 TechNet Magazine January 2007
TechNet Magazine January 2007
JANUARY 2007
SharePoint

Выпуск журнала TechNet Magazine в этом месяце посвящен SharePoint всем нововведениям которые содержатся в новом выпуске. Здесь приводятся общие сведения о SharePoint Server 2007 и новых возможностях, максимально улучшающие и облегчающие процесс создания узла для совместной работы. В обзорной статье содержатся сведения о корпоративной поисковой системе и управлении документирования, а также о многом другом. В выпуске также содержатся статьи по вопросам безопасности в SharePoint, задачам администрирования, использующим командную строку в качестве способа быстрого выполнения задач,а также создания wiki-узла организации с помощью SharePoint. Кроме того, как обычно, у нас есть новости в популярных рубриках, включая статьи «Как избежать кошмара библиотек DLL» Реймонда Чена (Raymond Chen) и группы Scripting Guys по сортировке в VBScript с помощью метода DataList.Sort платформы .NET Framework.

СТАТЬИ
SharePoint Обзор Microsoft Office SharePoint Server 2007

Новая версия сервера SharePoint предназначена для объединения всех задач совместной работы и управления информацией в рамках единой платформы. В этой статье приведен обзор новых возможностей и средств MOSS, которые изменят принципы корпоративной работы.

Томас Риццо (Thomas Rizzo) Семь новых возможностей повышения безопасности сервера SharePoint

По мере того, как службы SharePoint всё шире охватывают корпоративные данные и превращаются в неотъемлемую часть рабочего процесса, резко возрастает значение безопасности. Узнайте, как семь новых компонентов сервера MOSS могут резко повысить уровень безопасности организации.

Адам Роберт Буэнз (Аdam Robert Buenz) Функция корпоративного поиска в SharePoint – найдется все

Пока сотрудники пытаются найти нужную информацию, компания теряет время и деньги. В этом случае будет полезна функция корпоративного поиска. Сервер MOSS предлагает корпоративное поисковое средство, могущее помочь быстро находить любую информацию, располагается ли она на узле интрасети, используется бизнес-приложениями или хранится у конкретного пользователя.

Мэтт Хестер (Matt Hester) Мощные средства командной строки для администрирования служб SharePoint

Не стоит возиться с графическим интерфейсом. Существует более мощный и быстрый способ управления SharePoint, который позволяет выполнять административные задачи из командной строки и даже общих процедур сценариев.

Тодд Клиндт (Todd Klindt) Используйте вики в работе

Вики-узлы предлагают новый более гибкий способ совместной работы, содействуя распространению неструктурированного подхода к мышлению и обмену идеями. Использование сервера MOSS 2007 невероятно облегчает реализацию вики-узлов на предприятии. В этой статье содержится информация, позволяющая приступить к созданию и использованию вики-узлов на рабочем месте.

Мауро Кардарелли (Mauro Cardarelli)
РАЗДЕЛЫ
От редактора

Джошуа Трупин (Joshua Trupin) Инструменты

Новые продукты для ИТ-специалистов

Грег Стин (Greg Steen) Обзор служебных программ

Пакет администрирования Internet Explorer

Ланс Винтли (Lance Whitney) Вопросы и ответы по SQL

Архивация данных, связанные серверы, измерение пропускной способности и другое

Редактор – Нэнси Мичелл (Nancy Michell) «Кабельщик» The Cable Guy

Автоматическая настройка окна приема TCP

Джозеф Дэвис (Joseph Davies) Windows PowerShell

Конструкции языка сценариев Windows PowerShell

Дон Джонс (Don Jones) 		Эй, программист!

Осторожней со словами!

Группа Microsoft Scripting Guys Exchange Queue & очередь за ответами

Все ответы у нас (Потому что мы сами составили вопросы)

KC Лемсон (KC Lemson) и Пол Бауден (Paul Bowden) В поисках безопасности

Усиление защиты служб в Windows Vista

Уол Мозес (Wole Moses) Файлы рабочего стола

Пакет автоматической установки Windows

Уэс Миллер (Wes Miller) Заметки на полях

Техническая поддержка для родственников

Джеймс Снелл (James Snell) Конфиденциальная информация Windows

Как избежать кошмара библиотек DLL

Рэймонд Чен (Raymond Chen)


 SharePoint: Обзор Microsoft Office SharePoint Server 2007
SharePoint Томас Риццо (Thomas Rizzo)

Обзор Microsoft Office SharePoint Server 2007
Краткий обзор:
  • Веб-интеграция SharePoint.
  • Управление содержимым.
  • Бизнес-аналитика.

Принципы работы бизнеса меняются в среде, которую корпорация Майкрософт называет «новым миром работы», в соответствии с двумя факторами. Во-первых, группы, которые работают вместе, все чаще располагаются не просто в разных местах,
но и в разных часовых поясах. В результате программное обеспечение для сотрудничества приобретает еще большую важность для поддержки работы, распределенной по всему миру. Во-вторых, наблюдается взрывной рост использования цифровой информации в то время как правила соответствия для этих бизнес-данных становятся еще более сложными. Компании стараются обеспечить как возможность совместной работы и общего доступа, так и безопасность и конфиденциальность данных. Решение, которое соответствует всем этим требованиям (взаимодействие для разных континентов и часовых поясов, эффективные средства совместной работы и безопасная обработка данных), критически важно для использования имеющихся информационных и людских ресурсов оптимальным образом.
Появление сервера Microsoft® Office SharePoint® Server (MOSS) 2007 позволило связать ряд технологий в единую объединенную платформу и набор корпоративных служб. В этом ряду £ как технологии совместной работы, так и порталы, эффективные системы поиска, системы управления потоками работ и деловыми процессами. MOSS £ это новое поколение сервера SharePoint Portal Server (SPS) на основе компонента Windows® SharePoint Services (WSS). На круговой диаграмме на рис. 1показано, как сервер MOSS и службы WSS работают вместе. Службы WSS лежат в основе областей, закрашенных зеленым, а поскольку сервер MOSS основывается на WSS, он отвечает за весь круг целиком. Именно сервер MOSS предоставляет компоненты портала, поиска, управления информационным содержимым предприятия, бизнес-процесса и форм, а также бизнес-аналитики.
Рис. 1. Служба, основанная на MOSS и WSS
Рис. 1. Служба, основанная на MOSS и WSS (Щелкните изображение, чтобы уменьшить его)
Рис. 1. Служба, основанная на MOSS и WSS
Рис. 1. Служба, основанная на MOSS и WSS (Щелкните изображение, чтобы увеличить его)
Ниже описаны наиболее важные технологии MOSS и принципы их использования для повышения эффективности работы пользователей.

SharePoint и Web 2.0
Web 2.0, Enterprise 2.0, смешанные приложения, содержимое под управлением сообщества £ можно называть по-разному, но ясно одно: с помощью интернет-технологий, таких как AJAX, RSS, блоги и вики-страницы, пользователи могут лучше управлять содержимым, совместной работой и способами получения данных. Более того, пользователям требуется сочетание возможностей взаимодействия Windows с простотой развертывания и использования, предоставляемой веб-технологиями. Но при добавлении концепций Интернета к корпоративной среде возникают новые проблемы. Например, можно ли проверить источник службы и доверять ему? Можно ли аккуратно встроить эту службу в существующую инфраструктуру?
Сервер MOSS 2007 предоставляет ряд новых компонентов и позволяет улучшить существующую платформу совместной работы. Для этого используются как встроенные возможности управления документами и системы оповещений, так и новые компоненты, такие как блоги (см. рис. 2), вики-страницы, а также веб-часть для публикации и получения RSS-каналов. При работе с Microsoft Office Outlook® 2007 можно выполнять двунаправленную синхронизацию между Outlook и сервером Microsoft SharePoint таких совместно используемых данных, как календарь, задачи и контакты. Если необходимо изменить контакт или переместить встречу, это можно сделать в Outlook или на сервере SharePoint, и изменения появятся в другой программе.
Рис. 2. MOSS 2007: поддержка блогов и вики-страниц
Рис. 2. MOSS 2007: поддержка блогов и вики-страниц (Щелкните изображение, чтобы уменьшить его)
Рис. 2. MOSS 2007: поддержка блогов и вики-страниц
Рис. 2. MOSS 2007: поддержка блогов и вики-страниц (Щелкните изображение, чтобы увеличить его)
Кроме того, программа Outlook поддерживает автономную работу с библиотеками документов. Можно внести изменения в документы при отсутствии связи с сетью, а затем синхронизировать их при следующем подключении.
Еще сервер MOSS может проверять правила соответствия для содержимого, управляемого сообществом, и обеспечивать их выполнение. При этом клиентам не приходится жертвовать ни управляемостью, ни безопасностью.
Основное усовершенствование в MOSS 2007 £ это повышение персонализации работы с порталом. В состав MOSS входит доработанный личный веб-узел с теми же возможностями, что и у веб-узла SharePoint. Пользователи могут создавать списки, библиотеки документов или дочерние узлы в рамках своего личного веб-узла, а также настраивать эти узлы как для личного просмотра, так и для рабочих групп. Кроме того, личный веб-узел предоставляет новые веб-части для создания иерархических структур и отслеживания информации коллег в организации, включая оповещения при изменении метаданных сотрудников, например номера телефона, звания, расположения офиса или других сведений. На рис. 3 показан настроенный личный веб-узел в MOSS.
Рис. 3. Личный веб-узел: поддержка дополнительных возможностей SharePoint
Рис. 3. Личный веб-узел: поддержка дополнительных возможностей SharePoint (Щелкните изображение, чтобы уменьшить его)
Рис. 3. Личный веб-узел: поддержка дополнительных возможностей SharePoint
Рис. 3. Личный веб-узел: поддержка дополнительных возможностей SharePoint (Щелкните изображение, чтобы увеличить его)

Корпоративный поиск
Когда жесткие диски имели маленькую емкость, запомнить место хранения данных обычно было несложно. Однако после того как произошел взрывной рост объема дисков, а пользователи начали заполнять этот объем почти не встречая ограничений, поиск стал критически важным компонентом любой информационной архитектуры. Сервер MOSS предоставляет улучшенные возможности поиска по корпоративным хранилищам, основанные на платформе поиска, первоначально входившей в состав SPS 2003. Сервер MOSS 2007 продолжает выполнять обход содержимого общих папок, веб-узлов, а также хранилищ Exchange Server и Lotus Notes. Все эти компоненты рассматриваются как неструктурированные хранилища данных.
Но в сервере SPS не была реализована возможность поиска по структурированным хранилищам, таким как отраслевые приложения или реляционные базы данных. Кроме того, структурированные и неструктурированные хранилища дополняются метаданными и экспертными знаниями, которые каждый работник привносит в организацию. Сервер MOSS способен выполнять поиск по структурированным хранилищам с помощью новой технологии под названием «каталог бизнес-данных» (Business Data Catalog, BDC). Можно найти людей и экспертные знания через новую сеть обмена знаниями.
Каталог бизнес-данных позволяет подключаться к системам, данные которых представлены с помощью поставщиков ADO.NET или веб-служб, выполнять обход содержимого таких систем и поиск по ним. Для этого необходимо создать XML-файл настройки с нужными сведениями о системе, к которой требуется подключиться. В число таких сведений входят имя сервера или конечной точки, способ перечисления и извлечения объектов системы, любые фильтры, которые поддерживает система базы данных, а также метод сопоставления данных базы с данными SharePoint. Теперь можно пользоваться возможностями корпоративного поиска SharePoint для поиска по каталогу бизнес-данных как если бы выполнялся обход содержимого других корпоративных хранилищ.
По умолчанию для каждого бизнес-объекта из системы базы данных в SharePoint создается страница профиля, которую можно настроить так же как и другие страницы на сервере SharePoint. На рис. 4 показана настроенная страница профиля, на которой содержатся как бизнес-данные, так и другие сведения. Кроме того, в состав сервера SharePoint входит некоторое количество веб-частей бизнес-данных, которые позволяют показывать данные каталога BDC на страницах пользователя и при необходимости фильтровать информацию на этих страницах на основе имеющихся метаданных. Поскольку бизнес-данные привязаны к SharePoint, доступ к ним можно получить с помощью списков SharePoint, используя новый тип столбца бизнес-данных. Ошибок при вводе данных и очистки последних больше не происходит, поскольку данные в списке получены из заслуживающей доверия системы базы данных.
Рис. 4. Внесение бизнес-данных на страницы SharePoint из служб базы данных
Рис. 4. Внесение бизнес-данных на страницы SharePoint из служб базы данных (Щелкните изображение, чтобы уменьшить его)
Рис. 4. Внесение бизнес-данных на страницы SharePoint из служб базы данных
Рис. 4. Внесение бизнес-данных на страницы SharePoint из служб базы данных (Щелкните изображение, чтобы увеличить его)
Сеть обмена знаниями £ это мощное средство для поиска людей и экспертных знаний. Бизнес функционирует с помощью социальных сетей внутри предприятия. Во многих случаях сотрудники могли бы работать эффективнее, получая помощь экспертов в решении бизнес-задач, над которыми они трудятся. Однако если сотрудник не находит таких экспертных знаний в своем непосредственном окружении, он обычно прекращает поиски. В сети обмена знаниями, в отличие от физических социальных сетей, программное обеспечение позволяет построить социальную карту организации и выполнять поиск по этой социальной сети. Результаты можно сортировать по социальному расстоянию и фильтровать по свойствам метаданных, например по должности или отделу.
Как и любое решение, связанное с людьми и их данными, допускающими персональную идентификацию, сеть обмена знаниями обеспечивает многофункциональную модель безопасности и конфиденциальности. Пользователи должны дать согласие на присоединение к сети и могут управлять отображением сведений для различных ее групп. Сеть обмена знаниями выполняет обход содержимого серверной части (например личного веб-узла пользователя на сервере SharePoint). Кроме того, в нее входит компонент клиентской части, который встраивается в программы Outlook и обмена мгновенными сообщениями и выполняет обход содержимого электронной почты и контактов. На стороне клиента можно управлять расписанием запуска обхода и определять, какие данные должны быть опубликованы в профиле пользователя на сервере после обхода содержимого клиентской части. Слабым местом систем обмена экспертными знаниями является сохранение сведений о сотрудниках в актуальном состоянии. Программное обеспечение сети обмена знаниями выполняет обновление всех сведений, позволяя пользователям определять, какие из этих данных будут видны и к каким будет открыт доступ.

Управление корпоративным информационным содержимым
Оставив позади простое управление документами, сервер MOSS 2007 предлагает устойчивое решение для управления корпоративным информационным содержимым, добавив поддержку управления записями, веб-содержимым и электронными формами. Для сервера SharePoint управление записями включает в себя возможность построения управляемого хранилища, которое позволяет удовлетворить требования соответствия, такие как сохранение содержимого, аудит, добавление штрих-кодов и маркировка. Вследствие тесной интеграции с сервером Exchange Server в хранилище записей кроме сведений, которые создаются и хранятся в SharePoint, могут содержаться сообщения электронной почты (как служебные записи). Возможности управления записями позволяют выполнить запрос юридических документов с помощью поиска по записям и специальных удержаний. Последние позволяют нарушить политики сохранения документов (в зависимости от судебных решений, по которым предписывается удерживать документы дольше срока, заданного этими политиками).
В области управления веб-содержимым сервер MOSS 2007 сейчас занял место сервера Microsoft Content Management Server 2002. Вследствие такой замены сервер SharePoint теперь может удовлетворить любые потребности предприятия, связанные с веб-узлами интра- и экстрасети, а также узлами с выходом в Интернет. Располагая этими возможностями, можно использовать единую технологию для всей инфраструктуры. Сервер SharePoint позволяет развертывать содержимое, тем самым давая возможность разделить тестовые и рабочие серверы. Более того, в SharePoint настройка узла стала проще за счет поддержки главных страниц ASP.NET 2.0. Кроме того, следует упомянуть, что для многоязыковых сценариев допускаются разные варианты узла. Один узел может иметь несколько вариантов и выполнять автоматическое перенаправление в зависимости от языковых параметров обозревателя, который используется для просмотра страницы.
Для электронных форм в SharePoint была добавлена новая возможность: службы форм InfoPath®, которая позволяет преобразовывать формы InfoPath в электронные формы. Для этого необходимо создать форму InfoPath, установить флажок в конструкторе, чтобы получить предупреждение в случае невозможности преобразования отдельных ее элементов, а затем сохранить ее в доверенном хранилище внутри списка SharePoint. Теперь пользователи могут просматривать, изменять и представлять эти формы с помощью веб-обозревателя.
Один из наиболее важных запросов от пользователей сервера SPS 2003 касался улучшения поддержки бизнес-правил, поскольку многие клиенты хотели бы внедрить бизнес-правила в содержимое, хранящееся на сервере SharePoint. Разработчики MOSS пошли намного дальше простого улучшения поддержки бизнес-правил, добавив к этому продукту новый компонент: Windows Workflow Foundation архитектуры .NET Framework 3.0. Таким образом, можно построить бизнес-правила с помощью Windows Workflow Foundation, и они будут работать в среде SharePoint. Кроме компонента Windows Workflow Foundation сервер SharePoint содержит еще и ряд встроенных бизнес-правил, включая правила утверждения и подписи документов. На рис. 5 показан процесс настройки встроенного бизнес-правила в MOSS.
Рис. 5. Настройка бизнес-правил в MOSS
Рис. 5. Настройка бизнес-правил в MOSS (Щелкните изображение, чтобы уменьшить его)
Рис. 5. Настройка бизнес-правил в MOSS
Рис. 5. Настройка бизнес-правил в MOSS (Щелкните изображение, чтобы увеличить его)
При работе с MOSS можно отслеживать рабочий процесс, изучая как текущее состояние задачи, так и журнал. Кроме того, сервер SharePoint интегрируется с клиентскими приложениями Office, что позволяет конечным пользователям участвовать в рабочем процессе с помощью таких приложений. Пользователи могут сразу видеть назначенные им рабочие задачи и завершать их, не покидая приложений Office.
В сервере MOSS был также расширены возможности порталов бизнес-аналитики. На таких порталах обычно содержатся отчеты, диаграммы и таблицы данных, которые можно сортировать и фильтровать. Можно также наглядно представить состояние данных с помощью графики. Чтобы построить портал бизнес-аналитики в MOSS, достаточно просто создать новую страницу с помощью шаблона цифровой панели бизнес-аналитики. В состав такой панели по умолчанию входят список ключевых индикаторов производительности и веб-часть веб-клиента Excel®.
Список ключевых индикаторов производительности £ это новый тип списка в MOSS. Он позволяет подключиться к таким источникам данных как Excel, службы анализа сервера SQL Server™, списки SharePoint или введенные вручную сведения, а также отслеживать ключевые индикаторы производительности из этих источников данных. С помощью списка ключевых индикаторов производительности можно посмотреть текущие и конечные значения, тренды и состояние, используя особые индикаторы.
Веб-клиент Excel £ это часть служб Excel в MOSS, серверный вариант Excel, который позволяет рассчитывать и выводить данные Excel в веб-обозревателе. Чтобы воспользоваться службами Excel, можно опубликовать электронную таблицу прямо из клиентского приложения Excel в доверенном размещении сервера SharePoint. После этого пользователи смогут ознакомиться с электронной таблицей или диаграммами с помощью веб-обозревателя. При наличии каких-либо параметров фильтрации они также могут изменить набор данных Excel, который выводится в окне веб-обозревателя.

Дополнительные сведения
Хотя в этой статье удалось описать только небольшую часть новых возможностей MOSS, существует множество интернет-ресурсов, которые позволят вам узнать больше. Рекомендуем начать с блога группы SharePoint (на английском языке) и веб-узла SharePoint Server TechCenter(на английском языке).

Томас Риццо (Thomas Rizzo) £ руководитель группы SharePoint в корпорации Майкрософт. Ранее он работал в группах SQL Server и Exchange Server. Томас Риццо является автором четырех книг. С ним можно связаться по адресу thomriz@microsoft.com.
© 2007 Корпорация Майкрософт и компания CMP Media, LLC. Все права защищены; полное или частичное воспроизведение без разрешения запрещено.


 Сервер SharePoint: Семь новых возможностей повышения безопасности сервера SharePoint
Сервер SharePoint Адам Роберт Буэнз (Аdam Robert Buenz)

Семь новых возможностей повышения безопасности сервера SharePoint

Внедрение действенных средств безопасности в среде на основе сервера Microsoft Office SharePoint Server (MOSS) 2007 может привести к значительному снижению непроизводительных затрат на управление. При этом обеспечивается возможность (о зонировании – далее в статье).
совместной работы и коллективного использования данных в защищенной среде. Сервер MOSS 2007 содержит новейшие компоненты проверки подлинности, позволяющие обеспечить предписанный стандартами уровень безопасности в веб-системах. Для этого служат заказные поставщики, проверка подлинности на основе форм в стиле Интернета и единый вход через веб-интерфейс (SSO). Более того, сервер MOSS обеспечивает управление на детальном уровне правами доступа к таким средствам компании, как системные файлы 2007 Microsoft® Office, имеет собственные функции шифрования и частично освободить клиент от задач проверки подлинности.
Далее описаны семь компонентов безопасности сервера MOSS 2007, которыми можно начать пользоваться немедленно.
Подключаемый поставщик проверки подлинности Поставщик проверки подлинности – это компонент, позволяющий проверять подлинность учетных данных пользователя. Одно из важнейших решений по безопасности в процессе организации проверки подлинности в стиле Интернета на сервере SharePoint® состоит в том, как настроить этот поставщик проверки подлинности в среде MOSS. MOSS по-прежнему поддерживает методы проверки подлинности средствами Windows®, имевшиеся в прежних версиях сервера SharePoint, в том числе, встроенную и обычную проверку подлинности (добавлена краткая проверка подлинности), что позволяет надежно соотносить пользователей с их учётными данными в Windows. Но теперь, помимо соотнесения с учетными данными в Windows, появились и другие возможности. Можно даже задействовать несколько поставщиков проверки подлинности, так что проверять подлинность при входе в систему собственных пользователей будут средства Windows, а сторонних – отдельный подключаемый поставщик.
Сервер MOSS основан на среде ASP.NET 2.0, где можно задействовать подключаемые поставщики проверки подлинности. Это позволяет использовать для хранения пользовательской информации настраиваемые каталоги, по крайней мере, при наличии поставщика членства, т.е. принадлежности к группам ASP.NET 2.0 (факультативного поставщика ролей). Учетные данные подключаемого поставщика можно хешировать, шифровать или сохранять в текстовом формате, в зависимости от значений параметров узла, хранящихся в файле machine.config, соответствующем поставщику членства. Сервер MOSS рассчитан на работу с несколькими поставщиками членства, в частности LDAP V3 (входит в комплект поставки MOSS), а также поставщиками членства SQL Server™ и Active Directory®, имеющимися в среде ASP.NET 2.0.
Сервер может сочетаться не только с типовыми поставщиками членства и ролей. Архитектура членства в среде ASP.NET 2.0 позволяет разрабатывать заказные поставщики на основе таких хранилищ информации о членстве, как базы данных Microsoft Access™ или Oracle, файлы XML и даже текстовые файлы. Заказной поставщик проверки подлинности наследует от интерфейса ASP.NET MembershipProvider, а тот, в свою очередь, от класса ProviderBase (см. рис. 1).
Рисунок 1 Иерархия классов членства .NET
Рисунок 1 Иерархия классов членства .NET
Намереваясь использовать проверку подлинности на сервере MOSS средствами ASP.NET 2.0 (а не средствами Windows) следует принимать во внимание некоторые особенности. Важнее всего для многих пользователей будет ухудшение возможностей взаимодействия с клиентом Microsoft Office. Дело в том, что изначально обмен данными между клиентами MOSS и Office был рассчитан на работу с учётными записями Windows.
Кроме того, некоторые службы MOSS, в особенности связанные с обходом и индексированием содержимого, вынуждены использовать учётную запись Windows даже при работе с подключаемым поставщиком. Чтобы реализовать этот режим, когда тип проверки подлинности не разрешается в учётную запись Windows, необходимо создавать дополнительную зону MOSS, где будет осуществляться проверка подлинности средствами Windows (о зонировании – далее в статье). (о зонировании – далее в статье).
В некоторых случаях может быть вменена в обязанность инфраструктура открытых ключей, основанная на таких средствах, как микропроцессорные карточки. Поскольку открытые ключи или сертификаты здесь обрабатывают клиенты, обычно требуется разрешение учётной записи Windows, чтобы клиент мог, в зависимости от варианта реализации, корректно выполнить принятие сертификата и авторизацию. Для этого, в свою очередь, может потребоваться создать дополнительную зону MOSS или другую конфигурацию проверки подлинности.
2. Проверка подлинности на основе форм и единый вход через веб-интерфейс В сервере MOSS 2007 имеется ещё один интересный механизм проверки подлинности – на основе форм, средствами ASP.NET 2.0. В предыдущих версиях SharePoint для этого требовалось либо заказное расширение ISAPI, либо расширение ISAPI CustomAuth из набора Internet Information Services (IIS) 6.0. И даже при их наличии на сервере SharePoint все равно требовалось обратное разрешение учётной записи в учётную запись пользователя Windows, что ограничивало возможности применения на периметре.
Для проверки подлинности на сервере MOSS используются подключаемые поставщики проверки подлинности и ролей. Это позволяет реализовать механизмы безопасности в стиле Интернета, при которых пользователя не ставят в рамки старомодного входа в систему по приглашению, как в NT. Напротив, можно подстроиться под требования пользователей и разработать заказной процесс входа в систему. Дальнейшее повышение защищённости процесса проверки подлинности достигается тем, что файлы «cookie» проверки подлинности форм и билеты проверки подлинности зашифрованы и защищены от искажений.
Поставщик учётных записей форм не обязательно устанавливать локально. Его можно подключить к внешней системе управления учётными записями, которая, в свою очередь, обеспечит и проверку учётных записей пользователей. Этот приём получил название «единый вход через веб-интерфейс». Он предполагает использование HTTP-модуля внешней проверки подлинности. С его помощью можно также осуществить федерацию учётных записей пользователей собственной компании и деловых партнёров, причём последние при проверке подлинности на сервере MOSS могут пользоваться регистрационными именами, присвоенными в их компаниях.
3. Шифрование строк подключения приложений MOSS Включать столь ценную информацию, как строки подключения, в файл web.config «открытым текстом» – грубое нарушение правил безопасности. По этой информации пользователь может создать объектный экземпляр сервера базы данных SQL и манипулировать ценными данными. Однако в среде ASP.NET 2.0 есть функциональные возможности шифрования данных с помощью любого из двух средств: интерфейса прикладного программирования для защиты данных Windows (DPAPI) и RSA-шифрования. DPAPI осуществляет шифрование и дешифровку ключа компьютера сервера MOSS на основе встроенных в ОС Windows криптографических функций. При RSA-шифровании можно использовать алгоритмы с открытым ключом, но при этом возникает дополнительная нагрузка, поскольку для ключей необходимы соответствующие контейнеры.
При использовании сервера MOSS 2007 и, более конкретно, подключаемого поставщика проверки подлинности SQL-сервера ASP.NET 2.0 желательно помещать узел <connectionStrings> в зашифрованном тексте, поскольку именно здесь возможны самые серьёзные нарушения безопасности:
<connectionStrings>
<add name="MembershipConnectionString"
     connectionString="connectionString"/>
</connectionStrings>
Шифрование с помощью DPAPI проще и по принципу, и в реализации, поскольку в этом случае оно осуществляется собственными средствами шифрования ключа компьютера для каталога либо на виртуальном, либо на физическом уровне. Самый быстрый путь – ввести в командной строке следующие команды (хотя имеются и другие способы программной реализации шифрования):
aspnet_regiis.exe -pe section -app MOSS_virtual_directory -prov provider

aspnet_regiis.exe -pef section MOSS_physical_directory -prov provider
Поскольку главная задача состоит в шифровании узла строк соединения, можно, задав параметр раздела, зашифровать этот раздел отдельно:
aspnet_regiis.exe -pef "connectionStrings" "C:\Inetpub\wwwroot\WssVirtual " -prov "Provider"

aspnet_regiis.exe -pe "connectionStrings" -app "/MOSSAppinstance" -prov "Provider"
После применения вместо узлов с секретной информацией появятся зашифрованные значения XML надлежащей формы:
<connectionStrings confiProtectionProvider=
"EncryptionProvider">
<EncryptedData>
<CipherData>
<CipherValue>XXXXXXXXXXXXXXXXXXXXXXXXXXXXX
</CipherValue>
<CipherData>
</EncryptedData>
</connectionStrings>
Эта модель является подключаемой, что соответствует общим свойствам архитектуры сервера MOSS. Иначе говоря, для обработки зашифрованного текста файлов конфигурации сервера MOSS, например, web.config или machine.config можно разрабатывать собственные поставщики шифрования, причём не обязательно на основе RSA или DPAPI.
Шифрование, впрочем, не обходится без последствий. Поскольку для шифрования используется ключ локального компьютера, использовать этот узел конфигурации можно только на том сервере MOSS, где он был создан, в противном случае шифрование будет невозможно. Нарушитель, получивший доступ к серверу, сможет найти ключ компьютера и расшифровать строку соединения. Процесс расшифровки в незначительной степени скажется на производительности приложения в целом.
4. Альтернативное сопоставление доступа и альтернативное сопоставление доступа по зонам весьма важны, особенно если в среде SharePoint имеется несколько точек входа. Альтернативное сопоставление доступа позволяет задать разные унифицированные указатели ресурсов (URL), через которые пользователям предоставляется доступ к одному узлу на физическом уровне (см. схему на рис. 2). Альтернативное сопоставление доступа позволяет направлять пользователей на физическом уровне на один и тот же путь к узлу MOSS, но при этом к ним будут применяться разные поставщики проверки подлинности и политики безопасности веб-приложений. К тому же, альтернативное сопоставление доступа компенсирует потери на использовании различных доменов, обратных прокси-серверов и других механизмов переадресации URL. Для указателя URL, который будет использовать сервер MOSS, сопоставление уже выполнено по умолчанию. Его можно распространить и на другие URL, которые архитектор SharePoint задаст в явном виде для целей обработки разных способов входа. Альтернативное сопоставление доступа также необходимо, чтобы обеспечить корректное сопоставление указателей URL внутренних и общедоступных ресурсов.Поставщик проверки подлинности SQL-сервера
Рассмотрим порядок подключения и запуска поставщика проверки подлинности SQL-сервера в среде ASP.NET 2.0. В поставщике используется проверка подлинности на основе форм и шифрование строк соединения в файле web.config, что вполне типично для работы сервера MOSS на периметре (в экстрасети).
Первый этап подключения поставщика для SQL-сервера – создание базы данных учётных записей пользователей в соответствующем экземпляре SQL-сервера, которую поставщик рассматриваемой службы сможет использовать как хранилище сведений о членстве. Для этого в диалоговом окне «Выполнить» или командной строке нужно ввести следующую команду:
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\aspnet_regsql
Запускается мастер SQL-сервера, с помощью которого можно настроить базу данных на хранение сведений о членстве.
Поскольку на этом этапе поставщик членства для хранения в базе данных, скорее всего, еще не настроен, следует настроить SQL-сервер на службы приложений. В этом случае на сервере будет создана новая база данных. Если же база данных имеется, можно добавить в нее необходимую информацию (если объединение базы данных соответствует корпоративным задачам целям).
Строка соединения SQL обеспечит соединение с данным экземпляром SQL-сервера, поэтому следует предписать использование в базе данных проверки подлинности SQL-сервера (см. рис. A). На этом этапе регистрационные имена пользователей и пароли будут задаваться «открытым текстом». Далее в процессе настройки станет ясно, как использовать собственные возможности шифрования в среде ASP.NET 2.0, чтобы скрыть эту информацию о частном подключении в зашифрованном тексте и не допустить её ненадлежащего использования.

