August 2007
Системный центр: Развитие SMS: новое решение с большими возможностями для управления системами
Вскоре управление системами станет намного проще. Совершите экскурсию по System Center Configuration Manager 2007 и вы увидите, как могут быть упрощены основные задачи, такие как развертывание обновлений программного обеспечения, управление мобильными устройствам и сопровождение настроек систем. John Orefice
Системный центр: Развертывание приложений и обновлений в филиалах
Точки распространения в филиалах, одна из новых функций диспетчера Configuration Manager 2007, может, на первый взгляд, показаться довольно незначительным дополнением. Но если присмотреться получше, вы обнаружите, что она предлагает новые и необходимые возможности для управления распространением программного обеспечения по филиалам. Steve Rachui
Системный центр: Начало работы с системным центром Essentials 2007
Разработанный специально для предприятий среднего размера пакет Essentials на основе Системного центра предлагает унифицированное решение для наблюдения, управления и устранения неполадок в системах. Это подробное руководство по установке и настройке Essentials 2007 для конкретной сети. David Mills
Системный центр: Наблюдайте за своими серверами при помощи Operations Manager 2007
Operations Manager 2007, новейшее воплощение MOM, содержит значительные улучшения, в число которых входят новые интерфейсы управления, улучшенные отчеты, поддержка бизнес-приложений, новые возможности безопасности и многое другое. Pete Zerger
Системный центр: Переход с диспетчера MOM на диспетчер Operations Manager 2007
Готовы переключиться на Operations Manager 2007? Из-за изменений в архитектуре не существует простого пути по обновлению на месте от предыдущей версии MOM. По этой причине рекомендуется следовать одному из планов перехода, представленных в данной статье. Andy Dominey
Системный центр: Сделайте ваши приложения виртуальными при помощи Microsoft SoftGrid
Виртуализация приложений предлагает множество преимуществ, от улучшения работы пользователя до упрощения работы системного администратора. Узнайте подробно о том, как Microsoft SoftGrid выполняет виртуализацию приложений, как это можно использовать с вашей инфраструктурой, и каким образом вы можете сэкономить время и деньги вашей компании. Ahmer Sabri and Kedar Shah
Columns
От редактора: Динамика и Оптимизация: | Инструментарий: Новые продукты для специалистов по информационным технологиям: | Вопросы и ответы по SQL: Поиск блокировок, большие запросы, статистика ввода-вывода и многое другое:
Обзор служебных программ: BGInfo: Разве не здорово было бы, если бы вы могли получить всю необходимую информацию о компьютере – его имя, IP-адрес, шлюз, свободное дисковое пространство и т.д. – в одном пакете? Теперь это возможно при помощи бесплатного средства от Sysinternals.Lance Whitney | Кабельщик: Автонастройка IPv6 в Windows Vista: Стандарт IPv6 – это больше, чем расширение адресного пространства с 32 до 128 бит. В данной статье рассматривается, как узлы IPv6 могут осуществлять самонастройку, даже без использования протокола настройки адресов.Joseph Davies | Windows PowerShell: Возможности фильтрации: Конвейер предназначен не только для командлетов. Узнайте о том, как можно использовать конвейер Windows PowerShell для добавления к сценариям полезных возможностей фильтрации.Don Jones
Эй, автор сценариев!: Кто ты?: В Active Directory пользователи могут иметь множество учетных данных, таких как givenName, displayName, userPrincipalName или distinguishedName. Как вы, будучи системным администратором, собираете всю эту информацию о пользователе? Разумеется, при помощи сценария.The Microsoft Scripting Guys | В поисках безопасности: Улучшения PKI в Windows: В Windows Vista и Windows Server 2008 платформа PKI Windows предлагает поддержку для усовершенствованных алгоритмов, проверку действительности в реальном времени и легкость в управлении. Узнайте больше о новых свойствах PKI и о том, как при их помощи можно снизить расходы и улучшить безопасность.John Morello | Документы о рабочей среде: Знакомство с RDP: Протокол удаленного рабочего стола, позволяющий получать удаленный доступ к компьютеру, – это очень полезная технология, которая становится лучше с выходом каждой новой версии Windows. Предлагаем краткий обзор удаленного рабочего стола и его преимуществ и ограничений.Wes Miller
Заметки разъездного инженера: Собеседования с помощью мгновенных сообщений (IM): У вас есть одна свободная вакансия и огромная стопка резюме со всего света. Каким образом можно быстро ограничить круг претендентов? Один из вариантов – проводить собеседования с помощью мгновенных сообщений. Вашему вниманию предлагается успешный опыт одного разработчикаNathan G. Jensen | Конфиденциальные сведения о Windows: Проводник Windows не создает текст: Почему нельзя скопировать список файлов в проводнике Windows и потом вставить их как текст, чтобы получить их имена? Команда Windows пыталась включить эту функцию, но она не работала так, как планировалось.Raymond Chen


Системный центр
Развитие SMS: новое решение с большими возможностями для управления системами
Джон Орефайс (John Orefice)
Краткий обзор:
  • Развертывание операционной системы
  • Управление обновлением программного обеспечения
  • Управление требуемой настройкой

Systems Management Server (SMS) 2003 стал важным инструментом управления настройкой и доставки программного обеспечения, используемым администраторами по всему миру. В настоящее время корпорация Майкрософт готовится
представить новую версию своего решения по управлению предприятием, и эта новая версия носит новое имя и обладает новыми возможностями: System Center Configuration Manager 2007.
System Center является семейством программных продуктов Майкрософт, разработанных для совместного использования с целью облегчения и удешевления повседневного управления сложной информационно-технической инфраструктурой. Решения System Center основаны на автоматизации и практических рекомендациях, ведущих свое происхождение от платформы Microsoft® Operations Framework (MOF) и библиотеки Information Technology Infrastructure Library (ITIL), и их можно использовать на всех уровнях организации.
Configuration Manager 2007 является всего лишь частью семейства System Center. System Center Data Protection Manager обеспечивает резервное копирование и восстановление системы предприятия. System Center Operations Manager предоставляет средства профилактического контроля и автоматизации системы. System Center Capacity Planner служит для планирования развертываний инфраструктуры и анализа возможного развития событий. Этот список продолжает расширяться (подробнее см. веб-узел www.microsoft.com/systemcenter).
В этой статье на основе самого последнего выпуска бета-версии будет рассмотрено несколько новых и усовершенствованных компонентов, запланированных для включения в Configuration Manager 2007. Будет представлен широкий обзор возможностей, на которые можно рассчитывать в этом вдохновляющем выпуске, и я надеюсь, что читатель задумается о том, как можно сэкономить время и денежные средства с помощью диспетчера Configuration Manager.

Новый административный интерфейс пользователя
Со времен SMS 1.0 одним из самых востребованных новых компонентов SMS является новый и усовершенствованный пользовательский интерфейс. Корпорация Майкрософт откликнулась на этот запрос, выполнив несколько усовершенствований в административном пользовательском интерфейсе семейства System Center Configuration Manager 2007. Для задействования этих новых компонентов в Configuration Manager 2007 с использованием C# Microsoft .NET Framework создана новая консоль, работающая на основе технологии Microsoft Management Console (MMC) 3.0. Кроме этого, аналогично SMS 2003, этот пользовательский интерфейс можно расширять посредством комплекта SDK, чтобы пользователи консоли могли создавать свои собственные надстройки, удовлетворяющие конкретные потребности.
На рис. 1 показана новая консоль с расширенным узлом Computer Management и изображены все доступные новые функции управления. Кроме этого, обратим внимание на новый внешний вид раздела SMS Site Configuration, в котором излагаются общие задачи, которые необходимо выполнить после установки, чтобы привести в рабочее состояние диспетчер Configuration Manager. В разделе «Связи и материалы» содержатся соответствующие задачи, сокращающие время, необходимое для перемещения по консоли для доступа к часто используемым функциям.
Рис. 1 Административный интерфейс диспетчера Configuration Manager
Рис. 1 Административный интерфейс диспетчера Configuration Manager (Щелкните изображение, чтобы увеличить его)
Новая консоль предоставляет следующие преимущества и компоненты: возможность выбора и перетаскивания нескольких элементов (крайне удобно при работе с коллекциями); поиск папок для создания виртуальной, а не физической структуры элементов на консоли; панель «Действия» для выполнения задач, свойственных данному разделу; панель «Предварительный просмотр» для просмотра сводной информации по конкретному элементу (например образу операционной системы); домашние страницы со сводной информацией по конкретной теме, например развертыванию программного обеспечения; усовершенствованная организационная структура, позволяющая значительно упростить перемещения между компонентами.
Как было отмечено, панель «Действия» является одним из основных усовершенствований заново переработанной консоли. Она предоставляет возможность просмотра действий, контекст которых соответствует используемому в текущий момент разделу консоли. Например, если просматривается коллекция «Все системы», на панели «Действия» доступны такие операции, как «Обновление членства в коллекции» и «Установка агента» (см. рис. 2).
Рис. 2 Доступные действия зависят от текущего варианта просмотра
Рис. 2 Доступные действия зависят от текущего варианта просмотра (Щелкните изображение, чтобы увеличить его)
Кроме этого, в диспетчере Configuration Manager 2007 введена новая концепция под названием «домашние страницы», предоставляющая возможность очень быстрого просмотра состояния конкретной функции, например «Обновления программного обеспечения», «Распространение программного обеспечения» или «Управление требуемой настройкой». Все это можно выполнить в рамках консоли без запуска отчетов или поиска данных в других режимах. В этой статье присутствуют и другие примеры домашних страниц, поскольку обсуждаются разные функции программного продукта.

Серверные роли и точки распространения
В диспетчере Configuration Manager 2007 введено несколько новых серверных ролей для задействования некоторых из новых компонентов, обсуждаемых в статье. К ним относятся FSP (Fallback Status Point — резервная точка состояния), PSP (PXE Service Point — точка службы PXE), DP (Branch Office Distribution Point — точка распространения для филиала), SMP (State Migration Point — точка переноса состояния), SUP (Software Update Point — точка обновления программного обеспечения) и SHV (System Health Validator — средство проверки работоспособности системы). Как и в случае всех серверных ролей для сервера SMS и диспетчера Configuration Manager, эти роли могут размещаться на одном и том же сервере до тех пор, пока выполняются соответствующие операции по планированию мощности.
Роль Branch Office DP является важной и отличается от традиционной роли DP по двум причинам. Во-первых, она не требует установки на серверной операционной системе — ее можно установить на Windows Vista® или Windows® XP. Это единственная роль диспетчера Configuration Manager, которая допускает установку на клиентской операционной системе. Это очень существенно для филиала, в котором нет локального сервера, или для тех случаев, когда отделу ИТ требуется убрать серверы из небольших филиалов с целью экономии средств и снижения издержек на администрирование. В этих случаях, когда имеются только компьютеры, работающие под управлением Windows XP или Windows Vista, роль Branch Office DP можно использовать для снижения трафика WAN, гарантируя, что клиенты не получают пакеты по сети WAN, в то время как они доступны локально.
Второе свойство, которым роль Branch Office DP отличается от стандартной точки DP, заключается в возможности ее подключения к другим точкам DP. Данные репликации традиционных точек распространения не подвергаются регулировке и планированию, если только они не поступают с основного сайта на дополнительный сайт. Вследствие этого многие организации реплицируют пакеты в филиалы только в ночное время, откладывая, таким образом, распространение этих пакетов до того момента, когда они станут доступны локально.
Роль Branch Office DP использует службы BITS (Background Intelligent Transfer Services — службы фоновой интеллектуальной передачи) для загрузки информации с других точек DP. Это исключительный случай в регулировании полосы пропускания по каналу WAN между филиалом и ролью точки DP, размещенной в основном центре, особенно если в филиале нет дополнительного сайта диспетчера Configuration Manager. На рис. 3 показано новое диалоговое окно «Свойства точки DP», используемое для создания стандартной точки распространения в Branch Office DP.
Рис. 3 Настройка роли Branch Office DP
Рис. 3 Настройка роли Branch Office DP (Щелкните изображение, чтобы увеличить его)
В SMS 2003 была введена технология репликации, предусматривавшая для пакетов разностную репликацию файлов с сервера узла в точку распространения. Эта технология хорошо работала для пакетов SMS, состоящих из нескольких небольших файлов. Если, например, администратору SMS требовалось внести изменения только в один файл или несколько небольших файлов в большом пакете SMS, вместо репликации всего пакета выполнялась репликация только измененных файлов.
Поскольку развертывание операционной системы занимает большее место в Configuration Manager 2007, может потребоваться гарантия того, что репликация пакетов образов операционной системы и других больших пакетов в пределах инфраструктуры и по каналам WAN выполняется с максимально возможной эффективностью. С этой целью в Configuration Manager 2007 введена двоичная разностная репликация с сервера сайта на сервер сайта, с серверов сайта на точки распространения и с точек распространения на точки распространения Branch Office DP.
Для примера начнем с нового образа развертывания Windows Vista, имеющего несколько предустановленных приложений. Этот пакет может достигать объема 6 ГБ и, поскольку он имеет формат образа WIM (формат Windows Imaging), он состоит из одного файла объемом 6 ГБ. Как было описано ранее, в SMS 2003, если новый образ WIM был открыт для изменения или добавления вновь выпущенного исправления объемом 2 МБ, весь пакет SMS объемом 6 ГБ пришлось бы реплицировать на точки распространения. В противоположность этому, при проведении двоичной разностной репликации в Configuration Manager 2007, если изменяется настройка, или к пакету образа WIM добавляется отдельное исправление, только это одно исправление объемом 2 МБ или настройка будут реплицироваться в рамках инфраструктуры, а не все данные объемом 6 ГБ.

Обычные процедуры для мобильных устройств
Вскоре после выпуска SMS 2003 корпорация Майкрософт выпустила пакет DMFP для управления мобильными устройствами Windows CE и Pocket PC. Поскольку мобильные устройства все больше проникают в структуры предприятий, необходимость управлять ими становится высокоприоритетной задачей. С учетом этой тенденции в диспетчере Configuration Manager 2007 усовершенствован пакет SMS 2003 DMFP и предоставляется замечательное новое встроенное решение для управления мобильными устройствами, включая смартфоны Windows Mobile® и телефоны Pocket PC; управление этими устройствами осуществляется в большой степени аналогично управлению серверами, портативными и настольными компьютерами.
К базовым возможностям управления мобильными устройствами относятся проведение учета оборудования и программного обеспечения, возможности работы с коллекциями файлов, распространение программного обеспечения и управление параметрами паролей и политикой безопасности. Используя компонент диспетчера Configuration Manager 2007, предназначенный для управления клиентом через Интернет, управление всеми устройствами теперь можно осуществлять как по интрасети, так и по Интернету. Эта возможность незаменима в случае смартфонов или других устройств, которые появляются в корпоративной ЛВС редко или не появляются никогда.
Кроме того, усовершенствована процедура развертывания агента. Теперь поддерживаются обновления клиента по беспроводной сети и предусмотрена автоматизация распространения клиента с помощью консоли диспетчера Configuration Manager.

Окна обслуживания
Многие корпоративные клиенты, с которыми я работал, выполняли предварительное определение окон обслуживания как для серверов, так и для некоторых настольных компьютеров, критически важных для производственного процесса. Кроме этого, они регулярно обращались за советом относительно развертывания крупных приложений, например системы 2007 Microsoft Office, без приостановки работы конечных пользователей в течение рабочего дня.
В диспетчере Configuration Manager 2007 вводится новый компонент — окна обслуживания. Он позволяет определять интервалы времени, в течение которых можно выполнять установку конкретной коллекции. Такой подход дает свободу при создании объявления, являющегося обязательным, без необходимости заботиться о влиянии, оказываемом установкой пакетов в течение рабочего дня или в неудобные пользователям периоды времени.
В качестве примера рассмотрим развертывание пакета системы 2007 Office. Вам требуется передать это приложение конечным пользователям как можно быстрее, но требуется избежать помех, вызываемых передачей в течение рабочего дня. Предусмотрена возможность определения окна обслуживания для объявления временных рамок, в течение которых в системе будет выполняться установка — возможно, с 20:00 до 6:00. Если по какой-либо причине в конкретный день система недоступна во время этого окна обслуживания, диспетчер настройки дождется следующего определенного момента времени в рамках окна обслуживания, чтобы вынужденный перерыв в производственном процессе не оказался неожиданным. Предусмотрена также возможность игнорировать окна обслуживания на уровне объявления, что позволяет выполнять развертывание критически важных обновлений максимально быстро несмотря ни на какие ограничения, установленные в конкретном месте.

Развертывание операционной системы
В диспетчере Configuration Manager 2007 самое пристальное и основное внимание уделяется функциям поддержки развертывания операционной системы. Корпорация Майкрософт разработала диспетчер настройки в качестве основного средства развертывания операционных систем как для серверных платформ, так и для платформ рабочих станций. Самые удачные компоненты из SMS 2003 Operating System Deployment (OSD) Feature Pack были встроены в Configuration Manager 2007 с целью фундаментального изменения способа управления развертываниями ОС.
Возможно, вам известно, что в Windows Vista введен новый формат WIM (Windows Imaging) для развертывания операционных систем. В использовании этого формата имеется несколько преимуществ — начиная с того факта, что диспетчер Configuration Manager 2007 импортирует формат образа WIM в машинном коде, и поэтому администраторы могут работать с образами и развертывать их непосредственно с консоли.
Еще одним важным новым компонентом диспетчера Configuration Manager является встроенный секвенсор задач. Если вы знакомы с Microsoft Solution Accelerator for Business Desktop Deployment (BDD), вы обнаружите много похожего в компонентах и возможностях, имеющихся в диспетчере Configuration Manager, но с одним основным отличием: больше не требуется писать сценарии для развертывания или записи образов операционных систем. Используя преимущества секвенсора задач, процедуру развертывания операционной системы можно выполнять полностью без участия пользователя.
Секвенсор задач облегчает планирование всех этапов, которые необходимо выполнить в рамках развертывания ОС, включая этапы, выполняемые в старой ОС перед развертыванием (перенос файлов и параметров пользователя и параметров приложения), этапы, выполняемые в новой операционной системе (форматирование, деление дисков на разделы, ключ программного продукта, имя пользователя, компания, параметры лицензии, установка драйверов), и этапы, которые необходимо выполнить по окончании развертывания новой системы (установка дополнительных приложений, установка обновлений, перенос файлов и параметров пользователей). В качестве примера этих функциональных возможностей на рис. 4 показан редактор секвенсора задач, в котором выделены некоторые компоненты, которыми можно воспользоваться при развертывании Windows Vista.
Рис. 4 Этапы редактирования для развертывания операционной системы
Рис. 4 Этапы редактирования для развертывания операционной системы (Щелкните изображение, чтобы увеличить его)
В дополнение к секвенсору задач в Configuration Manager 2007 имеется несколько других усовершенствований процедуры развертывания операционной системы, приведенных на рис. 5. Например, диспетчер настройки поддерживает развертывание «с нуля» с использованием среды PXE (Pre-Boot Execution Environment) для платформ x86 и x64 с управлением драйверами устройств. Режим управления драйверами устройств позволяет организации значительно снизить число образов, которые необходимо поддерживать для различных видов оборудования. В сочетании с поддержкой одного образа, введенной посредством формата образа WIM Windows Vista, вам практически гарантируется экономия времени и денежных средств при выполнении развертываний операционных систем.
Figure 5 Функции развертывания операционной системы

План | SMS 2003 | Configuration Manager 2007
Полное развертывание | Да | Да
Полностью автоматизированное | Да | Да
Обновление «стирание и загрузка» | Да | Да
Развертывание на новых компьютерах с использованием PXE | Слабая интеграция со службами RIS | Встроенная интеграция со службами WDS
Параллельная | Сценарии BDD | Да, через встроенную точку переноса состояния
Полное автономное развертывание | Нет | Да
Планирование обновления до Windows Vista | Нет | Да
Полное развертывание на сервере | Нет | Да
Управление драйверами устройств | Нет | Да

Управление обновлением программного обеспечения
Подобно многим другим компонентам Configuration Manager 2007, управление обновлением программного обеспечения переработано коренным образом. В диспетчере настройки пути, по которым обновления и обычные пакеты передаются управляемому агенту, разделены посредством создания нового высокоприоритетного канала на основе состояния для всех обновлений программного обеспечения и сведений, требуемых для управления настройкой. Передаваемый пакет другого программного обеспечения больше не будет помехой передаваемым обновлениям программного обеспечения или состояниям исправлений, принимаемым от управляемых рабочих станций, портативных компьютеров или серверов.
Метод управления обновлением программного обеспечения, основанный на состоянии, предполагает также, что состояние исправления и обновления более не привязано к учетным проверкам оборудования и, в результате, больше не требуются текущее средство ITMU (средство учета для центра обновления Майкрософт) и каталог проверки. Вместо этого диспетчер настройки использует новую серверную роль SUP (точка обновления программного обеспечения), запускающую службы WSUS на фоновом сервере в качестве своих базы данных и механизма обновления программного обеспечения.
WSUS позволяет обойтись одним центральным местоположением для всех операций по управлению обновлением в диспетчере настройки. Это предоставляет возможность загружать все доступное на веб-узле центра обновлений Майкрософт содержимое, включая некритические обновления, драйверы и прочие пакеты обновлений программного обеспечения для платформы Майкрософт. Кроме этого, Майкрософт призывает своих партнеров использовать этот метод для выпуска обновлений программного обеспечения. Adobe и Citrix — это всего лишь две из компаний, публикующих в настоящее время манифесты для средства ITCU (средство учета пользовательских обновлений) в SMS 2003 R2 и планирующих продолжать это для продвижения диспетчера настройки.
Новый механизм обновления программного обеспечения предоставляет также состояние обновления практически в режиме реального времени, обеспечивая улучшенную отчетность и усовершенствованные средства просмотра домашних страниц. В этих специализированных средствах просмотра быстро отображаются графические схемы состояния обновлений информационно-технической инфраструктуры или конкретного набора компьютеров. На рис. 6 показано, насколько просто выполняется просмотр данных о соответствии исправления для конкретного бюллетеня с помощью одного из средств просмотра домашней страницы, настроенного для управления обновлением программного обеспечения.
Рис. 6 Просмотр состояния обновления программного обеспечения
Рис. 6 Просмотр состояния обновления программного обеспечения (Щелкните изображение, чтобы увеличить его)
Наконец, шаблоны развертывания обновления программного обеспечения коренным образом снижают число этапов, необходимых для передачи новых обновлений в систему или коллекцию. Шаблоны развертывания обновлений программного обеспечения можно использовать для хранения общей информации о настройке, например, о том, необходим ли принудительный перезапуск, должен ли клиент загрузить исправления из точки DP локально перед выполнением установки. Эта функция позволяет снизить число этапов с 18, требуемых для средства ITMU в SMS 2003, до 6 в диспетчере Configuration Manager 2007.

Управление требуемой настройкой
Управление настройкой — еще одна замечательная функция, значительно усовершенствованная в диспетчере Configuration Manager 2007. В средстве SMS 2003 Desired Configuration Monitoring, выпущенном осенью 2006 г., появилось много важных функций, включенных в компонент Desired Configuration Management диспетчера Configuration Manager 2007. Для получения дополнительных сведений об управлении требуемой настройкой см. статью журнала TechNet по адресу microsoft.com/technet/technetmag/issues/ 2006/09/HighStandards. На рис. 7 представлена домашняя страница «Управление требуемой настройкой», отображающая соответствие нормативным требованиям для двух конкретных базовых настроек.
Рис. 7 Отчет о базовом соответствии нормативным требованиям для необходимой настройки
Рис. 7 Отчет о базовом соответствии нормативным требованиям для необходимой настройки (Щелкните изображение, чтобы увеличить его)
Решающей причиной создания для диспетчера настройки компонента «Управление требуемой настройкой» являются обширные исследования, проведенные среди клиентов Майкрософт, которые показали, что основная часть сбоев вызывается ошибками в настройке операционной системы или приложений на критически важных для производственного процесса серверах и настольных компьютерах. В диспетчере настройки с помощью функциональных возможностей управления требуемой настройкой администраторы могут быстро обнаружить отклонение в настройке, периодически запуская в системе проверки базовой настройки. Базовые настройки создаются с использованием элементов настройки (CI) и предоставляют информацию о соответствии наборов компьютеров организации нормативным требованиям.
Кроме обнаружения отклонений в настройке, средство управления требуемой настройкой облегчает как создание отчетов о соответствии нормативным требованиям, так и проверку изменений. С высокой вероятностью в большинстве организаций существует необходимость формирования отчетов о соответствии нормативным требованиям, таким как SOX (Sarbanes-Oxley), PCI DSS (Payment Card Industry Data Security Standard) и HIPAA (Health Insurance Portability and Accountability Act). В диспетчере Configuration Manager 2007 необходимые отчеты можно создать с помощью компонента управления требуемой настройкой.
Опишем принцип работы компонента управления требуемой настройкой. Администратор определяет элементы CI — блоки настройки, которые поддаются обнаружению, применению и удалению с компьютеров. После определения элементов CI создается базовая настройка, состоящая из одного или нескольких элементов CI. Затем базовые настройки назначаются коллекциям диспетчера настройки для наблюдения за соответствием нормативным требованиям и формирования отчетов для регулятивных органов.
Элементы CI могут следить за разными аспектами работы компьютера, собирая информацию, включающую Active Directory®, метаданные файлов, результаты работы сценариев, данные, хранящиеся в SQL Server™, данные обновлений программного обеспечения, WMI, XML, параметры реестра, метаданные IIS и данные о наличии и настройке установщика Microsoft. Информация, собранная в разных точках, хранится в базе данных диспетчера настройки и используется для проверки соответствия системы нормативным требованиям.
Интересно отметить, что теперь полностью объединены процесс управления требуемой настройкой и процесс передачи новых обновлений посредством Configuration Manager 2007. Как и новый механизм обновления программного обеспечения, все данные управления требуемой настройкой используют высокоприоритетный канал на основе состояния. Объединение этих двух критически важных компонентов позволяет администратору определить новую базовую настройку для управления требуемой настройкой или обновить существующую с помощью новых обновлений в рамках процесса развертывания обновления.

Управление клиентом через Интернет
Случалось ли вашему компьютеру так долго находиться в отключенном от сети состоянии, что объект компьютера в SMS становился устаревшим? Судя по разговорам с моими клиентами, такое случается слишком часто. К счастью, в диспетчере Configuration Manager 2007 введен новый компонент — управление клиентом через Интернет. Этот компонент работает в большой степени аналогично тому, как Microsoft Office Outlook® взаимодействует с Exchange Server посредством HTTPS без использования виртуальной частной сети (VPN). Если вы не знакомы с таким вариантом, это просто означает, что вы получаете безопасное связь с клиентскими компьютерами без необходимости в усложненном подключении по VPN.
Управление клиентом через Интернет позволяет управлять компьютерами в Интернете с тем же уровнем контроля над компьютерами, как и в интрасети. Фактически все компоненты, обсуждавшиеся в этой статье, будут работать с компонентом управления клиентом через Интернет, за исключением развертывания операционной системы, пробуждения по сети и средств удаленного режима, поскольку они используют для взаимодействия разные порты и не могут быть переданы по SSL или TLS. Среди нескольких замечательных примеров ситуаций, когда вступает в игру управление клиентом через Интернет, присутствуют кассовые устройства для ресторанов, магазинов розничной торговли и бензоколонок; домашние компьютеры служащих; работающие в дороге люди, например, коммивояжеры или группа консультантов.
Имеется ряд требований, которые необходимо удовлетворить, прежде чем задействовать управление клиентом через Интернет в инфраструктуре диспетчера Configuration Manager 2007. Во-первых, необходима PKI (инфраструктура открытых ключей) для выдачи цифровых сертификатов всем агентам, управляемым диспетчером настройки. Это позволяет использовать взаимную проверку подлинности между серверами диспетчера настройки и всеми агентами управления, чтобы гарантировать то, что принимаемые данные зашифрованы и поступают из доверенного источника. Понадобится также терминатор SSL для работы в качестве точки подключения между серверами диспетчера настройки и всех клиентов Интернета. Microsoft Internet Security and Acceleration (ISA) Server 2006 является программным решением, отвечающим всем этим требованиям.
Управление клиентом через Интернет требуется там, где используется новая серверная роль FSP (резервная точка состояния). Перестанут ли должным образом взаимодействовать агенты Интернета, истечет ли срок действия сертификата — агент сообщит о проблеме в доступную резервную точку состояния, находящуюся в периферийной сети вашей организации. Это гарантирует постоянный контакт с системами, управляемыми по Интернету. Кроме того, при перемещении клиентов выполняется автоматический переход от управления по Интернету к управлению по интрасети и обратно, чтобы соответствующие ресурсы в соответствующее время использовались оптимальным образом.

