazioni di configurazione comuni, ad esempio quelle che specificano se forzare un riavvio o se il client deve scaricare patch dal DP localmente prima di eseguire l'installazione, questa funzione riduce il numero di passaggi necessari dai 18 richiesti con ITMU in SMS 2003 ai soli 6 previsti in Configuration Manager 2007.

Gestione della configurazione desiderata
La gestione della configurazione è un'altra straordinaria funzione ampiamente migliorata in Configuration Manager 2007. SMS 2003 Desired Configuration Monitoring è stato rilasciato nell'autunno 2006 e forniva numerose funzioni importanti ora incluse in Configuration Manager 2007 Desired Configuration Management. Per un background sulla funzione di monitoraggio della configurazione desiderata, vedere l'articolo di TechNet Magazine all'indirizzo microsoft.com/technet/technetmag/issues/ 2006/09/HighStandards. La figura 7 descrive la home page della gestione della configurazione desiderata in cui è riportata la conformità per due specifiche linee di base di configurazione.
Figura 7 Reporting della conformità delle linee di base della configurazione desiderata
Figura 7 Reporting della conformità delle linee di base della configurazione desiderata (Fare clic sull'immagine per ingrandirla)
Il driver principale per la gestione della configurazione desiderata di Configuration Manager deriva da una serie significativa di ricerche effettuate con i clienti Microsoft e indicanti che la maggior parte delle interruzioni del servizio è causata da una configurazione errata delle applicazioni o dei sistemi sui desktop e i server di importanza critica. Utilizzando la funzionalità di gestione della configurazione desiderata di Configuration Manager, gli amministratori possono acquisire rapidamente la deviazione della configurazione eseguendo analisi delle linee di base periodiche sui sistemi. Queste linee di base vengono create utilizzando gli elementi di configurazione (CI) e forniscono informazioni sulla conformità per una raccolta di computer dell'organizzazione.
Oltre ad acquisire la deviazione della configurazione, la gestione della configurazione desiderata consente di semplificare il reporting della conformità normativa e la verifica delle modifiche. Nella maggior parte delle organizzazioni, è altamente probabile che sia necessario il reporting della conformità normativa, ad esempio alle normative Sarbanes-Oxley (SOX), Payment Card Industry Data Security Standard (PCI DSS) e Health Insurance Portability and Accountability Act (HIPAA). Configuration Manager 2007 fornisce i report necessari tramite la gestione della configurazione desiderata.
Viene ora illustrato il funzionamento della gestione della configurazione desiderata. Un amministratore definirà i CI, ovvero le unità di configurazione che possono essere rilevate, applicate e rimosse dai computer. Una volta definiti questi CI, è possibile creare una linea di base di configurazione costituita da uno o più CI. Queste linee di base vengono poi assegnate alle raccolte di Configuration Manager per il reporting normativo e del monitoraggio della conformità.
I CI possono fare riferimento a diversi aspetti di un computer per raccogliere informazioni, tra cui dati relativi a Active Directory®, metadati dei file, risultati degli script, dati archiviati in SQL Server™, dati degli aggiornamenti software, WMI, XML, valori del Registro di sistema, metadati IIS e configurazione e presenza di Microsoft Installer. Le informazioni raccolte da queste posizioni vengono archiviate nel database di Configuration Manager e utilizzate per verificare se un sistema soddisfa i requisiti di conformità.
È interessante ricordare che il processo di gestione della configurazione desiderata e quello per la trasmissione di nuovi aggiornamenti in Configuration Manager 2007 risultano ora completamente integrati. Analogamente a ciò che avviene per il nuovo motore degli aggiornamenti software, tutti i dati relativi alla gestione della configurazione desiderata utilizzano il canale ad alta priorità basato sugli stati. L'integrazione di queste due funzioni di importanza critica consente a un amministratore di definire una linea di base di gestione della configurazione desiderata o di aggiornarne una esistente con nuovi aggiornamenti nell'ambito del processo di distribuzione degli aggiornamenti.

Gestione client basata su Internet
Ti è mai capitato di avere un computer rimasto disconnesso dalla rete così a lungo da far diventare obsoleto l'oggetto computer all'interno di SMS? Sulla base delle conversazioni intrattenute con i miei clienti, una situazione del genere sembra essere fin troppo frequente. Fortunatamente, Configuration Manager 2007 introduce la nuova funzione di gestione client basata su Internet. Questa funzione agisce in modo molto simile alla modalità utilizzata da Microsoft Office Outlook® per comunicare con Exchange Server tramite HTTPS senza una rete privata virtuale (VPN). Se non si ha familiarità con questo scenario, sarà sufficiente comprendere che si potrà ottenere una comunicazione più sicura con i computer client, senza tutte le complicazioni correlate a una connessione VPN.
La gestione client basata su Internet consente di gestire computer su Internet con lo stesso livello di controllo con il quale si gestiscono computer sulla Intranet. In effetti, tutte le funzioni trattate in questo articolo potranno essere applicate con la gestione client basata su Internet, ad eccezione della distribuzione del sistema operativo, della riattivazione LAN e degli strumenti remoti, in quanto utilizzano porte diverse per la comunicazione che non può avvenire con tunnel tramite SSL o TLS. Degli esempi di situazioni in cui entra in gioco la gestione client basata su Internet sono costituiti dai dispositivi POS per ristoranti, punti vendita al dettaglio e stazioni di servizio; computer utilizzati dai dipendenti a casa; forza vendita mobile o team di consulenti.
È necessario soddisfare specifici requisiti prima di abilitare la gestione client basata su Internet nell'infrastruttura di Configuration Manager 2007. In primo luogo, sarà necessaria un'infrastruttura a chiave pubblica (PKI) per assegnare i certificati digitali a tutti gli agenti gestiti da Configuration Manager. Ciò consente di utilizzare l'autenticazione reciproca tra i server e tutti gli agenti di gestione di Configuration Manager per garantire che i dati ricevuti siano crittografati e provengano da un'origine attendibile. Sarà inoltre necessario un punto di terminazione SSL che funga da punto di connessione tra i server di Configuration Manager e tutti i client basati su Internet. Microsoft Internet Security and Acceleration (ISA) Server 2006 è una soluzione software che soddisfa tali requisiti.
La gestione client basata su Internet è la funzione in cui viene utilizzato il nuovo ruolo del server FSP (Fallback Status Point). Se uno degli agenti basati su Internet non riesce a stabilire una comunicazione in modo corretto o se il certificato dovesse scadere, l'agente segnalerà il problema all'FSP disponibile nella rete perimetrale dell'organizzazione. Ciò consente di restare sempre in contatto con i sistemi gestiti tramite Internet. Inoltre, i client possono effettuare il roaming tra la gestione basata su Internet e quella basata sulla Intranet in modo automatico per utilizzare al meglio le risorse appropriate nel momento appropriato.

Altre nuove funzioni
Sebbene non venga considerata una funzione di importanza critica, la riattivazione LAN è uno strumento estremamente prezioso che consente agli amministratori di ottenere una distribuzione software, un aggiornamento software o la distribuzione del sistema operativo in modo rapido e semplice. Configuration Manager 2007 abilita la funzione di riattivazione LAN per tutti gli agenti gestiti basati sulla Intranet dotati di una scheda di rete compatibile. La figura 8 riporta un esempio di utilizzo della riattivazione LAN per un annuncio nella nuova procedura guidata per la creazione degli annunci. In questo caso, viene distribuito un nuovo pacchetto a un gruppo di computer. Se il dispositivo compatibile con la riattivazione LAN viene spento, l'abilitazione di questa impostazione nella procedura guidata consente a Configuration Manager di avviare il sistema per distribuire il pacchetto definito dall'annuncio.
Figura 8 Riattivazione LAN in un annuncio di distribuzione software
Figura 8 Riattivazione LAN in un annuncio di distribuzione software (Fare clic sull'immagine per ingrandirla)
La funzione di controllo remoto è stata completamente modificata in Configuration Manager per fornire una soluzione più sicura e affidabile con prestazioni considerevolmente più veloci. Al posto dei vecchi strumenti utilizzati a partire da SMS 1.0, Configuration Manager ora utilizza la tecnologia di collaborazione nativa di Windows Vista basata su RDP (Remote Desktop Protocol). La funzionalità è essenzialmente la stessa di quella disponibile con SMS 2003 in quanto continua a non essere necessaria l'approvazione delle nuove sessioni da parte dell'utente finale. Tuttavia, sono stati introdotti tre livelli nuovi di accesso: controllo completo, solo visualizzazione e nessun controllo. Oltre a questa nuova tecnologia, in Configuration Manager 2007 continua a essere integrata la funzione di assistenza remota.

Conclusione
Sono stati esaminati diversi miglioramenti e nuove funzioni di System Center Configuration Manager 2007. Tali funzionalità sono state progettate per semplificare il lavoro amministrativo, abilitare nuovi carichi di lavoro e ridurre i costi nell'ambiente IT. Con Configuration Manager 2007, e con tutti gli altri prodotti della famiglia System Center, si disporrà di tutti gli strumenti necessari per gestire le infrastrutture IT più complesse e al contempo garantire al business un margine competitivo.
Oltre alle funzioni illustrate in questo articolo, esistono molti altri miglioramenti nel prodotto, quali l'integrazione della protezione dell'accesso alla rete (NAP) di Windows Server® 2008 e le funzionalità avanzate di gestione delle risorse software (SAM) basate sulla stessa tecnologia Asset Intelligence inclusa in SMS 2003 SP3. Ti suggeriamo di scaricare la versione finale candidata di Configuration Manager 2007 o la versione di prova della versione definitiva per scoprire l'effettivo funzionamento di queste funzioni nell'infrastruttura utilizzata.
Per ottenere ulteriori informazioni e una panoramica su tutti i prodotti della famiglia System Center, consultare microsoft.com/systemcenter. Da qui potrai esplorare qualsiasi soluzione della famiglia System Center, incluso Configuration Manager.

John Orefice è un professionista di soluzioni tecnologiche nell'area degli stati del Medio Atlantico di Microsoft. Lavora con le soluzioni di gestione di Microsoft da diversi anni, dapprima come un consulente con Microsoft Consulting Services (MCS) e ora nel ruolo attuale. È possibile contattarlo all'indirizzo john.orefice@microsoft.com.
© 2008 Microsoft Corporation e CMP Media, LLC. Tutti i diritti riservati. È vietata la riproduzione completa o parziale senza autorizzazione.


System Center
Distribuzione di applicazioni e aggiornamenti alle succursali
Steve Rachui
Panoramica:
  • Configurazione di un punto di distribuzione secondario
  • Informazioni sui limiti
  • Tre approcci al provisioning dei dati

Microsoft prevede il rilascio di questa soluzione avanzata per la gestione dei sistemi. Precedentemente noto come Systems Management Server (SMS), il nuovo sistema System Center Configuration Manager 2007
dispone di una serie di nuove funzionalità che non passano di certo inosservate. Una di queste utili funzionalità è rappresentata dal punto di distribuzione secondario (BDP), un nuovo tipo di punto di distribuzione realizzato appositamente per soddisfare le necessità dei piccoli uffici o degli uffici distribuiti. Inizialmente e rispetto ad altre nuove funzionalità, il BDP potrebbe sembrare poco rilevante, ma non è così.
Con le versioni precedenti di SMS, i sistemi server erano le uniche piattaforme supportate per ospitare i punti di distribuzione. Quindi, gli amministratori che avevano bisogno di fornire assistenza alle succursali, che spesso non dispongono di server locali e comunicano tramite collegamenti WAN più lenti, hanno avuto difficoltà a progettare e creare un'infrastruttura in grado di distribuire il software in modo tempestivo ed efficiente. È esattamente questo lo scenario a cui il BDP è destinato.
Il BDP, che è progettato per operare sulla workstation e sui sistemi di classe server, è un componente reso disponibile, nonostante per impostazione predefinita non sia abilitato, su ogni client di Configuration Manager 2007. Sebbene ogni client di Configuration Manager 2007 disponga del codice necessario per operare come un BDP, non tutti i client dovrebbero essere configurati in tal modo.

Configurazione di un BDP
L'attivazione della funzione BDP su un client è praticamente uguale alla configurazione di un punto di distribuzione basato sul server. Inizialmente bisogna configurare un client come un nuovo sistema del sito (come mostrato nella figura 1) e specificare quindi che si tratta di un punto di distribuzione secondario (come mostrato nella figura 2). In base a questa configurazione, il BDP viene elencato come un punto di distribuzione disponibile per pacchetti, aggiornamenti software, immagini Operating System Deployment (OSD) e così via. I criteri verranno preparati dal server del sito e indirizzati al client selezionato che attiverà la funzione BDP. Dopo il download di questi criteri, il client inizierà ad agire come un BDP.
Figura 1 Configurare il client come nuovo sistema del sito
Figura 1 Configurare il client come nuovo sistema del sito
Figura 2 Configurare il sistema del sito come un punto di distribuzione secondario
Figura 2 Configurare il sistema del sito come un punto di distribuzione secondario
Un BDP o qualunque sistema del sito, può essere configurato per gestire un particolare limite (in SMS 2003, limiti del sito) o un gruppo di limiti oppure può essere configurato per operare senza essere associato a un limite specifico. I limiti in Configuration Manager 2007 vengono solitamente definiti dalla subnet IP o dal sito di Active Directory®.
Per configurare un BDP per gestire un determinato set di limiti, selezionare l'opzione relativa all'abilitazione del sistema del sito come sistema protetto nella finestra di configurazione del sistema del sito e specificare i limiti che devono essere gestiti, come mostrato nella figura 1. Tenere presente che questo è un passaggio necessario se si intende utilizzare il BDP per il provisioning dei contenuti su richiesta (che descriverò tra breve). Se questo passaggio non viene effettuato, il BDP funzionerà essenzialmente come qualunque punto di distribuzione standard.

Informazioni sui limiti
I limiti protetti in un BDP servono soltanto per definire quali client possono accedere ai contenuti del BDP; non giocano un ruolo nel determinare a quale punto di distribuzione standard un BDP può accedere per scaricare i contenuti necessari. Si supponga, ad esempio, un ambiente con un BDP installato sul Limite A. Si supponga quindi che il Limite B contenga solo il punto di distribuzione standard che utilizza il servizio di trasferimento intelligente in background (BITS) e questo punto di distribuzione è configurato per servire soltanto i client nel Limite B. Riuscirà il BDP a scaricare i contenuti necessario? In base alle regole dei limiti protetti, si potrebbe pensare di no. Tuttavia, in questo scenario, il download riuscirebbe, per i download BDP che non rispettano i limiti protetti configurati sui punti di distribuzione standard.
I BDP forniscono un'estrema flessibilità. È possibile abilitare un singolo BDP per una singola succursale o, se necessario, abilitare più BDP per una singola succursale (limite). Quando più BDP vengono configurati per gestire gli stessi limiti, lavorano insieme, un po' come il bilanciamento del carico per fornire i contenuti ai clienti entro tali limiti.

Provisioning dei dati
Una volta abilitato, un BDP può ottenere i contenuti di cui ha bisogno in tre modi diversi: provisioning all'amministratore, provisioning su richiesta e provisioning manuale. Indipendentemente dal metodo utilizzato per ottenere i contenuti, deve essere disponibile almeno un punto di distribuzione standard abilitato a BITS al quale fornire i contenuti che verranno ricevuto dal BDP. Ora è possibile dare uno sguardo ai tre metodi che possono essere utilizzati per ottenere i contenuti.
Provisioning all'amministratore Questo è il metodo conosciuto per gestire i contenuti in un punto di distribuzione. Questo metodo richiede che l'amministratore selezioni manualmente il BDP come punto di distribuzione. In questo modo un criterio avviserà il BDP di eseguire il download dei contenuti forniti da un punto di distribuzione standard abilitato a BITS presente nello stesso sito durante il successivo ciclo di aggiornamento dei criteri.
Provisioning su richiesta Questo è un nuovo metodo di gestione dei contenuti specifico di BDP. Questo approccio consente il download dei contenuti su richiesta al BDP quando richiesto da un client. L'amministratore non effettua operazioni per eseguire il provisioning dei contenuti al BDP, questo significa che il BDP non viene selezionato come punto di distribuzione nel nodo dei pacchetti. Il provisioning su richiesta determinerà in effetti la selezione del BDP come un punto di distribuzione quando viene eseguita la richiesta dei contenuti. Questo accade in automatico.
Il provisioning su richiesta può essere eseguito solo se il pacchetto è configurato per supportare questa opzione (vedere la figura 3) e il BDP è protetto per assicurare che i client che richiedono i contenuti possano accedere solo al BDP e non ad altri punti di distribuzione standard che dispongono dei contenuti necessari. Tenere presente che se vengono configurati più BDP negli stessi limiti protetti, il provisioning su richiesta per uno di essi causerà la fornitura dei contenuti a tutti.
Figura 3 Abilitazione della distribuzione su richiesta di un pacchetto
Figura 3 Abilitazione della distribuzione su richiesta di un pacchetto
Provisioning manuale Come è possibile dedurre dal nome, questo metodo di gestione dei contenuti richiede un'azione manuale da parte dell'amministratore. Il pacchetto deve essere configurato per indicare che i contenuti verranno trasferiti manualmente, come mostrato nella figura 3. Il contenuto deve essere quindi copiato manualmente nel BDP nella cartella dei pacchetti utilizzando una struttura di directory di un pacchetto tipico.
Il BDP riconoscerà il nuovo pacchetto e lo renderà disponibile ai client. Poiché questo metodo consente il trasferimento del contenuto al BDP utilizzando un supporto rimovibile, è ideale per gli ambienti con larghezza di banda limitata tra il punto di distribuzione standard e il BDP.
È possibile configurare un BDP per memorizzare i contenuti scaricati in una specifica partizione; se nessuna partizione è specificata, il BDP sceglierà automaticamente una partizione da utilizzare. Quando i contenuti vengono configurati per essere gestiti in un BDP o quando viene elaborata una richiesta su richiesta, i contenuti di destinazione non sono subito disponibili nel BDP. I criteri sono invece pronti ad avvisare il BDP della disponibilità dei contenuti per il download. Al successivo ciclo di aggiornamento dei criteri, il BDP riceverà i criteri e inizierà il download BITS dei contenuti. È possibile utilizzare i Criteri di gruppo per controllare con precisione la larghezza di banda utilizzata e il piano dei download BITS. Tenere presente che la condivisione del punto di distribuzione nel BDP è simile alla condivisione del punto di distribuzione standard, questo significa che i contenuti non sono crittografati.

La giusta configurazione per l'organizzazione
Come detto, il ruolo BDP è stato creato per la succursale ed è perfettamente funzionante sui sistemi workstation. Tuttavia, è anche possibile utilizzare un BDP su un sistema di classe server. Il sistema operativo di base influirà sul numero di connessioni che è possibile effettuare al BDP. Le workstation hanno un limite di 10 connessioni simultanee, mentre i server non hanno questo limite. Quindi, in base al numero di connessioni simultanee da supportare, potrebbe essere necessario utilizzare nella succursale un sistema server o forse più sistemi workstation. Indipendentemente dalla piattaforma utilizzata, deve comunque essere presente almeno un punto di distribuzione standard abilitato a BITS con i contenuti richiesti.
Tuttavia l'infrastruttura è configurata e il BDP offrirà un maggior controllo sul flusso di distribuzione software nell'organizzazione. Il supporto incorporato per BITS, che consente di limitare e pianificare i download, offre un vantaggio fondamentale per gli amministratori che richiedono un controllo più dettagliato e una maggiore prevedibilità.

Steve Rachui è un Manageability Support Escalation Engineer nel gruppo di servizi di supporto per i prodotti presso Microsoft. Ha supportato Systems Management Server (SMS) sin dalla versione 1.2. È possibile contattarlo all'indirizzo steverac@microsoft.com.


System Center
Introduzione a System Center Essentials 2007
David Mills
Panoramica:
  • Installazione e aggiornamento
  • Configurazione di Essentials 2007
  • Procedura per la risoluzione dei problemi

System Center Essentials 2007 è una nuova soluzione di gestione IT progettata specificatamente per le aziende di medie dimensioni che utilizzano dai 50 ai 500 PC e dai 5 ai 30 server. Essentials 2007 rappresenta la risposta alle esigenze dei professionisti di IT di poter disporre di una
soluzione di gestione unificata. Essentials 2007 soddisfa al meglio tali esigenze e consente di diventare operativi in modo estremamente rapido grazie a una singola installazione e a una semplice configurazione.
Più specificatamente, Essentials 2007 fornisce le funzionalità di monitoraggio, risoluzione dei problemi e analisi dei beni materiali per mantenere l'ambiente IT protetto e aggiornato. Essentials 2007 offre anche una console di gestione unificata, che consente di gestire server, client, hardware, software e servizi IT (vedere la figura 1). Inoltre, Essentials si rivela prezioso per semplificare e rendere efficienti le attività di gestione più complesse, quali la risoluzione dei problemi dell'utente finale, il monitoraggio e la distribuzione del software di server e client.
Figura 1 Console di gestione di Essentials 2007
Figura 1 Console di gestione di Essentials 2007 (Fare clic sull'immagine per ingrandirla)

Requisiti per Essentials 2007
Prima di avviare il processo di installazione e configurazione di Essentials 2007, è necessario verificare che i sistemi siano conformi ai requisiti minimi per software e hardware. Il sistema operativo server dovrebbe essere Windows Server® 2003 SP1 o R2 oppure Windows® Small Business Server 2003 SP1 o versione successiva. Sarà anche necessario Active Directory®, IIS 6.0, Microsoft® .NET Framework 2.0 e 3.0 o versione successiva e SQL Server™ 2005 SP1. Il server richiede almeno 1 GB di RAM, 12 di GB di spazio libero su disco e un processore a 1,8 GHz. Sono consigliati 2 GB di RAM, 20 GB di spazio libero su disco e un processore a 2,8 GHz o più veloce.
È necessario che sui computer client gestiti sia in esecuzione Windows 2000 Professional SP4, Windows XP SP2 o Windows Vista®. Sono supportati sistemi operativi x86 e x64.
È necessario che sui computer server gestiti sia in esecuzione Windows 2000 Professional SP4, o un sistema operativo più recente. Sono supportati sistemi operativi x86 e x64. Poiché è probabile che si desideri monitorare e gestire l'ambiente IT dal proprio computer desktop o portatile, sarà necessario eseguire l'installazione della console di Essentials 2007 sul computer. Prima di iniziare, verificare che sul computer sia in esecuzione Windows XP SP2, Windows Vista o Windows Server 2003 SP1.
Inoltre, quando si pianifica la configurazione del server di Essentials 2007, è necessario predisporre uno spazio su disco sufficiente per la gestione dei download degli aggiornamenti e del database di report. Il database degli aggiornamenti può crescere oltre i 2 GB ed il contenuto degli aggiornamenti può crescere oltre i 6 GB. I database operativi e di report di Essentials possono crescere fino a 4 GB. Eseguire la pianificazione in base a queste informazioni in modo da non esaurire lo spazio di archiviazione.

Installazione di Essentials 2007
L'installazione di Essentials 2007 si rivela piuttosto semplice grazie alle efficienti procedure guidate a disposizione, che offrono una guida rapida per le attività più critiche quali l'installazione e la configurazione, l'individuazione dei computer e la configurazione degli aggiornamenti. Quando si esegue l'installazione guidata, Essentials 2007 verifica automaticamente tali prerequisiti e informa l'utente nel caso in cui vi siano prerequisiti mancanti (vedere la figura 2).
Figura 2 Verifica dei prerequisiti di installazione
Figura 2 Verifica dei prerequisiti di installazione (Fare clic sull'immagine per ingrandirla)
Se uno degli elementi richiesti non è incluso sul disco di Essentials 2007, dalla schermata di installazione è disponibile un collegamento al software mancante per poterlo installare. Man mano che si procede nell'installazione guidata, sarà necessario specificare un percorso di installazione di Essentials 2007 e le informazioni per un account con privilegi amministrativi. La gestione dei computer tramite Essentials 2007 può risultare molto più semplice se questo account dispone dei diritti di amministratore sul server di gestione e su tutti i computer gestiti. Essentials supporta l'utilizzo di un unico account per svolgere attività quale l'installazione degli agenti sui computer gestiti.
Se al momento SQL Server 2005 non è installato e disponibile per essere utilizzato con Essentials 2007, in locale o in remoto, è possibile scegliere di utilizzare Essentials 2007 per installare SQL Server 2005 Express with Advanced Services in modalità locale durante l'installazione. Questa versione di SQL Server è inclusa sul disco di Essentials 2007. È inoltre possibile acquistare una versione di Essentials 2007 con SQL Server 2005 Standard, concesso in licenza specificatamente per l'uso con Essentials 2007.
L'altra importante decisione da prendere in fase di installazione è scegliere la posizione in cui Essentials 2007 dovrà archiviare gli aggiornamenti. È possibile archiviarli in locale affinché il server di Essentials 2007 possa trasmetterli ai computer gestiti sulla rete. Probabilmente questa è la scelta migliore, soprattutto se l'accesso a Internet tende a essere un collo di bottiglia per la rete. Gli aggiornamenti possono anche essere scaricati direttamente da Microsoft Update ogni volta che è necessario aggiornare un computer. Optare per quest'opzione comporta che un aggiornamento per 50 computer viene scaricato 50 volte, ovvero una volta per ogni computer. Ciò può rivelarsi poco pratico, ma il vantaggio è che si utilizzerà meno lo spazio su disco sul server di gestione.
La topologia di distribuzione di base supportata da Essentials 2007 prevede l'installazione di tutti i componenti di gestione su un unico server (vedere la figura 3). Tuttavia, è possibile scegliere di installare la console di gestione di Essentials 2007 sul computer desktop o portatile in ufficio e decidere di controllare in remoto il server di gestione. Prima di installare la console remota, è necessario eseguire la configurazione guidata della funzionalità sul server di Essentials 2007. Questo processo stabilisce se vengono utilizzati i Criteri di gruppo del dominio o i Criteri di gruppo locali per configurare la console remota. Se si selezionano i Criteri di gruppo del dominio, accertarsi che sia trascorso tempo sufficiente per consentirne l'aggiornamento sul computer sul quale viene installata la console remota. È possibile installare più console remote se necessario.
Figura 3 Configurazione di Essentials 2007 di base
Figura 3 Configurazione di Essentials 2007 di base
Se si gestisce un ambiente IT con più di 200 computer, sarà necessario installare SQL Server 2005 su un server remoto (non sul server di gestione di Essentials 2007) e utilizzare tale istanza remota come database di Essentials 2007 (vedere la figura 4). Questo garantirà prestazioni migliori quando si aumentano le dimensioni. Non dimenticare che questo server remoto deve trovarsi nello stesso dominio del server di gestione di Essentials 2007.
Figura 4 Utilizzo di un database di SQL Server remoto
Figura 4 Utilizzo di un database di SQL Server remoto
Se si sceglie di utilizzare un'istanza di database di SQL esistente durante l'installazione di Essentials 2007, è necessario assicurarsi che SQL Server 2005 SP1 Reporting Services sia installato e configurato sul server di gestione di Essentials 2007.

Aggiornamento a Essentials 2007
È probabile che sia già in esecuzione Windows Server Update Services (WSUS) 2.0 o 3.0 per gestire gli aggiornamenti Microsoft. In questo caso, se si desidera l'aggiornamento a Essentials 2007 per ottenere una soluzione di gestione più completa, Essentials consente di eseguirlo durante il processo di installazione. Questo aggiornamento sul posto mantiene le informazioni di aggiornamento esistenti, inclusi i valori binari, i gruppi e le approvazioni.
Se si utilizza Microsoft Operations Manager (MOM) 2005 o MOM 2005 Workgroup Edition per monitorare i server critici, ma si desiderano le funzioni di Essentials per l'inventario dei beni materiali, la distribuzione del software e l'aggiornamento, è possibile eseguire la migrazione dei Management Pack senza alcuna difficoltà esportandoli, convertendoli e quindi reimportandoli direttamente in Essentials 2007. Analogamente a MOM 2005, Essentials 2007 utilizza i Management Pack per il monitoraggio di computer e dispositivi. I Management Pack contengono anche le informazioni necessarie per diagnosticare e risolvere i problemi IT nel modo corretto. Se non si desidera eseguire la migrazione completa a Essentials 2007, è possibile ricorrere al funzionamento affiancato per preservare il monitoraggio di importanza critica ed eseguire la migrazione quando desiderato.
È necessario tenere presente che alcune impostazioni di WSUS non vengono mantenute durante l'aggiornamento a Essentials 2007. Verranno perse le informazioni relative a computer, impostazioni e approvazioni automatiche, nonché tutte le approvazioni esistenti per i gruppi relativi a tutti i client o a tutti i server. Pertanto, eliminare tali gruppi da WSUS prima di eseguire l'aggiornamento. Quindi, sarà necessario ricreare tali approvazioni al completamento dell'installazione di Essentials 2007.
Ricordare che non è possibile eseguire l'aggiornamento da WSUS se al server esistente sono associati server figlio attivi. Essentials 2007 non supporta la modalità WSUS Upstream Server (USS). Dato che questa situazione non può essere rilevata in modo affidabile, si verrà avvisati se al server WSUS sono associati server figlio. Inoltre, non si deve procedere con un aggiornamento nel caso in cui si utilizzi WSUS 2.0 o 2.0 SP1 con un server di database remoto che non esegue lo SQL Server 2005 SP1 per l'archiviazione dei dati di WSUS.
Una copia di backup del database corrente viene automaticamente creata durante il processo di aggiornamento. Se l'aggiornamento non riesce, è possibile ripristinare l'ambiente precedente utilizzando la copia di backup. Verificare che sia disponibile spazio sufficiente per eseguire il backup del database corrente di WSUS controllando le dimensioni del file di database corrente e appurando che vi sia abbastanza spazio per creare una copia.