Создание формы для входа
Проверка подлинности на основе форм зачастую используется на узлах, доступных извне, расположенных на периметре сети и открытых для входа пользователей через Интернет. С учетом этого, при создании набора узлов экстрасети лучше всего выбирать шаблон MOSS «Internet presence» (Создание веб-узла в Интернете). Его использование избавит от необходимости разрабатывать форму входа вручную. В ходе развития существующего узла или при желании реализовать заказную форму входа, ее совсем несложно разработать с помощью пакета Microsoft Visual Studio® 2005. При этом потребность в программировании сравнительно невелика.
>
Вначале нужно открыть каталог набора узлов на физическом уровне как веб-узел в пакете Visual Studio. Обычно путь к этому каталогу имеет примерно такой вид:
C:\Inetpub\wwwroot\wss\VirtualDirectories\<GUID>
Далее, следует добавить страницу default.aspx, поскольку это – имя документа по умолчанию в настройках виртуального сервера IIS. Для этого в обозревателе решений нужно воспользоваться командой «Добавить элемент» затем добавить орган управления «Вход» из набора элементов Visual Studio на поле вновь созданной веб-формы.
Рисунок A Настройка проверки подлинности SQL-сервера
Рисунок A Настройка проверки подлинности SQL-сервера (Щелкните изображение, чтобы уменьшить его)
Рисунок A Настройка проверки подлинности SQL-сервера
Рисунок A Настройка проверки подлинности SQL-сервера (Щелкните изображение, чтобы увеличить его)

Рисунок B Выбор поставщика проверки подлинности в окне управления приложениями (Щелкните изображение, чтобы уменьшить его)
Рисунок B Выбор поставщика проверки подлинности в окне управления приложениями
Рисунок B Выбор поставщика проверки подлинности в окне управления приложениями (Щелкните изображение, чтобы увеличить его)
На этой же странице необходимо убедиться в том, что в разделе «Поставщик членства» в качестве поставщика проверки подлинности выбран AspNetSqlMembershipProvider, а имя диспетчера ролей – AspNetSqlRoleProvider. Чтобы указать, к каким именно элементам узла должен быть разрешен анонимный доступ, следует перейти на /_layouts/setanon.aspx и либо выбрать весь узел, либо задать подходящую настройку безопасности.
Крупномасштабные изменения требуют редактирования файла web.config. Убедитесь, что элемент <authentication> (проверка подлинности) настроен на использование элемента <forms>(формы). Обычно эта настройка изменяется автоматически при переключении с проверки подлинности средствами Windows на проверку на основе форм. Это – важная составляющая процесса входа, поскольку при этом передаются данные о билете проверки подлинности пользователя, что, в свою очередь, необходимо для проверки учётных данных пользователя средствами ASP.NET 2.0 после обратной передачи страницы. Однако в файле web.config по-прежнему нет информации о соединении SQL-сервера с хранилищем данных пользователя, осуществлявшего настройки. Поэтому, чтобы обеспечить соединение с базой данных сведений о членстве, необходимо добавить строку соединения:
<connectionStrings>
<remove name="LocalSqlServer" />
<add name="LocalSqlServer" connectionString="Server=SQLserver;
Database=aspnetdb;uid=username;
pwd=password;" providerName="System.Data.SqlClient" />
</connectionStrings>
Аналогичные изменения следует внести в файл web.config центральной администрации, чтобы обеспечить согласование типов проверки подлинности и разрешение PeoplePickerWildCard в AspNetSqlMembershipProvider. Благодаря этому органы управления поиском обеспечат корректность пути поиска при добавлении новых пользователей.
Поскольку изменения вносятся в текущие XML-файлы, от сервера MOSS поступит запрос на возврат IIS в исходное состояние. После того, как выполнено соединение с базой данных SQL-сервера, можно просматривать веб-узел. Однако при этом не будет возможности управлять содержимым, поскольку владельцы не заданы. В окне элемента веб-администрирования (WAT) следует перейти на вкладку «Безопасность», добавить пользователя, а затем назначить его администратором набора узлов. Для этого нужно перейти на управление узлами SharePoint и добавить соответствующего пользователя в меню «Администраторы наборов узлов». Важно не допустить ошибки в имени, поскольку ранее уже были внесены изменения в узел «peoplepicker» в файле web.config.
Наконец, нужно зашифровать строки соединения с помощью DPAPI, для чего следует открыть диалог «Выполнить» и выполнить следующие действия:
aspnet_regiis.exe -pef "connectionStrings"
"C:\Inetpub\wwwroot\WssVirtual\<GUID> "
£prov "DataProtectionConfigurationProvider"
После успешного завершения указанных действий на экран будет выведено окно соответствующего подтверждения.

Рисунок 2 Сопоставление указателей URL и зоны
Рисунок 2 Сопоставление указателей URL и зоны (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Сопоставление указателей URL и зоны
Рисунок 2 Сопоставление указателей URL и зоны (Щелкните изображение, чтобы увеличить его)
Зонирование – это новая возможность сервера MOSS, благодаря которой сопоставление узлов, осуществляемое компонентами альтернативного сопоставления доступа, становится более управляемым. Зонирование позволяет сопоставлять несколько поставщиков проверки подлинности с одним и тем же физическим путём и содержимым сервера MOSS в зависимости от того, как выполнено альтернативное сопоставление доступа для указателей URL ресурсов, через которые пользователи подключаются к содержимому. При описании сопоставления URL в режиме альтернативного сопоставления доступа привязывать зоны к механизмам проверки подлинности не обязательно, но желательно. Если в режиме альтернативного сопоставления доступа URL сопоставляется с зоной, не заданной на странице поставщиков проверки подлинности, будут использоваться настройки безопасности зоны по умолчанию.
Зонирование следует планировать заранее, поскольку оно сильно сказывается на порядке проверки подлинности и маршрутизации через портал с различных URL точек входа пользователей. При расширении очередного веб-приложения можно задать желаемую зону в разделе настроек «Балансировка нагрузки URL» (см. рис. 3). Рекомендуется поместить URL ресурса, наиболее посещаемого сторонними пользователями (например, URL, который будет выставлен в Интернете), в зону по умолчанию, так как именно он будет использоваться SharePoint, когда невозможно точно определить требуемую зону.
Рісунок 3 Настройка зон на сервере MOSS
Рісунок 3 Настройка зон на сервере MOSS (Щелкните изображение, чтобы уменьшить его)
Рісунок 3 Настройка зон на сервере MOSS
Рісунок 3 Настройка зон на сервере MOSS (Щелкните изображение, чтобы увеличить его)
К каждой зоне можно привязать глобальную политику безопасности для веб-приложений, на основании которой будут определяться параметры разрешений для пользователей в этой зоне. Это позволяет организовать централизованное управление крупномасштабными изменениями разрешений. В веб-приложениях узлы зачастую объединяются в наборы, и если приложения громоздки и сложны, управление разрешениями на этих узлах может оказаться очень непростым. Применение сервера MOSS 2007 даёт возможность определять глобальные политики безопасности, на основе которых такие параметры безопасности, как полный доступ, полный доступ для чтения, доступ с запретом записи или полный запрет доступа, привязываются в приложении к конкретным пользователям или группам. Планировать настройку нужно очень тщательно, потому что глобальные политики могут иметь большую силу, чем детализированные политики, заданные на сервере MOSS, управление которыми осуществляется через интерфейс центральной администрации SharePoint.
В конечном счёте, узел, доступный извне, будет иметь два указателя URL, определённые настройкой АСД: один – для входа корпоративных пользователей, второй – сторонних. Эти URL будут различаться, например, «contoso» для собственных пользователей, «extranet.contoso.com» – для доверенных партнёров. И хотя с обоими указателями URL сопоставлено одно и то же содержимое, пользователь из каждой из групп получает доступ к узлу через свою зону, а его подлинность проверяет «приписанный» к этой зоне поставщик на основе соответствующей политики безопасности приложения. Настройка зоны интрасети на внутреннем URL обеспечивает разрешение учётных записей внутренних пользователей средствами Windows на основе проверки подлинности по доменам. В то же время для партнёров осуществляется единый вход через веб-интерфейс в зону экстрасети, что позволяет им пользоваться учётными записями пользователей своих компаний. Привязка политик безопасности веб-приложений к зонам даёт значительный полезный эффект, так как позволяет предоставлять всем доверенным сторонним пользователям полный доступ для чтения, не прибегая к пообъектной настройке вручную.
5. Целевое содержимое для безопасной совместной работы Фиксация наборов узлов на сервере SharePoint означает, что пользователи будут работать только с информацией, доступ к которой им разрешен. Новые адаптивные механизмы защиты позволяют лучше управлять информацией различных типов, хранящейся в среде MOSS.
При использовании сервера MOSS 2007 можно привязать учетную запись к конкретному объекту – набору узлов, отдельному узлу, библиотеке документов, подкаталогу, списку, даже отдельному документу или позиции списка. Это позволяет детализировать управление доступом и организовать членство в явном виде на уровне объекта, так что пользователь, которому запрещён доступ, не узнает о самом существовании объекта, потому что в его интерфейс также будут внесены изменения. Эта функция сервера MOSS называется «безопасность на уровне элемента» или «защищённые объекты». Разрешения на доступ к объектам MOSS могут быть организованы иерархически, т.е. заданы на разных уровнях – от дробных объектов, например элементов списка, до более крупных, например, списка или библиотеки документов. Имеется возможность реализации наследования разрешений, так что дочерним объектам более низких уровней можно разрешить наследовать разрешения от родительских объектов более высокого уровня. Пользователь или группа пользователей служб SharePoint могут получать один из 33 типовых разрешений, каждое из которых можно привязать к объекту. Можно создавать и новые разрешения.
Например, на узле управления проектом доступ к таким важным материалам по разработке, как техническое задание на проект и описание приёмов проектирования, выполненные в текстовом редакторе Microsoft Word и хранящиеся в библиотеке документов, можно разрешить только разработчикам и руководителям проекта. По умолчанию библиотека наследует распределение разрешений от узла. Однако его можно изменить так, чтобы разрешить доступ только разработчикам и руководителям проекта, или даже так, что любой документ в текстовом редакторе Word увидят и получат к нему доступ только руководитель и коллектив разработчиков соответствующего проекта. Несекретные материалы – отдельные позиции, папки или всю библиотеки документов – можно выложить в открытый доступ.
Разрешения можно распространить и на события, например дату завершения проекта в списке «События», так что отдельные события смогут увидеть только некоторые члены групп. Более того, функции безопасности на уровне элемента могут обрабатывать и результаты поиска, т.е. лицо, осуществляющее поиск, получит лишь те объекты, которые соответствуют его параметрам в системе безопасности. В результате такого управления интерфейс пользователя будет усечён в соответствии с разрешениями данного конкретного пользователя.
При разработке сервера MOSS 2007 архитектура управления разрешениями была значительно улучшена. Разрешения можно задавать и для групп SharePoint, и для групп доменов, и на индивидуальном уровне. Несколько групп создаются по умолчанию при установке, а именно, «владельцы» (которым предоставляются все возможности управления), «посетители» (с правом создания содержимого) и «члены» (с правом чтения). Отдельные пользователи и группы доменов можно относить к указанным группам по умолчанию или к заказным группам, которые создают и которыми управляют на уровне набора узлов. Каждая из таких групп может иметь свой уровень разрешений.
При создании групп на основе ролей можно создать группы «разработчики» и «руководители проектов». Затем можно на более детальном уровне описать разрешения, например, разработчиков – на загрузку на сервер программной документации, а руководителей проектов – на чтение и утверждение, что позволит им оценивать и утверждать эту документацию. Членство в группе распространяется на весь набор узлов, так что единожды созданные группы можно использовать многократно на узлах разных проектов.
6. Интеграция подключаемой системы единого входа В типичной вычислительной системе пользователю может быть предоставлен доступ к любому количеству приложений сторонних производителей, каждое из которых использует свои критерии проверки подлинности. Это приводит к нарушениям безопасности и создаёт трудности с запоминанием большого количества паролей. Служба единого входа сервера MOSS позволяет устранить эти недостатки за счёт хранения в кэше серверной части в зашифрованном виде учетных записей пользователей для сопоставления со связанными системами обеспечения основной деятельности. Это также способствует поиску важной для основной деятельности информации с целью её отображения, когда для этого задействуются такие механизмы MOSS, как каталог данных предприятия (англ. BDC, Business Data Catalog) или веб-части представления данных SharePoint (англ. DVWP, DataView Web Parts).
Поставщик единого входа сервера MOSS является подключаемым, как и ряд других рассмотренных выше компонентов. Помимо комплектного поставщика единого входа сервера MOSS (SpsSsoProvider), можно задать и другой, однако пока вычислительная среда позволяет регистрировать одновременно не более одного такого поставщика на систему для одной сферы деятельности.
7. Управление правами на доступ к данным Как защитить деловую информацию на уровне клиента даже в тех случаях, когда с ней работают в автономном режиме? Этим озабочены в компаниях, где работают с секретными данными или сведениями личного характера, особенно если на деятельность компании распространяются такие законы, как законопроект № 1386 Сената штата Калифорния, закон Сарбейнса-Оксли, закон о переносимости данных и отчётности при страховании здоровья (HIPAA). Служба управления правами на доступ данных на стороне сервера объединена с хранилищами MOSS в единый комплекс на основе структуры управления правами Windows. Служба управления правами на доступ к данным позволяет обеспечить надёжное управление данными предприятия, поскольку ограничения доступа действуют на уровне документа независимо от того, где документ хранится или кто пытается его открыть. Реализация службы управления правами на доступ к данным как общей даёт возможность разрешать только санкционированный просмотр и печать. Более того, можно, к примеру, потребовать проверки учётной записи пользователя по истечении определенного времени, запретить пользователям передавать в вышестоящую сеть средства, не предполагающие использования управления правами на доступ данных, установить метку плановой отмены ограничивающей политики, осуществить привязку к политике разрешения глобальной корпоративной службы управления правами на доступ к данным.
Службу управления правами на доступ к данным осуществляет защитник. Несколько таких защитников устанавливаются совместно с сервером MOSS 2007. Защитник – это компонент, управляющий процессом шифрования файла; обычно для всех файлов, которые могут храниться на сервере MOSS, уже имеются защитники (шифрование системных файлов пакета Microsoft Office и файлов в формате OpenXML обеспечивается собственными средствами). Защитники, как и другие поставщики на сервере MOSS, имеют архитектуру подключаемых приложений. Это позволяет реализовать заказные защитники для файлов других типов.
Первый этап реализации службы управления правами на доступ к данным состоит в том, чтобы убедиться, что среда MOSS отвечает всем требованиям. Клиент служб управления правами Windows должен быть установлен на каждом веб-сервере MOSS переднего плана, а службы Microsoft Rights Management Services (RMS) должны иметь связь с веб-серверами MOSS переднего плана. Затем нужно задать RMS-сервер – по умолчанию в Active Directory или явно указав его местонахождение. Сервер MOSS будет обращаться к нему через центральную администрацию SharePoint.
В процессе сопровождения разрешений служба управления правами на доступ к данным непосредственно взаимодействует с такими структурами хранения данных сервера SharePoint, как библиотеки документов. Когда пользователь переходит к библиотеке документов, на которую распространяется действие указанной службы, и пытается загрузить документ, сервер MOSS привязывает к этому документу разрешения, заданные для библиотеки (см. рис. 4). В результате между MOSS и документом устанавливается взаимно однозначное сопоставление разрешений, так что роли, привязанные в SharePoint к документу, преобразуются в уровни разрешений службы управления правами на доступ к данным самого документа.
Рисунок 4 Перенос разрешений службы управления правами на доступ к данным из библиотеки документов
Рисунок 4 Перенос разрешений службы управления правами на доступ к данным из библиотеки документов (Щелкните изображение, чтобы уменьшить его)
Рисунок 4 Перенос разрешений службы управления правами на доступ к данным из библиотеки документов
Рисунок 4 Перенос разрешений службы управления правами на доступ к данным из библиотеки документов (Щелкните изображение, чтобы увеличить его)
С целью обеспечения защиты при работе в автономном режиме, документ шифруется локально и остаётся зашифрованным до возвращения в библиотеку. После возвращения в вышестоящую систему документ хранится в незашифрованном виде. Благодаря этому сборщик данных SharePoint может проиндексировать его содержимое для полнотекстового поиска (однако доступ к незашифрованному содержимому не разрешён никому из пользователей).
Сервер MOSS 2007 обладает рядом новых компонентов, благодаря которым в компании можно внедрить действенные меры безопасности без излишних непроизводительных затрат на управление. Дополнительный полезный эффект с точки зрения обеспечения доступа пользователей к необходимой информации даёт то, что эти компоненты отличаются высокой приспособляемостью и широкими возможностями адаптации. См. простой пример на врезке «Поставщик проверки подлинности SQL-сервера».

Адам Роберт Буэнз (Аdam Robert Buenz) – специалист по архитектуре и разработчик SharePoint фирмы «Эй-ар-би Секьюрити солюшнз» (ARB Security Solutions LLC) (sharepointsecurity.com). Его специализация – среда совместной работы с повышенными требованиями к безопасности Электронный адрес: adam@sharepointsecurity.com.


 Сервер SharePoint: Поиск при помощи системы Enterprise Search сервера SharePoint
Сервер SharePoint Мэтт Хестер (Matt Hester)

Поиск при помощи системы Enterprise Search сервера SharePoint
Краткий обзор:
  • Архитектура системы поиска
  • Индексирование коммерческой информации и запросы
  • Бизнес-данные и знания

Вероятно, вы провели немало времени в заботах об обеспечении надежности и доступности сервера, обновлении программного обеспечения и безопасности. Но даже если вся инфраструктура работает замечательно £ каждое приложение и
файл доступны по сети, пользователи могут продолжать испытывать трудности. Да, все необходимые данные доступны, но сколько времени уходит на их поиск?
Чтобы помочь персоналу справляться с информационными перегрузками, было сделано довольно много. Средства панели поиска упростили поиск фрагментов информации, затерявшихся в остальных хранящихся в системе данных. (См. мою статью в августовском номере 2006 года «Find Anything with Windows Desktop Search», на английском языке). Но что делать с данными, доступными на порталах, хранящимися на общих ресурсах, используемыми в бизнес-приложениях, не говоря уже о ценной информации, хранящейся в головах сотрудников? Эта информация жизненно важна для пользователей £ она необходима им, чтобы выполнять свою работу, а быстрый доступ к ней способствует выработке своевременных и точных бизнес-решений. Подумайте, сколько времени занимает у пользователей поиск и сбор данных, разбросанных по сети. А теперь оцените, какое влияние это может иметь на итоговые показатели предприятия.
Необходимо сократить время, которое пользователи тратят на поиск данных по всей инфраструктуре предприятия. Как это сделать? Ответ прост £ использовать поисковую систему, предоставляющую возможности поиска по всей корпоративной инфраструктуре.
Корпоративная поисковая система может найти практически любую хранящуюся в организации информацию. Ищете ли вы информацию, хранящуюся на рабочем столе, спрятанную на узле интрасети, зафиксированную в бизнес-приложении или находящуюся в головах сотрудников £ корпоративная поисковая система поможет. (Не беспокойтесь, вживлять микросхемы в мозги пользователям не нужно.)
Корпоративная поисковая система сочетает локальный поиск и возможности быстрого поиска в интрасети. Разумеется, корпоративная поисковая система должна иметь возможность федеративного поиска, обеспечивающего доступ к нескольким источникам данных при помощи единого запроса. У пользователя есть единый интерфейс для ввода запроса. Корпоративный поиск самостоятельно направляет запрос нескольким поисковым системам, а затем отображает обобщенные результаты поиска.
В этой статье мы обсудим, как мощная поисковая система, предоставляемая сервером Microsoft® Office SharePoint® Server 2007 (MOSS 2007), следующим поколением решений Microsoft SharePoint, поможет организации справиться с огромным объемом информации. Сервер MOSS 2007 предлагает многочисленные улучшения по сравнению с предыдущими версиями, полностью переработанные компоненты и некоторые совершенно новые возможности. Мы обсудим некоторые из этих ключевых компонентов, такие как индексирование, распространение, релевантность и источники содержимого, и то, как они помогают предоставить пользователям лучшую корпоративную поисковую систему.

Корпоративный поиск при помощи SharePoint
Корпоративный поиск доступен в четырех версиях со следующими основными отличиями: Серверы Microsoft Office SharePoint Server 2007 for Search Standard Edition, Microsoft Office SharePoint Server 2007 for Search Enterprise Edition, Microsoft Office SharePoint Server 2007 Standard и Microsoft Office SharePoint Server 2007 Enterprise.
Основная разница между двумя версиями Search Edition и полными версиями SharePoint Server состоит в том, что первые не содержат функциональности People Search (которая также включает интеграцию со службой Knowledge Network для MOSS 2007), средства Business Data Catalog и средства Search Center с настраиваемыми вкладками. Важнейшие отличия показаны на рис. 1.
Figure 1 Основные различия четырех версий системы поиска (Close Figure 1)

 | Microsoft Office SharePoint Server 2007 for Search Standard Edition | Microsoft Office SharePoint Server 2007 for Search Enterprise Edition | Microsoft Office SharePoint Server 2007 Standard Edition | Microsoft Office SharePoint Server 2007 Enterprise Edition
Индексы | 40 типов файлов изначально, плюс расширение | 40 типов файлов изначально, плюс расширение | 40 типов файлов изначально, плюс расширение | 40 типов файлов изначально, плюс расширение
Поддержка поиска на сетевых ресурсах, веб-узлах, узлах SharePoint, в папках Exchange Public Folders, файлах баз данных Notes (изначально) |  |  |  |
Поддержка поиска в репозиториях документов сторонних производителей |  |  |  |
Поддержка поиска людей и знаний |  |  |  |
Поддержка поиска в структурированных источниках данных |  |  |  |
Обеспечение защищенного управления доступом к содержимому |  |  |  |
Поддержка усовершенствованного пользовательского интерфейса Search Center |  |  |  |
Ограничения | 400 000 документов | Нет ограничений | Нет ограничений | Нет ограничений
Пользовательский интерфейс содержит многочисленные новые возможности, включая функцию «Возможно, вы имели в виду...» Как и в поисковых системах сети Интернет, система проинформирует вас о возможной ошибке при вводе популярного термина (см. рис. 2). Кроме того, интерфейс включает выделение совпадений и полную поддержку наиболее подходящих результатов.Но это ещё далеко не все новые возможности поиска.
Рисунок 2 Новая функциональность «Возможно, вы имели в виду...» поиска SharePoint
Рисунок 2 Новая функциональность «Возможно, вы имели в виду...» поиска SharePoint (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Новая функциональность «Возможно, вы имели в виду...» поиска SharePoint
Рисунок 2 Новая функциональность «Возможно, вы имели в виду...» поиска SharePoint (Щелкните изображение, чтобы увеличить его)

Поиск знаний
Одно из наиболее интересных предложений £ возможность находить людей, обладающих определенными знаниями и опытом. Это позволяет пользователям общаться и увеличивать общий объем знаний работников организации £ важный шаг в разрушении барьеров.
Для реализации этого предложения индексирование и поиск должны проводиться по любому каталогу LDAP, включая списки рассылки службы Active Directory® и группы пользователей SharePoint. В действительности, сервер MOSS не ищет непосредственно в каталогах LDAP, и для поиска людей информация каталогов LDAP должна быть импортирована на сервер MOSS. (Поиск может производиться по всей корпоративной инфраструктуре).
Результаты поиска могут быть группированы по «социальной дистанции» индивидуума £ расстоянию между должностями пользователей (ассистент менеджера по продажам вряд ли захочет позвонить финансовому директору) £ и общности интересов. На рис. 3 показаны результаты поиска людей.
Рисунок 3 Поиск коллег с соответствующими знаниями
Рисунок 3 Поиск коллег с соответствующими знаниями (Щелкните изображение, чтобы уменьшить его)
Рисунок 3 Поиск коллег с соответствующими знаниями
Рисунок 3 Поиск коллег с соответствующими знаниями (Щелкните изображение, чтобы увеличить его)

Поиск бизнес-данных
Сервер SharePoint может индексировать различные типы бизнес-данных. Например, информацию бизнес-приложений (таких как HR-приложения, CRM, отчеты о расходах и прочие). Обычно доступ к таким данным в обход обычного интерфейса бизнес-приложения затруднен, что вызывает у большинства сотрудников трудности в их поиске и использовании.
Но теперь поиск сервера MOSS может извлекать данные практически любого бизнес-приложения, такого как реляционная база данных или база данных Lotus Notes, доступ к которым возможен посредством интерфейса ADO.NET или веб-служб. Важно то, что для осуществления этого не требуется писать дополнительный код. С помощью функции Business Data Catalog получить такого рода данные так же просто, как открыть документ или веб-узел. Функция Business Data Catalog может легко быть интегрирована с управлением свойствами и настраиваемыми областями, используемыми в системе Search Center.

Релевантность результатов
Конечно, от любых новых функций мало пользы, если они не дают точных результатов. К счастью, сервер MOSS обеспечивает существенное улучшение релевантности. Перед тем, как мы обсудим эти усовершенствования, нужно понять, чем релевантность при корпоративном поиске отличается от релевантности поиска в сети Интернет.
Возможно вы подумаете, почему для поиска в интрасети нельзя использовать те же средства, что и для поиска в сети Интернет, получая при этом такую же точность. Дело в том, что это два существенно различных окружения, с различными нуждами и требованиями. Их отличия могут быть сгруппированы по трем основным категориям: безопасность, структура и иерархия.
Вопрос безопасности связан с простым устройством сети Интернет по сравнению с корпоративными сетями. К данным в сети Интернет обычно возможен анонимный доступ, индексирование и поиск не требуют обеспечения проверки подлинности или настройки системы безопасности. В то же время, корпоративное окружение должно строго соответствовать модели безопасности, включая фильтрацию результатов для сотрудника, ведущего поиск, в соответствие с его разрешениями.
Вопрос структуры обусловлен плотностью данных. Сеть Интернет богата и разветвлена, а её узлы связаны ссылками для пополнения содержимого. В корпоративной сети ссылки используются преимущественно для навигации, и общая структура не так плотна.
Вопрос иерархии отчасти связан с предыдущим вопросом. В сети Интернет обычно не наблюдается иерархической структуры узлов, или она мало представлена. Корпоративные сети же обычно планируются и обладают иерархической структурой. Даже если предприятие имеет много основных уровней, обычно в организации существует один главный портал.
Эти фундаментальные отличия обуславливают способы, при помощи которых корпоративная поисковая система индексирует данные и возвращает результаты поиска. Сервер MOSS 2007 предназначен для наилучшего удовлетворения различных потребностей предприятия. Он обладает новой системой оценок, основанной на существующих технологиях, объединенных с разработками исследовательского центра Microsoft Research и группы MSN®. Релевантность была повышена путем создания линейки алгоритмов, собирающих внутреннюю и внешнюю информацию о документах и данных бизнес-приложений, по которым выполняется обход содержимого. При индексировании корпоративной информации анализируется более 200 типов документов, к которым применяются алгоритмы распознавания языка, извлечения метаданных, и анализа текста. Новые алгоритмы, специально настроенные на специфику корпоративной информации и бизнес-приложений, существенно повышают точность результатов.
В расчетах релевантности используются некоторые теги метаданных. Ниже приведены некоторые учитываемые данные.
  • Удаленность Удаленность от официальных узлов при обзоре (чем меньше, тем выше релевантность).
  • Текст привязки Гиперссылки рассматриваются как аннотация к их назначению. При этом они становятся более осмысленными.
  • Глубина URL-адресов URL-адреса, высшие по иерархии, рассматриваются как более релевантные.
  • Совпадения в URL-адресах Учитываются непосредственные совпадения в URL-адресах.
  • Извлечение метаданных Если в документе отсутствуют заголовки и данные об авторах, они автоматически извлекаются из метаданных.
  • Автоматическое распознавание языка Помогает создать предпочтения для найденных результатов на языке пользователя.
  • Учёт типа файла Определённые типы файлов рассматриваются как более релевантные (например, PPT-файлы часто более релевантны, чем XLS-файлы).
  • Анализ текста Традиционные оценки текста, основывающиеся на совпадении и частоте появления в тексте терминов и вариантах слов.

Как работает индексирование?
Сервер MOSS 2007 содержит существенные улучшения способов работы служб индексирования и управления содержимым. Прежде всего, можно задать источники содержимого £ серверы SharePoint, веб-узлы, сетевые ресурсы, папки Exchange Public Folders, базы данных Lotus Notes или бизнес-приложения. В целом, процедуры администрирования системой индексирования были упрощены, что позволяет легко выбирать, что, как и когда индексировать в существующем многообразии источников данных. Это реализовано путем поддержки правил обхода содержимого, позволяющих включать и исключать конкретные пути к источникам данных. Можно даже настроить то, как поисковый агент следует ссылкам по данному URL-адресу. Встроенный журнал обеспечивает подробный просмотр обработанных узлов и информацию о том, как они были проиндексированы.
Технология индексирования аналогична используемой в системе Windows® Desktop Search. Индекс состоит из двух главных компонентов: индекса содержимого и хранилища свойств. Это исключительно эффективный способ обработки данных. Индекс содержимого включает сам текст, содержащийся в файлах, а также соответствующий обратный индекс слов корпоративного индекса. База данных хранилища свойств является определяющей для обработки результатов. База данных свойств содержит все дополнительные метаданные (автор, дата создания, тип документа и так далее) всех документов хранилища. С точки зрения структуры, хранилище свойств представляет собой таблицу свойств и их значений. Каждый ряд таблицы соответствует отдельному документу в полнотекстовом индексе. Хранилище свойств также обеспечивает и поддерживает для каждого документа политику безопасности, назначаемую при его индексации.
Процесс индексирования и хранения запускается системой индексирования, которая ответственна за обход содержимого источника. Система начинает обход содержимого сразу после подключения соответствующего обработчика протокола, позволяющего чтение источников данных. После загрузки соответствующего обработчика протокола чтения исходных данных при помощи необходимых фильтров IFilters извлекаются и фильтруются элементы источников. Фильтр IFilter является надстройкой, позволяющей поисковой системе открывать, читать и индексировать содержимое новых типов файлов, доступ к которым в противном случае был бы ограничен. Фильтр IFilter извлекает текст и метаданные из каждого документа и передает их поток в систему индексирования.
Свойства документов при этом попадают в хранилище свойств, а текст документа помещается в индекс содержимого. Однако перед тем, как это произойдет, система индексирования удаляет «словесный шум». При обработке система использует также средства разбиения на слова и данные морфологического анализа для упорядочивания данных, что способствует лучшей обработке запросов. (Разбиение на слова применяется для разделения на слова и фразы. Данные морфологического анализа используются для порождения словоформ).
В системе индексирования используется непрерывное распространение, что позволяет строить индекс практически мгновенно. В случае непрерывного распространения, построение индекса продолжается даже пока процесс обхода распространяется по источникам содержимого. Это усовершенствование позволяет получать результаты почти мгновенно, что является существенным улучшением по сравнению с системой SharePoint Portal Server 2003, в которой обход больших источников содержимого мог занять дни, а распространение индекса выполнялось только по завершении процесса обхода.