Другие новые функции
Хотя пробуждение по сети не рассматривается как критически важная функция, она имеет исключительную ценность для арсенала средств администратора и позволяет быстро и спокойно выполнять распространение и обновление программного обеспечения или развертывание операционной системы. Диспетчер Configuration Manager 2007 обеспечивает функциональные возможности пробуждения по сети для всех агентов, управляемых по интрасети и оборудованных совместимой сетевой картой. На рис. 8 показан пример использования во вновь спроектированном мастере объявлений пробуждения по сети для объявления. В этом случае выполняется развертывание нового пакета для группы компьютеров. Если устройство, поддерживающее пробуждение по сети, отключено, а в мастере включен этот параметр, диспетчер настройки запускает в системе развертывание пакета, определенного в объявлении.
Рисунок 8 Пробуждение по сети в объявлении о распространении программного обеспечения
Рисунок 8 Пробуждение по сети в объявлении о распространении программного обеспечения (Щелкните изображение, чтобы увеличить его)
В диспетчере настройки полностью переписан компонент удаленного управления с целью создания более безопасного и надежного решения со значительно увеличенной производительностью. Вместо старых средств, которые использовались со времен SMS 1.0, теперь диспетчер настройки использует собственную технологию совместной работы Windows Vista, встроенную в протокол RDP. Базовый набор функций тот же, что и при использовании SMS 2003, и он не требует принятия новых сеансов конечным пользователем, однако вводятся три новых уровня доступа: полное управление, только просмотр и никакой. В добавление к этой новой технологии Configuration Manager 2007 по-прежнему объединен с компонентом удаленного помощника в расчете на ситуации, в которых могут понадобиться эти функции.

Заключение
Мы рассмотрели несколько новых функций и усовершенствований в System Center Configuration Manager 2007. Эти функции были спроектированы для облегчения работы администратора, обеспечения новых рабочих нагрузок и снижения затрат на информационно-техническую среду. Диспетчер Configuration Manager 2007, наряду с другими программными продуктами семейства System Center, является надежной поддержкой при управлении самыми сложными информационно-техническими инфраструктурами и обеспечивает конкурентоспособность предприятия.
Кроме компонентов, представленных в данной статье, в программный продукт внесено множество усовершенствований, таких как интеграция Windows Server® 2008 Network Access Protection (NAP) и усовершенствованные средства управления лицензиями (SAM), основанные на технологии Asset Intelligence, входящей в пакет обновления 3 (SP3) для SMS 2003. Я призываю вас загрузить версию-кандидита диспетчера Configuration Manager 2007 или пробную версию RTM, чтобы понаблюдать эти компоненты в работе в рамках вашей инфраструктуры.
Для получения дополнительных сведений и обзора всех программных продуктов семейства System Center посетите веб-узел по адресу microsoft.com/systemcenter. Отсюда можно перейти к любому решению из семейства System Center, включая диспетчер настройки.

Джон Орефайс (John Orefice) — специалист по техническим решениям в округе «Среднеатлантические штаты» корпорации Майкрософт. Он работал в течение нескольких лет над решениями Майкрософт по управлению — сначала в качестве консультанта в MCS (консультационная служба корпорации Майкрософт), а теперь в текущей должности. С ним можно связаться по адресу john.orefice@microsoft.com.
© 2008 Корпорация Майкрософт и компания CMP Media, LLC. Все права защищены; полное или частичное воспроизведение без разрешения запрещено.


Системный центр
Развертывание приложений и обновлений в филиалах
Стив Рачуи (Steve Rachui)
Краткий обзор:
  • Настройка точки распространения в филиале
  • Все о границах
  • Три подхода к подготовке данных

Майкрософт готов выпустить решение нового поколения для управления системами. Ранее известный под названием «сервер управления системами» (Systems Management Server (SMS)), новый диспетчер Configuration Manager 2007 из состава системного центра
предлагает большое количество новых функций, которые вас поразят. Одна из этих удобных функций — точки распространения для филиалов (BDP), новый тип точек распространения, специально разработанный для обеспечения нужд параметров небольших или распределенных офисов. На первый взгляд, и в сравнении с другими новыми функциями, BDP может показаться незначительным дополнением, однако не нужно недооценивать эту функцию.
В предыдущих версиях SMS серверные системы были единственными поддерживаемыми платформами для размещения точек распространения. В результате администраторы, которые должны были обеспечивать филиалы, в которых часто не хватало локальных серверов, а связь проходила при помощи медленных каналов WAN, прилагали немалые усилия для разработки и создания инфраструктуры, которая позволила бы своевременное и эффективное распространение программного обеспечения. Именно для этих целей и был создан BDP.
BDP, созданный для работы как на рабочих станциях, так и на системах серверного уровня, – это компонент, который присутствует (хотя и не включается по умолчанию) в каждом клиенте диспетчера конфигурации 2007. Хотя каждый клиент диспетчера конфигурации 2007 располагает кодом, необходимым для работы в качестве BDP, не каждый клиент настроен соответствующим образом.

Настройка BDP
Активация функции BDP в клиенте в основе напоминает настройку любой серверной точки распространения. Вы начинаете с настройки клиента как новой системы (как показано на рис. 1), а затем назначения ее в качестве точки распространения для филиала (как на рис. 2). Эта настройка приведет к тому, что BDP станет доступной точкой распространения для пакетов, программных обновлений, образов развертывания операционной системы (OSD) и т.д. Политика будет готовиться сервером сайта и направляться на выбранный клиент, который включит функцию BDP. После загрузки политики клиент начнет работу в качестве BDP.
Рис. 1 Настройка клиента как новой системы сайта
Рис. 1 Настройка клиента как новой системы сайта
Рис. 2 Настройка системы сайта как точки распространения для филиала
Рис. 2 Настройка системы сайта как точки распространения для филиала
BDP, или любая другая система сайта, может быть настроена для обслуживания определенной границы (ранее – границы сайта в SMS 2003) или группы границ, или же настроена для работы без конкретизации границ. Границы в диспетчере конфигурации 2007 обычно определяются IP-адресом подсети или сайтом Active Directory®.
Для настройки BDP на обслуживание определенного набора границ выберите параметр "Включить эту систему узла в качестве защищенной системы сайта» в окне настройки системы сайта, а затем укажите границы обслуживания, как показано на рис. 1. Это необходимое действие, если вы планируете использовать BDP для обеспечения содержимого по требованию (о чем я вскоре расскажу). Если не выполнить это действие, то BDP будет функционировать как любая стандартная точка распространения.

О границах
Защищенные границы BDP служат только для того, чтобы определять, какие клиенты могут получать доступ к содержимому BDP; они не определяют, к чему может получить доступ стандартная точка распространения BDP для загрузки необходимого содержимого. Предположим, например, что существует среда, в которой BDP установлен на границу А. Теперь предположим, что граница B содержит единственную стандартную точку распространения, использующую фоновую интеллектуальную службу передачи (BITS), и эта точка распространения настроена для обслуживания только клиентов границы B. Удастся ли BDP загрузить ее содержимое? В соответствии с правилами защищенных границ вы можете подумать, что попытка будет неудачной. Однако в этой ситуации загрузка будет удачной, поскольку загрузки BDP не учитывают защищенных границ, настроенных для стандартных точек распространения.
Точки BDP также предлагают очень гибкий режим. Можно включить одну точку BDP на филиал или, при необходимости, несколько точек BDP в пределах одного филиала (границы). Когда несколько точек BDP настроены на обслуживание одних и тех же границ, они сбалансированно работают вместе для обеспечения содержимым клиентов в пределах этих границ.

Подготовка данных
После включения BDP может получить необходимое содержимое тремя разными способами: подготовка администратором, подготовка по требованию и подготовка вручную. Вне зависимости от метода, который вы используете для получения содержимого, по крайней мере одна стандартная точка распространения с включенной BITS должна получать содержимое, проходящее через BDP. Рассмотрим три способа получения содержимого.
Подготовка администратором Это хорошо знакомый метод размещения содержимого на точке распространения. При использовании этого метода администратор должен вручную выбирать BDP в качестве точки распространения. При этом политика должна предупреждать BDP о необходимости загрузки содержимого, подготовленного стандартной точкой распространения с включенной BITS в пределах того же узла в течение следующего цикла обновления политики.
Подготовка по требованию Это новый метод размещения содержимого и относится только к BDP. Этот метод позволяет загружать на BDP содержимое по требованию клиента. Администратор не предпринимает никаких действий для обеспечения загрузки содержимого на BDP—т.е. BDP не выбирается в качестве точки распространения в пределах узла пакетов. Подготовка по требованию приведет к выбору BDP в качестве точки распространения при запросе содержимого. Это происходит автоматически и не требует вмешательства.
Подготовка по требованию может происходить только в случае, если пакет настроен на поддержку этого режима (см. рис. 3), а BDP защищен для того, чтобы клиенты, запрашивающие содержимое, могли получить доступ только к BDP, а не к любой стандартной точке распространения с содержимым. Если несколько точек BDP настроено в пределах одних и тех же защищенных границ, запрос на подготовку по требованию на одну из них приведет к тому, что содержимое будет подготовлено для всех.
Рис. 3 Включение распространения по требованию пакета
Рис. 3 Включение распространения по требованию пакета
Подготовка вручную Как следует из названия, этот метод размещения содержимого требует действий администратора. Пакет должен быть настроен так, чтобы указать, что содержимое будет передаваться вручную, как показано на рис. 3. Содержимое затем должно быть вручную скопировано на BDP в папку пакетов, используя структуру каталогов для типичного пакета.
BDP распознает новый пакет и предоставит к нему доступ клиентам, делающим запрос. Поскольку этот метод позволяет передавать содержимое на BDP с использованием съемных носителей, этот метод является идеальным для сред с ограниченной пропускной способностью между стандартной точкой распространения и BDP.
Вы можете настроить BDP на хранение загруженного содержимого в отдельном разделе. Если раздел не назначена, BDP автоматически выберет раздел для использования. Когда содержимое настроено для размещения на BDP или при обработке запроса по требованию, нужное содержимое не сразу становится доступным на BDP. Вместо этого готовится политика для предупреждения BDP о том, что содержимое готово для загрузки. На следующем цикле политики точка BDP получит политику и начнет загрузку содержимого через BITS. Вы можете использовать групповую политику для более четкого контроля используемой пропускной способности и графика загрузок через BITS. Общая папка точки распространения BDP выглядит так же, как общая папка стандартной точки распространения, что означает, что содержимое не зашифровано.

Правильная установка для вашей организации
Как упоминалось, роль BDP создавалась для филиалов и является полностью функциональной на системах рабочих станций. Тем не менее, BDP может работать и на системах серверного уровня. Базовая ОС будет влиять на количество подключений, которые можно осуществлять к BDP. Рабочие станции ограничены десятью одновременными подключениями, а у серверов таких ограничений нет. Таким образом, в зависимости от количества одновременных подключений, которые вам нужно поддерживать, может потребоваться использовать систему серверного уровня или несколько систем рабочих станций в пределах одного филиала. Вне зависимости от используемой вами платформы, у вас должна быть, по крайней мере, одна стандартная точка распространения с поддержкой BITS, где имеется запрашиваемое содержимое.
Как бы ни была настроена ваша инфраструктура, BDP даст вам улучшенные возможности контролировать поток распространения программного обеспечения в пределах любой организации. Встроенная поддержка для BITS, позволяющая регулировать и упорядочивать загрузки, является основным преимуществом для администраторов, нуждающихся в более четком контроле и предсказуемости.

Стив Рачуи (Steve Rachui) – инженер по улучшению поддержки управляемости в группе службы поддержки продукции корпорации Майкрософт. Он занимался поддержкой SMS, начиная с версии 1.2. Связаться со Стивом можно по адресу steverac@microsoft.com.


Системный центр
Начало работы с системным центром Essentials 2007
Дэвид Миллс (David Mills)
Краткий обзор:
  • Установка и обновление
  • Настройка Essentials 2007
  • Шаги по выявлению и устранению неполадок

Essentials 2007 на основе Системного центра – это новое решение в области управления средой ИТ, специально разработанное для нужд среднего бизнеса с машинным парком от 50 до 500 компьютеров и от 5 до 30 серверов. Essentials 2007 был разработан в ответ на большое количество отзывов и пожеланий относительно унификации решений управления от
специалистов по ИТ. Essentials 2007 учитывает эти пожелания и позволяет осуществить их просто и быстро, установив единственное просто настраиваемое приложение.
Говоря конкретнее, Essentials 2007 предлагает возможности наблюдения, устранения неполадок и учета элементов систем, что поможет поддерживать безопасность и актуальность среды ИТ. Essentials 2007 также предоставляет унифицированную консоль управления, с помощью которой можно управлять серверами, клиентами, оборудованием, программным обеспечением и службами ИТ (см. рис. 1). Кроме того, Essentials может решать сложные задачи управления, например устранение проблем конечного пользователя, наблюдение, более простое и эффективное развертывание серверного и клиентского программного обеспечения.
Рис. 1 Консоль управления Essentials 2007
Рис. 1 Консоль управления Essentials 2007 (Щелкните изображение, чтобы увеличить его)

Системные требования для установки Essentials 2007
Перед началом установки и настройки Essentials 2007 проверьте, соответствует ли система минимальным аппаратным и программным требованиям. Операционной системой, установленной на сервере, должна быть ОС Windows Server® 2003 с пакетом обновления 1 (SP1) или R2 или Windows® Small Business Server 2003 с пакетом обновления 1 (SP1) или более поздним. Также необходимы установленные Active Directory®, IIS 6.0, Microsoft® .NET Framework 2.0 и 3.0 или более поздней версии и SQL Server™ 2005 с пакетом обновлени 1 (SP1). Самому серверу требуется по крайней мере 1 ГБ ОЗУ, 12 ГБ свободного дискового пространства и процессор с частотой не менее 1,8 ГГц. Рекомендуется компьютер с 2 ГБ ОЗУ, 20 ГБ свободного дискового пространства и процессор с частотой 2,8 ГГц или более быстрый.
На управляемом компьютере клиента необходима установленная ОС Windows 2000 Professional с пакетом обновления 4 (SP4), Windows XP с пакетом обновления 2 (SP2) или Windows Vista®. Поддерживаются операционные системы как x86, так и x64.
На управляемых серверных компьютерах необходима установленная ОС Windows 2000 Professional с пакетом обновления 4 (SP4) или более поздняя операционная система. Поддерживаются операционные системы как x86, так и x64. Так как многие из вас, возможно, наблюдать и управлять средой ИТ со своего собственного компьютера или ноутбука, на машине будет необходимо запустить установку только консоли Essentials 2007. Перед началом установки убедитесь, что на компьютере установлена ОС Windows XP с пакетом обновления 2 (SP2), Windows Vista или Windows Server 2003 с пакетом обновления 1 (SP1).
Также, если вы планируете конфигурацию сервера Essentials 2007, выделите достаточное количество дискового пространства для загрузки обновлений базы данных отчетов. База данных обновлений может вырасти больше 2 ГБ, а содержимое обновлений - больше 6 ГБ. Рабочая и отчетная базы данных Essentials могут увеличиться до 4 ГБ. Планируйте доступность дискового пространства соответствующим образом, чтобы избежать переполнения места для хранения данных.

Установка Essentials 2007
Установка Essentials 2007 очень проста, так как эффективно использует мастер установки, который быстро поможет с прохождением таких важных задач, как установка и настройка, обнаружение компьютеров и настройка обновления. При запуске мастера установки Essentials 2007 автоматически проверяет выполнение обязательных требований и сообщает о том, что системе чего-то недостает для установки (см. рис. 2).
Рис. 2 Проверка предварительных требований для установки
Рис. 2 Проверка предварительных требований для установки (Щелкните изображение, чтобы увеличить его)
Если требуемый компонент отсутствует на установочном диске Essentials 2007, перейдите по ссылке на экране установки, чтобы установить недостающее программное обеспечение. После окончания работы мастера установки необходимо ввести путь к папке установки Essentials 2007 и сведения для учетной записи, обладающей привилегиями администратора. Управлять компьютерами, используя Essentials 2007, можно гораздо проще, если эта учетная запись обладает правами администратора на управляемом сервере и всех управляемых компьютерах. Essentials поддерживает использование единой учетной записи для выполнения таких задач, как установка агентов на управляемые компьютеры.
Если в настоящий момент у вас не установлен SQL Server 2005 с возможностью использования вместе с Essentials 2007, локально или удаленно, вы можете выбрать установку SQL Server 2005 Express и дополнительных служб во время установки Essentials 2007. Эта версия SQL Server включена в состав установочного диска Essentials 2007. Также вы можете приобрести версию Essentials 2007 с SQL Server 2005 Standard, лицензированных специально для использования вместе с Essentials 2007.
Во время установки необходимо принять еще одно решение, чтобы указать, где Essentials 2007 будет хранить обновления. Обновления можно сохранять локально, тогда они будут доставляться на управляемые компьютеры по сети с сервера Essentials 2007. Возможно, это будет наилучшим выбором, особенно если доступ к Интернету имеет тенденцию становиться «узким местом» в вашей сети. Обновления также могут быть загружены напрямую с узла Центра обновления Майкрософт каждый раз, когда возникнет необходимость в обновлении. Выбор этого параметра означает, что одно обновление на 50 компьютерах будет загружено 50 раз, единожды на каждом. Это может быть громоздким, но преимущество заключается в использовании меньшего места на сервере.
Основная топология развертывания, поддерживаемая Essentials 2007, заключается в установке всех компонентов управления на одном сервере (см. рис. 3). Однако консоль управления Essentials 2007 также можно установить на настольном или переносном компьютере в офисе и удаленно управлять сервером управления. Перед установкой удаленной консоли необходимо запустить мастер настройки компонентов на сервере Essentials 2007. Этот процесс определяет использование локальной групповой политики или групповой политики домена для настройки удаленной консоли. При выборе групповой политики домена убедитесь, что прошло достаточно времени для ее обновления на компьютере для установки удаленной консоли. При необходимости можно установить несколько удаленных консолей.
Рис. 3 Основная конфигурация Essentials 2007
Рис. 3 Основная конфигурация Essentials 2007
При управлении информационной средой более чем с 200 компьютерами необходимо установить SQL Server 2005 на удаленном сервере (а не на сервере управления Essentials 2007) и использовать этот удаленный экземпляр в качестве базы данных Essentials 2007 (см. рис. 4). Это обеспечивает увеличение производительности при расширении. Но следует помнить, что этот удаленный сервер должен находиться в том же домене, что и сервер управления Essentials 2007.
Рис. 4 Использование удаленной базы данных SQL Server
Рис. 4 Использование удаленной базы данных SQL Server
При использовании существующего экземпляра базы данных SQL во время установки Essentials 2007 необходимо убедиться в установке служб SQL Server 2005 с пакетом обновления 1 (SP1) и настройке на сервере управления Essentials 2007.

Обновление до Essentials 2007
Вероятно, вы уже используете службы Windows Server Update Services (WSUS) 2.0 или 3.0 для управления обновлениями Microsoft. В таком случае, если необходимо выполнить обновление на Essentials 2007 для получения более полного решения по управлению, Essentials позволяет выполнить обновление во время процесса установки. Такое обновление на месте сохраняет существующую информацию обновления, включая двоичные файлы, группы и одобрения.
Если при использовании Microsoft Operations Manager (MOM) 2005 или MOM 2005 Workgroup Edition для отслеживания критических серверов необходимо добавить функции Essentials 2007 для инвентаризации, распространения и обновления программного обеспечения, можно просто перенести пакеты управления с помощью их экспорта, преобразования и импорта непосредственно в Essentials 2007. Также как и MOM 2005, Essentials 2007 использует пакеты управления для отслеживания компьютеров и устройств. Пакеты управления также содержат сведения, необходимые для успешной диагностики и разрешения проблем с ИТ. Если полный переход на Essentials 2007 не требуется, можно сохранить совместное функционирование для сохранения критически важного наблюдения и выполнить необходимый перенос.
Имейте в виду, что некоторые параметры WSUS не сохраняются во время обновления до Essentials 2007. Будет потеряны все сведения о компьютерах, автоматических подтверждениях и параметрах, а также все существующие подтверждения для групп «Все клиенты» или «Все серверы». Поэтому перед обновлением необходимо удалить группы «Все клиенты» и «Все серверы» из WSUS. Далее после завершения установки Essentials 2007 необходимо снова создать эти подтверждения.
Обратите внимание, что это обновление WSUS невозможно выполнить, если существующий сервер имеет подчиненные серверы. Essentials 2007 не поддерживает режим вышестоящего сервера WSUS (USS). Поскольку это нельзя обнаружить с полной гарантией, вы будете предупреждены, если у сервера WSUS отсутствуют подчиненные серверы. Кроме того, не выполняйте обновление при использовании WSUS 2.0 или 2.0 с пакетом обновления 1 (SP1) с удаленным сервером баз данных не под управлением SQL Server 2005 с пакетом обновления 1 (SP1) для сохранения данных WSUS.
Резервная копия текущей базы данных автоматически создается во время процесса обновления. Если обновление завершилось неудачно, можно восстановить предыдущую среду с помощью резервной копии. Убедитесь, в наличии достаточного пространства для резервного копирования текущей базы данных WSUS, проверив размер ее файла и убедившись, что доступного места на диске достаточно для резервной копии.

Настройка Essentials 2007
Essentials 2007 предоставляет множество мастеров для выполнения задач настройки и управления. Мастер настройки функций выполняет определенные действия по настройке, которые было бы трудно выполнить вручную, например настройка групповой политики. На рис. 5 показана первая страница мастера.
Рис. 5 Запуск мастера настройки функций
Рис. 5 Запуск мастера настройки функций (Щелкните изображение, чтобы увеличить его)
При необходимости использования прокси-сервера при подключении к Интернету одним из первых действий является ввод имени сервера и номера порта. Далее необходимо выбрать тип групповой политики для настройки управляемых компьютеров — локальная или групповая политика домена. При использовании групповой политики домена для настройки управляемых компьютеров также можно создать исключение брандмауэра Windows.
Далее идет дополнительный этап включения удаленного помощника компьютеров. Этот этап необходим при использовании групповой политики домена для настройки клиентов. Имейте в виду, что при этом создается исключение для всех управляемых компьютеров для разрешения протокола DCOM через порт 135 протокола TCP.
Можно выбрать сбор наблюдения за ошибками без агентов с управляемых компьютеров. При выборе «Да» и указания расположения для сохранения ошибок управляемые компьютеры будут отправлять серверу Essentials 2007 отчеты об ошибках, которые можно просматривать для определения приложений с проблемами.
Можно выбрать отправку отчетов об ошибках корпорации Майкрософт или настраивать и отправлять ежедневный отчет о состоянии системы с информацией о предупреждениях, обновлениях, программном обеспечении и инвентаризации. При настройке отправки ежедневного отчета о состоянии системы по электронной почте можно быстро определить состояние информационной среды в самом начале рабочего дня.
Наконец, можно запланировать ежедневное обнаружение новых компьютеров. Я рекомендую использовать эту возможность, поскольку при этом Essentials 2007 выполняет ежедневный поиск компьютеров в Active Directory и настраивает их для автоматического управления.
При настройке мастера управления компьютерами и устройствами на автоматическое обнаружение компьютеров сервер Essentials 2007 запрашивает Active Directory и обнаруживает все перечисленные компьютеры в домене для управления (см. рис. 6). При выборе параметра расширенного обнаружения можно выполнить фильтрацию обнаруженных устройств по типу, например, только клиенты или сетевые устройства, выполнить поиск в диапазоне IP-адресов или создать расширенные запросы. Я рекомендую выбрать автоматическое обнаружение компьютеров и сначала запустить его для обнаружения всех клиентов и серверов. Поскольку Essentials 2007 также отслеживает сетевые устройства, поддерживающие протокол SNMP, можно еще раз запустить мастер в расширенном режиме и обнаружить сетевые устройства.
Рис. 6 Запуск мастера управления компьютерами и устройствами
Рис. 6 Запуск мастера управления компьютерами и устройствами (Щелкните изображение, чтобы увеличить его)
Если в сети более 300 компьютеров, вероятно, следует выбрать расширенное обнаружение и указать более точный критерий поиска компьютеров. При указании учетной записи администратора убедитесь, что учетным записям на компьютерах, которые необходимо обнаружить и на которых необходимо установить агенты, назначены права администратора. После выполнения обнаружения выберите компьютеры для управления и нажмите «Готово».
Если вы использовали WSUS, некоторые параметры мастера настройки управления обновлением будут вам знакомы. Если при подключении сервера к Интернету необходим прокси-сервер, введите его параметры. Выберите продукты, для которых необходимо загрузить и развернуть обновления, затем выберите необходимые для обновлений языки (по умолчанию выбран язык сервера). Выберите категории обновлений для загрузки и развертывания (по умолчанию выбраны критические обновления, обновления безопасности и пакеты обновления). При необходимости выберите категории обновлений, которые необходимо автоматически утвердить и для каких именно групп. (По умолчанию выбраны критические обновления и обновления безопасности для группы «Все компьютеры»). Наконец, установите график синхронизации обновлений (по умолчанию выбрано ежедневно).
При входе в систему с учетными данными «Администратор домена» или «Администратор групповой политики» при настройке Essentials 2007 необходимо выбрать групповую политику домена для настройки управляемых компьютеров; это значительно упрощает настройку. При выборе групповой политики домена можно автоматизировать настройку параметров брандмауэра Windows и удаленного помощника для всех управляемых компьютеров. При выборе этого варианта Essentials 2007 создает настройки политики. При выборе локальной групповой политики необходимо выполнить некоторую настройку вручную.

Устранение неполадок в Essentials
При устранении неполадок, связанных с обнаружением компьютеров, развертыванием агентов и связью, необходимо учитывать несколько моментов. Прежде всего, кратко рассмотрим процесс обнаружения компьютеров. Essentials 2007 использует входные параметры поиска и создает запрос протокола LDAP (LDAP – это язык запросов, используемый для поиска объектов Active Directory). Затем запрос LDAP передается локальному контроллеру домена, и отправляется задача поиска; затем Active Directory возвращает результаты серверу управления. Затем сервер управления пытается подключиться к каждому компьютеру в возвращенном списке для проверки связи с этими обнаруженными компьютерами для обеспечения возможности установки агентов. После проверки компьютера он добавляется в список обнаруженных компьютеров для управления.
Впрочем, необходимо учитывать, что сервер Essentials 2007 может не обнаруживать компьютеры при проблемах с Active Directory, сетью и DNS, а также проверкой.
Откройте консоль управления «Active Directory – пользователи и компьютеры» для проверки наличия компьютера в списке. Это средство установлено в Windows Server 2003 по умолчанию и может быть установлено в Windows XP Professional из пакета администрирования Windows Server 2003. Выберите папку «Сохраненные запросы», щелкните ее правой кнопкой мыши, выберите «Создать», затем «Запрос». Введите имя запроса, затем нажмите кнопку «Определить запрос». Щелкните раскрывающийся список «Поиск» и выберите «Компьютеры». Введите имя или префикс поиска и нажмите кнопку «OK» несколько раз для создания запроса.
Теперь убедитесь, что компьютер присутствует в списке результатов. В противном случае добавьте компьютер в Active Directory. Убедитесь, что для компьютера правильно установлено свойство DNSHostname; это свойство находится на вкладке «Общие» диалогового окна компьютера в консоли управления «Active Directory – пользователи и компьютеры».
При необходимости связи с компьютером через сеть используйте команду ping и попробуйте подключиться к компьютеру с помощью имени, указанного в мастере обнаружения. Если компьютер отвечает на команду ping, выполните команду с параметром -a и IP-адресом:
ping -a <IP address>
При выполнении следующей команды отобразится DNS компьютера; он должен соответствовать DNS, используемому в исходной команде ping. Используйте эту команду для просмотра зарегистрированного имени NetBIOS и домена компьютера:
nbtstat -a <computer name>
При этом будет выполнена эта же задача с IP-адресом компьютера.
nbtstat -A <IP address>
Параметр команды –a чувствителен к регистру. Обратите внимание, что параметр –A используется при использовании IP-адреса. Если компьютер не отвечает на запрос ping или происходит ошибка установки удаленного агента с появлением сообщения «RPC Service Unavailable» (Служба RPC недоступна), брандмауэр Windows включен. Если брандмауэр включен в среде развертывания Essentials 2007, необходимо создать исключения, чтобы сервер управления Essentials 2007 мог успешно установить агенты на управляемых компьютерах, чтобы они могли связываться с сервером управления. (При использовании управляемого компьютера не требуется создавать какие-либо исключения брандмауэра вручную, если используется групповая политика домена, а не локальная групповая политика.)
При ошибке установки агента перейдите к пространству «Administration» (Администрирование) (золотой зубец в левом нижнем углу основной консоли управления Essentials 2007 рядом с кнопкой «Reporting navigation» (Перемещение по отчетам)), затем щелкните «Pending Management» (Ожидающие утверждения операции управления). В данном представлении содержатся действия по устранению неполадок, а также возможность повторной передачи агентов на компьютеры в случае ошибки при первой установке.
Убедитесь, что для применения политики брандмауэра на всех компьютерах для управления предусмотрено несколько часов. При запуске мастера настройки компонентов выберите групповую политику домена, затем мастер управления компьютерами и устройствами, политика брандмауэра могла не примениться к обнаруживаемым компьютерам, что могло привести к ошибке обнаружения при включенном брандмауэре.
Одним из способом убедиться в возможности успешного переноса агента на компьютер заключается в подключении к компьютеру с сервера управления по протоколу telnet. Если связь сервера управления с компьютером по протоколу telnet через порт 135 возможна, все готово. В противном случае брандмауэр на этом компьютере может блокировать TCP-порт 135. Для запуска telnet необходимо просто открыть окно командной строки и набрать:
telnet <computer_name> 135
Произойдет подключение к указанному компьютеру по протоколу telnet через порт 135. Порт 135 является важным, поскольку он используется при удаленной установке агента.
Если это не работает, убедитесь, что созданы правильные исключения брандмауэра Windows для развертывания агента и связи с сервером управления. В противном случае необходимо создать исключения для портов, как показано на рис. 7. Для всех этих исключений укажите только IP-адреса сервера управления Essentials 2007 с помощью параметра «Custom list».
Figure 7 Исключения для портов

Протокол | Название | Порт
TCP | Порт 6270 | 6270
TCP | Порт 135 | 135
TCP | Порт 445 | 445
Если на компьютерах используются брандмауэры сторонних производителей, для создания исключений необходимо обратиться к документации этого продукта. Однако исключения для портов, указанные на рис. 7, все еще применяются.
Если имя NetBIOS и полное доменное имя (FQDN) не совпадают, записи DNS для компьютера должны быть исправлены. Если агент установлен, но не может связаться с сервером управления, подключитесь к компьютеру, на котором установлен агент, через службы терминалов или удаленный рабочий стол и используйте команды ping и nbtstat, чтобы убедиться в том, что агент может разрешить имена NetBIOS и FQDN сервера управления.
Если IP-адрес сервера управления Essentials 2007 назначен динамически, необходимо обновить политики брандмауэра на управляемых компьютерах при изменении IP-адреса. Для обновления исключений брандмауэра для нового IP-адреса сервера управления установите два следующих параметра политики в редакторе объектов групповой политики, и настройте их, как описано ниже. Для параметра «Брандмауэр Windows: Разрешать исключения для удаленного управления» установите «Разрешить незапрошенные сообщения от» для нового IP-адреса сервера управления. Для параметра «Брандмауэр Windows: Разрешать исключения для общего доступа к файлам и принтерам» установите «Разрешить незапрошенные сообщения от» для нового IP-адреса сервера управления.