Configurazione di Essentials 2007
Essentials 2007 fornisce numerose procedure guidate che offrono assistenza per svolgere le attività di configurazione e gestione. La configurazione guidata della funzionalità fornisce una rapida panoramica di alcuni passaggi di configurazione che sarebbe piuttosto complicato eseguire manualmente, ad esempio la configurazione dei Criteri di gruppo. La figura 5 mostra la prima pagina della procedura guidata.
Figura 5 Avvio della configurazione guidata della funzionalità
Figura 5 Avvio della configurazione guidata della funzionalità (Fare clic sull'immagine per ingrandirla)
Se si desidera utilizzare un server proxy al momento della connessione a Internet, uno dei primi passaggi consiste nell'immissione del nome del server e del numero di porta. Quindi, è possibile scegliere un tipo di Criteri di gruppo per configurare i computer gestiti, ovvero i Criteri di gruppo del dominio o i Criteri di gruppo locali. È inoltre possibile creare un'eccezione di Windows Firewall se si è scelto di utilizzare i Criteri di gruppo del dominio per configurare i computer gestiti.
A questo punto, è possibile eseguire il passaggio opzionale per abilitare l'assistenza remota dei computer. Ciò è consentito se si sceglie di utilizzare i Criteri di gruppo del dominio per configurare i client. Ricordare che in questo modo viene creata un'eccezione firewall su tutti i computer gestiti per abilitare DCOM sulla porta TCP 135.
È possibile scegliere se si desidera raccogliere i dati del monitoraggio errori senza agente dai computer gestiti. Se si seleziona Sì scegliendo una posizione in cui archiviare gli errori, i computer gestiti invieranno segnalazioni errori al server di Essentials 2007, che sarà possibile visualizzare per identificare le applicazioni in cui si verificano problemi.
Sono disponibili delle opzioni che specificano se inoltrare la segnalazione errori a Microsoft e se configurare e inviare un report di stato giornaliero, contenente informazioni su avvisi, aggiornamenti, software e inventario. Se si specifica che si desidera ricevere il report di stato giornaliero tramite posta elettronica, è possibile avere velocemente un'idea della situazione dell'ambiente IT all'inizio della giornata lavorativa.
Infine, è possibile scegliere di impostare l'individuazione pianificata giornaliera dei nuovi computer. Si consiglia di optare per questa opzione in quanto specifica a Essentials 2007 di eseguire un'analisi giornaliera di Active Directory per individuare nuovi computer e configurarli per essere gestiti in modo automatico.
L'esecuzione della procedura guidata di gestione di computer e dispositivi configurata per l'individuazione automatica dei computer richiede al server di Essentials 2007 di inviare query ad Active Directory e di individuare tutti i computer nel dominio da gestire (vedere la figura 6). Se si seleziona l'opzione di individuazione Avanzata, è possibile filtrare i dispositivi individuati per tipo, ad esempio solo client o dispositivi di rete, eseguire la ricerca in uno specifico intervallo di indirizzi IP o creare query avanzate. Si consiglia di selezionare l'individuazione dei computer Automatica e di eseguirla inizialmente per individuare tutti i client e tutti i server. Dato che Essentials 2007 monitora anche i dispositivi di rete abilitati per SNMP (Simple Network Management Protocol), è possibile eseguire nuovamente la procedura guidata in modalità avanzata e individuare i dispositivi di rete.
Figura 6 Avvio della procedura guidata di gestione di computer e dispositivi
Figura 6 Avvio della procedura guidata di gestione di computer e dispositivi (Fare clic sull'immagine per ingrandirla)
Se la rete utilizzata è più grande di circa 300 computer, sarebbe consigliabile scegliere l'individuazione Avanzata e fornire criteri più specifici per individuare i computer. Quando si specifica un account Administrator, verificare che disponga dei privilegi amministrativi sui computer da individuare e su quelli sui quali si desidera installare gli agenti. Al completamento dell'individuazione, scegliere i computer da gestire e fare clic su Fine.
Se è stato utilizzato WSUS, si avrà già familiarità con alcune delle impostazioni della configurazione guidata di gestione dell'aggiornamento. Se al momento della connessione del server a Internet è richiesto un server proxy, immettere le impostazioni per il server proxy. Selezionare i prodotti per i quali si desidera scaricare e distribuire gli aggiornamenti, quindi scegliere le lingue necessarie per gli aggiornamenti (la lingua predefinita è quella del server). Selezionare le categorie di aggiornamenti da scaricare e distribuire (aggiornamenti critici, aggiornamenti della protezione e Service Pack, che è l'impostazione predefinita). Selezionare le eventuali categorie di aggiornamenti da approvare automaticamente e per quali gruppi. (Gli aggiornamenti critici e della protezione per il gruppo Tutti i computer sono le impostazioni predefinite.) Infine, impostare la pianificazione per sincronizzare gli aggiornamenti (la pianificazione giornaliera è l'impostazione predefinita).
Se è possibile accedere con credenziali di amministratore di dominio o dei Criteri di gruppo durante la configurazione di Essentials 2007, è necessario selezionare i Criteri di gruppo del dominio per configurare i computer gestiti; in questo modo, la configurazione risulterà notevolmente semplificata. Se si seleziono i Criteri di Gruppo del dominio, è possibile automatizzare la configurazione delle impostazioni di Windows Firewall e dell'assistenza remota. Questa opzione specifica a Essentials 2007 di creare automaticamente le configurazioni dei criteri. Se si selezionano i Criteri locali, sarà necessario eseguire una parte considerevole di configurazione manuale.

Risoluzione dei problemi di Essentials
Esistono diversi fattori da prendere in considerazione quando si risolvono problemi relativi all'individuazione dei computer, alla distribuzione degli agenti e alla comunicazione. In primo luogo, viene data una rapida occhiata al funzionamento del processo di individuazione dei computer. Essentials 2007 utilizza i parametri di input per la ricerca e crea una query LDAP (Lightweight Directory Access Protocol) (LDAP è il linguaggio di query utilizzato per ricercare gli oggetti in Active Directory). La query LDAP viene quindi passata al controller di dominio locale e viene inoltrata un'attività di ricerca; a questo punto, Active Directory restituisce i risultati al server di gestione. Il server di gestione tenta poi la connessione a ogni computer restituito nell'elenco per verificare che possa comunicare con i computer individuati affinché sia possibile procedere all'installazione degli agenti di gestione. Dopo tale verifica, ciascun computer viene aggiunto all'elenco dei computer individuati da gestire.
Tuttavia, ricordare che il server di Essentials 2007 potrebbe non individuare i computer in caso di problemi con Active Directory, la rete ed il DNS o la verifica.
Aprire la console di gestione Utenti e computer di Active Directory per verificare che il computer sia incluso nell'elenco. Questo strumento viene installato per impostazione predefinita su Windows Server 2003 e può essere installato su Windows XP Professional da Windows Server 2003 Administration Pack. Selezionare la cartella Query salvate, fare clic con il pulsante destro del mouse su tale cartella, scegliere Nuovo, quindi Query. Immettere un nome per la query, quindi fare clic sul pulsante Definizione query. Fare clic sull'elenco a discesa Trova e selezionare Computer. Immettere il nome o il prefisso di ricerca e fare clic alcune volte su OK finché non viene generata la query.
A questo punto, verificare che il computer sia incluso nell'elenco dei risultati. Se non è presente, aggiungere il computer ad Active Directory. Verificare che la proprietà DNSHostname sia impostata correttamente per il computer; questa proprietà è disponibile nella scheda Generale della finestra dialogo delle proprietà del computer nella console di gestione Utenti e computer di Active Directory.
Per contattare un computer sulla rete, utilizzare il comando ping per tentare di raggiungerlo utilizzando lo stesso nome fornito per la procedura guidata di individuazione. Se il computer risponde a un comando ping, eseguire tale comando con il parametro -a e l'indirizzo IP:
ping -a <IP address>
Il seguente comando visualizzerà il DNS del computer; dovrebbe corrispondere a quello utilizzato nel comando ping originale. Utilizzare questo comando per visualizzare il dominio e il nome NetBIOS per il computer:
nbtstat -a <computer name>
Tale comando consentirà di eseguire la stessa attività con l'indirizzo IP del computer.
nbtstat -A <IP address>
Il parametro del comando, –a, è sensibile alla distinzione tra minuscole e maiuscole. Ricordare che viene utilizzato il parametro –A quando si utilizza l'indirizzo IP. Se il computer non risponde a una richiesta ping o non riesce a eseguire l'installazione di un agente remoto e viene visualizzato il messaggio "RPC non disponibile", si otterrà l'attivazione di Windows Firewall. Se un firewall è abilitato nell'ambiente di distribuzione di Essentials 2007, è necessario creare eccezioni affinché il server di gestione di Essentials 2007 possa installare correttamente gli agenti sui computer gestiti e quest'ultimi possano comunicare con il server di gestione. (Quando si utilizza un computer gestito, non è necessario creare manualmente eccezioni firewall se si utilizzano i Criteri di gruppo anziché i Criteri di gruppo locali.)
Se l'installazione dell'agente non riesce, passare allo spazio di amministrazione (la ruota dentata dorata nell'angolo inferiore sinistro della console di gestione principale di Essentials 2007 accanto al pulsante di esplorazione dei report), quindi fare clic sull'opzione relativa alla gestione in sospeso. Questa vista illustrerà la procedura per la risoluzione dei problemi e consentirà di passare nuovamente l'agente ai computer che non sono riusciti a installarlo al primo tentativo.
Verificare di aver impostato un numero sufficiente di ore per consentire l'applicazione dei criteri firewall su tutti i computer da gestire. Se si tenta di eseguire la configurazione guidata della funzionalità, nonché di selezionare i Criteri di gruppo del dominio e la procedura guidata di gestione di computer e dispositivi, in rapida successione, è possibile che i criteri firewall non siano stati applicati sui computer che vengono individuati, provocando l'esito negativo dell'individuazione se il firewall è ancora abilitato.
Un modo per verificare se è possibile passare un agente a un computer consiste nel tentare una connessione telnet al computer dal server di gestione. Se è possibile eseguire la connessione tramite la porta 135 dal server di gestione al computer, si può procedere. Altrimenti, è possibile che il firewall su tale computer stia bloccando la porta TCP 135. Per eseguire telnet, avviare una finestra di comando e digitare:
telnet <computer_name> 135
In questo modo, si stabilirà la connessione al nome del computer specificato con telnet tramite la porta 135. Questa porta è importante in quanto corrisponde alla porta utilizzata per l'installazione dell'agente in remoto.
Se il processo ha esito negativo, verificare che siano state create le eccezioni di Windows Firewall appropriate per consentire la distribuzione dell'agente e la comunicazione con il server di gestione. In caso contrario, è necessario creare le eccezioni porte mostrate nella figura 7. Per tutte queste eccezioni, limitare l'ambito all'indirizzo IP del server di gestione di Essentials 2007 utilizzando l'opzione Elenco personalizzato.
Figure 7 Eccezioni porte

Protocollo | Nome | Porta
TCP | Porta 6270 | 6270
TCP | Porta 135 | 135
TCP | Porta 445 | 445
Se i computer utilizzano il software firewall da un produttore di terze parti, è necessario fare riferimento alla documentazione relativa a tale prodotto che illustra come creare le eccezioni. Tuttavia, le eccezioni porte elencate nella figura 7 sono ancora valide.
Se il nome NetBIOS e il nome di dominio completo (FQDN) non corrispondono, sarà necessario correggere i record DNS per il computer. Se l'agente viene installato, ma non riesce a contattare il server di gestione, è necessario connettersi al computer agente tramite Servizi terminal o Desktop remoto e utilizzare i comandi ping e nbtstat per verificare che l'agente possa risolvere i nomi NetBIOS e FQDN del server di gestione.
Se l'indirizzo IP del server di gestione di Essentials 2007 viene assegnato dinamicamente, è necessario aggiornare i criteri firewall sui computer gestiti quando si apportano modifiche all'indirizzo IP. Per aggiornare le eccezioni firewall per un nuovo indirizzo IP del server di gestione, abilitare le due impostazioni dei criteri riportate di seguito in Editor oggetti Criteri di gruppo e configurarle come descritto. Per "Windows Firewall: consenti eccezione per amministrazione remota", impostare Consenti messaggi in ingresso non richiesti da sul nuovo indirizzo IP del server di gestione. Per "Windows Firewall: consenti eccezione condivisione file e stampanti", impostare Consenti messaggi in ingresso non richiesti da sul nuovo indirizzo IP del server di gestione.

Riepilogo
Ci auguriamo che le informazioni fornite in questo articolo possano rivelarsi come introduzione a System Center Essentials 2007. Per ulteriori informazioni su questo nuovo prodotto di System Center, è possibile fare riferimento a microsoft.com/sce.
È sufficiente ricordare che una pianificazione attenta prima della distribuzione è di importanza fondamentale. In questo caso, verrà distribuita una soluzione nuova di zecca per gestire l'ambiente IT e, pertanto, si dovrà riflettere sulla configurazione di rete corrente, sul metodo di lavoro dei propri utenti e su come si intende gestire le proprie risorse IT. Prendere in considerazione questi fattori consentirà di configurare Essentials 2007 con successo in base alle proprie esigenze.

David Mills lavora in Microsoft da sette anni ricoprendo il ruolo di Senior Technical Product Manager per System Center Essentials 2007. Prima di entrare a far parte del team dell'assistenza in linea, David ha guidato la divisione Windows Server fornendo la documentazione tecnica professionale IT per le tecnologie relative alle funzionalità di base per la gestione e la rete.


System Center
Uno sguardo ai server con Operations Manager 2007
Pete Zerger
Panoramica:
  • Nuove funzionalità in Operations Manager 2007
  • Utilizzo della console operatore
  • I ruoli
  • Nuova funzionalità di reporting avanzata

System Center Operations Manager 2007 rappresenta un grande passo avanti nella piattaforma di gestione delle operazioni Microsoft. Operations Manager 2007 rappresenta una vera e propria svolta paradigmatica nella strategia, dato che implica il passaggio dal monitoraggio centrato sui computer a una
piattaforma di monitoraggio orientata ai servizi. Sebbene il nuovo modello presenti una similitudine con il suo predecessore nell'essere una soluzione di monitoraggio basata sull'agente, sviluppando ulteriormente concetti già familiari agli amministratori di Microsoft® Operations Manager (MOM) 2005, le novità introdotte sono comunque molte. Si noterà che vi sono nuove interessanti funzioni, nuove interfacce di gestione e una moltitudine di risorse aggiuntive per conoscere meglio questa ultima novità della famiglia Microsoft System Center.

Interfacce di gestione
Le modifiche apportate sono evidenti principalmente nelle nuove interfacce di gestione. Le precedenti console operatore e di amministrazione sono state sostituite da un'unica console operatore consolidata che offre funzioni amministrative, di creazione, operative e di reporting (vedere la figura 1). È stato sostituito anche l'albero delle cartelle, spesso disorientante, della console di amministrazione di MOM 2005. Un'interfaccia molto simile a Outlook® ha preso il suo posto e presenta cinque aree di lavoro per specifiche funzioni: monitoraggio, creazione, reporting, amministrazione e area di lavoro personale.
Figura 1 Console operatore
Figura 1 Console operatore (Fare clic sull'immagine per ingrandirla)
L'area di lavoro di monitoraggio presenta le viste relative ad avvisi, stato, prestazioni e diagrammi dell'infrastruttura di rete in un'interfaccia estremamente chiara, simile a quella della console operatore di MOM 2005.
L'area di lavoro di creazione consente di configurare nuove regole e di creare gruppi in base ai quali funzioneranno le regole e i monitoraggi. Un'interfaccia di reporting altamente ottimizzata risulta integrata nella console operatore per eliminare la necessità di ricorrere a un sito Web di reporting separato. È inclusa inoltre un'interfaccia per l'esecuzione di attività amministrative, quali l'individuazione di computer e dispositivi di rete e la configurazione delle impostazioni relative a protezione e notifica. Infine, l'area di lavoro personale consente agli utenti di creare viste personalizzazione, salvare le ricerche e le viste utilizzate di frequente e configurare sottoscrizioni di notifiche di avviso personalizzate.
La console operatore è dotata di una Guida sensibile al contesto, che include collegamenti alla documentazione del prodotto, webcast in linea e informazioni concettuali. La console operatore include anche un'avanzata funzionalità di ricerca, che consente agli utenti di definire criteri di ricerca avanzata per qualsiasi tipo di oggetto, per restituire risultati il base ai valori e al tipo di oggetti definiti nella ricerca.
Il riquadro delle azioni della console operatore offre una serie di attività sensibili al contesto, per fornire informazioni sulla configurazione e lo stato degli oggetti e consentire di avviare il nuovo strumento di esplorazione dell'integrità per l'oggetto di interesse (vedere la figura 2). Nello strumento di esplorazione dell'integrità, la struttura ad albero rappresentante l'integrità degli oggetti monitorati per una determinata entità (oggetto monitorato) è di tipo gerarchico. Ogni entità viene monitorata in base almeno a quattro parametri: disponibilità, configurazione, prestazioni e protezione. Questi valori vengono visualizzati a cascata; lo stato di ciascun parametro viene calcolato in base allo stato dei monitoraggi sottostanti nella gerarchia.
Figura 2 Strumento di esplorazione dell'integrità
Figura 2 Strumento di esplorazione dell'integrità (Fare clic sull'immagine per ingrandirla)
Lo strumento di esplorazione dell'integrità esegue una diagnostica degli errori negli oggetti monitorati e consente di agire sulle condizioni di errore facendo clic sui collegamenti ipertestuali nei dettagli dell'evento. È inoltre possibile eseguire qualsiasi attività di diagnostica e ripristino visualizzata nel riquadro dei dettagli dello strumento di esplorazione dell'integrità (come nella figura 3) su richiesta oppure configurare l'esecuzione automatica dell'attività alla generazione di un avviso. L'output di qualunque attività diagnostica (ad esempio, il recupero di un elenco di processi in esecuzione) verrà visualizzato automaticamente nel riquadro dei dettagli quando viene evidenziato l'evento di modifica dello stato.
Figura 3 Diagnostica e ripristini
Figura 3 Diagnostica e ripristini (Fare clic sull'immagine per ingrandirla)

Console Web
Le funzionalità di gestione basate sul Web di Operations Manager sono state ampiamente potenziate in questa versione. La console Web presenta la funzionalità delle aree di lavoro personale e di monitoraggio della console operatore tramite Internet Explorer®, fornendo le stesse viste disponibili nella console operatore, incluso un riquadro delle azioni completamente operativo per l'esecuzione di attività basate sul contesto, oltre alla possibilità di attivare la modalità manutenzione per gli oggetti monitorati (vedere la figura 4).
Figura 4 Console Web
Figura 4 Console Web (Fare clic sull'immagine per ingrandirla)
È inclusa anche una console Web mobile che consente l'accesso da qualsiasi dispositivo mobile abilitato per il Web. La console Web fornisce un feed RSS che invia avvisi alla posta in arrivo di Outlook 2007 o l'aggregatore RSS desiderato.

Shell dei comandi
La shell dei comandi di Operations Manager è una potente interfaccia che consente un controllo amministrativo completo dalla riga di comando. Molte attività complesse possono essere avviate in una singola riga di codice ("one liner"). La shell dei comandi è un'istanza specificatamente configurata di Windows PowerShell™, l'ambiente della riga di comando orientato agli oggetti e basato su Microsoft .NET Framework. Consente di accedere a una serie di funzioni, definite cmdlet, in grado di eseguire qualsiasi attività disponibile nella GUI della console operatore e molto altro ancora. Questi cmdlet consentono di eseguire in modo rapido e semplice un'attività relativa a più oggetti di destinazione (ad esempio, l'attivazione della modalità manutenzione per un'ampia serie di agenti) e che richiederebbe più tempo se eseguita tramite la console operatore. Ad esempio, per esportare un elenco di avvisi critici aperti in una pagina Web, eseguire i seguenti comandi nella finestra della shell dei comandi di Operations Manager:
get-alert | where {$_.Severity -gt "Warning" -and $_.ResolutionState -eq 0 } | format-table
monitoringobjectdisplayname,name,severity,
description
La natura orientata agli oggetti di Windows PowerShell è ciò che rende la shell dei comandi così potente. Si ottengono tutte le potenzialità delle librerie di classi Operations Manager .NET senza la necessità di conoscere il linguaggio C# o Visual Basic® .NET.

Individuazione di computer e dispositivi
La distribuzione degli agenti e l'individuazione dei computer hanno registrato dei progressi anche in Operations Manager. È possibile individuare gli agenti utilizzando la procedura guidata di gestione di computer e dispositivi dalla console operatore, per consentire agli operatori di eseguire ricerche in Active Directory® o di immettere manualmente un elenco di computer o un unico computer di destinazione (vedere la figura 5). Query LDAP (Lightweight Directory Access Protocol) dettagliate consentono di fare riferimento in modo più efficace a specifici computer per la distribuzione degli agenti.
Figura 5 Individuazione avanzata tramite query Active Directory
Figura 5 Individuazione avanzata tramite query Active Directory (Fare clic sull'immagine per ingrandirla)
La procedura guidata consente di individuare dispositivi abilitati per SNMP (Simple Network Management Protocol), che possono essere specificati per il monitoraggio nelle regole dei Management Pack.
L'integrazione con Active Directory rappresenta un altro miglioramento di grande importanza. Consente agli amministratori di registrare le informazioni dei gruppi di gestione in Active Directory (tramite una semplice utilità) affinché gli agenti di Operations Manager possano individuare il server di gestione appropriato eseguendo una query in Active Directory in fase di avvio. La nuova integrazione consente agli amministratori anche di automatizzare e semplificare la distribuzione degli agenti includendo un agente di Operations Manager in un'immagine del computer, distribuendo gli agenti tramite piattaforme comuni di gestione dei sistemi (ad esempio, Systems Management Server 2003 o System Center Configuration Manager) o tramite i Criteri di gruppo.

Protezione
Operations Manager 2007 può essere utilizzato per monitorare molti tipi di applicazioni, alcuni dei quali potrebbe dover essere diretti a uno specifico personale di supporto. Fortunatamente, il nuovo modello di protezione basato sui ruoli dispone di cinque profili utente predefiniti che raggruppano l'accesso in base a mansioni lavorative comuni, che vanno dall'amministratore all'operatore di sola lettura. Ciascuno dei ruoli utente predefiniti si basa su uno di questi profili predefiniti. I ruoli utente definiscono quali tipi di operazioni possono essere eseguiti da un utente e l'ambito di tali diritti. È anche possibile creare ruoli personalizzati selezionando uno di questi profili predefiniti e impostando quindi il ruolo per limitare la visibilità dei dati di monitoraggio al sottoinsieme desiderato di oggetti, attività e viste monitorati. I ruoli utente standard e personalizzati basati su tali profili utente possono essere assegnati ai gruppi di protezione di Active Directory, riassegnando le attività di concessione dei privilegi di accesso utente allo staff di amministrazione della protezione.
L'esecuzione Esegui come, introdotta in Operations Manager 2007, fornisce un'infrastruttura protetta per la gestione delle credenziali richieste per eseguire specifiche azioni. Ad esempio, alcune attività di monitoraggio potrebbero richiedere credenziali con privilegi di alto livello o persino credenziali non basate su Windows.
Gli account Esegui come devono essere associati a un profilo Esegui come, che a sua volta può essere associato a una regola o attività che richiede privilegi speciali. Il profilo Esegui come consente agli autori dei Management Pack di astrarre l'account richiesto durante il processo di creazione affinché l'amministratore possa associare un account Esegui come appropriato dopo l'installazione del Management Pack in Operations Manager.
Operations Manager 2007 fornisce una protezione maggiore rispetto al suo predecessore nelle comunicazioni tra agenti e server di gestione tramite la richiesta di un'autenticazione reciproca. Negli ambienti attendibili, l'autenticazione reciproca può essere conseguita attraverso Kerberos. Per gli ambienti di rete perimetrali e non attendibili, la situazione potrebbe essere più complicata. L'autenticazione reciproca richiede l'autorizzazione basata su certificati x.509 e, di conseguenza, le organizzazioni dovranno prendere in considerazione le proprie opzioni dell'infrastruttura a chiave pubblica (PKI), nel caso in cui non sia attivata.

Ruoli del server
Laddove vengono mantenuti i ruoli del server di gestione, del database delle operazioni e del server di report di MOM 2005, in Operations Manager sono stati introdotti nuovi ruoli del server di gestione. Il ruolo del server di gestione radice isola delle funzioni critiche come l'autorizzazione utente, la notifica e la gestione delle connessioni di console assegnandole a un ruolo dedicato nell'infrastruttura. Per ottimizzare le prestazioni, è necessario che il ruolo del server di gestione radice venga dedicato a questo ruolo e non si dovrebbero configurare degli agenti che eseguano segnalazioni a questo server.
Il nuovo ruolo del server gateway utilizza più efficacemente i computer di gestione negli ambienti perimetrali e nei domini non attendibili reindirizzando una singola comunicazione al server di gestione. In molti casi, gli agenti nel dominio di destinazione possono essere autenticati sul server gateway tramite il protocollo Kerberos, riducendo al minimo la necessità di un'autenticazione basata sui certificati, oltre al lavoro amministrativo e al costo totale di proprietà.

Reporting
Gli utenti noteranno che Operations Manager 2007 fornisce miglioramenti notevoli nel reporting, con uno spazio di reporting integrato nella console operatore. Analogamente, la protezione per il reporting risulta integrata con la protezione generale di Operations Manager.
Sono state apportate modifiche fondamentali all'architettura, incluse quelle inerenti a quando e come i dati vengono consegnati al database di report. È stata rimossa l'attività notturna dei servizi di trasformazione dati (DTS) che consentiva il trasferimento nel database delle operazioni dei dati di reporting del giorno precedente. Ora i dati vengono inseriti direttamente nel database di report esattamente nel momento in cui vengono inseriti nel database delle operazioni, eliminando quasi del tutto la latenza.
I report di Operations Manager contengono nuove intestazioni di parametri smart, che garantiscono tutta la flessibilità necessaria per definire e creare report a intervalli di ore e date relativi e specifici, inclusa la possibilità di limitare l'output dei report a un determinato intervallo di orari di lavoro definito dall'utente. Il selettore oggetti nell'intestazione di parametro smart fornisce la funzionalità di ricerca, per semplificare l'identificazione degli oggetti per i report. Nella pianificazione dei report, il selettore date elimina la necessità di modificare i file di definizione dei report per rispettare uno specifico intervallo di date relative nei report ricorrenti (vedere la figura 6).
Figura 6 Configurazione degli orari di lavoro
Figura 6 Configurazione degli orari di lavoro (Fare clic sull'immagine per ingrandirla)
Un altro miglioramento della funzionalità di reporting garantisce il rendering veloce dei report, anche quando vengono eseguiti in base a intervalli di date estesi. A tale scopo, i dati di reporting di Operations Manager vengono automaticamente preindicizzati e aggregati in coordinate di riepilogo su base oraria e giornaliera, utilizzate in tutti i report di Operations Manager. Oltre a garantire la compilazione dei dati, ciò migliora la scalabilità dei data warehouse poiché le coordinate possono essere compresse nel database in modo più efficace senza alcun impatto sulla funzionalità di reporting cronologico.
I miglioramenti maggiori coinvolgono il contenuto e le caratteristiche dei report visualizzabili, che presentano i dati cronologici sulla disponibilità e le prestazioni in un formato utile per i tecnici di rete e i responsabili IT.
La figura 7 mostra un report di prestazioni standard, che consiste in un grafico con una tabella. Sia le righe nel grafico e che le descrizioni nella tabella consentono di accedere a un report dettagliato tramite clic, come illustrato nella figura 8.
Figura 7 Report di prestazioni standard
Figura 7 Report di prestazioni standard (Fare clic sull'immagine per ingrandirla)
Figura 8 Report dettagliato di prestazioni (drill-down)
Figura 8 Report dettagliato di prestazioni (drill-down) (Fare clic sull'immagine per ingrandirla)
Il reporting della disponibilità in Operations Manager è basato sullo stato degli oggetti. Qualsiasi oggetto può avere uno stato che può essere riportato in un report di disponibilità in modo predefinito. È possibile passare da un report dettagliato a un report di disponibilità con un unico clic (vedere la figura 9).
Figura 9 Report di disponibilità
Figura 9 Report di disponibilità (Fare clic sull'immagine per ingrandirla)
Per i Management Pack privi di report, esistono report generici che permetteranno il reporting della disponibilità e delle prestazioni di pressoché tutti gli oggetti gestiti, riducendo notevolmente la necessità di creare report personalizzati.
Gli amministratori saranno ben lieti di scoprire che Operations Manager 2007 supporta il reporting di più gruppi gestiti in un unico data warehouse di reporting. La protezione del reporting risulta integrata con la protezione del prodotto basata sui ruoli, permettendo agli amministratori di controllare l'accesso ai report tramite gruppi di protezione di Active Directory.