Как работают запросы?
Когда пользователь посылает запрос или некое приложение вызывает индекс, обработчик запросов начинает обработку. Сначала запрос передается средству разбиения на слова, выбранному для конкретного языка. Если язык не может быть определен, используется нейтральное средство. После разбиения запроса на слова, обработчик передает информацию в морфологический анализатор (если он включен) для дальнейшего разбора. Такой двухступенчатый процесс улучшает релевантность и эффективность результатов, возвращаемых запросом.
Если запрос содержит информацию о свойствах, индекс содержимого сначала проверяется на совпадения с документами в хранилище свойств, а затем свойства из запроса снова проверяются на предмет совпадений. Обработчик запросов содержит дополнительный уровень фильтрации, удаляющий результаты, к которым пользователь не должен иметь доступа. Остальные результаты возвращаются в списке, отсортированном по релевантности. На рис. 4 показано, как совмещаются все компоненты системы индексирования и обработчика запросов.
Рисунок 4 Архитектура окружения MOSS 2007 Enterprise Search
Рисунок 4 Архитектура окружения MOSS 2007 Enterprise Search (Щелкните изображение, чтобы уменьшить его)
Рисунок 4 Архитектура окружения MOSS 2007 Enterprise Search
Рисунок 4 Архитектура окружения MOSS 2007 Enterprise Search (Щелкните изображение, чтобы увеличить его)

Улучшенное управление
Администраторы отметят, что управлять средой поиска стало проще. Усовершенствованный набор инструментов для конечных пользователей и администраторов поможет уменьшить сложности, вызванные разными точками подключения к платформе. Новая модель управления, применяемая в серверах MOSS 2007, значительно улучшает работу поисковой системы. (На рис. 5 показана главная страница, используемая для изменения параметров поиска).
Рисунок 5 Настройка параметров поиска
Рисунок 5 Настройка параметров поиска (Щелкните изображение, чтобы уменьшить его)
Рисунок 5 Настройка параметров поиска
Рисунок 5 Настройка параметров поиска (Щелкните изображение, чтобы увеличить его)
Поддержка областей, позволяющих управлять различными возможностями поиска, также была улучшена. Области дают возможность легко выполнять поиск в источнике содержимого, позволяя управлять индексами в более мелких блоках. В системе SharePoint Portal Server 2003 области привязаны к источнику содержимого, что снижает гибкость и затрудняет управление. В системе MOSS 2007 области отделены от источников содержимого, предлагая большую степень гибкости. Можно задать области, основываясь на произвольных свойствах содержимого, таких как URL-адрес, тип или автор. Можно даже сочетать области для получения нескольких правил, например все технические документы, написанные одним автором.
Конечно, если администратор хочет увеличить производительность поисковой системы, одной из самых важных вещей должно стать понимание того, как в данный момент используется индекс. Одним из лучших дополнений к набору средств администрирования является средство генерации статистики запросов. Обеспечиваемая этим средством функциональность позволяет быстро находить информацию по объемам запросов, популярным запросам, показателям перехода по ссылкам, запросам с нулевыми результатами и так далее. Генератор статистики запросов может предоставлять подробную информацию как на уровне узла, так и на уровнях основного поставщика услуг. На рис. 6 показан пробный отчет. Можно экспортировать данные в Microsoft Excel® для дальнейшего анализа и чтобы «покрутить» данные.
Рисунок 6 Отчет о запросах в системе MOSS 2007
Рисунок 6 Отчет о запросах в системе MOSS 2007 (Щелкните изображение, чтобы уменьшить его)
Рисунок 6 Отчет о запросах в системе MOSS 2007
Рисунок 6 Отчет о запросах в системе MOSS 2007 (Щелкните изображение, чтобы увеличить его)

Безопасность и привилегии
Как уже упоминалось ранее, обработчик запросов отфильтровывает результаты, и список, который видит пользователь, содержит только те документы, доступ к которым ему разрешен. (В системе SharePoint Portal Server 2003 пользователю могли выдаваться ссылки, следовать которым он не мог ввиду отсутствия разрешений). Одно пояснение, касающееся настроек безопасности £ сервер MOSS 2007 не ограничивает доступ к веб-узлам. Доступ к веб-узлам не ограничивается из-за того, что протокол HTTP не дает возможности читать дополнительную информацию о контроле доступа. Кроме того, система MOSS 2007 не позволяет ограничить из соображений безопасности доступ к службам Business Data Catalog и поиску людей.
Система MOSS 2007 соблюдает существующие списки управления доступом (ACL), гарантируя безопасность документов в индексе. Это £ основное отличие от многих других средств поиска. В отличие от некоторых поисковых систем, требующих использования файлов настройки для ручной установки разрешений, система MOSS 2007 позволяет использовать текущие разрешения.
Индекс способен быстро отражать изменения списка управления доступом конкретного документа. Скажем, у хранящейся в индексе электронной таблицы Excel список управления доступом изменился и стал ограничивающим. Администратор может выполнить обход содержимого и индексирование только для этого конкретного документа, и ограничения доступа мгновенно вступят в силу (и, если нужно, документ может быть вообще убран из индекса).
Более того, отдельным документам могут быть назначены индивидуальные разрешения, или же установлено наследование параметров разрешений библиотеки документов или родительского каталога. Это значительно упрощает процесс выбора групп или отдельных лиц, которым разрешено просматривать, редактировать и сохранять документы.
Кроме того, были усовершенствованы проверка подлинности и управление входом в систему. Защищенный кэш учетных данных выполнен расширяемым, что позволяет серверу MOSS принимать учетные данные сторонних систем единого входа и использовать созданные пользователями надстройки. Кроме того, система проверки подлинности может взаимодействовать со сторонними системами. Эти усовершенствования основаны на новой модели доступа ASP.NET, позволяющей использование служб других каталогов.

Настройка
Система MOSS 2007 содержит много возможностей видоизменения интерфейса пользователя. Он может быть модифицирован многочисленными средствами, уже используемыми для видоизменения веб-узлов. Появились и новые инструменты, такие как средство Office SharePoint Designer, позволяющее создавать страницы Master Pages (простой способ создать достойный веб-узел). На рис. 7 показана редактируемая страница результатов поиска.
Рисунок 7 Настройка вида страницы результатов поиска
Рисунок 7 Настройка вида страницы результатов поиска (Щелкните изображение, чтобы уменьшить его)
Рисунок 7 Настройка вида страницы результатов поиска
Рисунок 7 Настройка вида страницы результатов поиска (Щелкните изображение, чтобы увеличить его)
Изначально интерфейс MOSS 2007 содержит две вкладки поиска Search Center: Все узлы (All Sites ) и Люди (People). Можно легко добавить дополнительные вкладки, отражающие различные типы информации, которую пользователи ищут чаще всего. Например, можно обеспечить прямой вход в корпоративные приложения, базы данных или даже службы каталогов. Можно даже связать эти вкладки с областями. Это удобно при создании вкладок контекстного поиска по конкретному содержимому. Обратите внимание, что в версиях только для поиска такая настройка вкладок поиска не поддерживается.

Заключение
Как видно, система MOSS 2007 предлагает несколько впечатляющих усовершенствований функциональности корпоративного поиска, способствующих более эффективной работе пользователей. За более подробной информацией обращайтесь по адресу Microsoft Office SharePoint Server TechCenter(на английском языке).

Мэтт Хестер (Matt Hester) - презентатор TechNet в группе Microsoft Across America. Чтобы увидеть его выступления, посетите узел www.technetevents.com/mhester (на английском языке). Ознакомьтесь с его блогом blogs.technet.com/matthewms (на английском языке).


 Службы SharePoint: Мощные средства командной строки для администрирования служб SharePoint
Службы SharePoint Тодд Клиндт (Todd Klindt)

Мощные средства командной строки для администрирования служб SharePoint
Краткий обзор:
  • Настройка сервера SharePoint при помощи STSADM
  • Автоматизация повседневных задач администрирования с помощью сценариев
  • Выполнение сложных задач с помощью STSADM

Посмотрите, как люди работают с Windows или Microsoft Office. Некоторые пользователи для выполнения типовых задач активно используют мышь, передвигая курсор по меню и панелям инструментов. Другим удобнее
работать с клавиатурой, быстро нажимая клавиши или их сочетания. Почти всегда есть несколько путей решения любой задачи.
Действительно, графический интерфейс легок в использовании, равно как и утомителен при выполнении задач, требующих повторного выполнения одних и тех же действий. Некоторые действия проще выполнять с клавиатуры. Если вы занимаетесь администрированием сервера SharePoint®, то вам, вероятно, приходилось мучиться с графическим интерфейсом. Но в SharePoint есть более удобный способ для выполнения таких задач.
Основным интерфейсом управления службами Windows® SharePoint Services (WSS) и сервером Microsoft® Office SharePoint Server 2007 (MOSS) является интерфейс SharePoint Central Administration (на основе графического интерфейса). Но для решения более сложных задач администрирования в сервере SharePoint предусмотрено также и средство управления с помощью командной строки. Это средство, STSADM.exe, обеспечивает выполнение всех функций интерфейса SharePoint Central Administration с присущей командной строке гибкостью, о которой мечтают многие администраторы. В данной статье я проведу ускоренный курс использования средства STSADM для администрирования служб WSS и сервера MOSS. А также дам некоторые советы по настройке среды и опишу некоторые простые команды средства STSADM. Я покажу и более сложные команды средства STSADM, использование которых позволят вам выглядеть героем, если когда-нибудь в этих командах возникнет необходимость.

Начало работы
Если вы пока не сталкивались с средством STSADM, то это потому, что он как-то очень глубоко упрятан. В Windows SharePoint Services версии 2.0 он по умолчанию находится в папке c:\program files\common files\microsoft shared\web server extensions\60\bin. В версии 3.0 он по умолчанию находится в папке c:\program files\common files\microsoft shared\web server extensions\12\bin.
Для облегчения доступа к этому средству я использую два различных способа. Во-первых, я просто добавляю этот каталог в переменную среды PATH. Таким способом я могу использовать инструмент STSADM из любого места файловой системы. Однако это не всегда удобно. Второй способ £ создать ярлык для CMD.EXE и указать папку, где находится средство STSADM, в качестве рабочей. Почему просто не создать ярлык непосредственно для средства STSADM? Это не сработает потому, что STSADM не является интерактивным средством. Если создать такой ярлык и вызвать с его помощью средство STSADM, то на экран будет выведена инструкция по его использованию, после чего средство STSADM закончит работу.
Чтобы использовать средство STSADM, нужно быть членом локальной группы «Администраторы» веб-сервера, и запускать это приложение локально. Это означает, что при помощи средства STSADM удаленно выполнять задачи администрировния сервера SharePoint невозможно.
Чтобы увидеть, какие операции можно выполнять при помощи средства STSADM, введите в командной строке команду stsadm.exe -help. Проверяйте этот список после установки обновлений или исправлений SharePoint, поскольку в него могут быть добавлены новые операции. Также хорошее руководство по работе с приложением stsadm.exe есть по адресу go.microsoft.com/fwlink/?LinkId=77516.

Основы STSADM
Начнем с некоторых команд, которые можно использовать для настройки существующего сервера SharePoint. средство STSADM можно использовать для добавления функций SharePoint и для изменения параметров его настройки.
В командной строке средства STSADM нужно использовать параметр -o, за которым должно следовать имя необходимой операции. Просто ввести команду STSADM -имя_операции недостаточно. Если, например, на сервер нужно добавить шаблоны, следует использовать следующую команду:
Stsadm -o addtemplate -filename <filename of the template>
-title <title of template> -description <description of template>
Если же нужно установить пакет веб-частей, следует использовать такую команду:
Stsadm -o addwppack -filename <filename of the Web Part Package>
Для получения подробных сведений об использовании любой операции вызовите средство STSADM, указав только имя операции без параметров, и на экран будет выведен список возможных вариантов ввода. Эту же информацию можно получить, введя строку STSADM -help имя_операции.
При управлении шаблонами для просмотра списка установленных шаблонов можно использовать операцию enumtemplates, а для их удаления £ операцию deletetemplate. Есть также команды для работы с пакетами веб-частей. Для перечисления пакетов веб-частей, установленных на каждом виртуальном сервере или использующихся в веб-приложении, можно использовать операцию enumwppacks, а для их удаления £ операцию deletewppack.
В средстве STSADM есть также две операции, предназначенных для чтения и изменения свойств SharePoint: setproperty и getproperty. При выполнении этих операций без параметров выводится список свойств для просмотра или изменения. Этот список, как и само средство STSADM, может изменяться при обновлениях и исправлениях. Однако есть несколько свойств, более полезных, чем остальные. На рис. 1 приведены некоторые свойства, которые, возможно, придется настраивать после установки SharePoint, в том числе и те, которые, насколько мне известно, администраторы SharePoint используют чаще всего.
Figure 1 Настройка некоторых важных параметров SharePoint (Close Figure 1)

Параметр | Функция
Alerts-enabled | Включает и отключает оповещения на виртуальном сервере или в веб-приложении.
Alerts-limited | Указывает, ограничено ли число оповещений, создаваемых пользователями на виртуальном сервере или в веб-приложении.
Alerts-maximum | Максимальное число оповещений, если установлено ограничение их количества.
Days-to-show-new-icon | Задает количество дней, в течение которых рядом с добавленными на веб-узел элементами, например, объявлениями, будет размещаться значок «Новое».
Job-immediate-alerts | Задает частоту проверки службой SharePoint наличия немедленных сообщений для отсылки. В службах SharePoint 2.0 значение по умолчанию равно пяти минутам. Здесь этот интервал можно изменить. Уменьшение этого времени приведет к увеличению загрузки веб-серверов и серверов баз данных, поэтому будьте внимательны при изменении этого значения.
Job-daily-alerts | Задает время дня для отправки ежедневных оповещений. В службах SharePoint 2.0 значение по умолчанию £ «между 22:00 и 06:00». Если есть пользователи, которые находятся не в том часовом поясе, в котором заходится сервер, возможно, этот параметр придется изменить.
Job-weekly-alerts | Скорее всего, здесь будет показан шаблон. С его помощью устанавливается график отправки еженедельных оповещений.
Кратко рассмотрим использование одного из этих свойств. Выполнение следующей команды приведет к тому, что SharePoint будет отправлять немедленные оповещения каждые 10 минут
Stsadm -o setproperty -pn job-immediate-alerts -pv "Every 10 minutes"
Заметьте, что я ввел в командную строку -pn и -pv вместо -propertyname и -propertyvalue. Это допустимые сокращения, которые можно использовать, если не хочется набирать слово целиком. Также обратите внимание, что все примеры и команды, описанные в этом разделе, можно использовать как в службах Windows SharePoint Services версии 2.0, так и версии 3.0.

Повседневные задачи администрирования
Повседневное администрирование SharePoint довольно несложное. Для большинства администраторов SharePoint основные задачи сводятся к работе с пользователями и узлами. В средстве STSADM предусмотрены несколько операций для упрощения выполнения этих задач.
Начнем с узлов и дочерних узлов. Чтобы не запутать читателей, я буду использовать слово «узел» по отношению к содержимому узла целиком, и «дочерний узел» по отношению к его составляющим. Некоторые термины выглядят сложными, но если сопоставить их с командами и параметрами средства STSADM, то впоследствии будет легче найти требуемую команду.
В случае крупномасштабной установки SharePoint довольно много времени может уйти на создание новых узлов для пользователей. Я это знаю, так как сам регулярно этим занимался. Создавать новые узлы можно при помощи средства SharePoint Central Administration. Но при частом выполнении таких задач, можно убедиться, что при использовании средства STSADM времени требуется меньше.
Я использовал операцию createsite. Это довольно просто. Эту операцию можно использовать с такими параметрами:
  • url <url>
  • ownerlogin <ДОМЕН\имя>
  • owneremail <someone@example.com>
  • ownername <отображаемое имя>
  • lcid <язык>
  • sitetemplate <шаблон узла>
  • title <название узла>
  • description <описание узла>
  • quota <шаблон квот>
Их можно увидеть в командной строке, введя stsadm -help createsite (см. рис. 2). Из этих девяти параметров обязательными являются только URL, ownerlogin и owneremail.
Рисунок 2 Параметры операции createsite
Рисунок 2 Параметры операции createsite (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Параметры операции createsite
Рисунок 2 Параметры операции createsite (Щелкните изображение, чтобы увеличить его)
Если есть однотипные регулярно создаваемые узлы, можно пойти дальше в упрощении процесса, написав сценарий для автоматизации работы средства STSADM. Например, для автоматизации создания личных узлов можно создать текстовый файл createpersonalsite.cmd и сохранить в нем следующие команды:
stsadm -o createsite -url http://localhost/users/%1 -ownerlogin contoso\%1
-owneremail %1@contoso.com -sitetemplate usersite.stp
-title "Personal site for %1" -description "Personal site for %1" -quota "500 MB"
После этого для создания узла пользователя jsmith достаточно будет выполнить следующее:
createpersonalsite.cmd jsmith
С помощью сценариев создания узлов можно уберечь себя от набора множества команд на клавиатуре и обеспечить согласованность создаваемых узлов. Операция createweb обеспечивает ту же функциональность на уровне дочерних узлов.
При использовании служб Windows SharePoint Services 2.0 использование средства STSADM £ это единственный простой способ получить полный список семейства узлов на каждом конкретном виртуальном сервере. Операция enumsites служит для перечисления в формате XML всех семейств узлов на конкретном виртуальном сервере или в веб-приложении. Эту операцию можно совместить с использованием веб-части «Представление данных» (Data View) для более удобного просмотра списка семейств узлов. (Подробнее см. врезку «Использование веб-части "Представление данных" (Data View)».
В средстве STSADM есть операция deletesite, предназначенная, как можно догадаться, для удаления узлов. Единственное, что нужно сделать £ задать URL-адрес. При желании можно использовать параметр -deleteadaccounts и удалить учетные записи из службы каталогов Active Directory®. При работе с дочерними узлами следует использовать операцию deleteweb.
Можно также добавлять, удалять и перечислять пользователей узла или дочернего узла при помощи операций adduser, deleteuser и enumusers соответственно. Эти операции удобны, когда нужно добавить сразу несколько пользователей узла, или если нужно вести список пользователей, имеющих доступ к узлу для аудита.
При работе с дочерними узлами можно использовать также дополнительную операцию renameweb, которая позволяет изменять имя и URL-адрес дочернего узла. Например, чтобы изменить имя дочернего узла с "oldname" на "coolnewname", используйте следующую команду:
Stsadm -o renameweb -url http://localhost/oldname -newname coolnewname
Это очень выручает в случае изменения названия проекта или изменения организационной структуры. Для служб Windows SharePoint Services 2.0 это большая проблема, поскольку единственным средством переноса дочерних узлов является программа SMIGRATE.exe, которая не сохраняет пользовательские параметры, такие как принадлежность к группам и оповещения. При использовании служб Windows SharePoint Services 3.0 это не так важно, поскольку при помощи средства STSADM можно сохранять резервные копии и восстанавливать из них узлы и дочерние узлы.

Резервное копирование и восстановление
Одним из полезных применений средства STSADM является создание резервных копий и восстановление узлов и дочерних узлов. Для систем малых и средних размеров эти функции можно использовать как основу плана восстановления на случай аварийной ситуации. Операция backup (резервное копирование) говорит сама за себя и ее легко использовать. Просто укажите в командной строке средства STSADM, какой узел нужно скопировать и где создать файл резервной копии, например:
Stsadm -o backup -url http://localhost -filename site.bak
Эта операция копирует все семейство узлов в файл site.bak, включая все содержимое £ дочерние узлы, версии документов, списки и пользователей. Однако описания узлов и изменения, сделанные на уровне файловой системы серверов, не копируются.
Резервное копирование весьма важно, при этом имеются некоторые трудности, о которых нельзя забывать. Если узел довольно велик, база данных его содержимого (Content Database) на время резервного копирования может быть заблокирована. Это может препятствовать доступу пользователей к узлам этой базы данных, пока операция копирования не завершится. Эта проблема смягчена при помощи пакетов обновлений, но все же за ростом объема данных узлов нужно следить. Кроме того, поскольку при резервном копировании и восстановлении средство STSADM использует временный каталог на сервере, нужно следить за наличием свободного места на дисках.
Использование веб-части «Представление данных» (Data View)
Чтобы удобнее было просматривать списки семейства узлов, команду enumsites можно использовать вместе с веб-частью «Представление данных». Это можно сделать следующим образом.
Сначала создайте назначенное задание, выполняющее следующую операцию:
stsadm –o enumsites –url http://localhost
>c:\inetpub\wwwroot\excludedsite\sites.xml
Убедитесь, что XML-файл помещен в каталог, доступный через сервер IIS, но не контролируемый сервером SharePoint. Затем при помощи приложения Microsoft FrontPage® (или его преемника Microsoft Office SharePoint Designer 2007) добавьте веб-часть Data View на страницу веб-частей и укажите в нем URL-адрес XML-файла.
Веб-часть Data View позволяет выполнять такие функции как сортировка, фильтрации и группировка. В поле URL можно также поместить ссылку непосредственно на узел. Если же нужен список дочерних веб-узлов, то при выполнении операции enumsubwebs будет выведена информация о дочерних веб-узлах данного веб-узла в формате XML.

И последнее: помните, что резервное копирование с помощью STSADM хорошо работает только на узлах небольшого и среднего размеров, и эта функция плохо масштабируется. На очень больших узлах (объемом несколько гигабайт и больше) процесс резервного копирования и восстановления может выполняться несколько медленнее.
Восстановление узла тоже довольно несложная операция. Команда STSADM -o restore использует файл, созданный командой STSADM -o backup и записывает его содержимое на узел SharePoint. Это довольно универсальная команда: можно восстановить содержимое узла на его исходном месте (если, например, оно было удалено по ошибке), можно восстановить его на другом узле того же виртуального сервера (если нужно протестировать узел, не рискуя потерять данные) или же можно восстановить узел на другом сервере или виртуальном сервере.
Восстановление узла на другой узел или сервер несколько облегчает восстановление отдельных документов. Если узел имеет резервную копию и пользователю нужно восстановить документ, можно не восстанавливать узел целиком. Это могло бы уничтожить все изменения, выполненные на узле с момента резервного копирования. Вместо этого можно восстановить содержимое резервной копии на другой URL-адрес, скопировать оттуда документы и поместить их на исходный узел.
При использовании средства STSADM со службами Windows SharePoint Services версии 2.0 есть одно серьезное ограничение. Можно выполнять резервное копирование только веб-узлов, а дочерних узлов £ нет. Администраторы сумели довести свое недовольство до корпорации Майкрософт, и это замечание было учтено. В версии 3.0 служб Windows SharePoint Services уже можно выполнять резервное копирование и восстановление дочерних узлов. Были также добавлены еще две команды £ для импорта (import) и экспорта (export).
Для экспорта дочернего узла используется следующая команда:
Stsadm -o export -url http://localhost/web -filename backup.dat
С операцией export можно использовать дополнительные параметры, например, ключ -version. С помощью этого ключа можно контролировать размер файла резервной копии путем ограничения количества версий копируемых файлов.
Для импорта дочернего узла обратно на сервер используется следующая команда:
Stsadm -o import -url http://localhost/web2 -filename backup.dat
Если узел довольно большой, резервная копия может состоять из нескольких частей. В этом случае укажите в команде STSADM -o import файл первой части, а остальные части будут найдены автоматически.

Раздел для специалистов
Теперь, поскольку вы уже освоились с STSADM, я покажу несколько операций, которые позволяют устанавливать связи. Первая £ это недавно добавленная операция migrateuser. Службы версии 2.0 не синхронизируются со службами Active Directory. Если выполнялось переименование учетной записи, пользователь больше не мог войти на сервер SharePoint. Раньше также не было возможности переносить данные о правах доступа пользователя из одной учетной записи пользователя домена в другую. До выпуска пакета обновления 2 (SP2) для Windows SharePoint Services 2.0 приходилось удалять пользователя с каждого дочернего узла и вручную добавлять новую учетную запись.
В пакет обновления 2 (SP2) был включен новый интерфейс API, и средство STSADM позволяет использовать его преимущества. При переименовании учетной записи jsmith в jjones можно использовать следующую команду:
Stsadm -o migrateuser -oldlogin domain\jsmith -newlogin domain\jjones -ignoresidhistory
Поскольку учетные записи на самом деле не переносятся, данные журнала идентификаторов безопасности Windows (SID) можно игнорировать. Обратите внимание, что данная команда не требует URL-адреса. Она производит изменения в базах данных содержимого безотносительно узла или дочернего узла.
Другая полезная операция £ unextendvs. Если не нужно, чтобы служба SharePoint отображала виртуальный сервер или веб-приложение, можно его отключить. Обычно это делается при помощи средства SharePoint Configuration Analyzer. Однако в случае установки службы в веб-ферме средство SharePoint Configuration Analyzer требует, чтобы на всех серверах были установлены одинаковые пакеты исправлений. Однако какой-либо сервер может быть не синхронизирован с остальными серверами веб-фермы, и в этом случае средство SharePoint Configuration Analyzer не сможет его отключить. Тем не менее, можно отключить виртуальный сервер с помощью следующей команды STSADM :
Stsadm -o unextendvs -url http://localhost
Если сервер больше не входит в состав веб-фермы, можно провести необходимое обслуживание сервера.
При установке SharePoint в веб-ферме для облегчения администрирования можно на всех серверах настроить средство SharePoint Configuration Analyzer на использование одного и того же порта. Порт выбирается случайным образом при установке SharePoint, однако средство STSADM включает операцию для изменения номера порта на номер порта, заданный пользователем:
Stsadm -o setadminport -port 1026
При этом производятся все необходимые изменения в базе данных, изменения параметров настройки сервера IIS и корректируется ярлык средства SharePoint Configuration Analyzer в меню Administrative Tools.

Заключение
Службы Windows SharePoint Services являются мощным средством и требуют соответствующих средств администрирования. Средство STSADM обеспечивает возможность администрирования служб SharePoint, в том числе автоматизацию настройки и выполнения повседневных задач. По сути, иногда это единственно возможный способ выполнения задачи.

Тодд Клиндт (Todd Klindt) £ системный аналитик компании UGS, где он целыми днями играет с серверами SharePoint и получает за это деньги. Он также является обладателем звания «Наиболее ценный специалист» (MVP) по Windows SharePoint Services, а еще он по гороскопу Водолей.


 SharePoint: Используйте вики в работе
SharePoint Мауро Кардарелли (Mauro Cardarelli)

Используйте вики в работе
Краткий обзор:
  • Что такое вики?
  • Создание вики-узла в системе SharePoint
  • Редактирование и отслеживание изменений

Концепция вики-узлов используется уже более 10 лет. В самой простой форме вики-узел (по-гавайски «вики» означает «быстрый») £ это узел в Интернете, где пользователи могут свободно создавать или редактировать содержимое веб-страниц,
используя только веб-обозреватель. Целью этого является создание пространства, где члены виртуального сообщества могут редактировать любую страницу, то есть свободно вводить, изменять или удалять ее содержимое, в том числе и то, что было создано предыдущими авторами. В отличие от блогов, предназначенных для более структурированного обмена знаниями и организации связи по принципу «один ко многим», вики-узел дает возможность более тесного сотрудничества.
В последнее время много внимания уделяется доступным в Интернете инструментам следующего поколения, которые называют Web 2.0. Предполагается, что барьеры на пути создания содержимого страниц будут снижены, что даст пользователям возможность быть не только потребителями, но и поставщиками информации в Интернете. Это происходит не только в мире Интернета, но и за корпоративными брандмауэрами. Речь идет об инструментах в рамках концепции Enterprise 2.0, с помощью которых все сотрудники могут легко создавать содержимое веб-страниц. Технологиям, подобным тем, которые используются для создания блогов и вики-узлов, предстоит сыграть важную роль в изменении представлений компаний о корпоративных знаниях, об их хранении и применении.
Корпорация Майкрософт представляет сервер Microsoft® Office SharePoint® Server (MOSS) 2007, третью версию популярной технологии SharePoint, который обеспечивает возможность использования средств следующего поколения. Сервер MOSS 2007 обеспечивает расширенные возможности для совместной работы и обмена информацией, включая возможность создания блогов и вики-узлов. В статье рассказывается, как приступить к созданию вики-узлов с помощью сервера MOSS 2007.

Начало работы
Те, кому приходилось работать с сервером SharePoint Portal Server 2003, должны быть хорошо знакомы с использованием шаблонов веб-узлов. В шаблонах веб-узлов определена структура макетов веб-страниц конкретного типа (например страниц, посвященных событиям в группе, собраниям или событиям общественного значения), где заранее предусмотрены места для конкретного содержимого. Сервер MOSS 2007 расширяет возможности использование шаблонов узлов, предлагая новый набор типов шаблонов. Один из них предназначен для вики-узлов.
На рис. 1 показана страница New SharePoint Site (новый узел SharePoint), используемая для создания узла SharePoint. Заметьте, что в списке шаблонов есть элемент Wiki Site (вики-узел). Выбрав этот шаблон, можно легко и быстро создать свой первый вики-узел. На рис. 2 показан вид вновь созданного вики-узла, определенный по умолчанию. Структура вики-узлов такова, что эта стандартная страница является домашней страницей. На этой странице можно редактировать все. Пользователи, имеющие соответствующие права, то есть члены виртуального сообщества, могут создавать или изменять страницы.
Рисунок 1 Выбор шаблона вики-узла для нового узла
Рисунок 1 Выбор шаблона вики-узла для нового узла
Рисунок 2 Новый вики-узел New SharePoint Wiki, который можно редактировать
Рисунок 2 Новый вики-узел New SharePoint Wiki, который можно редактировать (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Новый вики-узел New SharePoint Wiki, который можно редактировать
Рисунок 2 Новый вики-узел New SharePoint Wiki, который можно редактировать (Щелкните изображение, чтобы увеличить его)
Прежде чем идти дальше, давайте немного отступим и поговорим о том, как преподнести вики-узлы пользователям. Как упоминалось выше, вики-узлы уже в течение некоторого времени используются в Интернете и в инструментах сторонних разработчиков. Однако большей частью использование вики-узлов было узко специализированным и расширялось постепенно, благодаря устному обмену информацией. Сервер MOSS 2007 должен изменить ситуацию путем предоставления функциональных возможностей вики-узлов всем пользователям интрасетей. Это очень значительное и, возможно, даже пугающее заявление. Как объяснить ценность вики-узлов сотруднику, который не является специалистом в области техники и Интернета? Нужно ему рассказать, что вики-узлы предназначены для содействия творческому обмену мнениями и идеями в свободной среде, где каждому пользователю предоставляется возможность высказаться. Они дают возможность совместно работать с содержимым, но на самом деле £ это нечто намного большее. Конечным результатом использования вики-узла является не документ или глава, а скорее книга, которую можно никогда не заканчивать и, при необходимости, изменять.
Теперь вернемся к работе. Для тех, кто впервые создает вики-узел, в сети имеется руководство, доступное по ссылке How to Use This Wiki Site (как пользоваться этим вики-узлом). Стандартный шаблон вики-узла поставляется с полной документацией, позволяющей новым пользователям чувствовать себя уверенно и быстро включиться в работу.

Как работает вики-узел
На каждой странице вики-узла в правом верхнем углу есть управляющие кнопки. Нажав кнопку с надписью «Edit» (правка) пользователь попадет на страницу, предназначенную для редактирования содержимого. Пример показан на рис. 3. Все редактирование происходит в веб-обозревателе. Нет необходимости в использовании внешних инструментов, например текстового редактора Microsoft Word. Редактирование происходит непосредственно при работе в сети. Результаты отображаются в реальном времени сразу после сохранения. Более того, не требуются навыки разработки веб-страниц. Интерфейс редактирования позволяет с помощью стандартных кнопок создавать текст с применением всех возможностей форматирования, в том числе, использовать жирный и цветной шрифт, включать маркеры и рисунки. Пользователь просто открывает существующую страницу в режиме редактирования и добавляет или изменяет содержимое. Вот и все.
Рисунок 3 Редактирование содержимого вики-узла в веб-обозревателе
Рисунок 3 Редактирование содержимого вики-узла в веб-обозревателе (Щелкните изображение, чтобы уменьшить его)
Рисунок 3 Редактирование содержимого вики-узла в веб-обозревателе
Рисунок 3 Редактирование содержимого вики-узла в веб-обозревателе (Щелкните изображение, чтобы увеличить его)
Как же управлять изменениями в среде, содержимое которой постоянно меняется? Возможно, нет необходимости контролировать все вносимые изменения, но некоторые средства отслеживания изменений и ведения учета версий могут понадобиться. Сервер MOSS 2007 предоставляет эти средства. На рис. 4 показано, как выглядит стандартная страница после нажатия кнопки «History» (история). В центре видно, что все вносимые в текст изменения записаны. Слева можно увидеть историю изменений £ в системе выполняется регистрация всех вносимых изменений. Сообщество имеет полное право просматривать, отслеживать и даже отменять внесенные изменения путем отката. Это очень мощная концепция. При создании и изменении вики-узла сервер MOSS 2007 отслеживает изменения.
Рисунок 4 Отслеживание изменений вики-страницы во времени
Рисунок 4 Отслеживание изменений вики-страницы во времени (Щелкните изображение, чтобы уменьшить его)
Рисунок 4 Отслеживание изменений вики-страницы во времени
Рисунок 4 Отслеживание изменений вики-страницы во времени (Щелкните изображение, чтобы увеличить его)
Как уже упоминалось, вики-узел не является веб-страницей. Это комплект из бесконечного числа страниц. Член вики-сообщества может внести новую идею или вопрос для обсуждения. Вместо добавления текста в существующую страницу можно создать переход на новую страницу. Сервер MOSS 2007 обеспечивает такую возможность, позволяя легко добавлять вики-страницы. Нужно просто нажать кнопку «New» (создать) и она появится. Теперь можно добавлять содержимое.

Заключение
Сервер MOSS 2007 не создал концепцию вики-узлов, но, учитывая его широкую доступность, он сделал их намного привлекательнее. Вики-узлы могут изменить способ совместной работы сотрудников организаций, так как они больше не связаны рамками документа. Вики-узлы поощряют неформализованное мышление и расширяют возможности сотрудничества, и это хорошо вписывается в более широкие концепции, связанные с философией Enterprise 2.0. Вики-узлы £ это новые возможности. Они позволяют всем пользователям принимать участие в работе, и не просто послушно выполнять указания, но и создавать новые направления.

Мауро Кардарелли (Mauro Cardarelli) является управляющим партнером компании Jornata (Бостон, США), оказывающей услуги в области информационных технологий. В его обязанности входит пропаганда новых технологий, проектирование архитектуры и разработка программного обеспечения. С ним можно связаться по адресу mauro.cardarelli@jornata.com.