Заключение
Я надеюсь, что информация, приведенная в данной статье, оказалось для вас полезной при начале работы с System Center Essentials 2007. Дополнительные сведения об этом новом продукте семейства System Center см. на веб-узле go to microsoft.com/sce.
Но следует помнить, что тщательное перед планированием должно выполняться обязательно. В этом случае будет развертываться новое решение для управления ИТ-среды, поэтому следует удалить некоторое время, что определить текущую конфигурацию сети, способ работы пользователей и необходимый способ управления ИТ-ресурсами. Рассмотрение этих моментов поможет в успешной настройке Essentials 2007 для ваших потребностей.

Дэвид Миллс (David Mills) работает в компании Майкрософт в течение семи лет в качестве старшего технического руководителя продукта по Essentials 2007 в составе системного центра. Перед тем, как присоединиться к группе маркетинга системного центра, Дэвид руководил группами поддержки пользователей в подразделении Windows Server, отправляющем специалистам по ИТ техническую документацию по основным технологиям управления и работы с сетями.


Системный центр
Наблюдайте за своими серверами при помощи Operations Manager 2007
Пит Зергер (Pete Zerger)
Краткий обзор:
  • Новые возможности Operations Manager 2007
  • Использование консоли операций
  • Предназначение ролей
  • Новые мощные средства построения отчетов

System Center Operations Manager 2007 является значительным развитием платформы управления работой корпорации Майкрософт. Operations Manager 2007 представляет изменение парадигмы в стратегии, переход от наблюдения, нацеленного на компьютеры, к ориентированной действительно на службы
платформе наблюдения. Хотя новая модель сохраняет некоторое сходство с предыдущей в виде решения для наблюдения, основанного на агентах, продолжая концепцию, знакомую любому администратору Microsoft® Operations Manager (MOM) 2005, многое поменялось. Как вы увидите, добавились потрясающие новые возможности, новые интерфейсы управления и огромное число дополнительных материалов для изучения этого новейшего дополнения семейства продуктов Microsoft System Center.

Интерфейсы управления
Нигде так не бросаются в глаза изменения, как в новых интерфейсах управления. Отдельных консолей операций и администрирования больше нет, их заменила объединенная консоль операций, предоставляющая функции администрирования, разработки, управления и отчетности (см. рис. 1). Также исчезло единственное, часто вводящее в заблуждение, дерево папок консоли администрирования MOM 2005. Его место занял интерфейс, больше похожий на Outlook®, содержащий пять функциональных рабочих областей: наблюдение, разработка, отчетность, управление и персональная рабочая область.
Рис. 1 Использование консоли операций
Рис. 1 Использование консоли операций (Щелкните изображение, чтобы увеличить его)
Рабочая область наблюдения содержит представления сетевой инфраструктуры по уведомлениям, состоянию, производительности и подключению в удобном интерфейсе, похожем на тот, который используется в консоли оператора в MOM 2005.
В рабочей области разработки вы настраиваете новые правила и создаете группы, к которым будут применяться правила и за которыми будет идти наблюдение. Значительно улучшенный интерфейс построения отчетов встроен в консоль операций, что избавляет от необходимости посещать отдельный веб-узел с отчетами. Кроме того, существует интерфейс для выполнения административных задач, таких как обнаружение компьютеров и сетевых устройств и настройка параметров безопасности и оповещения. Наконец, персональная рабочая область позволяет создавать пользовательские представления, сохранять часто используемые представления и шаблоны поиска и настраивать пользовательские подписки на оповещения.
Консоль операций оснащена контекстно-зависимой справочной системой, включающей ссылки на документацию, интерактивные веб-трансляции и руководство по принципам работы. Консоль операций также оснащена богатыми возможностями поиска, позволяющими пользователям определять расширенные критерии поиска объектов любого типа и возвращающими результаты в зависимости от определенных в поиске параметров типа и значения объекта.
Панель «Actions» содержит набор контекстно-зависимых задач, предоставляющих сведения о состоянии и настройке объекта, и позволяет запустить новое средство Health Explorer для выбранного объекта (см. рис. 2). В интерфейсе Health Explorer древовидная структура, представляющая состояние наблюдаемых объектов для конкретной сущности (наблюдаемого объекта), является иерархической. Наблюдение за каждым объектом ведется, по крайней мере, по четырем параметрам: доступность, настройка, производительность и безопасность. Эти значения каскадируются; значение каждого из этих параметров вычисляется на основе значений счетчиков, расположенных ниже по иерархии.
Рис. 2 Health Explorer
Рис. 2 Health Explorer (Щелкните изображение, чтобы увеличить его)
Health Explorer диагностирует проблемы на наблюдаемых объектах и позволяет реагировать на ошибки, щелкая гиперссылки в сведениях о событии. Вы также можете запустить любую диагностическую или восстановительную задачу, появляющуюся на панели сведений Health Explorer (как на рис. 3), по требованию либо настроить задачу на автоматическое выполнение при возникновении уведомления. Вывод любой диагностической задачи (например получение списка запущенных процессов) будет автоматически отображен в панели сведений при выделении события об изменении состояния.
Рис. 3 Диагностика и восстановление
Рис. 3 Диагностика и восстановление (Щелкните изображение, чтобы увеличить его)

Веб-консоль
В этом выпуске значительно расширены веб-возможности Operations Manager по управлению. Веб-консоль предоставляет возможности рабочей области наблюдения и персональной рабочей области через обозреватель Internet Explorer®, обеспечивая те же представления, которые доступны в консоли операций, включая полнофункциональную панель «Actions» для выполнения контекстно-зависимых задач, наряду с возможностью переводить наблюдаемые объекты в режим обслуживания (см. рис. 4).
Рис. 4 Веб-консоль
Рис. 4 Веб-консоль (Щелкните изображение, чтобы увеличить его)
Кроме того, существует мобильная веб-консоль, поддерживающая доступ с любого мобильного устройства, поддерживающего веб-технологии. Веб-консоль организует канал RSS, доставляющий уведомления в папку «Входящие» Outlook 2007 или другой агрегатор RSS по вашему выбору.

Командная оболочка
Командная оболочка Operations Manager является мощным интерфейсом, обеспечивающим возможность полного административного управления из командной строки. Большинство сложных задач могут быть инициированы одной строкой кода (однострочником). Командная оболочка является особым образом настроенным экземпляром Windows PowerShell™, объектно-ориетированной среды командной строки, основанной на Microsoft .NET Framework. Такое устройство дает вам доступ к набору функций, называющихся командлетами, которые могут выполнить любую задачу, доступную через пользовательский интерфейс консоли операций — и многое другое. Эти командлеты позволяют быстро и с легкостью выполнить задачу на нескольких целевых объектах (такую как перевод большого числа агентов в режим обслуживания), что отняло бы гораздо больше времени при выполнении через консоль операций. Например, чтобы экспортировать список всех открытых критических уведомлений в виде веб-страницы, выполните следующую команду в окне командной оболочки Operations Manager:
get-alert | where {$_.Severity -gt "Warning" -and $_.ResolutionState -eq 0 } | format-table
monitoringobjectdisplayname,name,severity,
description
Командную оболочку столь мощным средством делает именно объектно-ориентированная природа Windows PowerShell. Вы получаете возможности библиотек классов .NET Operations Manager без необходимости изучать C# или Visual Basic® .NET.

Обнаружение компьютеров и устройств
Процесс обнаружения компьютеров и развертывания агентов в Operations Manager также претерпел изменения. Вы можете обнаруживать агенты, используя мастер управления компьютерами и устройствами консоли операций, позволяющий администраторам искать в Active Directory®, или вручную вводить имя или список имен целевых компьютеров (см. рис. 5). Детализированные запросы LDAP позволяют более точный выбор целевых компьютеров для развертывания агентов.
Рис. 5 Расширенное обнаружение при помощи запроса к Active Directory
Рис. 5 Расширенное обнаружение при помощи запроса к Active Directory (Щелкните изображение, чтобы увеличить его)
Мастер позволяет вам обнаруживать устройства, поддерживающие SNMP, которые затем можно выбирать для наблюдения в правилах пакетов управления.
Интеграция с Active Directory является другим значительным улучшением. Она позволяет администраторам регистрировать сведения о группе управления в Active Directory (при помощи простой служебной программы), чтобы агенты Operations Manager при запуске могли обнаруживать правильный управляющий сервер, запрашивая Active Directory. Новая интеграция также позволяет администраторам автоматизировать и упростить развертывание агентов посредством включения агента Operations Manager в образ компьютера, развертывать агенты через популярные платформы системного управления (такие как Systems Management Server 2003 или диспетчер конфигурации System Center) или через групповую политику.

Безопасность
Operations Manager 2007 может быть использован для наблюдения за приложениями различных типов, некоторые из которых могут быть доступны только определенному персоналу поддержки. К счастью, в новой основанной на ролях модели безопасности по умолчанию есть пять пользовательских профилей, которые группируют доступ, основываясь на общих рабочих функциях, и меняются от оператора с доступом только на чтение до администратора. Каждая из заданных по умолчанию пользовательских ролей базируется на одном из профилей по умолчанию. Роли пользователей определяют, какие типы операций могут выполняться пользователем и область действия его прав. Можно также создавать свои пользовательские роли, выбирая один из профилей по умолчанию и затем устанавливая область действия роли для ограничения возможности просмотра информации наблюдений до нужного набора наблюдаемых объектов, заданий и представлений. И стандартные, и настраиваемые пользовательские роли основаны на этих пользовательских профилях и могут быть назначены группам безопасности Active Directory, что передает задачи управления пользователями обратно в руки персонала по администрированию безопасности.
Возможность выполнения от имени, также появившаяся в Operations Manager 2007, предоставляет безопасную инфраструктуру для управления учетными данными, требуемыми для выполнения конкретных действий. Например, некоторые задачи наблюдения могут потребовать доступа с высокими привилегиями или даже доступа, основанного не на учетных данных пользователя Windows.
Учетные записи для выполнения от имени должны быть связаны с профилем выполнения от имени, который может быть связан с правилом или задачами, требующими специальных привилегий. Профиль выполнения от имени позволяет создателям пакетов управления изолировать требования к учетной записи в процессе разработки так, чтобы администратор мог назначить подходящую учетную запись выполнения от имени после установки пакета управления в Operations Manager.
Operations Manager 2007 обеспечивает большую, чем его предшественник, безопасность во взаимодействии между агентами и серверами управления, поскольку требует взаимной проверки подлинности. В безопасном окружении взаимная проверка подлинности можете выполняться через Kerberos. В условиях недоверенных и периферийных сетей ситуация может стать более сложной. Взаимная проверка подлинности требует основанной на сертификатах проверки подлинности с использованием сертификатов x.509, что потребует от организации рассмотрения вариантов инфраструктуры открытых ключей (PKI), если ее еще нет.

Роли серверов
Роли сервера управления, базы данных операций и сервера отчетов MOM 2005 остаются в Operations Manager, в то же время представлены новые роли сервера управления. Роль корневого сервера управления выносит важные функции, такие как авторизация пользователей, оповещение и управление подключениями к консоли, в отдельную роль в инфраструктуре. Для лучшей производительности корневой сервер управления должен быть отведен только для этой роли, и не должно быть агентов, настроенных на отправку отчетов этому серверу.
Новая роль сервера шлюза приспособлена для более эффективного использования компьютеров управления в ненадежных доменах и внешнем окружении путем предоставления единого взаимодействие с сервером управления. Во многих случаях агенты в целевом домене могут проходить проверку подлинности на сервере шлюза по протоколу Kerberos, уменьшая необходимость в основанной на сертификатах проверке подлинности и снижая усилия по администрированию и общую стоимость владения.

Создание отчетов
Пользователи найдут в Operations Manager 2007 заметные улучшения в построении отчетов со встроенной рабочей областью построения отчетов в консоли операций. Кроме того, безопасность построения отчетов интегрирована в общую систему безопасности Operations Manager.
Сделано много важных изменений в архитектуре, включая сведения о том, когда и как информация доставляется в базу данных построения отчетов. Упразднена еженощная задача службы преобразования данных (DTS) по перемещению отчетной информации за предыдущий день из базы данных операций. Вместо этого информация поступает напрямую в базу данных построения отчетов в то же время, что она попадает в базу данных операций, что практически полностью устраняет задержки.
Отчеты Operations Manager содержат новые улучшенные заголовки параметров, предоставляя гибкие возможности определять и строить отчеты в конкретные и относительные диапазоны времени, включая ограничение вывода отчетов в определяемый пользователем диапазон рабочего времени. Элемент выбора объекта в улучшенном заголовке параметров предоставляет возможность поиска для упрощения задачи выбора объектов для отчета. При составлении расписания отчетов гибкий элемент выбора даты упраздняет необходимость изменять файлы определения отчета для получения конкретного относительного интервала дат в повторяющихся отчетах (см. рис. 6).
Рис. 6 Настройка рабочего времени
Рис. 6 Настройка рабочего времени (Щелкните изображение, чтобы увеличить его)
Другое улучшение механизма построения отчетов направлено на то, чтобы отчет даже по большому временному интервалу выдавался быстро. Для этого отчетная информация Operations Manager автоматически предварительно индексируется и объединяется в ежедневные и почасовые точки данных, используемые во всех отчетах Operations Manager. В дополнение к тому, что данные уже подготовлены, это улучшает возможности по хранению данных, поскольку «сырые» данные могут быть сжаты в базе данных значительно сильнее, что не повлияет на возможности по составлению журнальных отчетов.
В число наиболее впечатляющих улучшений входят содержимое и возможности самих отчетов, представляющие исторические данные по производительности и доступности в формате, устраивающем сетевых инженеров и руководителей по ИТ.
На рис. 7 показан стандартный отчет о производительности, состоящий из графика и таблицы. Как линии диаграммы, так и описания в таблице предоставляют возможность перехода по щелчку к подробному отчету, как показано на рис. 8.
Рис. 7 Стандартный отчет о производительности
Рис. 7 Стандартный отчет о производительности (Щелкните изображение, чтобы увеличить его)
Рис. 8 Подробный отчет о производительности
Рис. 8 Подробный отчет о производительности (Щелкните изображение, чтобы увеличить его)
Отчет Operations Manager о доступности основан на состоянии объектов Любой объект, у которого могут быть различные состояния, может быть выбран для отчета о доступности без дополнительной настройки. Одним щелчком можно перейти от подробного отчета к отчету о доступности (см. рис. 9).
Рис. 9 Отчет о доступности
Рис. 9 Отчет о доступности (Щелкните изображение, чтобы увеличить его)
Для пакетов управления, не оснащенных отчетами, существуют общие отчеты, куда могут быть включены отчеты о доступности и производительности практически любого управляемого объекта, что значительно снижает необходимость разработки пользовательских отчетов.
Администраторы будут рады тому, что в Operations Manager 2007 встроена поддержка привязки нескольких групп управления к единому хранилищу отчетных данных. Безопасность отчетности объединена с основанной на ролях безопасностью всего продукта, что позволяет администраторам контролировать доступ к отчетам при помощи групп безопасности Active Directory.

Оповещения
Механизм оповещений подвергся полной переработке в Operations Manager 2007 и теперь оснащен новыми возможностями, которых требовали администраторы, в том числе дополнительные варианты оповещения (называющиеся каналами оповещения), такими как мгновенные сообщения и сообщения SMS (последнее потребует установки поставщика услуг SMS сторонних разработчиков на сервере управления). Подписки на оповещения теперь содержат параметр области действия, так что администраторы могут ограничивать перечни типов объектов и групп, доступных ролям операторов, и более тщательно адресовать подписку.
Устаревание уведомления (эскалация) позволяет отправлять оповещение, когда уведомление, отвечающее критериям, определенным в подписке, остается в данном состоянии разрешения в течение интервала времени, определенного пользователем.
Формат сообщений теперь может настраиваться для каждой подписки, что допускает настройку формата на уровне отдельного пользователя. К тому же, самообслуживание оповещений в персональной рабочей области консоли операций позволяет пользователям определять собственные устройства оповещения и свойства подписки. Это лишь части возможностей оповещения, которые вы найдете крайне удобными.

Пакеты управления
В Operations Manager 2007 базовая инфраструктура по-прежнему представлена пакетами управления, приносящими знания о приложениях прямо от команд по продуктам корпорации Майкрософт. Однако они переходят от наблюдения за серверами к наблюдению, ориентированному на службы, обращая основное внимание на качество предлагаемых услуг.
Ограничения на размер статьи не позволяют вдаваться в подробности, но вам стоить обратить внимание на то, что простая объектная модель MOM 2005 (компьютеры и группы компьютеров) кардинально изменена до расширяемой модели с десятками типов объектов, которые можно выбирать для наблюдения. В результате сформировалось широкое пространство разработки для сторонних независимых производителей программного обеспечения, призванных предложить выдающиеся деловые, сетевые и кроссплатформенные решения.
Простые правила наблюдения, похожие на те, что доступны в MOM 2005, используются для разнообразных распространенных задач наблюдения, таких как наблюдение за текстовыми журналами и журналами событий, запрос событий WMI, выполнение сценариев по расписанию и сильно улучшенный поставщик ловушек SNMP, исключающий необходимость компилировать базы управляющей информации (MIB) SNMP.
Однако датчики в Operations Manager определяют изменения состояния наблюдаемых объектов. В датчиках имеются многие функции, которых не было у поставщиков в MOM 2005, такие как проверка портов TCP, синтетические транзакции для подключений к базам данных и веб-узлам, наблюдение за приложениями и веб-службами ASP.NET и, возможно, самое важное – ориентированное на службы наблюдение за распределенными бизнес-приложениями. Я расскажу об этом подробнее чуть далее.

Самоподстраивающиеся пороговые значения
Иногда поведение конкретного счетчика неизвестно. Для подобных ситуаций в Operations Manager есть датчики с самоподстройкой пороговых значений. Такой датчик использует процесс обучения за заданный бизнес-цикл (обычно одна неделя, но может быть и один день) для определения нормальных значений указанного объекта показателя производительности, а затем определяет пороговые значения на основе статистики операций, собранной за период обучения. Эти пороговые значения представляют ожидаемую активность, включая резкие провалы и пики в использовании ресурсов, что может случаться во время ночного обслуживания приложений и системы.

Синтетические транзакции
Для получения более динамической картины работоспособности приложения Operations Manager предлагает синтетические транзакции, являющиеся действиями, выполняемыми над наблюдаемыми объектами в реальном времени. Синтетические транзакции могут создаваться для последовательностей просмотра веб-узлов, подключению к базам данных и наблюдению за портами TCP. Можно указывать серверные узлы (называемые узлами наблюдения), с которых будут выполняться транзакции, а также желаемый интервал наблюдения. Если выбрано несколько узлов наблюдения, то результаты можно сравнивать для определения того, совпадают ли результаты наблюдения с разных узлов.
Кроме того, редактор веб-приложений (Web Application Editor), используемый для отслеживания последовательностей просмотра веб-узлов, также позволяет администраторам определять пороговые значения времени ответа уровней предупреждения и ошибки, а также указывать коллекции счетчиков производительности для отдельных операций при загрузке страницы и получении ссылки. Поддерживаются последовательности безопасного просмотра (SSL), требующие различных методов проверки подлинности (базового уровня или NTLM).
Переназначение правил, знакомая по MOM 2005 концепция, используется для подстройки параметров Operations Manager для атрибутов и правил для объекта или группы управляемых объектов (см. рис. 10). Использование переназначений правил — ключ к контролю над объемом данных, собираемых Operations Manager. Возможно совместное использование групп и переназначений правил для сужения действия мониторов, правил, атрибутов или обнаружения объекта до целевой группы объектов не только в собственных пакетах управления, но и в пакетах от Майкрософт и сторонних производителей.
Рис. 10 Переопределение параметров монитора службы
Рис. 10 Переопределение параметров монитора службы (Щелкните изображение, чтобы увеличить его)

Наблюдение за бизнес-приложениями
Новый конструктор распределенных приложений позволяет создавать картину уровня служб для важных приложений, а затем предоставляет индикатор суммарной работоспособности для компонентов распределенных приложений. Это справедливо для любых обнаруженных объектов любого типа, таких как веб-службы, базы данных SQL Server™ и даже устройства не под управлением Windows, например, маршрутизаторы и коммутаторы. Взаимоотношения объектов и текущее состояние работоспособности может быть затем представлено в виде диаграмм.
Чтобы сделать эту существенную возможность более доступной, Microsoft предлагает несколько шаблонов распределенных приложений, чтобы дать администраторам отправную точку для определения их собственных бизнес-приложений. Доступны шаблоны для многих распространенных ситуаций, включая приложения и веб-службы ASP.NET, веб-приложения для бизнеса, системы обмена сообщениями, фермы порталов SharePoint® и фермы служб терминалов.
Можно добавлять новые шаблоны в группу управления с помощью пакетов управления от Майкрософт или сторонних производителей, после чего они появятся в мастере добавления наблюдений. Мониторы распределенных приложений для Active Directory, Exchange и Operations Manager предустановлены и не могут быть изменены.

Доступность пакетов управления
Специально написанные для Operations Manager 2007 пакеты управления (называемые оптимизированными пакетами управления) разработаны для использования преимуществ новых возможностей Operations Manager 2007, и запланировано, что они будут доступны для новых выпусков программного обеспечения в 2008 г, однако существующие пакеты управления для MOM 2005 могут быть переведены в совместимый с Operations Manager 2007 формат при помощи служебной программы MPConvert или могут быть перенесены с существующей установки MOM 2005 при помощи средства перехода от MOM 2005 к Operations Manager 2007; оба этих средства есть на компакт-диске Operations Manager 2007. Это обычно необходимо только для пакетов управления собственной разработки, так как Майкрософт переводит пакеты управления MOM 2005 в совместимый с Operations Manager 2007 формат.

Сбор аудита
Сбор аудита (Audit Collection) предоставляет решение по автоматизации сбора и централизованного архивирования распределенных журналов событий безопасности Windows. Это средство разработано для средних и крупных предприятий, где требуется сбор и анализ большого числа данных журналов событий безопасности для внутреннего и внешнего аудита соответствия нормативным требованиям. Audit Collection включает четыре роли: сборщик, пересылка, роль базы данных и роль отчетности. Сборщик — это сервер, который «ловит» события и вставляет их в базу данных Audit Collection. Пересылка — это служба, которая пересылает события практически в реальном времени, уменьшая вероятность того, что локальные администраторы так или иначе воздействуют на журнал событий безопасности. Служба пересылки включена в состав агента Operations Manager 2007, но она отключена, пока для конкретного агента не включен Audit Collection.
Audit Collection использует автоматическое еженощное обслуживание базы данных, обеспечивающее постоянно удовлетворительную производительность выдачи отчетов по большим объемам данных. Audit Collection поддерживает возобновляемый набор данных (хранимый по умолчанию в течение 14 дней), который администраторы могут настраивать, чтобы он соответствовал требованиям организации. Для анализа собранных событий Audit Collection включает роль отчетности, содержащую базовый набор из порядка 20 отчетов аудита, а также высокопроизводительный подписчик WMI, предоставляющий удобный интерфейс для построения отчетов «на лету» без необходимости предоставлять администраторам доступ непосредственно к базе данных.

Наблюдение за клиентами
Новая возможность наблюдения за клиентами в Operations Manager 2007 позволяет администраторам отслеживать работу операционных систем и приложений на настольных компьютерах, что помогает определить, какие ошибки происходят наиболее часто, и направить усилия на достижение максимальной пользы для организации. Собранная информация об ошибках используется для создания подробных представлений и отчетов, давая администратору готовый источник информации для облегчения принятия решений о поддержке.
Наблюдение за клиентами в Operations Manager 2007 состоит из трех уровней, которые доступны по отдельности:
Наблюдение за исключениями без агента (AEM) позволяет администратору наблюдать за сбоями и ошибками операционных систем и приложений. Теперь администратор может направлять отчеты, которые раньше отправлялись прямо в Майкрософт, на сервер управления, откуда они по желанию могут быть переправлены в Майкрософт.
Программа повышения удобства работы заказчика (CEIP) Когда вы участвуете в CEIP, вы при помощи групповой политики настраиваете клиентов перенаправлять отчеты серверу управления Operations Manager 2007 вместо отправки отчетов напрямую в Майкрософт. Серверы управления настраиваются на дальнейшую пересылку этих отчетов в Майкрософт.
Важно заметить, что компоненты наблюдения за клиентами AEM и CEIP могут выполняться без использования агента.
Наблюдение за клиентами на важных для производственной деятельности рабочих станциях включает развертывание агента Operations Manager на важных для производственной деятельности рабочих станциях. Пакеты управления включают такие агенты для Windows 2000, Windows XP и Windows Vista, а также Microsoft Information Worker, который отслеживает работу Microsoft Office, Internet Explorer и других настольных приложений от Майкрософт.

Попробуйте!
Как вы могли заметить, System Center Operations Manager 2007 несет в себе массу возможностей, предназначенных для осуществления ориентированного на службы наблюдения с интеграцией всюду, куда необходимо, позволяя вам воспользоваться существующими вложениями в Active Directory, упрощая администрирование и снижая общую стоимость владения. Я советую вам попробовать эту великолепную новую версию и исследовать ее возможности.
Загрузить 180-дневную пробную версию Operations Manager 2007 можно по адресу microsoft.com/technet/opsmgr/2007/downloads/trials/privacy.mspx. Для получения дополнительных сведений о технологиях Microsoft System Center посетите домашнюю страницу System Center Operations Manager по адресу microsoft.com/systemcenter/opsmgr. примеры успешного использования System Center (видео и примеры использования) публикуются на новом веб-узле «Designed for BIG» designedforbig.com.

Пит Зергер (Pete Zerger) работает консультирующим партнером в компании AKOS Technology Services. У Пита девять лет опыта в отрасли ИТ, и он занимается проектированием и развертыванием управления работой предприятия, служб каталогов и систем обмена сообщениями. Пит является сертифицированным системным инженером (MCSE) по обмену сообщениями (Messaging), сертифицированным специалистом (MCTS) по технологии SQL Server 2005 и обладателем звания MVP по Operations Manager.


Системный центр
Переход с диспетчера MOM на диспетчер Operations Manager 2007
Энди Доминей (Andy Dominey)
Краткий обзор:
  • Планирование развертывания диспетчера Operations Manager
  • Оценка потребностей в оборудовании
  • Сохранение журнальных данных
  • Планы тестирования

Наблюдение за сервером и управление им является важнейшей частью любой современной инфраструктуры ИТ. Жизненно важно обеспечить не только надлежащее функционирование инфраструктуры ИТ, но и ее способность выдерживать нагрузки, создаваемые работой пользователей. Однако о сборе информации легче
рассуждать, чем его реализовывать, а понимание того, что следует делать с информацией, получив ее, это совсем отдельная история. К счастью, в этом вопросе есть поддержка. Диспетчер Microsoft® Operations Manager (MOM) обеспечивал решение этих задач в течение семи лет, и его последнее воплощение, System Center Operations Manager 2007, является его расширением.

Для чего нужен переход?
System Center Operations Manager 2007 предлагает многочисленные и значительные усовершенствования по сравнению с предыдущей версией, MOM 2005. Базовая архитектура пересмотрена и существенно улучшена, чтобы программный продукт в большей степени поддерживал распространение приложений по нескольким устройствам, а также поддерживал не только серверы, но и все компоненты, из которых состоит сервер.
Более того, диспетчер Operations Manager может гордиться мощным механизмом слияния, объединяющим данные оповещений и значительно снижающим число избыточных оповещений, а также средством Health Explorer, облегчающим процедуру поиска и устранения неполадок.
Предусмотрены пороговые значения для самонастройки и механизм установки базового уровня, облегчающие отслеживание эксплуатационных показателей в пределах рабочей среды; значительно усовершенствован механизм создания отчетов, предлагающий превосходную графику и средства сквозной детализации отчетов. Чтобы получить представление о визуальном представлении данных отчета, взгляните на рис. 1.
Рис. 1 Отчет дисптчера Operations Manager 2007 о доступности
Рис. 1 Отчет дисптчера Operations Manager 2007 о доступности (Щелкните изображение, чтобы увеличить его)
Диспетчер Operations Manager можно использовать даже для наблюдения за настольными компьютерами, не только за серверами. Operations Manager 2007 предлагает следующие дополнительные функциональные возможности.
  • Превосходные средства наблюдения для платформы Windows Server System™
  • Большие возможности и мощные функции для наблюдения за приложениями
  • Средства автоматизации рутинных задач
  • Механизм базы данных следующего поколения, облегчающий масштабируемость и управление на уровне предприятия
  • Усовершенствование средств безопасности и интеграцию с Active Directory®
Для получения дополнительных сведений о новых возможностях, предоставляемых System Center Operations Manager 2007, ознакомьтесь со статьей «Наблюдение за серверами с помощью Operations Manager 2007», написанную Питом Зергером (Pete Zerger) для данного выпуска журнала TechNet.