Notifica
Il motore di notifica è stato completamente modificato in Operations Manager 2007 e ora offre nuove funzionalità da tempo invocate dagli amministratori, incluse opzioni di notifica aggiuntive (definite canali di notifica) quali la messaggistica immediata e gli SMS (per quest'ultima funzione, è necessario che sul server di gestione sia installato un provider SMS). Le sottoscrizioni di notifica contengono ora un'opzione che consente agli amministratori di limitare la visibilità di gruppi e tipi di oggetti disponibili ai ruoli di operatore e sottoscrizioni di notifica più mirate.
La durata degli avvisi (escalation) consente l'invio della notifica quando un avviso conforme ai criteri definiti nella sottoscrizione resta in un determinato stato di risoluzione per un periodo di tempo definito dall'utente.
I formati di messaggio possono essere ora personalizzati per sottoscrizione, fino al livello di singolo utente. Inoltre la notifica self-service nel riquadro dell'area di lavoro personale della console operatore consente agli utenti di definire il proprio dispositivo di notifica e le impostazioni delle sottoscrizioni. Quelle menzionate sono solo alcune delle funzioni di notifica che si riveleranno estremamente vantaggiose.

Management Pack
I Management Pack rappresentano ancora il framework di base per il monitoraggio di servizi e applicazioni in Operations Manager 2007, fornendo informazioni sulle applicazioni direttamente dai team responsabili dei prodotti Microsoft. Tuttavia, mostrano il passaggio dal monitoraggio del server a quello orientato ai servizi, con l'attenzione concentrata sull'integrità del servizio fornito.
Per problemi di spazio, non è possibile trattare l'argomento in modo approfondito in questa sede, ma occorre ricordare che il semplice modello di tipi di oggetti di MOM 2005 (computer e gruppi di computer) è stato ora trasformato in un modello estendibile con decine di tipi di oggetti monitorati a cui è possibile fare riferimento. Il risultato finale è un ambiente di sviluppo estremamente potente per consentire agli ISV di terze parti di fornire eccezionali prodotti line-of-business, di rete e per più piattaforme.
Le semplici regole di monitoraggio, simili a quelle disponibili in MOM 2005, vengono utilizzate per una serie di attività di monitoraggio comuni quali il monitoraggio del testo e dei registri eventi, query degli eventi con WMI, script eseguiti in base a una pianificazione e un fornitore di trap SNMP ottimizzato che elimina la necessità di compilare le informazioni MIB (Management Information Base) per SNMP.
Tuttavia, i monitoraggi di Operations Manager individuano la modifica nello stato degli oggetti gestiti. I monitoraggi includono numerose funzioni assenti in MOM 2005, ad esempio il controllo delle porte TCP, le transazioni sintetiche per la connettività di siti Web e database, il monitoraggio di servizi Web e di applicazioni ASP.NET e, di maggiore importanza, il monitoraggio orientato ai servizi per applicazioni line-of-business distribuite. Queste funzioni verranno ora trattate in modo più dettagliato.

Soglie di regolazione automatica
A volte, non si conosce il comportamento relativo a un determinato contatore. Per tali situazioni, Operations Manager fornisce i monitoraggi delle soglie di regolazione automatica. Un monitoraggio delle soglie di regolazione automatica utilizza un processo di apprendimento nel corso di un ciclo aziendale definito (in genere, di una settimana, ma a volte anche di un giorno) per determinare i valori normali per un contatore delle prestazioni specificato e per definire le soglie basate sulle norme operative registrate durante il periodo di apprendimento. Questa soglie rappresentano l'attività prevista, inclusi bruschi picchi o riduzioni nell'utilizzo delle risorse, che potrebbero verificarsi durante la manutenzione notturna del sistema e delle applicazioni.

Transazioni sintetiche
Per un'immagine più dinamica dello stato delle applicazioni, Operations Manager offre transazioni sintetiche, corrispondenti ad azioni eseguite in tempo reale sugli oggetti monitorati. Le transazioni sintetiche possono essere create per il monitoraggio di sequenze di esplorazione dei siti Web, connettività del database e porte TCP. È possibile specificare i nodi server dai quali verranno eseguite le transazioni (definiti nodi di monitoraggio) e l'intervallo di monitoraggio desiderato. Se vengono scelti più nodi di monitoraggio, è possibile confrontare i risultati per identificare le eventuali differenze tra i diversi nodi.
L'editor applicazioni Web utilizzato per acquisire le sequenze del browser Web consente agli amministratori anche di definire le soglie dei tempi di risposta a livello di errore e di avviso, nonché di specificare la raccolta di contatori delle prestazioni per singole operazioni nell'ambito del recupero dei collegamenti e del caricamento delle pagine. Sono supportate sequenze di browser sicure (SSL) che richiedono una serie di metodi di autenticazione (ad esempio, Basic o NTLM).
Le sostituzioni, un concetto familiare a MOM 2005, vengono utilizzate per regolare la configurazione delle impostazioni di Operations Manager per i monitoraggi, gli attributi e le regole per un oggetto o gruppo di oggetti gestiti (vedere la figura 10). L'uso delle sostituzioni è fondamentale per controllare la quantità di dati raccolti da Operations Manager. È possibile utilizzare congiuntamente gruppi e sostituzioni per restringere l'ambito dell'individuazione di monitoraggi, regole, attributi o oggetti a un gruppo di oggetti di destinazione non solo nei propri Management Pack, ma anche in quelli di Microsoft e degli ISV di terze parti.
Figura 10 Sostituzione dei parametri per un monitoraggio dei servizi
Figura 10 Sostituzione dei parametri per un monitoraggio dei servizi (Fare clic sull'immagine per ingrandirla)

Monitoraggio delle applicazioni line-of-business
Il nuovo strumento per la progettazione di applicazioni distribuite consente di creare un'immagine a livello di servizio delle applicazioni critiche e fornisce un indicatore dell'integrità dei componenti delle applicazioni distribuite. Include qualsiasi tipo di oggetto individuato, ad esempio un servizio Web, un database di SQL Server™ e persino dispositivi non Windows quali interruttori e router di rete. Le relazioni tra gli oggetti e lo stato di integrità corrente possono essere visualizzati in un diagramma.
Per rendere questa potente funzionalità più accessibile, Microsoft offre diversi modelli di applicazioni distribuite per fornire agli amministratori un punto di partenza per la definizione delle proprie applicazioni line-of-business. Sono disponibili i modelli per molti scenari comuni, inclusi quelli relativi alle applicazioni e ai servizi Web ASP.NET, alle applicazioni Web line-of-business, alla messaggistica, alle farm di Sharepoint® Portal e alle farm di Servizi terminal.
È possibile aggiungere i nuovi modelli al gruppo di gestione tramite i Management Pack di Microsoft o di terze parti e visualizzarli nella procedura guidata di aggiunta del monitoraggio. I monitoraggi delle applicazioni distribuite per Active Directory, Exchange e Operations Manager sono predistribuiti e non possono essere modificati.

Disponibilità dei Management Pack
I Management Pack scritti specificatamente per Operations Manager 2007 (definiti Management Pack ottimizzati) sono progettati per sfruttare tutti i vantaggi offerti dalle nuove funzioni di Operations Manager 2007 e sono pianificati per essere disponibili per le nuove versioni software a partire dal 2008. Tuttavia, i Management Pack di MOM 2005 esistenti possono essere convertiti in un formato compatibile con Operations Manager 2007 utilizzando l'utilità MPConvert oppure possono essere trasferiti da un'installazione MOM 2005 esistente utilizzando lo strumento che consente la migrazione da MOM 2005 a Operations Manager 2007; entrambi gli strumenti sono disponibili sul CD di Operations Manager 2007. Microsoft converte i Management Pack di MOM 2005 in un formato compatibile con Operations Manager 2007; di conseguenza, diventa necessario eseguire la conversione solo per i Management Pack interni.

Raccolta dei controlli
Lo strumento di raccolta dei controlli fornisce la soluzione ideale per automatizzare la raccolta e l'archiviazione centralizzata di registri eventi di protezione di Windows distribuiti. Questo strumento è progettato per le medie e grandi imprese che necessitano della raccolta e dell'analisi di alti volumi di dati dei registri eventi di protezione per il controllo della conformità interna ed esterna. Questo strumento è costituito da quattro ruoli: l'agente di raccolta, i server d'inoltro, il ruolo del database e il ruolo del reporting. L'agente di raccolta è un server che "cattura" gli eventi e li inserisce nel database di raccolta dei controlli. Quello del server d'inoltro è un servizio che invia gli eventi dei registri eventi di protezione in tempo quasi reale, riducendo al minimo la probabilità che gli amministratori locali possano interferire con gli eventi dei registri di protezione. Il servizio del server d'inoltro è incluso nell'agente di Operations Manager 2007, ma è disabilitato finché non viene abilitata lo strumento di raccolta dei controlli per un determinato agente.
Lo strumento di raccolta dei controlli utilizza una manutenzione automatica notturna del database, garantendo efficaci prestazioni per il rendering dei report in grandi set di dati. La raccolta dei controlli gestisce un set di dati in sequenza (in archivio per 14 giorni per impostazione predefinita) che può essere regolato dagli amministratori per soddisfare i requisiti aziendali. Per analizzare gli eventi raccolti, lo strumento di raccolta dei controlli include un ruolo del reporting comprendente un insieme di base di circa 20 report di controllo e un sottoscrittore WMI ad alte prestazioni, che fornisce un'interfaccia di facile uso per query ad hoc senza la necessità di concedere direttamente agli amministratori l'accesso al database.

Monitoraggio client
Le nuove funzioni di monitoraggio client di Operations Manager 2007 consentono agli amministratori di monitorare le applicazioni e i sistemi operativi desktop per identificare gli errori che si verificano con maggiore frequenza e dedicare tutte le attenzioni necessarie al raggiungimento dei maggiori vantaggi per l'organizzazione. I dati di errore raccolti vengono utilizzati per produrre viste e reporting dettagliati, con l'obiettivo di fornire all'amministratore una fonte di informazioni disponibili in grado di semplificare le decisioni inerenti il supporto.
Il monitoraggio client di Operations Manager 2007 comprende tre livelli che possono essere abilitati singolarmente:
Monitoraggio eccezioni senza agente (AEM) Consente all'amministratore di monitorare i sistemi operativi e le applicazioni per identificare arresti anomali ed errori. L'amministratore può indirizzare questi report, che in passato sarebbero stati inviati direttamente a Microsoft, ad un server di gestione dal quale potranno poi essere inoltrati a Microsoft, se lo si desidera.
Analisi utilizzo software (CEIP) Quando si partecipa al programma CEIP, è necessario configurare i client con i Criteri di gruppo affinché i report vengano indirizzati a un server di gestione di Operations Manager 2007 anziché essere inviati direttamente a Microsoft. I server di gestione vengono quindi configurati per inoltrare tali report a Microsoft.
È importante notare che i componenti di monitoraggio client AEM e CEIP possono essere eseguiti senza agente.
Monitoraggio client per le workstation critiche per il business Implica la distribuzione di un agente di Operations Manager su desktop critici per il business. Tra i Management Pack sono inclusi quelli per Windows 2000, Windows XP e Windows Vista, nonché Microsoft Information Worker che monitora Microsoft Office, Internet Explorer e altre applicazioni desktop Microsoft.

Prova questa versione
Come è possibile notare, System Center Operations Manager 2007 fornisce una serie di funzioni progettate per fornire il monitoraggio orientato ai servizi con l'integrazione nelle posizioni appropriate, per sfruttare tutti i vantaggi derivanti dagli investimenti esistenti in Active Directory, semplificare l'amministrazione e ridurre il costo totale di proprietà. Ti suggeriamo di provare questa straordinaria nuova versione e di esplorarne tutte le funzionalità.
È possibile scaricare una copia di prova della durata di 180 giorni di Operations Manager 2007 tramite il sito Web microsoft.com/technet/opsmgr/2007/downloads/trials/privacy.mspx. Per ulteriori informazioni sulle tecnologie di Microsoft System Center, visitare la home page di System Center Operations Manager all'indirizzo microsoft.com/systemcenter/opsmgr. Vedere i casi di successi relativi a System Center (video e casi di studio) sul nuovo sito Web "Designed for BIG" (in inglese) all'indirizzo designedforbig com.

Pete Zerger è un partner di consulenza presso AKOS Technology Services. Pete vanta nove anni di esperienza nel settore IT e si dedica principalmente alle attività di progettazione e distribuzione di operazioni aziendali, servizi directory e soluzioni di messaggistica. Pete ha conseguito le certificazioni MCSE per la messaggistica e MCTS per SQL Server 2005 e ha ottenuto il riconoscimento MVP di Microsoft per Microsoft Operations Manager.


System Center
Migrazione da MOM a Operations Manager 2007
Andy Dominey
Panoramica:
  • Pianificazione di una distribuzione di Operations Manager
  • Valutazione dei requisiti hardware
  • Mantenimento dei dati cronologici
  • Piani di test

Il monitoraggio e la gestione del server rappresentano attività critiche all'interno di una moderna infrastruttura IT. È estremamente importante garantire non solo che l'infrastruttura IT funzioni correttamente ma che sia anche in grado di supportare il carico a cui verrà sottoposta dagli utenti. Ottenere queste informazioni è più semplice
a dirsi che a farsi ma sapere cosa fare con le informazioni ottenute è tutta un'altra storia. Per fortuna esiste un aiuto. Microsoft® Operations Manager (MOM) rende questo possibile da sette anni e la sua più recente evoluzione, System Center Operations Manager 2007, si basa su questo.

Perché eseguire la migrazione?
System Center Operations Manager 2007 offre numerosi e significativi miglioramenti rispetto alla versione precedente, MOM 2005. L'architettura di base è stata riprogettata e migliorata per consentire al prodotto di essere informato sulla diffusione delle applicazioni su più dispositivi e di conoscere non solo i server, ma tutti i componenti che costituiscono un server.
Inoltre, Operations Manager vanta un potente motore di confronto in grado di aggregare i dati relativi agli avvisi, riducendo molto il numero di avvisi spuri e dispone inoltre della funzione Health Explorer che aiuta a ottimizzare il processo di individuazione e di risoluzione dei problemi.
Sono disponibili delle soglie a ottimizzazione automatica e un motore di riferimento che consente di tenere traccia delle prestazioni nell'ambiente operativo, inoltre il motore di gestione dei report è stato notevolmente migliorato, dispone infatti di una funzione di reporting drill-through e di una grafica di livello superiore. Vedere la figura 1 per un esempio della visualizzazione dei dati di report.
Figura 1 Report di disponibilità in Operations Manager 2007
Figura 1 Report di disponibilità in Operations Manager 2007 (Fare clic sull'immagine per ingrandirla)
Operations Manager può anche essere utilizzato per monitorare i server e i computer desktop. Di seguito sono riportate alcune funzionalità aggiuntive disponibili in Operations Manager 2007:
  • Eccellente controllo della piattaforma Windows Server System™
  • Potenti funzionalità e capacità di monitoraggio dell'applicazione
  • Automazione delle attività comuni
  • Motore di database di ultima generazione che facilita il controllo e la scalabilità a livello aziendale
  • Miglioramenti alla protezione e integrazione di Active Directory®
Per ulteriori informazioni sulle nuove funzionalità disponibili in System Center Operations Manager 2007, leggere l'articolo "Uno sguardo ai server con Operations Manager 2007" di Pete Zerger in questo numero di TechNet Magazine.

Migrazione a Operations Manager
Prima di pianificare la migrazione a Operations Manager 2007, bisogna sapere che non è disponibile un percorso di aggiornamento diretto per il prodotto. Le significative modifiche apportate all'architettura di Operations Manager, potrebbero rendere il prodotto non più sufficientemente compatibile con le versioni precedenti per eseguire un aggiornamento diretto. Quindi, se si utilizza MOM 2000 o MOM 2005, potrebbe essere necessario prendere in considerazione una delle strategie di migrazione descritte in questo articolo.
Tuttavia, se non si utilizza una versione precedente di MOM, è sufficiente installare la nuova versione del prodotto. Tenere presente che bisognerà valutare subito se il personale dell'azienda è sufficientemente competente per eseguire l'installazione o la migrazione o se sarà necessario rivolgersi a terzi per assistenza. Ovviamente, questo avrà un impatto sui costi globali del progetto e pertanto dovrebbe essere un fattore da considerare all'inizio di questo processo.

Scenari di migrazione
Per coloro che attualmente non utilizzano MOM, la distribuzione è semplice: è sufficiente pianificare e progettare l'architettura, quindi procedere con la distribuzione del software. Tuttavia, se già si utilizza MOM, Microsoft supporta due scenari di migrazione; migrazione parallela sullo stesso hardware e parallela su hardware differente. È ora possibile dare uno sguardo a entrambi gli scenari.
Migrazione parallela sullo stesso hardware In questo caso, si installa Operations Manager sullo stesso hardware fisico su cui si trova l'architettura esistente di MOM 2000 o di MOM 2005. Questo approccio è utile per i siti dove l'infrastruttura di MOM non è pesantemente utilizzata e dove l'hardware server è sufficientemente potente da ospitare sia la vecchia che la nuova versione. Questa è la strada consigliata se l'installazione di Operations Manager non impatta troppo sulle prestazioni dei server MOM correnti.
Migrazione parallela su hardware differente In questo caso, l'installazione viene eseguita su hardware nuovo o differente. Questo rappresenta l'approccio migliore poiché ha un impatto minimo sull'infrastruttura di gestione corrente durante la migrazione. Tenere presente che non è espressamente richiesto l'uso di componenti hardware aggiuntivi. I nuovi server Operations Manager 2007 possono essere utilizzati su computer virtuali fin quando non sia possibile riallocare il vecchio hardware del server.

Considerazioni
Prima di affidarsi a una specifica strategia di migrazione, è necessario prendere in considerazione alcuni importanti fattori.
Innanzitutto è necessario considerare i requisiti hardware e software e i relativi costi. Anche se si decide di organizzare una parte o l'intera infrastruttura di Operations Manager con computer virtuali, è comunque necessario tenere conto del sistema operativo, delle licenze applicative e delle licenze OML (Operations Management License) affinché gli agenti possano essere monitorati da Operations Manager.
In secondo luogo, è necessario stabilire le risorse necessarie per portare a termine il lavoro. In una piccola impresa, questa attività non dovrebbe essere particolarmente complessa o difficile, ma nelle società di grandi dimensioni, questa rappresenta una parte fondamentale della strategia di migrazione.
È inoltre necessario prendere in considerazione il potenziale impatto che la migrazione potrebbe avere sull'infrastruttura di monitoraggio corrente o sullo stato generale del server. Bisogna considerare ogni eventualità, inclusa la possibilità di riavvii del server o errori nei server di produzione critici.
Notare che se si utilizza il database di Microsoft Access™ in MOM 2000 o il data warehouse di SQL Server™ in MOM 2005 per l'archiviazione dei dati di archivio e di reporting, la migrazione di questi dati a Operations Manager 2007 attualmente non è supportata.

Pianificazione di una migrazione di successo
Per i consulenti, uno dei maggiori problemi da affrontare è l'inadeguatezza dei piani di distribuzione. Quindi, una volta deciso se eseguire l'installazione su un nuovo hardware o su uno già esistente, il passaggio successivo è realizzare un piano di progetto.
Il piano di progetto dovrebbe elencare le fasi del progetto suggerite in questo articolo, sebbene non si tratti un elenco completo. È necessario destinare tempo sufficiente per ogni fase del progetto e prendere in considerazione tutte le risorse necessarie.
System Center Operations Manager 2007 ha un'architettura molto differente rispetto a MOM 2000 e 2005. Innanzitutto è disponibile un ruolo server aggiuntivo in Operations Manager, il ruolo di server di gestione radice (RMS). RMS gestisce la configurazione del gruppo di gestione, tutte le connessioni agli altri gruppi di gestione e ai prodotti di terzi e si occupa inoltre della protezione del gruppo di gestione. Questo ruolo può essere utilizzato in un server di gestione di System Center Operations Manager esistente ma in ambienti complessi e di grandi dimensioni, dovrebbe essere presente un server fisico dedicato. Inoltre, il concetto di gruppi di gestione a più livelli, presente in MOM 2005, è stato sostituito con gruppi di gestione collegati. In questa nuova architettura, non vengono passati i dati relativi agli avvisi tra i gruppi di gestione. Gli avvisi dei gruppi di gestione collegati vengono invece semplicemente mostrati nell'interfaccia utente del gruppo di gestione richiedente. Inoltre, per installare gli agenti su computer presenti in gruppi di lavoro o in domini non trusted, sarà necessario utilizzare certificati che consentano l'autenticazione reciproca dell'agente e del server di gestione (una funzione forzata in Operations Manager).
Per progettare l'architettura di System Center Operations Manager, sarà necessario considerare il numero di server e di client da monitorare, se si trovano in un dominio trusted, quali applicazioni e piattaforme devono essere monitorate e se monitorare l'infrastruttura di rete. Sarà inoltre necessario identificare eventuali applicazioni che richiedono regole o Management Pack personalizzati.
In questa fase sarebbe opportuno identificare i requisiti del Management Pack. Una volta stabilite le applicazioni da monitorare, è possibile decidere quale Management Pack installare. I Management Pack contengono regole, controlli e classi validi per una specifica applicazione o per uno specifico sistema operativo e dovrebbero essere importati se la relativa applicazione o sistema operativo è attualmente in uso nell'ambiente. In questa fase, la scelta dei Management Pack influirà sui requisiti hardware e software e sul tempo impiegato per l'installazione e la configurazione del software.
Dopo essersi fatti un'idea dell'architettura dell'infrastruttura di Operations Manager, è possibile chiudere lo strumento System Center Capacity Planner 2007. (Nella versione beta al momento della scrittura di questo articolo). Utilizzare questo strumento per elaborare l'infrastruttura della rete e del server e per simularne l'esecuzione nella distribuzione pianificata di Operations Manager per verificare che sia in grado di monitorare e gestire l'intera infrastruttura.
È in questa fase che è opportuno prestare particolare attenzione alla progettazione dell'architettura se si intende eseguire la migrazione. Bisogna considerare che MOM 200x verrà eseguito insieme a Operations Manager e questo determinerà traffico di rete aggiuntivo.

Distribuzione
La distribuzione è la fase successiva da considerare. Prima di installare il software, è necessario verificare la disponibilità di componenti hardware adeguati. Se l'installazione viene eseguita in un nuovo ambiente, è preferibile utilizzare un hardware fisico, soprattutto per il server di database. Tuttavia, i server di gestione possono essere virtualizzati se l'hardware fisico non è disponibile. In uno scenario di migrazione, l'uso di server virtualizzati è una buona alternativa all'acquisto di nuovi componenti hardware per la nuova infrastruttura. In questo caso, è possibile utilizzare computer virtuali per gestire Operations Manager, mentre i server MOM precedenti vengono rimossi e ricreati.
Una volta predisposti i server, è possibile iniziare l'installazione del software. Innanzitutto, verificare che i server su cui dovrà essere eseguito Operations Manager dispongano dei prerequisiti software in grado di supportarlo. Ad esempio, se SQL Server 2000 è in esecuzione e si intende installare Operations Manager sullo stesso server, sarà necessario dapprima eseguire l'aggiornamento a SQL Server 2005 con SP1. A tale scopo, è possibile utilizzare lo strumento di verifica dei prerequisiti di Operations Manager presente sul supporto di installazione di System Center Operations Manager.
Dopo l'installazione di tutti i prerequisiti software e dopo aver configurato SQL Server e Reporting Services, è possibile iniziare a installare il software di Operations Manager. In un ambiente a server singolo, è semplice, è sufficiente eseguire il file di installazione di Operations Manager, quindi installare la funzionalità di reporting di Operations Manager per avvalersi di questa funzione. Tuttavia, in un ambiente distribuito, i componenti di Operations Manager devono essere installati sui singoli server e nell'ordine corretto. Per prima cosa, è necessario installare il database, quindi il primo server di gestione, a cui verrà automaticamente assegnato il ruolo di server di gestione radice (RMS). A questo punto, è possibile installare altri server di gestione. Infine, installare la console Web e i componenti di reporting.

Migrazione
A questo punto, verificare che la nuova infrastruttura rispecchi il sistema di monitoraggio esistente prima di iniziare a utilizzare le nuove funzioni. Qualunque Management Pack utilizzato nell'ambiente precedente dovrebbe essere duplicato nella nuova distribuzione di Operations Manager. Se è disponibile un Management Pack di Operations Manager, è possibile importarlo ma qualsiasi Management Pack di cui non esistono versioni aggiornate deve essere esportato dal gruppo di gestione corrente, convertito utilizzando lo strumento MPConvert presente sul CD di installazione e importato in Operations Manager, a meno che non si disponga di un Management Pack personalizzato di piccole dimensioni o semplice, in tal caso sarebbe meglio semplicemente ricrearlo. Inoltre, è disponibile uno strumento utile durante la duplicazione della configurazione. Lo strumento di migrazione da MOM 2005 a Operations Manager consente di duplicare la configurazione da un gruppo di gestione MOM a Operations Manager. Questo strumento è disponibile sul CD di installazione di Operations Manager. La figura 2 mostra una configurazione tipica durante una migrazione.
Figura 2 Configurazione tipica durante la migrazione
Figura 2 Configurazione tipica durante la migrazione (Fare clic sull'immagine per ingrandirla)
Una volta duplicata la configurazione, è necessario verificare che si stiano ricevendo gli stessi avvisi e raccogliendo gli stessi dati con Operations Manager come con MOM. Fortunatamente, l'agente di Operations Manager può coesistere con agenti precedenti, pertanto entrambi gli agenti possono essere eseguiti simultaneamente. È possibile raccogliere dati da entrambi gli agenti e confrontarli prima di rimuovere il sistema precedente.
A questo punto sarebbe opportuno creare un piano di test. Il test potrebbe consistere nel confrontare gli avvisi del sistema precedente con quelli di Operations Manager ma potrebbe anche consistere nella richiesta specifica di generazione di avvisi per valutare nel dettaglio la nuova infrastruttura. Una volta soddisfatti dei risultati dei test, è possibile iniziare a disinstallare gli agenti MOM precedenti, utilizzando sia la console MOM che i programmi di installazione/disinstallazione presenti sui computer dell'agente.
La fase reporting rappresenta gran parte del processo di distribuzione di MOM e di System Center Operations Manager e pertanto deve essere affrontata. Al momento, il database SystemCenterReporting non può essere migrato a Operations Manager 2007, pertanto è possibile creare una nuova istanza di Reporting Services per Operations Manager e inserire il database esistente di MOM 2005 (SystemCenterReporting) in un'istanza dedicata di SQL Reporting Services per vedere i report precedenti. La nuova console di reporting in System Center Operations Manager 2007 è integrata nel prodotto e pertanto si consiglia di non utilizzare la console di Reporting Services per applicazioni diverse da Operations Manager. La migrazione dei dati di reporting è un processo che può essere affrontato in seguito, processo che viene eseguito tramite uno script di migrazione. Ora non ci si deve più preoccupare dei dati di reporting archiviati ma solo godersi la nuova ed eccitante gestione che potrà essere constata al momento della creazione dei nuovi report.

Conclusioni
System Center Operations Manager è stato notevolmente migliorato rispetto a MOM 2000 e 2005, ma i vantaggi offerti hanno un costo. Una massiccia modifica all'architettura di base e la mancanza di un percorso di aggiornamento diretto, comporta un probabile aumento dei costi di distribuzione. Per ridurre questi costi è indispensabile eseguire una pianificazione adeguata e avvalersi di personale qualificato. In questo modo è possibile sfruttare tutti i vantaggi che Microsoft mette a disposizione con System Center Operations Manager.

Andy Domineyè stato per otto anni nel settore IT e attualmente è impiegato in 1E come specialista della gestione Windows nel Regno unito. Ha lavorato con MOM già a partire dalla versione 2000. Grazie a MOM Andy ha ricevuto il riconoscimento MVP di Microsoft negli gli ultimi due anni.