 От редактора: Время от времени в некоторых сферах
От редактора

Время от времени в некоторых сферах происходят кардинальные изменения. Это относится не только к технологии, но и к политике, моде и всему остальному. Я думал об этом несколько недель назад, выступая на конференции «Windows Connections» в Лас-Вегасе. Пять лет назад в ноябре я должен был участвовать в выставке Comdex £ огромном шоу, которое давало покупателям и тем, кто хотел побольше узнать о новинках, возможность знакомиться со всевозможными технологиями со всего мира. Однако эта выставка, которая неуклонно разрасталась почти два десятилетия, прекратила свое существование, можно сказать, за одну ночь. Поэтому вместо выступления на громадной выставке с самой разнообразной тематикой, я выступил на очень успешной презентации для узкого круга, посвященной всего лишь нескольким продуктам для разработчиков и ИТ-специалистов. Я обращался к тем же людям в том же самом месте, но такой масштаб позволил участникам мероприятия получить от него намного больше.
Мое выступление было посвящено статьям на технические темы £ как их писать, где публиковать и почему. Изменения в нашей отрасли отразились не только в истории выставки Comdex, но и на всей сфере распространения технической информации. Пять лет назад я проводил подобный семинар, но тогда речь шла только о журналах. В те времена мало кто слышал о блогах. Веб-сайты сообществ были бледными тенями тех, которые есть сейчас. Последние пять лет на наших глазах происходит постоянное изменение способов распространения письменных текстов, и то в невиданных доселе масштабах.
Разумеется, в этом есть и положительные, и отрицательные стороны. Разные формы распространения информации предназначены для разных целей. В Интернете люди могут произвольно высказывать свои мысли, но при публикации этих же мыслей в виде журнальной статьи они, как правило, проходят редакторскую правку и техническую экспертизу. Сообщение в блоге можно просто удалить, но невозможно ходить от дома к дому и просить каждого вычеркнуть раздел на странице 28.
Вот, собственно, почему я и начал разговор об этих изменениях. По многочисленным просьбам читателей, которые прислали нам свои отзывы о журнале, мы увеличиваем количество рубрик. В этом номере мы впервые представляем вам рубрику «Кабельщик» (The Cable Guy), которая уже завоевала популярность в сетевом издании журнала TechNet. Теперь она появится и в печатном варианте. Судя по письмам всех наших читателей, с которыми мы полностью согласны, настало время подробно писать о сервере Exchange Server 2007, поэтому мы ввели постоянную рубрику «Exchange Queue £ очередь за ответами» (Exchange Queue & A). (Так и оставим, оригинальное название!)
Если вы хотите прочитать в нашем журнале о той или иной технологии Майкрософт, напишите нам об этом. Лучшее, что мы можем для вас сделать, это предоставить необходимую информацию. £ Джошуа Трупин (Joshua Trupin)

Выражаем нашу благодарность следующим техническим специалистам корпорации Майкрософт: Пунит Арора (Puneet Arora), Джефф Бьенвеню (Jeff Bienvenu), Нино Билич (Nino Bilic), Эрик Броберг (Eric Broberg), Рамеш Чинта (Ramesh Chinta), Мэтт Коэн (Matt Cohen), Майкл Долтон (Michael Dalton), Джорже Иримеску (George Irimescu), Брайан Джеффрис (Bryan Jeffries), Дэйв Кон (Dave Kong), Виджай Кришна (Vijay Krishna), Роб Леффертс (Rob Lefferts), Лоренс Лю (Lawrence Liu), Боб Мэ (Bob Ma), Ману Намбудири (Manu Namboodiri), Джоэл Олесон (Joel Oleson), Арпан Шах (Arpan Shah), Трой Старр (Troy Starr), Джеймс Стермс (James Sturms), Джим Труэр (Jim Truher) и Блэйн Янг (Blaine Young).


 Инструментарий: Новые продукты для специалистов по информационным технологиям
Инструментарий
Новые продукты для специалистов по информационным технологиям
Грег Стин (Greg Steen)

Администрирование серверов
Инструментарий Windows Server 2003 Resource Kit Tools
go.microsoft.com/fwlink/?LinkId=77796 (на английском языке)
Инструментарий Microsoft Windows Server 2003 Resource Kit Tools представляют собой крайне полезный набор из более чем 100 служебных программ, которые помогают упростить и автоматизировать выполнение административных задач. В набор входят средства для управления всеми компонентами: от инструментов Active Directory® и средств устранения неполадок сети до средств записи образов CD- и DVD-дисков.
Редактор Custom Reason Editor (custreasonedit.exe) £ превосходный инструмент для систематизации работы программы регистрации событий завершения работы. Программа регистрации событий завершения работы, входящая в комплект сервера Windows Server® 2003, регистрирует в журнале событий причины завершения работы компьютера. Инструмент Custom Reason Editor позволяет создать пользовательский список с настраиваемыми параметрами для использования вместо стандартного списка причин. Этот инструмент может помочь сгруппировать и определить процессы, вызывающие неполадки, приложения или состояния системы, приводящие к завершению работы, обеспечивая логичное и организованное сохранение отдельных событий.
Инструмент DNS Resolver Tool, служебная программа командной строки, имитирующая разрешение имен DNS, выполняемое службой протокола SMTP, показывает сообщения о статусе запроса DNS, указанного в качестве аргумента. Этот инструмент может работать на любом сервере Windows Server 2003 с установленной службой протокола SMTP и возвращает коды ошибок, которые могут использоваться в пакетных файлах. Программы CDBurn.exe и DVDburn.exe £ служебные программы командной строки, позволяющие создавать CD- и DVD-диски из образов ISO и обеспечивающие ограниченную поддержку перезаписываемых носителей при помощи ключа /Erase, позволяющего выполнять стирание носителя перед записью нового образа диска. Эти программы могут использоваться, например, для автоматизации процессов архивирования в вашей инфраструктуре.
Набор Windows Server 2003 Resource Kit
Набор Windows Server 2003 Resource Kit (Щелкните изображение, чтобы уменьшить его)
Набор Windows Server 2003 Resource Kit
Набор Windows Server 2003 Resource Kit (Щелкните изображение, чтобы увеличить его)
При необходимости проверки блокировки учетной записи можно воспользоваться инструментом Account Lockout Status, позволяющим легко и быстро выполнить такую проверку как средствами командной строки, так и с помощью графического пользовательского интерфейса. Эта программа опрашивает все доступные контроллеры домена и проверяет состояние учетной записи указанного пользователя. Пожалуй, один из лучших инструментов для автоматизации, программа Robust File Copy (Robocopy.exe) предоставляет целый ряд возможностей для копирования или перемещения файлов. Этот инструмент позволяет использовать подстановочные знаки и даже атрибуты файлов для указания копируемых файлов, а операция копирования может быть выборочно рекурсивной. Этот инструмент может использоваться для синхронизации, и также может быть настроен для удаления файлов или папок назначения, удаленных в исходной папке.
Еще одна популярная служебная программа £ простой инструмент Tail (tail.exe), который, подобно служебной программе ОС Linux или UNIX, позволяет показывать последние N строк файла, обновляя вывод по мере добавления новых строк. Это £ отличный способ отладки или наблюдения за любой задачей, выполняющей запись в файл журнала.
Программа Time It (time.exe) измеряет время выполнения команд и хранит данные в собственном файле базы данных, позволяя определять фактическое время выполнения административных задач.
Следует отметить, что Инструментарий не были локализованы, т.е. разработаны и тестировались только на английском языке, и могут «приводить к непредсказуемым результатам» при выполнении. Перед использованием этих служебных программ в рабочей среде следует обязательно проверить их работу в локализованных версиях операционных систем.
Цена: бесплатная загрузка.

Отслеживание проблем
Программа ASP.NET Issue Tracker
www.ASP.NET/StarterKits/WhitePapers/Issue%20Tracker%20Whitepaper.htm (на английском языке)
По мнению автора, существуют два аспекта, которые всегда делают приложение лучше. Программа ASP.NET Issue Tracker, доступная на веб-узле сообщества разработчиков ASP.NET, обладает обоими свойствами. Разработанная в виде набора Starter Kit для изучения разработки веб-приложений в среде ASP.NET 1.1, программа Issue Tracker представляет собой простой, но полезный инструмент для отслеживания вопросов, связанных с проектами.
Интерфейс программы прост и понятен, он позволяет легко создавать проекты, пользователей и вопросы. Приложение поддерживает работу нескольких пользователей с ролевыми разрешениями, защищая вопросы от несанкционированного доступа. Также возможно создание пользовательских категорий вопросов для каждого проекта и пользовательских полей данных различных типов. Задачам может быть присвоен статус, приоритет и контрольная точка, что помогает организовать проекты.
Еще одна весьма полезная функция заключается в том, что при создании проекта можно указать собственные коды статуса, приоритеты и контрольные точки для каждого проекта и указать изображение, представляющее проект. Весь исходный код доступен для загрузки, поэтому, при наличии разработчика, знающего платформу .NET, или возможности разобраться в существующем коде можно использовать набор Starter Kit в качестве основы для разработки любой требуемой функциональности.
Цена: бесплатно.

Наблюдение за системами
Программа NetHealth Sentinel Professional
www.nethealthsys.com (на английском языке)
Мониторинг сетей и систем £ важная задача, и я всегда слежу за программами, позволяющими оценить состояние компьютера на расстоянии. Программа NetHealth Sentinel Professional, разработанная компанией NetHealth Systems, служит именно для этого.
Программа Sentinel Professional построена на основе агентов и позволяет подробно рассмотреть состояние контролируемых компьютеров. Приложение состоит из четырех компонентов: сервер администратора, консоль администратора, диспетчер подключений и удаленный агент. Сервер администратора выполняет назначенные задания, хранит сведения о конфигурации и собирает оповещения при помощи диспетчера подключений.
Консоль администратора служит графическим интерфейсом сервера администратора, позволяя просматривать и настраивать отслеживаемые системы, а также устанавливать назначенные задания или события. Диспетчер подключений собирает все данные от удаленных агентов, т.е. агентов узлов, работающих под управлением контролируемых систем. Удаленный агент выполняется как служба Windows и передает информацию диспетчеру подключений, используя защищенное соединение. В соответствии с настройками каждый удаленный агент может отправлять оповещения одному или нескольким диспетчерам подключений.
Программа NetHealth Sentinel Professional
Программа NetHealth Sentinel Professional (Щелкните изображение, чтобы уменьшить его)
Программа NetHealth Sentinel Professional
Программа NetHealth Sentinel Professional (Щелкните изображение, чтобы увеличить его)
Одна полезная функция £ группировка событий всех компьютеров данной группы мониторинга. Графический пользовательский интерфейс также позволяет перетаскивать столбцы данных из вида событий для группировки по столбцам.
Это приложение также имеет панель основных показателей, предоставляющую быстрый доступ к требуемым статистическим показателям. По умолчанию на ней показана загрузка процессора, диска и памяти, но с помощью вкладки «Монитор» можно добавить требуемые счетчики.
Программа NetHealth Sentinel Professional также обладает функцией, которая позволяет установить уровни для «нормальной» работы компьютера и затем отправляет оповещения в случае превышения одного из заданных значений базовой линии.
Цена: $495 за комплект из 10 клиентских лицензий.

Шифрование данных
Программа TrueCrypt
www.truecrypt.org (на английском языке)
Программа TrueCrypt, созданная компанией TrueCrypt Foundation, представляет собой бесплатное средство шифрования «на лету» с открытым исходным кодом, позволяющее, при наличии правильного пароля или ключа шифрования, расшифровывать информацию при чтении из памяти или зашифрованного тома и шифровать данные при записи в память или зашифрованный том. Но не следует беспокоиться £ ни в один из моментов времени том не находится в расшифрованном состоянии. Злоумышленник может выяснить, что за информация находится под защитой, только в случае создания дампа памяти в процессе дешифрования приложением данных из памяти. Этого можно легко избежать, отключив создание дампов памяти на компьютере, не говоря о том, что в каждый конкретный момент времени в памяти в незашифрованном виде присутствует лишь небольшая часть данных.
Приложение поддерживает работу как с виртуальными томами, так и с физическими разделами и устройствами. Виртуальные тома, названные авторами программы «файловыми контейнерами», могут быть созданы с любым расширением файла или же могут вообще не иметь расширения; таким образом, постороннему взгляду зашифрованные данные покажутся случайным набором информации; не существует «подписи файла» TrueCrypt.
Программа TrueCrypt
Программа TrueCrypt (Щелкните изображение, чтобы уменьшить его)
Программа TrueCrypt
Программа TrueCrypt (Щелкните изображение, чтобы увеличить его)
Кроме того, можно использовать программу TrueCrypt в «режиме путешественника». По существу это означает создание файла контейнера на USB-накопителе и размещение там же файлов приложения, при этом можно переносить зашифрованные данные без необходимости установки приложения TrueCrypt на компьютере. Однако в связи с природой операций чтения и записи через память, необходимы права администратора на компьютере, на котором будет использоваться переносной диск.
В программе TrueCrypt также имеется простой мастер настройки переносного диска. Это £ прекрасный способ переноса информации системного администратора без (особого) беспокойства о возможности просмотра конфиденциальных данных организации посторонними лицами.
В качестве еще одного уровня защиты программа TrueCrypt позволяет создать скрытый том внутри файла-контейнера; при этом даже если злоумышленник подключит внешний том, он не сможет обнаружить внутренний скрытый том на диске. Каждый том инициализируется случайными данными, что делает обнаружение внутреннего скрытого тома в «свободном пространстве» внешнего тома очень трудной задачей.
Программа TrueCrypt использует для шифрования данных алгоритмы AES, Blowfish, CAST5, Serpent, Triple DES, Twofish и несколько их комбинаций. Шифрование выполняется в режиме LRW, который предлагается в качестве стандарта IEEE для шифрования данных на основе секторов. В качестве алгоритма хеширования заголовка могут использоваться алгоритмы Whirlpool, SHA-1 или RIPEME-160, а в качестве дополнительной меры защиты приложение не будет хранить в компьютере какие-либо хеши. Приложение поддерживает файловые системы FAT12, FAT16, FAT32 и NTFS, однако, как и другие программы шифрования секторов, работающие под управлением ОС Windows, не позволяет шифровать загрузочный раздел Windows.
Цена: бесплатно.

Обзор книги
Способы взлома веб-служб (Hacking Web Services)
www.charlesriver.com (на английском языке)
Книга Шрирая Шаха (Shreeraj Shah) Способы взлома веб-служб (Hacking Web Services) (издательство Charles River Media, 2006 г.) служит ценным пособием для тех, кто занят разработкой, развертыванием или поддержкой веб-служб. Книга представляет собой хорошо структурированный справочник по общей безопасности веб-служб и технологий, используемых для их реализации. Книга содержит подробные сведения о необходимых мерах защиты этих компонентов в инфраструктуре путем применения надлежащих методов разработки.
В начале книги приведено относительно глубокое введение в работу веб-служб. Учебный пример, озаглавленный «Последствия промедления», показывает мощь приоритетных процедур системы безопасности и недостатки систем, использующих ответные действия. В главе «Сканирование и перечисление веб-служб» рассматривается использование набора инструментов для защиты веб-служб wsChess, разработанного на платформе .NET компанией Net-Square (net-square.com/wschess/index.shtml) для профилирования и отслеживания веб-служб.
К книге прилагается компакт-диск со служебными программами, на котором также находится пример приложения на платформе .NET £ SOAPWall. Этот пример показывает способы блокирования вставки символов и переполнения буфера в веб-службах на платформе .NET. Кроме того, на диске содержатся демонстрации различных типов атак веб-служб.
Цена: $49,95.
Книга Шрирая Шаха (Shreeraj Shah) Способы взлома веб-служб (Hacking Web Services) (издательство Charles River Media, 2006 г.) служит ценным пособием для тех, кто занят разработкой, развертыванием или поддержкой веб-служб. Книга представляет собой хорошо структурированный справочник по общей безопасности веб-служб и технологий, используемых для их реализации. Книга содержит подробные сведения о необходимых мерах защиты этих компонентов в инфраструктуре путем применения надлежащих методов разработки.
В начале книги приведено относительно глубокое введение в работу веб-служб. Учебный пример, озаглавленный «Последствия промедления», показывает мощь приоритетных процедур системы безопасности и недостатки систем, использующих ответные действия. В главе «Сканирование и перечисление веб-служб» рассматривается использование набора инструментов для защиты веб-служб wsChess, разработанного на платформе .NET компанией Net-Square (net-square.com/wschess/index.shtml) для профилирования и отслеживания веб-служб.
К книге прилагается компакт-диск со служебными программами, на котором также находится пример приложения на платформе .NET £ SOAPWall. Этот пример показывает способы блокирования вставки символов и переполнения буфера в веб-службах на платформе .NET. Кроме того, на диске содержатся демонстрации различных типов атак веб-служб.
Цена: $49,95.

Напишите нам
Если вы хотите увидеть здесь обзор любимого инструмента или служебной программы, свяжитесь с автором по адресу tntools@microsoft.com.

Точка зрения, изложенная в этой статье, является исключительно позицией автора и не обязательно совпадает с позицией корпорации Майкрософт. Цены действительны на момент выхода статьи и могут меняться.

Грег Стин (Greg Steen) специалист по информационным технологиям, предприниматель и энтузиаст. Он находится в постоянном поиске новых инструментов и методов для облегчения работы специалистов по информационным технологиям и процесса разработки.


 Обзор служебных программ: Пакет администрирования Internet Explorer
Обзор служебных программ
Пакет администрирования Internet Explorer
Лэнс Уитни (Lance Whitney)
Загрузить исходный код для этой статьи: Обзор служебных программ: Пакет администрирования Internet Explorer 7 (KB)

Руководитель дал вам задание установить последнюю версию обозревателя Internet Explorer 7 во всей организации. Работу необходимо выполнить быстро, смета невелика, а требований слишком много. Необходим собственный пакет установки, чтобы ко всем пользователям были применены одинаковые функции и параметры. Кроме того, необходима возможность изменения этих параметров в случае необходимости.
Вдобавок необходимо заблокировать Internet Explorer®, чтобы пользователи не могли изменить какие-либо параметры. Как можно быстро и просто создать и развернуть подобную установку Internet Explorer?
В этом вам поможет пакет администрирования Internet Explorer корпорации Майкрософт, также известный как IEAK. Это бесплатное средство настройки предназначено для создания пользовательских пакетов установки Internet Explorer ИТ администраторами, разработчиками, поставщиками услуг Интернета и другими лицами. Фактически, компания Yahoo! использовала бета-версию IEAK 7 для создания пользовательского пакета Internet Explorer 7 для загрузки с веб-узла Yahoo! Веб-узел.
Сборка Internet Explorer 7, созданная с помощью IEAK, должна включать только указанные настройщиком параметры и функции. Можно включить региональные параметры и заблокировать какие-либо элементы управления, чтобы запретить доступ к ним пользователей.
После развертывания Internet Explorer пользователи Active Directory® могут использовать групповые политики для управления и обновления параметров обозревателя, или при необходимости можно использовать IEAK для управления различными массивами параметров Internet Explorer.
IEAK 7 удобнее предыдущих версий, предоставляя простой графический интерфейс для создания собственного пакета Internet Explorer. С помощью пошаговых окон можно включить в сборку выбранные функции и параметры.
В новую версию IEAK добавлено несколько изменений, а также были изменены некоторые параметры. Теперь в сборку Internet Explorer можно добавлять каналы RSS по умолчанию, устанавливать одну или несколько домашних страниц и страниц поиска, а также добавлять поддержку фильтра антифишинга. Также можно установить запуск и обновление средства удаления вредоносных программ Microsoft® Windows®. Однако настройка Outlook® Express и Windows Media® с помощью IEAK теперь невозможна, так как эти приложения не входят в состав Internet Explorer 7.
Можно создать пакет Internet Explorer для 32-разрядных или 64-разрядных платформ Windows XP с пакетом обновления 2 (SP2), Windows Server® 2003 с пакетом обновления 1 (SP1) и Windows Vista™ версии x86, 64-разрядной версии или на версии для компьютеров на базе процессора Itanium. Перед запуском IEAK 7 для создания пакета на используемом компьютере должен быть установлен Internet Explorer 7. Из соображений совместимости IEAK должен быть установлен на компьютере с такой же операционной системой, что и на компьютерах для установки сборки.
В этом разделе описывается использование IEAK для создания установочной сборки Internet Explorer 7 и поддержки и обновления параметров обозревателя.

Получение IEAK 7
Последнюю версию IEAK 7 можно бесплатно загрузить с веб-узла microsoft.com/technet/prodtechnol/ie/ieak7. Кроме того, на этой странице содержатся документация и заметки о выпуске IEAK, с которыми следует ознакомиться.
При установке IEAK 7 с помощью загруженного файла ieak.msi необходимо указать тип используемой лицензии по запросу на основе вашей роли – поставщика услуг Интернета, поставщика или разработчика содержимого или через корпоративную интрасеть. Показываемые экраны и типа создаваемого пакета зависят от выбранной роли, поэтому для создания сборки для рабочей среды необходимо выбрать роль и лицензию для корпоративной интрасети. После установки IEAK в меню «Пуск» создается новая группа программ под названием Microsoft IEAK 7 и содержащая три элемента - IEAK Help, IEAK Profile Manager и Internet Explorer Customization Wizard.
Мастер Internet Explorer Customization Wizard используется для создания пакета сборки. Этот мастер прост в использовании, так как процесс создания пакета осуществляется с помощью пошаговых экранов. В чем же состоит трудность? Для настройки всех параметров необходимо понимание функций и элементов управления Internet Explorer. К счастью, здесь также может помочь IEAK 7. Встроенная справка этого средства подробнее, чем в предыдущих версиях. Кнопка справки на каждом экране мастера Customization Wizard служит для объяснения параметров экрана и вариантов настройки. Открыть файл справки IEAK можно с помощью ярлыка IEAK Help или файла IEAKHelp.chm, находящегося в папке C:\Program Files\Microsoft IEAK 7. Перед созданием сборки рекомендуется изучить документацию, чтобы ознакомиться со всеми компонентами и выбрать нужные варианты.
Мастер Customization Wizard делит создание пакета на пять следующих отдельных этапов.
  1. Сбор информации
  2. Выбор параметров установки
  3. Настройка установки
  4. Настройка обозревателя
  5. Дополнительная индивидуальная настройка
Корпорация Майкрософт уменьшила количество экранов в IEAK 7, упростив процесс создания по сравнению с предыдущими версиями, однако мастер Customization Wizard все так же состоит их множества экранов для выбора параметров для пакета. В результате нет необходимости рассматривать в этом разделе все экраны, на многих из них приведено объяснение. В данном разделе описывается доступ к справке для работы с более сложными экранами. Вместо этого будет представлено краткое описание каждого этапа, а также будут рассмотрены несколько важных экранов.
Этап 1 Сбор информации На этом этапе можно указать место хранения пакета установки, используемую операционную систему и платформу, способ распространения Internet Explorer и настраиваемые параметры. На этом этапе можно указать какой-либо из трех способов распространения Internet Explorer 7, как показано на рис. 1, - файл установки для создания одноуровневой структуры каталога с файлами, входящими в состав сборки; устройство чтения для создания установочного диска (удобно при поддержке удаленных пользователей); и пакеты только для настройки и маркировки, которые применяют настроенные параметры к существующим установкам Internet Explorer 7. Последний вариант можно использовать в Windows Vista с уже установленным Internet Explorer 7 при необходимости применения к обозревателю индивидуализированных параметров.
Рис. 1. Выбор способа распространения
Рис. 1. Выбор способа распространения (Щелкните изображение, чтобы уменьшить его)
Рис. 1. Выбор способа распространения
Рис. 1. Выбор способа распространения (Щелкните изображение, чтобы увеличить его)
На этом этапе также указывается язык сборки. Можно создать локализованные версии Internet Explorer 7 для всех необходимых языков.
Этап 2 Выбор параметров установки Отсюда можно загрузить последние версии компонентов и обновления для Internet Explorer для создания пакета.
Этап 3 Настройка установки На этом этапе выполняется выбор установки для пользователей – интерактивная (во время установки пользователю предоставляются варианты для выбора), автоматическая (пользователь наблюдает процесс установки, но не может вмешиваться в него) и полностью автоматическая (установка полностью выполняется в фоновом режиме без вмешательства пользователя). При создании компакт-диска на этом этапе появится запрос на создание стартовой страницы и других элементов компакт-диска.
Этап 4 Настройка обозревателя Здесь выполняется настройка внешнего вида обозревателя Internet Explorer; установка URL-адресов для домашней страницы, страницы поддержки и избранного; настройка параметров прокси-сервера; а также установка параметров безопасности и конфиденциальности обозревателя. На этом этапе также можно указать название и расположение файла автоматической настройки или файла параметров Интернета (INS), с помощью которого можно управлять параметрами обозревателя без использования групповых политик.
Файл INS – это обычный текстовый файл со всеми важными параметрами обозревателя, например домашней страницей, избранным, параметрами безопасности и конфигурацией прокси. Этот файл INS сохраняется на внутреннем веб-сервере, затем каждый компьютер обращается к этому файлу для получения параметров обозревателя. При необходимости изменения каких-либо параметров в будущем необходимо просто исправить файл INS, пользователи получат изменения автоматически. Можно указать частоту обновления и применения параметров.
Кроме того, на этом этапе можно установить параметры прокси-серверов, вручную вводя IP-адреса и номера портов или создав и указав имя файла JScript® (JS), JavaScript (JVS) или Proxy Auto-Configuration (PAC) со сведениями о прокси. В IEAK Help приведены примеры кода, которые можно использовать для создания этих файлов.
Также при создании пакета Internet Explorer 7 в операционной системе Windows Vista и для использования в ней можно использовать защищенный режим . Необходимо просто включить защищенный режим в обозревателе Internet Explorer 7 на компьютере, а затем импортировать этот параметр в IEAK.
Этап 5 И наконец дополнительная индивидуальная настройка, на этом этапе устанавливаются пользовательские политики и ограничения безопасности для сборки. Можно заблокировать отдельные параметры, просмотр или изменение которых пользователями необходимо запретить. На Рис. 2 показан экран дополнительных параметров с пятью категориями элементов управления, которые можно включить или отключить. Параметры на этих экранах являются параметрами пяти шаблонов ADM для Internet Explorer 7, которые устанавливаются после загрузки последних версий компонентов на этапе 2 мастера. При использовании групповых политик этот этап можно пропустить. В противном случае можно настроить параметры в пяти категориях. Так как эти категории прямо соответствуют шаблонам ADM, эти параметры можно даже изменить, изменив файл ADM в текстовом редакторе, чтобы добавить собственные элементы управления. Файлы ADM находятся в папке C:\Program Files\Microsoft IEAK 7\pol-icies в различных подпапках для каждой платформы и операционной системы Windows. На Рис. 3 показаны пять категорий с кратким описанием каждой.
Figure 3 Категории на экране дополнительных параметров (Close Figure 3)

Категория | Описание
Control Management (Управление элементами управления) | Эта категория позволяет включать или выключить определенные элементы управления ActiveX. Параметры этой категории не применяются к операционной системе Windows Vista, они применяются только к Windows XP и Windows Server 2003.
Custom Settings (Пользовательские параметры) | В этой категории содержатся параметры безопасности. Можно включить или отключить определенные элементы управления и действия по зоне (Интернет, Интранет, Доверенные веб-узлы и Ограниченные узлы).
Corporate Settings (Корпоративные параметры) | В этой категории можно установить размер и параметры кэша обозревателя.
Corporate Restrictions (Корпоративные ограничения) | В этой категории можно заблокировать определенные элементы управления и экраны в Internet Explorer, чтобы они не были доступными для пользователей. Эти параметры не применяются к операционной системе Windows Vista, они применяются только к Windows XP и Windows Server 2003.
Internet Settings (Параметры Интернета) | В этой категории содержатся параметры для автозаполнения, размера экрана и дополнительные параметры, отображаемые в меню Свойства обозревателя Internet Explorer.
Рисунок 2 Настройка функций Internet Explorer
Рисунок 2 Настройка функций Internet Explorer (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Настройка функций Internet Explorer
Рисунок 2 Настройка функций Internet Explorer (Щелкните изображение, чтобы увеличить его)

Проверка сборки
По завершении всех экранов мастера Customization Wizard в указанном на этапе 1 месте или в папке c:\builds по умолчанию создается пакет. Это будет папка назначения – IEAK для создания имени папки использует текущую папку, например 01012007 для 1 января 2007 г. В этой папке будут находиться две подпапки, одна с имением INS, а другая с именем, соответствующем выбранному способу распространения – FLAT, CD или BrndOnly.
Папка INS выступает в качестве рабочей области или хранилища изменения настроек при создании пакета. В текстовом файле install.ins в этой папке хранятся все созданные параметры. При перезапуске мастера Customization Wizard из этого файла автоматически берутся выбранные параметры.
В папках FLAT, CD и BrndOnly хранятся действительные файлы установки. В одной из этих трех папок находится подпапка с именем операционной системы и платформы, например WIN32 для 32-разрядной версии операционной системы Windows XP или Windows Vista. Имя последней подпапки соответствует языку пакета, например EN для английского языка. Как пример при создании сборки 1 января 2007 г. с помощью распространения Flat для 32-разрядной версии операционной версии Windows на английском языке путь к папке сборки будет c:\builds\01012007\FLAT\WIN32\EN.
Для поиска установки, созданной со способом распространения Flat, разверните структуру папки FLAT, чтобы найти файл IE7Setup.exe в подпапке языка. Это самораскрывающийся исполняемый файл со всеми двоичными файлами и файлами конфигурации сборки. Для развертывания пакета Internet Explorer 7 необходимо только этот файл (файлы в папке INS не требуются для установки). Можно скопировать этот файл на сервер распространения для проверки пакета, затем, при готовности, развернуть его на пользовательских компьютерах.
При выборе распространения на компакт-диске на компакт-диск необходимо скопировать папку CD полностью. В этой папке находится автоматически созданный файл autorun.inf и каталог с исполняемым файлом для установки Internet Explorer с компакт-диска.
При создании пакета только для настройки или маркировки разверните папку BrndOnly, чтобы найти файл Setup.exe в подпапке языка. Это самораскрывающийся исполняемый файл, который можно скопировать на сервер распространения для развертывания.

Управление параметрами
В состав вашего пакета Internet Explorer 7 входят все изначально необходимые функции и параметры. Но что делать при необходимости изменения параметра? У вас два варианта действий. Если установлена служба Active Directory, можно обновить параметры обозревателя с помощью групповых политик. В противном случае в состав IEAK включено средство Profile Manager для изменения параметров. Сначала взглянем на групповую политику.
Использование групповых политик Групповая политика является наилучшим способ управления Internet Explorer, так как поддерживает все параметры обозревателя. В предыдущих версиях IEAK и Internet Explorer было необходимо добавлять файлы ADM и Internet Explorer Maintenance (IEM) в консоль групповой политики, чтобы включить все параметры Internet Explorer. Для Internet Explorer 7 в составе операционных систем Windows XP с пакетом обновления 2 (SP2) и Windows Vista входят все необходимые параметры групповой политики для поддержки и обновления обозревателя.
При открытии редактора групповой политики (gpedit.msc) в меню «Административные шаблоны» | Компоненты Windows | Internet Explorer находятся все необходимые параметры для Internet Explorer 7.
Использование IEAK Profile Manager С помощью средства IEAK Profile Manager можно создать файл автонастройки или файл INS для сохранения параметров Internet Explorer 7. При первом использовании средства Profile Manager необходимо загрузить или создать новый файл INS. Можно создать новый файл INS с помощью образца с параметрами, настроенными в мастере Customization Wizard. Но зачем повторять уже сделанную работу? При создании пакета средством IEAK создается файл install.ins по умолчанию для хранения параметров обозревателя. Вместо создания нового файла INS в диспетчере Profile Manager используйте файл install.ins. Для загрузки этого файла перейдите к папке INS в каталоге сборки, то есть c:\builds\01012007\INS. Разверните оставшиеся подпапки, чтобы найти файл.
Диспетчер Profile Manager распределяет эти параметры на два раздела, как показано на рис. 4. В раздел Wizard Settings включены параметры обозревателя, например, домашняя страница, параметры прокси и зоны безопасности. Эти параметры соответствуют параметрах этапов 3-5 мастера Customization Wizard. Параметры в разделе «Policies and Restrictions» (Политики и ограничения) управляют ограничениями пользователя и соответствуют параметрам в пяти категориях политик и ограничений на этапе 5 мастера Customization Wizard.
Рисунок 4 Настройка Internet Explorer с помощью диспетчера Profile Manager
Рисунок 4 Настройка Internet Explorer с помощью диспетчера Profile Manager (Щелкните изображение, чтобы уменьшить его)
Рисунок 4 Настройка Internet Explorer с помощью диспетчера Profile Manager
Рисунок 4 Настройка Internet Explorer с помощью диспетчера Profile Manager (Щелкните изображение, чтобы увеличить его)
Так как эти параметры уже были определены при создании пакета, ничего изменять не нужно. Тем не менее, это является хорошей возможностью просмотреть выбранные для пакета параметры и проверить их точность.
После проверки параметров в диспетчере Profile Manager сохраните файл install.ins, затем скопируйте его на внутренний веб-сервер. Для этого необходимо ввести путь в формате UNC сервера, который был указан на экране автоматической настройки этапа 4 мастера Customization Wizard. Кроме того, появится запрос на сохранение файла CAB и файла INS, отображаемого на рис. 5. Почему это происходит? При изменении параметров Internet Explorer 7 с помощью диспетчера Profile Manager средству IEAK часто бывает необходимо загрузить записи реестра на клиенты Windows. Эти записи сохраняются в файлах INF, которая затем сохраняются в файле CAB. В случае изменения номера версии файла INS при выполнении изменении происходит создание нового файла CAB для загрузки. Сохраните файл CAB в том же месте на веб-сервере, где сохранен файл INS.
Рисунок 5 Сохранение файлов автоматической настройки
Рисунок 5 Сохранение файлов автоматической настройки (Щелкните изображение, чтобы уменьшить его)
Рисунок 5 Сохранение файлов автоматической настройки
Рисунок 5 Сохранение файлов автоматической настройки (Щелкните изображение, чтобы увеличить его)
Рекомендуется сделать копии файлов INS и CAB и сохранить их в различных местах на веб-сервере. Эти файлы являются резервными и тестовыми копиями. При последующих изменениях параметров Internet Explorer с помощью диспетчера Profile Manager можно загрузить и изменить тестовый файл INS для проверки изменений до изменения действующего файла INS.
Изменение параметров и элементов управления обозревателя с помощью диспетчера Profile Manager выполняется очень просто. Просто выберите соответствующую категорию и включите или отключите какие-либо из параметров этой категории. После выполнения изменений повторно сохраните файл INS и скопируйте его обратно на сервер.
Еще одна рекомендация. Файл INS является обычным текстовым файлом. Для просмотра параметров файла его можно открыть в программе «Блокнот». Можно ли изменять файл INS в программе «Блокнот»? Можно, изменения будут иметь силу. Однако использование диспетчера Profile Manager для изменения файла INS предоставляет некоторые преимущества. Диспетчер Profile Manager автоматически создает файл CAB в случае такой необходимости, версия файла INS также изменяется при каждом изменении. Поэтому для изменения файла INS всегда необходимо использовать диспетчер Profile Manager.

