 TechNet Magazine January 2008

TechNet Magazine January 2008

System Center: Echte Kontrolle mit Virtual Machine Manager 2007

Durch Virtualisierung können Unternehmen Ressourcen zusammenführen und Geld einsparen.Wenn Sie jedoch nach und nach immer mehr virtuelle Computer implementieren, werden Sie sich eine Möglichkeit wünschen, diese Computer auf praktische Weise zu verwalten.In diesem Handbuch wird erläutert, wie Virtual Machine Manager eingerichtet und dazu verwendet wird, von einer zentralisierten Schnittstelle aus administrative Aufgaben durchzuführen.

Edwin Yuen System Center: Bessere Sicherungen mit Data Protection Manager 2007

Die aktuelle Version von Data Protection Manager bietet viele neue Features und damit eine leistungsfähige und flexible Lösung zum Verwalten Ihrer Sicherungen.Dieser Artikel bietet einen Überblick darüber, was Sie mit DPM alles schützen können, angefangen bei Exchange und SQL Server bis hin zu Zweigstellen und SharePoint-Websites.

Calvin Keaton System Center: Onlinedienste vereinfachen die Softwareinventur

Software Asset Management ist für jedes Unternehmen eine wichtige Aufgabe, unabhängig von seiner Größe.Angesichts der Menge von Software, die in modernen Unternehmen erworben und bereitgestellt wird, kann die Verwaltung dieser Ressourcen jedoch wie ein unlösbares Problem erscheinen.Sehen Sie selbst, wie der neue Asset Inventory Service von Microsoft bei dieser Aufgabe helfen kann.

Paul Bourgeau Gruppenrichtlinie: Einblick in ADM- und ADMX-Vorlagen für Gruppenrichtlinien

ADM-Dateien sind notwendig, aber zugleich auch häufig verwirrend.Dies sollte Sie aber nicht vom Einsatz von Gruppenrichtlinien abhalten.Anhand dieser Führung werden Sie besser verstehen, wie ADM-Dateien und das neue ADMX-Format funktionieren, mit welchen Tools sie bearbeitet und wie diese Dateien optimal eingesetzt werden können.

Jeremy Moskowitz Gruppenrichtlinie: Leistungsoptimierung für Gruppenrichtlinien

Nicht alle Gruppenrichtlinien sind gleich. Die Kenntnis der Unterschiede zwischen den Typen kann Ihnen bei der Leistungsoptimierung Ihrer Systeme helfen.Untersuchen Sie monolithische und funktionale Gruppenrichtlinien, informieren Sie sich über die Verarbeitung von Gruppenrichtlinien, und finden Sie heraus, was bei Änderungen einer Gruppenrichtlinie geschieht.

Darren Mar-Elia Gruppenrichtlinie: Einführung in die erweiterte Gruppenrichtlinienverwaltung

Die erweiterte Gruppenrichtlinienverwaltung (Advanced Group Policy Management, AGPM) ist ein praktisches Tool, durch das Sie mit Gruppenrichtlinienobjekten in einer Weise arbeiten können, wie dies mit anderen Tools nicht möglich ist. Es ist jetzt für Mitglieder des Microsoft Software Assurance-Programms verfügbar.Informieren Sie sich darüber, wie Sie mithilfe von AGPM offline GPOs bearbeiten, Verwaltung delegieren, Änderungen verfolgen und vieles mehr durchführen können.

Derek Melber Mitteilung der Redaktion: Überzeugen Sie einen Skeptiker

Joshua Hoffman Briefe: Leser sagen ihre Meinung

Toolbox: Neue Produkte für IT-Experten

Greg Steen Exchange Fragen & Antworten: Hinzufügen von Sprachansagen, Wahl einer PBX und mehr

Haben Sie Fragen zu Exchange Unified Messaging?Hier erhalten Sie Antworten auf Ihre Fragen.In diesem Artikel zu Exchange Fragen & Antworten geht es um Unified Messaging. Sie erfahren, wie Sie Telefon- und Faxfeatures implementieren, hohe Verfügbarkeit bereitstellen, Sprachansagen einrichten und mehr.

Seema Rahman Schwerpunkt Dienstprogramme: Windows-EasyTransfer-Companion

Durch dieses kostenlose Tool lässt sich die Migration wichtiger Anwendungen von Windows XP zu Windows Vista vereinfachen.

Lance Whitney The Cable Guy: DNS-Verbesserungen in Windows Server 2008

Windows Server 2008 umfasst viele DNS-Serververbesserungen.Hier erhalten Sie einen Einblick, wie diese Updates die Namensauflösung beschleunigen, Unterstützung für IPv6 verbessern und der DNS-Verwaltung größere Flexibilität verleihen.

Joseph Davies Windows PowerShell: Abwehren von schädlichem Code

Bei der Entwicklung von Windows PowerShell wurde der Sicherheit starke Beachtung geschenkt.Doch wie jede andere Software kann auch Windows PowerShell schädlichem Code ausgesetzt sein.Hier finden Sie einige Empfehlungen zum Auswählen einer Ausführungsrichtlinie, durch die Ihre Systeme besser gesichert werden.

Don Jones Hey, Scripting Guy!: Reguläre Ausdrücke sind unmissverständlich

Sie suchen nach einer Möglichkeit, Fehler zu vermeiden?Überprüfung ist ein guter Anfang.Hier erfahren Sie, wie Sie mithilfe regulärer Ausdrücke Zeichenmustervergleiche in einem Skript durchführen.

The Microsoft Scripting Guys Sicherheit auf dem Prüfstand: Inselspringen:Die ansteckende Verlockung von Werbegeschenken

Sicherheitsbedrohungen gehen nicht nur von E-Mails und schädlichen Websites aus.Hier erfahren Sie, wie ein USB-Stick und ein wenig einfaches Social Engineering eingesetzt werden können, um Zugriff auf Ihr gesamtes Netzwerk zu erhalten.Außerdem wird erläutert, wie Sie Ihr Netzwerk besser vor dieser Bedrohung sichern können.

Jesper M. Johansson Die Desktopdateien: Freigegebene Computer mit Windows SteadyState

Das neue Windows SteadyState-Toolkit kann Ihnen helfen, die Sicherheit zu verbessern und die Verwaltung von Windows XP-Systemen in einer Umgebung mit freigegebener Nutzung vereinfachen.Erfahren Sie, wie Sie dazu vorgehen müssen.

Wes Miller Berichte aus der Praxis: Die wichtigste Aufgabe des Tages

Bei der Arbeit an einem Projekt dürfen Sie nicht unterschätzen, wie wichtig es ist, sich ein wenig Zeit zu nehmen, um nachzudenken, zu planen und Prioritäten zu setzen.

Eric N. Bush Windows Confidential: Das darf ich auf keinen Fall noch einmal tun

Die Hardwareerkennung war in der Zeit vor Plug & Play-Geräten ein sehr schwieriges Unterfangen.Finden Sie heraus, warum das so war.

Raymond Chen


 System Center: Echte Kontrolle mit Virtual Machine Manager&#160;2007
System Center Edwin Yuen

Echte Kontrolle mit Virtual Machine Manager 2007
Kurz zusammengefasst:
  • Hauptfeatures von System Center Virtual Machine Manager 2007
  • Vorgehensweise zum Installieren von VMM
  • Konvertieren physischer oder virtueller Computer zu VMs

System Center Virtual Machine Manager 2007 ist eine neue Lösung, die eine gemeinsame Schnittstelle für die Verwaltung Ihrer gesamten virtuellen Infrastruktur bereitstellt.Virtual Machine Manager (VMM)
kann vorhandene Microsoft® Virtual Server 2005-Installationen verwalten und darüber hinaus Virtual Server 2005 R2 SP1 auf neuen virtuellen Computerhosts (VM-Hosts) installieren.Mit VMM lassen sich die herkömmlichen Virtual Server 2005-Verwaltungsaufgaben über eine zentralisierte Schnittstelle mit Verwaltungsmöglichkeiten für mehrere Virtual Server-Installationen wesentlich effizienter durchführen.
Darüber hinaus stellt VMM neue Funktionen für Virtual Server bereit, z. B. P2V-Konvertierungen (physisch zu virtuell), die V2V-Konvertierung (virtuell zu virtuell) von VMware-VMDK (Virtual Machine Disk Format)-Datenträger zu Virtual Server-VHDs (Virtual Hard Disks) und schnelle VM-Bereitstellungen anhand von Vorlagen und vorkonfigurierten VHDs über eine zentralisierte Bibliothek virtueller Infrastrukturobjekte.
Auf den nächsten Seiten werden VMM sowie die leistungsfähigen Features untersucht, die VMM IT-Administratoren bietet.Es folgt eine Erläuterung der Anforderungen und Schritte zum Erstellen einer VMM-Installation.Zum Schluss befasst sich der Artikel eingehender mit einigen der interessanteren Features von VMM und stellt Ihnen eine Reihe nützlicher Tipps zu den ersten Schritten zur Verfügung.

Einführung in Virtual Machine Manager 2007
System Center Virtual Machine Manager 2007 ist eine eigenständige Anwendung, die Unternehmen eine zentralisierte Verwaltung für unter Microsoft Virtual Server 2005 ausgeführte virtuelle Computer bereitstellt. Als Bestandteil der System Center-Produktfamilie lässt sich Virtual Machine Manager mit den anderen System Center-Produkten integrieren, um eine umfassende physische und virtuelle Infrastrukturverwaltung zu ermöglichen.Abbildung 1 zeigt die verschiedenen Komponenten von Virtual Machine Manager und veranschaulicht die Beziehung zwischen VMM und einem Virtual Server-Host.
Im Kasten auf der linken Seite ist der VMM-Server dargestellt, auf der rechten Seite ein virtueller Computerhost.Die VMM-Komponenten können bei Bedarf auch auf separaten Servern installiert werden, um Leistung und Skalierbarkeit zu erhöhen.In diesem Artikel wird das in Abbildung 1 gezeigte Modell verwendet, in dem alle wichtigen VMM-Komponenten auf einem einzigen Computer installiert sind.Das Kernstück des VMM-Produkts ist der Virtual Machine Manager-Dienst, der links in der Mitte zu sehen ist.Darüber befinden sich die drei verschiedenen Schnittstellen zu diesem Dienst:die Windows PowerShellTM-Schnittstelle, die Verwaltungskonsole und das Self-Service-Portal mit delegierter Bereitstellungsverwaltung.Unterstützt wird VMM durch eine Microsoft SQL Server® 2005-Datenbank (Sie können entweder eine volle Installation von SQL Server oder die SQL Server 2005 Express Edition verwenden) und die zentralisierte Bibliothek, bei der es sich um eine Dateifreigabe für virtuelle Infrastrukturkomponenten handelt.
Abbildung 1 Architektur von System Center Virtual Machine Manager 2007
Abbildung 1 Architektur von System Center Virtual Machine Manager 2007
Auf der rechten Seite von Abbildung 1 ist ein virtueller Virtual Server 2005 R2-Computerhost dargestellt, der von VMM verwaltet wird.Unten ist das Hostbetriebssystem zu sehen, bei dem es sich in diesem Fall um Windows Server® 2003 R2 handelt.VMM installiert auf dem virtuellen Computerhost einen Agent, der die Kommunikation zwischen VMM und Virtual Server 2005 R2 erleichtert.Dabei handelt es sich um eine einzige Installation auf dem physischen Host ohne jede Installation in den VMs oder dem Gastbetriebssystem.Wenn Virtual Server nicht auf dem Hostcomputer installiert ist, kann VMM automatisch die Installation durchführen, sobald der Host der Liste der verwalteten Server hinzugefügt wird.
Als Bestandteil der System Center-Produktfamilie verwendet Virtual Machine Manager die neue (Outlook® -artige) System Center-Schnittstelle für die Verwaltungskonsole (im Gegensatz zum herkömmlichen MMC-Snap-In).Die VMM-Verwaltungskonsole (siehe Abbildung 2) ist unter Verwendung von Microsoft .NET Framework 2.0 auf Windows PowerShell 1.0 aufgebaut.Jede in der Verwaltungskonsole durchgeführte Aktion ruft im Grunde den entsprechenden Windows PowerShell-Befehl auf.Daher können alle Befehle oder Funktionen, auf die in der Verwaltungskonsole zugegriffen wird, auch direkt über die Befehlszeile in Windows PowerShell aufgerufen werden.
Abbildung 2 VMM-Administratoroberfläche mit verwalteten virtuellen Computern
Abbildung 2 VMM-Administratoroberfläche mit verwalteten virtuellen Computern
Jeder Assistent der Verwaltungskonsole besitzt eine Schaltfläche namens „View Script“ (Skript anzeigen), über die das mit dem auszuführenden Befehl verknüpfte Windows PowerShell-Skript angezeigt wird. Dies bietet einen hervorragenden Ausgangspunkt dafür, die Beziehung zwischen Windows PowerShell und VMM zu erläutern.Wenn Sie sich erst einmal an die Verwendung von Windows PowerShell mit VMM gewöhnt haben, sind Sie in der Lage, Skripts zu erstellen, um große Mengen an Aktionen über VMM abzuwickeln.
Virtual Machine Manager wurde dafür entwickelt, IT-Administratoren drei Hauptvorteile zu bieten:VMM ermöglicht Ihnen, Ressourcen zu maximieren, eine höhere Flexibilität zu erzielen und vorhandene Fähigkeiten zu nutzen.Diese Vorteile stellt VMM über mehrere Features und Funktionen bereit.Zunächst hilft Ihnen VMM bei der Maximierung Ihrer Ressourcen, indem eine Methode bereitgestellt wird, um physische Server in virtuelle Computer zu konvertieren. Dieser Prozess wird als P2V-Konvertierung bezeichnet und ermöglicht Ihnen, vorhandene physische Computer ohne Neuinstallation zu virtuellen Computern zu konsolidieren.Dies ist vor allem beim Konvertieren von Computern wichtig, deren Hardware nur wenig genutzt wird, denn es können mehrere Computer dieser Art auf einem einzigen physischen Hardwaregerät zusammengefasst werden.Besonders nützlich ist dies bei Computern mit älterer Software, die selten verwendet wird, aber beibehalten werden muss, weil sie einmal im Jahr ausgeführt wird (zum Beispiel gesetzlich vorgeschriebene Buchhaltungssoftware).Wenn VMM in Verbindung mit System Center Operations Manager 2007 verwendet wird, lässt sich mithilfe von VMM ein Bericht über Serverkonsolidierungskandidaten generieren, um zu überprüfen, welche Computer in der physischen Infrastruktur gute Kandidaten für die P2V-Konvertierung sind.
Wenn Sie bereits über virtuelle Computer im VMDK-Format von VMware verfügen, ermöglicht Ihnen VMM, eine V2V-Konvertierung durchzuführen, um Ihre vorhandenen VMDKs in das VHD-Format zu übersetzen.Dadurch können Sie Ihre Virtual Server 2005-Umgebung schnell aufbauen und in Betriebsbereitschaft versetzen.
Als Bestandteil jeder neuen oder durch Konvertierung gestarteten Bereitstellung verwendet VMM einen als „Intelligent Placement“ (Intelligente Platzierung) bezeichneten Prozess, um die VMs auf den virtuellen Computerhosts bereitzustellen.Über Intelligent Placement fragt VMM alle von VMM verwalteten virtuellen Computerhosts ab, ruft verschiedene Parameter zur Ressourcenverfügbarkeit dieser Hosts ab und gibt dann eine gewichtete Liste von Hosts zurück, die für die Bereitstellung des VM empfohlen werden.Wie Sie in Abbildung 3 sehen, hat der Administrator dann die Wahl, die Empfehlung zu akzeptieren, den Algorithmus an spezielle Anforderungen anzupassen oder den VM einfach auf dem Server seiner Wahl bereitzustellen.Intelligent Placement vereinfacht durch eine kompakte Ansicht der virtuellen Infrastruktur und durch Hostempfehlungen die VM-Bereitstellung beträchtlich.
Abbildung 3 Intelligent Placement liefert Empfehlungen zum besten Virtual Server-Host
Abbildung 3 Intelligent Placement liefert Empfehlungen zum besten Virtual Server-Host
Zu weiteren Features von VMM, die enorme Vorteile bringen, zählen eine zentralisierte Bibliothek und ein Self-Service-Portal für die delegierte Bereitstellung.Die in Abbildung 4 dargestellte Bibliothek stellt einen zentralen Speicher für alle Komponenten bereit, die zum Aufbau einer virtuellen Infrastruktur erforderlich sind, z. B. bereits erstellte einsatzbereite VHDs, Vorlagen mit Betriebssystem- und Hardwarekonfigurationen, ISO-Dateien, Skripts und Profile.Anhand dieser Komponenten können neue VMs erstellt und bereitgestellt werden, und durch die Verwendung von Vorlagen und Profilen können über alle VMs hinweg sowohl Hardware- als auch Softwarekonfigurationen standardisiert werden.VMM unterstützt auch verteilte Bibliotheken, die es ermöglichen, die Komponenten an entfernten Standorten zu speichern und umfangreiche Dateiübertragungen auf dem entfernten Standort zu belassen, während die Komponenten weiterhin zentral verwaltet werden.
Abbildung 4 Die VMM-Bibliothek enthält alle Bausteine für eine virtuelle Infrastruktur
Abbildung 4 Die VMM-Bibliothek enthält alle Bausteine für eine virtuelle Infrastruktur
Das Self-Service-Portal ist eine Website, die mit dem VMM-Dienst und einer IIS-Installation integriert wird.Das Portal gewährt den für Active Directory® autorisierten Benutzern und Gruppen Zugriff auf VMs, wobei die verfügbaren Funktionen von der für den jeweiligen Benutzer oder die jeweilige Gruppe erstellten Richtlinie abhängen.Diese Funktionen reichen von der Fähigkeit, die VMs anzuzeigen und auf sie zuzugreifen, über die Berechtigung zum Ausführen und Herunterfahren der VMs bis hin zur Möglichkeit, auf Grundlage bestimmter delegierter Ressourcen neue VMs zu erstellen.
Der Administrator erstellt eine Self-Service-Richtlinie, die Active Directory-Benutzern und -Gruppen, spezifischen virtuellen Computerhosts oder Hostgruppen sowie spezifischen VMs und Vorlagen bestimmte Funktionen gewährt.Das Self-Service-Portal ermöglicht dem Administrator, Funktionen sicher an Endbenutzer zu delegieren.Ohne diese Funktion müsste der Administrator den Endbenutzern entweder Zugriff auf die Verwaltungskonsole gewähren, damit sie ihre VMs verwalten können, oder von den Endbenutzern verlangen, jede Funktion eigens anzufordern, was einen enormen Aufwand an E-Mails und Telefonaten zur Folge hätte, um simple Aktionen wie Starts und Rücksetzungen von VMs durchzuführen.