System Center
Virtualizzazione delle applicazioni con Microsoft SoftGrid
Ahmer Sabri and Kedar Shah
Panoramica:
  • Vantaggi della virtualizzazione delle applicazioni
  • Panoramica sull'architettura SoftGrid
  • Trasmissione di pacchetti software

Il concetto di virtualizzazione del software, nelle varie forme, è stato introdotto negli anni 60. Tuttavia, il settore IT ha impiegato alcuni decenni prima di iniziare a comprendere tutte le potenzialità della virtualizzazione delle
applicazioni. Al giorno d'oggi, ce ne stiamo rendendo sempre più conto e abbiamo fatto dei progressi notevoli in merito.
Microsoft ha confermato l'importanza della virtualizzazione delle applicazioni con l'acquisizione di Softricity nel luglio 2006. Grazie a questa acquisizione, è nata Microsoft® SoftGrid, una soluzione per la virtualizzazione delle applicazioni. Con SoftGrid, le applicazioni vengono fornite da un centro dati o da un altro percorso di rete e vengono eseguite in locale su client remoti in un ambiente virtuale. Le applicazioni virtualizzate vengono eseguite in silo e funzionano indipendentemente dal sistema operativo e dalle altre applicazioni sul desktop locale.
I vantaggi derivanti dalla virtualizzazione delle applicazioni con SoftGrid sono davvero tanti, forse troppi per essere trattati esaurientemente in questa sede. Tuttavia, di seguito sono indicati alcuni dei vantaggi più facilmente riconoscibili:
Semplificazione del test di compatibilità e regressione Eseguendo parallelamente più versioni della stessa applicazione su un unico computer senza conflitti, è possibile ridurre in modo drastico la complessità, i tempi e i costi associati al test e alla distribuzione di nuove applicazioni (vedere la figura 1).
Figura 1 Semplificazione della distribuzione delle applicazioni con SoftGrid
Figura 1 Semplificazione della distribuzione delle applicazioni con SoftGrid (Fare clic sull'immagine per ingrandirla)
Semplificazione della gestione dei sistemi L'IT esercita grande controllo sull'ambiente in cui vengono eseguite queste applicazioni e ciò semplifica la gestione di un ambiente desktop ideale.
Riduzione del numero di chiamate al supporto tecnico Con ambienti desktop gestiti in modo più efficace e un minor numero di confitti (grazie alle applicazioni virtualizzate in esecuzione in un silo controllato), gli utenti hanno bisogno di effettuare meno chiamate al supporto tecnico.
Ottimizzazione della protezione del desktop Le applicazioni non vengono mai installate nel sistema operativo, migliorando in tal modo la protezione generale del sistema. Le applicazioni vengono fornite solo agli utenti autorizzati, eliminando il rischio di un accesso non autorizzato. Inoltre, per la maggior parte delle applicazioni viene eseguito il rendering in un contesto di protezione standard.
Mobilità Le preferenze dell'utente (il profilo e altre impostazioni) vengono archiviate sulla rete, permettendo agli utenti di accedere alle loro applicazioni e preferenze, nonché ai diversi controlli, da un PC qualsiasi.
Ottimizzazione della tolleranza di errore e del ripristino di emergenza Le applicazioni vengono trasformate in file di dati che possono essere archiviati e replicati come qualsiasi altro tipo di dati aziendali. Le applicazioni e i relativi aggiornamenti possono essere sincronizzati automaticamente tra siti attivi e BCP (Bulk Copy Program) utilizzando strumenti di terze parti e abilitando l'accesso istantaneo alle applicazioni in caso di situazioni di emergenza.
In definitiva, queste caratteristiche semplificano l'amministrazione del sistema, riducono i costi e consentono alle organizzazioni di adottare le nuove tecnologie in modo più rapido e affidabile. Verrà ora esaminato attentamente il funzionamento di SoftGrid.

Come vengono fornite le applicazioni virtualizzate
L'architettura SoftGrid è costituita da numerosi componenti che funzionano in modo complementare. Tra questi componenti sono inclusi l'archivio dati, il server applicazioni virtuali, il sequencer, la console di gestione, il servizio Web di gestione e l'applicazione client, che funzionano congiuntamente ai componenti standard dell'infrastruttura, ad esempio Active Directory® (vedere la figura 2). Verrà ora fornita una panoramica sull'architettura SoftGrid e verrà illustrato il funzionamento congiunto dei diversi componenti.
Figura 2 Architettura SoftGrid globale
Figura 2 Architettura SoftGrid globale (Fare clic sull'immagine per ingrandirla)
L'archivio dati di SoftGrid agisce come un repository centrale per l'intero ambiente di virtualizzazione. Installato sia su SQL Server™ (versione 2000 o 2005) che su Microsoft SQL Server Desktop Engine (MSDE), l'archivio dati mantiene record, applicazioni, configurazione, dati relativi al Contratto di licenza, informazioni di reporting e informazioni di registrazione.
Le applicazioni virtualizzate vengono fornite al computer dell'utente e visualizzate in un client. SoftGrid offre due tipi di approccio, ovvero Microsoft Application Virtualization for Desktops e Microsoft SoftGrid Application Virtualization for Terminal Services. Ogni approccio offre specifici vantaggi, pur presentando dei punti deboli a livello di prestazioni, che verranno trattati nella sezione Installazione del client.
Uno dei componenti cruciali dell'ambiente SoftGrid è SoftGrid Virtual Application Server (SVAS). Tale componente viene utilizzato per gestire le richieste degli utenti relative alle applicazioni e trasmettere i dati delle applicazioni su specifica richiesta degli utenti.
SVAS viene eseguito come servizio Windows® denominato Microsoft System Center Virtual Application Server e presenta requisiti hardware molto modesti. Per impostazione predefinita, tutti i dati delle applicazioni (che verranno trattati a breve) si trovano nella directory \Programmi\Softricity\SoftGrid Server\content.
Generalmente, l'esperienza con SoftGrid inizia quando un utente accede a una workstation. SoftGrid Client acquisisce il token di protezione dell'utente e l'appartenenza al gruppo di dominio e passa queste informazioni a SVAS tramite un canale sicuro. SVAS assegna l'accesso utente alle applicazioni, se nella directory dell'appartenenza ai gruppi dell'applicazione esiste l'ID di protezione (SID) dell'utente, e per ciascuna applicazione viene inserito un collegamento sul desktop dell'utente (o in qualsiasi altra posizione definita dall'amministratore, ad esempio il menu Start, la barra degli strumenti Avvio veloce e così via).
La consegna effettiva di un'applicazione viene generalmente avviata quando un utente fa clic sull'icona del collegamento, associata a un file .osd (Open Software Description). Si tratta di un file XML che contiene informazioni sul pacchetto di applicazioni. Il client recupera il nome del server applicazioni virtuale dal file .osd e avvia una connessione. A questo punto, SVAS autentica il client e contatta l'archivio dati per determinare la conformità della licenza. Una volta autenticato l'utente, SVAS trasmette i dati delle applicazioni al client sotto forma di blocchi (per impostazione predefinita, ogni blocco di dati è di 32 KB, ma è possibile configurare le dimensioni desiderate al momento dell'organizzazione della sequenza).
Ricordare che al client non viene trasmessa l'intera applicazione. Al contrario, SoftGrid trasmette solo la parte necessaria per avviare l'applicazione sul client. In genere, è una parte che va dal 20% al 40% del codice totale, anche se la percentuale varia a seconda dell'applicazione. Ad esempio, per poter essere avviata, l'applicazione Microsoft Word 2003 richiede che al client vengano trasmessi solo 15 MB di dati e non l'intero pacchetto di 800 MB. Se l'utente accede a una parte dell'applicazione che non è già nella cache del client, al client verrà trasmesso il codice necessario. Per evitare la situazione tipica dei lunedì mattina, quando troppe richieste simultanee intasano la rete, le organizzazioni possono decidere di effettuare il pre-cache delle applicazioni comuni sui desktop degli utenti.

Active Directory
SoftGrid utilizza i gruppi e gli utenti dei domini Active Directory (o Windows NT® 4.0) per effettuare il provisioning delle applicazioni agli utenti autorizzati. In un ambiente multidominio, è possibile effettuare il provisioning delle applicazioni agli utenti utilizzando le appartenenze ai gruppi appropriate (SoftGrid supporta le appartenenze ai gruppi locali, globali ed universali) e le relazioni di trust con il dominio in cui è installato SVAS.
Al momento dell'installazione di SVAS, viene richiesto di specificare diversi gruppi e account del servizio, che semplificano l'integrazione con Active Directory e che verranno utilizzati in un secondo momento a scopi amministrativi. Pertanto, è necessario creare tre gruppi e account prima dell'installazione: un account del browser di SoftGrid, un gruppo Administrators di SoftGrid un gruppo Utenti di SoftGrid.
L'account del browser di SoftGrid è responsabile dell'esplorazione di Active Directory e, quindi, richiede i diritti di sola lettura per tutti i domini di Active Directory in un ambiente multidominio. Il gruppo Administrators di SoftGrid viene utilizzato per concedere l'accesso amministrativo alla console di gestione di SoftGrid e al servizio Web di gestione di SoftGrid. Infine, il gruppo Utenti di SoftGrid viene utilizzato per assegnare i criteri dei provider predefiniti, che consentono di concedere a tutti gli utenti del dominio l'accesso alle applicazioni pubblicate tramite la console di gestione.

Ambiente virtuale
SystemGuard è il componente di base di SoftGrid Client, che viene eseguito sul desktop locale. SystemGuard deve garantire un ambiente virtuale completamente operativo per l'esecuzione in isolamento delle applicazioni. In questo ambiente di silo sono inclusi i componenti del sistema operativo virtualizzato (Registro di sistema, file, caratteri, file INI, file COM, servizi incorporati e variabili di ambiente), necessari per il corretto funzionamento dell'applicazione (vedere la figura 3).
Figura 3 Ambiente virtualizzato per l'esecuzione in isolamento dell'applicazione
Figura 3 Ambiente virtualizzato per l'esecuzione in isolamento dell'applicazione
SystemGuard crea le chiavi virtualizzate del Registro di sistema per ciascuna applicazione eseguita. Queste chiavi non sono accessibili da parte delle altre applicazioni in esecuzione sul sistema operativo locale e non risultano visibili agli strumenti di modifica del Registro di sistema come regedit. Le letture e le scritture del Registro di sistema vengono reindirizzate alle chiavi virtuali come necessario. Tuttavia, ricordare che le applicazioni virtualizzate possono accedere al Registro di sistema locale per reperire le informazioni non contenute nelle chiavi virtualizzate del Registro di sistema.
In modo analogo, SystemGuard crea un file system virtualizzato verso il quale reindirizza la maggioranza delle letture e scritture dell'applicazione. Questo file system virtualizzato è isolato e fornisce l'ambiente necessario per eseguire più versioni della stessa applicazione su un unico client.
Tuttavia, è necessario ricordare che mentre le applicazioni risultano isolate dal sistema operativo locale, l'utente continua a disporre dell'accesso a tutti i servizi locali, quali la stampa, le funzioni taglia e incolla e le unità di rete.

Creazione di un pacchetto di applicazioni
A questo punto, ci si potrebbe chiedere in che modo è possibile creare un ambiente indipendente completamente operativo in cui eseguire l'applicazione virtualizzata. A tale scopo, si utilizzerà SoftGrid Sequencer. Questo strumento basato su procedure guidate consente di riunire le applicazioni in un pacchetto all'interno di un ambiente virtuale da consegnare al client per l'esecuzione.
L'organizzazione in sequenza prevede tre passaggi: installazione, configurazione e test ed esecuzione. Nel primo passaggio, l'installazione, SoftGrid Sequencer utilizza un processo di controllo attivo per monitorare l'installazione dell'applicazione e valutarne le dipendenze. Una volta completato, la fase di configurazione e test viene utilizzata per apportare eventuali modifiche alla configurazione predefinita con il fine di garantire le prestazioni desiderate per la prima esecuzione. Infine, durante la fase di esecuzione, SoftGrid Sequencer compila ed ordina il blocco di codice necessario per avviare l'applicazione. Feature Block 1 (FB1) è il codice essenziale richiesto per avviare l'applicazione e consente di eseguire l'applicazione senza dover scaricare l'intero pacchetto.
Una volta che l'applicazione è stata organizzata in sequenza, vengono creati quattro file: un file dell'applicazione abilitato per la virtualizzazione (.sft), un file Open Software Description (.osd), un file icona (.ico) e un file di progetto (.sprj). Questi file vengono quindi copiati nella directory content di SVAS. In alternativa, un amministratore può pubblicare i file .ico e .osd sui client utilizzando un server HTTP.
Mentre SoftGrid effettua il provisioning di applicazioni da eseguire in modo indipendente in ambienti isolati, SystemGuard permette l'interazione delle applicazioni. È necessario esaminare attentamente le eventuali dipendenze tra un'applicazione e l'altra e organizzare le applicazioni in sequenza nel caso in cui vi sia interazione tra le stesse. Generalmente, questo processo è noto come adattamento. Ricordare che non tutte le applicazioni che richiedono l'interazione possono essere organizzate in sequenza. L'adattamento è un processo abbastanza complicato e dovrebbe essere eseguito solo dopo aver esaminato le dipendenze con attenzione, dato che a volte l'organizzazione in sequenza di due o più applicazioni compromette la virtualizzazione.

Semplificazione dell'amministrazione
La console di gestione di SoftGrid fornisce un unico strumento per eseguire tutte le attività amministrative. Per impostazione predefinita, la console di gestione è installata su SVAS, ma può essere installata su qualsiasi altro server o workstation. È uno snap-in MMC 3.0 e utilizza il servizio Web di gestione di SoftGrid per stabilire la connessione all'archivio dati di SoftGrid (vedere la figura 4), fornendo agli amministratori autorizzati l'accesso completo ai dati archiviati nel database a scopi gestionali. La connessione tra la console di gestione e il servizio Web di gestione di SoftGrid utilizza la comunicazione remota di Microsoft .NET Framework, rendendo possibile l'installazione della console di gestione e del servizio Web sullo stesso server o su server diversi. La figura 2 illustra come queste diverse parti sono combinate e forniscono l'accesso all'intera implementazione di SoftGrid. Ricordare che le organizzazioni più grandi dovrebbero eseguire più istanze del servizio Web di gestione di SoftGrid.
Figura 4 Il servizio Web di gestione di SoftGrid fornisce la connessione all'archivio dati
Figura 4 Il servizio Web di gestione di SoftGrid fornisce la connessione all'archivio dati (Fare clic sull'immagine per ingrandirla)
Il servizio Web di gestione di SoftGrid viene eseguito su Windows 2000 o versione successiva con IIS 5.0 o versione successiva. È richiesto .NET Framework 2.0 o versione successiva, oltre a Microsoft Data Access Components (MDAC) 2.7 o versione successiva per la connettività all'archivio dati.
La console di gestione fornisce un unico strumento amministrativo dal quale le applicazioni possono essere pubblicate, terminate e così via. Le attività sono organizzate in nove categorie principali o contenitori, come illustrato nel menu della figura 5.
Figura 5 Gestione di SoftGrid da un'unica console di gestione
Figura 5 Gestione di SoftGrid da un'unica console di gestione (Fare clic sull'immagine per ingrandirla)
Di seguito è riportato un resoconto veloce dei tipi di attività di gestione disponibili in ogni contenitore. Il contenitore delle applicazioni consente all'amministratore di effettuare operazioni quali l'importazione dei file .sprj per pubblicare applicazioni più recenti, specificare la posizione del file .osd, rimuovere le applicazioni e così via. Per impostazione predefinita, questo contenitore include un pacchetto pubblicato da utilizzare per verificare la connettività del client al server applicazioni.
Quando si organizzano le applicazioni in sequenza, viene creata un'associazione di tipo di file. Una volta importato il pacchetto, le associazioni di tipo di file diventano disponibili nella console di gestione. Il contenitore delle associazioni di tipo file fornisce una posizione unica dalla quale gli amministratori possono modificare tutte le associazioni di tipo file.
Il contenitore dei pacchetti controlla le versioni dei pacchetti per gli aggiornamenti attivi; questi aggiornamenti delle applicazioni possono essere eseguiti senza la disconnessione dell'utente o l'arresto del server. L'amministratore può anche eliminare un pacchetto dalla console di gestione utilizzando questo contenitore. Ricordare che l'eliminazione di un pacchetto dal contenitore dei pacchetti rimuoverà il file .sft dalla console di gestione e dall'archivio dati, ma non lo eliminerà dalla directory content sul server applicazioni.
Come già menzionato, quando un utente avvia un'applicazione, SoftGrid Client verifica la disponibilità della licenza e procede all'avvio solo in presenza di una licenza in un archivio dati. Il contenitore delle licenze delle applicazioni è la posizione da cui gli amministratori possono associare le licenze alle applicazioni (sono supportate situazioni con numero illimitato di licenze, più licenze contemporanee e licenze denominate).
Il contenitore dei gruppi di server contiene un raggruppamento logico di server di virtualizzazione delle applicazioni e informazioni di registrazione. Gli amministratori possono aggiungere nuovi gruppi di server o modificare le proprietà (ad esempio, le porte utilizzate per la comunicazione o la memoria e i processi allocati) di un gruppo esistente.
Nel contenitore dei criteri dei fornitori, l'amministratore può creare un gruppo di regole denominate criteri. I criteri dei fornitori personalizzati vengono utilizzati per concedere agli utenti l'accesso a numerose applicazioni in presenza di diversi gruppi di condizioni. È possibile utilizzare il contenitore delle autorità account per specificare un dominio e le credenziali da utilizzare quando SoftGrid effettua l'accesso per leggere le informazioni incluse nella directory del dominio. Il contenitore degli amministratori di SoftGrid contiene i gruppi di utenti responsabili dell'amministrazione di SoftGrid. In questo contenitore, gli amministratori possono aggiungere o rimuovere gruppi per controllare le autorizzazioni di accesso.
Ultimamente, il contenitore dei report consente agli amministratori di generare report per verificare l'integrità generale dell'ambiente SoftGrid. Sono disponibili i report relativi all'utilizzo dell'applicazione, al controllo del software, all'utilizzo del sistema, all'attività di utenti/gruppi e agli errori del sistema.

Installazione del client
SoftGrid Client viene installato sul sistema operativo del computer che verrà utilizzato dall'utente per accedere all'applicazione virtualizzata. Come già menzionato, sono supportati due tipi di client: Microsoft SoftGrid for Desktops o Microsoft SoftGrid for Terminal Services. Ogni approccio offre specifici vantaggi, pur presentando dei punti deboli a livello di prestazioni, relativi alla latenza di rete, al consolidamento della server farm e alla semplicità di gestione.
In un'implementazione desktop, le applicazioni sono disponibili in locale ed esiste una piccola dipendenza relativa alla disponibilità della rete e alla produttività. Quest'approccio è consigliato, ad esempio, per le organizzazioni che hanno succursali con un'infrastruttura IT limitata. Servizi terminal è l'opzione ideale per un'organizzazione che abbia già implementato i server terminal. Questo scenario utilizza in modo efficiente hardware e software, riducendo drasticamente il numero di server necessari. Tra l'altro, abilita un ambiente caratterizzato da assoluta mobilità. In genere, le grandi organizzazioni utilizzano una combinazione di infrastruttura desktop e server terminal. L'installazione e la configurazione dei diversi componenti sono simili per entrambi gli approcci quando si installa una distribuzione di SoftGrid.
Il client può essere distribuito utilizzando un metodo standard, ad esempio un'installazione manuale o una distribuzione automatizzata, tramite uno strumento quale Systems Management Server 2003. La figura 6 riporta i requisiti minimi per hardware e software necessari per l'installazione dei client.
Figure 6 Requisiti di sistema per i client di SoftGrid

Client | Processore | Memoria | Spazio su disco | Sistema operativo
Microsoft SoftGrid for Terminal Services | PIII 850 MHz | 1 GB di RAM (minimo 256 MB, a seconda del numero di utenti e applicazioni) | 12 MB per l'installazione e 4096 MB per la cache | • Windows 2000 Server o Advanced Server con Servizi terminal abilitato • Windows Server 2003 con Servizi terminal abilitato
Microsoft SoftGrid for Desktops | PIII 600 MHz | 128 MB | 12 MB per l'installazione e 2048 MB per la cache | • Windows 2000 Professional o Windows XP • Windows 2000 Server o Windows Server 2003
Sebbene l'installazione del client si riveli semplice, è necessario fornire alcune proprietà durante questo processo, ad esempio la posizione dell'installazione, le dimensioni della cache, la lettera da utilizzare per l'unità virtuale, la posizione dei file di dati delle applicazioni e così via. Una volta installato il client, alcune impostazioni aggiuntive possono essere specificate o modificate utilizzando la console di gestione del client.
Per avviare la console di gestione di client, andare al Pannello di controllo ed avviare SoftGrid Client Management da Strumenti di amministrazione. È possibile scegliere di connettersi al computer locale o remoto.
La figura 7 mostra la console di gestione del client, costituita da un contenitore principale e tre contenitore figlio. La scheda SoftGrid on localhost root consente di specificare la maggior parte dei parametri operativi, tra cui la directory di registrazione, la directory dei dati delle applicazioni, le impostazioni per la visualizzazione e l'esecuzione del client, la frequenza di visualizzazione dei messaggi informativi e di errore, le opzioni relative alla rete e alla connettività quando si esegue al disconnessione dal server di SoftGrid e le autorizzazioni.
Figura 7 Console di gestione del client
Figura 7 Console di gestione del client
È possibile visualizzare e modificare le applicazioni nel contenitore delle applicazioni. Questo contenitore fornisce informazioni di stato relative all'applicazione locale, ad esempio se l'applicazione è in esecuzione, se è bloccata nella cache e quale percentuale dell'applicazione (file .sft) è stata trasmessa nella cache locale.
Il contenitore dell'associazione del tipo di file consente di visualizzare, modificare e rimuovere un'associazione di tipo di file. Per ulteriori dettagli, fare riferimento alle informazioni relative all'associazione del tipo di file nella sezione precedente.
Il contenitore della configurazione desktop consente di specificare, modificare e aggiornare manualmente le impostazioni del server applicazioni specificato durante l'installazione. Consente inoltre di selezionare se l'aggiornamento del client deve avvenire al momento dell'accesso dell'utente (questa è l'impostazione predefinita) e la lunghezza dell'intervallo di aggiornamento automatico.

Conclusioni
La virtualizzazione delle applicazioni con Microsoft SoftGrid fornisce un metodo efficace per ottimizzare l'affidabilità del sistema e semplificare la gestione. Sebbene implichi il funzionamento congiunto di una serie di parti, l'architettura si adatta perfettamente all'infrastruttura IT.
Microsoft SoftGrid for Desktops è disponibile per i clienti di Software Assurance come parte del Microsoft Desktop Optimization Pack. Per ulteriori informazioni, vedere windowsvista.com/optimizeddesktop. Microsoft SoftGrid for Terminal Services è disponibile come licenza CAL (Client Access License) autonoma per i clienti aziendali nei contratti multilicenza Microsoft. Per scaricare una versione di prova, accedere all'account dei contratti multilicenza presso https://licensing.microsoft.com e selezionare l'opzione relativa al Desktop Optimization Pack per SA nella sezione dei download dei prodotti.

Ahmer Sabri è uno specialista tecnico presso il gruppo dei servizi finanziari in Microsoft. È possibile contattarlo all'indirizzo ahmers@microsoft.com.
Kedar Shah è uno specialista tecnico presso il gruppo dei servizi finanziari in Microsoft. È possibile contattarlo all'indirizzo kedars@microsoft.com.


Dal redattore Dinamicità e ottimizzazione
Joshua Trupin

Nei prossimi mesi... Si sentirà presto parlare di due nuove strategie IT di Microsoft: Dynamic Systems Initiative e Infrastructure Optimization Initiative. Queste due iniziative consentiranno di svolgere le attività correlate all'IT in modo più efficace e di far fronte alle eventuali sfide future.
Dynamic Systems Initiative definisce un framework per strumenti e applicazioni che combina quattro aree principali di innovazione tecnica come guida per gli approcci TI del futuro. Per ottenere un ambiente dinamico, l'infrastruttura e il software dovrebbero essere unificati e virtualizzati, guidati da processi e basati su modelli, abilitati per i servizi e incentrati sull'utente.
Tuttavia, la creazione di un ambiente IT dinamico non si ottiene solo con i prodotti di Microsoft. L'azienda può profondere maggiori investimenti nella creazione di vantaggi di business dalle risorse IT anziché tentare semplicemente di gestirne le crescenti complessità. Utilizzando i modelli di ottimizzazione dell'infrastruttura per scoprire la direzione che prenderà il business nei prossimi due anni, è possibile trarre i massimi vantaggi dai sistemi correnti e pianificare una maggiore dinamicità per il futuro.
In grandi linee, il ciclo di vita IT di un'azienda prevede quattro fasi: Di base: valutazione delle esigenze. Standardizzata: implementazione di un sistema di controllo. Razionalizzata: espansione delle attività aziendali. Dinamica: una risorsa strategica. Ognuna di queste fasi verrà trattata dettagliatamente all'indirizzo microsoft.com/io. È possibile utilizzare le informazioni fornite in questo sito per analizzare l'infrastruttura e pianificarne gli sviluppi futuri. Applicando i concetti dei sistemi dinamici, è possibile trasformare l'organizzazione IT in una risorsa di business fondamentale.
Una volta che l'organizzazione raggiunge la fase dinamica, si otterrà la gestione automatica dei sistemi IT, che si trasformeranno in risorse assolutamente strategiche. L'estasi dell'IT! Il modo migliore per passare da una fase all'altra nella ricerca di un IT dinamico consiste nell'utilizzo della famiglia di soluzioni di gestione IT System Center. System Center fornisce strumenti di configurazione, applicazioni di distribuzione, Operations Manager e molto altro ancora (abbraccia l'intero ciclo di vita IT di pianificazione, distribuzione e manutenzione).
E, ovviamente, TechNet Magazine rappresenta un'ulteriore preziosa risorsa. Questo articolo si sofferma sulla famiglia prodotti System Center. Iniziando con le panoramiche dettagliate dei due componenti principali, ovvero System Center Configuration Manager 2007 e System Center Operations Manager 2007, verranno presi in esame anche la distribuzione, le operazioni e i metodi per gestire le succursali con successo.
In che modo l'infrastruttura può essere all'altezza della situazione? Visita il nostro blog all'indirizzo blogs.technet.com/tnmag e facci sapere quali pensi che siano i traguardi raggiungibili con un IT dinamico. —Joshua Trupin


Casella degli strumenti Nuovi prodotti per professionisti IT
Greg Steen

Gestire i dati di configurazione di avvio
VistaBootPRO
www.vistabootpro.org
Ogni professionista IT ha almeno uno o due computer ad avvio multiplo. Oggi, tali sistemi includono di solito un'istanza di Windows Vista® o di Windows Server® 2008, precedentemente noto come "Longhorn". Se si utilizza un sistema ad avvio multiplo con uno di questi sistemi operativi, è il caso di provare VistaBootPRO di PROnetworks.
A partire da Windows Vista, Microsoft ha modificato il metodo di gestione della configurazione di avvio. Anziché utilizzare un file di testo leggibile, ad esempio Boot.ini, è ora disponibile un archivio dati di configurazione iniziale (BCD). Questo archivio fornisce un approccio più sicuro e indipendente dal firmware per la gestione dell'ambiente di avvio. Sono disponibili tre metodi di base per esaminare e modificare i dati BCD. Il primo consiste nell'utilizzare MSConfig, che fornisce un accesso di base per la lettura, la modifica e il riordinamento delle voci nell'archivio dati BCD. Gli amministratori di sistema probabilmente sono più propensi per la seconda opzione, ovvero l'uso dello strumento della riga di comando BCDEdit. Questo strumento consente di creare un nuovo archivio BCD, modificare archivi esistenti e importare o esportare archivi per operazioni di memorizzazione o per il loro riutilizzo. Il terzo metodo consiste nella gestione dell'archivio BCD in modo programmatico utilizzando la relativa API Strumentazione gestione Windows® (WMI).
Tutti questi metodi consentono di svolgere lo stesso lavoro ma nessuno di essi è particolarmente intuitivo per l'utente. È qui che entra in gioco VistaBootPRO, con una GUI più intuitiva per la modifica e la configurazione di avvio sul computer su cui è in esecuzione Windows Vista. Questo strumento consente di ridenominare facilmente le voci del sistema operativo, aggiungere nuove voci, cambiare l'unità di avvio e configurare le opzioni di timeout con uno o due clic. Inoltre, lo strumento VistaBootPRO consente di selezionare una voce relativa al sistema operativo e impostare i parametri di avvio, ad esempio la limitazione della CPU disponibile per il sistema operativo, l'abilitazione o la disabilitazione di Protezione esecuzione programmi per le voci di Windows Vista o Windows Server 2008, la riduzione della memoria fisica disponibile al sistema operativo e l'esecuzione del processo di avvio in modalità di debug.
Prima di apportare qualsiasi modifica all'archivio BCD utilizzando questo strumento, sarebbe opportuno eseguire il backup dell'archivio corrente, nel caso qualcosa non dovesse andare come previsto. Se il backup non viene eseguito, l'applicazione genera un avviso e consente di esportare la configurazione corrente in modo facile. Naturalmente, VistaBootPRO consente di ripristinare la configurazione di cui è stato eseguito il backup.
Tutto sommato, VistaBootPRO è un'applicazione completa e di facile utilizzo per la gestione dell'archivio BCD. E, inoltre, è gratuita.