Заключение
IEAK - это эффективное средство для быстрого и эффективного создания и настройки Internet Explorer 7. Последняя версия IEAK 7 по сравнению с предыдущими обладает некоторыми преимуществами (более понятные экраны, более информативная справка) для создания и установки пакета. С помощью IEAK можно создать надежный пакет Internet Explorer 7 для пользователей и одновременно выполнить указания руководства.
Автоматическое распространение обозревателя Internet Explorer 7
Корпорация Майкрософт планирует выпустить Internet Explorer 7 в качестве обновления с высоким приоритетом через веб-узлы Automatic Updates, Центра обновлений Windows и Центра обновления Майкрософт через некоторое время после выпуска итоговой версии Internet Explorer 7. Если вы являетесь администратором, в зависимости от среды это может создать для вас проблемы. Если у пользователей отсутствуют права локальных администраторов, они не получат это обновление. Также при управлении средой с помощью сервера Microsoft Systems Management Server (SMS) или Windows Server Update Services (WSUS) вы управляете получаемыми пользователями обновлениями. Если же некоторые пользователи имеют права локальных администраторов, а система для управления обновлениями отсутствует, может потребоваться заблокировать обновление Internet Explorer 7. Корпорация Майкрософт создала средство Internet Explorer 7 Blocker Toolkit. В состав этого набора средств (доступно в Центре загрузки Microsoft) входит шаблон групповой политики и сценарий для установки раздела реестра для предотвращения запуска обновления Internet Explorer 7.

Лэнс Уитни (Lance Whitney) - консультант, преподаватель и составитель технической документации по информационным технологиям. Он занимается созданием и поддержкой пакетов установки для Internet Explorer, начиная с версии 4.0. Будучи журналистом, он занялся изучением информационных технологий около 15 лет назад.


 SQL в вопросах и ответах: Архивация данных, связанные серверы, измерение пропускной способности и не только
SQL в вопросах и ответах
Архивация данных, связанные серверы, измерение пропускной способности и не только
Под редакцией Нэнси Мишел (Nancy Michell)

Архивация данных
Вопрос. Нашей группе нужна комплексная стратегия архивации данных. Сейчас мы используем стандартную модель, предусматривающую резервное копирование данных с последующим запуском служебных программ для удаления устаревших данных. Если требуется извлечение удаленных данных, выполняется восстановление среды и базы данных.
Нам нужно решение, позволяющее выполнять архивацию поэтапно. На первом этапе данные должны удаляться из базы данных, но при этом оставаться доступными в режиме реального времени. Другими словами, данные должны удаляться таким образом, чтобы размер рабочей базы данных оставался приемлемым, но конечные пользователи имели бы доступ к данным. На втором этапе данные должны удаляться окончательно, так чтобы для доступа к ним требовалась операция восстановления. Как это реализовать?
Ответ. Самое простое решение £ восстановить архивную копию базы данных, затем настроить приложение для использования либо новой (сокращенной) базы данных, либо старой (несокращенной), в зависимости от требований пользователя. В результате для каждого периода удаления данных будет создаваться копия базы данных.
Если данные изменяются медленно, и большая часть данных в промежутке между операциями удаления не изменяется, такой подход приведет к созданию большого количества почти одинаковых копий и нерациональному использованию места на дисках. С другой стороны, поскольку архивные данные требуются нечасто, можно размещать их на нескольких недорогих больших и медленных дисках (вместо большого количества дорогих небольших и быстрых дисков). Такой способ будет отлично работать в том случае, если данные полностью обновляются в течение каждого периода. Этот процесс будет легко управляемым и практически защищенным от непреднамеренных ошибок.
Также следует рассмотреть возможность использования моментальных снимков базы данных £ они позволяют создать реплику базы данных на определенный момент времени перед удалением данных из старой базы. Хотя моментальные снимки хорошо подходят в ряде случаев, они также имеют многочисленные ограничения. Моментальные снимки базы данных создаются в режиме «копирование при записи», и в них постоянно сохраняются изменения, вносимые в исходную базу данных на момент сохранения моментального снимка. При наличии большого количества изменений по сравнению с исходной базой данных размер моментального снимка может стать весьма большим.
В некотором смысле использование моментального снимка базы данных является противоположностью созданию резервной копии и восстановлению. Первый способ оправдан, когда ожидается лишь небольшое число изменений, поскольку он предусматривает хранение только отличий, тогда как второй способ лучше подходит в случае большого количества изменений. В этом случае преимущество экономии места на диске за счет «копирования при записи» пропадает, а сложность управления моментальными снимками сохраняется.
Другой вариант заключается в создании разделов таблицы. Этот вариант позволяет определить диапазоны значений ключевых полей отдельных таблиц как относящиеся к различным разделам и затем разместить эти разделы в различных группах файлов. Управляя размещением тех или иных данных в различных группах файлов в пределах одной таблицы можно добиться лучшего контроля над расходованием средств. Можно разместить отдельные группы файлов на различных физических дисках (см. выше примечание о дешевых и дорогих дисках), выбрать группы файлов для резервного копирования и определить периодичность резервного копирования. Если эти группы файлов создаются «только для чтения», то можно также использовать частичные резервные копии

Количество баз данных
Вопрос. Нашей компании требуется реализовать и разместить приложение, которое должно обслуживать около 5000 клиентов. Для обеспечения конфиденциальности мы хотели бы иметь отдельную базу данных для каждого клиента. Если будут использоваться 5000 баз данных вместо одной, не будут ли ресурсы сервера использоваться менее эффективно при том же самом объеме данных и размере индексов, числе подключений пользователей и нагрузке?
Ответ. Независимо от количества персонала в вашей организации поддерживать идентичный код СУБД во всех базах данных будет трудной задачей. После исправления ошибки в коде СУБД придется выполнить развертывание 5000 раз. Кроме того, время восстановления базы данных будет чрезмерно большим, также как и время выполнения таких операций, как создание резервных копий и проверка согласованности баз данных. Сравните это с такой ситуацией: станет ли банк создавать отдельную базу данных на своем сервере для каждого клиента, имеющего текущий счет?
Сервер SQL Server™ позволяет создать очень много баз данных, но этот подход не всегда лучший. Представьте себе объем работы, необходимый для выполнения одной транзакции в каждой базе данных в один и тот же момент времени, притом что в каждой базе данных ведется собственный журнал транзакций. Как известно, одним из ключевых факторов производительности при оперативной обработке транзакций (online transaction processing, OLTP) является поддержание среды, в которой при ведении журнала транзакций используется последовательная запись на диск. Если в этих базах данных нужно выполнять транзакции, а не только читать данные, такой подход использовать не стоит.

Запросы к связанному серверу
Вопрос. Выполняется разработка хранилища данных на сервере SQL Server 2005 с пакетом обновления 1 (SP1). Исходный сервер расположен в домене партнера, а конечный сервер £ в нашем собственном домене. Извлечение записей с исходного сервера выполняется при помощи связанного сервера. Запрос, включающий объединение исходных таблиц, выполняется очень быстро. Однако даже простой запрос, включающий объединение с конечными таблицами, выполняется очень долго. Почему это происходит?
Ответ. Лучше всего избегать объединений для таблиц, расположенных на разных серверах, в особенности, на серверах, расположенных в разных доменах. При этом, в зависимости от конкретных результатов, такая ситуация может наблюдаться из-за того, что ваши партнеры доверяют вашему домену, но вы не доверяете домену ваших партнеров. Следует попробовать реорганизовать запрос таким образом, чтобы он выполнялся на исходном сервере, и затем скопировать результаты на конечный сервер. Это может дать лучшие показатели.

Измерение пропускной способности
Вопрос. В чем заключается лучший способ измерения пропускной способности, используемой при зеркальном отображении баз данных? Согласно известным требованиям она должна быть примерно в три раза больше скорости создания журнала. Можно ли использовать для зеркального отображения баз данных широкополосное подключение к Интернету, если загрузка канала не очень большая?
Ответ. Кроме пропускной способности следует учитывать и задержку при передаче сообщений (которая становится более критичной в случае, если установлен полный уровень безопасности), а также надежность канала. Зеркальное отображение баз данных оптимизированно для использования с надежными сетевыми подключениями, поэтому повторное подключение может приводить к передаче существенного объема служебной информации. Если широкополосное подключение работает неустойчиво (разрывы соединения или большие задержки), поддерживать связь вряд ли будет возможно. Для получения дополнительных сведений см. этот документ, где рассмотрены вопросы производительности при зеркальном отображении.
Защита доступа к серверу SQL Server
Нужны рекомендации по защите доступа к серверу SQL Server в рабочей среде? Обратитесь в «Центр для разработчиков Microsoft patterns & practices». Наибольший интерес представляют три документа:
  • Security Engineering Index
  • Security Guidance for Applications Index
  • Threat Modeling Web Applications

Нужны подробные указания для настройки полной рабочей среды? Вот два полезных источника:
  • Windows Server System Reference Architecture
  • Data Services Implementation Guide

Автор выражает благодарность следующим специалистам в области информационных технологий корпорации Майкрософт за технические консультации: Денис Альтудов (Denis Altudov), Джайашри Ананд (Jayashree Anand), Гас Апостол (Gus Apostol), Бхаван Бартхолф (Bhavana Bartholf), Майк Блажак (Mike Blaszczak), Дибуенду Чакраверти (Dibyendu Chakraverty), Шон Коксу (Shaun Cox), Лаурентиу Кристофор (Laurentiu Cristofor), Эрни Деворэ (Ernie DeVore), Майкл Эппрехт (Michael Epprecht), Накул Гарг (Nakul Garg), Фил Хуммел (Phil Hummel), Стив Линделлу (Steve Lindell), Калоян Манассиев (Kaloian Manassiev), Эл Ноэлю (Al Noel), Вард Понд (Ward Pond), Пол Рэндал (Paul Randal), Ремус Русану (Remus Rusanu), Майк Шелтон (Mike Shelton), Кристи Саттон (Christy Sutton), Кевин Цаю (Kevin Tsai), Питер Ти (Peter Ty), Вэл Виттенберг (Val Wittenberg), Стивен Ворт (Steven Wort), Калян Йелле (Kalyan Yella) и Фрэнки Юэн (Frankie Yuen).


 The Cable Guy: Автоматическая настройка окна приема TCP
The Cable Guy
Автоматическая настройка окна приема TCP
Джозеф Дэвис (Joseph Davies)

Представляем первую статью рубрики The Cable Guy в журнале TechNet Magazine. Читатели этой рубрики на веб-узле TechNet уже знают, что в ней рассказывается о различных аспектах работы компьютерных сетей. Мы продолжим эту традицию и в журнале. Если вы впервые читаете данную рубрику и хотите ознакомиться с архивом статей, посетите веб-узел Cable Guy (на английском языке).
Темой первой статьи будет окно приема TCP.
Пропускная способность соединений TCP может ограничиваться приложениями, отправляющими и принимающими данные, реализацией протокола TCP на приеме и на передаче, а также маршрутом передачи данных между узлами TCP. В этой статье описывается окно приема TCP и рассказывается о его влиянии на пропускную способность соединений TCP, о применении масштабирования окна TCP и о новой функции автоматической настройки окна приема TCP в Windows Vista™, позволяющей оптимизировать пропускную способность TCP для приема данных.

Окно приема TCP
Соединения TCP имеют ряд важных характеристик. Во-первых, они представляют собой логические цепи типа «точка-точка» между двумя протоколами уровня приложений. Протокол TCP не поддерживает доставку данных с одного узла на несколько узлов, а позволяет только передавать данные с одного узла на другой.
Во вторых, соединения TCP ориентированы на связь. Прежде чем можно будет передать данные, два процесса уровня приложений должны формально установить связь TCP, используя процедуру установки связи TCP. Завершение связи также должно осуществляться формально с использованием процесса прекращения связи TCP.
В третьих, данные отправляются через соединение TCP в определенной очередности, и для надежности ожидается подтверждение получения сегмента от принимающего узла. При отсутствии подтверждения сегмент передается заново. Принимающий узел удаляет дублирующиеся сегменты и упорядочивает сегменты, отправленные не в свою очередь.
В четвертых, соединения TCP являются полностью дуплексными. Для каждого узла TCP соединение TCP состоит из двух логических каналов: исходящего и входящего. Заголовок TCP содержит порядковый номер исходящих данных и подтверждение получения (ACK) входящих данных.
Кроме того, протокол TCP рассматривает данные, отправляемые по исходящему и входящему каналам, как непрерывный поток байтов. Порядковый номер и номер подтверждения в каждом заголовке TCP определяются по границам байтов. Протокол TCP не получает информацию о границах записей или сообщений в байтовом потоке. Синтаксический анализ входящего потока должен осуществляться протоколом уровня приложений.
Для ограничения количества данных, отправляемых за один прием, и для обеспечения возможности контроля потока на принимающей стороне узлы TCP используют окна. Окно TCP представляет собой участок данных в байтовом потоке, который получатель разрешает отправлять. Отправитель может посылать только байты потока, находящиеся внутри окна. Окно движется по исходящему байтовому потоку отправителя и входящему байтовому потоку получателя.
На каждом логическом канале (направлении полнодуплексного соединения TCP) у отправителя есть окно отправки, а у получателя £ окно приема. Если нет находящихся в пути пересылаемых данных или подтверждающих сегментов, окна приема и отправки на логическом канале совпадают. Другими словами, участок данных в исходящем байтовом потоке, который отправителю разрешено отправлять, соответствует участку данных во входящем байтовом потоке, который получатель может принять. Эти взаимоотношения проиллюстрированы на рис. 1.
рис. 1. Сопоставление окон приема и отправки
рис. 1. Сопоставление окон приема и отправки (Щелкните изображение, чтобы уменьшить его)
рис. 1. Сопоставление окон приема и отправки
рис. 1. Сопоставление окон приема и отправки (Щелкните изображение, чтобы увеличить его)
Для определения размера окна приема в заголовке TCP содержится 16-разрядное поле Window. Когда получатель получает данные, он возвращает отправителю подтверждение ACK, показывающее, что байты успешно приняты. В каждом подтверждении поле Window указывает количество остающихся байт в окне приема. Когда данные отправляются, приложение их получает и отправляет подтверждение, окна приема и передачи перемещаются вправо. Окно приема определяет, какой объем неподтвержденных данных может находиться в пути от отправителя к получателю.
Поскольку в окне приема могут быть данные, не полученные приложением, а также данные, которые получены, но не подтверждены, в окне приема TCP имеется дополнительная структура, как показано на рис. 2.
Рис. 2 Типы данных в окне приема TCP
Рис. 2 Типы данных в окне приема TCP (Щелкните изображение, чтобы уменьшить его)
Рис. 2 Типы данных в окне приема TCP
Рис. 2 Типы данных в окне приема TCP (Щелкните изображение, чтобы увеличить его)
Обратите внимание на разницу между максимальным и текущим окнами приема. Максимальное окно приема имеет фиксированный размер. Текущее окно приема имеет переменный размер, соответствующий оставшемуся объему данных, который получатель разрешает отправлять. Размер текущего окна приема соответствует значению поля Window в подтверждениях ACK, посылаемых отправителю. Он равен разнице максимального размера окна приема и объема данных, который был получен и подтвержден, но не извлечен приложением.

Окно приема TCP и пропускная способность TCP
Для оптимизации пропускной способности TCP (при условии отсутствия ошибок на маршруте передачи) отправитель должен посылать достаточное количество пакетов для заполнения логического канала между отправителем и получателем. Емкость логического канала можно рассчитать по следующей формуле:
Capacity in bits = path bandwidth in bits per second * round-trip time (RTT) in seconds
Емкость канала также называют интегральным показателем задержки передачи (BDP). Канал может быть широким (большая ширина полосы пропускания) или узким (маленькая ширина полосы пропускания), коротким (небольшое время приема-передачи) или длинным (большое время приема-передачи). Широкие и длинные каналы имеют самый высокий показатель BDP. Высокие значения BDP на маршрутах передачи встречаются в спутниковых сетях или корпоративных глобальных сетях (WAN), где используются межконтинентальные оптоволоконные соединения.
Повышение производительности на стороне отправителя при передаче с высоким значением BDP
Новая функция автоматической настройки окна приема TCP позволяет повысить производительность получения данных через соединения с высоким значением BDP. Как же повысить производительность отправки?
Для того, чтобы отправляющие узлы TCP не перегружали сеть, используются алгоритмы медленного пуска и предотвращения перегрузки. Эти алгоритмы увеличивают окно отправления (количество сегментов, которые отправителю разрешено отправлять) при первоначальной отправке данных и при восстановлении передачи после потери сегмента.
Алгоритм медленного пуска увеличивает окно отправки на один полный сегмент TCP на каждый полученный сегмент подтверждения (для реализации TCP в Windows XP и Windows Server 2003) или на каждый подтвержденный сегмент (для реализации TCP в Windows Vista и Windows Longhorn Server). Алгоритм предотвращения перегрузки увеличивает окно отправки на один полный сегмент TCP на каждое полное подтвержденное окно данных.
Эти алгоритмы дают хорошие результаты при небольших значениях BDP и небольшом размере окон приема. Однако для соединений TCP с большим размером окна приема и большим значением BDP, например в ситуациях с репликацией данных на двух серверах, соединенных высокоскоростным каналом WAN с временем приема-передачи 100 мс, эти алгоритмы не увеличивают окно отправки достаточно быстро для того чтобы полностью использовать пропускную способность соединения.
Для оптимального использования пропускной способности канала TCP в подобных случаях в новую версию набора протоколов TCP/IP включен протокол Compound TCP (CTCP). Протокол CTCP осуществляет более агрессивное увеличение окна отправки для соединений с большим размером окна приема и большим значением BDP. Протокол CTCP пытается максимально повысить пропускную способность подобных соединений, отслеживая изменения уровня задержки и уровня потерь. Кроме того, CTCP обеспечивает отсутствие негативного воздействия на другие соединения TCP.
При проведенном в корпорации Майкрософт тестировании время резервного копирования больших файлов удалось сократить почти в два раза при использовании соединения пропускной способностью 1 Гбит/с с временем приема-передачи 50 мс. Если значение BDP выше, производительность можно повысить еще больше. Совместное использование протокола CTCP и автоматической настройки окна приема TCP позволяет повысить эффективность использования канала и значительно увеличить производительность соединений с большими значениями BDP.
По умолчанию протокол CTCP включен на компьютерах, работающих под управлением ОС Windows Longhorn Server, и отключен на компьютерах, работающих под управлением ОС Windows Vista. Протокол CTCP можно включить с помощью команды netsh interface tcp set global congestionprovider=ctcp. Для отключения протокола CTCP служит команда netsh interface tcp set global congestionprovider=none.

Размер поля Window в заголовке TCP составляет 16 бит; это означает, что узел TCP может указать максимальный размер окна приема 65535 байт. Рассчитать примерную пропускную способность для заданного размера окна TCP можно с помощью следующей формулы:
Throughput = TCP maximum receive windowsize / RTT
Например, при размере окна приема 65535 байт и времени приема-передачи канала 100 мс примерная пропускная способность будет составлять 5,24 Мбит/с независимо от реальной пропускной способности канала. В настоящее время большинство каналов передачи имеют высокую пропускную способность и высокое значение BDP, так что даже при максимальном размере окно TCP превращается в узкое место.

Масштабирование окна TCP
В предложении RFC 1323 (ietf.org/rfc/rfc1323.txt, на английском языке) дано определение масштабирования окон, позволяющего получателю указывать размер окна больше 65535 байт, что позволит применять большие размеры окон и высокоскоростные каналы передачи. Параметр TCP Window Scale указывает коэффициент масштабирования окна, который в сочетании с 16-битным полем Window в заголовке TCP может увеличивать размер окна приема до максимального значения, составляющего примерно 1 ГБ. Параметр Window Scale отправляется только в сегментах синхронизации (SYN) при установке соединения. Оба узла TCP могут указывать разные коэффициенты масштабирования для окон приема. Масштабирование окон TCP позволяет отправителю посылать больше данных, благодаря чему узлы TCP могут более эффективно использовать некоторые типы путей передачи с высоким значением BDP.
Хотя размер окна приема важен для пропускной способности канала TCP, не менее важна для определения оптимальной пропускной способности TCP скорость извлечения данных приложением из окна приема. Если приложение не извлекает данные, окно приема заполняется и принимающий узел уменьшает размер текущего окна приема. В исключительных случаях возможно даже заполнение максимального окна приема, в результате чего размер текущего окна уменьшается до 0 байт. В этом случае отправитель должен прекратить посылать данные до тех пор, пока окно приема не очистится. Таким образом, для оптимизации пропускной способности соединений TCP для окна приема TCP следует устанавливать размер, соответствующий значению BDP канала передачи и скорости извлечения данных приложением.
Тем не менее, даже если значение BDP и скорость извлечения данных приложением определены правильно, они могут измениться. Значение BDP может меняться в зависимости от перегруженности пути передачи, а скорость извлечения данных приложением может меняться в зависимости от числа соединений, по которым приложение получает данные.

Окно приема в Windows XP
Для TCP/IP в Windows XP (и Windows Server® 2003) максимальный размер окна приема имеет ряд важных свойств. Значение по умолчанию зависит от скорости соединения отправляющего интерфейса. Реальное значение автоматически подстраивается к равномерным увеличениям максимального размера сегмента, определяемым при установке соединения TCP.
Максимальный размер окна приема можно настроить самостоятельно. Параметрам реестра HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\TCPWindowSize и HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\Interface\InterfaceGUID\TCPWindowSize можно устанавливать значения до 65535 байт (без масштабирования окна) или до 1073741823 (с масштабированием).
Для установки максимального размера окна приема можно использовать масштабирование. Его можно включить, поменяв значение параметра реестра HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\Tcp1323Opts на 1 или 3. По умолчанию масштабирование окон используется в соединениях, только если полученный сегмент SYN содержит параметр Window Scale.
Кроме того, максимальный размер окна приема может быть указан приложением с помощью параметра SO_RCVBUF Windows Sockets при установке соединения. При использовании масштабирования окон приложение должно указывать размер более 65535 байт.
Несмотря на поддержку масштабируемых окон, максимальный размер окна приема в Windows XP все равно может ограничивать пропускную способность, поскольку (если приложением не указывается иное) именно фиксированный максимальный размер окна приема для всех соединений TCP может повысить пропускную способность некоторых соединений и понизить пропускную способность для других соединений. Фиксированный максимальный размер окна приема для соединений TCP не меняется с изменением скорости извлечения данных приложением или перегрузки маршрута передачи.

Автоматическая настройка окна приема в Windows Vista
Для оптимизации пропускной способности соединений TCP, особенно для каналов передачи с высоким значением BDP, в новой версии набора протоколов TCP/IP в Windows Vista (и следующей версии Windows Server под кодовым названием «Longhorn») реализована поддержка автоматической настройки окна приема. Оптимальный размер окна приема определяется посредством измерения значения BDP и скорости извлечения данных приложением, после чего размер окна адаптируется в соответствии с параметрами канала передачи и приложения.
Функция автоматической настройки окна приема по умолчанию использует масштабирование окна TCP, благодаря чему максимальный размер окна приема составляет 16 МБ. По мере перемещения данных по каналу набор протоколов TCP/IP нового поколения отслеживает соединение, измеряет текущее значение BDP и скорость извлечения данных приложением и регулирует размер окна приема для оптимизации пропускной способности. Набор протоколов TCP/IP нового поколения больше не использует значение реестра TCPWindowSize.
Функция автоматической настройки окна приема имеет ряд преимуществ. Она автоматически определяет оптимальный размер окна для каждого соединения. В Windows XP значение ключа реестра TCPWindowSize действует для всех соединений. Приложениям больше не требуется указывать размер окон TCP с помощью параметра Windows Sockets. А администраторам больше не надо вручную настраивать размер окна приема TCP для конкретных компьютеров.
С автоматической настройкой окна приема узлы TCP под управлением Windows Vista обычно будут указывать больший размер окна приема, чем узлы TCP под управлением Windows XP. Это позволяет другим узлам TCP задействовать все ресурсы узла TCP под управлением Windows Vista, отправляя больше сегментов данных TCP без ожидания подтверждения (ACK). При этом действует система контроля перегрузки канала TCP. При соединении с клиентскими компьютерами, например для передачи веб-страниц или электронной почты, веб-сервер или сервер электронной почты смогут быстрее отправлять данные TCP на клиентский компьютер, в результате чего повысится общая производительность сети. Чем выше будут значение BDP и скорость извлечения данных приложением, тем значительнее повысится производительность.
В результате пакеты данных TCP, которые в противном случае отправлялись бы медленнее из-за ограничений, посылаются намного быстрее, благодаря чему значительно повышается эффективность использования сети для передачи данных. Для компьютеров под управлением Windows XP и Windows Vista, выполняющих передачу данных по длинному и широкому каналу, передается одинаковый объем данных. Однако для клиентского компьютера под управлением Windows Vista данные передаются быстрее благодаря большому размеру окна приема и наличию у сервера возможности полностью заполнять канал передачи от сервера к клиенту.
Поскольку автоматическая настройка окна приема повышает эффективность использования сетей с высоким значением BDP, использование службы QoS или увеличение скорости отправки данных приложением могут оказаться важными для каналов, емкость которых используется практически полностью. Для этого Windows Vista поддерживает настройку параметров QoS на основе групповых политик, что позволяет определять скорость отправки данных на определенные IP-адреса или порты TCP. Более подробную информацию можно найти на странице, посвященной средствам QoS(на английском языке).
Повышение пропускной способности TCP в сетях с высоким уровнем потери данных
В сетях с высоким уровнем потери данных пропускная способность TCP значительно снижается из-за частого превышения времени ожидания и частой необходимости повторной передачи. В качестве примера сетей с высоким уровнем потерь можно привести беспроводные сети, например, построенные на базе стандартов IEEE 802.11, GPRS или UMTS. В этих сетях наблюдается высокий уровень потери пакетов, что связано с состоянием сети, затуханием сигнала, электромагнитными помехами и изменением положения компьютера.
В новом поколении набора протоколов TCP/IP используются следующие четыре положения RFC для оптимизации пропускной способности в условиях высокого уровня потерь.

RFC 2582: Применение модифицированного алгоритма NewReno к алгоритму TCP Fast Recovery
Алгоритм Fast Recovery, определенный в положении RFC 2001, основан на алгоритме Reno, увеличивающем объем данных, который может быть передан при повторной отправке сегмента в связи с быстрой повторной передачей. Хотя алгоритм Reno хорошо работает с одиночными потерянными сегментами, при потере нескольких сегментов его производительность падает. Алгоритм NewReno обеспечивает более высокую пропускную способность, изменяя способ увеличения скорости посылки данных отправителем при быстром восстановлении, когда теряется несколько сегментов окна данных и отправитель получает частичное подтверждение (подтверждение получения только части данных).

RFC 2883: Расширение параметра SACK для протокола TCP
Параметр SACK, определяемый в положении RFC 2018, позволяет получателю указать до четырех несвязанных блоков полученных данных с помощью параметра SACK TCP. RFC 2883 определяет дополнительное использование полей параметра SACK TCP для подтверждения получения дублирующихся пакетов. Благодаря этому отправитель может определить, когда сегмент передан повторно без необходимости, и откорректировать алгоритм работы так, чтобы предотвратить ненужную передачу данных в будущем. Чем меньше сегментов отправляется повторно, тем выше общая пропускная способность.

RFC 3517: Консервативный алгоритм восстановления после потери с выборочным подтверждением (SACK) в протоколе TCP
В текущей реализации протокола TCP/IP в Windows Server 2003 и Windows XP информация SACK используется только для того чтобы определять, когда сегменты TCP не достигают пункта назначения. В положении RFC 3517 определяется метод использования информации SACK для восстановления после сбоя при получении дублирующихся сегментов с заменой старого алгоритма быстрого восстановления, когда при подключении параметр SACK включен. В новой версии набора протоколов TCP/IP информация SACK отслеживается для каждого соединения и выполняется мониторинг получаемых подтверждений, в том числе дублирующихся подтверждений для быстрого восстановления в ситуациях, когда несколько сегментов остаются не полученными в пункте назначения.

RFC 4138: Forward RTO-Recovery (F-RTO): алгоритм определения истечения времени ожидания при случайной повторной передаче по протоколу TCP и протокол SCTP
Случайная повторная передача сегментов TCP может возникать при внезапном увеличении времени приема-передачи, в результате чего истекает время ожидания повторной передачи уже отправленных сегментов и протокол TCP начинает еще раз отправлять их. Если увеличение происходит перед отправкой полного окна данных, отправитель может заново отправить целое окно данных. Алгоритм F-RTO предотвращает случайную повторную передачу сегментов TCP следующим образом.
Когда истекает время ожидания передачи для нескольких сегментов, протокол TCP пересылает только первый сегмент. При получении первого подтверждения протокол TCP начинает отправлять новые сегменты (если это допускается указанным размером окна). Если следующее подтверждение показывает, что другие сегменты, время ожидания которых истекло, не были переданы повторно, протокол TCP решает, что повторная передача была случайной и не передает повторно другие сегменты, время ожидания которых истекло.
В результате в сетях, где время приема-передачи может неожиданно меняться, например, если беспроводной клиент переходит от одной точки доступа к другой, F-RTO предотвращает ненужную повторную передачу сегментов и быстрее возвращается к нормальной скорости передачи. Использование восстановления при потерях на базе SACK и F-RTO лучше всего подходит для соединений GPRS.

Джозеф Дэвис (Joseph Davies) работает техническим писателем в корпорации Майкрософт. Он занимается преподаванием и пишет о сетях Windows с 1992 года. Дэвис написал пять книг, опубликованных издательством Microsoft Press, и ведет ежемесячную рубрику TechNet Cable Guy.