Installation von Virtual Machine Manager
VMM verwaltet derzeit sowohl Installationen von Virtual Server 2005 (und höher) unter Windows Server 2003 SP1 (und höher) innerhalb einer Active Directory-Domäne (oder einer vertrauenswürdigen Domäne) als auch Nicht-Domänen-Hosts, wobei die Umkreisnetzwerkunterstützung von VMM genutzt wird.Virtual Server-Installationen auf Desktopbetriebssystemen wie Windows® XP werden nicht unterstützt.P2V-Vorgänge sind nur für physische Computer verfügbar, die sich innerhalb derselben Domäne (oder vertrauenswürdigen Domäne) wie der VMM-Server befinden.
Obwohl es empfehlenswert ist, in einer Produktionsumgebung jede VMM-Komponente auf einem separaten Server zu installieren, beziehen sich die im vorliegenden Artikel enthaltenen Anleitungen auf eine Einzelserverinstallation.Als Hardware für eine VMM-Server-Installation wird ein x86- oder x64-basierter Server mit 2,8 GHz oder höher und einem RAM von mindestens 2 GB empfohlen.Da es sich hier um eine Einzelserverinstallation mit einer lokalen SQL Server-Datenbank handelt, werden 7 GB Festplattenspeicher benötigt.Wenn stattdessen eine Remotedatenbank verwendet wird, genügt für die VMM-Installation bereits 1 GB Festplattenspeicher.Für die Installation der lokalen Bibliothek werden zusätzlich 80 GB Speicher auf der Festplatte empfohlen.
Ferner muss auf dem VMM-Server, auf allen virtuellen Computerhosts und auf allen von VMM verwalteten Bibliotheksservern WinRM 1.1 installiert sein.WinRM ist die Microsoft-Implementierung des WS-Management (Web Services for Management)-Protokolls.WinRM ist ein auf SOAP basierendes, firewallfreundliches Protokoll, über das Hardware und Software unterschiedlicher Anbieter ermöglicht wird, zusammenzuarbeiten und sich gegenseitig zu verwalten.VMM verwendet WinRM, um Aktionen zwischen dem VMM-Server, den virtuellen Computerhosts und den Bibliotheksservern durchzuführen.Sie können WinRM 1.1 von go.microsoft.com/fwlink/?LinkId=103610 herunterladen.
Weitere Voraussetzungen für die Installation sind .NET Framework 2.0 und 3.0, Windows PowerShell 1.0 sowie IIS für das Self-Service-Portal.Alle weiteren Softwareanforderungen werden während der VMM-Softwareinstallation überprüft, wobei ggf. Links zu den entsprechenden Installationsprogrammen bereitgestellt werden.Wenn eine dieser Anforderungen nicht erfüllt ist, kann die Installation nicht fortgesetzt werden.
Wenn Sie die VMM-Installation starten, werden Ihnen im Hauptmenü drei Auswahloptionen angeboten:Virtual Machine Manager-Server, Verwaltungskonsole und Self-Service-Portal.In diesem Beispiel werden alle drei Komponenten, angefangen mit dem Server, auf einem einzigen Computer installiert.Auf den ersten Bildschirmen des Installationsvorgangs werden die Systemvoraussetzungen überprüft. Stellen Sie sicher, dass alle Voraussetzungen erfüllt sind, damit die Installation fortgesetzt werden kann.
Wenn alle Voraussetzungen erfüllt sind, sollten Sie die Installationsoptionen überprüfen. Achten Sie dabei besonders auf die Optionen, die sich auf die SQL Server-Datenbank beziehen.Sie können für VMM entweder die Installation einer SQL Server 2005 Express Edition auswählen oder eine vorhandene SQL Server 2005-Datenbank verwenden.Im Beispiel für diesen Artikel wird die SQL Server 2005 Express Edition verwendet.
Im nächsten Schritt des VMM-Installationsassistenten legen Sie den Speicherort für die zentralisierte Bibliothek fest.Als Speicherort kann entweder ein lokales Verzeichnis auf dem VMM-Server (und eine für dieses Verzeichnis erstellte Freigabe) oder eine vorhandene Dateifreigabe verwendet werden.Der Standardspeicherort lautet „C:\Dokumente und Einstellungen\Alle Benutzer\Gemeinsame Dokumente\Virtual Machine Manager Library Files“.
Den nächsten Schritt bilden die Portzuweisungen.An dieser Stelle konfigurieren Sie den Port für die Verbindung der Verwaltungskonsole zum zentralen VMM-Serverdienst (Port 8100), den von WinRM für die Durchführung der Verwaltungsfunktionen verwendeten Port (Port 80, der standardmäßige HTTP-Port) und den Port, der vom intelligenten Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS) dafür verwendet wird, die Dateien auf die virtuellen Computerhosts zu verschieben (Port 443, der standardmäßige HTTPS-Port).Wenn alle diese Informationen vorliegen, wird ein Übersichtsbildschirm angezeigt, und die Serverinstallation kann abgeschlossen werden.
Als Nächstes wird die Verwaltungskonsole installiert.Die Systemvoraussetzungen ähneln denen des VMM-Servers und erfordern .NET Framework 2.0 und 3.0 sowie Windows PowerShell 1.0.Die einzige Konfigurationsoption dient der Bestätigung des Kommunikationsports, der für die Verbindung zum zentralen VMM-Serverdienst verwendet wird.Dabei muss Port 8100 verwendet werden, der in der VMM-Server-Installation konfiguriert wurde.Am Ende der Installation haben Sie die Wahl, eine Desktopverknüpfung für die Verwaltungskonsole zu erstellen und im Anschluss an die Installation die Konsole zu öffnen.Ich schlage vor, beides auszuwählen.Wenn Sie die Verwaltungskonsole zum ersten Mal öffnen, werden Sie aufgefordert, die Serververbindungsinformationen einzugeben.Bei einer Einzelserverinstallation stellen Sie eine Verbindung zu „localhost“ auf Port 8100 her und drücken die Eingabetaste, um die Konsole zu starten.
Zum Schluss wird das Self-Service-Portal auf dem Server installiert.Die Voraussetzungen dafür sind IIS, .NET Framework 2.0 und 3.0 sowie Windows PowerShell 1.0.Während der Installation werden nur Konfigurationsoptionen für die vom Self-Service-Portal verwendeten Ports angeboten.Der erste dieser Ports ist Port 8100, der Port für die Verbindung zum wichtigsten VMM-Dienst, der mit dem für die Verwaltungskonsole verwendeten Port identisch ist.Der zweite Port ist der Port, auf dem das Portal ausgeführt werden soll.Als Standardeinstellung ist Port 80 vorgegeben, aber in vielen Konfigurationen ist dieser Port möglicherweise bereits vergeben.Ändern Sie ggf. den vorgegebenen Standardport in einen anderen freien Port, z. B. Port 81.
Das Installationsprogramm erstellt eine Website namens „Microsoft System Center Virtual Machine Manager 2007 Self-Service-Portal“, deren Konfiguration in IIS Manager geändert werden kann.Hier ist ein Tipp, mit dem Sie die Installation vereinfachen können:Öffnen Sie IIS Manager, und wählen Sie die Eigenschaften von Microsoft System Center Virtual Machine Manager 2007 Self-Service-Portal aus.Überprüfen Sie die ASP.NET-Konfiguration für die Website, und vergewissern Sie sich, dass die ASP.NET-Version auf 2.0 eingestellt ist.Das Self-Service-Portal funktioniert nicht, wenn ASP.NET auf Version 1.1 eingestellt ist, und diese Einstellungen können abhängig von der Installationsreihenfolge von IIS und den .NET Framework-Versionen variieren.
Wenn die IIS-Installation abgeschlossen ist, können Sie die Website öffnen, indem Sie in Internet Explorer® zu „http://localhost:81“ wechseln.Wenn Sie beim Öffnen der Website zur Authentifizierung aufgefordert werden, liegt dies an Ihren Internet Explorer-Sicherheitseinstellungen.Das Self-Service-Portal müsste im Intranetkontext in Internet Explorer ausgeführt werden. Möglicherweise müssen Sie den VMM-Server in Ihrer lokalen Konfiguration zur Liste der Intranet-Websites hinzufügen.Sobald diese Änderungen vorgenommen wurden, können Sie Self-Service-Richtlinien in VMM erstellen und verwenden.

Features von Virtual Machine Manager
VMM bietet viele interessante Features und Möglichkeiten, aber die beiden interessantesten Funktionen sind die P2V-Konvertierung und die V2V-Konvertierung, mit denen Sie physische zu virtuellen und virtuelle zu virtuellen Computern umfunktionieren können.Beide Funktionen werden aus der Verwaltungskonsole heraus unterstützt.Da die VMM-Verwaltungskonsole auf Windows PowerShell aufgebaut ist, können sämtliche Befehle auch über Windows PowerShell selbst ausgeführt werden.Für die Zwecke dieses Artikels wird der P2V-Prozess über die Verwaltungskonsole und der V2V-Prozess über Windows PowerShell untersucht.

Konvertierung von physischen zu virtuellen Computern
Zum Durchführen der P2V-Konvertierung wird die VMM-Verwaltungskonsole verwendet.Der physische Computer, der konvertiert werden soll, muss mehrere Voraussetzungen erfüllen.Erstens muss dieser Computer ein Mitglied der aktuellen Domäne oder einer vertrauenswürdigen Domäne sein.VMM stellt eine Verbindung zu diesem Computer her, um einen P2V-Agent zu installieren und die erforderlichen Informationen zu übertragen.Zweitens muss auf dem Quellcomputer ein unterstütztes Betriebssystem ausgeführt werden.P2V unterstützt die Betriebssysteme Windows Server 2003, Windows 2000 Server und Windows XP Professional.Wenn auf dem Quellcomputer Windows Server 2003 oder Windows XP ausgeführt wird, verwendet VMM den Volumeschattenkopie-Dienst (Volume Shadow Copy Service, VSS), um die Festplatten zusammenzuführen und die Datenströme auf virtuelle Festplatten zu leiten.Dadurch kann der Computer ohne Ausfallzeit konvertiert werden, sodass Sie für die Erstellung des P2V-Abbilds keine Ausfallzeit für den Server einplanen müssen.Bei Windows 2000 wird eine Windows PE-Systemstart-CD erstellt, um das Erstellen des P2V-Abbilds zu erleichtern.In diesem Beispiel wird ein Windows Server 2003-Ziel verwendet.
Der P2V-Prozess wird gestartet, indem unter „Actions“ (Aktionen) oben rechts in der Verwaltungskonsole die Option „Convert physical server“ (Physischen Server konvertieren) ausgewählt wird.Dies ruft den in Abbildung 5 dargestellten P2V-Assistenten auf.Auf der ersten Seite wird durch Angabe des zu konvertierenden Computers die Quelle ausgewählt.Geben Sie den DNS-Namen des Computers und die entsprechenden Domänenanmeldeinformationen ein, um eine Verbindung zu ihm herzustellen und ihn zu verwalten.Im nächsten Schritt können Sie dem resultierenden VM einen Namen zuweisen.
Abbildung 5 Die P2V-Funktion von VMM arbeitet auf Assistentenbasis und ist in die Administratoroberfläche integriert
Abbildung 5 Die P2V-Funktion von VMM arbeitet auf Assistentenbasis und ist in die Administratoroberfläche integriert
Danach beginnt der Assistent, Informationen vom Quellcomputer abzurufen.Wenn Sie auf „Gather System Information“ (Systeminformationen sammeln) klicken, installiert VMM einen P2V-Agent, der die benötigten Informationen über das Betriebssystem, die Festplatte und die Netzwerkadapter des Quellcomputers abruft.Durch Klicken auf „Next“ (Weiter) gelangen Sie zu einem Überprüfungsbildschirm, um sicherzustellen, dass keine bekannten Probleme vorliegen, die die geplante Konvertierung verhindern könnten.Falls Probleme vorliegen, werden Lösungsmöglichkeiten angeboten.
Wenn die Konfigurationsinformationen abgerufen wurden, können Sie die Festplattenpartitionen auswählen, die konvertiert werden sollen.Standardmäßig wird die Startpartition ausgewählt- Alle anderen vorhandenen Partitionen werden verfügbar gemacht.Sie können auswählen, welche Partitionen als Bestandteil der Konvertierung beibehalten werden sollen.Der P2V-Prozess ist eine intelligenter Kopiervorgang, was bedeutet, dass lediglich die Daten auf den angegebenen Partitionen übertragen werden, nicht das Abbild und die Größe der gesamten Festplatte.
Zum Schluss führt der Assistent die Standardschritte der VMM-Bereitstellung einschließlich der Virtual Server-Startkonfigurationen und des bereits beschriebenen Intelligent Placement-Prozesses durch.Wenn der Assistent seine Arbeit abgeschlossen hat, wird das Fenster „Jobs“ (Aufgaben) angezeigt, in dem der gesamte Prozess und Verlauf der P2V aufgeführt ist.
Standardmäßig werden neu konvertierte VMs nicht automatisch gestartet (sie befinden sich nach der Konvertierung in einem angehaltenen Zustand). Außerdem wird durch den P2V-Prozess weder der Quellcomputer heruntergefahren noch sein Ausführungsstatus geändert.Dies ist ein zerstörungsfreier P2V-Prozess.Da der neue VM denselben Computernamen, dieselbe IP-Adresse und sogar dieselbe MAC-Adresse wie der Originalserver besitzt, muss der Originalserver heruntergefahren werden, bevor der VM gestartet werden kann.Wenn der Quellcomputer automatisch heruntergefahren oder der neu konvertierte VM automatisch gestartet werden soll, können Sie dies über die Windows PowerShell-Befehlszeile einrichten.Als Bestandteil des Prozesses empfiehlt es sich, den P2V-Prozess auszuführen und danach den resultierenden VM in einer Testumgebung auszuführen, um sicherzustellen, dass alle Bestandteile erfolgreich konvertiert wurden.