Переход на Operations Manager
Прежде чем планировать переход на Operations Manager 2007, необходимо понять, что для этого программного продукта не существует прямого пути обновления. При таких значительных изменениях в архитектуре диспетчера Operations Manager программный продукт не может оставаться совместимым с предыдущими версиями настолько, чтобы обновление можно было выполнить на месте. Следовательно, если в настоящее время у вас работает MOM 2000 или MOM 2005, вам придется рассмотреть одну из стратегий перехода, описанных в этой статье далее.
Однако если у вас нет работающей предыдущей версии MOM, можно просто установить новую версию программного продукта. Следует помнить о том, что на самом раннем этапе проекта необходимо понять, сможете ли вы обойтись силами собственных специалистов во время установки или проведения перехода или же вам понадобится посторонняя помощь. Очевидно, что от этого зависит общая стоимость проекта, поэтому данный вопрос следует обдумать в самом начале этого процесса.

Варианты перехода
Для тех, у кого в настоящее время нет работающего MOM, развертывание не представляет сложностей: следует подготовить план и проект архитектуры, после чего приступать к развертыванию программного обеспечения. Однако, если вы используете MOM, Майкрософт поддерживает два варианта перехода: параллельно на таком же оборудовании и параллельно на другом оборудовании. Рассмотрим оба варианта.
Параллельно на таком же оборудовании В этом варианте Operations Manager устанавливается на оборудовании, физически идентичном оборудованию, на котором развернута существующая архитектура MOM 2000 или MOM 2005. Такой подход удобен для узлов, на которых инфраструктура MOM используется без высокой нагрузки, и где имеется серверное оборудование, достаточно мощное для того, чтобы на нем можно было разместить как старую, так и новую версию. Этот вариант следует рассматривать только в том случае, если установка Operations Manager не окажет серьезного влияния на производительность используемых серверов MOM.
Параллельно на другом оборудовании В этом случае новая установка выполняется на новом или отличающемся оборудовании. Данный подход является предпочтительным, поскольку гарантируется незначительное влияние на существующую инфраструктуру управления во время проведения перехода. Стоит отметить, что дополнительное оборудование не является необходимым. Новые серверы Operations Manager 2007 могут быть размещены на виртуальных машинах до тех пор, пока не появится возможность выделить старое серверное оборудование.

Важные вопросы перехода
Прежде чем остановиться на конкретной стратегии перехода, следует рассмотреть несколько важных вопросов.
Во-первых, необходимо подумать о требованиях, предъявляемых к оборудованию и программному обеспечению, и связанными с переходом затратами. Даже если вы решите размещать или поддерживать всю инфраструктуру Operations Manager на виртуальных машинах, все равно потребуется предоставить диспетчеру Operations Manager возможность осуществлять наблюдение за ОС и лицензиями приложений, а также лицензиями OML (Operations Management License) для каждого агента.
Во-вторых, необходимо запланировать ресурсы для выполнения работы. На небольших предприятиях такой план, возможно, не будет слишком сложным и трудным, но в больших компаниях он является важнейшей частью всей стратегии перехода.
Необходимо также рассмотреть возможное влияние такого перехода на существующую инфраструктуру контроля или структуру серверов в целом. Следует запланировать все случайности, включая возможность перезагрузок серверов или даже отказов важнейших производственных серверов.
Если для хранения архивных данных и создания отчетов используется база данных Microsoft Access™ в MOM 2000 или хранилище данных SQL Server™ в MOM 2005, имейте в виду, что в настоящее время перенос этих данных в Operations Manager 2007 не поддерживается.

Планирование успешного перехода
Как консультант, одной из серьезнейших проблем я считаю недостаточность планирования развертывания. Поэтому, после того, как сделан выбор между установкой на новом или существующем оборудовании, на следующем этапе необходимо создать план проекта.
В плане проекта следует перечислить этапы проекта, предлагаемые в данной статье, хотя этот перечень не является исчерпывающим. Необходимо выделить достаточное время для каждого этапа проекта и учесть все требуемые ресурсы.
Как было отмечено, архитектура System Center Operations Manager 2007 значительно отличается от архитектуры MOM 2000 и 2005. Для начала, в Operations Manager имеется дополнительная серверная роль, RMS (Root Management Server — корневой сервер управления). RMS управляет настройкой группы управления, обрабатывает все подключения к другим группам управления и программным продуктам сторонних производителей, а также отвечает за безопасность в рамках группы управления. Эта роль может принадлежать существующему серверу управления System Center Operations Manager, но в больших и сложных рабочих средах для нее следует выделить отдельный физический сервер. Кроме этого, концепция иерархических групп управления, существовавшая в MOM 2005, была заменена подключенными группами управления. В новой архитектуре никакие оповещающие данные фактически не передаются между группами управления; вместо этого оповещения от подключенных групп управления просто предоставляются в пользовательский интерфейс запрашивающей группы управления. Кроме этого, если планируется установка агентов на компьютерах из доменов или рабочих групп, не являющихся доверенными, придется использовать сертификаты, чтобы агент и сервер управления могли осуществлять взаимную проверку подлинности (эта функция принудительно выполняется в Operations Manager).
Для создания проекта архитектуры System Center Operations Manager необходимо учесть число серверов и клиентов, за которыми планируется вести наблюдение, их местоположение в доверенном домене, то, какие приложения и платформы необходимо контролировать, и требуется ли контролировать сетевую инфраструктуру. Необходимо также определить все приложения, для которых требуются пользовательские правила или пакеты управления.
Именно на этом этапе следует определить требования, предъявляемые к пакетам управления. После определения наблюдаемых приложений можно приступать к выбору устанавливаемых пакетов управления. В пакеты управления входят правила, мониторы, задачи и классы, применяемые к конкретному приложению или операционной системе и которые следует импортировать, если в рабочей среде используется соответствующее приложение или операционная система. Выбор пакетов управления на этом этапе оказывает влияние на требования, предъявляемые к оборудованию и программному обеспечению, и количество времени, выделяемое на установку и настройку программного обеспечения.
Определившись с архитектурой инфраструктуры Operations Manager, следует воспользоваться средством System Center Capacity Planner 2007 (бета-версия на момент написания статьи). С помощью этого средства следует выполнить планирование сетевой и серверной инфраструктуры и имитировать ее работу в условиях запланированного развертывания Operations Manager, чтобы убедиться в том, что ее достаточно для наблюдения и управления.
Именно в этот момент необходимо обратить особенное внимание на архитектурный проект, если планируется переход. Необходимо учесть тот факт, что MOM 200x будет работать параллельно с Operations Manager, что приводит к дополнительному сетевому трафику.

Развертывание
Следующий этап, о котором следует позаботиться — это развертывание. Прежде чем устанавливать программное обеспечение, необходимо убедиться в том, что имеется достаточно мощное оборудование. Если выполняется установка в новой среде, предпочтительнее физическое оборудование, особенно в случае сервера базы данных. Однако, если физического оборудования нет, серверы управления можно сделать виртуальными. В случае перехода использование виртуализованных серверов является хорошей альтернативой приобретению оборудования для размещения новой инфраструктуры. В этой ситуации можно использовать виртуальные компьютеры для размещения Operations Manager на время отключения и реорганизации старых серверов MOM.
Обеспечив наличие серверов, можно начинать установку программного обеспечения. Во-первых, следует убедиться в том, что серверы, на которых будет работать Operations Manager, удовлетворяют обязательным требования программного обеспечения, необходимым для его поддержки. Например, если используется SQL Server 2000 и планируется установить Operations Manager на том же сервере, потребуется сначала обновить SQL Server 2005 с использованием пакета обновления SP1. Для проверки можно запустить средство проверки выполнения необходимых требований, входящее в Operations Manager, с установочного носителя System Center Operations Manager.
После того, как будут выполнены все необходимые условия и настроены SQL Server и службы отчетов, можно приступать к установке программного обеспечения Operations Manager. В рабочей среде с одним сервером это выполняется просто; достаточно всего лишь запустить на сервере файл установки Operations Manager, затем настройку средств формирования отчетов Operations Manager, если предполагается использовать эту функцию. Однако в распределенной среде компоненты Operations Manager необходимо устанавливать на отдельных серверах в предусмотренном порядке. Во-первых, следует установить базу данных, затем первый сервер управления, которому автоматически будет назначена роль корневого сервера управления. После этого можно устанавливать любые дополнительные серверы управления. На завершающем этапе устанавливается веб-консоль и компоненты средства формирования отчетов.

Переход
На этом этапе, прежде чем перейти к использованию преимуществ новых компонентов, следует убедиться в том, что новая инфраструктура зеркально отображает существую систему наблюдения. Любые пакеты управления, используемые в исходной рабочей среде, необходимо продублировать в новом развертывании Operations Manager. Если пакет управления Operations Manager доступен, можно его импортировать, но любые пакеты управления, не имеющие новых версий, необходимо экспортировать из текущей группы управления, преобразовав с помощью средства MPConvert с установочного компакт-диска и импортировав в Operations Manager — но если это небольшой или простой пакет управления, предпочтительнее его просто создать заново. Существует также средство, облегчающее дублирование настройки. Средства для перехода с MOM 2005 на Operations Manager облегчает дублирование настройки из существующей группы управления MOM в Operations Manager; оно также находится на установочном диске Operations Manager. На рис. 2 показана типичная настройки при переходе.
Рис. 2 Типичная настройка при переходе
Рис. 2 Типичная настройка при переходе (Щелкните изображение, чтобы увеличить его)
После дублирования настройки необходимо убедиться в том, что Operations Manager действительно выдает те же оповещения и собирает те же данные, что и MOM. К счастью, агент Operations Manager может сосуществовать со старыми агентами MOM, и оба типа агентов могут выполняться одновременно. Прежде чем отключать старую систему, можно собрать данные обоих агентов и выполнить их параллельное сравнение на точность.
Затем следует сформулировать план тестирования. Тестирование может заключаться в простом сравнении оповещений от старой системы с оповещениями системы Operations Manager, но с целью тщательной оценки новой инфраструктуры может быть расширено до требования целенаправленного создания оповещений. Получив удовлетворяющие требованиям результаты тестирования, можно приступать к удалению старых агентов MOM — либо с помощью консоли MOM, либо с помощью режима добавления и удаления программ на компьютерах агентов.
Средство формирования отчетов является большой частью развертывания MOM и System Center Operations Manager и требует специального внимания. Существующую базу данных SystemCenterReporting в настоящее время невозможно перенести в среду Operations Manager 2007, поэтому для отображения старых отчетов можно создать новый экземпляр службы отчетов для Operations Manager и поддерживать существующую базу данных MOM 2005 (SystemCenterReporting) в специальном экземпляре SQL Reporting Services. Новая консоль отчетов в System Center Operations Manager 2007 интегрирована в программный продукт, поэтому не рекомендуется использовать консоль Reporting Services ни для чего другого, кроме как для Operations Manager. Вопрос с переносом данных отчетов, возможно, будет решен в будущем посредством сценария для переноса данных, но пока, возможно, придется распрощаться с заархивированными данными отчетов и просто утешаться тем, что при запуске создания новых выразительных отчетов управление будет таким увлекательным, что в них не будет заметно отсутствие старых данных.

Заключение
System Center Operations Manager предлагает значительные усовершенствования диспетчеров MOM 2000 и 2005, но эти улучшения могут потребовать затрат. Основное изменение в базовой архитектуре (и результирующее отсутствие способа прямого обновления на месте) означает, что затраты на развертывание могут оказаться высокими. Ключом к минимизации этих затрат является адекватное планирование и присутствие специалистов, способных справиться с этим заданием. Обеспечив это, можно пользоваться преимуществами, предоставляемыми проделанной Майкрософт тяжелой работой над System Center Operations Manager.

Энди Доминей (Andy Dominey) работает в области информационных технологий в течение восьми лет и в настоящее время, в качестве специалиста по управлению Windows, состоит в штате компании 1E, базирующейся в Соединенном Королевстве. Он работает с диспетчером MOM со времен MOM 2000. Энди получил премию Microsoft MVP за последние два года за работу над MOM.


Системный центр
Сделайте ваши приложения виртуальными при помощи Microsoft SoftGrid
Ахмер Сабри (Ahmer Sabri) and Кедар Шах
Краткий обзор:
  • Преимущества виртуализации приложений
  • Обзор архитектуры SoftGrid
  • Потоковые программные пакеты

Концепция программной виртуализации в той или иной форме витала в воздухе уже с 1960-х. Однако должны были пройти десятилетия, прежде чем отрасль ИТ начала осознавать ее прикладной потенциал
виртуализации приложений. Теперь эта тема стала популярной, и началось ее активное освоение.
Майкрософт впервые занялся виртуализацией приложений после приобретения Softricity в июле 2006г. Результатом приобретения стала Microsoft® SoftGrid, программа виртуализации приложений. В SoftGrid приложения обслуживаются центром обработки данных или другой точкой сети и запускаются локально на удаленных клиентах в виртуальной среде. Виртуализированные приложения выполняются в контейнере и действуют независимо от операционной системы и других приложений локального компьютера.
Реализация виртуализации приложений при помощи SoftGrid дает очень преимуществ, даже слишком много, чтобы быть в состоянии обсудить их все. Следующие преимущества, однако, являются самыми заметными и наиболее важными:
Упрощенное тестирование на унаследованные ошибки и на совместимость Запустив параллельно множественные версии одного приложения на одной машине без конфликтов, вы можете резко сократить сложность, время и затраты, связанные с тестированием и развертыванием новых приложений (см. рис. 1).
Рис. 1 Упрощение развертывания приложения при помощи SoftGrid
Рис. 1 Упрощение развертывания приложения при помощи SoftGrid (Щелкните изображение, чтобы увеличить его)
Более легкое управление системами ИТ практически полностью контролирует среду, в которой работают эти приложения, облегчая процесс поддержания идеальной рабочей среды.
Меньше обращений в службу поддержки Благодаря улучшенному управлению рабочими средами и снижению количества конфликтов (поскольку виртуализованные приложения работают в контролируемом контейнере) пользователи реже обращаются за помощью в службу поддержки.
Улучшенная безопасность компьютеров Приложения никогда не устанавливаются в ОС, улучшая общую безопасность ОС. Приложения предоставляются только авторизованным пользователям, предотвращая неавторизованный доступ. И большинство приложений отображаются в стандартном контексте безопасности.
Свободный доступ Пользовательские предпочтения (профиль и другие параметры) хранятся в сети, поэтому пользователи могут получить доступ к своим приложениям, предпочтениям и элементам управления с любого компьютера.
Улучшенная отказоустойчивость и аварийное восстановление Приложения преобразуются в файлы данных, которые можно хранить и воспроизводить, как и любые другие данные предприятий. Приложения и их обновления можно автоматически синхронизировать между действующими узлами и узлами Bulk Copy Program (BCP), используя средства сторонних разработчиков, что дает моментальный доступ к приложениям в случае сбоя.
И наконец, эти характеристики облегчают груз работы системного администратора, сокращают расходы и позволяют вашей организации применять новые технологии быстрее и в более безопасном ключе. Теперь рассмотрим работу SoftGrid более детально.

Как обслуживаются виртуальные приложения
Архитектура SoftGrid состоит из множества компонентов, гармонично работающих вместе. Сюда входят такие компоненты SoftGrid, как хранилище данных, сервер виртуальных приложений, секвенсор, консоли управления, управление веб-службами, а также клиентские приложения, работающие в сочетании со стандартными компонентами инфраструктуры, такими как Active Directory® (см. рис. 2). Мы дадим общий обзор архитектуры SoftGrid и объясним, как различные компоненты работают вместе.
Рис. 2 Общая архитектура SoftGrid
Рис. 2 Общая архитектура SoftGrid (Щелкните изображение, чтобы увеличить его)
Хранилище данных SoftGrid выступает в роли центрального хранилища для всей среды виртуализации. Установленное либо на SQL Server™ (версия 2000 или 2005) или на Microsoft SQL Server Desktop Engine (MSDE), хранилище данных содержит записи, приложения, настройку, лицензионные данные, отчетную информацию и данные журналов.
Виртуализованные приложения обслуживаются на компьютер пользователя и визуализуются в клиенте. SoftGrid предлагает два типа - виртуализацию приложений Microsoft SoftGrid для рабочих столов и виртуализацию приложений Microsoft SoftGrid для служб терминалов. У каждого подхода есть свои преимущества, но при этом и некоторые компромиссы с производительностью, о которых мы расскажем в разделе «Настройка клиента».
Одним из самых важных компонентов среды SoftGrid является виртуальный сервер приложений SoftGrid (SVAS). Он используется для обработки пользовательских запросов к приложениям и передачи данных приложения пользователям по требованию.
SVAS запускается как служба Windows® с названием Microsoft System Center Virtual Application Server и очень скромен в требованиях к оборудованию. По умолчанию все данные приложения (о которых мы вскоре расскажем) расположены в каталоге \Program Files\Softricity\SoftGrid Server\content.
Типичный запуск SoftGrid происходит при входе пользователя в систему на рабочей станции. SoftGrid Client регистрирует маркер безопасности пользователя и членство в доменной группе и передает эту информацию по безопасным каналам в SVAS. SVAS дает пользователю доступ к приложению, если идентификатор безопасности (SID) пользователя существует в каталоге членства группы приложений, при этом ярлык для каждого приложения помещается на рабочий стол пользователя (или в любое другое место, указанное администратором, например, меню запуска, панель инструментов для быстрого запуска и т.д.).
Фактическая доставка приложения обычно начинается, когда пользователь щелкает значок ярлыка, ассоциированного с файлом Open Software Description (.osd). Это файл на основе XML, который содержит сведения о пакете приложения. Клиент получает название сервера виртуального приложения из OSD-файла и инициирует подключение. В этот момент SVAS проводит проверку подлинности клиента и вызывает хранилище данных для определения соответствия лицензии. После проверки подлинности пользователя SVAS передает данные приложения клиенту блоками – по умолчанию длина блоков 32 КБ, но может настраиваться в момент установки последовательности.
Учтите, что клиенту не передается все приложение целиком. Вместо этого SoftGrid передает только часть приложения, которая требуется для запуска приложения на клиентской машине. Эта часть составляет обычно от 20 до 40 процентов всего кода, хотя возможны вариации в зависимости от приложения. Например, для запуска Microsoft Word 2003 на клиентской машине требуется передача 15 МБ данных в сравнении с общим размером пакета в 800 МБ. Если пользователь получает доступ к части приложения, которой еще нет в кэше клиента, необходимый код передается клиенту. Для того, чтобы избежать эффекта утра понедельника, когда огромное количество одновременных запросов подвешивает сеть, организации могут выбрать предварительное кэширование обычных приложений на рабочих столах пользователя.

Active Directory
SoftGrid основан на пользователях и группах доменов Active Directory (или Windows NT® 4.0) для предоставления приложений авторизованным пользователям. В многодоменной среде пользователи могут получать их, используя соответствующее членство в группе (SoftGrid поддерживает локальное, глобальное и универсальное членство в группе) и доверительные отношения с доменом, где установлен SVAS.
При установке SVAS вам предложат различные учетные записи служб и группы, которые помогают в интеграции с Active Directory и в дальнейшем используются для административных целей. Таким образом, перед установкой вам необходимо создать три группы и учетные записи: учетную запись обозревателя SoftGrid, группу администраторов SoftGrid и группу пользователей SoftGrid.
Учетная запись обозревателя SoftGrid отвечает за обзор Active Directory и, таким образом, требует наличия прав «только для чтения» для всех доменов Active Directory в многодоменной среде. Группа администраторов SoftGrid используется для предоставления административного доступа к консоли управления SoftGrid и веб-службе управления SoftGrid. И, наконец, группа пользователей SoftGrid используется для назначения политики поставщика по умолчанию, которая используется для предоставления всем пользователям домена доступа к приложениям, опубликованным при помощи консоли управления.

Виртуальная среда
В ядре клиента SoftGrid находится SystemGuard, который выполняется на локальном компьютере. SystemGuard отвечает за предоставление полностью функциональной виртуальной среды, чтобы приложения могли работать в изоляции. В этой среде размещаются виртуализированные компоненты ОС – реестр, файлы, шрифты, INI-файлы, модель COM, встроенные службы и переменные среды, которые требуются для правильной работы приложения (см. рис. 3).
Рис. 3 Виртуализированная среда для работы приложения в изоляции
Рис. 3 Виртуализированная среда для работы приложения в изоляции
SystemGuard создает виртуальные разделы реестра для каждого приложения, которое он запускает. Эти разделы недоступны для других приложений, запущенных на локальной ОС, и невидимы для средств правки реестра, таких как regedit. Операции по чтению и записи реестра перенаправляются по необходимости в виртуальные разделы. Учтите, тем не менее, что виртуальные приложения могут передаваться в локальный реестр для получения информации, которой нет в виртуальных разделах реестра.
Точно таким образом SystemGuard создает виртуализированную файловую систему и перенаправляет большинство операций приложений по чтению и записи в эту файловую систему. Эта виртуализированная файловая система изолирована и предоставляет среду, которая вам нужна, если вы решите запустить множественные версии одного и того же приложения на одном клиенте.
Тем не менее, следует отметить, что хотя приложения изолированы от локальной ОС, пользователь все равно имеет доступ ко всем локальным службам, таким как печать, копирование и вставка и сетевые диски.

Пакетирование приложений
Вам может быть интересно узнать, как создать полностью функциональную независимую среду для вашего виртуального приложения. Для этого вы должны использовать секвенсор SoftGrid. Это средство на основе мастера позволяет пакетировать приложения в виртуальной среде, которую можно доставить и использовать на клиенте.
Последовательный процесс состоит из трех этапов: установка, настройка и тестирование, выполнение. На первом этапе установки секвенсор SoftGrid использует процесс активного просмотра для наблюдения за установкой приложения и проверки зависимостей приложения. После завершения переходим к этапу настройки и тестирования для производства необходимых изменений в настройке по умолчанию, чтобы добиться необходимых результатов при первом запуске. И наконец на последнем этапе секвенсор SoftGrid компилирует и упорядочивает кодовый блок, необходимый для запуска приложения. Функциональный блок 1 (FB1) – это код, необходимый для запуска приложения, позволяющий пользователю запускать приложение без загрузки всего пакета.
После установки последовательности приложения создаются четыре файла: файл приложения, позволяющий виртуализацию (SFT), файл Open Software Description (OSD), файл значка (ICO) и файл проекта (SPRJ). Они затем копируются в каталог содержимого SVAS. В другом варианте администратор может опубликовать файлы ICO и OSD на клиентах при помощи сервера HTTP.
В то время как SoftGrid обычно позволяет приложениям работать независимо друг от друга в изолированных средах, SystemGuard позволяет некоторое взаимодействие между приложениями. Вы должны внимательно изучить возможные зависимости приложений друг от друга и установить приложения в последовательность одновременно, если они взаимодействуют друг с другом. Этот процесс обычно называется подбором. Учтите, что не все приложения, требующие взаимодействия друг с другом, могут быть установлены в последовательность вместе. Подбор – это весьма запутанный процесс, который необходимо производить после тщательного изучения всех компонентов, связанных с приложениями, поскольку установка последовательности для двух или более приложений препятствует целям виртуализации.

Упрощение администрирования
Консоль управления SoftGrid предоставляет единое средство для выполнения всех административных задач. Консоль управления устанавливается на SVAS по умолчанию и может быть установлена на любой другой сервер или рабочую станцию. Это оснастка MMC 3.0, использующая управление веб-службой SoftGrid для подключения к хранилищу данных SoftGrid (см. hис. 4) и дающая авторизованным администраторам полный доступ к данным, хранящимся в базе данных, для различных целей управления. Подключение между консолью управления и управлением веб-службой управления SoftGrid использует удаленную инфраструктуру Microsoft .NET Framework, делающую возможной установку консоли управления и веб-службы на одном или разных серверах. На рис. 2 показано, как эти различные части соединяются друг с другом и предоставляют доступ ко всему процессу применения SoftGrid. Учтите, что большие организации должны использовать более одного экземпляра управления веб-службой SoftGrid.
Рис. 4 Управление веб-службой SoftGrid предоставляет подключение к хранилищу данных
Рис. 4 Управление веб-службой SoftGrid предоставляет подключение к хранилищу данных (Щелкните изображение, чтобы увеличить его)
Веб-служба управления SoftGrid работает под Windows 2000 или более поздней версией с IIS 5.0 или более поздней версией. Для подключения необходима также .NET Framework 2.0 или более поздняя версия, а также компоненты MDAC (Microsoft Data Access Components) 2.7 или более поздняя версия.
Консоль управления предоставляет средство администрирования, при помощи которого можно публиковать приложения, прерывать их и т.д. Задачи организованы в девять основных категорий или контейнеров, как показано в меню на рис. 5.
Рис. 5 Управление SoftGrid при помощи одной консоли управления
Рис. 5 Управление SoftGrid при помощи одной консоли управления (Щелкните изображение, чтобы увеличить его)
Вот краткое описание всех типов задач управления по каждому из контейнеров. В контейнере приложений администратор может делать следующее – импортировать файлы SPRJ для публикации более новых приложений, указывать расположение OSD, удалять приложения и т.д. По умолчанию этот контейнер включает уже опубликованный пакет, который можно использовать для проверки связи клиента с сервером приложения.
При установке последовательности приложений создается связь с типом файла. После импорта пакета связи с типами файлов становятся доступными в консоли управления. Контейнер связей с типами файлов является местом, где администратор может изменять все связи с типами файлов.
Контейнер пакетов контролирует версии пакетов для активных обновлений; это обновления приложения, которые можно применить без отключения пользователя от сети или отключения сервера. Кроме того, используя этот контейнер, администратор может удалить пакет при помощи консоли управления. Учтите, что удаление пакета из контейнера пакетов удалит файл SFT из консоли управления и хранилища данных, но не удалит его из каталога содержимого на сервере приложений.
Как мы упоминали ранее, когда пользователь запускает приложение, клиент SoftGrid проверяет наличие лицензии и запускает приложение только в тому случае, если лицензия есть в хранилище данных. При помощи контейнера лицензий приложений администраторы могут связывать лицензии с приложениями – неограниченные лицензии, одновременные лицензии и именные лицензии.
Группы серверов содержат логическую группу серверов виртуализации приложений и записи журналов. Администраторы могут добавлять новые группы серверов и модифицировать свойства (например, порты, используемые для связи, или выделенную память и процессы) существующей группы.
При помощи контейнера политики поставщика администратор может создавать новые правила, называемые политикой. Пользовательская политика поставщика используется для предоставления пользователям доступа к множеству приложений на различных условиях. Можно использовать контейнер авторизации учетной записи для определения домена и учетных данных, которые будут использоваться при получении SoftGrid доступа к чтению информации в доменном каталоге. Контейнер администраторов SoftGrid содержит группы пользователей, несущих ответственность за администрирование среды SoftGrid. При помощи этого контейнера администраторы могут добавлять или удалять группы для контроля разрешений на доступ.
И наконец контейнер отчетов, как видно из названия, позволяет администраторам создавать отчеты для проверки общего состояния среды SoftGrid. Возможны следующие виды отчетов: использование приложения, аудит программного обеспечения, использование системы, активность пользователя/группы, а также системные ошибки.