 Windows PowerShell: Конструкции языка сценариев Windows PowerShell
Windows PowerShell
Конструкции языка сценариев Windows PowerShell
Дон Джонс (Don Jones)

В прошлом месяце я показывал несколько способов использования Windows PowerShell для незамедлительного решения администраторских задач без написания каких бы то ни было сценариев. Но хоть Windows PowerShell и превосходна в роли интерактивной оболочки, выжать из неё максимум и автоматизировать более сложные задачи можно только с использованием простого, но мощного языка сценариев.
Вы можете задаться вопросом – а нужен ли был Майкрософт ещё один язык сценариев? В конце концов, она уже создала KiXtart, процессор сценариев входа, да и Visual Basic® Scripting Edition (VBScript). Ответ, однако же, "да". Майкрософт был нужен ещё один язык сценариев. Я объясню почему.
Язык Windows PowerShell™ должен был быть простым и интуитивно понятным, так, чтобы администраторы могли овладеть им без глубокого обучения. Он также должен был быть достаточно гибким, чтобы вобрать всю мощную функциональность, которую Windows PowerShell предоставляет пользователю.
Поскольку Windows PowerShell основана на Microsoft® .NET Framework, синтаксис её сценариев должен был быть совместим с .NET. Создавая этот язык, разработчики остановились на синтаксисе, в целом представляющим собой очень упрощённый C# (произносится "си-шарп"; один из языков, поставляемых с .NET Framework). Почему не оставить синтаксис, подобный VBScript? Отличия языка Windows PowerShell от VBScript не настолько уж велики, но при этом PowerShell даёт определённый толчок в изучении программирования под .NET Framework благодаря синтаксису, напоминающему C#. Если вы решите перейти на Visual Studio® и начать создавать приложения на C#, полученное благодаря сценариям Windows PowerShell знание синтаксиса вам пригодится.
Одна из самых важных частей языка сценариев Windows PowerShell — да и любого другого языка сценариев — его конструкции. Это элементы языка, позволяющие выполнить логическое сравнение и предпринять различные действия в зависимости от его результата, или дающие возможность повторять одну или несколько команд снова и снова.

Размышляя логически
Логические сравнения лежат в основе многих языков сценариев, и Windows PowerShell не исключение. При любом сравнении оцениваются два значения или объекта и определяется результат - True (истина) или False (ложь). К примеру, можно задаться вопросом: "Срок действия пароля этого пользователя истекает сегодня?". Результатом будет либо True, если две даты совпадают, либо False, если они различны. Я пишу True и False с большой буквы, поскольку это термины Windows PowerShell.
Вот небольшой пример логического сравнения, которое можно предпринять при помощи Windows PowerShell:
PS C:\> $a = 1
PS C:\> $b = 2
PS C:\> $a -eq $b
False
Здесь я создаю переменную с именем $a и присваиваю ей значение 1. В Windows PowerShell имена переменных всегда начинаются со знака доллара, так что их легко отличить. Знак "=" называется оператором присваивания, поскольку используется для присваивания значения. Затем я создаю вторую переменную, $b, и присваиваю ей значение 2. А затем происходит и само логическое сравнение — я прошу Windows PowerShell сравнить содержимое $a и $b при помощи оператора равенства -eq. PowerShell производит сравнение, определяет, что значения не равны и отображает результат: False.
Операторы в Windows PowerShell несколько отличаются от операторов других языков сценариев и даже от операторов C#. В большинстве языков оператор "=" не только присваивает значения, но и выполняет сравнение на равенство. В Windows PowerShell эта неоднозначность устранена введением отдельного оператора для каждого действия. На рисунке 1 показаны операторы сравнения Windows PowerShell и соответствующие им операторы из других языков, с которыми вы можете быть уже знакомы (например VBScript).
Figure 1 Операторы сравнения PowerShell (Close Figure 1)

Оператор | Название | Описание
-eq | Равно | Сравнивает значения на равенство. В других языках может использоваться = или ==.
-ne | Не равно | Сравнивает значения на неравенство. В других языках может использоваться <> или !=.
-gt | Больше | Проверяет, что одно значение больше другого. В других языках может использоваться знак >.
-lt | Меньше | Проверяет, что одно значение меньше другого. В других языках может использоваться знак <.
-ge | Больше или равно | Проверяет, что одно значение больше или равно другому. Сходен с >= в VBScript и других языках.
-le | Меньше или равно | Проверяет, что одно значение меньше или равно другому. Сходен с <= в VBScript и других языках.
У операторов сравнения есть и другая интересная особенность. Взгляните на этот пример:
PS C:\> $a = "TechNet"
PS C:\> $b = "technet"
PS C:\> $a -eq $b
True
По умолчанию операторы сравнения нечувствительны к регистру, так что содержащая заглавные буквы строка "TechNet" оказывается равна "technet". Это весьма удобно, потому как в большинстве администраторских задач регистр букв не имеет значения. Но когда это не так, можно произвести и чувствительное к регистру сравнение, добавив букву "c" к оператору:
PS C:\> $a -ceq $b
False
Если вы забудете, какой тип сравнения используется по умолчанию, можно по тому же принципу добавить к оператору букву "i", тем самым явно указав нечувствительность к регистру:
PS C:\> $a -ieq $b
True
Всё, что нужно запомнить — это что операторы сравнения всегда возвращают одно из двух значений: True или False.

Принимая решения
Узнав, как составлять логические выражения, можно начать использовать их в конструкциях. Первая из них позволяет Windows PowerShell принять решение, основываясь на сравнении. Она называется конструкцией If, и у неё есть несколько вариантов. Вот простейший:
PS C:\> if ($a -eq $b) {
>> Write-Host "They are equal"
>> }
>>
They are equal
Здесь стоит отметить несколько интересных моментов. Прежде всего, переменные $a и $b всё ещё содержат значения "TechNet" и "technet" соответственно. Конструкция начинается с ключевого слова If. За ней, в скобках, идёт логическое сравнение, которое мне надо было произвести. Затем фигурная скобка, обозначающая начало "условного кода" — кода, который будет выполнен, если результатом сравнения будет True. Из предыдущего примера вы знаете, что это сравнение возвращает True, так что условный код очевидно будет выполнен. Печатаю свой условный код, Write-Host "They are equal", и нажимаю клавишу ВВОД. Наконец, закрывающая фигурная скобка отмечает конец секции с условным кодом. После неё нажимаю клавишу ВВОД дважды. Второе нажатие, на пустой строке, даёт анализатору понять, что я закончил код и хочу выполнить его.
Обратите внимание, что эта конструкция запускается не из файла сценария. Я просто печатал её в командной строке Windows PowerShell. Вот что делает этот продукт уникальным в мире сценариев Windows: сценарии можно создавать как интерактивно, так и помещая их в файл для долговременного хранения.
Как только я ввёл открывающую фигурную скобку и нажал ВВОД, Windows PowerShell отобразила приглашение >>. Так она сообщает: "Я вижу, что вы внутри конструкции, и жду, когда вы начнёте печатать то, что её составляет". После ввода закрывающей скобки и двойного нажатия ВВОД, она выполнила конструкцию, определив, что логическое сравнение возвращает True, и выполнив условный код. Это видно по тому, что "They are equal" появляется на экране прежде чем PowerShell возвращается к обычному приглашению командной строки. Использование Windows PowerShell для интерактивного написания сценариев позволяет быстро протестировать отрывки кода перед их включением в основной сценарий, что упрощает как отладку, так и обучение.
Следует отметить, что оболочка отнюдь не требует каждый раз нажимать клавишу ВВОД. Например, предыдущий сценарий можно переписать так:
PS C:\> if ($a -eq $b) { Write-Host "They are equal" }
They are equal
Поскольку я напечатал всё в одной строке, Windows PowerShell не потребовалось отображать специальное приглашение >>. Конструкция была выполнена, как только я нажал ВВОД в конце строки. Из чего следует, что выполнять её было можно сразу? Из того, что она была завершена — закрывающая фигурная скобка была на месте.
Выше я упомянул, что у конструкции If есть и другие варианты. Вот законченный пример, более характерный для файла сценариев PS1, чем для оболочки:
if ($a -eq $b) {
  Write-Host "They are equal"
} elseif ($a -lt $b) {
  Write Host "One is less than the other"
} else {
  Write Host "One is greater than the other"
}
Конструкция начинается точно так же, с ключевого слова If. Но здесь, если первое сравнение возвращает False, выполняется второе сравнение, обозначенное ключевым словом Elseif. Если же и оно вернёт False, тогда последнее ключевое слово — Else — обеспечит выполнение соответствующего ему кода.

Повторяясь
Windows PowerShell содержит несколько конструкций для выполнения кода до тех пор, пока некоторое условие не станет равным True или False. Программисты называют их циклами. А один из самых полезных циклов позволяет даже перечислять объекты в коллекции и выполнять одну или несколько строк кода для каждого объекта. Он вполне удачно назван foreach, и выглядит следующим образом:
PS C:\> $names = get-content "c:\computers.txt"
PS C:\> foreach ($name in $names) {
>> Write-Host $name
>> }
>>
don-pc
testbed
Всё начинается с обращения к командлету Get-Content с целью получить содержимое созданного мною файла c:\computers.txt, в который я поместил имена компьютеров, по одному на каждую строку. Windows PowerShell трактует каждую строку как объект, а файл, таким образом, представляется коллекцией этих объектов. Сохранена она в переменной $names. С помощью ключевого слова Foreach я перечисляю элементы коллекции $names, используя переменную $name для хранения текущего объекта при каждом выполнении цикла. Код самого цикла находится в фигурных скобках. Каждое имя, взятое из файла, я хочу вывести в командную строку. И, как видно из результата выполнения, следующего за конструкцией, именно это Windows PowerShell и делает. Преимущества для администраторских задач очевидны: можно, например, запросто создать список серверов и использовать Windows PowerShell для получения информации от каждого сервера по очереди.

Примеры из жизни
Составим что-нибудь полезное из логических сравнений и конструкций If и foreach. Я хочу быстро проверить состояние службы сообщений у каждого из группы серверов. На большинстве серверов эта служба должна быть остановлена, так что я не хочу получить список серверов, где она и правда остановлена. Мне нужны только сервера, где служба сообщений запущена, и именно в их отношении я должен что-то предпринять.
Я знаю, что мог бы использовать командлет Get-Service для получения нужной информации с локального компьютера. Но к удалённому компьютеру он получить доступ не может. К счастью, ту же информацию можно получить с помощью WMI (Windows Management Instrumentation — инструментарий управления Windows), используя командлет Get-WMIObject, позволяющий работать с удалённым компьютером. Получается следующий сценарий:
$names = get-content c:\computers.txt
foreach ($name in $names) {
  $svc = get-wmiobject win32_service '
   -computer $name -filter "name='messenger'"
  if ($svc.started -eq $True ) {
    write-host "$name has Messenger running"
  }
}
Заметили символ ' в конце третьей строки? Он сообщает Windows PowerShell, что следующая строка — продолжение предыдущей. Это удобно в случаях вроде этого, когда вся строка целиком не поместилась бы на журнальной полосе без переноса. Обратите также внимание на сравнение $svc.started с $True в конструкции If. $True — особая переменная в Windows PowerShell, которая представляет логическое значение True. Обратная ей переменная $False представляет логическое False. В целом, я мог бы написать чуть более короткий код:
$names = get-content c:\computers.txt
foreach ($name in $names) {
  $svc = get-wmiobject win32_service '
   -computer $name -filter "name='messenger'"
  if ($svc.started) {
    write-host "$name has Messenger running"
  }
}
Ведь условие конструкции If должно быть просто True или False. Обычно True или False получаются в результате сравнения двух значений, как в первом варианте сценария. Но раз свойство Started может принимать значения только True или False, нет никакой нужды дополнительно сравнивать его с True или False.

Один полезный инструмент
Таков вот он — простой, удобный инструмент администратора, включающий различные конструкции для выполнения текущих задач. Набираете ли вы сценарий интерактивно в Windows PowerShell или сохраняете его в PS1-файл для последующего использования, вы одинаково удобно можете проверить состояние служб на различных компьютерах, что великолепно демонстрирует пользу конструкций в автоматизации задач администрирования.

Дон Джонс (Don Jones) — директор по проектам и услугам в SAPIEN Technologies и соавтор книги "Windows PowerShell: TFM" (SAPIEN Press, 2006). Связаться с ним можно через его веб-сайт ScriptingAnswers.com (на английском языке).


 Эй, программист!: Осторожней со словами!
Эй, программист!
Осторожней со словами!
Сотрудники группы Microsoft Scripting Guys

Во время Гражданской войны в США (а именно, в ходе битве в округе Спотсильвания) генерал «северян» Джон Седжвик (John Sedgwick) рассердился, увидев, что его солдаты прячутся от случайных выстрелов со стороны противника. Согласно легенде, генерал сказал солдатам: «Мне стыдно за вас. С такого расстояния и в слона-то не попадешь!». Спустя несколько мгновений Седжвик вошел в историю как самый старший офицер, убитый в эту войну. Возможно, Седжвик был прав насчет слонов, но вот, к несчастью для себя, насчет генералов ошибся.
Мораль этой истории... ну да: «когда в тебя стреляют £ не высовывайся», так ведь? Как это мы не додумались? Вместо этого у нас получилось следующее: «Будь осторожен со словами, которые говоришь: однажды, вернувшись, они могут очень сильно повлиять на твою судьбу». Так было с генералом Седжвиком и со многими другими. К примеру, никто не помнит Томаса Уотсона (Thomas Watson), основателя и на протяжении многих лет главу IBM, как величайшего в американской истории бизнесмена. Зато его помнят как человека, сказавшего: «Возможно, нам удастся продать штук пять компьютеров».
Самое интересное, что доказательств того, что Уотсон на самом деле это говорил, нет. Он скорее процитировал чье-то мнение по данному вопросу. Сейчас это уже неважно. В конце концов, одна мысль о том, что глава IBM мог сказать, что компьютерного рынка не существует, заставляет забыть о каких-то там фактах.
Между прочим, Уотсон говорил: «Чтобы достичь успеха, нужно удвоить частоту отказов». И этому совету наша группа следует безоговорочно.
Ну, по крайней мере, в том, что касается удвоения частоты отказов.
Или вот еще цитата: «Среду Microsoft®.NET Framework нельзя использовать при написании VBScript-сценариев». Это утверждение, конечно, не такое яркое и запоминающееся, как про слона или про пять компьютеров, но оно так же далеко от истины. Да, действительно, среда .NET Framework создавалась прежде всего для написания программ на C# и Visual Basic® и с помощью VBScript нельзя создавать экземпляры ее собственных классов. Но это не значит, что при написании сценариев средства .NET Framework абсолютно недоступны.
Конечно, никто не спорит с тем, что большинство классов .NET Framework недоступны для VBScript-сценариев. Тем не менее, довольно много этих классов имеют оболочки, вызываемые средствами COM, что попросту означает, что у этих классов есть COM-интерфейс, благодаря которому их можно вызывать из сценариев, написанных в том числе и на VBScript. Не верите? Тогда взгляните на рис. 1, где показан раздел HKEY_CLASSES_ROOT реестра. Вы увидите множество различных классов, имена которых начинаются с «System».
Рис. 1. Системные классы реестра
Рис. 1. Системные классы реестра (Щелкните изображение, чтобы уменьшить его)
Рис. 1. Системные классы реестра
Рис. 1. Системные классы реестра (Щелкните изображение, чтобы увеличить его)
Большинство из них являются классами .NET Framework и их экземпляры могут быть созданы средствами VBScript.
Вот так-то!
Все, кто когда-либо приобретал товары, рекламирующиеся по телевизору поздно ночью, подтвердят, что совершенно необязательно делать что-то только потому, что это можно делать (как правило, всегда найдется причина, почему эти товары не продаются в магазинах). Да, в сценарии можно создать экземпляр класса System.ContextMarshalException... Только вот непонятно, кому и зачем это нужно.
Но есть и другие классы .NET Framework. Например, принято считать, что не существует простых методов сортировки элементов списка в сценарии. Для сортировки элементов по алфавиту необходимо использовать несвязный список записей или самостоятельно написать некую хитрую функцию, например функцию с использованием метода пузырьковой сортировки, подобную приведенной ниже (если вы не сможете переварить следующий абзац, пропустите его):
For i = (UBound(arrNames) - 1) to 0 Step -1
    For j= 0 to i
        If UCase(arrNames(j)) >
          UCase(arrNames(j+1)) Then
            strHolder = arrNames(j+1)
            arrNames(j+1) = arrNames(j)
            arrNames(j) = strHolder
        End If
    Next
Next
Только не расстраивайтесь, мы сами не до конца понимаем, что же такое написали.
Итак, чем в подобной ситуации нам может помочь .NET Framework? Для ответа на этот вопрос давайте рассмотрим очень простой и понятный сценарий:
Set DataList = CreateObject _
      ("System.Collections.ArrayList")

DataList.Add "B"
DataList.Add "C"
DataList.Add "E"
DataList.Add "D"
DataList.Add "A"

DataList.Sort()

For Each strItem in DataList
    Wscript.Echo strItem
Next
Как видите, мы просто создаем экземпляр класса System.Collections.ArrayList среды .NET Framework. Затем используем метод Add для добавления в список пяти элементов. Все это хорошо, но элементы добавлены случайным образом (B, C, E, D, A), а нам нужно, чтобы они располагались в алфавитном порядке (A, B, C, D, E). Теперь нам понадобится процедура сортировки пузырьковым методом, так?
Нет. (Извините за резкость, но «нет» значит «нет».) На самом деле достаточно вызвать метод Sort классаArrayList:
DataList.Sort()
И все. Сортировка элементов производится с помощью всего одной строки.
Нужны доказательства? Вот ведь какая недоверчивая публика. Ладно, мы знали, что здесь найдется Фома неверующий, а то и двое. Именно поэтому в сценарии используется цикл For Each, проходящий все элементы списка и выводящий значения каждого из них на экран:
For Each strItem in DataList
    Wscript.Echo strItem
Next
Следующий вопрос: что мы получим на выходе?
Правильный ответ:
A
B
C
D
E
Замечательно, правда?
Гм, кажется, еще не все в восторге. Говорите, что все это прекрасно, но вам хотелось бы отсортировать значения в обратном порядке, по убыванию? Т.е. вы предпочитаете список от Я до А, а не от А до Я. И вот если мы и такое сможем, то тогда... ну ладно. . .
Нет проблем. Пожалуйста:
Set DataList = CreateObject _
      ("System.Collections.ArrayList")

DataList.Add "B"
DataList.Add "C"
DataList.Add "E"
DataList.Add "D"
DataList.Add "A"

DataList.Sort()
DataList.Reverse()

For Each strItem in DataList
    Wscript.Echo strItem
Next
Ваша правда, это выглядит так же ужасно, как и предыдущий сценарий. Но есть одно отличие. Взгляните на единственную добавленную нами строчку кода, которая идет сразу после метода Sort:
DataList.Reverse()
Видите? После сортировки по возрастанию мы вызвали метод Reverse, который £ представьте себе £ расставляет элементы массива в обратном порядке. Что это дает? На выходе это дает следующее:
E
D
C
B
A
Впечатляет, да?
Подождите-ка. Все еще лучше. Вы когда-нибудь пытались удалить элемент из массива в сценарии VBScript? Не бойтесь, мы не будем предлагать вам это сделать. Вместо этого, сейчас вы увидите, как просто удалить элемент из класса ArrayList. Не нравится буква «D»? Так давайте от нее избавимся. Вот сценарий, который создает список массивов, сортирует его, а затем удаляет элемент D:
Set DataList = CreateObject _
  ("System.Collections.ArrayList")

DataList.Add "B"
DataList.Add "C"
DataList.Add "E"
DataList.Add "D"
DataList.Add "A"

DataList.Sort()
DataList.Remove("D")

For Each strItem in DataList
    Wscript.Echo strItem
Next
Опять-таки, обратите внимание на коротенькую строчку кода сразу за методом Sort:
DataList.Remove("D")
Здесь мы использовали метод Remove, чтобы удалить элемент, значение которого равно D. И вот что мы получаем на выходе:
A
B
C
E
Аста ла виста, D!
И самое главное: мы можем удалить элемент, не меняя исходный размер и размерность массива. Совсем хорошо. Естественно, мы точно так же можем добавлять элементы в массив, оставляя неприкосновенными его размер и размерность. И не говорите, что это не облегчает процесс написания сценариев.
Верите или нет, но мы показали вам лишь малую часть возможностей работы с массивами .NET Framework. Более подробная информация приведена на веб-узле arraylist entry in the .NET Framework SDK (на английском языке).
Нужен ли класс ArrayList для написания сценариев? Скажем так, после его изучения мы не можем с уверенностью сказать, что встроенный VBScript-массив необходим, по крайней мере, для работы с такими простыми списками элементов как рассмотренные выше.
Но надо признать, что наша группа, Scripting Guys, не проводила исчерпывающего исследования .NET Framework для выяснения того, какие классы могут оказаться полезными для написания сценариев, а какие нет. Этим мы как раз занимаемся в данный момент. Вы, между тем, можете сами начать изучатьПакет средств разработки программного обеспечения.NET Framework SDK (на английском языке). Складывается ощущение, что в пакете SDK программист, пишущий сценарии, всегда найдет для себя что-то новое и интересное.
Хотите пример? Как насчет генератора случайных чисел? Хотите получить случайное число от 1 до 100 с помощью генератора случайных чисел VBScript? Пожалуйста. Просто используйте код вроде этого:
Randomize
Wscript.Echo Int((100 - 1 + 1) * Rnd + 1)
Запомнили формулу? Нет? Ну и ладно. Оказывается, класс System.Random среды .NET Framework намного проще и более интуитивно-понятный:
Set objRandom = CreateObject("System.Random")
Wscript.Echo objRandom.Next_2(1,100)
Скорее всего, вы уже и сами все поняли. Однако мы все-таки коротко прокомментируем происходящее, потому что главный редактор TechNet Magazine считает, что ведущий колонки обязан каждый месяц хоть что-то написать. (Такой порядок выше нашего понимания.)
Как видите, мы создаем экземпляр класса System.Random и затем вызываем метод Next_2, передавая ему два параметра:
  • 1 £ это нижняя граница интервала (помните, мы хотели получить случайное число от 1 до 100).
  • 100 £ верхняя граница.
Вот и все, что нужно сделать.
Похоже, у нас есть время на последний вопрос из зала. Да, пожалуйста, вот вы, молодой человек в зеленой рубашке. Кто же это сказал, что при написании сценариев у нас нет доступа к .NET Framework? Ну, если совсем честно, когда мы начинали, мы... ой, похоже, наше время истекло. До встречи через месяц!
Веселые деньки
Скоро февраль, что означает только одно. Нет, не День Святого Валентина. И не День защитника Отечества. Неужели День сурка? Да нет, чем ближе февраль, тем ближе зимний чемпионат по программированию 2007 (Winter Scripting Games), самые главные и, возможно, единственные в своем роде международные соревнования по написанию сценариев. В этом году игры обещают быть еще масштабнее, еще лучше, чем когда-либо. На этот раз у нас будет четыре группы:
  • VBScript, начинающие
  • VBScript, мастера
  • Windows PowerShell™, начинающие
  • Windows PowerShell, мастера
Более подробная информация приведена на веб-узле: 2007 Winter Scripting Games (на английском языке).
Что, простите? Да, спасибо. Конечно... и вас с Днем сурка.

Загрузить Windows PowerShell сейчас
Windows PowerShell 1.0 теперь доступен для загрузки. Бесплатно! Разве можно упустить такой шанс? Загрузите PowerShell и начните пользоваться им уже сегодня.

Сотрудники группы Microsoft Scripting Guys работают... ну хорошо, числятся в корпорации Майкрософт. Когда они не играют в бейсбол, не тренируют бейсбольную команду, не смотрят бейсбол и не занимаются другими делами, они ведут проект Script Center в журнале TechNet. Веб-узел проекта: www.scriptingguys.com (на английском языке).


 Exchange Queue&#160;£ очередь за ответами (Exchange Queue &amp; A): У нас есть все ответы (потому что вопросы мы сформулировали сами)
Exchange Queue £ очередь за ответами (Exchange Queue & A)
У нас есть все ответы (потому что вопросы мы сформулировали сами)
Кей Си Лемсон (KC Lemson) and Пол Бауден (Paul Bowden)

Приветствуем! Перед вами первый выпуск рубрики «Exchange Queue £ очередь за ответами»! Мы начнем с вопросов, которые, честно говоря, сами и придумали, так что это не совсем настоящая рубрика вопросов и ответов £
разве только предположить, что вопросы задают и отвечают на них перед зеркалом. Как бы то ни было, мы считаем, что эти вопросы могут возникнуть у заказчиков Microsoft® Exchange Server, поэтому моральное право их ставить у нас есть. Естественно, мы с удовольствием ответим и на ваши собственные вопросы, которые можно высылать по адресу queuea@microsoft.com.
Пока что мы планируем привлекать к этой рубрике по очереди разных авторов (по принципу «покидаемся авторами в стену и посмотрим, кто из них прилипнет»), которых объединяет одно: они многие годы работали с Exchange. В этом месяце ответы (и вопросы!) составляли Кей Си Лемсон (KC Lemson) и Пол Бауден (Paul Bowden) £ главные менеджеры программы в группе разработчиков Exchange корпорации Майкрософт. В деле разработки Exchange мы оба £ старожилы. Со временем наши задачи претерпевали некоторые изменения, но мы никогда не отрывались от области обмена сообщениями.
Кей Си работает в группе Exchange последние шесть лет; она занимала в ней самые разные должности £ в частности, была менеджером программы Microsoft Outlook® Web Access (OWA) и главным менеджером программы, ответственным за предварительную версию продукта. Сейчас она занимает место менеджера по взаимодействию Exchange с пользователями; в сферу ее обязанностей входят проектирование продукта и изучение требований заказчиков. До перехода в группу Exchange она три года проработала тестировщиком Outlook, занимаясь тестированием вложений; все это происходило еще в те времена, когда пользователи считали блокировку исполняемых вложений в высшей степени недостойным занятием. Кей Си ведет блог по адресу blogs.technet.com/kclemson.
Пол посвятил последние три года работе над весьма толковым средством ExBPA (Exchange Best Practices Analyzer £ средство анализа рекомендаций для Exchange). Пару месяцев назад он даже получил за нее награду и сфотографировался вместе с Биллом Гейтсом. Однако, поскольку работа над Exchange Server 2007 заканчивается, ему пора сменить занятие. Самое время прекращать грезить конструкциями на XML и возвращаться к более практичным вещам. Когда мы приступим к следующей версии Exchange (а это случится, как только на рынок выйдет Exchange Server 2007), его назначат менеджером выпуска.
Кстати говоря, прониклись ли вы нашим беспрецедентным остроумием, прочитав название рубрики? Правда, придумали его не мы, а один из читателей блога Кей Си. (Понравилась футболка, Тим?) Нам понравились и другие предложения: «За пределы конверта» и «Когда мне стукнет X64», причем последнее настолько вдохновило Кей Си, что она зарегистрировала домен www.whenimx64.com и настроила переадресацию на свой блог. Вот бы мы могли с такой же легкостью делать в жизни все, что нам захочется!
Между прочим! Кей Си сначала предложила назвать рубрику «Ежемесячной очередью за ответами», но, по справедливому замечанию нашего редактора, мы еще только начинаем заниматься этими материалами и нет уверенности в том, что нам удастся придерживаться установленного графика (на самом деле, редактор выразился более обтекаемо, но мы-то поняли, что он имеет в виду!). Кроме того, мы не знаем, какими отзывами нас вознаградят читатели рубрики, поэтому стоит ли ее продолжать £ вопрос все еще открытый. Итак, мы сошлись на нынешнем имени, а о том, нравится ли оно вам или нет, можно написать по адресу queuea@microsoft.com.
Ладно, хватит болтовни, перейдем к вопросам...

Вопрос: Что такого необычного в Exchange Server 2007?
Ответ: Рискованно начинать первый же выпуск с маркетинговой темы, но нам самим до того нравится Exchange Server 2007, что мы просто обязаны поделиться своими впечатлениями с вами. Мы попытаемся свести к минимуму маркетинговые конструкции, рассказав о некоторых из тех причин технологического свойства, по которым каждый администратор и пользователь Exchange непременно полюбит Exchange 2007.

Повышение производительности и масштабируемости.
Начнем с самого очевидного £ 64-разрядной архитектуры. «Ну и что в этом особенного?», £ спросите вы. Во-первых, в 32-разрядной версии Windows® общий объем памяти не может превышать 4 ГБ (232 байт), из которых 2 ГБ по умолчанию предоставляются ядру, оставляя всего 2 Гб под приложения. В текущей версии Windows в файле boot.ini предусмотрен переключатель /3GB, который расширяет доступный для приложений объем памяти до 3 ГБ, но в таком режиме ядро Windows чувствует себя не очень комфортно и для восстановления ресурсов сервер приходится довольно часто перезагружать.
Эта проблема успешно решается благодаря сочетанию 64-разрядной архитектуры с некоторыми существенными изменениями ядра СУБД (JET) в сервере Exchange. Так как серверы Exchange традиционно зависят от операций ввода-вывода на диск в значительно большей степени, чем от других системных ресурсов (например, процессора), при увеличении объема памяти в системе ввод-вывод на диск заметно сокращается £ действительно, зачем считывать данные с диска, если их можно держать в памяти? В итоге при одинаковых характеристиках аппаратного обеспечения Exchange 2007 позволяет выделять пользователям значительно более объемные почтовые ящики, чем Exchange 2003. К примеру, почтовый сервер корпорации Майкрософт, на котором учетная запись есть и у меня, поддерживает 4 000 пользователей почтовых ящиков с квотой 2 ГБ, что в сумме составляет 6 терабайт (ТБ) данных. Уточню свою мысль: то обстоятельство, что сервер Exchange 2007 способен эффективно работать с большим объемом памяти, не означает, что ему необходим такой объем. Мы протестировали машину с 32-разрядной версией Windows Server® 2003 и сервером Exchange 2003 с 4 ГБ памяти и меньше, затем установили 64-разрядную версию Windows Server 2003 в сочетании Exchange 2007, и производительность во втором случае не снизилась.
Кроме того, в Exchange 2007 появились два новых метода повышения доступности: непрерывная кластерная репликация (CCR) и локальная непрерывная репликация (LCR). Эти технологии снижают риск сбоев в системе хранения, способных привести к серьезным проблемам. Технология LCR ведет локальную копию баз данных на том же компьютере, но при необходимости ее можно перенести на другой носитель. Технология CCR может выполнять аналогичную функцию между двумя компьютерами в сети. В сочетании с усовершенствованиями по части ввода-вывода на диск, которые мы рассмотрели ранее, технология CCR открывает новые возможности в области устройств хранения; если вы предпочитаете носители прямого подключения (например, диски SATA или SCSI), в новых условиях они становятся более экономичным и эффективным решением.

Администрирование
Специалисты корпорации Майкрософт приложили огромные усилия к тому, чтобы усовершенствовать административные функции сервера Exchange 2007 £ в частности, интерфейс командной строки, изображенный на рис. 1. Он называется средой управления Exchange (Exchange Management Shell £ EMS) и разработан на основе Windows PowerShell™. Если вы не поклонник командной строки, ничего страшного £ графический интерфейс сохранен, но теперь он называется консолью управления Exchange (Exchange Management Console £ EMC), а уровень его интуитивности по сравнению с диспетчером системы (System Manager) заметно повысился (см. рис. 2). Всем, кто предпочитает интерфейсы командной строки или интересуется ими, мы настоятельно рекомендуем ознакомиться с консолью EMS сервера Exchange 2007.
Рисунок 1 Состояние группы хранения в среде управления Exchange
Рисунок 1 Состояние группы хранения в среде управления Exchange (Щелкните изображение, чтобы уменьшить его)
Рисунок 1 Состояние группы хранения в среде управления Exchange
Рисунок 1 Состояние группы хранения в среде управления Exchange (Щелкните изображение, чтобы увеличить его)
Рисунок 2 Аналогичное состояние в консоли управления Exchange
Рисунок 2 Аналогичное состояние в консоли управления Exchange (Щелкните изображение, чтобы уменьшить его)
Рисунок 2 Аналогичное состояние в консоли управления Exchange
Рисунок 2 Аналогичное состояние в консоли управления Exchange (Щелкните изображение, чтобы увеличить его)
При работе с сервером Exchange 2003 для выполнения сложных административных задач вам, вероятно, приходилось обращаться к сценариям инструментария управления Windows (Windows Management Instrumentation £ WMI). В EMS такие задачи может выполнить каждый, кто способен отличить строку "CD C:\TEMP" от названия альбома новой группы. Один из нас £ бывший системный администратор ОС UNIX, поэтому нашу объективность в этом вопросе можно поставить под сомнение, но мы можем найти множество рекомендаций от незаинтересованных лиц, которые со всей ответственностью признают: среда управления очень интуитивна, даже если вы никогда раньше не пользовались командной строкой (подробнее об этом мы поговорим в следующем выпуске «Очереди за ответами»).
Одно из преимуществ среды Windows PowerShell заключается в том, что она является объектно-ориентированной. Информация (например, список почтовых ящиков или SMTP-соединителей), полученная с сервера, автоматически сохраняется в объекте или переменной, а затем для удобства восприятия передается в поток stdout в виде текста. Объект можно напрямую передать другой команде и управлять им в конвейере (в таком случае передается не текст, а объект, что упрощает изменение данных и операции с его отдельными элементами). Приведу простой пример.
Get-Mailbox | Set-Mailbox -ProhibitSendQuota 250MB
Команда Get-Mailbox производит выборку списка существующих в системе почтовых ящиков. Символ конвейеризации | свидетельствует о том, что выходные данные команды слева должны быть переданы команде справа. Следующая часть команды, "Set-Mailbox-ProhibitSendQuota 250MB", обозначает квоту, которая распространяется на все почтовые ящики; в соответствии с этой квотой, пользователь теряет возможность отправки сообщений электронной почты объемом свыше 250 МБ. Квоту можно задать и по-другому £ например, как 250000000, 250000KB или .25GB. В части обработки данных среда проявляет значительную гибкость.
Еще одно важное преимущество сервера Exchange 2007 в сфере администрирования £ возможность создания при помощи мастера, напоминающего аналогичный инструмент в Outlook, правил транспорта, которые помогают применять к сообщениям, проходящим через систему, бизнес-логику. Нужно при помощи регулярного выражения заблокировать все сообщения электронной почты, в тексте которых предположительно содержатся номера социального страхования? Пожалуйста! Хотите реализовать этический регламент, согласно которому обмен сообщениями электронной почты между двумя отделами вашей организации должен быть запрещен? Пожалуйста! Нужно добавлять во все сообщения, отправляемые за пределы организации, текст заявления об отказе от ответственности? Это тоже можно сделать!
Наконец, нам очень понравилась функция настройки системных сообщений. Теперь вы можете вводить индивидуальный текст в отчеты о недоставке и (ну наконец-то!) в сообщения, которые пользователи получают при превышении квот хранения.