Prezzo: Gratuito.
VistaBootPRO (Fare clic sull'immagine per ingrandirla)

Monitorare servizi e dispositivi
NetGong
netgong.tsarfin.com
Ahhh, strumenti di monitoraggio, non bastano mai. Per chi è alla ricerca di un nuovo servizio di rete e del monitoraggio dei dispositivi, oppure per chi è semplicemente interessato alle utilità di monitoraggio, NetGong può essere la scelta giusta.
L'applicazione viene eseguita nell'area di notifica, all'avvio di Windows. È sufficiente fare clic con il pulsante destro del mouse per avviare o arrestare subito il monitoraggio. Se si fa doppio clic sull'icona, viene visualizzata l'interfaccia di configurazione principale dove è possibile impostare, esaminare e vedere gli eventi relativi agli host monitorati.
La configurazione del monitoraggio degli host è semplice. È sufficiente specificare l'host, la porta TCP da monitorare, l'intervallo in base al quale devono essere eseguiti i test e il tipo di avviso che si desidera ricevere. Inoltre, è possibile aggiungere una descrizione significativa e modificare le impostazioni predefinite del protocollo Internet Control Message Protocol (ICMP), ad esempio il timeout, la dimensione del pacchetto e il numero di nuovi tentativi. Per impostazione predefinita, NetGong richiede che l'host monitorato risponda alle richieste ICMP, ma è possibile deselezionare questa opzione tramite la casella di controllo per gli host invisibili che non accettano le richieste ICMP sulla rete.
L'applicazione dispone di quattro categorie di avviso: suoni, messaggi di posta elettronica, messaggi e file. Per gli avvisi sonori, è possibile specificare il file WAV da utilizzare. Per i messaggi, è possibile definire un messaggio di testo, che dovrà essere visualizzato in primo piano e scegliere se la finestra di messaggio deve essere chiusa automaticamente o manualmente. Gli avvisi di posta elettronica consentono di specificare un server SMTP e i dettagli del messaggio da inviare. Inoltre, l'opzione di avviso file consente di eseguire un file eseguibile (o file batch) con parametri configurabili, modalità finestra e directory di avvio. Per ogni tipo di avviso, è possibile pianificare l'invio del primo avviso, il numero massimo di avvisi da inviare e l'intervallo di errori (numero di errori) tra gli avvisi. È inoltre possibile scegliere di ricevere una notifica al ripristino del servizio.
NetGong mantiene inoltre i file di registro dei risultati. È possibile scegliere di registrare gli eventi nel registro eventi, in un file di testo o in una pagina HTML creata dinamicamente. L'applicazione consente di vedere i risultati del monitoraggio sulle pagine fornite dal server Web incorporato in ascolto sulla porta specificata dall'utente. Inoltre, è possibile inviare un parametro di stringa query per l'aggiornamento della pagina Web con i dettagli dell'evento di monitoraggio.

Prezzo: 79,95 dollari per computer (licenza aziendale), 59,95 dollari per computer (licenza accademica), 39,95 dollari per computer (licenza domestica).
Steen.toolbox.netgong (Fare clic sull'immagine per ingrandirla)

Recensione
Windows PowerShell: TFM
www.sapienpress.com
Sicuramente avrete già sentito parlare di Windows PowerShell™. Sembra che tutti ne parlino. In TechNet Magazine è presente un articolo che ne parla (scritto da uno degli autori del libro). È stato letto in modo approfondito?
Windows PowerShell può rappresentare uno strumento di automazione e produttività estremamente efficace una volta capito come utilizzarlo. Se si è alle prime armi con gli script o se si ha già confidenza con VBScript e si desidera approfondire la conoscenza di questo nuovo linguaggio di script e degli strumenti della riga di comando, Windows PowerShell: TFM, di Don Jones e Jeffery Hicks, rappresenta il punto di partenza migliore. Questo libro è destinato agli amministratori di sistema e riesce a indicare al meglio tutto ciò che potrà essere utile alla maggior parte di essi.
La prima sezione del libro introduce l'ambiente di Windows PowerShell, illustrando i parametri che tutti i cmdlet hanno in comune e le basi della sintassi e della semantica del linguaggio di script. Vengono illustrati i concetti di reindirizzamento, di pipelining, funzioni, variabili e l'esecuzione di più shell. Poiché Windows PowerShell è basato su Microsoft® .NET Framework, sfrutta i vantaggi del codice gestito. Tenere presente che Windows PowerShell richiede .NET Framework 2.0 o versione successiva. Il libro fornisce anche informazioni di base sul Framework, dal contesto di protezione nel quale vengono eseguiti gli script ai concetti di riflessione, assembly e classi.
Dopo la spiegazione su come collegare Windows PowerShell a WMI, gli autori illustrano la struttura del linguaggio di script di Windows PowerShell, fornendo degli esempi che aiutano a capire la funzione degli oggetti e delle relative proprietà e metodi. Viene illustrato anche come utilizzare i vari tipi di operatori, dagli operatori aritmetici di base agli operatori di confronto bit per bit, potenti espressioni regolari per analizzare le stringhe per elementi quali gli indirizzi IP e i nomi dei controller di dominio. Questo è particolarmente utile per approfondire la conoscenza di Windows PowerShell.
I capitoli sulla gestione degli script di database e di Windows dimostrano alcune delle capacità principali che Windows PowerShell è in grado di offrire. Viene illustrato come lavorare con registri eventi, processi, Registro di sistema, file system e servizi directory, come stabilire la connessione ed eseguire query sui database.
Le altre sezioni si occupano dell'invio dell'output e della formattazione dei dati, di come rendere modulari gli script, della gestione degli errori e del debug. Gli autori mettono a disposizione una serie di suggerimenti per le operazioni di script di Windows PowerShell, tra cui le convenzioni per i nomi, come inserire commenti nel codice e come utilizzare il rientro per rendere il codice più leggibile.
Le appendici del libro trattano vari argomenti tra cui riferimento a tutti i 133 cmdlet di Windows PowerShell e un riferimento ai tipi cmdlet più utilizzati (e i metodi e le proprietà associati a essi). Oltre a dare informazioni di base su come utilizzare uno specifico cmdlet, questi riferimenti offrono una rapida panoramica sulle capacità di Windows PowerShell.

Prezzo: 49,99 dollari di listino.

Test Your Cables
SMARTest Compact Network Cable Tester
www.hobbes-usa.com
Cavi, cavi ovunque! La maggior parte dei professionisti IT è circondata di cavi CAT5. Una moltitudine di cavi CAT5: centinaia di fili, per migliaia di metri. E se si è responsabili di questi cavi, è indispensabile un apposito strumento di test. Per questo motivo, potrebbe essere necessario dare uno sguardo a SMARTest Compact Network Cable Tester di Hobbes.
Il dispositivo SMARTest è uno strumento di test per cavi il cui aspetto è simile a una penna. È compatibile con cavi di rete CAT 3, 4, 5, 5e e 6 e consente di individuare eventuali problemi di cablaggio. Nello specifico, è in grado di rilevare circuiti aperti, in cortocircuito, invertiti, non cablati, cavi divisi e problemi di messa a terra.
Il dispositivo funziona con quattro batterie da orologio, i cavi non devono essere collegati per eseguire il test e inoltre per SMARTest non è necessaria una connessione di rete attiva. Per eseguire il test di un cavo, è sufficiente collegare un'estremità del cavo all'unità principale e l'altra estremità all'unità remota scollegabile. L'unità SMARTest ha un'interfaccia con presa e spina RJ45 (femmina e maschio) per testare qualsiasi tipo di cavo. È anche possibile utilizzare il dispositivo SMARTest per verificare il cablaggio dei pannelli elettrici e delle prese di corrente.
Il dispositivo dispone inoltre di una funzione incorporata di generazione di toni per inviare un segnale audio attraverso il cavo che si sta testando. È quindi possibile esaminare il segnale tramite una sonda di segnale compatibile, ad esempio Cable Tracer Probe di Hobbes.
Il prezzo di questo dispositivo si aggira attorno agli 80-90 dollari, a seconda del rivenditore. È inoltre disponibile un adattatore per connettore F per il test dei cavi coassiali.

Prezzo: 99.99 dollari di listino.
Steen.toolbox.smartest (Fare clic sull'immagine per ingrandirla)

Greg Steen è un professionista IT oltre ad essere un appassionato imprenditore. È sempre alla ricerca di nuovi metodi e strumenti che aiutino a rendere più semplici le operazioni e lo sviluppo per i professionisti IT.


SQL: domande e &risposte Individuazione di blocchi, query di grandi dimensioni, statistiche di I/O e altro ancora
A cura di Nancy Michell

Scarica il codice per questo articolo: SQLQandA2007_08.exe (151KB)

Domanda: ho bisogno di vedere i nomi degli oggetti in tutti i database che contengono dei blocchi. Come è possibile eseguire questa operazione?

Risposta: in SQL Server™ 2000, è possibile eseguire una query sulla tabella di sistema syslocks in Master oppure eseguire il comando sp_lock per ottenere le informazioni di blocco correnti, quali:
SELECT * FROM master..syslocks
EXEC sp_lock
Tuttavia, si supponga di voler convertire l'oggetto effettivo NAMES da ObjID dell'elemento OUTPUT della stored procedure sp_lock (o dalla colonna ID della tabella master...syslocks).
In SQL Server 2005 SP1 e precedente, la funzione OBJECT_NAME consentiva di passare solo un parametro: object_id. Quindi, per ottenere il nome dell'oggetto in modo corretto, bisognava lavorare nel database CURRENT prima di eseguire OBJECT_NAME. Questo rendeva difficile il monitoraggio dei blocchi correnti, poiché bisognava scrivere codice specifico per ogni database per poter ottenere OBJECT_NAME.
USE DBNAME
SELECT OBJECT_NAME(object_id)
SQL Server 2005 SP2 ha perfezionato questo metodo aggiungendo un secondo parametro, database_id. Questo nuovo parametro consente di richiedere i nomi degli oggetti indipendentemente dal database CURRENT a cui si è connessi.
OBJECT_NAME ( object_id [, database_id ] )
Ora è possibile eseguire query in dm_tran_locks e recuperare il nome dell'oggetto per ogni database, come questo:
SELECT
DB_NAME(resource_database_id),
OBJECT_NAME(resource_associated_entity_id, resource_database_id)
FROM sys.dm_tran_locks
WHERE resource_type='OBJECT'
Notare, tuttavia, che questo metodo funziona solo in SQL Server 2005 SP2 e versioni successive. Se questo metodo viene eseguito con le versioni precedenti di SQL Server 2005, verrà restituito questo errore:
Msg 174, Level 15, State 1, Line 1
The object_name function requires 1 argument(s).
Un altro esempio, illustrato nella figura 1, utilizza sys.dm_exec_sessions per ottenere informazioni sugli ID di processo del servizio (SPIDS) interessati dai blocchi. Per ulteriori informazioni, vedere la documentazione in linea di SQL Server all'indirizzo technet.microsoft.com/library/ms130214(sql.90).aspx.
Figure 1 Individuazione degli ID del processo server
SELECT
DB_NAME(resource_database_id) as DBName,
OBJECT_NAME(resource_associated_entity_id, resource_database_id) AS ObjectName,
request_mode,
request_type,
request_session_id,
es.host_name,
es.login_name,
es.login_time
FROM
sys.dm_tran_locks tl
INNER JOIN sys.dm_exec_sessions es
ON tl.request_session_id=es.session_id
WHERE resource_type='OBJECT'

Domanda: ho una query SQL dinamica di grandi dimensioni, che sembra a volte superare la lunghezza di NVARCHAR(max). Esiste un modo che mi permetta comunque di eseguire una stringa di grandi dimensioni?

Risposta: se si supera la lunghezza di NVARCHAR(max), significa che la query ha raggiunto una dimensione di 2 GB! Probabilmente sarà necessario convertire tutte le stringhe concatenate in NVARCHAR(max). Tuttavia, una soluzione migliore, che tra l'altro ha il vantaggio di essere supportata nelle versioni di SQL Server precedenti a SQL Server 2005, è concatenare insieme una serie di stringhe più piccole. Ecco un esempio:
DECLARE @q1 NVARCHAR(4000), @q2 NVARCHAR(4000), @q3 NVARCHAR(4000)
SET @q1 = 'SELECT...'
SET @q2 = 'FROM...'
SET @q3 = 'WHERE...'
EXEC (@q1 + @q2 + @q3)
SUGGERIMENTO: Uso della clausola OUTPUT
È ora possibile controllare le modifiche apportate utilizzando le istruzioni Data Manipulation Language (DML) senza neanche utilizzare i trigger. SQL Server 2005 ha introdotto una clausola OUTPUT come parte delle istruzioni DML che consente di tenere traccia delle modifiche apportate durante un'operazione DML. La clausola OUTPUT può salvare il set dei risultati in una tabella o in una variabile di tabella.
Questa funzionalità è simile a quello che eseguivano i trigger con le tabelle INSERTED e DELETED per l'accesso alle righe modificate durante l'operazione DML. Per vederne il funzionamento, modificare l'indirizzo dalla tabella degli indirizzi sul valore contrario a quello originale, come mostrato nella figura seguente. È inoltre possibile utilizzare la logica mostrata in questo codice per tenere traccia delle modifiche apportate ai dati e memorizzare i dati in una tabella.
L'output della query sarà simile a questo:
Original Value:'1234 One Microsoft Way, Redmond, Wa.' has been changed to: '.aW,dnomdeR
,yaW tfosorciM enO 4321'

Modifica di un indirizzo
--Create the address table
Create Table Address (ProductID Int, SupplierID Int, Address Varchar(255))

--Insert data
Insert into Address Values (234,567,'1234 One Microsoft Way, Redmond, Wa.')

--Declare a table variable
Declare @Recordchanges table (change Varchar(255))

--Update the address
Update Supplier.Address
Set Address=reverse(address)

--Record the updates into the table variable
OUTPUT 'Original Value:' + DELETED.Address+' has been changed to: '+ INSERTED.Address+''
into @RecordChanges

--Query the changes from table variable
Select * from @RecordChanges

Domanda: ho un'installazione cluster cruciale di SQL Server 2005 in Windows Server® 2003. Microsoft® Distributed Transaction Coordinator (MS DTC) è stato reso di tipo cluster nello stesso gruppo quorum del cluster ma utilizza una risorsa disco dedicata (MS DTC condivide lo stesso nome di rete e indirizzo IP del gruppo quorum del cluster). Voglio allineare questa configurazione in base alle procedure consigliate di Microsoft. Quindi, ho bisogno di un consiglio per lo spostamento di MS DTC in un gruppo di cluster dedicato. È sufficiente rimuovere i servizi MS DTC utilizzando lo Strumento di amministrazione cluster e ricrearli in un gruppo dedicato?

Risposta: poiché è già in uso una risorsa disco dedicata per MS DTC, dovrebbe essere possibile rimuovere semplicemente la risorsa e crearla in un nuovo gruppo. È necessario creare un nuovo nome di rete e un indirizzo IP virtuale nel nuovo gruppo.
In alternativa, è possibile creare il nuovo nome di rete e l'indirizzo IP nel gruppo cluster e modificare le dipendenze per le nuove risorse. È quindi possibile trascinare MS DTC in un nuovo gruppo e di conseguenza verranno trasferiti anche il disco dedicato e le nuove risorse.

Domanda: devo poter vedere in un database le statistiche di I/O presenti nei file di database fisici. Cosa devo utilizzare?

Risposta: la funzione di sistema fn_virtualfilestats, disponibile in SQL Server 2000 e in SQL Server 2005, oppure sys.dm_io_virtual_file_stats (solo in SQL Server 2005) consente di ottenere questo. La funzione restituisce le informazioni statistiche raccolte a partire dall'ultimo avvio dell'istanza di SQL Server. I risultati di esempio sono illustrati nella figura 2.
Figure 2 Visualizzazione delle statistiche di I/O in un database

DbId | FileId | TimeStamp | NumberReads | NumberWrites | BytesRead | BytesWritten | IoStallMS
20 | 1 | 250765718 | 381 | 0 | 3350528 | 0 | 951
20 | 2 | 250765718 | 12 | 8 | 409600 | 491520 | 0
20 | 3 | 250765718 | 5 | 0 | 40960 | 0 | 16
Comprendere l'impatto di I/O sui file di dati di base può aiutare a pianificare meglio le cose, ad esempio il posizionamento fisico dei file e dei gruppi di file nei volumi di dati, la rilevazione di possibili colli di bottiglia di I/O, l'esecuzione della gestione del database a livello di file e altre attività di questo tipo. Questa funzione è particolarmente utile per esaminare l'impatto di I/O nei database di grandi dimensioni, dove possono essere presenti più file e gruppi di file.
In SQL Server 2000, la query per la visualizzazione delle informazioni di I/O dei file è simile a questa:
SELECT *
FROM ::fn_virtualfilestats(default,default)
GO
Per vedere uno specifico ID di database, passare l'ID del database, in questo modo:
SELECT *
FROM ::fn_virtualfilestats(7,default)
GO
Questo è il codice di SQL Server 2005 che mostra le statistiche dei file di tutti i database del server:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
GO
La query seguente restituisce le statistiche dei file solo per il database corrente:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
WHERE DBID=db_id()
GO
Per SQL Server 2005, è disponibile anche una nuova funzione di sistema denominata sys.dm_io_virtual_file_stats che va a sostituire la precedente funzione fn_virtualfilestats:
sys.dm_io_virtual_file_stats(
{ database_id | NULL },
{ file_id | NULL }
)
Ecco come utilizzarla:
SELECT * FROM sys.dm_io_virtual_file_stats(NULL,NULL)
Per generare un report più leggibile che mostri i nomi effettivi dei database e dei file dall'output, è possibile utilizzare il codice incluso nel download di SQL Server 2000 o di SQL Server 2005. Il codice è disponibile sul sito Web di TechNet Magazine.

Domanda: ho bisogno di un modo facile per vedere se una transazione di eliminazione ha attivato un trigger. In che modo posso ottenere queste informazioni?

Risposta: quando ci si occupa dei trigger che gestiscono operazioni di eliminazione, inserimento e aggiornamento, solitamente viene utilizzata una serie di tecniche differenti per determinare se un trigger è stato attivato da una transazione di eliminazione. Un metodo comune è confrontare il numero delle tabelle virtuali inserite ed eliminate per vedere se corrispondono. Tuttavia, esiste un metodo più semplice: è possibile utilizzare la funzione Columns_Updated.
Questo perché quando un trigger viene attivato da una transazione di eliminazione, la funzione Columns_Updated restituisce sempre il valore varbinary 0x. Il controllo seguente verificherà che il trigger sia stato attivato da un'operazione di eliminazione:
IF Columns_Updated() = 0x
SUGGERIMENTO: Inizializzazione dei dati e dei file di registro
Sapevate che i dati e i file di registro vengono inizializzati per sovrascrivere i dati esistenti lasciati nel disco dopo l'eliminazione di file precedenti? I dati e i file di registro vengono inizializzati inserendo dapprima degli zeri quando si crea un database, quando si aggiungono file, file di registro o dati a un database esistente, quando si aumentano le dimensioni di un file esistente (incluse le operazioni di aumento automatico delle dimensioni), o quando si ripristina un database o un gruppo di file. L'inizializzazione dei file prolunga la durata di queste operazioni. Tuttavia, quando i dati vengono inserirti per la prima volta nei file, il sistema operativo non deve inserire gli zeri nei file.
In SQL Server 2005, i file di dati possono essere inizializzati istantaneamente. Questa funzionalità consente l'esecuzione rapida delle operazioni citate in precedenza. L'inizializzazione file immediata recupera lo spazio su disco utilizzato senza riempire tale spazio con gli zeri. Il contenuto del disco viene invece sovrascritto non appena i dati vengono inseriti nei file. I file di registro non possono essere inizializzati istantaneamente. L'inizializzazione immediata dei file è disponibile solo in Windows XP Professional e in Windows Server 2003 o versioni successive.
Dato che il contenuto del disco eliminato viene sovrascritto solo quando i nuovi dati vengono inseriti nei file, potrebbe accadere che un'entità non autorizzata acceda al contenuto eliminato. Sebbene il file di database sia associato all'istanza di SQL Server, il pericolo di intercettazione delle informazioni è ridotto dall'elenco di controllo di accesso discrezionale (DACL) nel file. L'elenco DACL consente l'accesso al file soltanto all'account di servizio di SQL Server e all'amministratore locale. Tuttavia, quando il file viene scollegato dall'istanza, è possibile che avvenga un accesso al file da parte di un utente o di un servizio senza SE_MANAGE_VOLUME_NOME. Un pericolo simile esiste quando viene eseguito il backup del database. Il contenuto eliminato può diventare disponibile a un utente oppure a un servizio non autorizzato se il file di backup non è protetto con un apposito DACL.
Se la divulgazione del contenuto eliminato rappresenta un problema, è necessario verificare sempre che i file di backup e i file di dati dispongano di elenchi DACL restrittivi. Inoltre, disabilitare l'inizializzazione immediata dei file per l'istanza di SQL Server revocando SE_MANAGE_VOLUME_NAME dall'account di servizio di SQL Server.

Thanks to the following Microsoft IT pros for their technical expertise: Christian Bolton, Dan Carollo, Robert Davis, Jorge Guzman, Saleem Hakani, Ward Pond, Kalyan Yella, and Paolo Zavatarelli.


Utilità in primo piano BGInfo
Lance Whitney

Scarica il codice per questo articolo: BgInfo v4.10 (274KB)

Risoluzione dei problemi e richiesta di informazioni Si sta tentando di risolvere un problema a un PC dell'utente e sono necessarie informazioni specifiche quali il nome del computer, l'indirizzo IP, il gateway, la memoria, lo spazio libero su disco e così via. Per ottenere tutte queste informazioni, solitamente è necessario esaminare più origini dati o fare all'utente una serie di domande. Non sarebbe utile se tutte queste informazioni relative a un PC si trovassero in un solo punto? Questo è possibile, grazie a uno strumento gratuito di Sysinternals denominato BGInfo.
Realizzato da Bryce Cogswell, BGInfo (abbreviazione di Background Information) richiede i dati a una workstation oppure a un server Windows®; richiede dai dati statistici di rete (indirizzo IP, router, nome di dominio, indirizzo MAC) alle informazioni su hardware e software (nome del computer, memoria, versione del sistema operativo e livello del Service Pack). Il programma visualizza quindi tutti i dati sul desktop come parte dello sfondo, rendendo così le informazioni chiaramente visibili ma non eccessivamente vistose (vedere la figura 1).
Figura 1 BGInfo visualizza le informazioni di sistema sul desktop
Figura 1 BGInfo visualizza le informazioni di sistema sul desktop (Fare clic sull'immagine per ingrandirla)
Per eseguire BGInfo, è sufficiente fare doppio clic sul file bginfo.exe; non è necessario eseguire l'installazione. Viene aperta la schermata di configurazione per esaminare e selezionare i campi di dati da visualizzare. Per impostazione predefinita, BGInfo mostra 24 informazioni separate. È possibile rimuovere i campi che non si desidera vengano visualizzati e, se necessario, aggiungerli in seguito. È inoltre facile visualizzare campi aggiuntivi. BGInfo visualizzerà qualunque variabile di ambiente, la maggior parte dei valori del Registro di sistema e l'output delle query VBSCRIPT e Strumentazione gestione Windows (WMI). L'interfaccia WMI fornisce un modo semplice per creare query selezionando i valori da un menu a discesa. BGInfo può anche esaminare file specifici per mostrare le informazioni sulla versione, il timestamp e i contenuti.
La visualizzazione è completamente personalizzabile. È possibile modificare vari attributi del testo, l'allineamento, il carattere, la dimensione in punti e il colore. Inoltre, è possibile modificare la posizione dei dati in varie parti del desktop e specificare la larghezza massima dell'area di visualizzazione in pollici. Infine, BGInfo consente di aggiungere elementi grafici accanto al testo, è quindi possibile inserire un'immagine, ad esempio il logo aziendale. Se invece si preferisce non visualizzare tutte queste informazioni sul desktop, è sufficiente impostare BGInfo come icona nell'area di notifica. Fare clic sull'icona per visualizzare tutte le informazioni.
Dopo aver eseguito le scelte di formattazione e prima di confermare, è possibile vedere un'anteprima delle modifiche facendo clic sul relativo pulsante. Se necessario, è possibile eseguire in ogni momento BGInfo manualmente su qualsiasi PC e aggiornarlo automaticamente. Per aggiornare i dati regolarmente, aggiungere il file BGInfo.exe alla cartella di avvio o impostare l'aggiornamento come un'operazione pianificata. Dopo aver personalizzato BGInfo su un computer, è possibile utilizzare le stesse impostazioni su altri PC. È sufficiente salvare le impostazioni come un file BGI e caricarlo sugli altri computer che eseguono il programma.
Sebbene sia possibile eseguire BGInfo su un solo PC alla volta, potrebbe essere necessario attivarlo su più client di rete. È possibile inserire il file bginfo.exe in uno script di in uno script di accesso; il programma fornisce varie opzioni della riga di comando per controllarne il comportamento. I dati raccolti da BGInfo possono essere anche esportati in un file esterno, un file di testo, un foglio di calcolo Excel®, un database Access™ o un database SQL, per avere a disposizione una pratica risorse per tutti i dati statistici dei PC di rete.
Le informazioni di aiuto, incluse in BGInfo, sono dettagliate e facili da seguire. Spesso sono disponibili suggerimenti su come creare semplici query VBScript e WMI il cui output può essere acquisito da BGInfo. Il programma viene eseguito su tutte le versioni di Windows da Windows 95 a Windows Vista®. Per ulteriori informazioni su BGInfo e per scaricare lo strumento, visitare il sito Web all'indirizzo microsoft.com/technet/sysinternals/Miscellaneous/BgInfo.mspx.

Lance Whitney è un consulente IT, docente e technical writer. Ha trascorso molte ore a modificare le workstation e i server di Windows. In origine era un giornalista, ma circa 15 anni fa ha fatto un salto nel buio lanciandosi nel mondo dell'IT.


The Cable Guy Configurazione automatica IPv6 in Windows Vista
Joseph Davies

La tecnologia IPv6 non implica semplicemente l'estensione dello spazio di indirizzi da 32 bit (IPv4) a 128 bit. È consentita anche la configurazione automatica degli host IPv6, anche senza l'uso di un protocollo di configurazione degli indirizzi quale DHCP per IPv6 (DHCPv6).
In base alla RFC 2462, tutti i nodi IPv6 configurano automaticamente un indirizzo locale rispetto al collegamento per ogni interfaccia. Un host IPv6 utilizza anche l'individuazione dei router (uno scambio di messaggi di richiesta router e annuncio router) per determinare indirizzi aggiuntivi e impostazioni di configurazione. Nel messaggio di annuncio router inviato dal router sono inclusi i contrassegni Configurazione indirizzi gestiti (M) e Altre opzioni configurazione stato (O), indicanti se l'host deve utilizzare DHCPv6 per gli indirizzi aggiuntivi e le impostazioni di configurazione.

Tipi di configurazione automatica IPv6
Oltre all'indirizzo locale rispetto al collegamento, gli host possono utilizzare anche la configurazione automatica senza stato per configurare indirizzi e altre impostazioni alla ricezione dei messaggi di annuncio router. Questi messaggi possono contenere una o più opzioni di informazioni di prefisso, che l'host di ricezione può utilizzare per la derivazione degli indirizzi senza stato.
Analogamente, la configurazione automatica con stato consiste nella configurazione di indirizzi e altre impostazioni in base all'uso di DHCPv6 per ottenere gli indirizzi. Un host utilizza la configurazione automatica con stato quando riceve un messaggio di annuncio router con il contrassegno M impostato su 1.
Infine, un host può utilizzare anche entrambi i tipi di configurazione automatica con stato e senza stato, ovvero una combinazione di indirizzi inclusi nell'annuncio router e ottenuti da un server DHCPv6.

Stati degli indirizzi configurati automaticamente
Quando un indirizzo configurato è nello stato provvisorio, è nella fase in cui ne viene verificata l'univocità tramite il processo di rilevamento degli indirizzi duplicati (DAD). Per informazioni su come eseguire DAD, vedere l'intestazione laterale "RFC 2462 - Processo di configurazione automatica IPv6". Un indirizzo nello stato di validità è stato verificato come univoco e può essere utilizzato per l'invio e la ricezione di traffico unicast. Lo stato di validità include gli stati preferito e obsoleto. Nello stato preferito, l'indirizzo può essere utilizzato per una comunicazione illimitata. Nello stato obsoleto, l'indirizzo non dovrebbe essere utilizzato per una nuova comunicazione; tuttavia, le comunicazioni esistenti che utilizzano l'indirizzo possono continuare.
RFC 2462 - Processo di configurazione automatica IPv6
La procedura seguente descrive il processo di configurazione automatica per un host IPv6, come definito nella RFC 2462:
  • Derivare un indirizzo locale rispetto al collegamento provvisorio con un ID di interfaccia EUI-64.
  • Eseguire DAD nell'indirizzo locale rispetto al collegamento provvisorio inviando un messaggio di richiesta router adiacenti con l'indirizzo di destinazione nel messaggio impostato sull'indirizzo locale rispetto al collegamento provvisorio.
  • Se in risposta al messaggio di richiesta router adiacenti viene ricevuto un messaggio di annuncio router adiacenti, l'indirizzo locale rispetto al collegamento provvisorio è un indirizzo duplicato. Interrompere la configurazione automatica degli indirizzi. A questo punto, è necessario eseguire la configurazione manuale sull'host.
  • Se in risposta al messaggio di richiesta router adiacenti non viene ricevuto alcun messaggio di annuncio router adiacenti, l'indirizzo locale rispetto al collegamento provvisorio è un indirizzo univoco. Impostare lo stato preferito per l'indirizzo nell'interfaccia.
  • Inviare un messaggio di richiesta router.
  • Se non viene ricevuto alcun messaggio di annuncio router, utilizzare DHCPv6 per ottenere indirizzi e altre impostazioni di configurazione.
  • Se viene ricevuto un messaggio di annuncio router, configurare gli indirizzi provvisori per i prefissi inclusi ed eseguire il rilevamento degli indirizzi duplicati per ogni indirizzo provvisorio. Se gli indirizzi sono univoci, impostare lo stato preferito per l'indirizzo nell'interfaccia.
  • Se nel messaggio di annuncio router il contrassegno M è impostato su 1, utilizzare DHCPv6 per ottenere indirizzi con stato aggiuntivi.
  • Se nel messaggio di annuncio router il contrassegno M è impostato su 0 e il contrassegno O è impostato su 1, utilizzare DHCPv6 per ottenere parametri di configurazione aggiuntivi.