Настройка клиента
Клиент SoftGrid устанавливается в операционной системе компьютера, который будет использоваться для получения доступа к виртуальному приложению. Как мы говорили раньше, поддерживаются два типа клиентов: Microsoft SoftGrid для рабочих столов или Microsoft SoftGrid для служб терминалов. У каждого подхода есть свои преимущества, но также и некоторые компромиссы с производительностью, а именно проблемы с задержками в сети, консолидацией серверной фермы и управлением.
При применении в условиях рабочего стола приложения становятся доступны локально при небольшой зависимости от сети и пропускной способности. Этот подход рекомендуется, например, для организаций с филиалами с ограниченной информационной инфраструктурой. Службы терминалов – хороший вариант для организаций, использующих службы терминалов. В этой ситуации программное обеспечение и оборудование используются экономно, резко сокращая количество необходимых серверов. И, разумеется, она поддерживает среду с действительно свободным доступом. В больших организациях обычно присутствует сочетание инфраструктур с использованием рабочих столов и служб терминалов. Установка и настройка различных компонентов одинакова для обоих подходов, когда вы настраиваете развертывание SoftGrid.
Клиент может быть развернут любым стандартным методов, например, при помощи ручной установки или автоматического развертывания с использованием такого средства, как Systems Management Server 2003. На рис. 6 показано минимальное оборудование и программное обеспечение, необходимое для установки этих клиентов.
Figure 6 Системные требования для клиентов SoftGrid

Клиент | Процессор | Память | Дисковое пространство | Операционная система
Microsoft SoftGrid для служб терминалов | PIII 850 МГц | ОЗУ 1 ГБ (минимум 256 МБ, фактически зависит от количества пользователей и приложений) | 12 МБ для установки и 4096 МБ для кэша | • Windows 2000 Server или Advanced Server со службами терминалов • Windows Server 2003 со службами терминалов
Microsoft SoftGrid для рабочих столов | PIII 600 МГц | 128 МБ | 12 МБ для установки и 2048 МБ для кэша | • Windows 2000 Professional или Windows XP • Windows 2000 Server или Windows Server 2003
Хотя установка клиента весьма проста, есть несколько параметров, которые вы должны указать во время установки – такие как местоположение установки, размер кэша, букву диска, который будет использоваться в качестве виртуального диска, местоположение файлов с данными приложения и т.д. После установки клиента можно указать или изменить дополнительные параметры при помощи консоли управления клиента.
Для запуска консоли управления клиента необходимо открыть панель управления и запустить управление клиентом SoftGrid из группы «Администрирование». Вы можете выбрать тип подключения – с локальной или удаленной машиной.
Нарис. 7 показано, что консоль управления клиентом состоит из корневого контейнера и трех дочерних контейнеров. SoftGrid в корневом локальном узле – это место, где вы определяете большинство функциональных параметров, включая каталог журнала, каталог данных приложения, настройки работы и отображения клиента, частота появления информационных сообщений и сообщений об ошибках, максимальный размер кэша, виртуальный диск, параметры сети и связи при отключении от сервера SoftGrid, а также разрешения.
Рис. 7 Консоль управления клиентом
Рис. 7 Консоль управления клиентом
Приложения можно просматривать и изменять в контейнере «Приложения». Контейнер «Приложения» содержит сведения о состоянии локального приложения – запущено ли приложение, заблокировано ли в кэше, какой процент приложения (SFT-файла) передан в локальный кэш.
Контейнер «Связи с типами файлов» позволяет просматривать, изменять и удалять связи с типами файлов. Для получения дополнительных сведений вернитесь к рассказу о связях с типами файлов в предыдущем разделе.
Контейнер настройки рабочего стола позволяет указывать, изменять и вручную обновлять параметры сервера приложения, которые вы указали во время установки. Кроме того, можно выбрать обновление клиента во время входа пользователя в сеть (вариант по умолчанию) и продолжительность интервала автоматического обновления.

Заключение
Виртуализация приложений при помощи Microsoft SoftGrid предлагает непревзойденный способ улучшить надежность системы и упростить управление. Поскольку в процесс вовлечены различные элементы, работающие вместе, архитектура безукоризненно вписывается в информационную инфраструктуру.
Microsoft SoftGrid для рабочих столов доступен для пользователей, имеющих гарантию на программное обеспечение, в качестве оптимизационного пакета Microsoft Desktop. Для получения дополнительных сведений посетите веб-узел windowsvista.com/optimizeddesktop. Microsoft SoftGrid для служб терминалов доступен в качестве отдельной лицензии клиентского доступа для корпоративных клиентов, работающих по договорам корпоративной лицензии (Volume Licensing). Чтобы загрузить пробную версию, используйте свою учетную запись Volume Licensing на узле https://licensing.microsoft.com и выберите Пакет оптимизации рабочего стола для SA в разделе загрузки продукции.

Ахмер Сабри (Ahmer Sabri) – технический эксперт группы финансовых служб корпорации Майкрософт. С Ахмером можно связаться по следующему адресу: ahmers@microsoft.com.
Кедар Шах – технический эксперт группы финансовых служб корпорации Майкрософт. С Кедаром можно связаться по следующему адресу: kedars@microsoft.com.


От редактора Динамика и Оптимизация
Джошуа Трупин (Joshua Trupin)

В ближайшие несколько месяцев вы, скорее всего, не раз услышите о двух стратегиях, предлагаемых Майкрософт для информационных отделов: динамические системы и оптимизация инфраструктуры. Внедрение этих стратегий поможет вам успешнее проводить текущую работу, связанную с информационными технологиями, а также подготовит к будущим требованиям.
Стратегия динамических систем определяет структуру средств и приложений, сочетающую 4 ключевых области технических новшеств. Эти новшества помогают выработать подходы к информационным технологиям завтрашнего дня. Чтобы построить динамическую среду, ваше программное обеспечение и инфраструктура должны быть: объединёнными и виртуализируемыми; ведомыми бизнес-процессами и управляемыми их моделями; предоставляющими необходимые сервисы; ориентированными на конечного пользователя.
Однако создать динамическую информационную среду можно, используя не только продукты корпорации Майкрософт. Вместо того чтобы пытаться справиться с растущей сложностью информационных технологий, ваша организация может с их помощью добиться преимущества в бизнесе. Используйте модели оптимизации инфраструктуры чтобы выяснить, как изменится ваше предприятие в течение следующих 2 лет. Таким образом вы сможете как полностью использовать существующую систему, так и спланировать более гибкую инфраструктуру на будущее.
Грубо говоря, информационное обеспечение предприятия находится в одном из 4 стадий жизненного цикла. Обычная: "Мы боремся с огнём". Стандартная: "Мы справляемся с обстановкой". Рационализированная: "Мы способствуем бизнесу". Динамическая: "Мы -- стратегически значимый актив предприятия" Подробное обсуждение этих стадий доступно на microsoft.com/io; оно поможет вам проанализировать существующую инфраструктуру и спланировать её будущие изменения. Применив концепции Динамических Систем, вы превратите ИТ-отдел в ключевой бизнес-актив.
Достигнув уровня Динамической организации, ваше информационное обеспечение станет самоуправляемым стратегическим активом. ИТ-нирвана! Семейство решений по управлению ИТ от Системного Центра –– лучший способ последовательного движения на вашем пути к Динамическим ИТ. Системный Центр предоставляет средства конфигурации и развёртывания приложений, менеджер операций и многое другое: средства системного Центра включают в себя полный жизненный цикл информационного обеспечения—от планирования до развёртывания и сопровождения.
И, конечно же, вам поможет Журнал TechNet. Этот номер посвящён набору решений от Системного Центра. Начиная с обширного обзора 2 ключевых компонентов: System Center Configuration Manager 2007 и System Center Operations Manager 2007, в номере также рассматривается развёртывание и эксплуатация приложений и даже обсуждаются вопросы эффективного управления филиалами.
Насколько хороша ваша инфраструктура по сравнению с остальными? Зайдите на наш блог blogs.technet.com/tnmag и расскажите, куда, по-вашему, вас приведут динамические ИТ. — Джошуа Трупин

Джошуа Трупин (Joshua Trupin)


Инструментарий Новые продукты для специалистов по информационным технологиям
Грег Стин (Greg Steen)

Управление данными конфигурации загрузки
VistaBootPRO
www.vistabootpro.org
У каждого известного мне специалиста по информационным технологиям есть как минимум один-два мультизагрузочных компьютера. Сегодня среди установленных на них систем обычно есть экземпляр Windows Vista® или Windows Server® 2008, ранее называвшегося «Longhorn». Если вы пользуетесь мультизагрузочным компьютером, где установлена одна из этих систем, вас может заинтересовать продукт VistaBootPRO компании PROnetworks.
Как вам, возможно, известно, начиная с Windows Vista, Microsoft изменила принципы управления конфигурацией загрузки. Взамен использования читаемого текстового файла, наподобие Boot.ini, теперь применяется хранилище данных конфигурации загрузки (Boot Configuration Data, BCD). Это обеспечивает более безопасный и независимый от микропрограммного обеспечения подход к управлению подробностями среды загрузки. Существует три основных способа просмотра и изменения BCD. Первым является использование средства MSConfig, предоставляющего базовый доступ для чтения, изменения и переупорядочения записей в BCD. Системным администраторам, скорее всего, больше знаком второй вариант – использование средства командной строки BCDEdit. При помощи этого средства можно создавать новые хранилища BCD, изменять существующие хранилища и производить экспорт и импорт хранилищ для резервного копирования и повторного использования. Третьим способом является программное управление BCD при помощи интерфейсаAPI WMI.
Все три способа позволяют выполнить необходимые действия, но ни один из них не является особенно удобным. Вот тут и появляется VistaBootPRO с более дружественным графическим интерфейсом для изменения конфигурации загрузки на компьютерах под управлением Windows Vista. Это средство позволяет с легкостью переименовывать записи для ОС, добавлять новые, изменять загрузочный диск и настраивать тайм-ауты при помощи одного-двух щелчков. Кроме того, VistaBootPRO позволяет выбрать запись для ОС и установить параметры запуска, такие как ограничение числа процессоров, доступных системе, включение или выключение механизма предотвращения выполнения данных для записей Windows Vista или Windows Server 2008, уменьшение размера доступной ОС оперативной памяти и выполнение загрузки в режиме отладки.
Перед тем, как вносить какие-либо изменения в BCD при помощи этого средства, следует выполнить резервное копирование используемого хранилища на случай, что что-то пойдет не так. Приложение выдаст предупреждение, если резервное копирование не было выполнено, и предоставляет удобный способ экспорта текущей конфигурации. И, конечно же, VistaBootPRO позволяет восстанавливать сохраненные конфигурации.
В целом, VistaBootPRO является простым в использовании приложением с достаточным набором возможностей для управления BCD. Главное же его достоинство в том, что оно распространяется бесплатно.

Цена: бесплатно.
Иллюстрация VistaBootPRO (Щелкните изображение, чтобы увеличить его)

Наблюдение за службами и устройствами
NetGong
netgong.tsarfin.com
Эх, средства наблюдения... Мне их всегда недостаточно. Если вы ищете новое средство наблюдения за сетевыми службами и устройствами или просто любите возиться со средствами наблюдения, взгляните на NetGong.
Это приложение отображается в панели задач, выполняясь при запуске Windows. Просто щелкнув значок приложения правой кнопкой мыши, можно быстро запустить или остановить процесс наблюдения. Дважды щелкнув значок, можно открыть основной интерфейс пользователя, где можно устанавливать, изменять и просматривать события для наблюдаемых серверов.
Наблюдение за сервером устанавливается легко. Необходимо указать адрес сервера, порт TCP, за которым необходимо наблюдать, интервал времени для выполнения тестов и тип уведомления, которое будет выдаваться. Также можно добавить осмысленное описание и изменить параметры ICMP по умолчанию, такие как тайм-аут, размер пакета и число попыток. По умолчанию NetGong предполагает, что наблюдаемые серверы должны отвечать на запросы ICMP, но это можно переопределить при помощи флажка для тех серверов в вашей сети, которые не реагируют на запросы ICMP.
Приложение предоставляет четыре категории уведомлений: звуковые, по электронной почте, сообщением и файловые. Для звукового оповещения вы можете указать желаемый файл WAV. Для сообщений можно определить текст сообщения, указать, выводить ли его принудительно поверх остальных окон, и выбрать, закрывать ли окно сообщения автоматически или вручную. Для уведомлений по электронной почте можно указать сервер SMTP и атрибуты отправляемого сообщения. Файловый вариант позволяет выполнить приложение (или пакетный файл) с настраиваемыми параметрами, режимом окна и папкой запуска. Для каждого типа уведомлений можно настроить расписание, определяющее, когда отправлять первое уведомление, максимальное число уведомлений и интервал сбоев (число сбоев) между уведомлениями. Можно также настроить уведомление по восстановлении работы службы.
NetGong также ведет журналы работы. Можно выбрать между записью событий в журнал событий, текстовый файл или динамически создаваемую страницу HTML. Приложение позволяет просматривать результаты наблюдений на страницах, обслуживаемых встроенным веб-сервером, использующим указанный пользователем порт. В строке запроса можно указать параметр частоты обновления, чтобы веб-страница пополнялась детальной информацией о последних результатах наблюдений.

Цена: 79,95 долларов США/компьютер (корпоративная лицензия), 59,95 долларов США/компьютер (академическая лицензия), 39,95 долларов США/компьютер (лицензия для домашнего использования).
Иллюстрация steen.toolbox.NetGong (Щелкните изображение, чтобы увеличить его)

Обзор книги
Windows PowerShell: TFM
www.sapienpress.com
Вы, конечно, уже слышали о Windows PowerShell™. Похоже, что все об этом говорят. В журнале TechNet Magazine есть даже посвященный этой теме раздел (который, кстати, ведет один из авторов этой книги). Но действительно ли вы окунулись в эту тему?
Windows PowerShell может быть исключительно эффективным средством автоматизации и производительности, когда вы знаете, как его использовать. Независимо от того, начинающий вы разработчик сценариев или гуру по VBScript, которому необходимо изучить этот новый, ориентированный на административные задачи, язык сценариев и набор средств командной строки, книга «Windows PowerShell: TFM», написанная Доном Джонсом (Don Jones) и Джеффри Хиксом (Jeffery Hicks), является замечательным первым шагом. Эта очень доступная книга ориентирована на системных администраторов и замечательно освещает моменты, которые будут полезны большинству из них.
Первая часть книги освещает среду Windows PowerShell, описывая общие параметры командлетов и основы синтаксиса и семантики языка сценариев. Также описаны концепции перенаправления, конвейеризации выполнения, функций, переменных и запуска нескольких оболочек. Поскольку среда Windows PowerShell основана на Microsoft® .NET Framework, она наследует преимущества управляемого кода. (Обратите внимание, что Windows PowerShell необходима версия .NET Framework 2.0 или более поздняя). Поэтому книга также описывает некоторые основные понятия .NET Framework, от контекста безопасности, в котором выполняются сценарии, до концепций отражения, сборок и классов.
Объяснив, как связать Windows PowerShell с WMI, авторы подробно обсуждают язык сценариев Windows PowerShell, приводя примеры, помогающие понять назначение объектов и их свойств и методов. Вы также узнаете, как использовать различные типы операций от основных арифметических до поразрядного сравнения, а также мощные регулярные выражения для анализа строк на предмет поиска элементов типа IP-адресов и имен контроллеров домена Это очень полезно для любого, настроенного на серьезное изучение Windows PowerShell.
Главы по управлению Windows и сценариям для баз данных демонстрируют огромные возможности, предлагаемые Windows PowerShell. Вы научитесь работать с журналами событий, процессами, системным реестром, файловой системой и службами каталогов, а также подключаться и выполнять запросы к базам данных.
Остальные разделы освещают вывод и форматирование данных, создание модульных сценариев, обработку ошибок и отладку. Авторы даже предлагают набор рекомендаций по разработке сценариев Windows PowerShell, включающий советы по соглашениям о именах, комментированию кода и использованию отступов для повышения читаемости кода .
Вам наверняка захочется держать эту книгу под рукой для быстрого доступа к материалам приложений, одно из которых является справочником по всем 133 командлетам Windows PowerShell, а другое по наиболее часто используемым типам (и связанным с ними методам и свойствам). Помимо предоставления быстрой справки по использованию конкретного командлета, эти справочные материалы помогают оценить всю широту возможностей, предлагаемых Windows PowerShell.

Цена: $49,99 по каталогу.

Прозвоните ваши кабели
SMARTest – компактный тестер сетевых кабелей
www.tsfactory.com
Кабели, кабели повсюду! Будучи специалистами по ИТ, большинство из нас окружено кабелями 5 категории (CAT5). Изобилие кабелей CAT5: сотни жгутов, протянутых на сотни метров. И, если вы отвечаете за эти кабели, хороший переносной кабельный тестер не просто удобен, а необходим. Поэтому вы можете захотеть взглянуть на компактный тестер сетевых кабелей SMARTest компании Hobbes.
SMARTest – это кабельный тестер, оформленный в виде авторучки. Он совместим со всеми категориями витой пары (CAT 3, 4, 5, 5e и 6) и может помочь в обнаружении обычных ошибок кабельных соединений. Конкретнее, вы можете проверять на разомкнутые, замкнутые, перепутанные, недообжатые и разделенные пары, а также проблемы с заземлением в пучке кабеля.
Устройство работает от четырех маленьких часовых батареек, поэтому кабели не обязаны быть подключены для тестирования; также не стоит подключать SMARTest к работающему сетевому подключению. Чтобы проверить кабель, необходимо воткнуть один конец мотка в основной модуль, а другой в отдельный удаленный модуль. У модулей SMARTest есть интерфейсы как с наконечником, так и с розеткой RJ45, поэтому можно легко проверить любой вариант кабельного подключения. Можно даже использовать SMARTest для проверки подключения монтажных колодок и настенных розеток.
Другой замечательной возможностью устройства является встроенный генератор тона, поэтому вы можете посылать по проверяемому кабелю аудиосигнал. Этот сигнал может быть принят совместимым приемником, таким как датчик для отслеживания кабеля (Cable Tracer Probe), также производимый компанией Hobbes.
SMARTest с такой функциональностью стоит порядка $80-$90, в зависимости от продавца. Кроме того, есть дополнительный F-разъем для проверки коаксиального кабеля.

Цена: 99,99 долларов США по каталогу.
Рисунок steen.toolbox.smartest (Щелкните изображение, чтобы увеличить его)

Грег Стин (Greg Steen) – специалист по информационным технологиям, предприниматель и энтузиаст. Он постоянно находится в поиске новых инструментов и методов для облегчения работы и процесса разработки специалистам по информационным технологиям.


Вопросы и ответы по SQL Поиск блокировок, большие запросы, статистика ввода-вывода и многое другое
Под редакцией Нэнси Мичелл (Nancy Michell)

Загрузить исходный код для этой статьи: SQLQandA2007_08.exe (151KB)

В: Мне необходимо просмотреть имена всех заблокированных объектов во всех базах данных. Как это сделать?

О: В SQL Server™ 2000 получить текущую информацию о блокировках можно, либо исполнив запрос к системной таблице syslocks в схеме Master, либо запустив хранимую процедуру sp_lock, например:
SELECT * FROM master..syslocks
EXEC sp_lock
Однако предположим, что вам нужно по идентификатору объекта, находящемуся в выводе хранимой процедуры sp_lock или в колонке id результата запроса, получить действительное имя объекта.
В SQL Server 2005 SP1 и в более ранних версиях в функцию OBJECT_NAME было передать только один параметр: object_id. Таким образом, для правильного получения имени объекта перед запуском OBJECT_NAME приходилось переключаться в текущую (CURRENT) базу данных. Это затрудняло наблюдение за блокировками, поскольку для получения корректного имени объекта приходилось писать код, обходящий в цикле все базы данных.
USE DBNAME
SELECT OBJECT_NAME(object_id)
SQL Server 2005 SP2 позволяет передавать в функцию второй параметр – идентификатор базы данных database_id.
OBJECT_NAME ( object_id [, database_id ] )
Теперь можно получить имена всех заблокированных объектов во всех базах данных запросом к таблице sys.dm_tran_locks:
SELECT
DB_NAME(resource_database_id),
OBJECT_NAME(resource_associated_entity_id, resource_database_id)
FROM sys.dm_tran_locks
WHERE resource_type='OBJECT'
Обратите внимание, что такая конструкция работает только для SQL Server 2005 SP2 и более поздних версий. В предыдущих версиях SQL Server 2005 создается ошибка:
Msg 174, Level 15, State 1, Line 1
The object_name function requires 1 argument(s).
На рис. 1 показан другой пример. Присоединив таблицу sys.dm_exec_sessions, можно получить информацию об идентификаторах серверных процессов (SPID), установивших блокировки. Для получения дополнительных сведений воспользуйтесь электронной документацией по SQL Server по адресу technet.microsoft.com/library/ms130214(sql.90).aspx.
Figure 1 Поиск идентификаторов серверных процессов
SELECT
DB_NAME(resource_database_id) as DBName,
OBJECT_NAME(resource_associated_entity_id, resource_database_id) AS ObjectName,
request_mode,
request_type,
request_session_id,
es.host_name,
es.login_name,
es.login_time
FROM
sys.dm_tran_locks tl
INNER JOIN sys.dm_exec_sessions es
ON tl.request_session_id=es.session_id
WHERE resource_type='OBJECT'

В: У меня есть большой динамический запрос SQL, длина которого, возможно, превышает NVARCHAR(max). Есть ли какой-нибудь способ, который позволил бы исполнить запрос, состоящий из одной длинной строки?

О: Если вы превысили длину NVARCHAR(max), то ваш запрос занимает 2 гигабайта! Вам, возможно, придется преобразовать все строчки, которые вы соединили в NVARCHAR(max). Однако есть более удобный способ обхода, который к тому же эффективен и в предыдущих версиях SQL Server, — сцепить вместе несколько небольших строк. Приведем пример:
DECLARE @q1 NVARCHAR(4000), @q2 NVARCHAR(4000), @q3 NVARCHAR(4000)
SET @q1 = 'SELECT...'
SET @q2 = 'FROM...'
SET @q3 = 'WHERE...'
EXEC (@q1 + @q2 + @q3)
Совет: Использование предложения OUTPUT
Появилась возможность проверять изменения, производимые операторами языка ЯМД (язык манипулирования данными), без использования триггеров. В SQL Server 2005 введено предложение OUTPUT — составная часть операторов ЯМД, которая помогает отслеживать изменения, сделанные в ходе любой модификации данных. Предложение OUTPUT позволяет сохранить набор результатов в таблицу или в табличную переменную.
Его функции аналогичны тому, что выполняти триггеры при помощи таблиц INSERTED и DELETED, которые использовались для доступа к строкам, которые были изменены при работе ЯМД. Чтобы увидеть, как это работает, прочитаем задом наперед значение адреса в таблице адресов, как показано на следующем рисунке. Логику кода, приведенного в данном примере, можно использовать для отслеживания любых изменений в данных и сохранения сведений об этих изменениях в таблице.
Вывод запроса может выглядеть примерно так:
Original Value:'1234 One Microsoft Way, Redmond, Wa.' has been changed to: '.aW,dnomdeR
,yaW tfosorciM enO 4321'

Меняем адрес
--Create the address table
Create Table Address (ProductID Int, SupplierID Int, Address Varchar(255))

--Insert data
Insert into Address Values (234,567,'1234 One Microsoft Way, Redmond, Wa.')

--Declare a table variable
Declare @Recordchanges table (change Varchar(255))

--Update the address
Update Supplier.Address
Set Address=reverse(address)

--Record the updates into the table variable
OUTPUT 'Original Value:' + DELETED.Address+' has been changed to: '+ INSERTED.Address+''
into @RecordChanges

--Query the changes from table variable
Select * from @RecordChanges

В: У меня есть критически важная кластерная установка SQL Server 2005 на Windows Server® 2003. Координатор распределенных транзакций Microsoft® (MS DTC) «кластеризован» на той же группе с помощью кворума кластера (Cluster Quorum), но использует выделенный дисковый ресурс (MS DTC имеет то же сетевое имя и IP-адрес, что и группа кворума кластера ). Мне хотелось бы привести конфигурацию в соответствие с практическими рекомендациями Майкрософт. В связи с этим посоветуйте, как переместить MS DTC в выделенную кластерную группу. Достаточно ли удалить службы MS DTC с помощью средства администрирования кластера и создать их снова на выделенной группе?

О: Поскольку выделенный дисковый ресурс для MS DTC у вас уже есть, можно просто удалить его и создать в новой группе. Также для новой группы придётся создать новое сетевое имя и присвоить виртуальный IP-адрес.
Вместо этого можно создать в кластерной группе новое сетевое имя и IP-адрес, а потом поменять зависимости на новый ресурс. Затем можно перетащить MS DTC в новую группу, при этом выделенный диск и новые ресурсы переместятся в нее.

В: Мне нужно иметь возможность просматривать статистику ввода-вывода на физических файлах базы данных. Что мне использовать?

О: Как в SQL Server 2000, так и в SQL Server 2005 существует системная функция fn_virtualfilestats. Кроме того, в SQL Server 2005 можно использовать функцию sys.dm_io_virtual_file_stats. Обе функции позволяют получить именно те данные, которые вам нужны. Эти функции возвращают статистическую информацию, собранную с момента последнего запуска SQL Server. Пример показан на рис. 2.
Figure 2 Получение статистики ввода-вывода по базе данных.

Идентификатор базы данных | Идентификатор файла | Отметка времени. | Количество запросов на чтение | Количество запросов на запись | Считано байт | Записано байт | Время ожидания операций ввода-вывода
20 | 1 | 250765718 | 381 | 0 | 3350528 | 0 | 951
20 | 2 | 250765718 | 12 | 8 | 409600 | 491520 | 0
20 | 3 | 250765718 | 5 | 0 | 40960 | 0 | 16
Знакомство со влиянием ввода-вывода на лежащие в основе базы данных файлы нужно для лучшего планирования и решения следующих задач: размещения файлов и групп файлов на томах данных; определения возможных ограничений производительности подсистемы ввода-вывода; обслуживания файлов базы данных и других. Эта функция особенно полезна для исследования влияния ввода-вывода на работу больших баз данных, в которых используется много файлов и файловых групп.
Запрос, показывающий информацию о вводе-выводе для SQL Server 2000, может выглядеть так:
SELECT *
FROM ::fn_virtualfilestats(default,default)
GO
Чтобы просмотреть статистику нужной базы данных, передайте в функцию идентификатор базы:
SELECT *
FROM ::fn_virtualfilestats(7,default)
GO
Этот код SQL Server 2005 показывает файловую статистику для всех баз данных на сервере:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
GO
Этот запрос возвращает статистику только по текущей базе данных:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
WHERE DBID=db_id()
GO
В SQL Server 2005 есть также новая системная функция sys.dm_io_virtual_file_stats, которая со временем должна заменить устаревшую функцию fn_virtualfilestats:
sys.dm_io_virtual_file_stats(
{ database_id | NULL },
{ file_id | NULL }
)
Вот как она используется:
SELECT * FROM sys.dm_io_virtual_file_stats(NULL,NULL)
Если на основании вывода функций сбора статистики необходимо составить отчет, который показывал бы имена файлов и баз данных, используйте код, который можно загрузить с сайта журнала TechNet Magazine. На веб-узле есть примеры кода как для SQL Server 2000, так и для SQL Server 2005.

В: Как проще всего узнать, сработал ли триггер во время операции удаления данных? Есть идеи?

О: При работе с триггерами, обрабатывающими удаление, вставку или модификацию записей, чтобы узнать, сработал ли триггер во время операции удаления, используются различные приемы. Часто сравнивают значения счетчиков виртуальных таблиц удаленных и добавленных записей. Однако проще применить функцию Columns_Updated.
Если во время транзакции удаления срабатывает триггер, функция Columns_Updated всегда возвращает двоичное значение 0x. В следующем примере проверяется, сработал ли триггер на удаление:
IF Columns_Updated() = 0x
Совет: Инициализация файлов данных и журналов.
Знаете ли вы, что при инициализации файлов данных и журналов перезаписывается вся информация, оставшаяся на диске от стертых ранее файлов? При создании базы данных; добавлении файлов данных или журналов к существующей базе данных; увеличении размера существующих файлов (в том числе при автоматическом увеличении); восстановлении баз данных или файловых групп содержимое новых файлов заполняется нулями. Инициализация файлов замедляет эти операции. Если же данные сразу записываются в файлы, операционной системе не приходится заполнять файлы нулями.
В SQL Server 2005 файлы можно инициализировать мгновенно, что позволяет сократить время перечисленных выше файловых операций. Мгновенная инициализация файлов восстанавливает дисковое пространство без заполнения его нулями. Вместо этого содержимое диска перезаписывается по мере поступления новых данных. Файлы журналов нельзя мгновенно инициализировать. Мгновенная инициализация файлов работает только в операционных системах Windows XP, Windows Server 2003 или более поздних версиях.
Поскольку стертые данные перезаписываются только по мере поступления новых, доступ к ним может получить неавторизованный пользователь. Пока файл базы данных используется SQL Server, наличие брокерских списков управления доступом (DACL) снижает угрозу несанкционированного доступа к информации. Эти DACL разрешают доступ на чтение только пользователям с учетной записью службы SQL Server или локального администратора. Однако после отключения от SQL Server доступ к файлу могут получить пользователи или службы, не имеющие имени SE_MANAGE_VOLUME_NAME. Та же угроза возникает при резервном копировании базы данных. Если файл резервной копии не защищен соответствующими DACL, то доступ к удаленной ранее информации может быть получен неавторизованным пользователем или службой.
В случаях, когда возможность чтения удаленной ранее информации является угрозой, необходимо тщательно убеждаться в достаточных ограничениях прав доступа в DACL к неиспользуемым файлам данных и резервным копиям, а также снимать SE_MANAGE_VOLUME_NAME с учетной записи SQL Server, чтобы запретить мгновенную инициализацию файлов.

Thanks to the following Microsoft IT pros for their technical expertise: Christian Bolton, Dan Carollo, Robert Davis, Jorge Guzman, Saleem Hakani, Ward Pond, Kalyan Yella, and Paolo Zavatarelli.