Konvertierung von virtuellen zu virtuellen Computern
Für den V2V-Prozess benötigen Sie sowohl einen virtuellen VMWare-Computer (in Gestalt einer VMDK-Datei) als auch eine gültige VMM-Installation mit einem als Ziel zugewiesenen virtuellen Computerhost.Das VMM V2V Windows PowerShell-Cmdlet „new-v2v“ unterstützt die folgenden vier VMDK-Dateiformate:monolithicSparse, monolithicFlat, twoGbMaxExtentSparse und twoGbMaxExtentFlat.Die meisten vorhandenen VMDK-Dateien zählen zu einer dieser Kategorien.
Der V2V-Prozess funktioniert nur bei VMDK-Dateien, die offline sind.Der P2V-Prozess dagegen kann dazu verwendet werden, virtuelle VMware-Computer zu konvertieren, die derzeit ausgeführt werden.Virtuelle VMware-Computer bestehen aus zwei Hauptkomponenten: den VMDK-Dateien, die die virtuellen Festplatten darstellen, auf denen die Daten gespeichert werden, und einer VMX-Datei, in der die Konfigurationsinformationen des virtuellen Computers enthalten sind.Die VMDK-Dateien und die zugeordnete VMX-Datei können in einem Bibliotheksspeicherort abgelegt werden, was Ihnen die Möglichkeit bietet, auf den virtuellen VMware-Computer zuzugreifen und ihn zu konvertieren, ohne einen Zugriff vom Ursprungsserver auf die Datei gewähren zu müssen.
Während des V2V-Prozesses wird die VMDK-Datei in eine VHD-Datei konvertiert, das Gastbetriebssystem für die Zusammenarbeit mit Virtual Server bereinigt und ein neuer virtueller Computer erstellt, der der ursprünglichen Konfiguration so weit wie möglich entspricht, wobei die Änderungen vorgenommen werden, die für die von Virtual Server unterstützte virtuelle Hardware erforderlich sind.Beachten Sie, dass dieser Teil des Konvertierungsvorgangs separat über Windows PowerShell verwaltet werden kann. Dies ermöglicht die Durchführung zahlreicher Formatkonvertierungen, bevor für die neuen virtuellen Computer Hosts zugewiesen werden.In diesem Beispiel soll jedoch die VHD-Datei konvertiert und bereitgestellt werden.
V2V kann über die Verwaltungskonsole und über Windows PowerShell durchgeführt werden. In diesem Beispiel wird Windows PowerShell verwendet.Um den V2V-Prozess in Gang zu setzen, starten Sie ein Windows PowerShell-Fenster, in dem die VMM-Cmdlets geladen sind.Klicken Sie dazu auf „Start“ | „Alle Programme“ | „Microsoft System Center“ | „Virtual Machine Manager 2007“ | „Windows PowerShell – Virtual Machine Manager“.
Das dadurch angezeigte Fenster müsste den Titel „Windows PowerShell – Virtual Machine Manager“ tragen.Ist dies nicht der Fall, wurden möglicherweise die VMM-Cmdlets nicht geladen.Wenn Windows PowerShell geöffnet ist, können Sie den Befehl „new-v2v“ durch Ausführen des folgenden Befehls überprüfen:
get-help new-v2v –full | more
Dadurch erhalten Sie die Syntax und Beispiele zur Durchführung eines V2V-Prozesses.In dem für diesen Artikel verwendeten Beispiel trägt der VMM-Server den Namen „vmmserver.contoso.com“, der virtuelle Zielcomputer heißt „vshost1.contoso.com“, und die VMDK-Datei steht auf einem Bibliotheksserver namens „vmmserver.contoso.com“ zur Verfügung.
Geben Sie zunächst mit dem Befehl „get-vmmserver“ den Kontext für den VMM-Server an, der zum Durchführen des V2V-Prozesses verwendet wird.Wie bei allen Windows PowerShell-Befehlen folgt der Befehl „get-vmmserver“ dem Verb-Nomen-Format, und zur Angabe der Parameter werden Gedankenstriche verwendet.Die folgende Zeile zeigt den Befehl, mit dem der VMM-Server angeben wird:
get-vmmserver –computername "vmmserver.contoso.com"
Dadurch wird als VMM-Serverkontext für die nachfolgenden Befehle „vmmserver.contoso.com“ eingestellt.Der oben angegebene Befehl liefert eine detaillierte Liste von Informationen über „vmmserver.contoso.com“. Wenn der Befehl fehlerhaft oder mit falscher Syntax eingegeben wurde, wird eine rote Fehlermeldung ausgegeben, in der das Problem beschrieben wird.
Im nächsten Schritt muss der als Ziel vorgesehene virtuelle Computerhost angegeben werden, also der Virtual Server-Host, dem die konvertierte VMDK/VHD-Datei zugewiesen werden soll.Um diesen Schritt vorzubereiten, weisen Sie in Windows PowerShell mit dem folgenden Befehl der Variable „$vmhost“ den Wert für den virtuellen Computerhost zu:
$vmhost = get-vmhost –computername
"vshost1.contoso.com"
Dieser Befehl gibt kein Feedback im Befehlsfenster aus, aber Sie können leicht überprüfen, ob die Variable korrekt festgelegt wurde, indem Sie in der Windows PowerShell-Eingabeaufforderung „$vmhost“ eingeben und danach die Eingabetaste drücken.Dadurch werden die in $vmhost gespeicherten Informationen angezeigt (detaillierte Informationen über „vshost1.contoso.com“, die den Informationen ähneln, die an früherer Stelle beim VMM-Server verwendet wurden).
Zusätzlich zum virtuellen Computerhost müssen Sie auch den Bibliotheksserver angeben, auf dem sich die VMDK-Datei befindet.Der dazu erforderliche Befehl ähnelt dem Befehl, der an früherer Stelle für den virtuellen Computerhost verwendet wurde:
$library = get-libraryserver –computername
"vmmserver.contoso.com"
Genau wie bei $vmhost werden durch die Eingabe von $library in der Befehlszeile die Informationen über den Bibliotheksserver angezeigt.
Geben Sie zum Schluss den Befehl ein, mit dem die V2V-Konvertierung durchgeführt wird.Verwenden Sie dazu den Befehl „new-v2v“ mit der Funktion „get-help“.Durch diesen Befehl geben Sie den Bibliotheksserver für die VMX/VMDK-Datei, den Zielhost, den Namen des resultierenden VM und den Pfad für die konvertierte VHD-Datei an.
In der Befehlszeile werden die meisten Verweisangaben aus der Perspektive des Zielhosts (in diesem Fall „vshost1.contoso.com“) angegeben, wobei der Installationspfad als lokaler Verweis für VSHOST1 angegeben wird.Der VMX-Pfad wird aus der Perspektive des Bibliotheksservers angegeben.Die resultierende Windows PowerShell-Befehlszeile lautet folgendermaßen:
new-v2v –LibraryServer $library –vmxpath
"\\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx"
–vmhost $vmhost -name "DemoV2V"
–path "C:\VHDs"
Dieser Befehl konvertiert also die VMX/VMDK-Datei für „\\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx“ auf dem Bibliotheksserver „$library“ (VMMSERVER) und stellt sie über die Variable „$vmhost“ für den Host (VSHOST1) unter dem Namen „DemoV2V“ im Pfad C:\VHDs auf VSHOST1 bereit.
Nach Ausführung des Befehls empfiehlt es sich, in das Fenster „Jobs“ (Aufgaben) der VMM-Verwaltungskonsole zurückzukehren, um den Fortschritt zu überprüfen.Die VMX/VMDK-Datei wird konvertiert und anschließend auf VSHOST1 kopiert, wo die resultierende VHD-Datei der Liste der VMs unter dem Namen „DemoV2V“ hinzugefügt wird.Wenn der Prozess abgeschlossen ist, können Sie den neuen virtuellen Computer über VMM starten und die Ergebnisse überprüfen.

Schlussbemerkung
Wie Sie sehen, stellt System Center Virtual Machine Manager 2007 eine Reihe fantastischer neuer Features und Funktionen für Ihre virtuelle Infrastruktur bereit.Durch Aufzeigen des P2V- und des V2V-Prozesses haben Sie hoffentlich einen Eindruck erhalten, wie einfach Virtual Machine Manager in diesen Prozessen verwendet wird.
VMM ist so konzipiert, dass die Arbeit des IT-Administrators beim Erstellen, Bereitstellen und Verwalten von VMs erleichtert wird.Nach der Veröffentlichung von System Center Virtual Machine Manager 2007 sollten Virtual Server 2005-Administratoren die Möglichkeiten in Betracht ziehen, die ihnen Virtual Machine Manager für die Verwaltung virtueller Computerhosts bietet.Benutzern der neuen Windows Server-Virtualisierung in Windows Server 2008 wird in der nächsten Version von System Center Virtual Machine Manager, die nach der endgültigen Veröffentlichung der Windows Server 2008-Virtualisierung erhältlich sein wird, von Microsoft Unterstützung bereitgestellt.
Zusätzliche Informationen zu VMM sowie ein Demo zum Herunterladen finden Sie auf der Website microsoft.com/SCVMM.Weitere Informationen zu allen Virtualisierungsprodukten von Microsoft erhalten Sie auf der Website microsoft.com/virtualization.

Edwin Yuen arbeitet in der Abteilung Windows Enterprise Management als technischer Produktmanager für System Center Virtual Machine Manager.Edwin Yuen ist im Juli 2006 durch die Übernahme von Softricity zu Microsoft gestoßen.Er verfügt über 13 Jahre Erfahrung als technischer Berater in der Privatwirtschaft und bei Behörden.Er hat an der Johns Hopkins University einen Bachelor of Science in Elektrotechnik erworben.
© 2007 Microsoft Corporation und CMP Media, LLC. Alle Rechte vorbehalten. Die nicht genehmigte teilweise oder vollständige Vervielfältigung ist nicht zulässig.


 System Center: Bessere Sicherungen mit Data Protection Manager&#160;2007
System Center Calvin Keaton

Bessere Sicherungen mit Data Protection Manager 2007
Kurz zusammengefasst:
  • Distanzierung vom Bandsicherungsansatz
  • Kontinuierlicher Datenschutz
  • Datenträgerbasierte Sicherungen
  • Präzisere Steuerung mit DPM

Der Datenschutzmarkt hat in jüngster Zeit eine gewisse Renaissance erfahren.Nach Jahren bandbasierter Sicherungslösungen und Standardansätzen für nächtliche Sicherungen wurde innerhalb relativ kurzer Zeit eine Reihe neuer
Technologien und Methoden eingeführt.Diese neuen Technologien umfassen die datenträgerbasierte Sicherung, kontinuierlichen Datenschutz (Continuous Data Protection, CDP) und sogar etwas scheinbar so Einfaches wie die Datenverschlüsselung.Einige dieser neuen Ansätze wurden aufgrund der jüngsten Preisrückgänge bei Festplattenspeicher, durch Verbesserungen der Netzwerk- und Prozessorleistung und durch neue gesetzliche Anforderungen ermöglicht oder sogar notwendig.
Microsoft bietet in diesem Bereich schon lange plattform- und anwendungsbasierte Lösungen wie NTBackup-, Exchange Server- und SQL ServerTM-Sicherungstools, um nur einige Beispiele zu nennen.
System Center Data Protection Manager (DPM) 2006 war das erste eigenständige Softwareprodukt von Microsoft auf dem Datenschutzmarkt und eins der ersten Produkte, das datenträgerbasierten Datenschutz bot. Es ist immer noch das einzige Angebot dieser Art, bei dessen Entwicklung von Grund auf die datenbasierte Sicherung im Vordergrund stand.Bei den meisten anderen Produkten handelte und handelt es sich um bandbasierte Ansätze, die für Datenträger nachgerüstet wurden.
DPM ist Teil der System Center-Produktfamilie.Die System Center-Produkte arbeiten zusammen, um die laufenden Verwaltungsarbeiten für komplexe IT-Infrastrukturen zu erleichtern und kostengünstiger zu gestalten.System Center-Lösungen basieren auf Automatisierung und bewährten Methoden des Microsoft® Operations Framework (MOF) und der IT-Infrastrukturbibliothek (Information Technology Infrastructure Library, ITIL) und können auf allen Ebenen einer Organisation verwendet werden.
DPM ist lediglich ein Teil der System Center-Familie.System Center Configuration Manager bietet Konfigurationsverwaltung und Softwarebereitstellung.System Center Operations Manager bietet proaktive Systemüberwachung und Automatisierung.System Center Capacity Planner kann zur Kapazitätsplanung und Fallanalyse von Infrastrukturbereitstellungen verwendet werden.(Weitere Informationen finden Sie unter microsoft.com/systemcenter).
System Center Data Protection Manager 2006 stellte die datenträgerbasierte Sicherung von Datei- und Druckservern sowie die WAN-basierte Datenträgersicherung in Zweigstellen bereit.Das Produkt wurde zum Schutz von Dateiservern im Datencenter entwickelt und diente dazu, lokale Bandsicherungshardware aus der Zweigstelle zu verlagern.Aber es fehlte ihm an systemeigener Unterstützung für Microsoft-Anwendungen, sodass für langfristige Archivierungen auf Band Produkte von Drittanbietern erforderlich waren.
Die neue Version von DPM, System Center Data Protection Manager 2007, baut auf dieser Grundlage auf und stellt weiterhin robusten, datenträgerbasierten Schutz von Datei- und Druckservern sowie Zweigstellen bereit, bietet aber zudem Unterstützung für unternehmenswichtige Microsoft-Anwendungen wie Exchange, SQL Server und SharePoint® sowie systemeigene Unterstützung für Bandsicherungen.Obwohl bedeutende Änderungen bei einer neuen Version nicht ungewöhnlich sind, gilt dies besonders im Fall von DPM.Bei der zweiten Version wurden eine große Anzahl neuer Features sowie bedeutende Verbesserungen für vorhandene Features hinzugefügt.In diesem Artikel werden mehrere dieser neuen und verbesserten Features vorgestellt, und Sie erhalten einen Überblick über das, was Sie von dieser interessanten neuen Veröffentlichung erwarten können.

Anwendungs- und Plattformunterstützung
Viele Hersteller von Sicherungssoftware handhaben die Anwendungsunterstützung eher wie den Brotaufstrich.Sie verteilen ihre technischen Investitionen gleichmäßig auf eine große Anzahl von Anwendungen bei dem Versuch, möglichst viele Datenquellen zu unterstützen.Das Ergebnis ist sehr einfache Unterstützung für eine große Anzahl von Anwendungen.Statt begrenzte Unterstützung für eine Vielzahl von Anwendungen oder Plattformen bereitzustellen, hat Microsoft sich dafür entschieden, den Schutz einiger sehr spezieller Anwendungen auf der Windows®-Plattform in den Mittelpunkt zu stellen.So konnten technische Investitionen auf diese Anwendungen konzentriert werden, um ein integriertes Angebot zur Sicherung und Wiederherstellung zu bieten, das in anderen Sicherungsprodukten normalerweise nicht vorhandene Features umfasst.
Microsoft Exchange-Unterstützung wurde von den DPM 2006-Benutzern bei den gewünschten Features an erster Stelle genannt. Vor diesem Hintergrund führt DPM 2007 Unterstützung sowohl für Exchange Server 2003 als auch für Exchange Server 2007 ein. Der Schutz erfolgt auf der Speichergruppenebene, wobei einzelne Speichergruppen auf der DPM-Benutzeroberfläche als Objekte angezeigt werden. Diese können dann bei Bedarf Schutzgruppen hinzugefügt werden, um geplante, richtliniengesteuerte Sicherungen zu ermöglichen.Gruppierte Speichergruppen werden als einzelnes Objekt angezeigt, sodass einzelne Mitglieder eines Clusters nicht nachverfolgt und ihr Schutz nicht manuell synchronisiert werden muss.Wiederherstellungen können auf der Speichergruppen-, Datenbank- oder Postfachebene erfolgen.Genaue Wiederherstellung wird durch Automatisierung erzielt, wobei standardmäßige Exchange-Tools zum Wiederherstellen der Daten in einer Speichergruppe für die Wiederherstellung und zum anschließenden Extrahieren präziserer Objekte, beispielsweise Postfächer (wieder mithilfe standardmäßiger Exchange-Tools), verwendet werden (siehe Abbildung 1).
Abbildung 1 Exchange-Unterstützung in DPM
Abbildung 1 Exchange-Unterstützung in DPM
Im Gegensatz zu einigen anderen Exchange-Sicherungslösungen nutzt DPM beim Extrahieren von Objekten, die dann wiederhergestellt werden, keine Nicht-Exchange-Tools und kein Reverse Engineering der Exchange-Datenbank.DPM-basierte Postfachwiederherstellungen werden also vollständig von Exchange unterstützt.
DPM 2007 ist das erste Produkt, das die fortlaufende Clusterreplikation (Cluster Continuous Replication, CCR) und die fortlaufende lokale Replikation (Local Continuous Replication, LCR) in Exchange 2007 vollständig unterstützt.Exchange 2003-Cluster werden ebenfalls unterstützt.
SQL Server 2000 und SQL Server 2005 werden von DPM 2007 unterstützt, wobei sowohl die Sicherung als auch die Wiederherstellung auf Datenbankebene stattfinden.Unterstützung für umgeleitete und umbenannte Wiederherstellungen sowie vollständige Unterstützung für gruppierte, gespiegelte oder Datenbanken des Protokollversands ist ebenfalls vorhanden.
Wie in Exchange werden gruppierte Datenbanken als einzelnes Objekt auf der Benutzeroberfläche angezeigt, sodass der Schutz auf mehreren gruppierten Servern nicht separat konfiguriert werden muss (siehe Abbildung 2).SQL Server-Unterstützung in DPM kann zum Schutz einer Reihe von Drittanbieteranwendungen verwendet werden, die auf Back-End-SQL Server-Datenbanken beruhen. Die Unterstützung für die Anwendung erfolgt dabei über den Dateischutz, und die SQL Server-Datenbank wird systemintern über DPM-Unterstützung für SQL Server geschützt.Das flexible Planungsmodul in DPM ermöglicht das Hinzufügen sowohl der Dateisicherung als auch der SQL Server-Sicherung zur selben Schutzgruppe, sodass die Sicherungen gleichzeitig erfolgen und eine gemeinsame Verwaltungs- und Planungsschnittstelle vorhanden ist.
Abbildung 2 Sicherungscluster
Abbildung 2 Sicherungscluster
Arbeitsauslastungen bei der Zusammenarbeit werden mit SharePoint 2007 geschützt, wobei sowohl Windows SharePoint Services (WSS) 3.0 als auch Microsoft Office SharePoint Server (MOSS) 2007 unterstützt werden.Unterstützung findet auf der Farmebene statt, selbst wenn sich diese Farm über mehr als einen Server erstreckt.Eine Farm, die beispielsweise aus drei Front-End-Webservern, zwei Websitesammlungsservern und einem einzelnen Datenbankserver, also aus insgesamt sechs Servern besteht, wird daher als einzelnes Objekt auf der DPM-Benutzeroberfläche angezeigt, als einzelnes Objekt gesichert und kann von DPM auch als einzelnes Objekt wiederhergestellt werden.
Obwohl Wiederherstellungen vollständiger Farmen unterstützt werden, umfasst DPM auch Unterstützung für Wiederherstellungen von Websites, Websitesammlungen und einzelnen Dokumenten, Listen oder Elementen.Ältere Versionen von SharePoint können natürlich auch als SQL Server-Datenbanken über DPM-SQL Server-Schutzfeatures geschützt werden.
Datei- und Druckarbeitsauslastung werden weiterhin in DPM 2007 unterstützt, wobei Unterstützung für geöffnete Dateien ohne Aufpreis zur Verfügung steht.Unterstützung für Datei- und Ordnerausschlüsse und für die Systemstatussicherung wurde hinzugefügt.Beachten Sie, dass die Dateiunterstützung noch erweitert wurde und jetzt Windows Vista® und Windows XP umfasst.Doch die Unterstützung für diese Clientbetriebssysteme ist relativ begrenzt, da sie hauptsächlich auf Systeme abzielt, die als Dateiserver dienen.DPM-Benutzer dürfen bei Bedarf eine kleine Anzahl von Clients schützen, doch diese Unterstützung lässt sich nicht leicht auf eine größere Anzahl von Desktops skalieren.
Systemeigene Unterstützung für Exchange-Server, SQL Server, SharePoint-Server und Dateiserver ermöglicht DPM die Unterstützung der großen Mehrzahl von Arbeitsauslastungen in Windows-Umgebungen.Doch für seltenere Arbeitsauslastungen umfasst DPM 2007 auch Unterstützung für Pre- und Post-Scripts, die bei einer Sicherung automatisch ausgeführt werden können.Mithilfe dieser Funktionalität kann DPM eine Vielzahl anderer Anwendungen oder Arbeitsauslastungen unterstützen.Unterstützung dieser Art ist nicht so stark integriert wie die Unterstützung für Exchange, SQL Server und SharePoint, doch sie bietet bedeutende Flexibilität bei der Datenquellenunterstützung.Whitepapers mit Informationen, wie sich eine Reihe wichtiger Nicht-Microsoft-Produkte, beispielsweise Oracle, unterstützen lassen, sind im DPM TechCenter unter technet.microsoft.com/dpm verfügbar.
Eine der interessanteren Neuerungen in DPM 2007 ist die hostbasierte Unterstützung virtueller Server.Obwohl die meisten Sicherungsprodukte virtuelle Servergäste als einzelne Server unterstützen können, sind nur wenige (wenn überhaupt) in der Lage, solchen Schutz auf der Hostebene über eine einzelne Lizenz und Agentinstallation bereitzustellen.DPM nutzt rekursive Schreiber des Volumeschattenkopie-Diensts (Volume Shadow Copy Service, VSS) zum Schutz aller Gäste, die auf einem bestimmten virtuellen Serverhost über einen einzelnen, auf dem Host bereitgestellten Agent gehostet werden.Diese rekursiven VSS-Schreiber können VSS-Schreiber aufrufen, die auf Gästen oder sogar in Anwendungen existieren, die auf Gästen ausgeführt werden, unabhängig davon, welche Anwendung oder welches Betriebssystem auf dem Gast installiert ist.Dies ermöglicht DPM den Schutz beliebiger Plattformen oder Anwendungen, die unabhängig vom Anbieter als Gast ausgeführt werden.Solche hostbasierten virtuellen Serversicherungen sind anwendungskonsistent und resultieren in einem einzelnen Abbild der virtuellen Festplatte (Virtual Hard Disk, VHD), das bei Bedarf auf einem vorhanden oder neuen Host wiederhergestellt werden kann.
Diese hostbasierten Sicherungsabbilder bieten nicht dieselbe Genauigkeit von Wiederherstellungen wie Sicherungen, die über einen auf dem Gast oder einem eigenständigen Server installierten DPM-Agent erfolgen, doch sie sind auf andere Weise effizient, darunter bei der einfachen Systemwiederherstellung in virtualisierten Umgebungen.