Un router di annunci o un server DHCPv6 specifica la durata di validità e la durata preferita per un prefisso di indirizzo. Un indirizzo entra nello stato obsoleto dopo il superamento della durata preferita specificata. La durata preferita di un indirizzo configurato automaticamente viene aggiornata tramite la ricezione degli annunci router o il rinnovo della configurazione degli indirizzi DHCPv6. La figura 1 mostra gli stati di un indirizzo configurato automaticamente e la loro relazione con la durata preferita e con quella di validità.
Figura 1 Stati di un indirizzo configurato automaticamente
Figura 1 Stati di un indirizzo configurato automaticamente (Fare clic sull'immagine per ingrandirla)
Ad eccezione di ciò che avviene per la configurazione automatica degli indirizzi locali rispetto al collegamento, la configurazione automatica degli indirizzi viene specificata solo per gli host IPv6. I router IPv6 devono ottenere l'indirizzo e i parametri di configurazione attraverso altri mezzi, ad esempio la configurazione manuale.
L'intestazione laterale "RFC 2462 - Processo di configurazione automatica IPv6" descrive in modo dettagliato il processo di configurazione automatica degli indirizzi IPv6 per gli host, secondo quanto definito nella RFC 2462.

Comportamento della configurazione automatica IPv6 per Windows Vista
I computer sui quali viene eseguito Windows Vista® o Windows Server® 2008, precedentemente conosciuto come "Longhorn", generano per impostazione predefinita ID di interfaccia casuali per gli indirizzi IPv6 configurati automaticamente e non temporanei, inclusi gli indirizzi pubblici e locali rispetto al collegamento, anziché ID di interfaccia basati su EUI-64. Un indirizzo IPv6 pubblico è un indirizzo globale registrato nel DNS e, in genere, viene utilizzato dalle applicazioni server per le connessioni in ingresso, ad esempio un server Web. È possibile disabilitare questo comportamento predefinito con il comando:
netsh interface ipv6 set global randomizeidentifiers=disabled
Quando è disabilitato, IPv6 utilizza gli ID di interfaccia basati su EUI-64.
Con un ID di interfaccia derivato casualmente, la probabilità di duplicare l'indirizzo locale rispetto al collegamento è davvero remota. Quindi, i computer sui quali viene eseguito Windows Vista o Windows Server 2008 non attendono il completamento del processo DAD prima di inviare messaggi di richiesta router utilizzando i relativi indirizzi locali rispetto al collegamento derivati. Questo processo è noto come DAD ottimistico; i processi di individuazione dei router e DAD vengono eseguiti in parallelo per ottimizzare i tempi durante l'inizializzazione dell'interfaccia.
I computer sui quali viene eseguito Windows Vista o Windows Server 2008 non tentano la configurazione automatica degli indirizzi con stato tramite DHCPv6 se non viene ricevuto alcun annuncio router.
Windows Vista - Processo di configurazione automatica IPv6
La procedura seguente descrive il processo di configurazione automatica per un host IPv6, sul quale viene eseguito Windows Vista:
  • Derivare un indirizzo locale rispetto al collegamento provvisorio per l'interfaccia LAN con un ID di interfaccia derivato casualmente (impostazione predefinita).
  • Eseguire DAD per l'indirizzo locale rispetto al collegamento provvisorio dell'interfaccia LAN (inviare un messaggio di richiesta router adiacenti con il campo Indirizzo di destinazione impostato sull'indirizzo locale rispetto al collegamento provvisorio).
  • Eseguire l'individuazione dei router nell'interfaccia LAN (inviare un messaggio di richiesta router dall'indirizzo locale rispetto al collegamento provvisorio).
  • Se in risposta al messaggio di richiesta router adiacenti inviato nel passaggio 2 viene ricevuto un messaggio di annuncio router adiacenti, contrassegnare l'indirizzo locale rispetto al collegamento provvisorio come duplicato.
  • Se in risposta al messaggio di richiesta router adiacenti non viene ricevuto alcun messaggio di annuncio router adiacenti, impostare lo stato preferito per l'indirizzo locale rispetto al collegamento nell'interfaccia LAN.
  • Se non viene ricevuto alcun annuncio router, annunci router sono ricevuti, interrompere la configurazione automatica degli indirizzi IPv6 nell'interfaccia LAN. Andare al passaggio 13.
  • Se viene ricevuto un messaggio di annuncio router, creare indirizzi pubblici provvisori corrispondenti ai prefissi di indirizzi locali univoci o globali nel messaggio in base all'ID di interfaccia derivato nel passaggio 1 ed eseguire DAD.
  • Creare indirizzi provvisori corrispondenti ai prefissi di indirizzi locali univoci o globali nell'interfaccia utilizzando nuovi ID di interfaccia derivati casualmente ed eseguire DAD.
  • Per ogni nuovo indirizzo, se in risposta al messaggio di richiesta router adiacenti non viene ricevuto alcun messaggio di annuncio router adiacenti, impostare lo stato preferito per l'indirizzo nell'interfaccia LAN.
  • Se i contrassegni M e O per l'annuncio router sono impostati entrambi su 0, interrompere la configurazione automatica IPv6 nell'interfaccia LAN. Andare al passaggio 13.
  • Se per l'annuncio router il contrassegno M è impostato su 1, utilizzare DHCPv6 per ottenere indirizzi IPv6 con stato e impostazioni di configurazione aggiuntive.
  • Se per l'annuncio router il contrassegno M è impostato su 0 e il contrassegno O è impostato su 1, utilizzare DHCPv6 per ottenere impostazioni di configurazione aggiuntive.
  • Derivare gli indirizzi ISATAP locali rispetto al collegamento in base agli indirizzi IPv4 dell'interfaccia LAN e assegnarli all'interfaccia di tunneling ISATAP.
  • Tentare di risolvere in nome host "ISATAP" in un indirizzo IPv4.
  • Se il nome host "ISATAP" non può essere risolto, interrompere la configurazione IPv6.
  • Se il nome host "ISATAP" viene risolto in un indirizzo IPv4, inviare una richiesta router incapsulata in IPv4 al router ISATAP.
  • Se viene ricevuto un messaggio di annuncio router inviato dal router ISATAP, creare indirizzi ISATAP aggiuntivi corrispondenti ai prefissi di indirizzi locali univoci o globali annunciati e assegnarli all'interfaccia di tunneling ISATAP.

Indirizzi configurati automaticamente per Windows Vista
Come descritto in precedenza, il protocollo IPv6 per Windows Vista e Windows Server 2008 configura automaticamente gli indirizzi locali al collegamento utilizzando ID di interfaccia derivati casualmente per tutte le interfacce LAN.
Se un annuncio router ricevuto contiene un prefisso locale univoco o globale, IPv6 configura indirizzi locali univoci o globali utilizzando lo stesso ID di interfaccia derivato casualmente e li assegna all'interfaccia LAN che ha ricevuto l'annuncio router. Tali indirizzi sono noti come indirizzi pubblici.
Per impostazione predefinita, IPv6 in Windows Vista configura anche indirizzi locali univoci o globali temporanei utilizzando diversi ID di interfaccia derivati casualmente e li assegna all'interfaccia LAN che ha ricevuto l'annuncio router. Gli indirizzi temporanei sono definiti nella RFC 3041 e vengono utilizzati per fornire un livello di anonimato per le comunicazioni avviate da client. In contrasto, IPv6 in Windows Server 2008 non crea indirizzi temporanei per impostazione predefinita. È possibile abilitare gli indirizzi temporanei utilizzando il comando:
netsh interface ipv6 set privacy-enabled
Se nei messaggi di annuncio router il contrassegno M è impostato su 1, IPv6 utilizza DHCPv6 per configurare indirizzi locali univoci o globali aggiuntivi per l'interfaccia LAN.
IPv6 crea anche un'interfaccia di tunneling ISATAP (Intra-site Automatic Tunnel Addressing Protocol) per ogni interfaccia LAN sull'host. La RFC 4214 descrive la tecnologia di transizione a IPv6 ISATAP. Con ISATAP, gli host IPv6 possono comunicare in una Intranet solo IPv4 tramite l'incapsulamento di un pacchetto IPv6 con un'intestazione IPv4. Per ulteriori informazioni su ISATAP, vedere l'argomento relativo alle "tecnologie di transizione IPv6". (In inglese).
Per ogni interfaccia di tunneling ISATAP, IPv6 configura indirizzi ISATAP locali rispetto al collegamento per gli indirizzi IPv4 assegnati alla corrispondente interfaccia LAN. Ad esempio, per l'interfaccia di tunneling ISATAP corrispondente a un'interfaccia LAN assegnata all'indirizzo l'IPv4 192.168.91.211, IPv6 assegna l'indirizzo ISATAP locale rispetto al collegamento di FE80::0:5EFE:192.168.91.211.
Gli host ISATAP eseguono anche l'individuazione dei router ISATAP. Per ricevere un annuncio router da un router ISATAP, IPv6 deve poter risolvere per impostazione predefinita il nome host "ISATAP" in un indirizzo IPv4. Ciò avviene attraverso i metodi di risoluzione dei nomi host basati su Windows come il DNS. Dopo la risoluzione del nome, l'host invia una richiesta router incapsulata nel router ISATAP. Quindi, il router ISATAP invia all'host un annuncio router incapsulato in IPv4. In base al contenuto dell'annuncio router ricevuto, IPv6 configura anche gli indirizzi ISATAP locali univoci o globali nelle interfacce di tunneling ISATAP.
Windows Vista supporta anche le tecnologie di transizione 6to4 e Teredo IPv6. Tuttavia, per semplificare le cose, in questa sede non verrà trattata la configurazione automatica delle interfacce di tunneling 6to4 e Teredo di un host IPv6 basato su Windows Vista.
L'intestazione laterale Windows Vista - Processo di configurazione automatica IPv6 descrive il processo di configurazione automatica degli indirizzi per un host IPv6 basato su Windows Vista con un'unica interfaccia LAN configurata con prefissi di indirizzi locali univoci o globali nelle relative interfacce di tunneling LAN o ISATAP.
Ad esempio, un host sul quale viene eseguito Windows Vista è dotato di un'unica interfaccia LAN. L'host riceve un annuncio router nella relativa interfaccia LAN con entrambi i contrassegni M e O impostati su 0 e contiene i prefissi 2001:DB8:D005:F282::/64 e FD4A:3A9:27A1:F282::/64. Non riceve alcun messaggio di annuncio router da un router ISATAP. La figura 2 mostra un esempio dell'output risultante dal comando
Figure 2 L'output del comando netsh interface ipv6 mostra l'indirizzo
Interface 1: Loopback Pseudo-Interface 1

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite ::1

Interface 8: Local Area Connection

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Temporary Preferred 6d19h37m21s 6d19h37m21s 2001:db8:d005:f282:ed46:5dd4:5439:2e1c
Public  Preferred  infinite infinite 2001:db8:d005:f282:3521:12fa:2c44:87d1
Temporary Preferred 6d19h37m21s 6d19h37m21s fd4a:3a9:27a1:f282:ed46:5dd4:5439:2e1c
Public   Preferred  infinite infinite fd4a:3a9:27a1:f282:3521:12fa:2c44:87d1
Other   Preferred  infinite infinite fe80::3521:12fa:2c44:87d1%8

Interface 17: Local Area Connection* 9

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite fe80::5efe:10.47.181.92%17

netsh interface ipv6 show address
per questo host. Nella figura, l'interfaccia di tunneling ISATAP corrispondente all'interfaccia LAN denominata Connessione alla rete locale (LAN) viene ridenominata Connessione alla rete locale (LAN)* 9.
Oltre agli indirizzi configurati automaticamente, il protocollo IPv6 per Windows Server 2008 e Windows Vista supporta anche la configurazione manuale di indirizzi IPv6 statici utilizzando il seguente comando
netsh interface ipv6 add address
oppure utilizzando il componente TCP/IPv6 (Internet Protocol Version 6) dalle proprietà di una connessione nella cartella O attraverso l'Internet Protocol Versione 6 (TCP/IPv6) il componente dalle proprietà di una connessione nella cartella Connessioni di rete.
L'articolo di questo mese è stato sviluppato presupponendo che i lettori conoscano già le nozioni di base relative all'utilizzo del protocollo e degli indirizzi IPv6. Per ulteriori informazioni su questo argomento, si suggerisce di iniziare con il white paper relativo "all'introduzione a IPv6", disponibile all'indirizzo microsoft.com/technet/ network/ipv6/introipv6.mspx. (In inglese).

Joseph Davies è un autore tecnico di Microsoft. Dal 1992 tiene corsi e scrive su argomenti legati alle reti Microsoft. Ha scritto cinque libri per Microsoft Press ed è autore della rubrica mensile Cable Guy di TechNet.


Windows PowerShell La forza del filtraggio
Don Jones

Nell'articolo del mese scorso, ho illustrato le capacità e la flessibilità della pipeline di Windows PowerShell, che consente di passare un set di dati, o più precisamente un flusso di oggetti, da un cmdlet all'altro, perfezionandolo ulteriormente fino a ottenere il risultato desiderato. Ho inoltre detto che gli script e
non solo i cmdlet, possono sfruttare i vantaggi della pipeline di Windows PowerShell. Questo mese desidero trattare questo argomento più in dettaglio.
Una delle operazioni di cui mi occupo più spesso in Windows PowerShell™ è la creazione di script che agiscono su più computer remoti, solitamente tramite Strumentazione gestione Windows® (WMI). Analogamente a qualunque attività che si occupa dei computer remoti, c'è sempre la possibilità che uno o più computer non siano disponibili quando lo script viene eseguito. Quindi, ho bisogno che gli script siano in grado di affrontare questo problema.
Naturalmente, ci sono molti modi con cui è possibile fare in modo che uno script possa gestire un timeout di connessione WMI, ma questo approccio non mi piace molto poiché il periodo di timeout stesso è lungo, per impostazione predefinita circa 30 secondi. Questo potrebbe rallentare ulteriormente l'esecuzione dello script se deve attendere il verificarsi di più timeout. Invece, voglio che il mio script esegua un rapido controllo per vedere se un determinato computer è attualmente in linea prima di tentare di stabilire la connessione a esso.

Il paradigma di Windows PowerShell
Con altri linguaggi di script, ad esempio VBScript, mi occuperei di un computer alla volta. Ovvero, recupererei un nome di computer, forse da un elenco di nomi memorizzato in un file di testo ed eseguirei il ping del sistema per verificarne la disponibilità. Se disponibile, stabilirei la connessione WMI ed effettuerei tutte le altre operazioni necessarie. Questo è un normale approccio di script. Infatti, probabilmente inserirei tutto il codice in un ciclo che ripeterei per ogni computer con cui devo stabilire la connessione.
Windows PowerShell, tuttavia, è più adatto a operazioni batch grazie ai suoi oggetti di base e alla sua capacità di lavorare direttamente con gruppi o raccolte di oggetti. Il paradigma in Windows PowerShell non è lavorare con singoli oggetti o parti di dati, ma piuttosto lavorare con interi gruppi, perfezionando il gruppo bit per bit fino a ottenere il risultato desiderato. Ad esempio, anziché recuperare un nome di computer alla volta dal mio elenco, leggerei l'intera raccolta di nomi tutta insieme. E, anziché eseguire il ping di ciascun computer in un ciclo, creerei una singola routine in grado di accettare una raccolta di nomi, ne eseguirei il ping ed estrarrei i nomi che possono essere contattati. La fase successiva del mio processo sarebbe quindi stabilire la connessione WMI ai restanti nomi, quelli che possono essere raggiunti tramite il ping.
Windows PowerShell utilizza questo approccio per numerose attività. Ad esempio, per ottenere un elenco dei servizi in esecuzione, è possibile utilizzare qualcosa del genere:
Get-Service | Where-Object { $_.Status –eq "Running" }
La figura 1 mostra l'aspetto dell'output sul computer. Anziché controllare ciascun servizio uno alla volta, ho recuperato tutti i servizi tramite Get-Service, li ho reindirizzati come Where-Object e quindi ho escluso quelli che non venivano eseguiti. Questo è più o meno quello che desidero fare con il mio script: ottenere un elenco di nomi di computer, escludere quelli di cui non è possibile eseguire il ping e passare l'elenco dei computer di cui è possibile eseguire il ping alla fase successiva.
Figura 1 Come ottenere un elenco di computer di cui eseguire il ping
Figura 1 Come ottenere un elenco di computer di cui eseguire il ping (Fare clic sull'immagine per ingrandirla)

Funzioni di filtraggio
Sebbene potrei creare un apposito cmdlet per questo, non lo farò. La creazione del cmdlet richiede Visual Basic® o C# e una buona dose di competenza con Microsoft® .NET Framework. Cosa più importante, richiede più impegno di quanto desidero concedere per questa attività. Fortunatamente, Windows PowerShell consente di creare un tipo speciale di funzione, denominata filtro, che è assolutamente in grado di funzionare nella pipeline. Il profilo di base di una funzione di filtro è simile alla seguente:
function <name> {
  BEGIN {
    #<code>
  }
  PROCESS {
    #<code>
  }
  END {
    #<code>
  }
}
Come è possibile notare, questa funzione contiene tre blocchi di script indipendenti, denominati BEGIN, PROCESS ed END. Una funzione di filtraggio, ovvero una funzione specifica per la pipeline che consente di filtrare gli oggetti, può avere qualsiasi combinazione di questi tre blocchi di script, in base a quello che si desidera effettuare. Questi blocchi di script funzionano nel modo seguente:
  • Il blocco BEGIN viene eseguito quando la funzione viene richiamata per la prima volta. Se necessario, è possibile utilizzare questo blocco per eseguire operazioni di configurazione.
  • Il blocco PROCESS viene eseguito una volta per ogni oggetto pipeline passato alla funzione. La variabile $_ rappresenta l'oggetto di input della pipeline corrente. Il blocco PROCESS è necessario in una funzione di filtraggio.
  • Il blocco END viene eseguito dopo che tutti gli oggetti pipeline sono stati elaborati. Questo può essere utilizzato per qualunque lavoro di finalizzazione, se necessario.
Nel mio esempio, desidero creare una funzione di filtraggio che accetti una raccolta di nomi come oggetti di input e che quindi tenti di eseguire il ping su ciascuno di essi. Ogni oggetto di cui è possibile eseguire il ping, verrà emesso nella pipeline; i sistemi sui quali non è possibile eseguire il ping verranno semplicemente abbandonati. Poiché la funzionalità ping non richiede alcuna configurazione o finalizzazione speciale, utilizzerò semplicemente il blocco PROCESS. Il codice riportato nella figura 2 fornisce lo script completo.
Figure 2 Ping-Address e Restart-Computer
1  function Ping-Address {
2    PROCESS {
3      $ping = $false
4      $results = Get-WmiObject -query `
5      "SELECT * FROM Win32_PingStatus WHERE Address = '$_'"
6      foreach ($result in $results) {
7        if ($results.StatusCode -eq 0) {
8          $ping = $true
9        }
10      }
11      if ($ping -eq $true) {
12        Write-Output $_
13      }
14    }
15  }
16
17  function Restart-Computer {
18    PROCESS {
19      $computer = Get-WmiObject Win32_OperatingSystem -computer $_
20      $computer.Reboot()
21    }
22  }
23
24  Get-Content c:\computers.txt | Ping-Address | Restart-Computer
Tenere presente che ho definito due funzioni: Ping-Address e Restart-Computer. In Windows PowerShell, le funzioni devono essere definite prima che possano essere richiamate. Di conseguenza, la prima riga eseguibile del mio script è la riga 24, che utilizza il cmdlet Get-Content per ottenere un elenco di nomi di computer da un file (un nome di computer per riga). Questo elenco, tecnicamente una raccolta di oggetti String, viene trasmesso alla funzione Ping-Address, che scarta ogni computer di cui non è possibile eseguire il ping. I risultati vengono inviati alla funzione Restart-Computer, che utilizza WMI per riavviare in remoto ogni computer di cui è possibile eseguire il ping.
La funzione Ping-Address implementa un blocco di script PROCESS, questo significa che la funzione si aspetta una raccolta di input di oggetti. Il blocco di script PROCESS si occupa automaticamente di tale input; non è necessario pertanto definire nessun argomento per contenere l'input. Inizio il processo alla riga 3 impostando la variabile $ping su $false, una variabile incorporata di Windows PowerShell che rappresenta il valore booleano False.
Quindi, utilizzo la classe WMI Win32_PingStatus per eseguire il ping del computer specificato. Notare che alla riga 5 la variabile $_ che rappresenta l'oggetto pipeline, è incorporata nella stringa di query WMI. Quando una stringa è racchiusa tra virgolette doppie, Windows PowerShell tenterà sempre di sostituire le variabili quale $_ con il relativo contenuto, in modo da non dover perdere tempo con la concatenazione di tipo stringa. Utilizzo questa funzionalità alla riga 5.
La riga 6 è un ciclo che verifica i risultati del ping. Per i risultati con esito positivo (cioè con un valore di StatusCode pari a zero), imposto $ping con lo stesso valore di $true. Alla riga 11, verifico che $ping sia stato impostato con il valore di $true. In tal caso, imposto l'oggetto di input originale sul flusso di output predefinito. Windows PowerShell gestisce automaticamente il flusso di output predefinito. Se questa funzione si trova alla fine della pipeline, il flusso di output viene convertito in una rappresentazione di testo. Se nella pipeline sono presenti più comandi, gli oggetti del flusso di output, in questo caso gli oggetti stringa che contengono i nomi dei computer, vengono passati al comando della pipeline successivo.
La funzione Restart-Computer è un po' più semplice, ma utilizza anche un blocco PROCESS per partecipare facilmente alla pipeline. Alla riga 19, la funzione stabilisce la connessione al computer e recupera la relativa classe WMI Win32_OperatingSystem. La riga 20 esegue il metodo Reboot per il riavvio del computer remoto.
La 24 è la riga dove vengono eseguiti tutti i processi. Ovviamente bisogna prestare molta attenzione quando si esegue questo script, poiché riavvia tutti i computer presenti in C:\computers.txt, cosa che potrebbe avere effetti disastrosi se i nomi presenti nel file non sono corretti.

Passaggi successivi
Questo script non è del tutto invulnerabile. Dovrei considerare la possibilità di un errore WMI non correlato alla connettività di base, ad esempio un blocco firewall sul computer remoto o un errore di protezione WMI. Posso gestire questi problemi implementando un gestore di trap, che tra l'altro sembra essere l'argomento giusto per un articolo futuro.
Inoltre, questo script esegue un'azione piuttosto importante, il riavvio di un computer remoto. Qualunque script che tenti tale azione potenzialmente pericolosa, dovrebbe implementare due parametri di Windows PowerShell comuni, –Confirm e –WhatIf. Questo argomento richiederebbe più spazio di quello ora disponibile, ma anche questo è un ottimo argomento per un altro articolo. Nel frattempo, è possibile contattare il blog del team di Windows PowerShell; l'architetto Jeffrey Snover si occupa di questo argomento.
Anche senza entrare nello specifico di queste funzionalità, è possibile farsi un'idea del loro funzionamento. Perfezionerò questa tecnica negli articoli successivi, mostrando in che modo queste funzioni possono modulare il codice riutilizzabile e migliorare la funzionalità degli script in generale.

Don Jones è il guru degli script di SAPIEN Technologies e coautore di Windows PowerShell: TFM (SAPIEN Press, 2007). È possibile contattare Don all'indirizzo www.ScriptingAnswers.com.


Hey, Scripting Guy! Chi sei?
Gli Scripting Guy di Microsoft

Scarica il codice per questo articolo: HeyScriptingGuy2007-082007_08.exe (152KB)

Non troppo tempo fa, lo Scripting Guy che ha scritto questo articolo stava guardando una partita di baseball alla TV. Alla fine della partita, ha deciso di leggere una rivista ma ha lasciato la TV accesa. Dopo aver letto la rivista, ha dato uno sguardo alla televisione e si è accorto che stavano trasmettendo un vecchio film ambientato durante la seconda guerra mondiale. ha alzato gli occhi proprio durante una delle scene più tipiche dei film di guerra: un giovane soldato americano è di sentinella notturna quando sente un rumore.
"Chi sei?" urla la sentinella.
"Sono io, il sergente Smith," risponde una voce.
"Sergente Smith? Non c'è nessun sergente Smith in questa unità."
"Sono nuovo; sono stato appena trasferito dalla compagnia A."
"Oh, davvero? Dalla compagnia A? Ok, Smith: chi ha vinto nel 1934 la World Series?"
"I New York Yankees."
Risposta sbagliata, "Smith"! (Quindi, come ci si può aspettare, è stato subito arrestato e portato in prigione). Ogni vero americano sa infatti che i St. Louis Cardinals, Dizzy Dean e la Gas House Gang, hanno conquistato la World Series nel 1934. Chi non è a conoscenza di questo può essere solo una cosa: una spia.
Se tra coloro che leggono l'articolo di questo mese c'è qualcuno che non sa che i St. Louis Cardinals hanno vinto la World Series nel 1934, possiamo dire solo una cosa: la festa è finita; sappiamo che sei una spia. In questo caso speriamo che tu abbia la decenza di costituirti presso l'ufficio dell'FBI più vicino. O per lo meno fai loro una chiamata, in casi del genere l'FBI procederà al tuo arresto.
Lo Scripting Guy che ha scritto questo articolo, si è reso conto che probabilmente avrebbe saputo rispondere alla seconda domanda della sentinella: Chi ha vinto la World Series nel 1966? I Baltimore Orioles La World Series del 1960? I Pittsburgh Pirates. La World Series del 1994? Attenzione! Una domanda trabocchetto: nel 1994 la World Series non è stata disputata.
Attualmente tuttavia avrebbe avuto parecchie difficoltà a rispondere alla prima domanda: chi sei? Oggi non è una domanda facile a cui rispondere, contrariamente agli anni 40. Dopo tutto, con Active Directory® gli utenti possono avere tutte le identità che desiderano, tra cui:
  • Il nome di battesimo (givenName).
  • Il cognome (sn).
  • Il nome di visualizzazione (displayName).
  • Il nome dell'entità utente (userPrincipalName).
  • Il nome di accesso (samAccountName).
  • Il nome distinto (distinguishedName).
Tutti questi nomi identificano la stessa persona e sono tutti nomi che, in base alle circostanze, è importante conoscere. E questo rappresenta un problema. La maggior parte degli utenti conosce il proprio nome e il proprio cognome. Ma alla domanda: "qual è il tuo nome distinto?" soltanto alcuni utenti sono in grado di rispondere, "è semplice! Sono CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com. Ma gli amici mi chiamano CN=Ken.Myer."
Come amministratore di sistema o persona addetta all'help desk, è necessario conoscere tali nomi. Ma in che modo è possibile ottenere tali informazioni? Un metodo potrebbe essere quello di appendere gli utenti a testa in giù e costringerli a confessare il nome distinto. Questo metodo potrebbe funzionare, ma attualmente nella maggior parte degli uffici del personale questa pratica non è ammessa. Pertanto, potrebbe essere necessario ricorrere al piano B: uno script. Che il tipo di script? Bene, per cominciare, cosa ne pensate dello script riportato nella figura 1?
Figure 1 Recupero degli attributi dell'utente con ADSystemInfo
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName

Set objUser = GetObject("LDAP://" & strUser)
WScript.Echo "First Name: " & objUser.givenName
WScript.Echo "Last Name: " & objUser.sn
WScript.Echo "Display Name: " & objUser.displayName
WScript.Echo "User Principal Name: " & objUser.userPrincipalName
WScript.Echo "SAM Account Name: " & objUser.sAMAccountName
WScript.Echo "Distinguished Name: " & objUser.distinguishedName
Se soltanto il sergente Smith avesse studiato lo script VBScript, eh? Questo script sfrutta un oggetto ADSI poco noto ma estremamente utile denominato ADSystemInfo. Si tratta di un piccolo e utile oggetto che può fornire una serie di informazioni sull'utente collegato al computer locale, sul computer locale stesso e sul dominio a cui appartiene. Ad esempio, vedere la figura 2.
Figure 2 Visualizzazione di tutte le informazioni sul dominio
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