Обзор служебных программ BGInfo
Лэнс Уитни (Lance Whitney)

Загрузить исходный код для этой статьи: BgInfo v4.10 (274KB)

Вы пытаетесь решить проблему с пользовательским компьютером, и вам необходима информация о нем – его имя, IP-адрес, шлюз, память, свободное дисковое пространство и т.д. Сбор этой информации обычно подразумевает просмотр множества источников или огромное количество вопросов пользователю. Разве не было бы удобно, если все, что вам необходимо знать о компьютере, находилось в одном месте? Это возможно при помощи бесплатного средства от Sysinternals под названием BGInfo.
Программа BGInfo (сокращение от «Основные сведения» (Background Information)), созданная Брюсом Когсвеллом (Bryce Cogswell), запрашивает рабочую станцию или сервер Windows® на предмет основных данных – от сетевых данных (IP-адрес, маршрутизатор, имя домена, MAC-адрес) до программного обеспечения и оборудования (имя компьютера, память, версия ОС, уровень пакета обновления). Затем программа выводит все данные на рабочий стол как часть фонового рисунка, и, таким образом, информация очень хорошо видна и не мешает работе (см. рис. 1).
Рис. 1 BGInfo выводит системную информацию на рабочий стол
Рис. 1 BGInfo выводит системную информацию на рабочий стол (Щелкните изображение, чтобы увеличить его)
Для запуска BGInfo дважды щелкните файл bginfo.exe – никакой установки не требуется. На экране появится панель настройки, чтобы вы могли просмотреть и выбрать поля данных для показа. По умолчанию BGInfo показывает 24 отдельных вида информации. Вы можете убрать любое из полей, если не хотите, чтобы оно показывалось, а затем добавить его позже, если передумаете. Вы также можете легко добавлять дополнительные поля. BGInfo покажет любую переменную среды, большинство значений реестра, а также результаты запросов VBScript и инструментария управления Windows (WMI). Интерфейс WMI обеспечивает простоту построения запросов путем выбора значений в раскрывающемся списке. BGInfo также может подключиться к определенным файлам, чтобы вывести информацию об их версии, отметке времени и содержании.
Отображение имеет большие возможности для пользовательской настройки. Можно изменять различные атрибуты текста – расположение, шрифт, размер и цвет. Более того, можно изменять расположение данных на рабочем столе и определять максимальную ширину области показа в дюймах. И, наконец, BGInfo позволяет добавлять графические изображения вместе с текстовыми данными, поэтому можно добавить изображение, например, ваш корпоративный логотип. Наоборот, если вы не хотите выводить всю эту информацию на рабочий стол, просто настройте BGInfo как значок в панели задач. Щелкните ее, и на рабочем столе появится полное изображение.
После того, как вы произвели форматирование, можно нажать кнопку «Предварительный просмотр», чтобы посмотреть, как будет выглядеть изображение, а затем принять эти изменения, если они вас устраивают. Можно запускать BGInfo вручную на любом компьютере, когда это необходимо, или производить автоматическое обновление. Для регулярного обновления данных добавьте файл BGInfo.exe в папку автозагрузки или установите его в качестве назначенного задания. После настройки BGInfo на одном компьютере вы, вероятно, захотите использовать те же самые настройки на других компьютерах. Сохраните ваши параметры как BGI-файл, а затем загрузите их на другие компьютеры с этой программой.
Хотя вы можете запускать BGInfo одновременно только на одном компьютере, вы, возможно, захотите, чтобы он работал на нескольких сетевых клиентах. Вы можете вставить файл bginfo.exe в сценарий входа; программа предусматривает несколько вариантов командной строки для управления ее поведением. Данные, собранные BGInfo, также можно экспортировать во внешний файл – текстовый файл, таблицу Excel®, базу данных Access™ или SQL, и таким образом у вас всегда будет удобный источник информации обо всех сетевых данных вашего компьютера.
Справочная информация, включенная в BGInfo, содержит все необходимые сведения и очень удобна в использовании. В ней даже содержатся советы по поводу написания простых запросов VBScript и WMI, результаты которых могут собираться при помощи BGInfo. Программа может работать под всеми версиями Windows – от Windows 95 до Windows Vista®. Получить дополнительную информацию о BGInfo и загрузить инструментарий можно на веб-узле microsoft.com/technet/sysinternals/Miscellaneous/BgInfo.mspx.

Лэнс Уитни (Lance Whitney) — консультант по информационным технологиям, преподаватель и разработчик технической документации. Он долгое время занимался настройкой рабочих станций и серверов Windows. Журналист по профессии, 15 лет назад он занялся изучением информационных технологий.


Кабельщик Автонастройка IPv6 в Windows Vista
Джозеф Дэвис (Joseph Davies)

Стандарт IPv6 – это больше, чем расширение адресного пространства с 32 в IPv4 до 128 бит. Узлы IPv6 могут автоматически осуществлять самонастройку даже без использования протокола настройки адресов, такого как DHCP для IPv6 (DHCPv6).
Основываясь на RFC 2462, все IPv6 узлы автоматически настраивают локальный адрес связи для каждого интерфейса. Узел IPv6 также использует обнаружение маршрутизатора (путем обмена сообщениями Router Solicitation, запрос маршрутизатора, и Router Advertisement, объявление маршрутизатора), чтобы определить дополнительные адреса и параметры настройки. В Router Advertisement в сообщение, которое отправляет маршрутизатор, включается флаг управляемой настройки адресов (флаг M) и флаг других параметров настройки с сохранением состояния (флаг O). Эти флаги показывают, должны ли узлы использовать DHCPv6 для получения дополнительных адресов и параметров настройки.

Варианты автонастройки IPv6
Кроме локального адреса, узлы могут использовать автоматическую настройку без сохранения состояния для настройки адресов и других параметров по получении сообщения Router Advertisement. Данные сообщения могут включать один или несколько параметров Prefix Information, которые принимающий узел может использовать для вывода адресов без сохранения состояния.
Аналогичным образом автоматическая настройка адресов с сохранением состояния – это настройка адресов и других параметров с помощью DHCPv6 для получения адресов. Узел использует автоматическую настройку адресов с сохранением состояния, когда он получает сообщение Router Advertisement с флагом M, установленным в 1.
Наконец, узел может использовать автоматическую настройку с сохранением состояния и без сохранения состояния одновременно, что является сочетанием адресов, один из которых включен в объявление маршрутизатора, другой получен от сервера DHCPv6.

Состояния автоматически настроенного адреса
Когда автоматически настроенный адрес находится в пробном состоянии, он проверятся на уникальность с помощью обнаружения дублирующих адресов (duplicate address detection, DAD). Сведения о том, как осуществляется DAD, приведены на боковой панели "Процесс автоматической настройки IPv6 согласно RFC 2462". Адрес в допустимом состоянии уже проверен на уникальность и может использоваться для отправки и получения одноадресного трафика. Допустимое состояние включает в себя и предпочитаемое, и устаревшее состояния. В предпочитаемом состоянии адрес может использоваться для неограниченной связи. В устаревшем состоянии адрес не должен использоваться для новой связи, однако, существующие сеансы связи могут продолжаться.
Процесс автоматической настройки IPv6 согласно RFC 2462
Следующие шаги описывают процесс автоматической настройки для узла IPv6, определенный в RFC 2462:
  • Получить пробный локальный адреса связи с EUI-64 (Extended Unique Identifier, расширенный глобальный идентификатор).
  • Выполнить DAD пробного локального адреса путем отправки сообщения Neighbor Solicitation (опрос соседа), где в «адрес назначения» сообщения установлен пробный локальный адрес.
  • Если было получено сообщение Neighbor Advertisement (объявление соседа), отправленное в ответ на сообщение Neighbor Solicitation, значит, пробный адрес связи дублирующий. Остановить автоматическую настройку адресов. На данной стадии на узле нужно провести настройку вручную.
  • Если сообщение Neighbor Advertisement (объявление соседа), отправленное в ответ на сообщение Neighbor Solicitation, не было получено, значит, пробный адрес является уникальным. Изменить состояние адреса интерфейса на предпочитаемое.
  • Отправить сообщение Router Solicitation (запрос маршрутизатора).
  • В случае, если сообщения Router Advertisement не получены, использовать DHCPv6 для получения адресов и других параметров настройки.
  • Если сообщение Router Advertisement получено, настроить пробный адрес для включенных префиксов и провести обнаружение дублирующих адресов для каждого пробного адреса. Если адреса уникальны, изменить состояние адресов интерфейса на предпочитаемые.
  • Если флаг M в сообщении Router Advertisement имеет значение 1, использовать DHCPv6 для получения дополнительных адресов с сохранением состояния.
  • Если флаг M в сообщении Router Advertisement имеет значение 0 и флаг O – значение 1, использовать DHCPv6 для получения дополнительных параметров настройки.

Передающий объявления маршрутизатор или DHCPv6 сервер определяет допустимые и предпочитаемые времена жизни префикса адреса. Адрес становится устаревшим после того, как предпочитаемое время жизни адреса истекает. Предпочитаемое время жизни автоматически настроенного адреса обновляется при получении объявлений маршрутизатора или изменении настройки адреса по DHCPv6. На рис. 1 показаны состояния автоматически настроенного адреса и их связь с предпочитаемыми и допустимыми временами жизни.
Рис. 1 Состояния автоматически настроенного адреса
Рис. 1 Состояния автоматически настроенного адреса (Щелкните изображение, чтобы увеличить его)
Автоматическая настройка адресов указана для узлов IPv6 за исключением автоматической настройки для локальных адресов. Маршрутизаторы IPv6 должны получить адрес и параметры настройки по-другому, например, путем настройки вручную.
Боковая панель «Процесс автоматической настройки IPv6 согласно RFC 2462 » описывает подробный процесс автоматической настройки IPv6-адреса для узлов, определенный в RFC 2462.

Поведение автоматической настройки IPv6 в Windows Vista
Компьютеры под управлением Windows Vista® или Windows Server® 2008, ранее называвшейся кодовым именем «Longhorn», по умолчанию создают случайные идентификаторы интерфейсов для постоянных автоматически настроенных IPv6-адресов (включая общие и локальные адреса), а не основанные на EUI-64 идентификаторы интерфейсов. Общедоступный IPv6-адрес – глобальный адрес, который зарегистрирован в DNS и обычно используется в серверных приложениях для входящих подключений, например, веб-сервер. Вы можете отключить такое поведение по умолчанию с помощью команды:
netsh interface ipv6 set global randomizeidentifiers=disabled
В этом случае IPv6 использует основанные на EUI-64 идентификаторы интерфейсов.
При использовании случайно получаемого кода интерфейса вероятность дублирования локального адреса очень мала. Поэтому компьютеры под управлением Windows Vista или Windows Server 2008 не ожидают завершения DAD перед отправкой сообщений Router Solicitation, использующих полученный локальный адрес. Такой подход известен как оптимистический DAD, обнаружение маршрутизатора и DAD осуществляются параллельно для экономии времени во время процесса инициализации интерфейса.
Компьютеры под управлением Windows Vista или Windows Server 2008 не пытаются проводить автоматическую настройку адреса с сохранением состояния, используя DHCPv6, если объявления маршрутизатора не были получены.
Процесс автоматической настройки IPv6 в Windows Vista
Следующие шаги описывают процесс автоматической настройки для узла IPv6 под управлением Windows Vista:
  • Получить пробный локальный адрес связи для интерфейса локальной сети со случайно получаемым идентификатором интерфейса (параметр по умолчанию).
  • Выполнить DAD полученного локального адреса интерфейса локальной сети (отправка сообщения Neighbor Solicitation, где в «адрес назначения» установлен пробный локальный адрес).
  • Провести обнаружение маршрутизатора на интерфейсе локальной сети (отправка сообщения Router Solicitation с пробного локального адреса связи).
  • Если получено сообщение Neighbor Advertisement, отправленное в ответ на сообщение Neighbor Solicitation, которое, в свою очередь, было отправлено на шаге 2, отметить пробный адрес как дублирующий.
  • Если сообщение Neighbor Advertisement, отправленное в ответ на сообщение Neighbor Solicitation, не получено, измененить состояние локального адреса на интерфейсе локальной сети на предпочитаемое.
  • В случае, если сообщения Router Advertisement не получены, остановка автоматической настройки IPv6-адреса на интерфейсе локальной сети. Перейти к шагу 13.
  • При получении объявления маршрутизатора создать пробный общедоступный адрес, соответствующий префиксам глобального или уникального локального адреса в сообщении, основанного случайного идентификатора интерфейса, полученного на шаге 1, и выполнить DAD.
  • Создать пробные временные адреса, соответствующие префиксам глобального или уникального локального адреса сообщения, основанного на новых случайных идентификаторах интерфейса, и выполнить DAD.
  • Для каждого из новых адресов, если сообщения Neighbor Advertisement, отправленные в ответ на сообщение Neighbor Solicitation, получены, измененить состояние адреса на интерфейсе локальной сети на предпочитаемое.
  • Если флаги M и O объявления маршрутизатора установлены в 0, остановить автонастройку IPv6 на интерфейсе локальной сети. Перейти к шагу 13.
  • Если флаг M в объявлении маршрутизатора имеет значение 1, использовать DHCPv6 для получения как IPv6-адресов с сохранением состояния, так и дополнительных параметров настройки.
  • Если флаг M в объявлении маршрутизатора установлен в 0 и флаг O – в 1, использовать DHCPv6 для получения дополнительных параметров настройки.
  • Получить локальные адреса связи ISATAP на основе IPv4-адресов интерфейса локальной сети и назначить их интерфейсу туннелирования ISATAP.
  • Попытаться разрешить имя узла "ISATAP" в IPv4-адрес.
  • Если имя узла "ISATAP" не может быть разрешено, прекратить настройку IPv6.
  • Если имя узла "ISATAP" разрешено в IPv4-адрес, отправить разрешение инкапсулированного в IPv4 запроса маршрутизатора маршрутизатору ISATAP.
  • Если объявление маршрутизатора от маршрутизатора ISATAP получено, создать дополнительные адреса ISATAP, соответствующие объявленному глобальному или уникальному префиксу адреса локальной связи, и назначить их интерфейсу туннелирования ISATAP.

Автонастраиваемые адреса для Windows Vista
Как уже было сказано ранее, протокол IPv6 для Windows Vista и Windows Server 2008 автоматически настраивает локальной адреса связи с помощью полученных случайным образом идентификаторов для всех интерфейсов локальной сети.
Если полученное объявление маршрутизатора включает в себя глобальный или уникальный локальный префикс, IPv6 настраивает глобальные или уникальные локальные адреса с помощью того же полученного случайным образом идентификатора интерфейса и назначает их интерфейсу локальной сети, получившему объявление маршрутизатора. Эти адреса известны как общедоступные.
IPv6 в Windows Vista по умолчанию также настраивает временные глобальные или уникальные адреса с помощью различных полученных случайным образом идентификаторов интерфейса и назначает их интерфейсу локальной сети, получившему объявление маршрутизатора. Временные адреса определяются в RFC 3041 и используются для предоставления уровня анонимности для связи, инициированной клиентом. IPv6 в Windows Server 2008, напротив, не создает временные адреса по умолчанию. Можно включить временные адреса, используя следующую команду:
netsh interface ipv6 set privacy-enabled
Если флага M установлен в 1 в полученных сообщениях объявления маршрутизатора, IPv6 использует DHCPv6 для настройки дополнительных глобальных или уникальных адресов для интерфейса локальной сети.
IPv6 также создает интерфейс туннелирования протокола ISATAP для каждого интерфейса локальной сети на узле RFC 4214 описывает технологию передачи ISATAP IPv6. С помощью ISATAP узлы IPv6 могут взаимодействовать по внутренней сети, где есть только протокол IPv4, путем инкапсуляции пакета IPv6 с заголовком IPv4. Для получения дополнительных сведений об ISATAP посетите веб-узел "Технологии передачи IPv6".
Для каждого интерфейса туннеллирования ISATAP IPv6 настраивает локальные адреса связи ISATAP для IPv4-адресов, назначенных соответствующему интерфейсу локальной сети.. Например, для интерфейса туннеллирования ISATAP, соответствующему интерфейсу локальной сети, назначенному IPv4-адресу 192.168.91.211, IPv6 назначает локальный адрес связи ISATAP FE80::0:5EFE:192.168.91.211.
Узлы ISATAP также выполняют обнаружение маршрутизатора ISATAP. Для получения объявления маршрутизатора от маршрутизатора ISATAP IPv6 по умолчанию должен иметь возможность разрешения имени узла "ISATAP" в IPv4-адрес. Это выполняется путем использования методов разрешения имени узла на основе Windows, таких как DNS. После разрешения имени узел отправляет инкапсулированный в IPv4 запрос маршрутизатора маршрутизатору ISATAP. Затем маршрутизатор ISATAP отправляет инкапсулированное в IPv4 объявление маршрутизатора узлу. На основании содержимого полученного объявления маршрутизатора IPv6 также настраивает глобальные или уникальные локальные адреса ISATAP в интерфейсах туннелирования ISATAP.
Windows Vista также поддерживает технологии передачи IPv6 с названиями 6to4 и Teredo. Тем не менее, чтобы все не усложнять, я не буду обсуждать автонастройку интерфейсов туннелирования 6to4 и Teredo узла IPv6 на основе WindowsVista.
На боковой панели « Процесс автонастройки IPv6 в Windows Vista» описан процесс автонастройки адреса для узла IPv6 на основе Windows Vista с помощью одного интерфейса локальной сети, который настраивается при помощи префиксов глобального или уникального локальных адресов на его интерфейсах туннелирования локальной сети или ISATAP.
Например, узел, работающий под управлением Windows Vista, имеет один интерфейс локальной сети. Узел получает на своем интерфейсе локальной сети объявление маршрутизатора, в котором флаги M и O установлены в 0 и содержатся префиксы 2001:DB8:D005:F282::/64 и FD4A:3A9:27A1:F282::/64. Он не получает сообщения объявления маршрутизатора от маршрутизатора ISATAP. Нарис. 2 показан пример выходных данных, которые можно получить, используя команду
Figure 2 Выходные данные из netsh interface ipv6 show address
Interface 1: Loopback Pseudo-Interface 1

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite ::1

Interface 8: Local Area Connection

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Temporary Preferred 6d19h37m21s 6d19h37m21s 2001:db8:d005:f282:ed46:5dd4:5439:2e1c
Public  Preferred  infinite infinite 2001:db8:d005:f282:3521:12fa:2c44:87d1
Temporary Preferred 6d19h37m21s 6d19h37m21s fd4a:3a9:27a1:f282:ed46:5dd4:5439:2e1c
Public   Preferred  infinite infinite fd4a:3a9:27a1:f282:3521:12fa:2c44:87d1
Other   Preferred  infinite infinite fe80::3521:12fa:2c44:87d1%8

Interface 17: Local Area Connection* 9

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite fe80::5efe:10.47.181.92%17

netsh interface ipv6 show address
для этого хоста, используемого в качестве примера. На рисунке интерфейс туннелирования ISATAP, соответствующий интерфейсу локальной сети, который называется Local Area Connection, называется Local Area Connection* 9.
Помимо автонастраиваемых адресов, протокол IPv6 для Windows Server 2008 и Windows Vista также поддерживает ручную настройку статических IPv6-адресов посредством следующей команды:
netsh interface ipv6 add address
или посредством компонента протокола TCP/IPv6 из свойств подключения в папке «Сетевое подключение».
В статье этого месяца предполагается, что у вас уже есть общее представление об адресации IPv6 и работе протоколов. Для получения дополнительных сведений по этому теме я предлагаю вам ознакомиться с официальным документом «Introduction to IPv6», который можно найти на веб-узле microsoft.com/technet/ network/ipv6/introipv6.mspx.

Джозеф Дэвис (Joseph Davies) работает составителем технической документации в корпорации Майкрософт. С 1992 года занимается преподаванием и пишет о сетях Windows. Он автор пяти книг, опубликованных издательством Microsoft Press, и ведет ежемесячную рубрику TechNet «Кабельщик».


Windows PowerShell Возможности фильтрации
Дон Джонс (Don Jones)

В своей статье в прошлом месяце я обсуждал возможности и гибкость конвейера Windows PowerShell, позволяющего передавать набор данных — или, точнее говоря, поток объектов — от одного командлета к другому с тем, чтобы потом сделать этот набор именно таким, как вам нужно. В ней я упоминал о том, что ваши сценарии,
а не только командлеты, могут воспользоваться преимуществами конвейера. В этом месяце мне хочется обсудить эту тему подробно.
Чаще всего я пишу в Windows PowerShell™ сценарии, работающие для множества удаленных компьютеров, как правило, через Windows® Management Instrumentation (WMI). Как и в любой задаче, связанной с удаленными компьютерами, всегда существует возможность того, что один или более компьютеров не будут доступны при запуске сценария. Следовательно, нужно, чтобы мои сценарии могли с этим работать.
Разумеется, существует несколько способов предоставить сценарию возможность управлять тайм-аутом подключения WMI, но мне не особенно нравится этот подход, поскольку сам по себе период тайм-аута очень велик - около 30 секунд по умолчанию. Из-за этого мой сценарий может работать куда медленнее, если ему придется ждать несколько таймаутов. Вместо этого я хочу, чтобы мой сценарий выполнял быструю проверку, находится ли определенный компьютер в оперативном режиме, перед тем, как к нему подключаться.

Парадигма Windows PowerShell
В других языках сценариев, таких как VBScript, я имею дело с одним компьютером за раз. Это значит, что я получаю имя компьютера — возможно, из списка имен, сохраненных в текстовом файле, — и проверяю систему на предмет доступности. Если она доступна, я создаю подключение WMI и выполняю все необходимые действия. Это общепринятый подход при работе со сценариями. Я бы, на самом деле, наверное, написал весь свой код в цикле и повторял его для каждого компьютера, к которому необходимо подключиться.
Тем не менее, Windows PowerShell лучше подходит для групповых операций благодаря тому, что основана на объектах, а также возможности работы непосредственно с группами или коллекциями объектов. Парадигма в Windows PowerShell не предназначена для работы с единичными объектами или частями данных, она работает, скорее, с группами в целом, проходя группу бит за битом до тех пор, пока не выполнена поставленная задача.. Например, вместо получения за один раз имени одного компьютера из моего списка я сразу прочту всю коллекцию имен, а вместо проверки каждого из компьютеров в цикле я напишу одну процедуру, которая принимает коллекцию имен, проверяет их, а затем выводит имена тех компьютеров, к которым можно подключиться. Следующим шагом будет создать подключение WMI к остальным компьютерам — тем, которые можно достать с помощью команды ping.
Windows PowerShell использует именно этот подход для некоторых задач. Например, для получения списка запущенных служб я могу использовать нечто подобное:
Get-Service | Where-Object { $_.Status –eq "Running" }
Рис. 1 иллюстрирует, на что похож вывод результатов на моем компьютере. Вместо проверки одной службы за один раз я получит все службы в помощью Get-Service, передал их по конвейеру в Where-Object, а затем отфильтровать все незапущенные службы. Это примерно то, что я хочу сделать при помощи своего сценария: получить список имен компьютеров, отфильтровать те, которые не отвечают на команду ping, и передать список ответивших компьютеров на следующий этап.
Рис. 1 Получение списка компьютеров, отвечающих на команду ping
Рис. 1 Получение списка компьютеров, отвечающих на команду ping (Щелкните изображение, чтобы увеличить его)

Функции фильтрации
Я не хочу писать для этого собственный командлет, хотя мог бы. Для написания командлета требуется Visual Basic® или C# и достаточный опыт разработки для Microsoft® .NET Framework. И, что более важно, требуется больше труда, чем я собираюсь вложить в эту задачу. К счастью, Windows PowerShell дает мне возможность написания специального вида функции, называемой фильтром, которая замечательно действует в рамках конвейера. Основной набросок функции фильтрации выглядит примерно так:
function <name> {
  BEGIN {
    #<code>
  }
  PROCESS {
    #<code>
  }
  END {
    #<code>
  }
}
Как вы видите, эта функция содержит три независимых блока сценариев, которые называются BEGIN, PROCESS и END. Функция фильтрации – это, таким образом, функция, предназначенная для фильтрации объектов в конвейере – можно иметь любую комбинацию из этих трех блоков сценариев в зависимости от того, что необходимо сделать. Они работают следующим образом:
  • Блок BEGIN выполняется при первом вызове функции. При необходимости его можно использовать для настройки.
  • Блок PROCESS выполняется единожды для каждого из объектов контейнера, передаваемого в функцию. Переменная $_ представляет текущий входной объект конвейера. Блок PROCESS необходим в функции фильтрации.
  • Блок END выполняется после обработки всех объектов контейнера. Его можно использовать для выполнения любой работы по финализации, если это необходимо.
В моем примере мне нужно создать функцию фильтрации, которая примет коллекцию имен как объекты фильтрации, а затем попытается выдать команду ping для каждого из них. Каждое из имен, успешно ответивших на команду ping, будет выведено на конвейер, а системы, которые не ответили на ping, будут опущены. Поскольку функция ping не требует каких либо специальных настроек или финализации, я просто использую блок сценариев PROCESS. Код на рис. 2 содержит полный сценарий.
Figure 2 Ping-Address и Restart-Computer.
1  function Ping-Address {
2    PROCESS {
3      $ping = $false
4      $results = Get-WmiObject -query `
5      "SELECT * FROM Win32_PingStatus WHERE Address = '$_'"
6      foreach ($result in $results) {
7        if ($results.StatusCode -eq 0) {
8          $ping = $true
9        }
10      }
11      if ($ping -eq $true) {
12        Write-Output $_
13      }
14    }
15  }
16
17  function Restart-Computer {
18    PROCESS {
19      $computer = Get-WmiObject Win32_OperatingSystem -computer $_
20      $computer.Reboot()
21    }
22  }
23
24  Get-Content c:\computers.txt | Ping-Address | Restart-Computer
Обратите внимание на то, что я определил две функции: Ping-Address и Restart-Computer. В Windows PowerShell функции должны быть определены перед вызовом. В результате первой исполняемой строкой моего сценария является строка 24, которая использует командлет Get-Content для получения списка имен компьютеров из файла (один компьютер на строку). Этот список — в техническом плане коллекция объектов-строк — передается по конвейеру в функцию Ping-Address, которая отфильтровывает компьютеры, которые не отвечвают на ping. Результаты передаются по конвейеру в Restart-Computer, который использует WMI для удаленного перезапуска тех компьютеров, которые не отвечают на ping.
Функция Ping-Address реализует блок сценария PROCESS, это значит, что функция ожидает ввод коллекции объектов. Блок сценария PROCESS автоматически работает со введенными данными — мне не пришлось определять какие-либо входные аргументы для них. Я начинаю процесс в строке 3, присвоив переменной $ping значение $false, которое является встроенной переменной Windows PowerShell, представляющей логическое значение «ложь».
Затем я использую локальный класс WMI Win32_PingStatus для выдачи команды ping для конкретного компьютера. Обратите внимание в строке 5 на то, что переменная $_, представляющая текущий объект конвейера, входит в строку запроса WMI. Если строка содержится в двойных кавычках, Windows PowerShell всегда будет выполнять попытку заменить переменные наподобие $_ их содержимым, поэтому вам не придется возиться с построением строк. Я использую эту возможность в строке 5.
Строка 6 – это цикл, проверяющий результаты моей проверки. Если любой из этих результатов возвращается успешно (то есть StatusCode равен нулю), я устанавливаю значение $ping равным $true, что означает успешность. В строке 11 я проверяю, установлено ли для $ping значение $true. Если да, я вывожу исходный входной объект в поток выходных данных по умолчанию. Windows PowerShell автоматически управляет потоком выходных данных. Если эта функция находится в конце конвейера, то потом выходных данных преобразуется в текстовое представление. Если в конвейере больше команд, чем объектов выходного потока данных, то объекты-строки, содержащие имена компьютеров, передаются в следующую команду конвейера.
Функция Restart-Computer несколько проще, но она также использует блок PROCESS, поэтому тоже может без проблем входить в конвейер. В строке 19 функция подключается к указанному компьютеру и получает его класс WMI Win32_OperatingSystem. Строка 20 выполняет метод Reboot этого класса для перезагрузки удаленного компьютера.
И снова строка 24 – это место, где все в действительности выполняется. При запуске этого сценария, разумеется следует быть очень осторожным — он предназначен для перезагрузки любого компьютера, указанного в файле c:\computers.txt, что может иметь разрушительные последствия, если вы не обращаете внимания на имена в этом текстовом файле!

Следующие этапы
Этот сценарий не полностью неуязвим. Следует упомянуть также о возможности возникновения ошибки WMI, не связанной с основной связью, например блокировки брандмауэром необходимых портов на удаленном компьютере или ошибки безопасности WMI. С этими проблемами можно справиться с помощью обработчика ловушек – похоже, это идеальная тема для следующей статьи.
Кроме того, этот сценарий выполняет очень серьезное действие — перезапуск удаленного компьютера. Любой сценарий, выполняющие такие потенциально опасные действия, должен иметь два распространенных параметра Windows PowerShell: Confirm и WhatIf. Чтобы объяснить, как это сделать, требуется больше места, чем у меня есть в этой статье, и это станет еще одной отличной темой для будущей публикации. А до тех пор почитайте блог отдела Windows PowerShell; архитектор Джеффри Сновер (Jeffrey Snover) рассказывает об этом.
Даже если не вникать в эти функции, вы получите прекрасное представление о возможностях функций фильтрации.. В будущих статьях я расскажу об этом приеме поподробнее и покажу, как с помощью функций можно сделать повторно используемый код модульным, а также улучшить работу ваших сценариев в целом.

Дон Джонс (Don Jones) — ведущий специалист по написанию сценариев в компании SAPIEN Technologies, соавтор книги Windows PowerShell: TFM (SAPIEN Press, 2007). С ним можно связаться по адресу www.ScriptingAnswers.com.