Geschwindigkeit, Zuverlässigkeit und Effizienz
Neben Verbesserungen bei Details und Umfang des Anwendungssupports im Vergleich zur früheren Version ermöglicht DPM 2007 höhere Genauigkeit bei vollständigen und inkrementellen Sicherungen.Während Sie Synchronisierungen mit DPM 2006 stündlich durchführen konnten, sind mit der neuen DPM-Version inkrementelle Sicherungen alle 15 Minuten und eine vollständige Sicherung jede Stunde möglich.Bei Kunden mit weniger strikten Vereinbarungen zum Servicelevel (Service Level Agreements, SLAs) sind vollständige Sicherungen möglicherweise nur ein Mal pro Woche erforderlich.Folglich können diese Kunden die Sicherungshäufigkeit auf weniger wichtigen Servern verringern, während für wichtige Server strikte Sicherungszeitpläne möglich sind.Obwohl die Synchronisierung mit dem DPM-Server alle 15 Minuten erfolgen kann, verfolgt der DPM-Agent während des Intervalls zwischen den Synchronisierungen weiterhin Änderungen auf dem geschützten Server.
Dieser neue DPM-Agent verfolgt kontinuierlich Änderungen auf Blockebene, wenn sie auf einem geschützten Server eintreten.Dies wird durch einen völlig neuen, für DPM 2007 entwickelten Volumefilter ermöglicht, der aus einem Bitmuster besteht, das sich in einem ausgelagerten Poolspeicher befindet und ein Bit für jeden Block im geschützten Volume umfasst.
Jedes Mal, wenn ein Block in das Volume geschrieben wird, wird ein Bit im Bitmuster gedreht.Die Prozessor- und Speicherauswirkung bei diesem Prozess ist geringer als bei einem typischen Antivirusfilter, und es gibt keinen Speicherplatzbedarf, der anhand der Änderungsrate skaliert wird.Tatsächlich wird die Auslastung im Zusammenhang mit diesem Filter überhaupt nicht anhand der Änderungsrate skaliert.Dies ist sehr wichtig, da die meisten Schemas für die Änderungsnachverfolgung auf Blockebene einen hohen Prozessor- und Speicherbedarf sowie einen Datenträgerbedarf mit sich bringen, der entsprechend der Änderungsrate skaliert wird.Höhere Änderungsraten haben also größere Auswirkungen, und in einigen Fällen können sehr hohe Änderungsraten dazu führen, dass das System nicht mehr über genügend Speicherplatz verfügt.Bei DPM 2007 sind die Auswirkungen des Volumefilters auf Prozessor, Speicher und Datenträger nicht von der Änderungsrate abhängig.Egal, ob die Änderungsrate ein Prozent oder 1.000 Prozent beträgt, wirkt sie sich nicht auf den mit dem Filter verbundenen niedrigen Aufwand aus.
Doch das Nachverfolgen geänderter Daten ist nur ein Teil des Ganzen.DPM 2007 nutzt auch den VSS-Dienst auf dem geschützten Server, um anwendungskonsistente Sicherungsabbilder zu erstellen, die zuverlässig wiederhergestellt werden können.VSS wurde von Microsoft entwickelt, um die Sicherungsinfrastruktur für Windows XP und Windows Server® 2003 bereitzustellen und als Mechanismus zum Erstellen konsistenter Kopien von Daten zu einem bestimmten Zeitpunkt (Schattenkopien) zu dienen.VSS kann durch das Koordinieren von Lese- und Schreibvorgängen mit Geschäftsanwendungen, Dateisystemdiensten, Sicherungsanwendungen, Lösungen für schnelle Wiederherstellungen und Speicherhardware konsistente Schattenkopien erstellen.Demzufolge ist VSS wohl einer der konsistentesten und zuverlässigsten Mechanismen zum Erstellen anwendungskonsistenter Sicherungen, der zurzeit verfügbar ist.Mehrere Features in Windows Server 2003 verwenden VSS, einschließlich Schattenkopien von freigegebenen Ordnern.
Die meisten Produkte, die VSS für Anwendungssicherungen verwenden, erstellen ein VSS-Replikat und belassen es auf dem geschützten Server, um Änderungen nachzuverfolgen und ein anwendungskonsistentes Abbild für die Sicherung zu erhalten.Leider hat das ständige Beibehalten des Replikats auf dem geschützten Server bedeutende Auswirkungen auf die Leistung, da beim Schreiben eine Kopie erstellt wird, damit das VSS-Replikat jedes Mal, wenn die Anwendung Schreibvorgänge auf dem Datenträger durchführt, auf dem neuesten Stand ist.Dabei kann bis zu 25 Prozent Prozessorbedarf entstehen, und es kommt zu erheblichen zeitlichen Auswirkungen auf die Schreibzugriffe.
Da DPM Änderungen über den Volumefilter nachverfolgt, muss ein VSS-Replikat nicht ständig beibehalten werden.Stattdessen erstellt DPM ein VSS-Replikat, wenn eine vollständige Sicherung stattfindet, und überlagert dann das Volumefilterbitmuster, um nur geänderte Daten im Replikat zu identifizieren.Diese geänderten Daten werden auf den DPM-Server verschoben, der zum Erstellen eines Wiederherstellungspunkts dient.Das VSS-Replikat auf dem geschützten Server wird dann gelöscht, und der Volumefilter wird zurückgesetzt.Die Änderungsnachverfolgung auf Blockebene wird dann mit wenig Aufwand fortgesetzt, und ein VSS-Replikat oder die zugehörige Ressourcenverwendung ist nicht erforderlich.
Diese Lösung garantiert, dass Wiederherstellungspunkte zu einem wiederherstellbaren Anwendungsabbild führen. Sie verringert zudem die Datenmenge, die zwischen dem geschützten Server und dem DPM-Server verschoben wird.
Bei DPM 2007 verschiebt eine vollständige Sicherung nicht eine vollständige Kopie der Daten vom geschützten Server zum DPM-Server.Stattdessen werden nur die geänderten Daten verschoben.Eine täglich durchgeführte vollständige Sicherung auf einer Exchange-Speichergruppe von 100 GB mit einer zehnprozentigen Änderungsrate pro Tag würde nur 10 GB in Anspruch nehmen.
Diese Größenreduzierung vollständiger Sicherungen bedeutet eine äußerst effiziente Speicherung auf dem DPM-Server, wenn ein Snapshot zum Erfassen eines Wiederherstellungspunkts erstellt wird.Jeder Snapshot besteht aus den geänderten Daten der letzten vollständigen Sicherung, und er wird beim Durchführen einer vollständigen Sicherung automatisch erstellt.Bei Anwendungen umfassen diese Snapshots auch in der Zwischenzeit stattgefundene inkrementelle Sicherungen.
Inkrementelle Sicherungen sind im Wesentlichen Protokollsicherungen in DPM, sodass die geänderten Daten jedes Mal beim Erstellen einer vollständigen Sicherung einer Anwendung zum DPM-Server verschoben und mit in der Zwischenzeit stattgefundenen Protokollsicherungen gebündelt werden, um einen einzelnen Snapshot zu erstellen, der mehrere Wiederherstellungspunkte enthält.Im Fall der bereits beschriebenen Exchange-Speichergruppe von 100 GB Größe mit einer täglichen zehnprozentigen Änderungsrate würde ein Snapshot 10 GB geänderte Daten und Anwendungsprotokolle von ca. 5 bis 10 GB Größe umfassen, wenn von einer täglich stattfindenden vollständigen Sicherung und Inkrementen im 15-minütigen Abstand ausgegangen wird.Führen Sie sich jedoch unbedingt vor Augen, dass dieser Snapshot von 15 bis 20 GB Größe bis zu 97 Wiederherstellungspunkte enthält!
Vollständige Sicherungen müssen mindestens ein Mal pro Woche stattfinden, und die Gesamtzahl der Snapshots ist bei Anwendungsservern auf 512 und bei Dateiservern auf 64 begrenzt.Die Durchführung wöchentlicher vollständiger Sicherungen und inkrementeller Sicherungen alle 15 Minuten würde also zu 673 Wiederherstellungspunkten pro Snapshot und zu mehr als 340.000 Wiederherstellungspunkten führen, wenn alle 512 Snapshots verwendet würden.Obwohl es unwahrscheinlich ist, dass jemals so viele Wiederherstellungspunkte auf dem Datenträger gebraucht werden, demonstriert dies die Flexibilität und Skalierbarkeit von DPM in Bezug auf die Auftragsplanung und Wiederherstellung zu einem bestimmten Zeitpunkt.
Die Aufnahme von Protokollsicherungen zusammen mit vollständigen Sicherungen ermöglicht DPM das effiziente Speichern einer sehr großen Anzahl von Wiederherstellungspunkten bei sehr wenig Speicherplatz.Es kommt jedoch zu einem gewissen Leistungsaufwand im Zusammenhang mit diesem Prozess, und aus technischer Sicht handelt es sich dabei nicht um eine Komprimierung oder Einzelinstanzspeicherung (Single Instance Storage, SIS), obwohl der Prozess einige Komponenten der Datendeduplizierung umfasst, nämlich die Nachverfolgung von Änderungen auf Blockebene.Egal, welche Bezeichnung gewählt wird, leistet DPM sehr gute Arbeit bei der Inanspruchnahme von äußerst wenig Speicherplatz für jeden erstellten Wiederherstellungspunkt.Noch wichtiger ist Folgendes: da DPM keine traditionelle Komprimierung, Einzelinstanzspeicherung oder Deduplizierung zur Durchführung dieser Aufgabe verwendet, erhöht sich die Effizienz sogar noch, wenn eine Komprimierungs-, SIS- oder Deduplizierungsspeicherplattform verwendet wird, um für den DPM-Server Speicherplatz bereitzustellen.

Wiederherstellung ohne Datenverlust und CDP
Eine der vielleicht interessantesten Änderungen in DPM 2007 ist die Möglichkeit, verlustlose Wiederherstellungen von Microsoft-Anwendungen durchzuführen.Dies wird durch die Nachverfolgung von Änderungen auf Blockebene und die VSS-Architektur sowie die tiefe Integration mit vorhandenen Anwendungsprotokollen auf dem geschützten Server ermöglicht.
Im Allgemeinen gibt es heute zwei Ansätze beim Datenschutz und bei der Wiederherstellung:
Replikationsbasierte Lösungen Daran denken die meisten Kunden traditionell beim kontinuierlichen Datenschutz (Continuous Data Protection, CDP).Beim replikationsbasierten Datenschutz werden Änderungen, die auf dem geschützten Server, eintreten, zum Sicherungsserver verschoben.Dies ist eine datenträgerbasierte Lösung, die angeblich die Wiederherstellung bis zu jedem beliebigen Zeitpunkt ohne Datenverlust ermöglicht.
Obwohl dies eine überzeugende Behauptung ist, gibt es bei diesem Ansatz einige sehr reale Nachteile.Eine Replikationslösung hat keine Vorstellung vom Anwendungszustand und ist sich der beweglichen Teile in einer Anwendung nicht bewusst.Sie leert daher keine Puffer und bezieht keine Daten ein, die sich im Speicher befinden oder übertragen werden, wenn die Sicherung stattfindet.Daher sind replikationsbasierte Wiederherstellungspunkte oft nicht anwendungskonsistent.Die Wiederherstellung kann durchgeführt werden, doch die Anwendung wird nicht in einem brauchbaren Zustand zurückgegeben.Dieses Problem ist so weit verbreitet, dass einige Anbieter von replikationsbasiertem CDP Hinweise in ihre Dokumentation aufnehmen, dass der Benutzer einen anderen Wiederherstellungspunkt für eine Anwendung verwenden soll, wenn der aktuelle nicht funktioniert.
Neben diesen Problemen mit der Anwendungskonsistenz sind replikationsbasierte CDP-Lösungen in der Regel ziemlich teuer, ziehen eine beträchtliche Netzwerk- und Prozessorbelastung nach sich und brauchen relativ viel Speicherplatz, der sich durchaus auf der proprietären Hardware befinden könnte.Replikationsbasierte Datenschutzlösungen eignen sich auch nicht besonders gut zum Archivieren oder für externe Bandsicherungen. Beides wird von vielen Kunden gefordert.
Snapshotbasierte Lösungen Dabei handelt es sich um einen traditionellen Bandsicherungsansatz beim Datenschutz, wobei zu einem bestimmten Zeitpunkt Snapshots auf externen Medien erstellt werden, die dann für Wiederherstellungen zu einem bestimmten Zeitpunkt verwendet werden können.Die Datenmenge, deren Verlust Sie tolerieren können (Recovery Point Objective, RPO), wird durch die Häufigkeit der Snapshots festgelegt, sodass eine tägliche Sicherung zu 24 Stunden Datenverlust führt.Der Vorteil von Snapshots besteht darin, dass sie preisgünstig sind, sich leicht verwalten lassen, eine begrenztere Auswirkung auf das Netzwerk haben und gut für die Datenträger- oder Bandarchivierung geeignet sind.Das Ergebnis sind außerdem zumeist anwendungskonsistente Abbilder, da Sie Zeit haben, die Anwendung vor Erstellen des Snapshots vorzubereiten, wodurch das Risiko verringert wird, dass bewegliche Teile der Anwendung bei der Sicherung ausgelassen werden.
Ein neuer Trend beim Erstellen von Snapshots sind CDP-nahe Lösungen.Dies sind Snapshotlösungen, bei denen die Häufigkeit von Snapshots erhöht wird, sodass das RPO sehr niedrig wird.Einige Produkte messen das RPO jetzt in Minuten und erstellen Snapshots so häufig, dass sie nicht mehr als CDP-nahe, sondern als CDP-Produkte bezeichnet werden.Sie verlieren jedoch im Fall einer Wiederherstellung immer noch einige Minuten an Daten.
DPM 2006 war sicherlich den CDP-nahen Snapshotlösungen zuzurechnen, DPM 2007 dagegen verfügt über einen völlig einzigartigen CDP-Ansatz.Die neue Version von DPM kann mithilfe von VSS und der Nachverfolgung von Änderungen auf Blockebene alle 15 Minuten Snapshots erstellen, wobei nur die geänderten Daten vom VSS-Snapshot auf den geschützten Server verschoben werden.Folglich sind die einzelnen Snapshots zu einem bestimmten Zeitpunkt sehr klein, da sie nur aus Änderungen auf Blockebene bestehen.Dies ist im Wesentlichen ein sehr fortschrittlicher Ansatz beim Erstellen von Snapshots.Die Neuerung bei DPM ist die tiefe Anwendungsintegration für Exchange, SQL und SharePoint.Sie ist so tief, dass sich DPM der Anwendungsprotokolle bewusst ist und im Fall einer Wiederherstellung einen Rollforward für diese Protokolle durchführen kann.Solange Ihre Anwendungen verfügbar sind (dies sollte der Fall sein, wenn Sie sich an bewährte Methoden halten und sie auf einem separaten Laufwerk speichern), kann DPM einen Rollforward ab dem letzten, zu einem bestimmten Zeitpunkt erstellten Snapshot für eine verlustlose Wiederherstellung durchführen (siehe Abbildung 3).
Abbildung 3 Wiederherstellungsoptionen in der DPM-Verwaltungskonsole
Abbildung 3 Wiederherstellungsoptionen in der DPM-Verwaltungskonsole
In vielerlei Hinsicht verbindet dieser kombinierte Ansatz beim CDP die Vorteile beider Methoden.Er bietet die Anwendungskonsistenz und langfristige Archivunterstützung einer Snapshotlösung mit den Features eines Replikationsprodukts, die dafür sorgen, dass es zu keinerlei Datenverlust kommt. Gleichzeitig werden viele Nachteile beider Lösungen vermieden.