Wscript.Echo "User name: " & objSysInfo.UserName
Wscript.Echo "Computer name: " & objSysInfo.ComputerName
Wscript.Echo "Site name: " & objSysInfo.SiteName
Wscript.Echo "Domain short name: " & objSysInfo.DomainShortName
Wscript.Echo "Domain DNS name: " & objSysInfo.DomainDNSName
Wscript.Echo "Forest DNS name: " & objSysInfo.ForestDNSName
Wscript.Echo "PDC role owner: " & objSysInfo.PDCRoleOwner
Wscript.Echo "Schema role owner: " & objSysInfo.SchemaRoleOwner
Wscript.Echo "Domain is in native mode: " & objSysInfo.IsNativeMode
Attualmente, tuttavia, l'unica proprietà di cui ci preoccupiamo è la proprietà UserName. Cosa c'è di così speciale nella proprietà UserName? Bene, si da il caso che corrisponda alla proprietà distinguishedName. E che cosa c'è di così speciale nel distinguishedName? Bene, il distinguishedName è simile al percorso di un file UNC: Proprio come un percorso UNC permette di identificare in modo univoco un file presente nella rete, il distinguishedName (ad esempio, il CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com) consente di identificare un account utente in Active Directory. A sua volta, consente di eseguire l'associazione all'account utente. Una volta stabilito tale collegamento, è possibile ottenere qualsiasi informazione sull'utente, tra cui la sua identità.
E questo è esattamente quello che viene eseguito dal primo script mostrato. Per iniziare, è necessario creare un'istanza dell'oggetto ADSystemInfo e quindi assegnare il valore della proprietà UserName a una variabile denominata strUser:
Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName
In questo caso non c'è molto altro da fare. Ad esempio, non è necessario specificare il nome utente, il dominio dell'utente o la UO in cui risiede l'account; ADSystemInfo fa tutto questo per noi. Una volta che il distinguishedName dell'utente è disponibile, è possibile associarlo al relativo account utilizzando questa riga di codice:
Set objUser = GetObject("LDAP://" & strUser)
Quindi, dopo aver effettuato il collegamento, è possibile recuperare i valori degli attributi di Active Directory dell'account. Nello script di esempio, sono state recuperate alcune delle proprietà del nome utente ma è possibile recuperare allo stesso modo anche il numero di telefono, l'indirizzo dell'ufficio, l'indirizzo di posta elettronica e così via.
Fantastico. È necessario semplicemente distribuire lo script a tutti gli utenti in modo che non dovranno mai più chiedersi, "Chi sono io?". (Oppure, in questo modo possono ottenere in modo facile e veloce una risposta a tale domanda). Cosa pensate di questa domanda: chi sei? Una cosa è poter identificare l'utente collegato al computer locale. Ma come è possibile identificare l'utente collegato a un computer remoto? Come è facile immaginare, si tratta di un'attività particolarmente difficile.
Sfortunatamente non basta semplicemente associare lo script ADSystemInfo a un computer remoto. Questo perché l'oggetto ADSystemInfo può essere creato solo in locale. Questo lascia aperte tre possibilità:
  • Creare uno script di accesso che registra il nome dell'utente collegato in una posizione facilmente accessibile.
  • Utilizzare la classe WMI Win32_ComputerSystem e la proprietà UserName.
  • Effettuare altre operazioni.
La prima possibilità è allettante. L'oggetto ADSystemInfo può restituire il nome distinto del computer (la proprietà ComputerName) e il nome distinto dell'utente. Vedere lo script di esempio mostrato nella figura 3.
Figure 3 Script di accesso
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

strUser = objSysInfo.UserName
strComputer = objSysInfo.ComputerName

Set objUser = GetObject("LDAP://" & _
    strUser)
strUserName = objUser.displayName

Set objComputer = GetObject("LDAP://" & _
    strComputer)
objComputer.Description = strUserName
objComputer.SetInfo
Cosa stiamo facendo? In questa fase viene eseguito il recupero dei valori delle proprietà UserName e ComputerName, valori che andranno inseriti in due variabili (strUser e strComputer). Quindi, è necessario associare l'account utente in Active Directory (come fatto in precedenza), recuperare il valore dell'attributo displayName (come fatto in precedenza) e inserire tale valore in una variabile strUserName. Facile vero?
A questo punto è possibile utilizzare questa riga di codice per stabilire il collegamento all'account del computer Active Directory:
Set objComputer = GetObject("LDAP://" & _
    strComputer)
Dopo aver stabilito questo collegamento, è necessario assegnare il displayName dell'utente alla proprietà Description del computer e richiamare il metodo SetInfo per inserire tale modifica in Active Directory:
objComputer.Description = strUserName
objComputer.SetInfo
Perché eseguire questa operazione? La risposta è semplice. Ad esempio, se Ken Myer accede al computer atl-ws-01. Quale sarà il valore della proprietà Description del computer atl-ws-01? Esatto: Ken Myer, ovvero la persona attualmente collegata al computer. E chi è collegato al computer atl-ws-01? Basta controllare la proprietà Description.
Ora, in linea generale, questo scenario funziona bene e funziona bene anche con uno script di disconnessione che cancella i valori della proprietà Description ogni volta che l'utente chiude la connessione. Tuttavia, questa non è una soluzione infallibile. Perché no? Gli script di accesso non vengono sempre eseguiti. Ad esempio, solitamente non vengono eseguiti quando gli utenti eseguono l'accesso utilizzando RAS. Allo stesso modo, uno script di accesso non viene eseguito se l'utente chiude la propria connessione di rete, accede utilizzando credenziali memorizzate nella cache e quindi ristabilisce la connessione alla rete utilizzando tale computer. Oppure, cosa accade se un utente spegne il computer senza eseguire la disconnessione? Lo script di disconnessione non viene eseguito. In questo caso Ken Myer risulta collegato al computer atl-ws-01 anche se tale computer non è più in esecuzione. In altre parole, questa è una tecnica utile, ma...
E per quanto riguarda l'opzione 2 con la classe Win32_ComputerSystem? Spesso questo metodo funziona, ma il problema con la classe Win32_ComputerSystem è rappresentato dal fatto che talvolta non restituisce il nome dell'utente collegato, specialmente nel caso di utenti senza diritti di amministratore (e in particolar modo per i computer che eseguono Windows® 2000). Lo script riportato nella figura 4 probabilmente indicherà l'utente collegato al computer, ma questo non è sicuro al cento per cento.
Figure 4 Individuazione dell'utente collegato con WMI
strComputer = "."

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * From Win32_ComputerSystem")

For Each objItem in colItems
  Wscript.Echo objItem.UserName
Next
Fra l'altro, la proprietà UserName viene restituita nel formato dominio\nomeutente. In altre parole: FABRIKAM\kenmyer.
Una precisazione: Anche se non viene restituito un nome, questo non significa che sia presente un utente collegato al computer. Quando Ken Myer si disconnette dal computer atl-ws-01, il suo nome viene trattenuto come il valore della proprietà UserName, questo valore viene sostituito quando un altro utente esegue l'accesso al computer.
Beh!
Ma attenzione, questo non ci rende delle spie. Di seguito è riportato un altro metodo che è possibile utilizzare. Se qualcuno esegue l'accesso a un computer, viene eseguito il processo Explorer.exe. In generale, se il processo Explorer.exe non viene eseguito, significa che nessuno ha effettuato l'accesso al computer. Poiché il processo Explorer.exe viene eseguito in base alle credenziali dell'utente collegato, è quasi sempre possibile determinare l'utente collegato utilizzando uno script simile a quello riportato nella figura 5.
Figure 5 Determinazione del proprietario di Explorer.exe
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser, strDomain
    Wscript.Echo strDomain & "\" & strUser
  Next
End If
Come è possibile notare, in questo caso si stabilisce il collegamento al servizio WMI su un computer remoto (atl-ws-01, per la precisione). Quindi, si utilizza questa riga di codice per ottenere una raccolta di tutte le istanze della classe Win32_Process con il nome Explorer.exe:
Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where " & _
  "Name = 'explorer.exe'")
E adesso? Come detto, se il processo Explorer.exe non viene eseguito, ci sono buone probabilità che nessuno abbia eseguito l'accesso al computer. Come è possibile sapere se il processo Explorer.exe viene eseguito? Un modo molto semplice è controllare il valore della proprietà Count della raccolta. Se il valore della proprietà Count è uguale a 0, la raccolta è vuota e l'unico caso in cui può essere presente una raccolta vuota si verifica quando non vi sono istanze di Explorer.exe in esecuzione su atl-ws-01. In tal caso, viene visualizzato un messaggio che specifica che nessun utente è collegato al computer:
Wscript.Echo "No one is logged on " & _
"to the computer."
Se il valore della proprietà Count non è uguale a 0, viene impostato un ciclo per la raccolta dei processi con il nome Explorer.exe (supponendo che la raccolta conterrà invariabilmente un solo elemento). Per ogni istanza di Explorer.exe dovrà essere richiamato il metodo GetOwner per determinare in base a quale account viene eseguito il processo Explorer.exe:
objProcess.GetOwner strUser, strDomain
Tenere presente che è necessario passare al metodo GetOwner un paio di parametri out: StrUser e strDomain. I parametri out sono delle semplici variabili assegnate a un metodo; il metodo assegnerà quindi i valori a tali parametri. In questo caso, al parametro strUser verrà assegnato il nome di accesso dell'utente collegato (kenmyer) e al parametro strDomain verrà assegnato il nome di dominio dell'utente collegato (FABRIKAM). Tutto quello che bisogna fare è restituire i valori di questi due parametri out:
Wscript.Echo strDomain & "\" & strUser
Sapete? Questo è abbastanza positivo. Ma è possibile fare un passo in avanti. Quando si utilizza il metodo GetOwner, viene restituito il nome di accesso (samAccountName) dell'utente collegato al computer. Questa è una cosa positiva ma, come detto in precedenza, gli utenti hanno infatti ogni genere di nome oltre al proprio samAccountName. Per rispondere del tutto alla domanda "Chi sei?" sarebbe utile conoscere il displayName dell'utente. Ma non è possibile determinare tale nome utilizzando il metodo GetOwne, vero?
No, non è possibile. Tuttavia, è possibile acquisire il valore di samAccountName, inserirlo in uno script di ricerca di Active Directory e individuare e associare l'account utente al nome di accesso (attività facilitata dal fatto che samAccountNames deve essere univoco in un dominio). Quindi, dopo aver eseguito l'associazione all'account utente è possibile recuperare i valori di qualsiasi proprietà di Active Directory, compreso il displayName.
Non c'è tempo per spiegare in dettaglio lo script riportato nella figura 6; per ulteriori informazioni sulla ricerca in Active Directory, vedere l'argomento relativo alla "tecnologia RFID". (In inglese). Basta dire che questo script determina il nome di accesso dell'utente collegato, ricerca in Active Directory l'utente con quel nome di accesso (samAccountName), esegue l'associazione all'account utente in questione e restituisce il displayName dell'utente. E tutto con una mano legata dietro la schiena!
Figure 6 Associazione all'utente collegato
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser,strDomain
  Next
End If

Const ADS_SCOPE_SUBTREE = 2

Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("ADODB.Command")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"
Set objCommand.ActiveConnection = objConnection

objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE

objCommand.CommandText = "SELECT displayName FROM " & _
  "'LDAP://DC=wingroup,DC=fabrikam,DC=com' WHERE " & _
    "objectCategory='user' " & _
    "AND samAccountName = '" & strUser & "'"
Set objRecordSet = objCommand.Execute

objRecordSet.MoveFirst

Do Until objRecordSet.EOF
  Wscript.Echo objRecordSet.Fields("displayName").Value
  objRecordSet.MoveNext
Loop
Dunque, cosa abbiamo imparato oggi? (Oppure, quali sono i nostri "takeaway" di oggi? Come direbbero in Microsoft. Per far impazzire lo Scripting Guy, è sufficiente rivolgersi a lui dicendo cose del tipo, "abbiamo bisogno di classificare i takeaway principali, gli elementi d'azione e i non obiettivi delle parti coinvolte"). In primo luogo, le nostre conoscenze sono ora sufficienti per ottenere informazioni sull'utente collegato a un computer, sia remoto che locale. Ma, cosa più importante, ora sappiamo cosa fare nel caso in cui dovessimo ritrovarci, a causa di un salto spaziotemporale, all'epoca della seconda guerra mondiale: bisogna avere a disposizione una copia di questo articolo (per poter rispondere alla domanda "Chi sei?") e, in ogni caso, bisogna sempre avere a disposizione i nomi dei vincitori delle varie edizioni della World Series. Dopotutto, in qualsiasi momento potrebbero chiedervi "Chi ha vinto la World Series nel 1903?"
Nota: i Boston Red Sox. Si tratta della prima edizione della World Series. Chi ha vinto la World Series del 1904? Che significa non lo so? Ci scusi un attimo, dobbiamo fare una telefonata.

Gli Scripting Guy di Microsoftlavorano o, per meglio dire, sono stipendiati da Microsoft. Quando non si dedicano al baseball (o ad altre attività) come giocatori, allenatori o semplici spettatori, gestiscono il TechNet Script Center. Consultare la pagina www.scriptingguys.com.


Controllo della protezione Miglioramenti di PKI in Windows
John Morello

Questo articolo si basa su una versione provvisoria di Windows Server 2008. Tutte le informazioni riportate sono soggette a modifica.

Windows ha incluso un efficace supporto a livello di piattaforma per l'infrastruttura a chiave pubblica (PKI) già dal rilascio di Windows 2000. Quella versione conteneva la prima funzionalità nativa per l'autorità di certificazione, ha introdotto la registrazione automatica e forniva il supporto per l'autenticazione delle smart card. In Windows XP e in Windows Server 2003 queste
funzionalità sono state migliorate per offrire opzioni di registrazione più flessibili tramite la versione 2 dei modelli di certificato e il supporto per la registrazione automatica dei certificati degli utenti. Nei sistemi Windows Vista® e in Windows Server® 2008 (precedentemente noto come "Longhorn"), la piattaforma Windows® PKI ha fatto un ulteriore passo in avanti grazie al supporto per algoritmi avanzati, al controllo della validità in tempo reale e a una maggiore facilità di gestione. Questo articolo illustra le nuove funzionalità di PKI in Windows Vista e in Windows Server 2008 e spiega come possono essere utilizzate dalle aziende per ridurre i costi e migliorare la protezione.
I miglioramenti della piattaforma PKI in Windows Vista e in Windows Server 2008 vertono su quattro punti chiave: crittografia, registrazione, facilità di gestione e revoca. Oltre a questi miglioramenti specifici delle funzionalità, la piattaforma Windows PKI trae inoltre vantaggio anche da altri progressi fatti dal sistema operativo, ad esempio la funzione Gestione ruoli, che facilita la creazione e la distribuzione di nuove autorità di certificazione (CA). Inoltre, molte altre parti di Windows possono ora trarre vantaggio dai miglioramenti apportati alla piattaforma PKI, ad esempio il supporto in Windows Vista per l'utilizzo delle smart card per la memorizzazione delle chiavi Encrypting File System (EFS).

Crittografia
I miglioramenti apportati alla crittografia sono duplici. Primo, con l'introduzione dell'interfaccia Cryptography Next Generation (CNG), Windows dispone ora di una funzionalità di crittografia protocol-agnostic modulare che facilita lo sviluppo e l'accesso programmatico di singoli algoritmi. Secondo, l'interfaccia CNG offre un nuovo supporto per gli algoritmi Suite B introdotti dalla National Security Agency (NSA) nel 2005.
CNG è una nuova interfaccia di crittografia per Microsoft e rappresenta l'API consigliata per le future applicazioni di crittografia basate su Windows. L'interfaccia CNG dispone di una serie di nuove funzionalità destinate agli sviluppatori, offre tra l'altro una maggiore facilità di rilevamento e di sostituzione degli algoritmi, generatori di numeri casuali sostituibili e un'API di crittografia in modalità kernel. L'interfaccia CNG è inoltre completamente compatibile con gli algoritmi del suo predecessore, CryptoAPI 1.0. Attualmente, l'interfaccia CNG è in fase di valutazione per la certificazione Federal Information Processing Standards (FIPS) 140-2 livello 2 e per la certificazione Common Criteria (CC) sulle piattaforme scelte.
Il supporto per l'interfaccia CNG Suite B include tutti gli algoritmi necessari: AES (tutte le dimensioni delle chiavi), la famiglia SHA-2 (SHA-256, SHA-384 e SHA-512) degli algoritmi di hash, Elliptic Curve Diffie-Hellman (ECDH) e Elliptic Curve Digital Signature Algorithm (ECDSA) per le curve principali P-256, P-384 e P-521 standard di National Institute of Standards and Technology (NIST). NSA ha dichiarato che le implementazioni certificate della Suite B verranno utilizzate per proteggere le informazioni classificate come Top Secret, Secret e riservate, che in passato venivano descritte come Sensitive-But-Unclassified. Tutti gli algoritmi Suite B sono stati sviluppati apertamente e anche altri paesi stanno pensando di adottarli come standard nazionali.
Questi miglioramenti limitati alla piattaforma PKI offrono agli sviluppatori metodi più sicuri per la protezione dei dati e allo stesso tempo consentono loro di creare un sottosistema facile da gestire e da modificare nel tempo. Poiché l'interfaccia CNG è un'architettura modulare, se necessario è possibile aggiungere nuovi algoritmi che l'interfaccia CNG estrae dal livello di applicazione. Pertanto, Windows Vista e Windows Server 2008 sono progettati per fornire una piattaforma avanzata e in grado di evolversi per sviluppare i servizi e le applicazioni abilitati alla piattaforma PKI.

Registrazione
La registrazione dei certificati in Windows è stata notevolmente migliorata grazie a un nuovo strumento di registrazione basato su procedure guidate, a una migliore gestione della scadenza dei certificati, a una nuova API, alla funzionalità di "registrazione per conto di" e alle credenziali comuni. Queste nuove funzionalità consentono di ridurre i costi totali di proprietà di una piattaforma PKI, rendendo più semplice la distribuzione dei certificati nell'azienda in modo centralizzato e con un impatto minimo per l'utente.
La modifica più evidente per quanto riguarda la registrazione è la nuova interfaccia utente di registrazione dei certificati, mostrata nelle figura 1 e 2. Questa interfaccia utente sostituisce la precedente che non accettava i dati dagli utenti durante il processo di registrazione. La nuova interfaccia consente agli utenti di immettere dati durante la registrazione (se l'amministratore configura il modello di certificato a tale scopo). L'interfaccia spiega inoltre chiaramente il perché un utente potrebbe non essere in grado di eseguire la registrazione per uno specifico modello.
Figura 1 Selezione dei certificati disponibili
Figura 1 Selezione dei certificati disponibili (Fare clic sull'immagine per ingrandirla)
Figura 2 Stato dei certificati non disponibili
Figura 2 Stato dei certificati non disponibili (Fare clic sull'immagine per ingrandirla)
Un altro miglioramento fondamentale apportato all'interfaccia di registrazione riguarda la gestione dei certificati in scadenza. La nuova interfaccia fornisce all'utente finale informazioni chiare su quali sono i certificati in scadenza e consente loro di rinnovarli facilmente o di eliminare gli avvisi mostrati dall'interfaccia. Sebbene gli amministratori possano aggiornare automaticamente i certificati tramite la funzione di registrazione automatica, la funzionalità relativa agli avvisi è importante per gli utenti mobili o non connessi che probabilmente accedono raramente alla rete aziendale e che pertanto potrebbero avere i certificati prossimi alla scadenza.
Per gli sviluppatori che si occupano della registrazione dei certificati, è disponibile una nuova API con importanti miglioramenti rispetto ai precedenti controlli basati su ActiveX® (xenroll.dll e scrdernl.dll). La nuova API di registrazione dei certificati fornisce una gerarchia di classe ben definita molto più semplice da capire e da codificare. Questa nuova API sostituisce xenroll in Windows Vista e in Windows Server 2008.
Questa modifica apportata all'API ha un impatto sia sugli sviluppatori che sui professionisti IT poiché in Windows Vista non è possibile utilizzare le funzionalità di registrazione basate sul Web disponibili in Windows Server 2003. Questo perché le pagine di registrazione (memorizzate per impostazione predefinita nella directory virtuale /certsrv) utilizzano il controllo xenroll non più disponibile in Windows Vista. L'articolo della Knowledge Base relativo a "come utilizzare le pagine di registrazione Web dei servizi certificati con Windows Vista" (in inglese), (support.microsoft.com/kb/922706) fornisce delle soluzioni alternative a questo problema. La registrazione automatica da Windows Server 2003 a Windows Vista non è interessata da questo problema.
Nelle versioni precedenti di Windows Server, gli agenti di registrazione non avevano limitazioni per quanto riguarda la registrazione per conto di altri. In altre parole, una volta che un utente veniva autorizzato per la registrazione, poteva eseguirla per conto di altri utenti. Naturalmente, un utente poteva facilmente incrementare i propri privilegi eseguendo la registrazione per conto di altri utenti e impersonando l'utente tramite il certificato appena creato. Per tentare di arginare questo pericolo, i privilegi di agente di registrazione sono stati assegnati solo agli utenti più affidabili. Se da una parte questo ha migliorato la sicurezza, d'altra parte ha reso meno flessibili i modelli di distribuzione, poiché solo un numero limitato di persone poteva eseguire la registrazione per conto di altri utenti. Quindi, le organizzazioni di grandi dimensioni, dislocate in vaste aree geografiche hanno dovuto affrontare delle difficoltà dovute a procedure più complesse per la distribuzione dei certificati agli utenti finali (ad esempio per le smart card).
In Windows Server 2008, gli agenti di registrazione possono avere limitazioni ancora maggiori. Tali limitazioni possono basarsi su quali utenti possono eseguire la registrazione per conto di altri oppure possono specificare in base a quali modelli è possibile effettuare la registrazione, come mostrato nella figura 3. Ad esempio, un'organizzazione potrebbe ora fornire un professionista IT locale per eseguire la registrazione per conto di tutti gli utenti della succursale ma non per gli utenti appartenenti al gruppo delle risorse umane. Questo consente alle aziende di delegare in sicurezza e con maggiore efficacia le funzioni di registrazione all'interno delle loro organizzazioni.
Figura 3 Limitazioni dell'agente di registrazione
Figura 3 Limitazioni dell'agente di registrazione (Fare clic sull'immagine per ingrandirla)
Una delle sfide più impegnative nella gestione della piattaforma PKI è la gestione di tutte le coppie di chiavi presenti nel sistema dell'organizzazione. Anche in un ambiente PKI non eccessivamente complesso, ogni utente potrebbe avere diverse coppie di chiavi (ad esempio per EFS, per l'autenticazione a una rete wireless e S/MIME) che devono essere disponibili indipendentemente dalla posizione di accesso. Con il crescente aumento di computer portatili e dei Servizi terminal, è sempre più importante poter replicare le coppie di chiavi nella rete, affinché siano disponibili agli utenti qualunque sia la posizione dalla quale eseguono l'accesso. Sebbene i token dell'utente, ad esempio le smart card possano in parte risolvere il problema, in alcune organizzazioni potrebbero essere presenti utenti senza smart card o certificati non memorizzati nelle smart card. Le credenziali comuni risolvono questi problemi memorizzando in modo sicuro le coppie di chiavi e i certificati in Active Directory® e rendendoli quindi disponibili agli utenti indipendentemente dalla posizione di accesso.
Le credenziali comuni sono state rese disponibili per la prima volta in Windows Server 2003 SP1 e consentono il passaggio sicuro dei certificati e delle chiavi tra i computer senza dover utilizzare profili utente specifici. In Windows Vista e in Windows Server 2008, questa funzionalità è stata inclusa per impostazione predefinita ed è stata implementata nel servizio Client Servizi certificati (CSC). Le opzioni di configurazione, ad esempio quali certificati possono avvalersi del roaming e come risolvere i conflitti, vengono gestite tramite i Criteri di gruppo. In Windows Vista e in Windows Server 2008, il servizio CSC può eseguire il roaming delle password e dei nomi utente memorizzati. Sebbene questa funzionalità sia inclusa per impostazione predefinita in Windows Vista, tenere presente che la funzione per le credenziali comuni è completamente supportata in Windows XP e quando si accede a un controller di dominio di Windows Server 2003 (con la distribuzione di un aggiornamento; vedere support.microsoft.com/kb/907247). Questo significa che non è necessario attendere il completamento della distribuzione di Windows Vista per sfruttare i vantaggi di questa tecnologia.

Facilità di gestione
In Windows Server 2008 sono stati eseguiti vari aggiornamenti per migliorare la gestione del servizio CA, rendendo più facile l'installazione, il monitoraggio e per rendere il servizio più disponibile. L'installazione del servizio CA è integrata nello strumento di gestione ed è ora estremamente semplificato. I valori predefiniti vengono definiti in ogni fase del processo e l'installazione può ora essere eseguita in modo automatico. Infine, l'installazione ha ora delle migliori funzionalità di diagnostica che facilitano la risoluzione dei problemi o delle condizioni di errore che possono verificarsi.
Il monitoraggio del servizio CA è stato molto migliorato in Windows Server 2008 (come la diagnostica dei certificati in Windows Vista). Oltre all'infrastruttura più flessibile per la gestione degli eventi nell'intero prodotto, il servizio CA dispone ora di una console di monitoraggio incorporata e di hook in Systems Center Operations Manager 2007 (precedentemente chiamato MOM) per fornire funzionalità di avviso a livello aziendale. La console di monitoraggio PKI è un miglioramento del suo predecessore, la cui introduzione è avvenuta in Windows Server 2003 Administration Pack. La nuova console è inclusa nel prodotto e può ora monitorare gli URI Online Certificate Status Protocol (OCSP) oltre a tutte le CA di uno specifico sistema.
Il Management Pack di Operations Manager fornisce una funzionalità di monitoraggio passivo per la piattaforma PKI dell'azienda, inclusa la funzionalità di avviso basata sulle soglie. Ad esempio, il Management Pack può essere utilizzato per monitorare il livello di aggiornamento di un elenco di revoche di certificati (CRL) e avvisare gli amministratori PKI quando un CRL ha raggiunto il numero di giorni o di ore prima della scadenza. Infine, è ora disponibile una serie di nuovi contatori delle prestazioni che facilitano la risoluzione dei problemi e il monitoraggio delle prestazioni del servizio CA. Questi contatori possono essere utilizzati per acquisire dati, ad esempio il numero di certificati emessi al secondo.
In Windows Server 2008 farà il suo debutto una nuova funzionalità: il supporto per il clustering a livello hardware del servizio CA. Questo supporto cluster utilizza la tecnologia standard Microsoft Cluster Service (MSCS) e supporta le configurazioni attiva/passiva a due nodi. Il supporto cluster consente di disporre pienamente di un'infrastruttura di rilascio e può essere utilizzato per distribuzioni cluster in varie aree geografiche. Se si sceglie di utilizzare il supporto di clustering, tenere presente che il clustering di un servizio CA non ne determina la disponibilità per l'intera piattaforma PKI. Sebbene il clustering aiuti a garantire la disponibilità delle CA, una piattaforma PKI correttamente funzionante avrà probabilmente altri componenti non in esecuzione direttamente nelle CA. Ad esempio, anche i punti di distribuzione CRL (CDP) e i risponditori OCSP devono essere ad alta disponibilità per garantire l'esecuzione della revoca. Inoltre, quando vengono utilizzati, anche i moduli di protezione hardware (HSM), in particolare i moduli HSM basati sulla rete, rappresentano un potenziale punto di errore in una piattaforma PKI. Il clustering è una potente nuova funzionalità che migliora la disponibilità delle CA ma non è una panacea per la disponibilità di un'intera distribuzione PKI.

Revoca
I CRL sono stati utilizzati a lungo per i controlli di validità dei certificati. I CRL includono i numeri di serie di tutti i certificati il cui periodo di validità non è ancora scaduto ma che non sono più affidabili. Ad esempio, se un dipendente ha un certificato la cui data di scadenza è il 31/12/2008 ma il dipendente stesso lascia l'organizzazione il 9/1/2007, i numeri di serie dei relativi certificati verranno inseriti nel CRL. Quindi, il CRL verrà messo a disposizione in più punti di distribuzione CRL (CDP), ad esempio nei percorsi HTTP e Lightweight Directory Access Protocol (LDAP).
Sebbene vengano utilizzati intensamente, i CRL hanno anche alcuni svantaggi. Innanzitutto, i CRL vengono pubblicati periodicamente dalle CA (di solito una o due volte al giorno). I client eseguono quindi il download di queste CRL e le inseriscono nella cache fino alla successiva pubblicazione. Durante la loro permanenza nella cache, i certificati potrebbero essere revocati, lasciando il client inconsapevole sullo stato corrente. In secondo luogo, nelle organizzazioni di grandi dimensioni, i CRL possono raggiungere dimensioni notevoli (a volte oltre 100 MB). La distribuzione di questi file su una rete di grandi dimensioni può essere difficile se non impossibile, sopratutto in sistemi di succursali o in altri ambienti con una larghezza di banda limitata.
Per risolvere questi problemi, è stato creato l'OCSP e definito in RFC 2560. l'OCSP fornisce un metodo in tempo reale per la convalida dello stato dei certificati. Un client OCSP viene eseguito sul computer che deve effettuare il controllo di validità di un certificato secondario. Il software client fa quindi riferimento a un risponditore OCSP e invia un messaggio che richiede lo stato di validità del certificato secondario. Il risponditore controlla la validità del certificato e risponde al client in tempo reale. Questo metodo impedisce problemi alla cache e problemi di distribuzione.
Per la prima volta, la funzionalità client OCSP è inclusa in Windows Vista (in precedenza erano richiesti software di terzi) ed è configurabile tramite i Criteri di gruppo. Per impostazione predefinita, Windows tenterà di utilizzare OCSP ma tornerà alle ricerche CRL se il risponditore non è disponibile.
In Windows Server 2008, viene fornito un risponditore OCSP per rispondere a tali richieste. Il risponditore viene installato tramite il gestore dei ruoli e può essere monitorato dal Management Pack di Operations Manager 2007. Poiché il client e il risponditore sono conformi allo standard OCSP, possono essere facilmente integrati negli ambienti OCSP esistenti che utilizzano componenti di terzi basati su standard simili. Ad esempio, è possibile che un client di Windows Vista controlli lo stato dei certificati mediante un risponditore di terzi e che un risponditore di Windows Server 2008 risponda a query da un'applicazione client di terzi. Inoltre, il risponditore OCSP di Windows può rispondere a richieste di certificati emessi da qualsiasi CA conforme agli standard. Le CA di Windows Server 2008 e le CA basate su Windows in generale non sono richieste.