Поддержите службу поддержки!
Многие заказчики несут большие расходы при обращении в службу поддержки по вопросам настройки новых профилей Outlook. Служба автообнаружения (Autodiscover) в Outlook 2007 позволяет сразу после запуска Outlook провести автоматический поиск адреса электронной почты и извлечь данные сервера Exchange из службы каталогов Active Directory®, воспользовавшись для этого точкой подключения службы (Service Connection Point). Если вы не подключены к Active Directory, достаточно ввести адрес электронной почты и пароль; на основании этой информации служба автообнаружения загрузит файл XML с указанного веб-сервера (например, http://autodiscover.contoso.com), на котором имеются некоторые базовые данные о настройке £ в частности, координаты сервера, управляющего службой RPC через HTTP (теперь она называется «мобильный Outlook»).
Другая статья затрат на обращение в службу поддержки связана с контролем практически неизбежных случаев ошибочного срабатывания в работе фильтров нежелательной почты. Пользователи могут хранить в Outlook списки надежных отправителей, чьи сообщения не должны подвергаться фильтрации содержимого. В то же время, вплоть до появления Exchange 2007 такие списки позволяли обходить только собственный фильтр Outlook. Если учесть, что фильтр сервера Exchange обрабатывает почту до ее поступления в Outlook, возможность отбраковки сообщений, отправленных с надежных адресов, сохранялась.
Exchange 2007 приходит на помощь пользователям. Если фильтр содержимого нежелательной почты работает в рамках ролей «пограничный сервер» и «сервер-концентратор» Exchange 2007, у вас появляется возможность настроить распространение пользовательских списков надежных отправителей на сервер, и в этом случае нужные письма смогут гарантированно доходить до адресатов без фильтрации. Естественно, один пользователь считает новостной бюллетень нежелательной почтой, а другой читает его с удовольствием, поэтому данные о надежных отправителях подлежат сбору для каждого пользователя в отдельности.

Комфорт конечного пользователя
Единая система обмена сообщениями (Unified Messaging £ UM) в Exchange 2007 позволяет загружать в папку «Входящие» голосовую почту и факсы. (Если вы еще не познакомились с этой системой, знайте: вы многое теряете.) Помимо прочего, вы можете позвонить на сервер Exchange и распорядиться, чтобы он оповестил всех участников совещания, назначенного на 8:00, о том, что вы опаздываете. Теперь даже небольшие организации имеют возможность по своему усмотрению настроить собственного автосекретаря, который будет принимать вызовы заказчиков и перенаправлять их. Для работы системы UM необходима АТС на базе IP (IP/PBX); кроме того, можно подключить традиционную АТС на коммутируемой линии к шлюзу передачи голоса по протоколу IP (Voice over IP £ VoIP).
Новой функцией OWA 2007 является доступ к линии (Link Access). Предположим, вы находитесь в пути, клиента VPN в пределах досягаемости нет. Требуется просмотреть документ Microsoft Word, находящийся в общей папке или на узле SharePoint® в корпоративной сети. Нет ничего невозможного! Загрузите OWA 2007, выберите ссылку Documents (Документы), введите имя общего ресурса или узла SharePoint (http://mysharepointsite или \\сервер\общий_ресурс) и открывайте файл! Естественно, при необходимости администраторы могут заблокировать эту функцию в том или ином режиме: «разрешен доступ ко всем серверам, кроме указанных в списке», «запрещен доступ ко всем серверам, кроме указанных в списке», «доступ к документам разрешен только при входе в OWA с частных компьютеров» и т. д.
Кроме того, в составе OWA есть функция веб-просмотра документов (WebReady Document Viewing £ техническим языком, «перекодировка»), при помощи которой Exchange может преобразовывать файлы определенных типов в формат HTML. Это полезно, если под рукой нет нужной программы. В стандартный набор типов файлов, перекодировка которых будет поддерживаться в Exchange 2007, входят: DOC, DOT, RTF, WBK, WIZ, XLS, XLK, PPT, PPS, POT, PWS и PDF. Архитектура процессора перекодировки допускает подключение встраиваемых модулей, поэтому в последующих пакетах обновления мы сможем внедрять поддержку других типов файлов. Существует также ряд административных настроек, позволяющих разрешить перекодировку отдельных типов файлов или запретить эту операцию полностью.
Если у вас есть мобильные устройства, поддерживающие синхронизацию с сервером Exchange через службу Exchange ActiveSync®, имейте в виду, что теперь при ответе на ветвь сообщений электронной почты и ее пересылке сообщения не подлежат преобразованию в неформатированный текст. Текст ответа размещается сверху, а формат HTML остальной части тела сообщения остается без изменений. Такая возможность предусмотрена для всех устройств, поддерживающих ActiveSync; функции клиентского приложения для этого не требуются.

Вопрос: Говорят, Exchange 2007 «поддерживает 64-разрядную архитектуру только в рабочих средах». Что это означает?
Ответ: Сервер Exchange 2007 представлен как в 32-разрядной, так и в 64-разрядной версиях. 64-разрядная версия предназначена для «рабочей» эксплуатации при исполнении сервером базовых ролей («Почтовый сервер», «Транспортный сервер-концентратор», «Пограничный транспортный сервер», «Клиентский доступ» и «Единая система обмена сообщениями»). 32-разрядная версия предназначена для ознакомления с новыми функциями Exchange 2007. 32-разрядные средства управления могут использоваться и в рабочей среде £ к примеру, управлять действующими 64-разрядными серверами Exchange 2007 можно с настольной 32-разрядной системы Windows XP. Следует также иметь в виду, что схема Exchange 2007 должна быть установлена с компьютера, находящегося в корневом домене. Размещение самого сервера Exchange в корневом домене не является обязательным, но установка расширения схемы в таком домене необходима для обеспечения надежной связи с сетью хозяина схемы. Если в корневом домене нет 64-разрядного сервера, для расширения схемы можно обратиться к файлу setup.exe из 32-разрядной версии.
«Чем плохи 32-разрядные серверы?», £ спросите вы. Если у вас был опыт управления тысячами пользователей с одного сервера, вы, вероятно, знаете, что с учетом ограничений объема памяти, о которых мы упоминали выше, в такой ситуации приходится искать компромисс между производительностью и стабильностью. Если вы приобрести новый компьютер менее чем два года назад, скорее всего, он поддерживает расширения x64. На самом деле, чтобы приобрести в сегодняшних условиях компьютер, который не поддерживает 64-разрядный режим, нужно основательно постараться. Итак, вполне вероятно, что среда, в которой работает ваш сервер Exchange, готова к переходу на 64-разрядный режим; дело лишь в установленной 32-разрядной ОС. С учетом этого обстоятельства рекомендуем после приобретения компьютера с поддержкой 64-разрадного режима установить 64-разрядную версию ОС Windows Server 2003 с пакетом обновлений SP1.
Так почему же в процессе установки выводятся предупреждения не использовать 32-разрядный режим в рабочей среде? Компилировать код Exchange в тех или иных разновидностях довольно просто; каждый компонент полностью оптимизирован и адаптирован к 64-разрядному режиму (на самом деле, некоторые пути, заданные в коде для повышения производительности ввода-вывода на диск в 64-разрядных системах, приводят к некоторому снижению производительности в 32-разрядных средах). Запуская сервер в 32-разрядном режиме, не пытайтесь вывести его на серьезную нагрузку (смоделировать или достичь ее каким-либо другим способом) £ вы все равно не получите адекватного представления о производительности 64-разрядой системы и количестве пользователей, которое сервер сможет обслуживать.
Итак, сформулируем наши мысли еще раз. 32-разрядная версия Exchange 2007 служит следующим целям.
  • Исследование новых функций на сервере, установленном в тестовой среде без рабочих почтовых ящиков.
  • Освоение новой административной консоли, среды командной строки и интерфейса OWA (восхищайтесь, но в меру!).
  • Администрирование серверов Exchange 2007.
  • Расширение схемы в лесу службы Active Directory.
Прежде чем приступать к перемещению почтовых ящиков, необходимо установить на серверах 64-разрядную операционную систему и 64-разрядную версию Exchange 2007. В противном случае программа установки и утилита ExBPA начнут жаловаться (см. рис. 3). Пол это знает наверняка £ он собственноручно писал код!
Рисунок 3 Попытка установить 32-разрядную версию, когда требуется 64-разрядная
Рисунок 3 Попытка установить 32-разрядную версию, когда требуется 64-разрядная (Щелкните изображение, чтобы уменьшить его)
Рисунок 3 Попытка установить 32-разрядную версию, когда требуется 64-разрядная
Рисунок 3 Попытка установить 32-разрядную версию, когда требуется 64-разрядная (Щелкните изображение, чтобы увеличить его)

Вопрос: Какой объем памяти необходим для работы Exchange 2007?
Ответ: Для базовой установки требуется не менее 1 ГБ физической памяти ОЗУ. Как мы уже говорили, при работе в некоторых ролях сервер испытывает серьезные нагрузки. Если вы намерены установить универсальный сервер (выступающий в ролях «Почтовый сервер», «Клиентский доступ», «Транспортный сервер-концентратор» и «Единая система обмена сообщениями»), для начала желательно установить 2 ГБ ОЗУ, а впоследствии, если того потребует число и статистика обращений к почтовым ящикам, расширить объем памяти. Сервер в роли «Пограничный транспортный сервер» или кластер должны быть установлены на разных машинах. Кластер может исполнять только одну роль £ «Почтовый сервер».
Вероятно, вас обрадует то обстоятельство, что теперь в системе с сервером Exchange можно установить более 4 ГБ ОЗУ. На многих современных машинах изначально устанавливается 6 или 8 ГБ ОЗУ, и всегда безумно стыдно вытаскивать модули памяти DDR или использовать ключ /BurnMemory для ограничения ОЗУ до 4 ГБ (к сожалению, если в системе установлено более 4 ГБ памяти, производительность и стабильность Exchange 2003 снижаются £ подробнее см. go.microsoft.com/fwlink/?LinkId=76537).
Серверам инфраструктуры (работающим в ролях «Сервер-концентратор», «Клиентский доступ» и т. п.) вполне достаточно 4 ГБ ОЗУ, даже при самых серьезных нагрузках. Максимальные средства лучше всего вложить в серверы, работающие в роли «Почтовый сервер». Кэш недавно усовершенствованного 64-разрядного ядра JET выдержит ровно столько памяти, сколько вы ему предоставите. Естественно, в отличие от Exchange 2003, сервер Exchange 2007 поддерживает до 50 групп хранения.
Каждая группа хранения, в свою очередь, поддерживает несколько баз данных, но на этом вряд ли удастся сэкономить £ в особенности если учитывать, что LCR и CCR (два метода репликации баз данных, о которых мы говорили выше) работают только с теми группами хранения, которым соответствуют единичные базы данных. Если вы намерены создать множество групп хранения или предоставить каждому пользователю почтовые ящики объемом свыше 2 ГБ, то, конечно, ОЗУ придется расширить. Детальные материалы по масштабированию ОЗУ имеются в блоге группы Exchange, а рисунки 4 и 5 помогут вам приступить к процессу.
Figure 5 ОЗУ и группы хранения (Close Figure 5)

Физическое ОЗУ | Максимальное (рекомендуемое) число групп хранения
2 ГБ | 2
4 ГБ | 8
8 ГБ | 24
12 ГБ | 40
16 ГБ и более | 50
Figure 4 ОЗУ и типы пользователей (Close Figure 4)

Тип пользователей | Рекомендации по объему памяти при различных нагрузках на сервер в роли «Почтовый сервер»
Малая | Базовый объем £ 2 ГБ + по 2 МБ на каждый почтовый ящик
Средняя | Базовый объем £ 2 ГБ + по 3,5 МБ на каждый почтовый ящик
Интенсивная | Базовый объем £ 2 ГБ + по 5 МБ на каждый почтовый ящик
Между прочим, в ИТ-отделе корпорации Майкрософт число групп хранения всегда кратно семи £ дело в том, что существует циклический график резервирования, согласно которому каждый день резервируются лишь некоторые из имеющихся групп хранения. Мы называем его «леденцовым графиком резервирования». Связано это с тем, что группы хранения, подлежащие резервированию в тот или иной день, в таблице Excel обозначаются красным маркером в каскадном порядке. Надеемся, мы вам помогли. Присылайте «настоящие» вопросы, на которые мы постараемся ответить в следующем выпуске.

Кей Си Лемсон (KC Lemson) £ главный менеджер программы в группе разработчиков Exchange Server. В свободное время она помогает сохранить сбережения нигерийской знати.
Пол Бауден (Paul Bowden) £ главный менеджер программы в группе разработчиков Exchange Server. В свободное время она помогает сохранить сбережения нигерийской знати. Пол Бауден также является главным менеджером программы в группе разработчиков Exchange Server. В свободное время он по многочисленным заявкам пересылает реквизиты своего счета в платежной системе PayPal.


 На страже безопасности: Усиление защиты служб в Windows Vista
На страже безопасности
Усиление защиты служб в Windows Vista
Уол Мозес (Wole Moses)

В начале 2002 года корпорация Майкрософт объявила о своей инициативе по обеспечению защищенных вычислений Trustworthy Computing Initiative после того как несколько массово распространившихся вирусов и вирусов-червей разрушили системы Windows и парализовали работу ИТ-отделов, а устранение последствий стоило бизнесу и потребителям огромных денег. В рамках этой инициативы корпорация Майкрософт признала
свою ответственность за проблемы безопасности и провела незамедлительную коррекцию курса и смену парадигмы. При разработке программного обеспечения корпорация Майкрософт перенесла внимание с широты функциональных возможностей на безопасность и целостность программ. Дополнительный стимул инициативе безопасности придала атака вируса-червя Blaster, произошедшая в августе 2003 года. История вируса-червя Blaster приведена в статье под боковым заголовком «Атака клонов».
Основные принципы инициативы по обеспечению защищенных вычислений следующие. Принцип «безопасность при разработке» (Secure by Design) означает использование философии безопасного кодирования. Принцип «безопасность по умолчанию» (Secure by Default) означает, что принятые по умолчанию установки компонентов Windows® должны быть максимально безопасными. Принцип «безопасность при развертывании» (Secure in Deployment) определяет принципы создания инструментов и нормативных руководств, помогающих предприятиям и потребителям защитить инфраструктуру Windows.
В целом инициатива по обеспечению защищенных вычислений привела к значительным улучшениям в обеспечении безопасности. К сожалению, эти улучшения не были полностью использованы в системе Windows XP, поскольку она была выпущена за два года до появления этой инициативы. Хотя с помощью пакета обновления 2 (SP2) удалось в значительной мере внедрить эту философию в систему, все же Windows XP не может быть доработана таким образом, чтобы полностью соответствовать требованиям этой инициативы.
Таким образом, Windows Vista™ является первой операционной системой для настольных компьютеров, которая полностью соответствует задачам инициативы по обеспечению защищенных вычислений. Усиление защиты служб Windows Vista, которое является конкретной реализацией принципа «безопасность по умолчанию» (см. рис. 1), £ это важная новая возможность, разработанная с целью препятствовать ошибочному поведению служб, которое на сегодняшний день может вызываться большим количеством вредоносных программ. С помощью усиления защиты служб корпорация Майкрософт значительно изменила принятое по умолчанию поведение и профиль безопасности служб Windows.
Figure 1 «Безопасность по умолчанию»: службы Windows (Close Figure 1)

Функция | Описание | Результат
Минимальные права | Службы Windows Vista сконфигурированы для использования минимальных прав, необходимых для своего выполнения. | Windows Vista понижает принятые по умолчанию привилегии безопасности, доступные службам Windows, уменьшая потенциальное воздействие вредоносных программ.
Изоляция служб | Чтобы позволить службам выполняться под учетными записями с низкими привилегиями, используются идентификаторы SID. | Система Windows Vista может препятствовать работе вредоносных программ, ограничивая доступ к своим ресурсам на основе службы идентификаторов SID.
Ограниченный доступ к сети | Для всех служб Windows Vista изначально действуют ограничения на работу в сети. | Windows Vista не позволяет вредоносным программам использовать службы для выполнения неправомерных сетевых операций.
Изоляция сеанса 0 | Сеанс 0 зарезервирован для служб. | Windows Vista не позволяет вредоносным приложениям захватывать службы с высоким уровнем привилегий, используя атаки на основе сообщений, поскольку теперь они выполняются в разных сеансах.

Службы повышенного риска
Службы Windows, ранее известные как службы NT, являются постоянно работающими исполняемыми приложениями, которые выполняются в собственных сеансах Windows. Службы могут запускаться автоматически при загрузке компьютера, их работа может быть приостановлена или возобновлена. Обычно у них нет пользовательского интерфейса, они могут выполняться в контексте безопасности учетной записи, которая отличается от учетной записи зарегистрированного в системе пользователя или принятой по умолчанию учетной записи компьютера. Таким образом, использование служб Windows очень удобно для разработки некоторых видов приложений и для конечных пользователей, использующих эти приложения. Однако из-за своей мощности и гибкости службы Windows традиционно были уязвимы, и на то есть несколько причин.
Во-первых, раньше службы Windows выполнялись в основном под учетными записями Windows с высокими привилегиями, такими как системная учетная запись. Если работа службы, выполняемой с системной учетной записью, нарушена вредоносной программой, эта программа может сделать с системой все, что угодно. Например, рассмотрим службу удаленного вызова процедур в Windows XP. До выпуска пакета обновлений SP2 для Windows XP эта служба выполнялась под системной учетной записью, что позволяло вирусам-червям Blaster, Welchia и другим выполнять административные задачи, используя уязвимость удаленного вызова процедур.
Во-вторых, многие службы ориентированы на работу в сети, что позволяет вредоносным программам использовать их, создавая входящие подключения к ним через сеть. Зараженным службам, в свою очередь, это позволяет создавать исходящие подключения чтобы заражать другие системы или выполнять иные незаконные действия, например пересылать перехваченные нажатия клавиш. Большинство случаев заражения вирусами-червями и вредоносными программами на сегодняшний день происходит через сетевые подключения.
Наконец, службы обычно являются постоянно работающими, то есть они запускаются в момент загрузки системы и выполняются до завершения ее работы. Это очень привлекает создателей вредоносных программ, так как означает, что они могут отыскивать бреши в службе в течение всего времени ее работы, что, в конечном счете, предоставляет программе достаточно времени для выполнения своих действий.

Атака клонов
Это мог быть его самый большой триумф. Если бы все пошло по плану, вскоре он смог бы взять под контроль сотни тысяч систем Windows по всему миру, выдать им практически любую команду, а затем спокойно наблюдать, как все его команды послушно выполняются.
Действуя настойчиво, но неуловимо, он начал тайно проверять несколько компьютерных систем, отыскивая уязвимую точку входа. Потребовалось немного времени, чтобы найти то, что нужно £ систему с неисправленной уязвимостью, которую он умел использовать.
Наиболее опасной эту уязвимость делало то, что при успешном ее использовании можно было получить полный административный доступ в систему. Ему не нужен был контроль просто над какой-нибудь учетной записью, он управлял самой мощной административной учетной записью Windows. В своих дальнейших поступках он был ограничен только собственным воображением.
После секундного размышления он опробовал свой преступный код на компьютере с неисправленной уязвимостью, и он сработал! Вот так просто он получил неограниченные привилегии на этом компьютере. Он использовал свой административный доступ, чтобы заставить компьютер загрузить и установить код вредоносной программы типа «троянский конь», внести изменения в реестр и затем перезагрузить зараженную систему, превратив ее в послушное орудие, готовое выполнять его команды. Внесенные в реестр изменения вызывали выполнение вредоносного программного обеспечения при каждом перезапуске компьютера.
Теперь его намерения стали ясны. После заражения каждый инфицированный компьютер будет проверять определенные сетевые порты всех других компьютеров сети. Если этот порт открыт и компьютер уязвим, на этот новый компьютер будет загружен и установлен код «троянского коня». Будут внесены те же изменения в реестр. Этот цикл будет постоянно воспроизводить себя. Таким образом была создана растущая армия клонов. К вечеру тысячи систем Windows по всей планете уже были частью зловещей армии клонов, не подчиняющейся командам ни единого человека в мире, кроме него.
А затем, словно этого было недостаточно, он обратился к веб-узлу обновления Microsoft Windows и отдал всем клонам команду выполнить 15 августа 2003 года атаку типа «отказ в обслуживании», чтобы не позволить ни одному компьютеру в мире загрузить исправление уязвимости, которое, что интересно, было доступно уже в течение нескольких месяцев.
Теперь вы, наверное, поняли, что речь идет о пандемии вируса-червя MS Blaster, которая в августе 2003 года поразила компьютеры с системой Windows во всех уголках земного шара. Атака Blaster была, вероятно, одной из самых серьезных атак на систему Windows за все время ее существования и причинила ущерб в миллиарды долларов. По злой иронии, хотя MS Blaster получает огромную власть над зараженными компьютерами, его реализация чрезвычайно проста.

Как работает Blaster
Blaster и его производные используют уязвимость службы удаленного вызова процедур Windows, вызывая переполнение буфера. Атакующий, успешно использовавший эту уязвимость, сможет выполнять код с привилегиями системной учетной записи в атакованной системе, что позволит ему предпринимать любые действия £ устанавливать программы, просматривать, изменять или удалять данные и создавать новые учетные записи с полными привилегиями.
В случае с Blaster вирус-червь автоматически сканирует сети, отыскивая компьютеры с открытым TCP-портом 135. Найдя жертву, он пытается использовать уязвимость службы удаленного вызова процедур. В случае успеха он подключается к порту 4444 компьютера-жертвы и отдает ему команду запустить упрощенный протокол передачи файлов (протокол TFPT) и загрузить из зараженной системы копию вируса-червя, называющуюся MSBLAST.EXE. Протокол TFPT является частью операционных систем Windows 2000, Windows XP и Windows Server 2003. Затем атакующая система отдает вновь зараженному компьютеру команду запустить файл MSBLAST.EXE, и компьютер-жертва сам становится атакующим. Blaster также записывает код в раздел реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run, что позволяет ему выполняться каждый раз при запуске системы.

Усиление защиты служб
Защита служб в Windows Vista усилена четырьмя способами £ выполнением служб с минимальными полномочиями, изоляцией служб, ограничением доступа в сеть и изоляцией сеанса 0. Обсудим подробно каждый из этих способов.
Выполнение с минимальными правами Многие службы Windows раньше выполнялись в контексте системной учетной записи £ самой мощной учетной записи Windows. Системная учетная запись имеет такие пользовательские права и привилегии как возможность доступа практически к любому объекту системы или профилю другого пользователя, возможность олицетворять пользователя, открывать уязвимые кусты реестра, такие как HKLM\SECURITY, и предоставлять учетные данные компьютера удаленным серверам. Поскольку создатели вредоносных программ предпочитают этот уровень доступа и контроля над Windows, любая служба, выполняемая в системном контексте безопасности, несомненно, будет для них заманчивой целью.
Хотя для работы под системной учетной записью сконфигурировано немало служб Windows, многим из них необходимо лишь небольшое подмножество привилегий из числа тех, которые имеются только у системной учетной записи. К сожалению, Windows XP и предыдущие версии Windows работают по принципу «все или ничего», то есть они не предоставляют никакого механизма выбора необходимых привилегий. Таким образом, многие службы Windows неизбежно запускаются с избыточными привилегиями безопасности.
Усиление защиты служб Windows Vista решает эту проблему, вводя концепцию минимальных прав для конфигурации служб. Минимальные права позволяют службам выполняться с минимальными необходимыми для работы привилегиями, а не со всеми привилегиями, назначаемыми по умолчанию учетной записи, которую службы используют для регистрации в системе.
Например, может понадобиться, чтобы служба могла работать как часть операционной системы, и при этом нет необходимости в том, чтобы она могла создавать маркер безопасности. Концепция минимальных прав позволяет удалить привилегию создания маркера. В результате уменьшается вред, который может причинить злоумышленник в случае, если в будущем эта служба станет уязвимой для атаки. Разработчики могут использовать инструменты командной строки, такие как SC.exe (см. рис. 2), или использовать программные методы для определения и указания привилегий, необходимых конкретной службе. Корпорация Майкрософт применяет принцип минимальных прав к поставляемому продукту, чтобы уменьшить принятые по умолчанию привилегии всех предустановленных служб Windows Vista.
Рис. 2. Параметры команды SC определяют полномочия служб Windows Vista
Рис. 2. Параметры команды SC определяют полномочия служб Windows Vista (Щелкните изображение, чтобы уменьшить его)
Рис. 2. Параметры команды SC определяют полномочия служб Windows Vista
Рис. 2. Параметры команды SC определяют полномочия служб Windows Vista (Щелкните изображение, чтобы увеличить его)
Изоляция служб В версиях Windows, предшествовавших Windows Vista, служба может при необходимости получить доступ к привилегированному объекту, такому как уязвимый куст реестра или файл, тремя способами £используя системную учетную запись для доступа к объекту; понижая уровень безопасности куста реестра или файла, чтобы позволить получить доступ учетной записи службы с более низкими привилегиями; или создавая учетную запись специально для этой службы и предоставляя доступ к объекту только этой учетной записи.
Хотя все эти способы работают, у каждого из них есть свои существенные недостатки. Два первых способа по своей сути рискованны, а при использовании третьего возникает неудобство, состоящее в необходимости вручную управлять паролями новых учетных записей.
Например, предположим, что антивирусная программа устанавливает службу, которой необходим доступ к нескольким уязвимым системным объектам, таким как файл описаний вирусов и параметры реестра, касающиеся антивирусного программного обеспечения. Если антивирусная служба сконфигурирована так, что для доступа к своим объектам она использует системную учетную запись или любую другую встроенную учетную запись безопасности, это означает, что вредоносная программа, заразившая любую другую службу Windows, использующую эту учетную запись, может в принципе получить доступ к файлу описаний вирусов, изменить этот файл и параметры реестра, влияющие на работу антивирусного программного обеспечения, или попросту завершить работу антивирусной службы. Фактически сегодняшние вредоносные программы используют некоторые из этих самых способов, чтобы обеспечить свою скрытость и работоспособность.
В Windows Vista эти проблемы безопасности и управляемости решаются с помощью изоляции служб, позволяющей службе зарегистрировать объект для собственного монопольного использования, обеспечив безопасность ресурса, такого как доступ к файлу или кусту реестра, с помощью записи управления доступом, содержащей идентификатор безопасности (SID) службы. Таким образом, описанная в примере антивирусная служба может выполняться под учетной записью с низкими привилегиями, но все же иметь доступ к уязвимым файлам описаний вирусов и кустам реестра. Чтобы получить такой доступ, антивирусная служба, выполняемая под учетной записью с низкими привилегиями, должна иметь идентификатор SID, назначенный ей системой Windows Vista. После того как идентификатор SID назначен, антивирусная программа может изменить списки контроля доступа своей файловой системы и объектов реестра, чтобы предоставить доступ исключительно для антивирусной службы.
Еще один пример. В 2003 году вирус-червь Welchia начал использовать уязвимость удаленного вызова процедур, чтобы записать себя в файл %System%\Wins\Dllhost.exe. Он также добавлял кусты в HKLM\SYSTEM\CurrentControlSet\Services, чтобы установить собственные службы в зараженную систему Windows. Однако сегодня Windows Vista может помешать вирусу-червю Welchia, ограничив доступ к каталогу и реестру конкретными необходимыми службами и используя для предоставления доступа этим службам учетные записи с низкими привилегиями.
Ограниченный доступ в сеть В состав Windows Vista входит новый брандмауэр, основанный на возможностях брандмауэра системы Windows XP с пакетом обновления 2 (SP2). Он включает важные новые возможности £ фильтрацию исходящих пакетов (outbound filtering) и интеграцию с протоколом IPsec (IPsec integration). Новый брандмауэр также интегрируется с усилением защиты служб в Windows Vista, что затруднит осуществление некоторых неправомерных сетевых операций вредоносными программами, выполняющимися в атакованной службе Windows.
В брандмауэре Windows Vista службам Windows назначаются сетевые политики брандмауэра, накладывающие ограничения на поведение служб. Например, службе самонастраивающихся устройств (Plug and Play) или другой подобной, которой может не потребоваться связь через сетевые порты, может быть назначено ограничение «нет доступа к сети». Если установлено это ограничение, то атака, направленная на эту конкретную службу, не сможет получить к ней доступ никаким способом, основанным на использовании сети. Любая попытка установления входящего или исходящего соединения службой, которой назначено подобное ограничение, будет блокироваться брандмауэром. Другие службы, имеющие законную необходимость доступа к сети, могут быть сконфигурированы для использования конкретного порта. Разработчики могут использовать преимущества этих возможностей для ограничения доступа к сети своих служб.
Ограничение доступа к сети в сочетании с усилением защиты служб обеспечивает надежную защиту от потенциальных атак, основанных на использовании служб, что является значительным улучшением по сравнению с предыдущими версиями Windows. Раньше в системе Windows не существовало возможности принять решение, как, где и какая служба может устанавливать связь через сеть. Но с помощью сетевых ограничений брандмауэра Windows Vista на службу удаленного вызова процедур можно было бы не позволить таким вирусам как Blaster, Sasser или Welchia использовать зараженные службы для связи с другими компьютерами.
Изоляция сеанса 0 Функция быстрого переключения пользователей в Windows XP размещает одновременно зарегистрированных в системе пользователей в разные сеансы Windows. Сеанс 0 создается во время запуска, по мере необходимости к нему добавляются другие сеансы. Службы всегда выполнялись в сеансе 0, и до появления Windows Vista в этом же сеансе могли выполняться пользовательские приложения. Однако при выполнении пользовательских приложений и служб Windows в одном сеансе возникают проблемы с безопасностью, так как службы выполняются с повышенными привилегиями и поэтому являются мишенью для вредоносных программ, которым нужен способ повысить свой собственный уровень привилегий.
Система Windows Vista устраняет эту угрозу безопасности, резервируя сеанс 0 исключительно для служб, выполняя приложения в других сеансах и делая сеанс 0 неинтерактивным, что означает, что никакая служба не может создать пользовательский интерфейс, такой как диалоговое окно или приглашение, доступный конечному пользователю. Из-за этих изменений изоляция сеанса 0 влияет на совместимость приложений, что необходимо учитывать разработчикам служб и драйверов Windows.

Заключение
Windows Vista является первым полным выпуском операционной системы корпорации Майкрософт для настольных компьютеров, удовлетворяющей требованиям инициативы по обеспечению защищенных вычислений. Она содержит значительные улучшения, которые сыграют важную роль в защите пользователей Windows. Конечно, компьютерная безопасность является развивающейся дисциплиной. Нет сомнений в том, что создатели вредоносных программ постоянно ищут, проверяют и исследуют новые способы атак на Windows. Однако новые функции усиления безопасности служб в Windows Vista значительно поднимают планку, усиливая принятые по умолчанию установки безопасности и уменьшая потенциальные возможности для атаки. Дополнительную информацию об этих значительных улучшениях см. по адресу microsoft.com/whdc/system/vista/Vista_Services.mspx (на английском языке).

Уол Мозес (Wole Moses) является руководителем региональной группы Microsoft Windows и ветераном корпорации Майкрософт, в которой работает уже девять лет. В настоящее время Уол Мозес проживает в Турции, в Стамбуле, где работает на самом большом развивающемся рынке с заказчиками Ближнего Востока и Африки, помогая им продумывать и разрабатывать решения на основе технологий Майкрософт, оптимизирующие их ИТ-инфраструктуру и обеспечивающие максимальную безопасность.