Unterstützung für Datenträger- und Bandsicherung
Eine Erläuterung der neuen Features von DPM 2007 wäre unvollständig, wenn die dem Produkt hinzugefügte Bandunterstützung nicht erwähnt würde.Bei DPM 2006 wurden nur D2D-Sicherungen (Disk-to-Disk) unterstützt, wobei Daten vom Datenträger auf dem geschützten Server zum Datenträger auf dem DPM-Server verschoben wurden.DPM 2007 umfasst Unterstützung sowohl für Datenträger als auch für Bandmedien.Folglich können Daten vom Datenträger auf dem geschützten Server zum an den DPM-Server angeschlossenen Datenträger (D2D) oder zum an den DPM-Server angeschlossenen Band (D2T) verschoben werden, oder geschützte Daten können auf einem Datenträger auf dem DPM-Server bereitgestellt werden, bevor sie zur langfristigen Aufbewahrung auf Band verschoben werden (D2D2T).
DPM 2007 unterstützt eine Vielzahl von Bandbibliotheken und Autoloadern sowie eine Vielzahl verschiedener Arten von Bandmedien.
Die Bandunterstützung in DPM umfasst viele erweiterte Features, beispielsweise die softwarebasierte Bandmedienverschlüsselung ohne zusätzliche Kosten sowie die grundlegende Verschlüsselungsschlüsselverwaltung, Bandaufbewahrung und Speicherortverfolgung.

Schlussbemerkung
In diesem Artikel wurden mehrere neue Features und Verbesserungen in System Center Data Protection Manager 2007 vorgestellt. Diese Features wurden für konsistenten, zuverlässigen und leicht zu verwaltenden Datenschutz für Microsoft-Plattformen und -Anwendungen entworfen und setzen einen neuen Standard beim Datenschutz für Windows-Anwendungen und -Plattformen.
Neben den in diesem Artikel aufgeführten Features gibt es viele weitere Verbesserungen bei diesem Produkt, beispielsweise die Windows-integrierte Endbenutzerwiederherstellung, die flexible Bandbreiteneinschränkung und eine erweiterte Befehlszeilenschnittstelle.Laden Sie die Beta 2-Versionen von Data Protection Manager 2007 herunter, um diese und andere Features zu bewerten.Weitere Informationen und einen Überblick über alle Produkte der System Center-Familie finden Sie unter microsoft.com/systemcenter.Von dort aus können Sie zu jeder beliebigen Lösung der System Center-Familie einschließlich Data Protection Manager navigieren.

Calvin Keaton arbeitet derzeit als Produktplaner für DPM.Vorher war er Manager des Microsoft IT Data Protection-Diensts.Calvin verfügte unter anderem als Teammanager der Data Center Site Operations bei Compaq und später als HP Services-Manager über sechs Jahre Branchenerfahrung im Datencenterbetrieb und Hardwarebereich, bevor er seine Tätigkeit bei Microsoft aufnahm.


 System Center: Onlinedienste vereinfachen die Softwareinventur
System Center Paul Bourgeau,

Onlinedienste vereinfachen die Softwareinventur
Kurz zusammengefasst:
  • Grundlagen zu Onlinediensten
  • Einrichten des Inventur-Agent
  • Abrufen von Inventurberichten

Sie haben soeben eine E-Mail vom Leiter der Finanzabteilung erhalten, der Sie um einen „kleinen Gefallen“ bittet:Er benötigt eine vollständige Bestandsliste aller Computer in der Organisation, komplett mit Standort und der auf jedem Computer installierten
Software.Bis zum Ende der Woche.Er benötigt diese Liste aus folgendem Grund (oder auch mehreren):
  • Die Budgetplanung für das kommende Jahr steht an. Daher möchte er wissen, welchen Betrag er für die Softwarelizenzierung einzuplanen hat.
  • Ihm wurde eine Softwareüberprüfung angekündigt, und er muss nun nachweisen, dass Ihre Organisation den Vorschriften entsprechend genügend Lizenzen eines bestimmten Produkts erworben hat.
  • Er wurde vom CEO beauftragt, die IT-Ausgaben zu verringern, und ist der Ansicht, dass Anwendungsstandardisierung eine Möglichkeit ist, dies zu erreichen.
Was nun?
Die Verwaltung der IT-Bestände hat sich im Laufe des letzten Jahrzehnts weiterentwickelt. Heute legen Organisationen den Schwerpunkt auf die effektive Verwaltung ihrer Softwareressourcen.Dies liegt vor allem daran, dass Software heutzutage mit wesentlich umfangreicheren finanziellen Investitionen verbunden ist als früher. Darüber hinaus sind zunehmend rechtliche Fragen sowie Sicherheits- und Richtlinienprobleme zu bedenken.Die Gefahr, bei Nichteinhaltung der Vorschriften harte Strafen oder Geldbußen in Kauf nehmen zu müssen, verleiht der Notwendigkeit eines korrekten Software Asset Managements noch mehr Gewicht.
Größere Organisationen verfügen in der Regel über Ressourcen und Tools zur Verwaltung von Software.Bei diesen Tools handelt es sich oft um Mehrzwecklösungen großen Umfangs, mit denen sich nicht nur die Hardware- und Softwarebestände verfolgen lassen. Darüber hinaus dienen die Tools zur Verwaltung der Softwarebereitstellung auf den Desktops und zur Leistungsüberwachung sowie für weitere Betriebsfunktionen.Was aber geschieht in Organisationen, in denen solche Lösungen nicht rentabel sind oder die Ressourcen und Fachkenntnisse zur Implementierung und Verwaltung derart komplexer Lösungen fehlen?
Die Erfüllung der Anforderungen sowohl großer als auch kleiner Unternehmen ist eine der Triebkräfte hinter dem Konzept der Software als Dienst (Software as a Service, SaaS).Die Microsoft-Strategie „Software plus Services“ umfasst Initiativen zur Entwicklung dienstbasierter Lösungen, die Kunden effektiv bei der Verwaltung von Softwareressourcen unterstützen.Einer der ersten dieser Dienste, Microsoft® Asset Inventory Service, wird Software Assurance-Kunden als Teil des Desktop Optimization Pack for Software Assurance noch in diesem Jahr zur Verfügung gestellt.
Asset Inventory Service (AIS), zu sehen in Abbildung 1, bietet einen einfach bereitzustellenden und benutzerfreundlichen gehosteten Dienst zur Erfassung von Informationen über die Software, die auf den Computern in Ihrer Organisation installiert ist.Sie können auf diese Informationen über browserbasierte Berichte zugreifen. Mit einer zukünftigen Version des Diensts soll es außerdem möglich sein, die Bereitstellung von Microsoft-Volumenlizenzverträgen zu analysieren.
Abbildung 1 Microsoft Asset Inventory Service
Abbildung 1 Microsoft Asset Inventory Service

Das Wesen von Onlinediensten
Was spricht für die Einführung einer Onlinelösung?Dafür gibt es mehrere zwingende Gründe. Zum Beispiel sind Updates und neue Versionen unmittelbar verfügbar, der Einsatz ist unkompliziert, und die Bereitstellungs- und Verwaltungskosten werden verringert.
Onlinedienste sind dynamisch:Wie bei einer Webseite können Inhalt und Funktionen ständig vom Dienstanbieter aktualisiert werden, um die Benutzerfreundlichkeit zu verbessern und auf Veränderungen im technologischen Bereich zu reagieren.Dies führt zu beispielloser Flexibilität und erlaubt Softwareherstellern, neueste Features, Lösungen und Kenntnisse bereitzustellen, die Administratoren die Möglichkeit zu mehr Proaktivität bei der Verwaltung ihrer Desktops bieten.
Onlinedienste haben den Vorteil, universell zu sein.Das Spektrum an Situationen in der modernen IT-Umgebung ist vielfältig: von vollständig vernetzten PCs mit Direktverbindung zu den Netzwerkressourcen bis hin zu Remotebenutzern und Zweigstellen, die von weit verstreuten Standorten aus über das Internet auf Ressourcen zugreifen.Rechnet man Benutzer mobiler Geräte hinzu, die selten eine Verbindung zum Netzwerk herstellen außer über webbasierte E-Mail-Programme, wird es äußerst schwierig, den Bestand an IT-Ressourcen lückenlos zu erfassen.Dies ist für Tools zur Bestandserfassung seit jeher eine schwierige Aufgabe, insbesondere für Vor-Ort-Lösungen, die für Remoteszenarios und Szenarios ohne Vernetzung keine Unterstützung bieten.
Die meisten, wenn nicht gar alle Ihre PCs verfügen jedoch über Internetkonnektivität. Daher können Sie einen Onlinedienst zur Verwaltung verwenden, ohne besondere Maßnahmen zur Gewährleistung der Konnektivität zu internen Client-Server-Lösungen implementieren müssen.Der Zugriff auf den Dienst, der die Verwaltungsfunktionen übernimmt, ist ebenso einfach über eine sichere Internetverbindung möglich. Daher kann jeder PC in Ihrem verwalteten Konto von jedem Standort aus verwaltet werden, an dem der Internetzugang gewährleistet ist.
Die Bereitstellung ist unkompliziert. Um den Dienst nutzen zu können, müssen Sie lediglich Ihr Konto beim Onlinesystem erstellen.Es ist nicht erforderlich, Server in der Firma einzurichten oder in neue Netzwerkinfrastruktur und neue Softwareplattformen zu investieren. Dies bedeutet weniger Verwaltung und geringere finanzielle Investitionen.Die fortlaufende Unterstützung gestaltet sich ebenfalls einfacher. Die Organisation muss sich nämlich nicht um die Verwaltung eines Upgradepfads kümmern, da der Dienst in den meisten Fällen neuere Versionen im Rahmen des Servicevertrags bereitstellt.

Verwenden des Diensts
Förderung einer Onlinecommunity
Asset Inventory Service und der System Center Online-Dienst unterstützen die Entwicklung einer starken Community von Benutzern, die die Weiterentwicklung von Onlinediensten beeinflussen könnten.Der Softwarekatalog ist ein ausgezeichnetes Beispiel für einen Bereich, zu dem eine Benutzercommunity Beiträge liefern könnte (nach dem Wiki-Prinzip). Die Benutzer des Diensts könnten Vorschläge einbringen, Korrekturen vorschlagen und Hilfestellung leisten.
In Zukunft wird sich der Katalog selbst vielleicht zu einer wertvollen Informationsquelle für Endbenutzer entwickeln, wenn diese Recherchen im Zusammenhang mit geplanten Softwarekäufen anstellen.Zur Ermittlung der Einsatzhäufigkeit von Software- und Hardwareprodukten können aggregierte anonyme Statistiken aus dem gesamten Dienst erfasst werden, die für Endbenutzer, die an diesen Aktivitäten beteiligt sind, nützliche Daten bereitstellen.
Mit Feedback dazu, welchen Bereichen zur Erfüllung bestimmter Unternehmensanforderungen Prioritäten zugewiesen werden sollten, bestimmt die Community außerdem die allgemeine Richtung des Diensts.

Um Onlinedesktopverwaltungsdienste bereitzustellen, entwickelt Microsoft System Center Online eine Plattform, die nicht nur kurzfristig Unterstützung für Asset Inventory Service bietet, sondern auch zukünftige Dienste unterstützt.Der Dienst wurde mit Blick auf Sicherheit, Skalierbarkeit und Zuverlässigkeit entworfen.AIS ist eine vollständig gehostete Lösung. Alle Server befinden sich in Microsoft-Datencentern.Zur Bereitstellung der Lösung müssen Kunden eine kleine Softwarekomponente auf jedem Client-PC installieren, der in die Bestandsverwaltung einbezogen werden soll.
Die Verwaltung von Asset Inventory Service wird vom selben Team übernommen, das auch für Microsoft.com verantwortlich ist. Die mehrinstanzenfähige Webanwendung verwendet Webdienste zur Gewährleistung des Datenschutzes auf Einzelkundenebene und speichert Kundendaten mithilfe einer Kombination aus Client- und Webanwendungen.Am Kundenstandort ausgeführte Agents laden Softwareinventurdaten auf einen Microsoft IIS-Webdienst hoch.Gegenseitig authentifiziertes SSL dient dem Schutz von Kundendaten, der Datenübertragung zwischen Client und Dienst sowie der AIS-Website. Zur Speicherung verwendet die Website außerdem SQL Server™.
Mithilfe von Windows Live™ ID-Konten zur Authentifizierung melden sich Kunden am Dienst an, um ihre Konten zu verwalten und Berichte anzuzeigenAuch von der Kundenwebsite wird SSL zum Schutz von Kundendaten verwendet, und Berichte werden von SQL Server Reporting Services generiert.Um eine hohe Verfügbarkeit zu gewährleisten, werden die SQL Server-Datenbanken gespiegelt, und für die Websites erfolgt ein Lastenausgleich.Die Inventurdaten werden außerdem zwecks hoher Skalierbarkeit in Maßeinheiten partitioniert.
Abonniert wird Asset Inventory Service über den Erwerb von Microsoft Desktop Optimization Pack-Lizenzen im Rahmen des Microsoft-Volumenlizenzvertrags.Anschließend können Sie das Asset Inventory Service-Abonnement auf der Dienstesite für Microsoft-Volumenlizenzierungen unter licensing.microsoft.com aktivieren. Für die erfolgreiche Authentifizierung und Anmeldung am AIS-Dienst benötigen Sie eine gültige Windows Live ID.
Während der Aktivierung bestimmt der Vertragsadministrator einen Administrator für das Asset Inventory Service-Abonnement, indem er dessen Windows Live ID angibt. Der Abonnementadministrator meldet sich mit seiner Windows Live ID bei AIS an und beendet den Aktivierungsprozess für AIS.Anschließend können dem Dienst durch Angabe anderer Windows Live IDs weitere Benutzer hinzugefügt werden.

Inventur-Agent
Der Client, der auf jedem PC installiert wird, ist ein kleiner, einfach bereitzustellender Agent, der als Windows® Installer (MSI) verpackt ist.Sie können das Agentinstallationsprogramm vom Onlinedienst herunterladen und von hier aus die Clientbereitstellung verwalten.(Abbildung 2 zeigt die Verwaltungs- und Unterstützungsschnittstelle.)Der Agent funktioniert insofern ähnlich wie der Windows Update Agent, als dass er regelmäßig mit den System Center Online-Servern kommuniziert.Dies ist erforderlich, um das Inventurprofil mit einer vordefinierten Häufigkeit zu aktualisieren und ein Selbstupdate durchzuführen, wenn eine neuere Version des Agent verfügbar ist.
Abbildung 2 Kontoverwaltung und Clientbereitstellung
Abbildung 2 Kontoverwaltung und Clientbereitstellung
Die Inventur wird automatisch ausgeführt, es ist kein Benutzereingriff erforderlich.Bei Bedarf kann eine manuelle Inventur durchgeführt werden.Wenn ein Agent zum ersten Mal eine Verbindung zum Dienst herstellt, verwendet er PKI-Zertifikatanmeldeinformationen (Public Key-Infrastruktur), um dem Dienst die Identität des Kunden anzuzeigen und eine eindeutige ID für den Computer zu generieren, auf dem der Agent ausgeführt wird.Der Agent selbst wird nur nach Zeitplan ausgeführt. Er arbeitet für den Benutzer unauffällig, beansprucht lediglich minimale Ressourcen und wird im Hintergrund ausgeführt.Hochgeladene Dateien sind so klein, dass sie im Netzwerkdatenverkehr keine Spitzenbelastungen verursachen.
Die Inventur selbst ist ein einfacher und effizienter Vorgang.Der Agent scannt Registrierungseinträge, die MSI-Datenbank und andere Quellen, um Installationsinformationen abzurufen, im Gegensatz zu traditionellen Verwaltungssystemen, die die Produktivität der Benutzer stören, indem alle ausführbaren Dateien auf einem Computer gescannt und aufgelöst werden.Dieser Prozess gibt Softwareinventurdaten unter Verwendung von Anzeigenamen mit Metadaten zurück, die die Identifizierung und Klassifizierung von Elementen erleichtern, sodass diese in einer Vielzahl von Software Asset Management-Aktivitäten verwendet werden können.