Conclusione
La piattaforma PKI in Windows Vista e in Windows Server 2008 include molti miglioramenti e molte nuove funzioni che rendono la distribuzione e il funzionamento di PKI più sicuro e meno costoso. La nuova API CNG fornisce agli sviluppatori un ambiente di programmazione più semplice e il supporto per nuovi standard di crittografia. I miglioramenti alla registrazione consentono alle organizzazioni di eseguire il provisioning dei certificati e il roaming sicuro delle chiavi all'interno dell'azienda. Allo stesso modo, il nuovo Management Pack e la funzionalità di clustering facilitano il monitoraggio dello stato delle CA e ne garantiscono un'alta disponibilità. Infine, i miglioramenti per quanto riguarda il controllo delle revoche si avvalgono di un approccio standard per la convalida in tempo reale dei certificati senza i costi relativi alla larghezza di banda della distribuzione CRL. Di conseguenza, Windows Vista e Windows Server 2008 portano la piattaforma Windows PKI a un livello del tutto nuovo.
Risorse relative al miglioramento della piattaforma PKI
  • Home Page di Windows PKI (in inglese)
  • Risoluzione dei problemi di PKI in Windows Vista (in inglese)
  • API di crittografia: Nuova generazione (in inglese)
  • API per la registrazione dei certificati Come utilizzare le pagine di registrazione Web dei Servizi certificati con Windows Vista (in inglese)
  • Configurazione e risoluzione dei problemi delle credenziali comuni di Client Servizi certificati (in inglese)

John Morello lavora in Microsoft dal 2000. Come consulente senior ha progettato soluzioni di protezione per le prime 100 aziende di Fortune nonché per clienti della difesa e civili. Attualmente ricopre il ruolo di Senior Program Manager presso il reparto Windows Server e si occupa delle tecnologie di protezione e di accesso. È possibile consultare il blog di questo team all'indirizzo blogs.technet.com/WinCAT.


File desktop remoto Informazioni su RDP
Wes Miller

Remote Desktop Protocol o RDP, consente di accedere ai computer in remoto. Rappresenta uno strumento tecnologico estremamente utile che nel corso degli anni ha fornito un'ancora di salvezza per non pochi amministratori di sistema. La storia del protocollo RDP è piuttosto lunga e nel tempo è riuscito sempre a fornire il miglior supporto per l'accesso remoto. È stato introdotto nel 1998 per Windows NT 4.0 Terminal Server
Edition (TSE) ed è stato sviluppato per quasi tutte le versioni di Windows®.
All'inizio, con Windows 2000, quasi nessuno poteva accedere facilmente in remoto a un sistema server poiché Servizi terminal è stato inizialmente introdotto come un componente opzionale di Windows che poteva essere configurato per poter utilizzare il sistema con un server terminal o per quello che oggi viene definito Desktop remoto. Windows Server® 2003 e Windows XP hanno introdotto funzionalità native di Desktop remoto, che consentono il controllo remoto del sistema come se l'utente si trovasse fisicamente sul computer. Oggi, utilizzo Desktop remoto ogni giorno per accedere al mio computer di casa e per utilizzare Media Center Extender.
Windows XP e le versioni successive di Windows hanno aggiunto la funzionalità Assistenza remota che fornisce una gestione simile a Desktop remoto ma che è stata realizzata appositamente per l'utente locale per richiedere assistenza a un utente remoto. L'evoluzione del supporto di accesso remoto è proseguita e ora Windows Vista® consente agli utenti remoti di offrire Assistenza remota se i Criteri di gruppo lo consentono.
Desktop remoto porta questa potente funzionalità a un livello del tutto nuovo e gli utenti non potranno che apprezzare tutto quello che ha da offrire. Naturalmente Desktop remoto presenta alcune limitazioni, ma anche molti vantaggi. Vediamo quali sono i vantaggi e gli svantaggi.

Il buono, il cattivo e il fantastico
In Windows XP (con l'eccezione di Media Center Edition), soltanto un utente interattivo alla volta può eseguire l'accesso e questa rappresenta la limitazione principale. Sebbene la funzione Cambio rapido utente di Windows XP consenta l'accesso simultaneo di più utenti, solo un utente può essere interattivo utilizzando il mouse o la tastiera, sia in locale che in remoto. Con le versioni di Windows Server (non in esecuzione come server Terminal), è possibile avere due sessioni di Desktop remoto contemporaneamente. Per stabilire la connessione tramite Desktop remoto alla sessione della console effettiva in Windows Server 2003, è necessario avviare l'applicazione client Servizi terminal (MSTSC.exe) con il parametro opzionale /console. La sessione della console è molto importante perché alcune vecchie applicazioni, che non prevedevano l'uso di Servizi terminal, spesso mostrano le finestre popup solo nella sessione della console (Session 0). La figura 1 mostra un utente collegato alla sessione della console in Windows Server 2003. Desktop remoto in Windows XP e in Windows Server 2003 migliorerà la gestione delle licenze per garantire che solo gli utenti autorizzati possano collegarsi in modo interattivo.
Figura 1 Connessione a Session 0
Figura 1 Connessione a Session 0 (Fare clic sull'immagine per ingrandirla)
Inoltre, la lunghezza di banda e i Criteri di gruppo possono influire sulla gestione di Desktop remoto. Windows XP è in grado di offrire fino a 24 bit di risoluzione, reindirizzamento del suono, stampanti locali, dischi e Appunti per operazioni Taglia e Incolla. A causa della modalità con la quale Desktop remoto imposta la schermata, rimuovendo gli elementi grafici dalla sessione remota (i temi, gli sfondi e cosí via) migliora radicalmente la lunghezza di banda disponibile e, di conseguenza, la sessione è molto più dinamica. Windows Vista si basa su questo e aggiunge una risoluzione a 32 bit e il reindirizzamento del dispositivo aggiuntivo.
Alcune operazioni, ad esempio quelle che richiedono l'uso intensivo della grafica, possono mettere alla prova anche le migliori sessioni di Desktop remoto se la larghezza di banda non è sufficiente, pertanto è necessario effettuare una pianificazione adeguata.

Nuove funzionalità in Windows Vista
In Windows Vista sono state apportate significative modifiche a Desktop remoto. Come già detto, la risoluzione a 32 bit e i caratteri smussati rappresentano solo una parte delle modifiche più evidenti. Una altro miglioramento è rappresentato dalla possibilità di eseguire le sessioni di Windows Vista su più monitor, avviando il client di Servizi terminal con il comando /span. Tenere presente che il comando /span funziona solo con i sistemi host remoti di Windows Vista, richiede la stessa risoluzione del client sui monitor e richiede inoltre che i monitor siano allineati. In questo modo il sistema remoto (client) viene considerato come un unico grande display. Questo significa che ingrandendo un'applicazione, potrebbero verificarsi degli imprevisti, ad esempio il posizionamento errato delle finestre di dialogo che devono essere pertanto spostate dall'utente.
Inoltre, se il client da cui si stabilisce la connessione è un client di Windows Vista e il sistema remoto è un sistema Windows Vista, è possibile eseguire l'interfaccia utente della sessione remota in modalità Windows Aero™ Glass (se il sistema locale supporta Aero Glass, anche se il sistema remoto non lo supporta). Questo è il risultato della nuova architettura di Desktop remoto di Windows che consente di eseguire molte delle operazioni di gestione delle finestre sul sistema client, se il client è Windows Vista. Ciò accresce l'esperienza dell'utente e riduce l'utilizzo della larghezza di banda.
Con Windows Vista è garantito inoltre un miglioramento alla protezione, grazie all'autenticazione a livello di rete (NLA). L'autenticazione NLA può impedire attacchi di tipo "man-in-the-middle" in cui un utente malintenzionato esegue lo spoofing sul server su cui si crede di aver eseguito l'accesso. NLA migliora anche il processo di autenticazione, non avviando l'intera interfaccia utente di Windows per l'autenticazione, riducendo in tal modo l'impatto sul sistema remoto e la possibilità di attacchi Denial of Service. NLA richiede Windows Vista sul sistema client e sul sistema remoto. La figura 2 mostra come specificare tramite il client RDP 6.0 se applicare l'autenticazione, se deve essere generato un avviso o entrambe le cose. Tenere presente che per stabilire la connessione a un sistema remoto che esegue una versione di Windows precedente a Windows Vista, è necessario verificare che sia prevista almeno la generazione del messaggio di avviso di connessione, in caso contrario, la connessione non potrà essere stabilita.
Figura 2 Preferenze di connessione avanzate
Figura 2 Preferenze di connessione avanzate (Fare clic sull'immagine per ingrandirla)
Il nuovo reindirizzamento della risorsa (oltre a driver e stampanti) è un altro miglioramento importante di RDP in Windows Vista. A condizione che i driver siano presenti sul sistema remoto e che il dispositivo supporti il reindirizzamento, è possibile reindirizzare numerosi nuovi tipi di dispositivi, tra cui le smart card. Altri tipi di dispositivi possono essere supportati dai relativi fornitori.
Windows Vista supporta anche i server di gateway tramite il client RDP 6.0. Questo consente agli utenti di stabilire la connessione continua ad altri sistemi su Internet senza richiedere una connessione VPN o software di terzi. La figura 3 mostra le impostazioni del server gateway di Servizi terminal Un server gateway può essere immaginato come un sistema simile a VPN che non richiede alcun software client specifico oltre a RDP 6.0 (non è necessaria alcuna impostazione VPN o software proprietario).
Figura 3 Impostazioni del server gateway di Servizi terminal
Figura 3 Impostazioni del server gateway di Servizi terminal (Fare clic sull'immagine per ingrandirla)
Windows Vista include anche l'infrastruttura per una nuova funzione denominata RemoteApp™. Ecco cosa può fare RemoteApp per l'utente. Desktop remoto solitamente consente all'utente di stabilire la connessione a un'intera sessione di Windows. È possibile che all'utente interessi solo eseguire specifiche applicazioni, ad esempio Microsoft® Word o Microsoft Powerpoint®. La funzione RemoteApp consente questo. Gli scenari per abilitare la condivisione delle applicazioni saranno disponibili in Windows Server 2008.
Inoltre, in Windows Vista è stato aggiunto il nuovo supporto per l'API di Windows Desktop Sharing che consente la pubblicazione delle applicazioni condivise e collaborative. Il team di Terminal Server ha messo a disposizione un'applicazione di esempio all'indirizzo Web scrive blog. il msdn. com/t/ archive/2007/03/23/writing-a-desktop-sharing-application.aspx che dimostra il funzionamento dell'API di Windows Desktop Sharing.
Una modifica importante da ricordare in Windows Vista e non solo, è che la Session 0 (di solito la sessione della console, nella quale le applicazioni precedenti mostreranno i messaggi) solitamente non è accessibile all'utente. Questo riduce l'interattività tra i servizi di sistema, che vengono eseguiti nella Session 0, sebbene non in modo interattivo e gli utenti interattivi. Consente inoltre di ridurre la superficie di attacco determinata dai servizi con privilegi eccessivi e dagli utenti interattivi in Windows Vista. In questo caso l'attenzione è stata posta alla riduzione dei privilegi, tramite il controllo dell'account utente e altri miglioramenti alla protezione. Solitamente non ci si deve preoccupare di questo, a meno che non si utilizzi software precedente in Windows Vista che non si comporta correttamente in fase di installazione o quando l'applicazione è in esecuzione.
Dove trovare Desktop remoto
Una cosa importante da ricordare per quanto riguarda Desktop remoto è dove può essere utilizzato. Windows XP Professional, Media Center Edition e Tablet PC Edition includono tutti la funzionalità Desktop remoto, come pure tutte le versioni di Windows Server 2003. Windows Vista include la funzionalità Desktop remoto nelle versioni Business, Enterprise e Ultimate. Le Home Edition di Windows, tra cui Windows XP Home Edition e tutte le Home Edition di Windows Vista, non includono la funzionalità Desktop remoto.

Client di Servizi terminal
È possibile trovare il nuovo client RDP 6.0 sul sito Web all'indirizzo go.microsoft.com/fwlink/?LinkId=91612. Come precedentemente detto, il client include tutte le funzionalità necessarie per stabilire la connessione a un sistema RDP 6.0 (Windows Vista o Windows Server 2008).
La figura 4 mostra il client RDP 6.0. Un miglioramento significativo in MSTSC è la possibilità di inserire le credenziali nella cache e, se la connessione avviene da Windows Vista a Windows Vista o Windows Server 2008, anche il Single Sign On (SSO) è supportato tramite i Criteri di gruppo.
Figura 4 Client RDP 6.0
Figura 4 Client RDP 6.0 (Fare clic sull'immagine per ingrandirla)
La versione 6.0 di MSTSC.exe dispone di numerosi parametri per la riga di comando, tali parametri sono elencati di seguito. Diamo uno breve sguardo a ciascun parametro.
mstsc [<connection file>] [/v:<server[:port]>]
[/console] [/f[ullscreen]] [/w:<width>] [/h:<height>]
[/public] | [/span] [/edit "connection file"] [/migrate] [/?]
/v:<server[:porta]> Specifica il computer remoto a cui connettersi e un valore opzionale per la porta (il valore predefinito è la porta 3389 che può essere cambiato in tutte le versioni di Windows).
/console Consente di connettersi alla sessione della console delle precedenti versioni di Windows. Questa impostazione non è valida in Windows Vista o in Windows Server 2008.
/f Apre Connessione desktop remoto nella modalità a schermo intero.
/w:<larghezza> Specifica la larghezza della finestra Connessione desktop remoto.
/h:<altezza> Specifica l'altezza della finestra Connessione desktop remoto.
/public Esegue Connessione desktop remoto in modalità pubblica. In modalità pubblica, il client RDP non inserisce dati nella cache del sistema locale. Utilizzare la modalità pubblica, ad esempio, per la connessione a un server aziendale da un sistema presente in un centro per conferenze.
Servizi terminal sempre più fantastici
Gli utenti potrebbero non conoscere le altre due applicazioni che utilizzano i componenti di Servizi terminal per eseguire le loro attività. Cambio rapido utente in Windows XP e in Windows Vista consente l'accesso di più utenti allo stesso sistema, ma passa rapidamente da un utente all'altro senza richiedere la disconnessione di nessuno di loro. Windows Media Center Edition (e Windows Vista) si basa su questa infrastruttura per consentire a Media Center Extender, in realtà un terminale thin client con tecnologia di rendering audio/video e codec, di eseguire l'accesso e il rendering di Media Center in remoto su un televisore tramite una connessione via cavo o wireless. In Windows XP, solitamente si tratta di scenari non aziendali, poiché richiedono un sistema non associato a un dominio e con la funzione Cambio rapido utente abilitata. Tenere presente che entrambi sono disponibili nelle versioni di Windows Vista per le aziende, sebbene gli scenari tipici di utilizzo non siano destinati in modo specifico alle aziende e pertanto non mi dilungherò troppo su di essi.

/span Confronta la larghezza e l'altezza del desktop remoto con il desktop virtuale, estendendo la visualizzazione su più monitor, se necessario. Tenere presente che i monitor devono essere tutti alla stessa altezza e allineati.
/edit Apre il file .rdp specificato per la modifica. I file RDP vengono utilizzati per memorizzare le informazioni di connessione di un sistema remoto specifico.
/migrate Sposta i precedenti file di connessione creati con Client Connection Manager in nuovi file di connessione .rdp.
Molti dei miglioramenti di MSTSC sono disponibili anche quando si utilizza il controllo ActiveX® di Servizi terminal e utilizzando il file TSMMC.msc (descritto di seguito) per stabilire la connessione a più sistemi dalla stessa console.

Nuove funzionalità in Windows Server 2008
Oltre alle nuove funzionalità e alle modifiche già descritte per Windows Vista, Windows Server 2008 include funzioni proprie di Desktop remoto: Accesso Web di Servizi terminal e Easy Print di Servizi terminal.
Accesso Web di Servizi terminal consente di utilizzare un browser Web per vedere un elenco di programmi che sono stati abilitati sul server remoto, ad esempio RemoteApps e ne consente facilmente l'avvio con un singolo clic tramite il controllo ActiveX di Desktop remoto. In un certo senso, ci sono delle similitudini con l'applicazione SoftGrid Application Virtualization di cui ho parlato nell'articolo del mese scorso in Microsoft Desktop Optimization Pack, dove un utente remoto avvia facilmente un'applicazione senza la necessità di alcun software installato in locale. Sarà interessante vedere nei prossimi anni come saranno cambiati gli scenari di utilizzo di SoftGrid con le tecnologie di Servizi terminal.
Easy Print di Servizi terminal consente il reindirizzamento di tutte le attività della stampante del sistema remoto (host) al sistema locale (client). Si potrebbe pensare che la funzione di reindirizzamento della stampante effettui già questa operazione, ma non è così. Easy Print funziona senza l'ausilio di driver aggiuntivi sul sistema host e senza alcun intervento dell'utente per l'installazione della periferica. Se è presente una stampante locale, questa funziona allo stesso modo sul sistema remoto come su quello locale. Affinché Easy Print possa funzionare, sul sistema remoto deve essere in esecuzione Windows Server 2008 e sui sistemi client e server deve essere in esecuzione il client Servizi terminal 6.1 e deve inoltre essere installato Microsoft .NET Framework 3.0 SP1. Entrambi verranno distribuiti con il rilascio di Windows Server 2008.

Suggerimenti per l'utilizzo di Desktop remoto
Come detto in precedenza, utilizzo Desktop remoto quotidianamente, per l'esattezza Desktop remoto per Microsoft Management Console (MMC). Aggiungendo dei sistemi remoti come nodi, è possibile passare in modo rapido e semplice tra più sistemi utilizzando la stessa interfaccia utente. La figura 5 mostra l'aspetto di Microsoft Management Console. Lo snap-in di MMC fa parte di Windows Server 2003 Administration Tools Pack, la cui ultima versione è disponibile sul sito Web all'indirizzo go.microsoft.com/fwlink/?LinkId=91685.
Figura 5 Pagina MMC
Figura 5 Pagina MMC (Fare clic sull'immagine per ingrandirla)
Un'altra questione che mi ha creato non pochi grattacapi riguarda le operazioni Taglia e Incolla. Tagliare ed incollare dati tra client e server rappresentavano operazioni nuove in Windows XP. Per il corretto funzionamento, il client e il server devono entrambi eseguire Windows XP e gli Appunti devono essere reindirizzati (vedere la figura 6). Anche i client di Windows Vista supportano le operazioni Taglia e Incolla quando il reindirizzamento degli Appunti è abilitato per la connessione.
Figura 6 Impostazioni delle risorse locali
Figura 6 Impostazioni delle risorse locali (Fare clic sull'immagine per ingrandirla)
È importante anche notare che le azioni dei tasti di scelta rapida che potrebbero essere necessarie, ad esempio CTRL+ALT+CANC, non vengono trasmesse via cavo al sistema remoto, ma agiscono sempre sul sistema locale. Per inviare l'azione CTRL+ALT+CANC al sistema remoto, premere CTRL+ALT+FINE sul sistema client.
Infine, consiglierei di visitare con regolarità il blog del team dei Servizi terminal Microsoft all'indirizzo blogs.msdn.com/ts come faccio io.
Personalmente, penso che Desktop remoto e Servizi terminal siano delle applicazioni talmente utili che non saprei farne a meno. Spero che questo articolo sia riuscito a illustrare al meglio le nuove funzionalità presenti sul client RDP 6.0, in Windows Vista e in Windows Server 2008.

Vorrei ringraziare per l'aiuto alla realizzazione di questo articolo Nelly Porter, Lead Program Manager Senior del team di Servizi terminal.

Wes Miller è un responsabile di sviluppo presso Pluck (www.pluck.com), Austin (Texas). In precedenza, ha lavorato per Winternals Software ad Austin e in Microsoft come Program Manager e Product Manager di Windows. È possibile contattarlo all'indirizzo technet@getwired.com.


Note sul campo Colloqui tramite la messaggistica immediata
Nathan G. Jensen

Recentemente, la mia azienda ha pubblicato un annuncio sul Web per la ricerca di un software engineer senior (da assumere per il telelavoro) e ci siamo ritrovati letteralmente sommersi da domande di candidati provenienti da ogni parte del mondo. In veste di primo sviluppatore, avevo il compito di sottoporre a colloqui tecnici questo ricco numero di candidati. Ero leggermente scoraggiato di fronte al grande elenco di aspiranti e iniziai a passare al vaglio un curriculum dopo l'altro. Per esperienza sapevo che la maggioranza dei candidati in genere non è qualificata e di conseguenza i colloqui tecnici sono assolutamente fondamentali.
Dopo innumerevoli colloqui telefonici mi ritrovai a pensare "ci vorrà un mese!". Ma all'improvviso mi venne un'idea geniale. Ebbi una vera e propria rivelazione, come una voce che dal grande Reparto IT mi diceva: fai colloqui tramite la messaggistica immediata! Idea grandiosa! E ha funzionato davvero.
Iniziai inviando un messaggio di posta elettronica di massa a tutti i candidati tramite BBC, spiegando che avrebbero dovuto sottoporsi a un colloquio tecnico tramite Windows Live™ Messenger (e non per telefono). Questo messaggio dimezzò il numero di candidati, probabilmente perché erano consapevoli del fatto che non avrebbero potuto continuare a mentire durante il colloquio. Per il resto, pensai che una chat di messaggistica immediata sarebbe stata l'ideale perché volevo semplicemente risposte dirette a domande tecniche altrettanto dirette, un semplice botta e risposta. In questa fase del colloquio, le competenze manageriali e l'abilità oratoria non erano molto importanti.
Figura Tenevo aperte più finestre di messaggistica immediata, inserendo a raffica domande tecniche in ciascuna di essa.
Figura Tenevo aperte più finestre di messaggistica immediata, inserendo a raffica domande tecniche in ciascuna di essa. (Fare clic sull'immagine per ingrandirla)
Notai subito che questo genere di colloqui faceva risparmiare tempo e denaro. Nessun conto telefonico da pagare. E non appena i candidati iniziarono a contattarmi per sottoporsi a un colloquio, capii che potevo rivolgermi contemporaneamente a più aspiranti e in modo efficiente. Si rivelò un vero e proprio spasso. Tenevo aperte più finestre di messaggistica immediata, inserendo a raffica domande tecniche in ciascuna di essa. E dato che avevo scritto le domande anticipatamente, il tutto si riduceva a un semplice esercizio di copia e incolla.
Al momento di formulare le domande, feci un attento controllo sul Web per evitare il rischio di ricevere risposte prese da Internet. Se qualcuno mi avesse inviato una risposta presa da un articolo pubblicato o da una documentazione ufficiale, me ne sarei accorto subito. Inoltre, Windows Live Messenger riesce a tenere traccia del timestamp di ciascuna risposta e ciò mi permetteva di scoprire quali candidati avevano impiegato troppo tempo per rispondere.
Un'altra rivelazione sorprendente la ebbi quando, nel bel mezzo di queste chat parallele di messaggistica immediata, il mio telefono squillò e capii di poter continuare con le interviste e al tempo stesso parlare al telefono. Era il culmine dell'efficienza multithreading!
E quando pensavo che la situazione non sarebbe potuta essere più rosea, scoprii immediatamente un altro vantaggio. Ciò che mi infastidisce di più dei colloqui telefonici è il dover ricevere una inutile dissertazione di cinque minuti anziché una risposta concisa a una domanda altrettanto concisa. Grazie alla messaggistica immediata si può evitare questo rischio perché le persone tendono a fornire risposte concise.
Alla fine di ogni intervista salvavo i registri delle chat, creando in tal modo un record che avrei potuto esaminare in un secondo momento per giudicare i candidati. Potevo quindi inviare questi registri al mio capo per un confronto oggettivo. Per concludere, l'intero processo richiese alcune ore anziché la tipica settimana che sarebbe stata necessaria per sottoporre i 25 candidati a colloqui telefonici.
La mia scoperta non mi avrebbe potuto rendere più felice. In conclusione, assumemmo la persona che fornì più velocemente le risposte corrette e che dimostrò delle buone "competenze manageriali" nel colloquio telefonico con il mio capo. Il tutto è stato rapido, efficiente, produttivo e ci ha fatto trovare il candidato adatto al lavoro solo dopo pochi giorni dalla pubblicazione dell'annuncio.

Nathan G. Jensen è primo sviluppatore Web e scrittore freelance e vive a Salt Lake City. È possibile contattarlo all'indirizzo builderdash.com.


Windows Confidential Esplora risorse non fa testo
Raymond Chen

C'era una volta C'era una volta il PowerPoy Invia a X. Questo strumento consentiva di effettuare operazioni quali la selezione di una serie di file, l'utilizzo del pulsante destro del mouse e la selezione dell'opzione di invio agli Appunti come nomi. Come previsto, lo strumento copiava i nomi dei file selezionati negli Appunti.
Si trattava sicuramente di uno strumento utile, ma a cosa serviva originariamente? Perché non è possibile semplicemente copiare i file in Esplora risorse di Windows® e incollarli come testo per ottenere i loro nomi? O meglio ancora, perché non è possibile semplicemente trascinare i file da Esplora risorse e rilasciarli nel Blocco note per ottenerne i nomi?
Abbiamo provato a farlo, ma non ci siamo riusciti.
Il trasferimento dei dati, tramite gli Appunti oppure con operazioni di trascinamento, viene mediato dagli oggetti dati OLE, rappresentati dall'interfaccia IDataObject. Un oggetto dati offre una serie di formati. Alcuni formati degli Appunti, tra cui testo e bitmap, sono stati introdotti sin dagli albori di Windows. Altri sono stati aggiunti nel tempo. L'handle HDROP è stato adottato fin dall'avvento delle prime funzionalità di trascinamento di Windows. È possibile rendere disponibile questo handle a funzioni quali DragQueryFile, ad esempio, per estrarre i nomi dei file. Quando si copiano dati negli Appunti da Esplora risorse, l'oggetto dati risultante offre, tra l'altro, il suddetto HDROP, il contenuto dei file e un descrittore di gruppo di file. Tuttavia, uno dei formati non messo a disposizione dall'oggetto dati è il testo.
Quando un obiettivo di rilascio (un elemento in cui è possibile rilasciare gli oggetti) viene informato che sarà la destinazione del trascinamento o del rilascio di un oggetto dati, pone all'oggetto la seguente domanda: "Cosa vuoi ottenere?". L'oggetto dati risponde elencando tutti i formati supportati, dal formato preferito fino a quello meno desiderato. In altre parole, il primo formato restituito dall'oggetto dati è il formato che meglio descrive l'oggetto. Quindi ci sarà il secondo formato preferito, poi il terzo e così via, fino all'ultimo formato che è solo una rappresentazione sbiadita dell'oggetto originale. Ad esempio, l'oggetto dati che rappresenta alcuni oggetti trascinati da una finestra di Esplora risorse offrirebbe probabilmente per prima un elenco di ID shell, poiché è una rappresentazione quasi perfetta del contenuto di una finestra di Esplora risorse. Quindi, l'elenco potrebbe riportare un descrittore di gruppo di file, seguito dal contenuto dei file e infine un HDROP.
Nel 1998, il team shell ha tentato di aggiungere il testo normale all'elenco dei formati, inserendolo alla fine dell'elenco. In sostanza, ciò significava: "Se sei veramente disperato, ti consentirò di estrarre almeno del testo (ovvero, l'elenco di file)". Sfortunatamente, accadde che innumerevoli programmi furono letteralmente abbagliati dallo scintillante formato di testo ed esclamarono: "Adoro il testo!". Questi programmi continuarono impassibili verso la ricerca del formato di testo, che non conteneva altro se non un elenco di file. Di conseguenza, quando un file veniva trascinato da Esplora risorse e incollato in un documento, il programma inseriva semplicemente il nome file anziché inserire il file stesso nel documento.
E poi?
A causa del feedback negativo di compatibilità delle applicazioni, questa situazione è stata letteralmente invertita. Di conseguenza, quando ora esegui un'operazione di trascinamento della selezione o incolli dei file copiati da Esplora risorse, l'oggetto dati shell non offre i nomi file come testo.
Tuttavia, Windows Vista® pone rimedio a questa vecchia ingiustizia fornendoti un modo per copiare il percorso come testo: premere il tasto Maiusc e contemporaneamente fare clic con il pulsante destro del mouse per visualizzare il menu di scelta rapida. In questo menu sarà disponibile la nuova opzione Copia come percorso. Non è più necessario alcun PowerToy.

Raymond Chen, The Old New Thing, così come nel suo libro che porta lo stesso titolo (Addison-Wesley, 2007), vengono illustrate la storia di Windows e la programmazione in Win32. Raymond lascia ad altri il compito di rendere operativi i meccanismi.