 Файлы рабочей среды: Пакет автоматической установки Windows
Файлы рабочей среды
Пакет автоматической установки Windows
Уэс Миллер (Wes Miller)

Корпорация Майкрософт уже давно предлагает две версии средств развертывания, разрабатываемых группой развертывания Windows. Первая версия £ это установочный файл CAB, который уже многие годы поставляется на компакт-дисках Windows. В этот вариант входит документация и инструменты, такие как диспетчер установки, для создания файлов автоматической установки, а также
инструмент Sysprep, используемый для подготовки настольных компьютеров к развертыванию. Другой вариант средств развертывания £ предустановочный набор OPK, специально созданный для нужд изготовителей компьютеров и доступный только для них. Именно так первоначально распространялась среда предустановки Windows®. Для Windows Vista™ выпущена новая версия набора OPK, но она также будет доступна только для сборщиков систем.
К счастью для большинства других клиентов корпорации Майкрософт, некоторые из которых не смогли приобрести среду предустановки Windows в тех же временных рамках, что и Windows XP, для них будет выпущен ближайший аналог набора OPK, который будет называться пакетом автоматической установки Windows (WAIK). Пакет автоматической установки Windows можно будет бесплатно загрузить с веб-узла microsoft.com/downloads (на английском языке) после выпуска Windows Vista. В него будут входить следующие компоненты: среда предустановки Windows PE 2.0, службы развертывания Windows, ImageX и диспетчер установки Windows, не упоминавшийся ранее, который позволяет создавать файлы unattend.xml для автоматизации установки. Ко всем инструментам прилагается полная документация.
Обратите внимание, что для получения пакета автоматической установки Windows рекомендуется загрузить полный комплект Business Desktop Deployment Solution Accelerator (BDD) с веб-узла microsoft.com/desktopdeployment (на английском языке), в состав которого входит не только пакет WAIK, но и средство миграции пользовательской среды (USMT) и набор средств для обеспечения совместимости приложений (ACT). В комплект BDD также входят дополнительные инструменты и руководство для обеспечения успешного развертывания Windows Vista.

Среда предустановки Windows PE 2.0
Я подробно рассказал о системе Windows PE 2.0 в выпуске журнала TechNet за ноябрь 2006 года, поэтому здесь я только скажу, что в составе пакета автоматической установки Windows будет распространяться официальный выпуск новой сборки среды предустановки Windows для Windows Vista. Понимать принципы работы среды предустановки Windows очень важно, поскольку все другие инструменты пакета автоматической установки Windows так или иначе используют среду предустановки Windows или работают с ней. Статью автора о среде предустановки Windows PE 2.0 можно прочитать здесь (на английском языке).

ImageX
В последней статье автора уделено много внимания формату файлов Windows Imaging (WIM). С этой статьей можно ознакомиться по адресу microsoft.com/technet/technetmag/issues/2006/12/desktopfiles (на английском языке). Теперь рассмотрим простое, но функциональное средство командной строки ImageX, поддерживающее встроенный механизм работы с образами дисков Windows Vista. При проектировании ImageX сначала предполагалось создать инструмент на основе графического интерфейса пользователя, но затем было решено сосредоточиться на командной строке, поскольку наиболее важным компонентом являлась автоматизация процесса работы с образами дисков. Параметры командной строки ImageX приведены на рисунке 1.
Рисунок 1 Средство командной строки ImageX в действии
Рисунок 1 Средство командной строки ImageX в действии (Щелкните изображение, чтобы уменьшить его)
Рисунок 1 Средство командной строки ImageX в действии
Рисунок 1 Средство командной строки ImageX в действии (Щелкните изображение, чтобы увеличить его)
Службы развертывания Windows (WDS), которые описываются ниже, содержат облегченный графический интерфейс пользователя, позволяющий легко создавать образы дисков, но не обладающий всеми функциональными возможностями ImageX. Важно отметить также, что средство командной строки ImageX разработано и протестировано для создания образов с целью развертывания в среде предустановки Windows. Средство не предназначается для создания образов работающих систем Windows.
Те, кому приходилось работать с инструментами для создания образов систем, в некоторой степени уже знакомы с ImageX. Это средство ориентировано на простоту использования. Оно позволяет легко создавать и развертывать образы диска, и при этом обеспечивает важные функции, которые часто отсутствуют или присутствуют не полностью в широко используемых средствах развертывания, которые были разработаны ранее. Например, программа позволяет легко подключать образ как часть локальной файловой системы, благодаря чему можно просматривать, изменять и удалять файлы из имеющегося образа.
В ImageX имеются параметры управления образами, показанные на рисунке 2. Рассмотрим подробнее несколько конкретных команд.
Figure 2 Параметры управления образами (Close Figure 2)

Параметр | Описание
IMAGEX /APPEND | Добавляет новый образ тома в файл WIM, где уже содержится образ тома.
IMAGEX /APPLY | Применяет образ тома к разбитому на логические разделы и отформатированному тому.
IMAGEX /CAPTURE | Записывает первоначальный образ тома в файл WIM.
IMAGEX /DELETE | Безвозвратно удаляет ссылки на образ тома из файла WIM. При этом удаляются только метаданные. Сами сжатые данные в файле не удаляются. Для их удаления нужно использовать параметр /export для создания нового файла WIM.
IMAGEX /DIR | Отображает дерево каталогов указанного образа тома в файле WIM.
IMAGEX /EXPORT | Экспортирует образ тома из файла WIM или из нескольких разделенных файлов WIM (SWM).
IMAGEX /INFO | Отображает информацию об указанном образе тома или файле WIM. Параметр /boot позволяет просмотреть информацию об образе тома, содержащем среду Windows PE. Из файла WIM возможна только загрузка Windows PE.
IMAGEX /SPLIT | Разделяет файл WIM на один или несколько меньших файлов SWM, чтобы поместить его на несколько компакт-дисков или DVD-дисков.
Команда capture достаточно проста для понимания. Главное, что необходимо помнить, £ что эта команда используется только один раз для каждого файла WIM. Поскольку файл WIM представляет собой образ, основанный на файлах, можно записать в него как целый том (C:), так и отдельный каталог (C:\Test). То же самое касается и развертывания £ можно развернуть образ в каталог (даже если записан целый том) или, что вероятнее, в корневой каталог тома. Если в файле WIM уже существует образ одного тома, для добавления образов служит команда append. Название следующей команды apply (применить) говорит само за себя, некоторые сложности могут возникнуть только при развертывании нескольких файлов WIM. Команда delete служит для удаления ссылки на конкретный образ тома, но для полного удаления данных из этого образа нужно использовать команду export, создающую новый файл WIM, в котором не будет этих данных. То есть, если нужно уменьшить размер файла образа путем удаления оставшихся данных, следует использовать команду export. Команда export выступает в качестве средства дефрагментации или консолидации, позволяя соединить образ тома в один или несколько файлов WIM или экспортировать его в отдельный файл WIM. Кроме того, в ImageX имеются следующие параметры редактирования образов: IMAGEX /MOUNT, IMAGEX /MOUNTRW и IMAGEX /UNMOUNT.
Как уже говорилось выше, средства редактирования с самого начала были встроены группой разработчиков в инструменты для работы с образами и соответствующий формат. Поддержка редактирования, форматирования и инструментария позволяет копировать файлы, устанавливать пакеты обновлений, добавлять и удалять файлы или отдельные приложения, а также добавлять другие данные в образы и удалять их из образов по мере необходимости, и даже подключать и изменять реестр. Обслуживание образов всегда было очень важной задачей.
Подключение образа схоже с загрузкой файла WIM как виртуального каталога. Для тех, кто хорошо ориентируется в этой области, более подходящей аналогией будет точка подключения тома, позволяющая установить целый том в каталог другого тома, например превратить том F: в каталог C:\DriveF. Возможно, вы уже использовали инструмент Microsoft® Virtual CD или другие средства работы с файлами ISO, позволяющие подключать образы компакт-диска в формате ISO как локальные диски. Аналогичным образом ImageX позволяет подключить файл WIM так, чтобы он перекрыл существующий каталог. Нужно создать каталог и с помощью команды mount перекрыть его указанным образом тома, что во многом аналогично развертыванию образа в этом каталоге.
В отличие от инструмента Virtual CD средство командной строки ImageX позволяет подключать образ WIM, даже если он находится на общей сетевой папке или на съемном носителе. Однако при этом возможны ограничения редактирования. Обычно файлы WIM на оптических носителях (компакт-диск или DVD-диск) доступны только для чтения. В режиме чтения и записи можно редактировать одновременно только один образ тома в файле WIM. Благодаря этому достигается правильная блокировка и безопасное обновление файла при его отключении.
Образ можно подключить в режиме только для чтения (/mount) или в режиме чтения и записи (/mountrw). При использовании режима чтения и записи все изменения образа временно сохраняются в кэше, а не вступают в силу немедленно. В файл WIM они записываются при выполнении команды /unmount с параметром /commit. Если внесенные изменения не нужно сохранять, при отключении образа можно вместо записи изменений отменить их. Это работает по принципу «все или ничего» £ все изменения, сделанные в то время, когда файл WIM был подключен, либо записываются, либо отменяются.
Необходимо сделать одно важное предупреждение. Как и при использовании команды delete, при использовании функции чтения и записи для редактирования файла WIM данные файлов в нем не удаляются полностью. Файлы добавляются в конец файла WIM, а ссылки на них в образе тома заменяются обновленными данными. Это означает, что при добавлении нового файла размером 5 МБ вместо существующего файла размером 5 МБ размер образа увеличится на величину, равную размеру добавленного файла после сжатия (т. е. на 5 МБ или меньшую величину, в зависимости от используемого типа сжатия). Для удаления старых данных из файла WIM при необходимости сжать образ следует использовать параметр /export для экспортирования образа тома в новый файл WIM.
Те, кто читал статью автора о среде предустановки Windows PE 2.0 в выпуске журнала TechNet Magazine за ноябрь 2006 года, наверное, помнят, что она поддерживает загрузку из файла WIM. В этом случае файл WIM считывается с помощью драйвера, аналогично тому, как это делается в ImageX. Но поддержка ImageX предназначена для использования во время разработки, и загрузочная функция WIM предназначена именно для использования в режиме только для чтения и работы только в среде предустановки Windows. Таким образом, хотя эти средства похожи, драйверы и реализация функций в ImageX и в среде предустановки Windows различаются.
Помимо средства ImageX, корпорация Майкрософт предоставляет формально документированный интерфейс API (WIMGAPI), обеспечивающий полную поддержку любых средств работы с образами, которым нужны возможности создания, развертывания и изменения файлов WIM. Таким образом, чтобы добавить поддержку работы с образами или заменить существующую инфраструктуру работы с образами, можно использовать прикладной программный интерфейс WIMGAPI. Этот прикладной программный интерфейс входит в пакет автоматической установки Windows и поэтому распространяется вместе с ним.

Установка Windows на основе образов
На основе формата образов разработана новая программа установки. В своей основе эта программа напоминает старую мини-установку или экран приветствия Windows. Пользователю задаются основные вопросы, необходимые для конкретной установки и настройки системы. Кроме того, программа выполняет конфигурацию дисков, прежде чем устанавливать образ из файла install.wim на установочном DVD-диске Windows. Основная задача новой программы установки заключалась в обеспечении возможности ручной установки Windows. Ожидается, что многие сборщики систем и корпоративные клиенты будут использовать ImageX для развертывания в реальных условиях.

Службы удаленной установки
Можно спросить, почему до сих пор ничего не сказано о службах удаленной установки (RIS). Службы удаленной установки достались автору в наследство, когда он начал работать в группе развертывания Windows. В службах удаленной установки, которые впервые появились в комплекте поставки Windows 2000, а затем в Windows Server® 2003, используется протокол удаленной загрузки, с помощью которого осуществляется загрузка компьютера через сеть так, чтобы можно было запустить простейший мастер и выполнить установку Windows через сеть.
Основная проблема служб удаленной установки заключалась в их исключительной ненадежности. Первоначально службы удаленной установки поддерживались только системой Windows 2000 Professional, но с выпуском Windows Server 2003 они стали поддерживаться и серверными версиями Windows. С появлением контроллеров запоминающего устройства Serial ATA (SATA) и гигабитных и более быстрых сетевых плат обновление драйверов служб удаленной установки стало опасной операцией. Кроме того, службы удаленной установки не поддерживают многие из поддерживаемых Windows языковых стандартов, в результате чего установка локализованных версий Windows с локализованной раскладкой клавиатуры может стать сложной, если не невозможной, задачей. Службы развертывания Windows были разработаны как сочетание программы установки Windows и служб удаленной установки. При ее использовании сначала через протокол удаленной загрузки осуществляется загрузка среды предустановки Windows, что позволяет развернуть через сеть файл WIM.
Службы развертывания Windows разрабатывались не только для включения в ожидаемую версию Windows Server под кодовым названием «Longhorn», но и как обновление, которое можно будет установить в Windows Server 2003. Это означает, что службы развертывания Windows можно будет использовать для развертывания Windows Vista с систем под управлением предыдущих версий Windows Server, а также для развертывания более ранних версий Windows. Службы развертывания Windows не только работают со службами удаленной установки, но и требуют их установки для нормальной работы. Это связано с тем, что службы развертывания Windows обновляют инфраструктуру служб удаленной установки для совместимости со службами развертывания Windows, а также предоставляют новую инфраструктуру служб развертывания Windows.
Службы развертывания Windows не только выступают в качестве обновления служб удаленной установки, предоставляя удобный вариант миграции на Windows Vista для пользователей, использующих более ранние версии Windows, но также предоставляют намного более удобные средства управления, чем те, которые когда-либо имелись в службах удаленной установки, в результате чего облегчается добавление новых образов на сервер. Кроме того, службы развертывания Windows обеспечивают инфраструктуру подключаемого протокола удаленной загрузки, что означает возможность интегрирования и использования серверов удаленной загрузки сторонних производителей для ответов на запросы протокола удаленной загрузки от клиентов вместо служб развертывания Windows. Мы часто получали просьбы реализовать эту возможность в службах удаленной установки, но не имели возможности их выполнить
Первоначально службы развертывания Windows будут выпущены, как обновление служб удаленной установки Windows Server 2003, а затем они войдут в комплект поставки продуктов семейства Windows Server "Longhorn". Корпорация Майкрософт также планирует включить службы развертывания Windows в будущие версии сервера SMS под названием диспетчер конфигураций системного центра.
Службы развертывания Windows работают, предоставляя загружаемую через протокол удаленной загрузки версию среды предустановки Windows PE 2.0. Этот образ содержится в файле WIM (благодаря чему уменьшается сетевой трафик) и загружается на виртуальный диск через сеть. Установка происходит в системе Windows PE с помощью нового клиентского приложения, обеспечивающего те же функции, что и базовое приложение OSChooser, входившее в состав служб удаленной установки.
Хотя службы развертывания Windows не поддерживают образы RIS для Windows XP, Windows 2000 и Windows Server 2003, они поддерживают возможность развертывания образов Sysprep этих операционных систем. Кроме того, служба развертывания Windows интегрируется в службу каталогов Active Directory®, куда всегда интегрировались службы удаленной установки. Однако сервер протокола удаленной загрузки при необходимости может работать и без службы каталогов Active Directory. Службы развертывания Windows можно даже запустить из среды предустановки Windows не через протокол удаленной загрузки, например, с компакт-диска, DVD-диска или с флэш-накопителя USB. Это очень полезная возможность, которая отсутствовала в службах удаленной установки.
Службы развертывания Windows могут работать в следующих трех режимах в зависимости от использования служб удаленной установки.
Традиционные службы развертывания Windows Устанавливаются двоичные файлы, но для загрузки используется механизм OSChooser. Инструмент установки на основе сценариев RISetup и инструмент установки на основе образов RIPrep по-прежнему работают надлежащим образом.
Смешанный режим Доступны оба загрузочных механизма, работают оба набора средств обработки образов и оба набора средств управления.
Основной режим Функции служб удаленной установки отсутствуют, доступны только функции службы WIM, загрузочная среда Windows PE и новые средства управления. Обратите внимание, что в ОС Windows Server "Longhorn" будет доступен только этот режим. Функции служб удаленной установки не будут включены в эту ОС.
В службах развертывания Windows также реализован настраиваемый протокол связи клиент-сервер, теоретически позволяющий сторонним сборщикам систем и корпоративным клиентам создавать собственные приложения для развертывания.
Процесс копирования образа WIM на сервер служб развертывания Windows практически аналогичен сценарию с использованием программы Sysprep, которая уже подробно описана. Различие заключается в том, что последний этап предусматривает загрузку с сохраненного образа служб развертывания Windows (Windows PE), помогающего скопировать содержимое клиентской системы на сервер WDS.
Службы развертывания Windows включают следующие основные компоненты: серверная служба развертывания Windows, сервер удаленной загрузки, хранилище образов, протокол связи, общая папка с образами среды предустановки Windows (загрузочный), образы WIM (для установки) и дополнительные файлы управления.
Служба развертывания Windows разработана так, чтобы обеспечить относительную компактность установки и более высокое качество (и обычно более высокую скорость) установки по сравнению с традиционным методом установки Windows с оптических носителей. Использование служб развертывания Windows в качестве обновления служб удаленной установки позволяет постепенно безболезненно заменить службы удаленной установки и упростить внедрение Windows Vista в организации. Кроме того, службы развертывания Windows обеспечивают удобство использования и быстродействие, превосходящие аналогичные характеристики служб удаленной установки в предыдущих версиях Windows.

Диспетчер установки Windows
Последний компонент пакета автоматической установки Windows £ диспетчер установки Windows. Тем, кто знаком с диспетчером установки из предыдущих версий Windows, должна быть знакома концепция диспетчера установки Windows. Этот инструмент позволяет выполнять несколько задач с файлами автоматической установки. Можно легко создать файл автоматической установки, отредактировать имеющийся файл или проверить настройки имеющегося файла установки для определенного образа Windows Vista. Данный инструмент содержит все возможные параметры конфигурации для определенного файла WIM c Windows Vista, в том числе традиционные параметры автоматической установки, обычно описываемые в файлах справки, прилагаемых к файлу deploy.cab. Наконец, диспетчер установки Windows помогает создавать дистрибутивные общие ресурсы и наборы конфигурации, используемые для добавления драйверов, приложений и обновлений в установочные файлы Windows Vista через файл автоматической установки.
Для использования диспетчера установки Windows необходимы права локального администратора в системе, с которой он запускается. При открытии диспетчера установки Windows отображается пять панелей, как показано на рисунке 3.
Рисунок 3 Диспетчер установки Windows
Рисунок 3 Диспетчер установки Windows (Щелкните изображение, чтобы уменьшить его)
Рисунок 3 Диспетчер установки Windows
Рисунок 3 Диспетчер установки Windows (Щелкните изображение, чтобы увеличить его)
Дистрибутивный общий ресурс (вверху слева) представляет собой панель, на которой отображаются драйверы и другие пакеты, добавленные через диспетчер установки Windows. По умолчанию дистрибутивный общий ресурс не подключен, но такой ресурс можно легко открыть или создать.
Панель образов Windows под панелью дистрибутивных общих ресурсов содержит параметры конфигурации (компоненты и пакеты) для определенных образов томов Windows в файлах WIM. Учтите, что в каждый момент времени может быть установлен только один образ тома Windows (один инвентаризационный номер на DVD-диске Windows Vista).
Центральная панель «Файл ответов» отображает варианты конфигурации для нового или существующего файла автоматической установки Windows Vista, а также принятые по умолчанию настройки в соответствии с определениями каталогов (потенциальные настройки и настройки конфигурации) из установленного образа тома WIM.
Панель «Свойства» в правой верхней части окна позволяет редактировать отдельные свойства компонента, выбранного в панели «Файл ответов».
Последняя панель «Сообщения» расположена в нижней части окна. На ней отображается более подробная информация, в том числе код XML файла автоматической установки Windows Vista (всегда в формате XML), а также данные о проверке и все сообщения, относящиеся к используемым в данный момент наборам конфигурации (вкладка «Набор конфигурации» содержит данные, только если открыт набор конфигурации ).
Как видите, пакет автоматической установки Windows содержит мощный набор средств для развертывания Windows Vista. Группа развертывания Windows проделала большую работу и создала набор инструментов, который сделает развертывание Windows Vista проще, чем когда-либо было развертывание любой версии Windows в прошлом.

Уэс Миллер (Wes Miller) работает менеджером по развитию в компании «Pluck» (pluck.com, на английском языке) в Остине, штат Техас. Ранее Уэс Миллер работал в компании Winternals Software, а также в корпорации Майкрософт в должности руководителя программы и менеджера по продуктам Windows. Уэс Миллер выражает благодарность Скотту Диккенсу (Scott Dickens) и Джону Макинтайру (John Macintyre) из корпорации Майкрософт за помощь в написании настоящей статьи. С Уэсом Миллером можно связаться по адресу электронной почты technet@getwired.com.


 Заметки на полях: Техническая поддержка для родственников
Заметки на полях
Техническая поддержка для родственников
Джеймс Снелл (James Snell)

Я ЖЕНИЛСЯ в прошлом году и, приобретя замечательную жену, похоже, подписал соглашение о технической поддержке со всей ее семьей. Недавно мне позвонила теща с этим ужасным вопросом: «Вы ведь разбираетесь в компьютерах?» На ее компьютере под управлением Windows® XP я обнаружил целую тонну обычных программ-шпионов, программ для показа рекламы, панелей инструментов и прочего.
Если вы специалист в области информационных технологий, вам, вероятно, нередко приходится настраивать компьютеры, но делать это для родственника не так просто. Самый быстрый способ привести в порядок зараженный компьютер £ это отформатировать жесткий диск и переустановить Windows. К несчастью, большинству людей он не подходит, поскольку они не хотят терять все свои данные. Обычно это означает, что вам предстоит длительная процедура очистки. Но что, если вы не можете даже добраться до компьютера или выйти в Интернет?
Вам нужно записать на USB-устройство флэш-памяти емкостью 512 МБ набор средств: антивирусную и антишпионскую программы, а также персональный брандмауэр, а затем постоянно обновлять этот набор и всегда хранить его под рукой.
Кроме того, на этом же устройстве желательно разместить пакет обновления 2 (SP2) для Windows XP. Хотя он теперь входит в комплект поставки Windows XP, версия, установленная у моей тещи, была выпущена раньше. Файл установки Windows XP SP2 можно загрузить по адресу microsoft.com/technet/prodtechnol/winxppro/maintain/winxpsp2.mspx 9 (на английском языке). (Вам потребуется версия для нескольких компьютеров, поскольку при установке версии для одного компьютера используется механизм Windows Update.) Размер файла составляет 266 МБ, и его загрузка займет некоторое время. Впрочем, ее нужно выполнить только один раз.
Итак, предположим, вы посвятили свое послеобеденное время форматированию диска и установке ОС или старательно удаляли вирусы и программы-шпионы, а потом, в любом случае, вам пришлось установить необходимые обновления для Windows, брандмауэр, свежие базы антивирусной программы и так далее. И что теперь? Конечно, вы не хотите проводить подобным образом каждое воскресенье. Описанные ниже действия помогут вам уменьшить вероятность такого развития событий.

Избавьтесь от лишних программ
В системе моей тещи было установлено (главным образом, друзьями) множество программ: от почти полезных до совершенно ненужных. Чтобы этого больше не повторялось, я назначил для учетной записи администратора надежный пароль, а теще оставил только права обычного пользователя: учетная запись администратора требуется ей достаточно редко. В следующий раз, когда кто-нибудь попробует установить что-то на ее компьютер, ему придется выполнить вход под учетной записью администратора. Обычно этого достаточно, чтобы предотвратить установку. Это, да еще небольшое обучение пользователя, должно предотвратить установку ненужных программ. (На веб-узле «Безопасность в Интернете» (getsafeonline.org, на английском языке) можно найти замечательные советы пользователям об обеспечении безопасности компьютера.)
Что касается паролей, их надежность может быть различной. Я не стал назначать пароль для учетной записи пользователя, чтобы теща использовала именно ее. Более того, я думаю, что если кто-то имеет дурные намерения и физический доступ к компьютеру, он скорее унесет из дома системный блок, чем будет добывать данные на месте.
Возможно, это покажется глупым, но я прикрепил наклейку с внутренней стороны передней дверцы компьютера. Я не боюсь, что моя теща воспользуется паролем администратора без моего ведома. Это же ее компьютер! Конечно, такой подход не годится для предприятия. Но моя теща не хранит никаких важных данных на своем компьютере и не боится, что кто-нибудь воспользуется им. Цель состоит в том, чтобы облегчить ее жизнь как пользователя и (что еще более важно) мою £ как ее инженера технической поддержки!

Отражайте атаки!
Следующий этап должен обеспечить дополнительную защиту компьютера. Мне нравится и то, что брандмауэр встроен в Windows, и то, что на свете существуют брандмауэры сторонних производителей. Однако я не доверяю ни одному из этих продуктов, если он единственный. Для дополнительной безопасности у моей тещи теперь установлен ADSL-маршрутизатор со встроенным брандмауэром. Да, это означает некоторые затраты и необходимость настройки и запуска еще одного устройства, но зато это дополнительная степень защиты. Вдобавок, это же коробочка с мигающими огоньками. Правда, впечатляет?
Не стоит рассчитывать на безопасность исходной настройки маршрутизатора. Мне попадались такие устройства, на которых по умолчанию были включены telnet- и веб-интерфейсы со стороны общей сети. Потратьте минутку на проверку дополнительных параметров.
Программные брандмауэры не могут быть загружены прежде, чем заработают компоненты сети. Встроенный брандмауэр Windows £ это единственная защита, которой вы располагаете на ранних этапах загрузки (кстати, это еще одна причина для установки Windows SP2 перед подключением компьютера к Интернету). Теперь при отключении брандмауэра Windows компьютер все равно защищен в тот период, когда брандмауэр, который вы выбрали, еще не запущен. Вдобавок, установив брандмауэр маршрутизатора, я могу не волноваться, что он по какой-либо причине будет выключен. Маршрутизатор £ это отдельное устройство, и если оно не работает, моя теща не может подключиться к Интернету. Кроме того, этот способ можно сравнить с двойным шифрованием данных. Чтобы атака оказалась успешной, необходимо, чтобы брандмауэр маршрутизатора и программный брандмауэр одновременно находились в нерабочем состоянии. Это возможно, но маловероятно.

Докучайте и защищайте
Подумайте, насколько упростился бы весь процесс при наличии хорошей резервной копии. Я не люблю, когда, кто-то говорит, что он не может архивировать хотя бы самые важные данные. Устройства для записи DVD-дисков и сами диски не настолько дороги, а в комплект поставки Windows входит программное обеспечение для архивации. Проблема состоит в том, что многие просто не пользуются им. Для своей тещи я настроил обычную архивацию папки «Мои документы» по расписанию с сохранением файла прямо в папку записи на компакт-диск (%userprofile%\Local Settings\Application Data\Microsoft\CD Burning). Чтобы это работало, нужно настроить назначенное задание таким образом, чтобы оно запускалось только после входа пользователя в систему. Мастер записи на компакт-диск будет выдавать регулярные (и докучливые) запросы до тех пор, пока моя теща не вставит в устройство чистый диск, а мне только этого и надо.

Оставайтесь на связи
Настроив Windows Live™ Messenger, можно открыть общий доступ к рабочему столу. Это означает, что если вы дома, а что-нибудь еще нужно настроить, вы можете взглянуть, что происходит, не вставая из-за стола (а это всегда хорошо). Кстати, я могу подтвердить, что перехват управления удаленным компьютером (конечно, при наличии разрешения) и наблюдение за тем, как вы перемещаете указатель мыши, впечатляют даже больше, чем мигающие огоньки маршрутизатора!

Джеймс Снелл (James Snell) £ бывший специалист технической поддержки корпорации Майкрософт, проживающий в Великобритании. Он работал как с домашними пользователями, так и с некоторыми из наиболее крупных клиентов корпорации Майкрософт по всему миру. Сейчас Джеймс Снелл осваивает новую область £ отцовство. С ним можно связаться по адресу James.Snell@lineone.net.


 Конфиденциальная информация Windows: Как избежать кошмара библиотек DLL
Конфиденциальная информация Windows
Как избежать кошмара библиотек DLL
Рэймонд Чен (Raymond Chen)

Кошмар библиотек DLL Эта проблема настолько коварна, что даже получила собственное уничижительное прозвище. Вы устанавливаете одну программу, и неожиданно перестает работать другая программа, казалось бы, совершенно не связанная с первой. Это происходит потому, что, незаметно для вас, две программы объединены использованием одного файла библиотеки DLL. Для работы этих двух программ могут требоваться совершенно разные версии файла MSVCRT.DLL в системной папке. Или же одна программа может обновить элемент управления ActiveX®, который используется другой программой, при этом вторая программа может быть не полностью совместима с этим обновлением.
Если обе программы необходимы в повседневной деятельности вашей организации, неважно, какая из программ послужила причиной неполадки. Важно то, что вам нужно обеспечить работу программ. Нет большой разницы между фразами «Мы несем убытки» и «Мы несем убытки по вине Ивана». В любом случае компания несет убытки, и немедленное решение проблемы £ ваша задача.
Раньше приходилось принимать решение о том, какая программа «победила», а какая £ «проиграла». Начиная с ОС Windows® 2000 появились средства, помогающие разрешить такие конфликты. Тем не менее эти средства представляют собой лишь временные решения, позволяя вернуть систему в рабочее состояние, пока вы будете заниматься поиском более постоянного решения конфликта.
В ОС Windows 2000 реализована минимальная версия технологии, поставляемой сейчас под модным названием Dynamic-Link Library Redirection (перенаправление библиотек динамической компоновки). Чтобы включить перенаправление библиотеки DLL, создайте файл с тем же именем, что и файл программы, для библиотек DLL которой требуется перенаправление, но добавив «.local» к имени файла. Например, чтобы использовать перенаправление для программы C:\Program Files\Litware Inc\Invoice.exe следует создать файл C:\Program Files\Litware Inc\Invoice.exe.local. Содержимое файла не имеет значения; важен сам факт существования этого файла.
После включения перенаправления для программы все попытки этой программы загрузить библиотеку DLL сначала приведут к поиску в той папке, где расположен файл программы, и лишь затем £ в обычных местах. Поэтому в случае конфликта между различными файлами MSVCRT.DLL можно включить перенаправление для каждой из программ и поместить копии файлов MSVCRT.DLL для частного использования в папку установки каждой программы. После этого каждая программа будет использовать свою собственную версию библиотеки MSVCRT.DLL, а именно ту версию, с которой выполнялось тестирование программы.
Волшебство этого метода заключается еще и в том, что он работает даже тогда, когда программа использует полный путь для загрузки библиотеки DLL. Например, представим себе, что программа пытается загрузить библиотеку C:\Program Files\Common Files\Proseware Inc\taxplugin.dll. После обновления до версии Proseware 2.0 вы обнаруживаете, что подключаемые модули расчета налогов несовместимы с программой подготовки счетов. Вы можете скопировать старую версию подключаемого модуля расчета налогов в C:\Program Files\Litware Inc\taxplugin.dll. Даже несмотря на то, что при загрузке подключаемого модуля расчета налогов используется полный путь, перенаправление библиотек DLL сначала выполнит поиск в текущей папке и будет использовать локальную копию вместо копии в папке «Proseware Inc».
В операционных системах Windows XP и Windows Vista™ правила перенаправления библиотек DLL немного отличаются, но общий принцип остается тем же. Кроме создания файла с расширением «local» можно создать и папку с таким расширением. В этом случае поиск будет выполняться в папке с расширением «local», а не в папке установки программы. Это позволяет использовать перенаправление для нескольких программ в одной папке, не создавая конфликтов.
Следует учесть, что нельзя использовать перенаправление для программ, содержащих манифест приложения, а также для так называемых «известных» библиотек DLL. (Дальнейшие сведения см. на странице «Dynamic-Link Library Redirection» (на английском языке).
Перенаправление библиотек DLL не позволит полностью избежать кошмара библиотек DLL, но, по крайней мере, оно предоставляет средства первой помощи для контроля над ситуацией на время решения проблемы.
Рис. 1.
Рис. 1.

Рэймонд Чен (Raymond Chen) автор материалов по истории Windows и программированию в среде Win32 на собственном веб-узле The Old New Thing («Хорошо забытое старое») и новой книги, также озаглавленной «The Old New Thing» (издательство Addison-Wesley, 2007 г.). Однако у автора нет домашней кошки по кличке «The Old New Thing».