Reporting Services
Nach dem Hochladen der Inventurdaten durchlaufen diese Daten einen Identifikations- und Katalogisierungsprozess, in dem sie für die Anzeige in Berichten vorbereitet werden.Inventurdaten werden mit einem zentralen Softwarekatalog abgeglichen und dort kategorisiert.Darin besteht eine der wichtigsten Funktionen des Diensts:Durch die Softwareinventurdaten jedes Kunden wird ein zentraler Softwarekatalog um eindeutige Signaturen ergänzt.Ein Team von Forschern bei Microsoft überprüft die nicht privaten, nicht klassifizierten Softwaresignaturen und verwendet eine strukturierte Systematik von Softwarefamilien und -kategorien, um die Anwendungen, die sie repräsentieren, gemäß dem Charakter und der Funktion der Anwendungen zu klassifizieren. Diese Kategorien sind nützlich für die Bereitstellung detaillierterer Informationen für die Berichterstellung, da sie es Benutzern ermöglichen, sich schnell auf bestimmte Arten von Software zu konzentrieren, an denen sie interessiert sind. Beispielsweise wäre es möglich, dass Sie nur Antivirusanwendungen sehen möchten.
Softwaresignaturen dienen außerdem zur Konsolidierung der in Berichten angezeigten Daten.So kann es beispielsweise für einen Herausgebernamen eine Reihe von Variationen geben – in einer Anwendung wird der Herausgebername mit Contoso Software angegeben, in einer anderen mit Contoso. Diese Angaben würden in einem Bericht als unterschiedliche Namen angezeigt.Durch die Konsolidierung der Herausgeber- und Anwendungsnamen wird die Fähigkeit zur genauen Berichterstellung nach diesen Kriterien und zur aussagekräftigen Präsentation der Daten verbessert.
Wenn der Benutzer den gewünschten Datensatz durch Anwenden von Filtern und Gruppen abgerufen hat, können Berichtsinhalte in verschiedenen Formaten exportiert werden, die durch die Verwendung von SQL Server Reporting Services unterstützt werden, darunter CSV-Dateien, Microsoft Word-Dokumente, Microsoft Excel®-Tabellen und PDF-Dateien (siehe Abbildung 3).Dies ermöglicht es Ihnen, weitere externe Analysen und Änderungen durchzuführen oder Eingaben in anderen Enterprise Management-Systemen vorzunehmen.
Abbildung 3 Berichterstattung über Inventurergebnisse
Abbildung 3 Berichterstattung über Inventurergebnisse
Durch ein zukünftiges Feature des Diensts wird die Handhabung von Microsoft-Lizenzen verbessert, was den Prozess für Benutzer wesentlich vereinfacht.Benutzer können dann ihre Volumenlizenzvertragspaare hochladen, die anschließend zum Abrufen von Informationen über ihre Lizenzsituation aus dem Microsoft Customer License Position Repository verwendet werden.Mit diesen Daten zu Lizenzansprüchen wird dann eine Aufstellung aufgefüllt. Hier werden alle gefundenen lizenzierbaren Microsoft-Softwareprodukte und die jeweiligen Lizenzmengen zusammengefasst.
Mithilfe des Produktbezeichners, der auch während der Inventur erfasst wird, kann die installierte Software weiter nach Vertriebswegen aufgeteilt werden:Volumenlizenz, Einzelhandel und OEM.Dieses Feature ist für die nächste Version von Asset Inventory Service vorgesehen.

Blick in die Zukunft
Asset Inventory Service ist das erste Produkt von System Center Online, jedoch keineswegs das letzte.Wie bereits erwähnt, besteht das langfristige Ziel von System Center Online darin, umfassende Desktopverwaltungsdienste bereitzustellen, die vollständig als Onlinedienst verfügbar sein sollen.
Zu den Angeboten, die möglicherweise in Betracht kommen, gehören IT-Bestandsverwaltung für die Hardware- und Softwareinventur und -verfolgung, Softwareupdate und -verteilung mit ähnlichen Funktionen wie Windows Software Update Services im Internet sowie Online-/Vor-Ort-Hybriddienste.Darüber hinaus wird eine Reihe weiterer Desktopverwaltungsdienste auf ihre Eignung für Szenarios dieser Art untersucht.
Weitere Informationen zum Microsoft Asset Inventory Service finden Sie unter microsoft.com/windows/products/windowsvista/enterprise/ais.mspx.

Paul Bourgeau,Programmmanager im System Center Online-Team, wechselte mit der Übernahme von Assetmetrix zu Microsoft.


 Gruppenrichtlinie: Einblick in ADM- und ADMX-Vorlagen f&#252;r Gruppenrichtlinien
Gruppenrichtlinie Jeremy Moskowitz

Einblick in ADM- und ADMX-Vorlagen für Gruppenrichtlinien
Kurz zusammengefasst:
  • Arten von Gruppenrichtlinienvorlagen
  • Richtige und falsche Richtlinienschlüssel
  • Anzeigen von ADM-Vorlagen
  • Konvertieren von ADM zu ADMX

ADM-Dateien.Entweder man mag sie, oder man mag sie nicht.Vielleicht manchmal beides gleichzeitig.Das liegt daran, dass sie zugleich notwendig und verwirrend sind.Jetzt gibt es außerdem ADMX-Dateien, ein neues Format, das auf den ersten Blick diese Verwirrung nur noch zu verstärken scheint.Es wird höchste Zeit, ein bisschen Licht in dieses undurchschaubare Thema zu bringen.

Wieso sind ADM-Dateien erforderlich?
Die Gruppenrichtlinie deckt viele Bereiche ab.Wenn Sie sich mit dem Gruppenrichtlinienobjekt-Editor (Group Policy Object Editor, GPOE) befassen, werden Sie jede Menge Dinge entdecken, die Sie mit der Gruppenrichtlinie anstellen können.So gibt es beispielsweise die Richtlinie für Softwareeinschränkung, die Gruppenrichtlinie für die Softwareinstallation, die Ordnerumleitung und die wohl am häufigsten verwendete Funktion„Administrative Vorlagen“.Der Knoten „Administrative Vorlagen“ ist sowohl auf der Benutzerseite als auch auf der Computerseite vorhanden.Erwartungsgemäß können Benutzer nur Richtlinieneinstellungen der Benutzerseite und Computer nur Richtlinieneinstellungen der Computerseite verwenden.
Doch woher kommen alle diese magischen Einstellungen innerhalb der administrativen Vorlagen?Beim Erstellen neuer Anwendungen können gewisse Einstellungen möglicherweise geändert werden.Genau hier kommen ADM-Dateien ins Spiel.Sie beschreiben die Bereiche der Anwendung, die von einem Administrator festgelegte Einstellungen akzeptieren können.ADM-Dateien sind allerdings von Anfang an beschränkt, weil sie innerhalb einer Anwendung nur für Registrierungseinstellungen verwendet werden können.Die Einstellungen einer Anwendung sind jedoch auch in anderen Bereichen gespeichert, z. B. in .ini-Dateien, in .js-Dateien, in .xml-Dateien und in Datenbanken.

Standardmäßige ADM-Dateien
Wie kommen also die standardmäßigen Richtlinieneinstellungen für „Computerkonfiguration“ | „Administrative Vorlagen“ und „Benutzerkonfiguration“ | „Administrative Vorlagen“ überhaupt dorthin?Wenn Sie im GPOE mit der rechten Maustaste auf die Wörter „Administrative Vorlagen“ klicken und auf der Benutzer- oder auf der Computerseite „Vorlagen hinzufügen/entfernen“ auswählen, sehen Sie die Standardvorlagen, aus denen die Standardkonfiguration in Abbildung 1 besteht.
Abbildung 1 Administrative Standardvorlagen
Abbildung 1 Administrative Standardvorlagen
Diese Dateien lassen sich wie folgt aufschlüsseln:
  • Conf.adm – NetMeeting®-Einstellungen.
  • Inetres.adm – Internet Explorer®-Einstellungen einschließlich Verbindungen, Symbolleisten und Symbolleisteneinstellungen.Diese Einstellungen entsprechen den Optionen, die verfügbar sind, wenn Sie in Internet Explorer auf das Menü „Internetoptionen“ klicken.
  • System.adm – Betriebssystemänderungen und -einstellungen.In dieser ADM-Vorlage befinden sich die meisten administrativen Vorlageneinstellungen für die Computerseite und die Benutzerseite.
  • Wmplayer.adm – Einstellungen für Windows Media® Player 9.
  • Wuau.adm – Steuert den Zugriff Ihrer Clients auf Windows® Update- und/oder Windows Server® Update Services-Server.

Hinzufügen einer neuen ADM-Vorlagendatei
Überwinden von Beschränkungen mit Tools von Microsoft und Drittanbietern
ADM- und ADMX-Dateien sind äußerst nützlich.Mithilfe dieser Dateien können Sie Ihren Definitionsdateien Wissen hinzufügen und die Zielanwendung steuern.ADM- und ADMX-Dateien unterliegen jedoch Beschränkungen.Die folgenden Aufgaben können beispielsweise nicht mit diesen Dateien ausgeführt werden:
  • Sie können in keine anderen Registrierungsstrukturen als die Strukturen „HKEY_LOCAL_MACHINE“ und „HKEY_Current_User“ hineingreifen.Wenn Sie andere Registrierungsstrukturen bearbeiten müssen, können Sie ADM- oder ADMX-Dateien nicht dazu einsetzen.
  • Sie sind nicht in der Lage, „REG_Binary“-Werten etwas hinzuzufügen.
  • Sie können nicht speziell darauf eingestellt werden, nur ein einziges Mal ausgeführt zu werden.
  • Sie können nicht speziell darauf eingestellt werden, bei einer Gruppenrichtlinienaktualisierung immer erneut übernommen zu werden.
  • ADM- und ADMX-Dateien, die in falsche Schlüssel schreiben, verunreinigen mit diesen Werten die Registrierung.Die Werte bleiben also selbst dann erhalten, wenn der Benutzer den Verwaltungsbereich (Scope of Management, SOM) verlässt oder das Gruppenrichtlinienobjekt (Group Policy Object, GPO) gelöscht wird.
Um diese Einschränkungen zu überwinden, werden von Microsoft und einigen Drittanbietern entsprechende Lösungen angeboten.Microsoft hat kürzlich DesktopStandard erworben und unter einer neuen Marke eine Version von DesktopStandard Registry Extension veröffentlicht.Mit diesem Tool können Sie über eine Assistentenschnittstelle innerhalb des GPOE festlegen, welche speziellen Registrierungswerte Sie auf dem Zielcomputer verwalten möchten.
Die DesktopStandard PolicyMaker-Technologien (einschließlich des Registry Extension-Tools) werden jetzt Gruppenrichtlinieneinstellungen genannt und sind in Windows Server 2008 enthalten. Mit Gruppenrichtlinieneinstellungen kann der Administrator Anwendungen oder Windows-Komponenten konfigurieren, die normalerweise nicht über die Gruppenrichtlinie konfiguriert werden können und diese konfigurierten Anwendungen oder Windows-Komponenten anhand eines umfangreichen Satzes von Zielregeln bestimmten Benutzern oder Computern zuweisen.Die Gruppenrichtlinieneinstellungen sind vollständig mit der Gruppenrichtlinien-Verwaltungskonsole und der erweiterten Gruppenrichtlinienverwaltung in Windows Server 2008 integriert.
Mehr über Gruppenrichtlinieneinstellungen erfahren Sie im Artikel „Einführung in die erweiterte Gruppenrichtlinienverwaltung“ von Derek Melber in dieser Ausgabe des TechNet Magazins.

Es ist ganz einfach.Besorgen Sie sich zunächst die ADM-Vorlage, die Sie verwenden möchten.Verwenden Sie beispielsweise eine Vorlage von GPanswers.com (hier stehen etwa ein Dutzend interessante Vorlagen zum Herunterladen bereit), oder vielleicht möchten Sie die ADM-Dateien für Office 2003 oder Office 2007 verwenden, die auf der Microsoft-Website verfügbar sind.
Klicken Sie einfach mit der rechten Maustaste auf die Wörter „Administrative Vorlagen“, und klicken Sie anschließend wie in Abbildung 1 gezeigt auf „Hinzufügen“, um die Vorlage hinzuzufügen.Standardmäßig sucht Windows Vorlagen im Verzeichnis „\Windows\inf“, aber es hindert Sie nichts daran, sie an einem beliebigen anderen Ort Ihrer Wahl zu speichern.Folgendes ist Ihnen möglicherweise nicht bekannt:Sobald die ADM-Vorlage vom ursprünglichen Speicherort aus hinzugefügt wurde, wird diese ADM-Vorlage auch den Inhalten des Gruppenrichtlinienobjekts (Group Policy Object, GPO) selbst hinzugefügt.
Für diesen Artikel habe ich beispielsweise GPanswers.com besucht und die Datei „nopassport.adm“ heruntergeladen. Diese Vorlagendatei wurde dann zunächst im Verzeichnis „c:\temp“ abgelegt.Mit dieser ADM-Vorlage lässt sich die Meldung zum Hinzufügen des Passports unterdrücken, die beim ersten Anmelden eines Benutzers an einem Computer mit Windows XP angezeigt wird.
Auch die Office 2003-ADM-Vorlagen wurden heruntergeladen und im Verzeichnis „c:\temp“ gespeichert.Doch in diesem Verzeichnis werden sie nicht bleiben.In Abbildung 2 können Sie sehen, dass die Dateien „nopassport.adm“ und „Word11.adm“ hinzugefügt wurden, und zwar in der Liste der Standardvorlagen im Fenster „Vorlagen hinzufügen/entfernen“.
Abbildung 2 Zusätzliche ADM-Dateien im GPO
Abbildung 2 Zusätzliche ADM-Dateien im GPO
Wenn Sie jetzt im dateibasierten Abschnitt des GPO selbst (insbesondere im Verzeichnis „\\domaincontroller\SYSVOL\domainname\Policies\GUID\ADM“) nachsehen, werden Sie feststellen, dass die Dateien „nopassport.adm“ und „Word11.adm“ nun Bestandteil des GPO sind, wie in Abbildung 2 zu sehen ist.
Wieso werden diese Vorlagen dem GPO hinzugefügt?Dies hat folgenden Grund: Wenn Sie anschließend versuchen, dieses GPO auf einer anderen Verwaltungsstation zu bearbeiten, ist es möglich, die in den ADM-Dateien enthaltenen Einstellungen anzuzeigen.

Wieso werden gerade geladene Dateien nicht angezeigt?
Manchmal werden hinzugefügte ADM-Dateien angezeigt und manchmal nicht. Dies löst bei vielen Administratoren Verwirrung aus.Da diese Frage auf GPanswers.com tatsächlich sehr häufig gestellt wird, soll sie an dieser Stelle beantwortet werden.
Sie sollten zumindest die Ergebnisse sehen können, die sich durch Hinzufügen der zwei Vorlagen ergeben (siehe Abbildung 3).Es werden zwei neue Knoten angezeigt:„Computerkonfiguration“ | „Nuisances“ (Störungen) (aufgrund der Datei „nopassport.adm“) und „Benutzerkonfiguration“ | „Microsoft Office Word 2003“ (aufgrund der Datei „Word11.adm“).Wenn Sie die Microsoft® Word 2003-Einstellungen näher betrachten, werden Sie eine riesige Palette konfigurierbarer Einstellungen sehen (siehe Abbildung 3).
Abbildung 3 Konfigurierbare Gruppenrichtlinieneinstellungen
Abbildung 3 Konfigurierbare Gruppenrichtlinieneinstellungen
Warum aber ist es nicht möglich, die Einstellungen im neuen Knoten „Nuisances“ (Störungen) zu sehen?Um dies zu begreifen, müssen Sie zuerst das Konzept der „richtigen“ und „falschen“ Richtlinienschlüssel verstehen, auf die eine ADM-Vorlage Auswirkungen haben kann.