Эй, автор сценариев! Кто ты?
Сотрудники группы Microsoft Scripting Guys

Загрузить исходный код для этой статьи: HeyScriptingGuy2007-082007_08.exe (152KB)

Не так давно автор сценариев, пишущий эту статью, смотрел по телевизору бейсбольный матч. Когда игра закончилась, он решил почитать журнал, но оставил телевизор включенным. Когда он закончил чтение, он посмотрел на экран и обнаружил, что смотрит старое кино про Вторую мировую войну. Он взглянул на экран во время довольно стандартной сцены: молодой американский рядовой, стоящий на часах ночью, слышит посторонний звук.
"Стой, кто идет?" – рявкает часовой.
"Это я, сержант Смит», – отвечают ему.
«Сержант Смит? У нас нет сержанта Смита».
«Я новенький, только что перевели сюда из роты А».
«Правда? Из роты А? Ладно, Смит. Кто выиграл чемпионат по бейсболу 1934 года?»
«Нью-Йорк Янкиз».
«Неправильно, "Смит"»! (Дальше, как и следовало ожидать, его немедленно арестовывают и сажают на гауптвахту.) Любой американец, настоящий американец, знает, что чемпионат по бейсболу в 1934 году выиграли Сент-Луис Кардиналз — ну, знаете, Диззи Дин и Газ Хаус. Тот, кто этого не знает, может быть только шпионом.
Если тот, кто читает эту статью, не знает, что чемпионат по бейсболу в 1934 году выиграли Сент-Луис Кардиналз, мы можем сказать только одно: игры закончились, мы знаем, что вы шпион. Надеемся, у вас хватит благоразумия сдаться в ближайшее отделение ФБР. Или, по крайней мере, позвонить им. Когда речь заходит о шпионах, агенты ФБР могут и сами приехать.
По мере того как автор сценариев, пишущий эту статью, смотрел кино дальше, он понимал, что у него были бы все шансы ответить на второй вопрос часового: «Кто выиграл чемпионат по бейсболу 1966 года?» Балтимор Ориолз.Чемпионат по бейсболу 1960? Питтсбург Пайратс. Чемпионат по бейсболу 1994? Ха! Вопрос с подвохом: в 1994 году не было чемпионата по бейсболу.
Тем не менее, в наше время ему сложнее всего было бы ответить на самый первый вопрос: «Кто ты?» Сейчас этот вопрос так прост, как в 1940-х годах. Только в Active Directory® пользователи могут иметь любое количество различных учетных данных, включая:
  • Имя (givenName).
  • Фамилия (sn).
  • Отображаемое имя (displayName).
  • Имя пользователя (userPrincipalName).
  • Имя для входа в сеть (samAccountName).
  • Различающееся имя (distinguishedName).
Все эти имена обозначают одного и того же человека, и все эти имена, в зависимости обязательств, нужно знать. А это уже проблема. Большинство пользователей знают свое имя и фамилию. Но если спросить пользователя, какое у него различающееся имя, лишь несколько смогут ответить: «А, это очень просто! Я CN=Кен.Майер, OU=Финансы, DC=fabrikam, DC=com. Но все друзья зовут меня CN=Кен.Майер."
Если вы системный администратор или сотрудник службы поддержки, вам необходимо также знать эти имена. Но как вам получить эту информацию? Одним из решений будет приостановить доступ пользователей, пока они не сообщат свои различающиеся имена. Это может сработать, но большинство отделов кадров относятся к этому неодобрительно. Поэтому, возможно, придется воспользоваться планом Б: сценарием. Каким сценарием? Как, например, для начала, насчет сценария на рис. 1?
Figure 1 Получение атрибутов пользователя с ADSystemInfo
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName

Set objUser = GetObject("LDAP://" & strUser)
WScript.Echo "First Name: " & objUser.givenName
WScript.Echo "Last Name: " & objUser.sn
WScript.Echo "Display Name: " & objUser.displayName
WScript.Echo "User Principal Name: " & objUser.userPrincipalName
WScript.Echo "SAM Account Name: " & objUser.sAMAccountName
WScript.Echo "Distinguished Name: " & objUser.distinguishedName
Эх, ну почему сержант Смит не изучал VBScript? Этот сценарий использует в своих целях малоизвестный (но исключительно полезный) объект ADSI под названием ADSystemInfo. Это небольшой удобный объект, который собирает всю информацию о пользователе, вошедшем в сеть на локальном компьютере, а также о самом локальном компьютере и домене, к которому он принадлежит. Например, посмотрите на рис. 2.
Figure 2 Отображение всех типов информации из домена
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

Wscript.Echo "User name: " & objSysInfo.UserName
Wscript.Echo "Computer name: " & objSysInfo.ComputerName
Wscript.Echo "Site name: " & objSysInfo.SiteName
Wscript.Echo "Domain short name: " & objSysInfo.DomainShortName
Wscript.Echo "Domain DNS name: " & objSysInfo.DomainDNSName
Wscript.Echo "Forest DNS name: " & objSysInfo.ForestDNSName
Wscript.Echo "PDC role owner: " & objSysInfo.PDCRoleOwner
Wscript.Echo "Schema role owner: " & objSysInfo.SchemaRoleOwner
Wscript.Echo "Domain is in native mode: " & objSysInfo.IsNativeMode
Сегодня, тем не менее, нас интересует только одно свойство – это UserName. Что такого необычного в UserName? Ничего, просто оно соответствует свойству distinguishedName. А что такого в distinguishedName? Дело в том, что distinguishedName аналогично пути формата UNC к файлу: так же, как путь формата UNC позволяет нам идентифицировать файл где-то в нашей сети, distinguishedName (например, CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com) позволяет идентифицировать учетную запись пользователя в Active Directory. В свою очередь, это позволяет нам сделать привязку к этой учетной записи пользователя. После того как мы подключились, мы можем получать любую информацию о пользователе, включая информацию о том, кто он.
Это именно то, что мы делаем в первом сценарии, который мы вам показали. Для начала мы создаем экземпляр объекта ADSystemInfo, а затем приписываем значение свойства UserName переменной под названием strUser:
Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName
Больше ничего особенного нам здесь делать не нужно. Например, нам не нужно конкретизировать имя пользователя, домен пользователя или подразделение, в котором находится учетная запись пользователя; ADSystemInfo сделает это всё за нас. Как только мы определили distinguishedName пользователя, мы можем создать привязку к его или ее учетной записи пользователя, используя следующую строку кода:
Set objUser = GetObject("LDAP://" & strUser)
И снова сразу после соединения мы можем вывести значения любого из параметров Active Directory этой учетной записи. В нашем примере сценария мы просто выводим некоторые свойства имени пользователя, но мы с такой же легкостью могли получить номер телефона, местоположение офиса, адрес электронной почты и т.д.
Здорово. Все, что вам нужно, — это передать этот сценарий всем вашим пользователям, и им больше никогда не придется спрашивать себя «Кто я?» (А если спросят, то у них появится быстрый и простой способ выяснить это.) А как насчет другого вопроса: «Кто ты?» Одно дело — иметь возможность идентифицировать пользователя, вошедшего в сеть на локальном компьютере. Но каким способом определить, кто вошел в сеть на удаленном компьютере? Как вы понимаете, этот орешек расколоть значительно труднее.
Мы об этом тоже думали и приносим извинения — к сожалению, нет никакого способа передать сценарий ADSystemInfo на удаленный компьютер. Причина в том, что объект ADSystemInfo может создаваться только локально. Таким образом, у нас остается три варианта действий:
  • Создать сценарий входа в сеть, который записывает имя вошедшего в сеть пользователя в каком-нибудь легкодоступном месте.
  • Использовать класс WMI с названием Win32_ComputerSystem и свойство UserName.
  • Сделать что-нибудь другое.
Первый вариант выглядит довольно привлекательно. Как вы могли заметить, объект ADSystemInfo может вернуть различающееся имя компьютера (свойство ComputerName), а также различающееся имя пользователя. Если хотите, взгляните на пример сценария на рис. 3.
Figure 3 Сценарий входа в сеть
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

strUser = objSysInfo.UserName
strComputer = objSysInfo.ComputerName

Set objUser = GetObject("LDAP://" & _
    strUser)
strUserName = objUser.displayName

Set objComputer = GetObject("LDAP://" & _
    strComputer)
objComputer.Description = strUserName
objComputer.SetInfo
Что мы здесь делаем? Начнем с того, что мы берем значения свойств UserName и ComputerName и сохраняем их в переменных (strUser и strComputer). Затем мы делаем привязку к учетной записи пользователя в Active Directory (как и раньше), получаем значение параметра displayName (как и раньше) и сохраняем это значение в переменной под названием strUserName. Довольно незамысловато, не правда ли?
Теперь мы можем использовать эту строку кода для подключения к учетной записи компьютера в Active Directory:
Set objComputer = GetObject("LDAP://" & _
    strComputer)
После установки связи мы присваиваем displayName пользователя свойству пользователя Description и затем вызываем метод SetInfo для записи изменения в Active Directory:
objComputer.Description = strUserName
objComputer.SetInfo
Зачем мы это делаем? Это просто. Предположим, Кен Майер входит в сеть с компьютера atl-ws-01. Догадайтесь, каким будет значение свойства Description компьютера atl-ws-01? Верно, Кен Майер, человек, который недавно входил в сеть с этого компьютера. Хотите узнать, кто входит в сеть с atl-ws-01? Просто посмотрите свойство Description.
В общем, этот сценарий работает довольно хорошо, и даже лучше, если у вас есть сценарий выхода из сети, очищающий свойство Description каждый раз после выхода пользователя из сети. Однако это не стопроцентно надежное решение. Почему? Сценарии входа в сеть не всегда выполняются. Например, они обычно не выполняются, когда люди входят в сеть, используя RAS. Кроме того, сценарий входа в сеть не выполняется, если пользовать отключает свое сетевое подключение, входит в систему, используя кэшированные учетные данные, а затем вновь подключает компьютер к сети. Также предположим, что пользователь выключает компьютер, не выходя из сети. Это означает, что сценарий выхода из сети не будет запущен. В этом случае Кен Майер будет по-прежнему находиться в сети, используя компьютер atl-ws-01, хотя машина будет выключена. Другими словами, это полезный прием, но...
А что насчет варианта 2 с использованием класса Win32_ComputerSystem? Опять же, это может сработать, но проблема с классом Win32_ComputerSystem заключается в том, что он не всегда возвращает имя вошедшего в сеть пользователя, особенно в случае пользователей без администраторских прав (и в особенности с компьютеров, на которых установлена Windows® 2000). Сценарий на рис. 4 может показать, кто вошел в сеть с компьютера, но опять же без гарантий.
Figure 4 Поиск того, кто вошел в сеть, при помощи WMI
strComputer = "."

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * From Win32_ComputerSystem")

For Each objItem in colItems
  Wscript.Echo objItem.UserName
Next
Между прочим, в этом случае свойство UserName возвращается в формате домен\имя пользователя. Другими словами: FABRIKAM\kenmyer.
Да, чуть не забыл: даже если имя возвращается, это не означает, что пользователь на самом деле вошел в сеть с компьютера. Когда Кен Майер входит в сеть с atl-ws-01, его имя сохраняется как значение свойства UserName и не заменяется до тех пор, пока в сеть не зайдет кто-то другой.
Ужас.
Но погодите – это не значит, что мы шпионы. Мы можем воспользоваться другим способом. Если кто-то входит в сеть с компьютера, должен запускаться процесс Explorer.exe. Другими словами, если Explorer.exe не запущен, с этой машины никто не входит в сеть, а поскольку Explorer.exe работает по учетным данным вошедшего в сеть пользователя, мы почти всегда можем определить, кто вошел в сеть с компьютера, используя сценарий, аналогичный показанному на рис. 5.
Figure 5 Определение владельца Explorer.exe
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser, strDomain
    Wscript.Echo strDomain & "\" & strUser
  Next
End If
Как видите, в этом случае мы соединяемся со службой WMI на удаленной машине (если точнее, atl-ws-01). Затем мы используем эту строку кода для получения коллекции всех экземпляров класса Win32_Process, в которых есть Explorer.exe:
Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where " & _
  "Name = 'explorer.exe'")
Что дальше? Как мы только что заметили, если Explorer.exe не запущен, существует большая вероятность, что с этого компьютера никто не входит в сеть. Как узнать, запущен ли Explorer.exe? Простой способ сделать это — проверить значение свойства коллекции Count. Если Count равен 0, у нас пустая коллекция, а единственным объяснением пустой коллекции является отсутствие запущенных экземпляров Explorer.exe на atl-ws-01. В этом случае мы можем получить сообщение о том, что с компьютера никто не входит в сеть:
Wscript.Echo "No one is logged on " & _
"to the computer."
Если Count не равен 0, мы настраиваем цикл For Each для просмотра коллекции процессов, в которых есть Explorer.exe (и мы предполагаем, что в нашей коллекции есть хотя бы один экземпляр). Для каждого экземпляра Explorer.exe мы затем вызываем метод GetOwner для определения учетных данных, с которыми запускается Explorer.exe:
objProcess.GetOwner strUser, strDomain
Обратите внимание, что мы передаем GetOwner пару выходных параметров: strUser и strDomain. Выходные параметры — это переменные, которые мы называем и предоставляем методу; затем метод присвоит этим параметрам значения. В данном случае strUser получит имя для входа вошедшего в сеть пользователя (kenmyer), а strDomain получит имя домена для вошедшего в сеть пользователя (FABRIKAM). Все, что нам остается сделать, — это получить значения этих двух выходных параметров:
Wscript.Echo strDomain & "\" & strUser
И знаете что? Это очень хорошо. Но мы можем пойти еще дальше. При использовании метода GetOwner, мы получаем имя для входа (samAccountName) для пользователя, вошедшего в сеть с компьютера. Это хорошо, но, как мы отмечали ранее, у пользователей есть множество других имен, помимо samAccountName. Чтобы действительно ответить на вопрос «Кто ты?», было бы неплохо знать, например, displayName пользователя. Но мы не можем определить эти другие имена, используя GetOwner, не так ли?
Нет, не можем. Однако мы можем взять samAccountName, вставить его в сценарий поиска Active Directory и затем определить его расположение и сделать привязку к учетной записи пользователя с этим именем для входа (задача облегчается тем, что внутри домена samAccountNames должно быть уникальным). Сделав привязку к учетной записи пользователя, мы можем получить значения любого свойства Active Directory, включая displayName.
У нас нет времени давать подробные объяснения по сценарию на рис. 6; для получения дополнительных сведений о поиске в Active Directory ознакомьтесь со статьей "Где мой принтер, чувак?". Этого уже достаточно, чтобы сказать, что этот сценарий определяет имя для входа вошедшего в сеть пользователя, проводит поиск в Active Directory пользователя с этим именем для входа (samAccountName), делает привязку к учетной записи этого пользователя, а затем выдает displayName пользователя. И это все одной левой!
Figure 6 Привязка к вошедшему в сеть пользователю
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser,strDomain
  Next
End If

Const ADS_SCOPE_SUBTREE = 2

Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("ADODB.Command")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"
Set objCommand.ActiveConnection = objConnection

objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE

objCommand.CommandText = "SELECT displayName FROM " & _
  "'LDAP://DC=wingroup,DC=fabrikam,DC=com' WHERE " & _
    "objectCategory='user' " & _
    "AND samAccountName = '" & strUser & "'"
Set objRecordSet = objCommand.Execute

objRecordSet.MoveFirst

Do Until objRecordSet.EOF
  Wscript.Echo objRecordSet.Fields("displayName").Value
  objRecordSet.MoveNext
Loop
Так какие ключевые моменты мы сегодня рассмотрели? (Кстати, работники Майкрософт говорят именно так. Если вы хотите, чтобы автор сценариев вышел из себя, просто подойдите к нему и скажите что-нибудь вроде: «Нам нужно произвести сортировку ключевых моментов, описаний операций и второстепенных целей для наших акционеров.») Так вот, во-первых, мы теперь знаем, как получить информацию о пользователе, вошедшем в сеть — либо с локальной машины, либо с удаленного компьютера. Что более важно — мы знаем, что делать, если мы вдруг попадем во временную воронку и обнаружим, что участвуем во Второй мировой войне: Убедитесь, что у вас есть копия этой статьи (чтобы вы могли ответить на вопрос «Кто ты?»), и — что бы вы ни делали — всегда носите с собой список победителей чемпионата по бейсболу. В конце концов, вы никогда не знаете, когда вас спросят, кто выиграл чемпионат по бейсболу 1903 года.
Примечание: Бостон Ред Сокс. Кстати, это был первый чемпионат по бейсболу. А теперь, как вы думаете, кто выиграл чемпионат 1904 года? Что значит не знаете? Подождите минутку, нам надо позвонить...

Сотрудники группы Microsoft Scripting Guys работают на... ну, хорошо, получают зарплату в корпорации Майкрософт. Когда они не играют в бейсбол, не тренируют бейсбольную команду, не смотрят бейсбол и не занимаются другими делами, они ведут проект Script Center в журнале TechNet. Веб-узел проекта находится по адресу www.scriptingguys.com.


В поисках безопасности Улучшения PKI в Windows
Джон Морелло (John Morello)

Эта статья основана на предварительной версии Windows Server 2008. Любые приведенные в ней сведения могут быть изменены.

Windows предлагает серьезную платформу для поддержки инфраструктуры открытого ключа (PKI) начиная с выпуска Windows 2000. Первый выпуск включал в себя первую собственную проверку подлинности сертификатов, автоматическую регистрацию, а также поддержку проверки подлинности при помощи смарт-карт. В Windows XP и Windows Server 2003 эти
возможности были расширены для обеспечения более гибких вариантов регистрации при помощи шаблонов сертификатов версии 2 и поддержки автоматической регистрации пользовательских сертификатов. В Windows Vista® и Windows Server® 2008 (ранее имевшим кодовое название «Longhorn») платформа PKI Windows® выходит на новую ступень и предлагает поддержку усовершенствованных алгоритмов, проверку действительности в реальном времени и легкость в управлении. В этой статье обсуждаются новые свойства PKI в Windows Vista и Windows Server 2008 и то, как предприятия могут их использовать для снижения затрат и улучшения безопасности.
Улучшения PKI в Windows Vista и Windows Server 2008 сконцентрированы вокруг четырех основных аспектов: криптография, регистрация, управляемость и отзыв. Дополнительно к этим усовершенствованиям платформа PKI Windows также пользуется выгодами другими системных усовершенствований, таких как диспетчер ролей, что облегчает создание и размещение новых центров сертификации (CA). Кроме того многие элементы Windows также пользуются преимуществами усовершенствованной платформы PKI, такими как поддержка использования смарт-карт для хранения ключа шифрующей файловой системы (EFS) в Windows Vista.

Криптография
Криптография получила двойное улучшение. Во-первых, со введением криптографии следующего поколения (CNG) Windows может предоставлять подключаемую, независимую от протокола способность шифрования, которая облегчает разработку и программный доступ к индивидуальным алгоритмам. Во-вторых, CNG предлагает новую поддержку алгоритмов набора B, представленных Агентством национальной безопасности в 2005 году.
CNG – это новый базовый интерфейс криптографии для Майкрософт, являющийся рекомендованным интерфейсом API для будущих приложений на базе Windows, поддерживающих криптографию. CNG обеспечивает новые функции для разработчиков, включая легкость при обнаружении и замене алгоритмов, замене датчиков случайных чисел и криптографический интерфейс в режиме ядра. Предлагая эти новые возможности, CNG является при этом совместимым с набором алгоритмов своего предшественника, CryptoAPI 1.0. В настоящее время CNG проходит оценку по федеральным стандартам обработки информации (FIPS) 140-2 уровня 2 для получения сертификата, а также по общим критерям выбранных платформ.
Набор В CNG поддерживает все необходимые алгоритмы: AES (все размеры ключей), семейство алгоритмов хеширования SHA-2 (SHA-256, SHA-384 и SHA-512), эллиптический алгоритм Диффи-Хеллманна (ECDH) и эллиптический алгоритм цифровой подписи (ECDSA) посредством стандартных основных кривых Р-256, Р-384 и Р-521 Национального института стандартов и технологий (NIST). В АНБ подтвердили, что сертифицированный набор набора B будет использован для защиты информации, обозначенной как «совершенно секретная», «секретная» и «конфиденциальная», которая в прошлом обозначалась как «требующая защиты, но не секретная». Все алгоритмы набора B разрабатывались открыто, а некоторые правительства также собираются принять их в качестве национальных стандартов.
Эти низкоуровневые улучшения платформы PKI Windows обеспечивают разработчиков более надежными методами для защиты данных, в то же время создавая подсистему, которая легко управляется и улучшается время от времени. Поскольку CNG является подключаемой архитектурой, новые алгоритмы могут добавляться по мере необходимости, а CNG отделяет этих поставщиков от уровня приложения. Результатом является предоставление Windows Vista и Windows Server 2008 усовершенствованной и развиваемой платформы для развития приложений и служб, поддерживающих PKI.

Регистрация
Регистрация сертификатов в Windows значительно улучшилась после появления нового инструмента регистрации на основе мастера, улучшенной обработки сроков хранения сертификатов, нового интерфейса API, способности «регистрации от имени» и роуминга учетных данных. Эти улучшенные свойства снижают общую стоимость пользования PKI, поскольку облегчают размещение сертификатов на предприятии благодаря централизованному способу и минимальному вмешательству пользователей.
Наиболее заметным изменением с точки зрения регистрации является новый пользовательский интерфейс регистрации сертификата, показанный на рис. 1 и 2. Этот пользовательский интерфейс заменяет старый, не имевший возможности принимать данные от пользователей во время процесса регистрации. Новый интерфейс позволяет пользователям вводить данные во время регистрации (если администратор настроит шаблон регистрации на запрос этих данных). Интерфейс также предлагает четкие объяснения относительно того, почему пользователь может испытывать проблемы при регистрации в этом шаблоне.
Рис. 1 Выбор доступных сертификатов
Рис. 1 Выбор доступных сертификатов (Щелкните изображение, чтобы увеличить его)
Рис. 2 Состояние недоступных сертификатов
Рис. 2 Состояние недоступных сертификатов (Щелкните изображение, чтобы увеличить его)
Еще одним ключевым улучшением интерфейса регистрации является обработка сертификатов с истекающим сроком годности. Новый интерфейс предлагает конечным пользователям четкую информацию о том, срок действия каких сертификатов истекает, и позволяет пользователям легко обновлять сертификаты или выключать предупреждения с этого интерфейса. Хотя администраторы могут автоматически обновлять сертификаты посредством авторегистрации, эта функция предупреждения необходима мобильным или отключенным от сети пользователям, которые могут входить в корпоративную сеть нерегулярно и срок действия сертификатов которых близок к завершению.
Для разработчиков, работающих с регистрацией сертификатов, имеется новый интерфейс API, предлагающий значительные улучшения по сравнению со старыми элементами управления на базе ActiveX® (xenroll.dll and scrdernl.dll). Новый интерфейс API регистрации сертификатов предлагает четко определенную иерархию классов, гораздо более легкую для понимания и программирования. Новый интерфейс API заменяет xenroll как в Windows Vista, так и в Windows Server 2008.
Это изменение в интерфейсе API касается как разработчиков, так и специалистов по ИТ, поскольку клиенты Windows Vista не могут использовать возможности веб-регистрации, предлагаемые Windows Server 2003. Это происходит потому, что эти страницы регистрации (которые хранятся по умолчанию в виртуальном каталоге /certsrv) используют элемент управления xenroll, которого больше нет в Windows Vista. Статья базы знаний «Как использовать страницы служб веб-регистрации сертификатов в Windows Vista» (support.microsoft.com/kb/922706) предлагает дополнительные сведения по решению этой проблемы. Это не влияет на работу авторегистрации из Windows Server 2003 в Windows Vista.
В предыдущих версиях Windows Server регистрационные агенты не были ограничены списком тех, от чьего лица они могли проводить регистрацию. Иными словами, как только пользователь получал возможность регистрационного агента, он мог зарегистрироваться от лица любого пользователя леса. Это, разумеется, означало, что пользователь мог легко расширить свои привилегии, зарегистрировавшись от лица существующего пользователя и олицетворяя себя с пользователем с вновь созданным сертификатом. В попытке воспрепятствовать этому возможности регистрационного агента предоставлялись только очень надежным людям. Хотя такой подход улучшал безопасность, он делал модели развертывания менее гибкими, поскольку лишь небольшое число людей обладало возможностью регистрировать от лица других пользователей. В результате большая географически разбросанная организация испытывала повышенные затруднения при размещении сертификатов для конечных пользователей (например, для смарт-карт).
В Windows Server 2008 регистрационные агенты могут быть ограничены на более детальном уровне. Ограничения могут быть основаны на том, от лица каких пользователей можно проводить регистрацию, или на основании каких шаблонов, как показано на рис. 3. Например, организация теперь может предоставлять локальному специалисту по ИТ возможность проводить регистрацию от лица других пользователей своего филиала, но не пользователей группы отдела кадров. Этот детальный подход к регистрационным агентам позволяет предприятиям эффективно и безопасно делегировать регистрационные возможности в пределах своей организации.
Рис. 3 Ограничения регистрационного агента
Рис. 3 Ограничения регистрационного агента (Щелкните изображение, чтобы увеличить его)
Одна из самых больших проблем управления PKI – это управление всеми парами ключей, разнесенных по разным машинам организации. Даже в среде PKI средней сложности у любого пользователя может иметься несколько разных пар ключей (например, для EFS, проверки подлинности для беспроводной сети, S/MIME), которые необходимы вне зависимости от того, где пользователь подключается. С увеличением числа пользователей мобильных компьютеров и служб терминалов становится как никогда важным копировать эти пары ключей в сети, чтобы они были доступны пользователям в любом месте, где они захотят подключиться. Хотя пользовательские маркеры, такие как смарт-карты, могут частично решить эту проблему, в организации тем не менее может быть достаточное количество пользователей без карт или с сертификатами, не хранящимися на картах. Роуминг учетных данных решает эти проблемы путем безопасного хранения пар ключей и сертификатов в Active Directory®, делая их доступными для пользователей вне зависимости от места их подключения.
Роуминг учетных данных впервые появился в пакете обновления 1 (SP1) для Windows Server 2003 и обеспечивает безопасный роуминг сертификатов и ключей без использования перемещаемых профилей пользователей. В Windows Vista и Windows Server 2008 эта функция включена по умолчанию и применена в работе клиентской службы сертификатов (CSC). Параметры настройки, например, то, как могут переходить сертификаты и как разрешать конфликты, контролируются групповой политикой. В Windows Vista и Windows Server 2008 служба CSC может также осуществлять роуминг имен и паролей пользователей. Хотя эта способность по умолчанию включена в Windows Vista, необходимо отметить, что роуминг учетных данных полностью поддерживается Windows XP и при подключении к контроллеру домена Windows Server 2003 (с развертыванием обновления; см. support.microsoft.com/kb/907247). Это означает, что вам не нужно ждать завершения развертывания Windows Vista для того, чтобы воспользоваться преимуществами этой технологии.

Управляемость
Для улучшения управляемости службы центра сертификации был выпущен ряд обновлений Windows Server 2008 для упрощения настройки, отслеживания и запуска службы с высокой доступностью. Установка центра сертификации объединена со средством диспетчера ролей и предоставляет упрощенный способ установки службы центра сертификации. Параметры по умолчанию определены для каждого этапа процесса, и теперь установка может быть выполнена в автоматическом режиме. Наконец, возможности диагностики установки улучшены для упрощения устранения возможных ошибок или проблем.
Наблюдение за службой центра сертификации в Windows Server 2008 значительно улучшено (как и общая диагностика сертификатов в Windows Vista). Кроме гораздо более гибкой инфраструктуры событий, охватывающей весь продукт, сама служба центра сертификации теперь имеет встроенную консоль наблюдения и использует диспетчер Operations Manager 2007 системного центра (ранее известный как MOM) для предоставления сигналов уровня предприятия. Консоль наблюдения Enterprise PKI – улучшение предшественника, представленного в Windows Server 2003 AdminPak. Новая консоль включена в сам продукт и теперь может наблюдать URI-адреса протокола OCSP помимо всех центров сертификации в определенном лесу.
Пакет управления MOM предоставляет возможность пассивного наблюдения для PKI организации, включая встроенные сигналы на основе порога. Например, пакет управления может использоваться для отслеживания свежести списка отзыва сертификатов (CRL) и уведомления администраторов PKI за определенное количество дней или часов до истечения срока действия CRL. Наконец, доступен набор новых счетчиков производительности для устранения неисправностей и отслеживания общей производительности самой службы центра сертификации. Эти счетчики могут использоваться для сбора данных, например, о количестве выпускаемых в секунду сертификатов.
Новая возможность, впервые представленная в Windows Server 2008: поддержка кластеризации службы центра сертификации на уровне оборудования. Эта поддержка кластеров использует стандартную технологию службы кластеров Microsoft и поддерживает активные/пассивные конфигурации из двух узлов. Поддержка кластеров позволяет запускать инфраструктуру выдачи с высокой доступностью и может использоваться в географически разнесенных развертываниях кластеризации. При использовании поддержки кластеризации обратите внимание, что простая кластеризация центра сертификации не делает доступной всю инфраструктуру PKI. Хотя кластеризация может помочь обеспечить доступность самих центров сертификации, правильно работающая инфраструктура PKI, вероятно, приведет к тому, что другие компоненты не будут работать непосредственно с центрами сертификации. Например, точки распространения списков отзыва (CRL) и отвечающие точки протокола OCSP также должны быть запущены с высокой доступностью для обеспечения выполнения отзыва. Кроме того, при использовании аппаратных модулей безопасности (HSM), в особенности HSM, основанных на сети, они также представляют возможную точку сбоя в инфраструктуре PKI. Кластеризация является новой серьезной возможностью обеспечения высокой доступности центра сертификации, но не является панацеей для обеспечения доступности всего развертывания PKI.