Richtige und falsche Richtlinienschlüssel
In der Microsoft-Dokumentation ist angegeben, dass vier Bereiche der Registrierung als zugelassene Orte gelten, um durch Bearbeitung der Registrierung Richtlinien zu erstellen:
  • HKLM\Software\Policies (Computereinstellungen, der bevorzugte Speicherort)
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Policies (Computereinstellungen, ein alternativer Speicherort)
  • HKCU\Software\Policies (Benutzereinstellungen, der bevorzugte Speicherort)
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Policies (Benutzereinstellungen, ein alternativer Speicherort)
Die in der Word 2003-ADM-Datei enthaltenen Einstellungen werden in diese dafür vorgesehenen Orte geschrieben. Die Datei „nopassport.adm“ dagegen nimmt dies nicht vor, denn „nopassport.adm“ schreibt in „HKLM\Software\Microsoft\MessengerService\PassportBalloon“.
Der GPOE legt einen kleinen Sicherheitsriegel vor, bevor er Ihnen erlaubt, diese Einstellungen einzusehen, denn die Einstellungen, die nicht in diese vier richtigen Richtlinienschlüssel geschrieben werden, verunreinigen die Registrierung.Daher lässt sich die ursprüngliche Einstellung selbst durch das Zerstören des GPO nicht mehr wiederherstellen.Nehmen Sie beispielsweise einmal an, Sie haben die Datei „nopassport.adm“ hinzugefügt und gewählt, bei jedem Computer in Ihrer Domäne die Popupsprechblase für das Hinzufügen des Passports zu unterdrücken.Später teilt Ihnen Ihr Vorgesetzter mit, dass ihm diese Popupsprechblase außerordentlich gut gefällt.In diesem Fall steht Ihnen viel Arbeit bevor, denn jetzt haben alle Computer diese Einstellung übernommen, und zwar praktisch für immer, bis Sie die Einstellung ausdrücklich wieder zurücknehmen.Natürlich könnten Sie zu diesem Zweck eine neue, angepasste ADM-Datei erstellen, aber auch das kann sehr arbeitsaufwändig werden.
Reguläre Richtlinieneinstellungen dagegen haben einen Standardwert.Beim Zerstören des GPO werden also die Standardeinstellungen wiederhergestellt.Wenn Sie beispielsweise beschließen, über die integrierten ADM-Vorlagen den Zugriff auf die Systemsteuerung zu untersagen, und es sich später wieder anders überlegen, müssen Sie lediglich das GPO zerstören, und sofort ist der Zugriff auf die Systemsteuerung wieder möglich.Dasselbe gilt für fast jede Einstellung, die in den Standard-ADM-Dateien enthalten ist, es gibt allerdings einige wenige Ausnahmen.
Auch bei der benutzerdefinierten ADM-Datei zur Unterdrückung der Passportmeldung erlaubt die Website, auf der die Richtlinieneinstellung abgelegt wird, dem Gruppenrichtlinienmodul nicht, beim Löschen die vorherige Einstellung wiederherzustellen.Daher schützt Sie Microsoft, indem (anfänglich) die Richtlinieneinstellungen, die die Registrierung verunreinigen, nicht angezeigt werden, damit Sie kein Eigentor schießen!

Anzeigen von ADM-Vorlagen
Es ist also gar nicht so schwer, die ADM-Vorlagen sichtbar zu machen.Standardmäßig zeigt Ihnen der Editor die Einstellungen nicht an, aber das lässt sich leicht beheben.Klicken Sie auf „Administrative Vorlagen“ (entweder im Benutzer- oder im Computerbereich), und wählen Sie danach „View“ | „Filtering“ (Ansicht | Filtern) aus.Deaktivieren (ja, Sie haben richtig gelesen: deaktivieren) Sie anschließend die Einstellung „Nur vollständig verwaltbare Richtlinieneinstellungen anzeigen“. Diese Einstellung ist in Abbildung 4 zu sehen.Daraufhin wird in der Spalte „Einstellung“ die Richtlinieneinstellung „Passport Solicitation“ (Passportanfrage) angezeigt, die ebenfalls in Abbildung 4 zu sehen ist.
Abbildung 4 GPO-Filterung
Abbildung 4 GPO-Filterung

Windows XP und Windows Vista im Editor
Haben Sie einen feinen Unterschied in der soeben angezeigten Richtlinieneinstellung bemerkt?Sehen Sie sich die Symbole der Richtlinieneinstellungen in Abbildung 5 an, die standardmäßig für ADM-Dateien verwendet werden.Werfen Sie jetzt einen Blick auf das Symbol einer Richtlinieneinstellung aus einer ADM-Vorlage, bei der die Einstellungen nicht in die richtigen Richtlinienregistrierungsschlüssel geschrieben werden (siehe Abbildung 6).
Abbildung 5 ADM-Dateien mit Symbolen
Abbildung 5 ADM-Dateien mit Symbolen
Abbildung 6 Symbole für die Verwendung falscher Schlüssel
Abbildung 6 Symbole für die Verwendung falscher Schlüssel
Anhand dieser blauen und roten Symbole können Sie leicht erkennen, welche Einstellungen die Registrierung verunreinigen und welche nicht. Doch auch hier beruht alles darauf, wo die Einstellung tatsächlich ihre Aufgabe erfüllt.
In Windows Vista® sieht das Ganze übrigens ein bisschen anders aus, wenn Sie auf Ihrer Windows Vista-Verwaltungsstation ADM-Dateien verwenden.ADM-Dateien werden in ihrem eigenen Knoten namens „Klassische administrative Vorlage (ADM)“ angezeigt, wie in Abbildung 7 zu sehen ist.Die Einstellungen, die zuvor mit roten Punkten gekennzeichnet wurden, werden jetzt als Bildlaufsymbole mit einem Abwärtspfeil angezeigt (während der Bearbeitung der Einstellung selbst ist die Einstellung allerdings mit einem kleinen „Zutritt verboten“-Schild versehen).
Abbildung 7 Knoten „Klassische administrative Vorlage (ADM)“
Abbildung 7 Knoten „Klassische administrative Vorlage (ADM)“
Die Einstellungen, die zuvor mit blauen Punkten gekennzeichnet wurden, also die Einstellungen, die in die richtigen Richtlinienschlüssel geschrieben werden, werden als kleine Bildlaufsymbole angezeigt, wie in Abbildung 8 zu sehen ist.
Abbildung 8 Bildlaufsymbole für die richtigen Schlüssel
Abbildung 8 Bildlaufsymbole für die richtigen Schlüssel

Wieso wird um ADMX so viel Wirbel gemacht?
Windows Vista und Windows Server 2003 besitzen eine neue integrierte Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC).Durch diese neue GPMC ist es möglich von alten ADM-Dateien auf die Verwendung neuerer ADMX-Dateien umzusteigen.Wieso soll das ADM-Format abgeschafft werden?
Rufen Sie sich ins Gedächtnis zurück, dass die ADM-Datei selbst in der Gruppenrichtlinienvorlage (Group Policy Template, GPT) des GPO abgelegt wird (also in dem Teil, der sich in SYSVOL befindet).Wenn dies geschieht, verbrauchen Sie jedes Mal, wenn Sie ein GPO erstellen, auf jedem Domänencontroller (Domain Controller, DC) über 4 MB.Denken Sie weiterhin daran, dass die ADM-Datei selbst in der GPT des GPO abgelegt wird, weil sie erforderlich ist, wenn Sie das GPO auf einer anderen Verwaltungsstation erneut bearbeiten möchten.Ohne diese ADM-Datei können keine der im GPO enthaltenen benutzerdefinierten Einstellungen bearbeitet werden.
Mit dem ADMX-Format können derartige Probleme gelöst werden.Sie müssen nichts mehr direkt im GPO speichern und erhalten dadurch auch kein so genanntes „aufgeblähtes SYSVOL“ mehr – also ein riesiges SYSVOL, das GPOs voller ADM-Dateien speichern und sie in jedem DC replizieren muss.Um dieses Problem zu umgehen, nutzt der neue ADMX-Standard den sogenannten „zentralen Speicher“.Durch den zentralen Speicher wird ein einziger Ort bereitgestellt, an dem Sie die neuen ADMX-Dateien ablegen können, damit sie nicht in jedes einzelne GPO kopiert werden müssen.Dadurch können Sie sich für immer vom aufgeblähten SYSVOL verabschieden.Ein weiterer großer Vorteil des zentralen Speichers liegt darin, dass alle Windows Vista-Verwaltungsstationen eine möglicherweise aktualisierte ADMX-Datei sofort verwenden.
Wenn Sie etwas über das Format von ADMX-Dateien erfahren und insbesondere ausführliche Informationen über die Erstellung und Verwendung des zentralen Speichers erhalten möchten, sind zwei Informationsquellen sehr nützlich.In der Ausgabe des Technet Magazins vom Februar 2007 wurde ein informativer Artikel von Darren Mar-Elia über den Aufbau des ADMX-Dateiformats und eine kurze Erläuterung des zentralen Speichers veröffentlicht (technetmagazine.com/issues/2007/02/Templates).Weiterhin steht Ihnen ein ganzes Kapitel aus meinem neuesten Buch „Group Policy:Management, Troubleshooting, and Security“ im Abschnitt „Book Resources“ (Buchressourcen) von GPanswers.com zum Herunterladen zur Verfügung.
Wie bereits erläutert wurde, werden ADM-Vorlagen weiterhin unterstützt, wenn Sie eine Windows Vista-Verwaltungsstation verwenden, aber innerhalb des zentralen Speichers werden ADM-Dateien nicht mehr unterstützt.Dies soll anhand eines Beispiels erläutert werden.
Nehmen Sie einmal an, Sie haben soeben ein GPO auf einer Windows Vista-Verwaltungsstation erstellt und anschließend einige der Standardeinstellungen (z. B. das Verbot des Zugriffs auf die Systemsteuerung) geändert.Nehmen Sie ferner an, dass Sie eine benutzerdefinierte ADM-Vorlage hinzufügen möchten.Sehen Sie sich anschließend die GPT des GPO genauer an, um herauszufinden, was da eigentlich geschehen ist.
Um die ADM-Vorlage hinzuzufügen, können Sie einige der Schritte wiederholen, die an früherer Stelle durchgeführt wurden.Öffnen Sie einfach den GPOE, klicken Sie mit der rechten Maustaste auf die Option „Administrative Vorlagen“, die sich sowohl im Benutzerknoten als auch im Computerknoten befindet, und wählen Sie „Vorlagen hinzufügen/entfernen“ aus.Die hinzugefügte Vorlage ist in Abbildung 9 zu sehen.
Abbildung 9 Anzeigen der hinzugefügten Vorlage
Abbildung 9 Anzeigen der hinzugefügten Vorlage
Um die in dieser ADM-Vorlage enthaltenen Einstellungen tatsächlich sehen zu können, müssen Sie die vorher in Abbildung 4 vorgenommenen Schritte durchführen.Klicken Sie also auf „View“ |„Filtering“ (Ansicht | Filtern).Deaktivieren Sie zum Schluss die Einstellung „Nur vollständig verwaltbare Richtlinieneinstellungen anzeigen“.Schließen Sie danach den GPOE, und kehren Sie zur GPMC zurück.Abbildung 10 zeigt die Registerkarte „Details“ des GPO, das soeben auf der Windows Vista-Verwaltungsstation erstellt wurde.(Beachten Sie den eingängigen Namen des GPO.)Über die Registerkarte „Details“ lässt sich die GUID für das GPO ermitteln, was Ihre Aufgabe beim Durchsuchen von SYSVOL erleichtert, um dieses spezielle GPO zu finden.
Abbildung 10 Administrative Standardvorlagen
Abbildung 10 Administrative Standardvorlagen
Sobald Sie (anhand der GUID des GPO) die GPT des GPO gefunden haben, können Sie das ADM-Verzeichnis dieses GPO öffnen und sehen, dass es nur eine einzige ADM-Vorlage enthält, nämlich die ADM-Vorlage, die manuell importiert wurde (siehe Abbildung 11).Dies liegt daran, dass Windows Vista-Computer sich nicht mehr auf ADM-Dateien stützen.Da ADM-Dateien nicht mehr systemintern verwendet werden, wird durch sie intern nichts mehr in das GPO selbst eingefügt.Wenn Sie jedoch wie eben eine ADM-Vorlage manuell importieren, berücksichtigt das System diese ADM-Datei auf dieselbe Weise, wie dies bei früheren Windows-Versionen der Fall war.
Abbildung 11 Manuell importierte ADM-Datei
Abbildung 11 Manuell importierte ADM-Datei
Dies steht beispielsweise im Gegensatz zum GPO in Abbildung 12, das auf einem Computer erstellt wurde, auf dem Windows XP oder Windows Server 2003 ausgeführt wird. Wenn GPOs mit Computern erstellt werden, auf denen Verwaltungsstationen eines älteren Betriebssystems als Windows Vista ausgeführt werden, dann werden die Original-ADM-Dateien wie zuvor beschrieben in das GPO eingefügt.Dieses GPO wurde auf einer Windows XP-Verwaltungsstation erstellt.Das erkennen Sie daran, dass es randvoll mit ADM-Dateien ist, die Windows Vista weder benötigt noch verwendet.
Abbildung 12 Unter Windows XP erstelltes GPO
Abbildung 12 Unter Windows XP erstelltes GPO

Konvertieren von ADM zu ADMX mit dem ADMX Migrator-Tool
Windows XP verwendet also ADM-Dateien und Windows Vista verwendet ADMX-Dateien. Windows Vista unterstützt aber auch weiterhin ADM-Dateien, falls dies alles ist, was zur Verfügung steht.Es kann jedoch keine ADM-Datei im zentralen Speicher abgelegt und erwartet werden, dass eine Windows Vista-Verwaltungsstation diese Datei verwenden kann.
Um die Einstellungen nutzen zu können, die in der im zentralen Speicher abgelegten ADM-Datei enthalten sind, müssten Sie die ADM-Datei in eine ADMX-Datei konvertieren oder die ADM-Dateien manuell als ADMX-Dateien neu erstellen.Zum Glück gibt es einen einzelnen Download, der beides gleichzeitig durchführen kann.Das ADMX Migrator-Tool, das zugleich ein Tool zum Konvertieren von ADM zu ADMX und ein Tool zum Erstellen von ADMX-Dateien ist, kann unter go.microsoft.com/fwlink/?LinkId=103774 heruntergeladen werden.
Sie können die MSI-Datei des ADMX Migrator-Tools unter Windows Server 2003, Windows XP oder Windows Vista installieren.Nach der Installation befinden sich die Anwendungen im Verzeichnis „C:\Program Files\FullArmor\ADMX Migrator“.Die Befehlszeilenanwendung, die hier ausgeführt wird, heißt „faAdmxConv.exe“. Da das Verzeichnis nicht im Pfad enthalten ist, müssen Sie sich in diesem Verzeichnis befinden, um die Anwendung auszuführen.Fügen Sie daher dieses Verzeichnis zum Windows-Pfad hinzu, wenn Sie das Tool verwenden.Im Artikel unter www.computerhope.com/issues/ch000549.htm wird erläutert, wie der Pfad unter Windows eingestellt wird.
Normalerweise erstelle ich ein temporäres Verzeichnis, beispielsweise „C:\ADMtemp“, und kopiere die ADM-Quelldateien in dieses Verzeichnis.Für „faAdmxConv.exe“ können viele verschiedene Parameter angegeben werden, aber das einfachste Verfahren zum Konvertieren einer ADM-Datei besteht darin, den Namen der ADM-Datei und das Ausgabeverzeichnis anzugeben.Wenn Sie die ADM-Quelldatei bereits in „ADMtemp“ abgelegt und dem Pfad „faAdmxConv.exe“ hinzugefügt haben, können Sie ganz einfach „faAdmxConv nopassport.adm .“ ausführen.(Der Punkt am Ende ist erforderlich, um das aktuelle Verzeichnis als Ausgabeverzeichnis festzulegen.)Wenn Sie weder den Punkt (für dieses Verzeichnis) noch einen anderen explizit angegebenen Pfad eingeben, wird die Ausgabe in das temporäre Verzeichnis Ihres Kontoprofils geleitet.In Abbildung 13 können Sie drei Befehle sehen:
Abbildung 13 ADMX Migrator-Tool
Abbildung 13 ADMX Migrator-Tool
  • Einen „dir“-Befehl zum Anzeigen der ADM-Datei
  • Den Befehl „faAdmxConv“ mit dem Namen der ADM-Datei und dem .(Punkt), der das aktuelle Verzeichnis repräsentiert
  • Einen „dir“-Befehl zum Anzeigen der ausgegebenen Dateien:„nopassport.admx“ und „nopassport.adml“
Bevor Sie die resultierenden Dateien direkt in Ihrem zentralen Speicher ablegen, sollten Sie dies auf einem Computer testen, der offline ausgeführt wird.Nehmen Sie den Computer offline, und kopieren Sie danach die ADMX-Datei in das Verzeichnis „C:\Windows\PolicyDefinitions“ und die ADML-Datei in das sprachspezifische Verzeichnis.In den USA heißt dieses Verzeichnis „C:\Windows\PolicyDefinitions\en-us“.Ein Beispiel für den Kopiervorgang ist in Abbildung 14 zu sehen.
Abbildung 14 Kopieren von ADMX-Dateien in den zentralen Speicher
Abbildung 14 Kopieren von ADMX-Dateien in den zentralen Speicher
Das Tool zum Konvertieren von ADM zu ADMX wurde kürzlich auf Version 1.2 aktualisiert.Dabei wurden einige Konvertierungsfehler behoben und nützliche Hinweismeldungen während des Konvertierens hinzugefügt.Falls Sie das Tool zum Konvertieren von ADM zu ADMX bereits einmal ausprobiert haben, aber aufgrund von Fehlermeldungen, die Sie nicht beheben konnten, aufgegeben haben, rate ich Ihnen, es noch einmal mit der Version 1.2 zu versuchen, die jetzt zum Herunterladen zur Verfügung steht.
Zum Schluss liegt die konvertierte ADM-Datei in Form von zwei Dateien vor:einer (sprachneutralen) ADMX-Datei und einer (sprachspezifischen) ADML-Datei.Jetzt können Sie die resultierenden Dateien im zentralen Speicher ablegen oder auf einem lokalen Computer testen.Um die Richtlinieneinstellungen, die in dieser ADMX-Vorlage enthalten sind, sehen zu können, müssen Sie auch hier wieder so vorgehen, wie es an früherer Stelle in Abbildung 4 der Fall war.Sie müssen also nach wie vor auf „View“ | „Filtering“ (Ansicht | Filtern) klicken und anschließend die Einstellung „Nur vollständig verwaltbare Richtlinieneinstellungen anzeigen“ deaktivieren.Dies liegt daran, dass die in dieser ADMX-Datei enthaltenen Einstellungen nicht in die an früherer Stelle behandelten richtigen Richtlinienschlüssel geschrieben werden.