Отзыв
Списки отзыва сертификатов длительное время использовались для обеспечения проверки действительности сертификатов. Эти списки отзыва сертификатов включают серийные номера всех сертификатов, срок действия которых еще не истек, но которые уже не считаются доверенными. Например, если сотрудник имеет сертификат, срок действия которого истекает 31/12/2008, но сотрудник покидает организацию 1/9/2007, серийные номера сертификатов будут занесены в список отзыва сертификата. Затем список отзыва сертификата станет доступным на нескольких точка распространиения списка, таких как пути протоколов HTTP и LDAP.
Хотя списки отзыва сертификатов все еще широко используются, они имеют ряд ключевых недостатков. Прежде всего, списки отзыва сертификатов публикуются центрами сертификации периодически (обычно один или два раза в день). Затем клиенты загружают и кэшируют эти списки отзыва сертификатов до следующей публикации. Во время этого кэшированного периода сертификаты могут быть отозваны, вследствие чего клиенту неизвестно последнее состояние. Во-вторых, в очень больших организациях размер списков отзыва сертификатов может значительно увеличиваться (иногда свыше 100 МБ). Распространение этих файлов в большой и широко рассредоточенной сети может быть трудным или невозможным, особенно в филиалах основного офиса или в других средах с ограниченной пропускной способностью.
Для решения этих проблем был создан и определен в RFC 2560 протокол OCSP. Протокол OCSP предоставляет способ подтверждения состояния сертификатов в реальном времени. Клиент OCSP запускается на компьютере, на котором необходимо проверить действительность конечного сертификата. Затем программное обеспечение клиента ссылается на ответчик OCSP и отправляет сообщение с запросом на подтверждение состояния конечного сертификата. Ответчик проверяет действительность сертификата и отвечает клиенту в реальном времени. При использовании этого способа исключаются проблемы кэширования и распространения.
Впервые функции клиента OCSP были включены в Windows Vista (ранее было необходимо программное обеспечение стороннего производителя) и настраивались с помощью групповой политики. По умолчанию Windows выполняет попытку использования протокола OCSP, но в случае недоступности ответчика переключается на стандартные способы поиска списка отзыва сертификатов.
В Windows Server 2008 для ответа на эти запросы предоставлен ответчик OCSP. Ответчик устанавливается с помощью диспетчера ролей и может отслеживаться с помощью пакета управления Operations Manager 2007. Поскольку и клиент, и ответчик соответствуют стандарту OCSP, они могут быть просто интегрированы в существующие среды OCSP, использующие сходные компоненты сторонних производителей на основе стандартов. Например, полностью поддерживается проверка клиентом Windows Vista состояния сертификата с ответчиком стороннего производителя и ответ ответчика Windows Server 2008 на запросы клиентского приложения стороннего производителя. Кроме того, ответчик OCSP Windows может отвечать на запросы для сертификатов, выпущенных всеми центрами сертификации, соответствующими стандартам. Центры сертификации Windows Server 2008 (и вообще центры сертификации на основе Windows) не требуются.

Заключение
Платформа PKI в Windows Vista и Windows Server 2008 включает множество улучшений и несколько новых функций, увеличивающих безопасность и снижающих затраты на развертывание и эксплуатацию PKI. Новый интерфейс API CNG предоставляет разработчикам более простую программную среду и поддержку новых криптографических стандартов. Улучшения регистрации позволяют организациям более просто выполнять массовую рассылку сертификатов и безопасный роуминг на предприятии. Аналогично, новый пакет управления и возможность кластеризации центра сертификации упрощают отслеживание состояния центров сертификации и обеспечивают высокую доступность. Наконец, улучшения в проверке отзыва используют способ на основе стандартов для обеспечения проверки сертификатов в реальном времени без увеличения стоимости пропускной способности распространения списка отзыва сертификатов. В результате Windows Vista и Windows Server 2008 выводят платформу PKI Windows на новый уровень.
Материалы об улучшения PKI
  • Домашняя страница PKI Windows
  • Устранение проблем PKI в Windows Vista
  • Интерфейс API криптографии: следующее поколение
  • Интерфейс API регистрации сертификата Как использовать страницы служб веб-регистрации сертификатов в Windows Vista
  • Настройка и устранение неисправностей клиента служб сертификатов – Роуминг учетных данных

Джон Морелло (John Morello) работает в корпорации Майкрософт с 2000 года. В качестве старшего консультанта он разработал программу безопасности для предприятий Fortune 100 и федеральных гражданских и оборонных клиентов. В настоящее время является руководителем программы в отделе по разработке операционной системы Windows Server, занимающемся вопросами обеспечения безопасности и технологиями повсеместного доступа. Блог его группы находится на веб-узле blogs.technet.com/WinCAT.


Документы о рабочей среде Знакомство с RDP
Уэс Миллер (Wes Miller)

Протокол удаленного рабочего стола, или RDP, позволяет получать удаленный доступ к компьютерам. Это очень полезная технология, которая за годы существования помогла обойтись без значительного количества системных администраторов. На протяжении долгого времени RDP обеспечивает постоянно улучшающуюся поддержку удаленного доступа. Впервые эта технология была представлена в 1998 для Windows NT 4.0 Terminal Server
Edition (TSE) и с тех пор стала появляться практически в каждой новой версии Windows®.
Начиная с Windows 2000, практически любой мог легко получить удаленный доступ к серверной системе, поскольку службы терминалов были представлены в качестве дополнительного компонента Windows и могли настраиваться так, что систему можно было использовать либо как фактическую службу терминалов, либо как то, что мы сегодня называем удаленным рабочим столом. В Windows Server® 2003 и Windows XP была предоставлена собственная функция удаленного рабочего стола, позволяющая контролировать систему, как если бы вы сами находились в ней. Я использую удаленный рабочий стол каждый день для удаленного доступа к моему домашнему компьютеру и серверу, а также для использования Media Center Extender.
В Windows XP и более поздних версиях Windows был добавлен удаленный помощник, работа которого схожа с функциями удаленного рабочего стола, но который разработан для локального пользователя, запрашивающего поддержку удаленного пользователя. Дальнейшее развитие удаленной поддержки в Windows Vista® теперь позволяет удаленным пользователям предлагать удаленного помощника, если это разрешено групповой политикой.
Как вы видите, удаленный рабочий стол перенес эту полезную функциональность на совершенно новый уровень, который вы по достоинству оцените. Разумеется, у удаленного рабочего стола есть свои ограничения, но также и множество преимуществ. Рассмотрим и те, и другие.

Хорошее, плохое и фантастическое
В Windows XP (за исключением Media Center Edition) основным ограничением является возможность одновременного входа в систему только для одного интерактивного пользователя. Хотя быстрое переключение пользователей в Windows XP позволяет в ходить в систему более чем одному пользователю, только один пользователь может быть интерактивным, используя мышь или клавиатуру – вне зависимости от того, являются ли они локальными или удаленными. В версиях Windows Server (запущенных не как службы терминалов) могут подключаться два сеанса удаленного рабочего стола одновременно. Чтобы подключиться к консольному сеансу Windows Server 2003 через удаленный рабочий стол, необходимо запустить клиентское приложение служб терминалов (MSTSC.exe) с дополнительным параметром /console. Консольный сеанс очень важен, потому что некоторые старые приложения, разработанные без учета сеансов служб терминалов, часто вступают в диалог только во время консольного сеанса (Сеанс 0). На Рис. 1 показан пользователь, вошедший в консольный сеанс в Windows Server 2003. В удаленном рабочем столе Windows XP и Windows Server 2003 будет применено лицензирование для того, чтобы обеспечить интерактивный вход только для пользователей, имеющих на это разрешение.
Рис. 1 Вход в сеанс 0
Рис. 1 Вход в сеанс 0 (Щелкните изображение, чтобы увеличить его)
Кроме того, на работу удаленного рабочего стола могут влиять как пропускная способность сети, так и групповая политика. Windows XP может предоставлять 24-разрядное разрешение, а также перенаправление звука, локальных принтеров, дисков и буфера обмена для копирования и вставки. Учитывая особенности прорисовки экрана для удаленного рабочего стола, удаление графических элементов из удаленного сеанса (темы, фоны и т.д.) значительно улучшает пропускную способность сети, и в результате сеанс быстрее реагирует на действия пользователя. В Windows Vista произведены дальнейшие улучшения: добавлены 32-разрядное разрешение и дополнительное перенаправление устройств.
Некоторые насыщенные графикой операции могут оказаться сложными даже для лучших сеансов удаленного рабочего стола, если пропускная способность недостаточно большая, поэтому планируйте сеансы, исходя из возможностей.

Новые функции в Windows Vista
Windows Vista привнесла значительные изменения в удаленный рабочий стол. Как я уже упоминал, наиболее существенными из них являются 32-разрядное разрешение дисплея, а также сглаживание шрифтов. Еще одно улучшение – это возможность запускать сеансы Windows Vista на нескольких мониторах путем запуска клиента служб терминалов с использованием команды /span. Обратите внимание на то, что /span работает только с системами удаленных узлов Windows Vista, требует одинакового разрешения на всех мониторах на клиенте, и при этом мониторы должны быть выровненными. При распределении изображения удаленная система (клиент) работает как один большой дисплей. Это означает, что развертывание приложения на полный экран может привести к неожиданным результатам, например, неудобно расположенным диалоговым окнам, которые пользователю придется двигать.
Кроме того, если клиент, с которого вы подключаетесь, является клиентом Windows Vista, а удаленная система — это система Windows Vista, вы можете запускать пользовательский интерфейс удаленного сеанса в режиме Windows Aero™ Glass (если локальная система поддерживает Aero Glass, и даже если удаленная система его не поддерживает). Это результат перестройки удаленного рабочего стола Windows для выполнения большинства операций по управлению клиентской системой, если клиентом является Windows Vista, приводящей к улучшению работы пользователя и сокращению использования пропускной способности.
Windows Vista также предлагает очень важное улучшение в плане безопасности – проверку подлинности на сетевом уровне (NLA). NLA может помочь предотвратить атаки типа «злоумышленник в середине», при которых пользователь с дурными намерениями подменяет сервер, к которому, как вы полагаете, вы подключаетесь. NLA также улучшает возможности проверки подлинности, не запуская целиком интерфейс Windows для проверки, таким образом сокращая воздействие на удаленную систему и уменьшая зависимость от атак типа «отказ от обслуживания». NLA требует установки Windows Vista на клиентской и удаленной системах. Нарис. 2 показано, как при помощи клиента RDP 6.0 указать применение проверки подлинности, предупреждение или запуск проверки. Если вы подключаетесь к удаленной системе, на которой установлена более старая версия Windows, чем Windows Vista, убедитесь в том, что она, по крайней мере, настроена предупреждать о подключении; в противном случае подключения вообще не произойдет.
Рис. 2 Дополнительные параметры подключения
Рис. 2 Дополнительные параметры подключения (Щелкните изображение, чтобы увеличить его)
Улучшенное перенаправление ресурсов (не только дисков и принтеров) – это еще одно ключевое улучшение RDP в Windows Vista. При наличии дисков на удаленной системе и устройств, поддерживающих перенаправление, вы можете перенаправлять множество новых типов устройств, включая смарт-карты. Дополнительные типы устройств могут получить поддержку от своих поставщиков.
Windows Vista также поддерживает серверы шлюзов при помощи клиента RDP 6.0. Пользователи могут подключаться к работающим системам через Интернет без необходимости подключения VPN или какого-либо стороннего программного обеспечения. Рис. 3 демонстрирует настройки серверов терминальных служб шлюзов. Сервер шлюзов можно считать аналогичным VPN, без необходимости использовать какое-либо особенное клиентское программное обеспечение, кроме RDP 6.0 (не нужно использовать параметры VPN или проприетарное программное обеспечение).
Рис. 3 Параметры сервера шлюзов служб терминалов
Рис. 3 Параметры сервера шлюзов служб терминалов (Щелкните изображение, чтобы увеличить его)
Windows Vista также включает в себя инфраструктуру для новой функции, называемой RemoteApp™. Вот что делает RemoteApp. Удаленный рабочий стол позволяет вам подключаться ко всему сеансу Windows. Предположим, вас интересует только Microsoft® Word или Microsoft PowerPoint®. RemoteApp дает вам возможность подключиться только к ним. Возможности для предоставления устойчивого общего доступа к приложениям будут также включены и в Windows Server 2008.
Кроме того, Windows Vista теперь поддерживает интерфейс API совместного использования рабочей среды Windows, позволяющий публикацию приложений для совместной работы с общим доступом. Пример приложения, созданного группой серверов терминалов Microsoft на веб-узле blogs.msdn.com/ts/ archive/2007/03/23/writing-a-desktop-sharing-application.aspx демонстрирует принципы работы интерфейса API совместного использования рабочей среды Windows.
Необходимо помнить, что в Windows Vista и далее сеанс 0 (классический консольный сеанс, в котором старые приложения будут открывать диалоговые окна) обычно недоступен пользователю. Это сокращает интерактивность между системными службами (запущенными в сеансе 0, хотя и не интерактивно) и интерактивными пользователями. Также при этом сокращается поверхность для атаки, образуемая привилегированными службами и интерактивными пользователями в Windows Vista, если основное внимание уделяется сокращению привилегий (при помощи управления учетными записями пользователей и других усовершенствований в области безопасности). Обычно вам не нужно об этом беспокоиться, если только вы не запускаете старые программы на Windows Vista, и при этом они не ведут себя неправильным образом либо при установке, либо при запуске приложения.
Где найти удаленный рабочий стол
Сначала необходимо понять, где вообще можно использовать удаленный рабочий стол. Windows XP Professional, Media Center Edition, и Tablet PC Edition все включают в себя функцию удаленного рабочего стола, равно как и все версии Windows Server 2003. Windows Vista предлагает функцию удаленного рабочего стола в выпусках Business, Enterprise и Ultimate. Домашние выпуски Windows, в число которых входят в себя Windows XP Home Edition и все домашние выпуски Windows Vista, не располагают функцией удаленного рабочего стола.

Клиент служб терминалов
Новый клиент RDP 6.0 можно найти на веб-узле go.microsoft.com/fwlink/?LinkId=91612. Как упоминалось ранее, клиент включает в себя все функции, необходимые для подключения к системе RDP 6.0 (Windows Vista или Windows Server 2008).
На Рис. 4 показан клиент RDP 6.0. Важным улучшением в MSTSC является способность к кэшированию учетных данных, а при подключении из Windows Vista к Windows Vista или Windows Server 2008 — даже единый вход (SSO) поддерживается групповой политикой.
Рис. 4 Клиент RDP 6.0
Рис. 4 Клиент RDP 6.0 (Щелкните изображение, чтобы увеличить его)
Версия 6.0 MSTSC.exe имеет множество параметров командной строки, перечисленных ниже. Давайте рассмотрим каждый из них по очереди.
mstsc [<connection file>] [/v:<server[:port]>]
[/console] [/f[ullscreen]] [/w:<width>] [/h:<height>]
[/public] | [/span] [/edit "connection file"] [/migrate] [/?]
/v:<сервер[:порт]> указывает удаленный компьютер, к которому нужно подключиться, а также значение дополнительного порта (по умолчанию это порт 3389; это значение может меняться во всех версиях Windows).
/console позволяет подключаться к консольному сеансу старых версий Windows. Этот параметр не работает в Windows Vista или Windows Server 2008.
/f начинает подключение удаленного рабочего стола в полноэкранном режиме.
/w:<width> определяет ширину окна подключения удаленного рабочего стола.
/h:<height> определяет высоту окна подключения удаленного рабочего стола.
/public запускает подключение удаленного рабочего стола в общедоступном режиме. В общедоступном режиме клиент RDP не кэширует никаких данных в локальной системе. Используйте общедоступный режим, например, при подключении к серверу предприятия через систему в конференц-центре.
Другие возможности служб терминалов
Возможно, вы не знакомы с двумя другими технологиями от Майкрософт, которые используют для работы компоненты служб терминалов. Быстрое переключение пользователей в Windows XP и Windows Vista работает путем разрешения большому количеству пользователей подключаться к одной и той же системе, но быстро переключаться между контекстами пользователей, не вынуждая никого из пользователей отключаться. Windows Media Center Edition (и Windows Vista) используют эту инфраструктуру для того, чтобы позволить расширителям Media Center Extender, являющимся терминалами «тонкого» клиента с технологией передачи звука/видеоизображения и кодеками, входить в систему и визуализировать результаты работы Media Center удаленным способом на телевизоре при помощи проводного или беспроводного подключения. В Windows XP эти возможности не относятся к предприятию, поскольку обоим необходима система, не соединенная с доменом и имеющая включенную функцию быстрого переключения пользователей. Обе возможности доступны в выпусках Windows Vista для предприятия – хотя ситуации их использования не ориентированы на предприятия – поэтому я не буду давать дополнительных деталей о них в этой статье.

/span совмещает ширину и высоту удаленного рабочего стола с локальным виртуальным рабочим столом, при необходимости распределяя изображение на несколько мониторов. При этом все мониторы должны быть одинаковой высоты и установлены рядом друг с другом.
/edit открывает назначенный файл подключения RDP для редактирования. Файлы формата RDP используются для хранения сведений о подключении к конкретной удаленной системе.
/migrate переводит старые файлы подключения, созданные диспетчером подключения клиента, в новые файлы подключения RDP.
При использовании элемента управления ActiveX® служб терминалов доступны многие из усовершенствований клиента MSTSC, а также использование TSMMC.msc, как описано ниже, для подключения к нескольким системам при помощи одной консоли.

Новые функции в Windows Server 2008
Дополнительно ко всем уже упомянутым функциям и изменениям в Windows Vista, Windows Server 2008 включает в себя свои собственные функции удаленного рабочего стола: Веб-клиент служб терминалов и Быструю печать служб терминалов.
Веб-клиент служб терминалов позволяет при использовании веб-обозревателя просматривать список программ, включенных на удаленном сервере как RemoteApps, и легко запускать их одним нажатием при помощи элемента управления ActiveX удаленного рабочего стола. В некотором смысле это похоже на процедуру, используемую при виртуализации приложений при помощи SoftGrid, о которой я рассказывал в статье «Пакет оптимизации рабочего стола Майкрософт» в прошлом месяце, при которой удаленный пользователь легко запускает приложение, не затрагивая при этом никакого локально установленного программного обеспечения. Через несколько лет будет интересно сравнить ситуации использования технологий SoftGrid и служб терминалов.
TS Easy Print позволяет перенаправлять все задания принтеров с удаленной (основной) системы на локальную (клиентскую) систему. Если вы думаете, что перенаправление принтеров и так это делает, то вы ошибаетесь. Работа Easy Print не требует каких-либо дополнительных драйверов принтеров основной системы или интерактивной работы пользователя для установки устройств. При наличии локального принтера он будет работать на удаленной системе точно так же, как локально. Для работы Easy Print на удаленной системе должен быть запущен Windows Server 2008, а на клиенте и системах сервера – клиент служб терминалов 6.1 при наличии установленной Microsoft .NET Framework 3.0 SP1. Обе программы будут доступны примерно ко времени выпуска Windows Server 2008.

Советы по использованию удаленного рабочего стола
Как я упоминал ранее, я использую удаленный рабочий стол каждый день, вернее, консоль управления удаленным рабочим столом (MMC), если быть точным. Добавляя удаленные системы в качестве узлов, вы можете быстро и легко переключаться между множеством систем, используя один и тот же пользовательский интерфейс. На Рис. 5 показано, как выглядит работа MMC. Оснастка MMC является частью пакета средств администрирования Windows Server 2003, последняя версия которого доступна на веб-узле go.microsoft.com/fwlink/?LinkId=91685.
Рис. 5 Страница ММС
Рис. 5 Страница ММС (Щелкните изображение, чтобы увеличить его)
Еще один совет я хочу дать относительно копирования и вставки. Функция копирования и вставки между клиентом и сервером была новой функцией для Windows XP. Для того, чтобы она работала, на клиенте и сервере должна быть запущена Windows XP, а буфер обмена должен быть перенаправлен (см. рис. 6). Клиенты Windows Vista также поддерживают копирование и вставку при готовом к подключению перенаправлении буфера обмена.
Рис. 6 Параметры локальных ресурсов
Рис. 6 Параметры локальных ресурсов (Щелкните изображение, чтобы увеличить его)
Также необходимо отметить, что сочетания кнопок клавиатуры, которые вам могут понадобиться, например, Ctrl+Alt+Delete, не передаются в удаленную систему – они всегда работают на локальной системе. Для передачи Ctrl+Alt+Delete в удаленную систему нажмите сочетание клавиш Ctrl+Alt+End на клиенте.
И наконец, я хочу порекомендовать вам регулярно посещать блог команды служб терминалов Майкрософт на веб-узле blogs.msdn.com/ts. Я это делаю.
Я считаю, что удаленный рабочий стол и службы терминалов настолько облегчают мою жизнь, что я уже не могу представить ее без них. Надеюсь, в этой статье вы нашли полезную информацию относительно новых функций в клиенте RDP 6.0 и Windows Vista и Windows Server 2008.

Я благодарю Нелли Портер, старшую управляющую программами группы служб терминалов, за оказанную ею помощь в написании этой статьи.

Уэс Миллер (Wes Miller) — руководитель по разработке в компании Pluck (www.pluck.com), г. Остин, штат Техас. Ранее он работал в компании Winternals Software в том же городе, а также в должности руководителя программы и руководителя по продукту Windows в корпорации Майкрософт. Связаться с Уэсом можно по адресу technet@getwired.com.


Заметки разъездного инженера Собеседования с помощью мгновенных сообщений (IM)
Нэйтон Дженсен (Nathan G. Jensen)

Недавно моя компания разместила в Интернете объявление о вакансии «старший инженер-программист (удаленная работа)», и нам сразу же ответило большое количество соискателей со всего света. Как ведущему разработчику мне поручили провести технические собеседования с множеством кандидатов. Я просматривал резюме самодовольных соискателей одно за другим. По опыту я знал, что большая часть соискателей будет недостаточно квалифицирована. Именно поэтому технические собеседования очень значимы.
Представив все эти собеседования по телефону с каждым соискателем, я подумал: «Это же займет целый месяц!» И тут меня осенило. Идея пришла ко мне в виде видения из отдела ИТ центрального офиса райской канцелярии: проводить собеседования с помощью мгновенных сообщений. Это было гениально! И это сработало на все 100%.
Я начал с массовой рассылки всем кандидатам сообщений по электронной почте, используя BCC. В них я указал, что потребуется техническое собеседование и что нашим средством общения будет Windows Live™ Messenger, а не телефон. Благодаря этому сообщению электронной почты отсеялась половина кандидатов, вероятно, они поняли, что не смогут успешно пройти техническое собеседование. В отношении остальных мне показалось, что чат IM сработает, так как мне требовались прямые ответы на обычные технические вопросы. На этом этапе собеседования навыки межличностного общения и поставленная речь меня не так волновали.
Рисунок Я открыл несколько окон программы для обмена мгновенными сообщениями, задавал массу технических вопросов
Рисунок Я открыл несколько окон программы для обмена мгновенными сообщениями, задавал массу технических вопросов (Щелкните изображение, чтобы увеличить его)
Первое, что я заметил: этот высокотехнологичный способ проведения собеседований экономит время и деньги. Никаких телефонных счетов. И когда соискатели появились для собеседования, я увидел, что могу работать с несколькими из них одновременно и при этом эффективно. Это было то еще дело. Я открыл несколько окон программы для обмена мгновенными сообщениями, задавал массу технических вопросов. И так как я заранее набрал вопросы, по большому счету, все это свелось к «копировать-вставить».
Я тщательно просмотрел, что имеется в Интернете в качестве ответов на мои вопросы. Это позволило свести к минимуму получение готовых приличных ответов из Интернета. Если кто-нибудь отвечал так, как из безупречной статьи или официальной документации, для меня все сразу было очевидно. Кроме того, Windows Live Messenger может отслеживать временную отметку каждого ответа. Таким образом, позже вы можете определить, кто из кандидатов тратил слишком много времени на ответы.
Еще одним значимым моментом оказалось то, что когда в разгаре этих одновременных IM чатов зазвонил телефон, я понял, что могу продолжить собеседования и в то же время разговаривать по телефону. Вот это и есть вершина многопоточной эффективности!
И в тот момент, когда, казалось бы, лучше быть уже не может, появился еще один плюс. Одно обстоятельство очень сильно меня раздражает в телефонных собеседованиях: когда задаешь короткий вопрос и ожидаешь такой же короткий ответ, а вместо этого получаешь пятиминутную диссертацию. С обменом мгновенными сообщениями такая ситуация не возникает, так как в данном случае люди склонны отвечать кратко.
После каждого собеседования я сохранял файлы журналов чата, таким образом, у меня был своеобразный протокол для дальнейшего рассмотрения и принятия решения. И я мог отправить эти файлы журналов начальнику для объективного сравнения. В итоге, весь процесс занял несколько часов вместо недели. Именно столько времени потребовалось бы, чтобы назначить точное время и провести телефонные собеседования с 25 кандидатами.
Я очень доволен моим открытием. Мы наняли человека, который просто выстреливал правильные ответы, а после успешно прошел устное собеседование с моим начальником по телефону. В итоге все прошло быстро и продуктивно, через несколько дней после публикации вакансии у нас уже был подходящий кандидат.

Нэйтон Дженсен (Nathan G. Jensen) - ведущий веб-разработчик и внештатный автор документации, проживающий в Солт-Лейк-Сити. Вы можете связаться с ним, посетив builderdash.com.


Конфиденциальные сведения о Windows Проводник Windows не создает текст
Рэймонд Чен (Raymond Chen)

Когда-то давным-давно жил да был Send To X PowerToy. Он помогал делать замечательные вещи, например выбирать связанные друг с другом файлы, щелкать их правой кнопкой мыши и затем выбирать Send To Clipboard в качестве Names. Как и ожидалось, при этом имена выбранных файлов копировались в буфер обмена.
Этот PowerToy был, конечно же, очень полезен, но зачем он вообще существовал? Почему я просто не могу скопировать файлы в проводнике Windows® и затем вставить их как текст, чтобы получить их имена? Или даже еще лучше: почему я не могу просто перетащить файлы из проводника Windows в «Блокнот», чтобы получить их имена?
Мы пробовали, но это не работало.
Передача данных через буфер обмена или через перетаскивание выполняется посредством объектов данных OLE, которые представляет интерфейс IDataObject. Объект данных предлагает различные форматы. Некоторые форматы буфера обмена, включая текст и точечные рисунки, существуют с самого появления Windows. Другие были добавлены с течением времени. Когда возможности перетаскивания появились в Windows в первые, он были в форме HDROP. Это можно передать таким функциям, как DragQueryFile, например, для извлечения имен файлов. При копировании в буфер обмена из проводника Windows результирующий объект данных предлагает, помимо прочего, уже упомянутый HDROP, содержимое файла, а также описание группы файлов. Но одним из форматов, которые не предлагает объект данных, является текст.
Когда цели перетаскивания (то, куда выполняется перетаскивание объектов) сообщается, что объект данных перетаскивается на него или в него, цель перетаскивания спрашивает объект: «А что у тебя есть?». Объект данных отвечает, перечисляя все поддерживаемые форматы в порядке убывания предпочтений. Другими словами, первым форматом, возвращаемым объектом данных, является тот, который описывает объект наилучшим образом. Затем следует второй лучший формат и так далее до тех пор, пока вы не получите последний формат, который является лишь бледной тенью оригинального объекта. Например, объект данных, представляющий некоторые объекты, перетаскиваемые из окна проводника Windows, возможно, предложит сначала список идентификаторов оболочки, поскольку это практически идеальное представление содержимого окна проводника Windows. Следующим в списке может быть дескриптор группы файлов, за которым последует содержимое файла, а затем HDROP.
Ранее в 1998 году команда, работавшая с оболочкой, пробовала добавлять обычный текст в список предложенных форматов, поместив его в самый конец списка. Это по сути говорило следующее: «Если вы и правда безнадежны, то, по крайней мере, получите от меня немного текста (а именно, список файлов)». К сожалению, множество программ было сбито с толку прекрасным текстовым форматом и говорило: «О, мне нравится текст». Программы выбирали текстовый формат, содержавший всего лишь список файлов. В результате при перетаскивании файла из проводника Windows в документ программа просто вставляла в документ имя файла вместо вставки самого документа.
Ой.
Это нововведение было убрано, поскольку было много сообщений о плохой совместимости с приложениями. В результате при перетаскивании или вставке файлов, скопированных из проводника Windows, объект данных оболочки не предлагает имена файлов в текстовом виде.
Windows Vista®, тем не менее, исправляет эту старую несправедливость, предлагая способ копирования пути как текста: удерживайте клавишу Shift при щелчке правой кнопкой мыши, чтобы получить расширенное контекстное меню. При этом возникнет новый пункт меню «Копировать как путь». И никакой PowerToy не нужен.

Рэймонд Чен (Raymond Chen) на своем веб-узле The Old New Thing (Хорошо забытое старое) и в книге с таким же названием (издательство Addison-Wesley, 2007 г.) рассказывает об истории развития Windows и касается вопросов программирования в среде Win32. Он оставляет другим работу по операционализации механизмов.