Aufräumen
Es wäre natürlich ideal, nur ADMX-Dateien zu verwenden und den zentralen Speicher zu nutzen.Doch dazu müssen Sie Ihre sämtlichen derzeitigen ADM-Dateien in ADMX-Dateien konvertieren, alle Verwaltungsstationen auf Windows Vista (oder Windows Server 2008) umstellen und sich darauf festlegen, GPOs nicht mehr auf Computern zu bearbeiten, auf denen ältere Betriebssysteme als Windows Vista ausgeführt werden.
Wenn Sie diese drei Schritte abgeschlossen haben, sind ADM-Dateien mehr oder weniger aus Ihrer Welt verbannt.Jetzt nehmen die in Ihren GPOs enthaltenen ADM-Dateien nur sehr viel Platz im SYSVOL des DC ein.Sobald Sie das ADMX-Paradies erreicht haben, können Sie, falls gewünscht, die in der GPT des GPO innerhalb von SYSVOL enthaltenen ADM-Dateien ganz einfach löschen.Richtig:Sie sind nämlich so überflüssig wie ein Blinddarm.Sie haben einmal einen Zweck erfüllt, aber damit ist jetzt Schluss.Sie können die Dateien entweder manuell oder über ein Skript löschen.Stellen Sie jedoch vor dem Löschvorgang unbedingt sicher, dass alle oben beschriebenen Schritte durchgeführt wurden.Nehmen Sie die Löschung also nur vor, wenn Sie sich sicher sind, dass Sie auf ADM-Dateien ein für alle Mal verzichten können.
Zusätzliche Informationen zu ADM-, ADMX- und ADML-Dateien finden Sie in der „Schritt-für-Schritt-Anleitung zum Verwalten der Gruppenrichtlinien für ADMX-Dateien“ unter go.microsoft.com/fwlink/?LinkId=105019 und im „ADMX Technology Review“ unter go.microsoft.com/fwlink/?LinkId=105032.Außerdem sollten Sie Folgendes abonnieren: den Newsletter von GPanswers.com unter GPanswers.com/newsletter und Sofortbenachrichtigungen über den Blog unter GPanswers.com/blog.

Jeremy Moskowitz ist MCSE und MVP für Gruppenrichtlinien und leitet GPanswers.com, ein Communityforum zum Thema Gruppenrichtlinien.Außerdem organisiert er Intensivseminare zum Thema Gruppenrichtlinien.Das neueste Buch von Jeremy Moskowitz heißt „Group Policy:Management, Troubleshooting, and Security“ (Sybex, 2007).Sie erreichen Jeremy Moskowitz unter www.GPanswers.com.


 Gruppenrichtlinie: Leistungsoptimierung f&#252;r Gruppenrichtlinien
Gruppenrichtlinie Darren Mar-Elia

Leistungsoptimierung für Gruppenrichtlinien
Kurz zusammengefasst:
  • Monolithische und funktionale Gruppenrichtlinienobjekte
  • So verarbeiten Sie Gruppenrichtlinieneinträge
  • Was geschieht bei Änderungen an einer Gruppenrichtlinie?

Ich werde oft gefragt, ob es unter Leistungsgesichtspunkten besser ist, eher weniger und größere GPOs zu haben oder eher viele kleinere.Um diese und andere Fragen zu Entwurf und Leistung von Gruppenrichtlinien geht es in diesem Artikel.Wie bei den meisten stark verallgemeinernden Fragen
kann ich Ihnen die Antwort im Voraus geben:„Es kommt darauf an“.Das ist zwar zunächst eine ausweichende Antwort, doch Ziel dieses Artikels ist die Erläuterung der Methoden, die der Gruppenrichtlinienverarbeitung zu Grunde liegen. So sind Sie bei Entscheidungen über Ihren Gruppenrichtlinienentwurf gut informiert, unabhängig davon, ob Sie ganz am Anfang stehen oder ob Sie eine Umgebung mit Hunderten bereits vorhandener GPOs optimieren möchten.

Monolithische und funktionale Gruppenrichtlinienobjekte
Zunächst wird beschrieben, auf welche verschiedenen Arten GPOs implementiert werden können.Die Begriffe „monolithisch“ und „funktional“ bezeichnen die Art, wie Sie Ihre GPOs entwerfen.Monolithische GPOs enthalten Einstellungen aus vielen verschiedenen Bereichen.So könnte zum Beispiel ein einzelnes monolithisches GPO Richtlinien zu Einstellungen administrativer Vorlagen, zur Internet Explorer-Wartung und zur Softwareinstallation enthalten.Im Gegensatz dazu bewirken funktionale GPOs in der Regel nur eine Sache.So enthält zum Beispiel ein funktionales GPO etwa nur Richtlinien zur Softwareinstallation, oder es erzwingt lediglich Sicherheitseinstellungen.Es gibt sogar funktionale GPOs, die nur eine einzige Richtlinieneinstellung enthalten!Aber das ist wahrscheinlich eine Ausnahme.Abbildung 1 zeigt einige der Vor- und Nachteile des jeweiligen Ansatzes.
Figure 1 Vergleich monolithischer und funktionaler GPOs (Close Figure 1)

Kriterium | Monolithische GPOs | Funktionale GPOs
Delegierung/Isolierung | Schwierig, da jedes GPO Einstellungen aus mehreren Bereichen enthalten kann, und Sie können nur auf der GPO-Ebene delegieren, nicht auf der Einstellungsebene. | Leicht, da jedes GPO einen einzigen Richtlinienbereich enthält, und Sie können zum Beispiel das Softwareinstallations-GPO an den Bereitstellungsadministrator delegieren, das Sicherheits-GPO an den Sicherheitsbeauftragten und so weiter.
Verwaltbarkeit und Komplexität | Möglicherweise einfacher und leichter zu verwalten, da jedes GPO alle Einstellungen an einem einzigen Ort enthält. | Möglicherweise schwieriger, da mehr GPOs bedeuten, dass Probleme an mehr Orten aufgespürt werden müssen, sowie eine höhere Komplexität für die Bestimmung des Richtlinienergebnissatzes für einen bestimmten Benutzer oder Computer.
Leistung | Möglicherweise langsamer, da bei einer bestimmten clientseitigen Erweiterung im Falle einer Änderung an einem einzigen GPO alle Erweiterungen für alle GPOs im Bereich ausgeführt werden müssten. | Hängt davon ab, wie viele GPOs in Verwendung sind und wie oft sie sich ändern.Die Leistung könnte in dynamischen Umgebungen im Vergleich zu monolithischen GPOs besser sein.
Wie Sie sehen, gibt es keine eindeutige Antwort, das ein bestimmter Ansatz, der monolithische oder der funktionale, in allen Fällen der beste ist.In Ihrer Umgebung sind wahrscheinliche beide erforderlich.Zum Beispiel finden Sie möglicherweise den funktionalen Ansatz vorteilhafter, wenn Sie für Ihre ganze Domäne eine Sicherheitsrichtlinie erstellen.Wenn ein einziges GPO vorliegt, das nur Sicherheitseinstellungen enthält, können Sie die Kontrolle über dieses GPO leicht an Ihre Sicherheitsadministratoren delegieren, bei denen niemand anders Zugriff darauf hat.Wenn Sie demgegenüber die Verwaltung der Gruppenrichtlinie an die Administratoren einer Organisationseinheit delegieren, erhalten diese Administratoren durch die Einrichtung eines monolithischen GPOs für jede Organisationseinheit einen einzigen Ort, an dem alle Richtlinieneinstellungen verwaltet werden können.Dies kann für die Administratoren zu verringerter Komplexität führen und es Ihnen ermöglichen, die Anzahl der GPOs zu beschränken, die für Benutzer und Computer einer bestimmten Organisationseinheit erstellt werden.
Wie wirken sich diese grundlegenden Entwurfsentscheidungen auf die Leistung der Gruppenrichtlinienverarbeitung aus, und wie können Sie zum Entwurf von Gruppenrichtlinien intelligente Entscheidungen treffen, die minimale Auswirkungen auf die Leistung haben?Der erste Schritt der Leistungsmaximierung für Ihre Gruppenrichtlinieninfrastruktur besteht darin zu verstehen, wie Gruppenrichtlinienverarbeitung im Detail funktioniert.

Erläuterungen zur Gruppenrichtlinienverarbeitung
Gruppenrichtlinienverarbeitung ist ein komplexer Satz von Interaktionen, an denen viele Teile Ihrer Windows®- und Active Directory®-Infrastruktur beteiligt sind.Im Grundsatz besteht die Gruppenrichtlinienverarbeitung aus zwei Teilen.Der erste wird als Kernverarbeitung oder Verarbeitung der Gruppenrichtlinieninfrastruktur bezeichnet.In dieser Phase fragt der Client einer Windows-Gruppenrichtlinie seinen nächsten Domänencontroller nach der Verbindungsgeschwindigkeit zum DC, nach dessen Speicherort in der Active Directory-Hierarchie (d. h. Mitglied welcher Site, Domäne und Organisationseinheit der Client ist), sowie nach den GPOs, die für den Computer oder den derzeit angemeldeten Benutzer gelten.(Hierbei ist zu beachten, dass ein Client in diesem Zusammenhang ein Server oder eine Arbeitsstation sein könnte, der bzw. die an einer Active Directory-Domäne beteiligt ist.)Nach Erstellung der GPO-Liste folgt als nächste Phase die Verarbeitung der clientseitigen Erweiterung (Client-Side Extension, CSE).Während der CSE-Phase verarbeitet jede registrierte CSE die Liste der GPOs, bei denen im Bereich dieser Liste Einstellungen implementiert sind.Zum Beispiel wird die Registrierungsvorlagen-CSE oder die CSE für administrative Vorlagen in allen Fällen zuerst ausgeführt und verarbeitet alle GPOs, die für den vorliegenden Computer oder Benutzer gelten und in denen Registrierungsrichtlinien implementiert sind.
In der folgenden Liste sind die Schritte aufgeführt, die der Verarbeitungszyklus der Gruppenrichtlinie durchläuft, einschließlich der Netzwerkinteraktionen zwischen dem Client und dem Domänencontroller.Sie müssen berücksichtigen, dass Gruppenrichtlinien sowohl für Computer als auch für Benutzer gelten.Deshalb wird jedes Mal, wenn die Richtlinie einen Verarbeitungsvorgang durchführt – zum Beispiel während einer Hintergrundaktualisierung von Gruppenrichtlinien –, der unten aufgeführte Zyklus sowohl für den Computer als auch für das derzeit angemeldete Benutzerkonto auf einem bestimmten System wiederholt, da jeder Computer und jedes Benutzerkonto möglicherweise einen jeweils unterschiedlichen Satz geltender Richtlinien hat.In dem Fall führt Windows den Verarbeitungszyklus gleichzeitig sowohl für den Computer als auch für den Benutzer durch, wobei jeder Zyklus auf einem unterschiedlichen Thread innerhalb des Gruppenrichtlinienmodulprozesses ausgeführt wird.(Der Winlogon-Prozess für Windows 2000, Windows XP und Windows Server® 2003 sowie der Gruppenrichtlinienclient-Dienst in Windows Vista® und Windows Server 2008.)
Die Verarbeitung einer Gruppenrichtlinie ist ein sechsstufiges Verfahren:
  1. Der Client führt ICMP-Erkennung (Internet Control Message Protocol) langsamer Verbindungen zu einem Domänencontroller in seiner Site durch, um die Verbindungsgeschwindigkeit zu ermitteln.In Windows Vista wird die Verwendung von ICMP zur Erkennung langsamer Verbindungen durch den NLA-Dienst (Network Location Awareness) ersetzt.
  2. Der Client liest die CSE-Statusinformationen in der lokalen Registrierung, um zu ermitteln, welche GPOs zuletzt verarbeitet wurden.
  3. Der Client verwendet LDAP, um das Attribut „gpLink“ in Active Directory auf jedem Containerobjekt innerhalb seines Speicherorts in der Active Directory-Hierarchie zu suchen: zuerst auf der Ebene der Organisationseinheit (einschließlich aller geschachtelten Organisationseinheiten), dann auf der Ebene der Domäne, und schließlich auf der Ebene des Active Directory-Standorts.Aus den Ergebnissen dieser Suche erstellt der Client eine Liste von GPOs, die für die Verarbeitung bewertet werden müssen.
  4. Dann wird jedes GPO in Active Directory gesucht, um zu bestimmen, ob der Client (Benutzer oder Computer) die erforderlichen Berechtigungen für dessen Verarbeitung hat.Ebenfalls bewertet werden die Versionsnummer, der Pfad zur Gruppenrichtlinienvorlage (Group Policy Template, GPT), der Anteil des GPOs in SYSVOL, sowie die Frage, welche CSEs in diesem GPO implementiert sind.
  5. Der Client verwendet dann das SMB-Protokoll (Server Message Block), um den Inhalt der GPT zu lesen und die Versionsnummer des GPOs aus der gpt.ini-Datei abzurufen.Die Versionsnummern im Gruppenrichtliniencontainer (Group Policy Container, GPC) und die GPT sind ein Faktor, mit dessen Hilfe bestimmt wird, ob sich ein GPO seit dem letzten Verarbeitungszyklus geändert hat.
  6. Jede CSE wird in der unter HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions registrierten Reihenfolge ausgeführt und verarbeitet die GPOs, die diese CSE implementieren, falls sich das GPO seit dem letzten Verarbeitungszyklus (wie bei der Kernverarbeitung bestimmt) geändert hat.Jede CSE protokolliert bei jeder Aktualisierung, wenn verfügbar, auch die Daten des Richtlinienergebnissatzes (Resultant Set of User Policy, RSOP) zur Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI).
Durch Analysieren dieses Prozesses soll festgestellt werden, wie sich dies auf die Leistung auswirken kann.Als Erstes ist festzustellen, dass es einen Unterschied zwischen Vordergrund- und Hintergrundverarbeitung gibt.Vordergrundverarbeitung findet für Computer während eines Systemneustarts und für Benutzer während einer Benutzeranmeldung statt.Hintergrundaktualisierungen finden auf Arbeitsstationen und Mitgliedsservern standardmäßig alle 90 Minuten plus bis zu 30 Minuten nach einem Zufallswert statt.Hintergrundaktualisierungen finden auf Domänencontrollern standardmäßig alle 5 Minuten statt.In Windows Vista gibt es dazu auf NLA basierende Aktualisierungen, die im Wesentlichen Hintergrundaktualisierungsereignisse sind, ausgelöst durch einen vorausgegangenen Fehler bei der Gruppenrichtlinienverarbeitung wegen fehlenden Zugriffs auf einen Domänencontroller (als ob der Client während einer Hintergrundaktualisierung offline war).Weshalb sind diese Unterschiede wichtig?Hauptsächlich, weil bestimmte CSEs (zum Beispiel die CSEs für Softwareinstallation und Ordnerumleitung) während einer Hintergrundaktualisierung nicht ausgeführt werden.Ebenso werden Skripts zum Anmelden/Abmelden oder Starten/Herunterfahren während einer Hintergrundaktualisierung nicht ausgeführt.
Gleichermaßen wurde in Schritt 1 dieses Prozesses der Prozess zur Erkennung langsamer Verbindungen erwähnt.In Systemen, die älter als Windows Vista sind, stützt sich dieser Prozess auf Clients, die ICMP zum Senden einer Pinganforderung an den Domänencontroller verwenden, um dessen Verfügbarkeit und Verbindungsgeschwindigkeit zu bestimmen.Wenn die berechnete Verbindungsgeschwindigkeit unter einen bestimmten Schwellenwert fällt (Standardwert: 500 Kb/s), wird die Verbindung als langsam betrachtet, und wieder werden bestimmte CSEs, z. B. Softwareinstallation, Ordnerumleitung und Internet Explorer-Wartung, nicht ausgeführt.Alle diese Bedingungen können Auswirkungen auf die Leistung wie auch auf die erwartete Bereitstellung der Richtlinie haben.
Die größten Auswirkungen auf die Leistung bei allen Aspekten des Richtlinienverarbeitungszyklus hat wahrscheinlich die Logik, die ermittelt, ob sich für einen Computer oder Benutzer geltende GPOs geändert haben.Das Gruppenrichtlinienmodul verfügt über eine integrierte Optimierung, die besagt, dass keine Verarbeitung stattfindet, falls sich seit der letzten Verarbeitung nichts für einen Computer oder Benutzer geändert hat.Dies kann natürlich enorme Auswirkungen auf die Zeit haben, die Ihre Clients zur Verarbeitung der Richtlinie benötigen, besonders wenn Ihre Gruppenrichtlinienumgebung relativ statisch ist.Im Folgenden soll näher betrachtet werden, worin eine Änderung besteht.

Änderungen der Gruppenrichtlinie
Worin also besteht eine Änderung der Gruppenrichtlinienverarbeitung?Es gibt eine Anzahl von Faktoren, aber der offensichtlichste besteht darin, dass Clients bei einer Änderung an einem GPO die Änderung erkennen und das GPO erneut verarbeiten.Woher weiß ein Client, dass sich ein GPO geändert hat?Der Client verwendet Versionsnummern auf dem GPO und innerhalb des Clients, um dies herauszufinden.
Ein GPO besteht aus zwei Teilen: dem GPC, der in Active Directory unter dem CN=Richtlinien, CN=Systemcontainer innerhalb jeder Domäne gespeichert wird, und der GPT, die in SYSVOL unter dem Ordner „Richtlinien“ gespeichert wird.Jedes Teil des GPOs enthält eine Versionsnummer.Für den GPC ist diese Versionsnummer im Attribut „versionNumber“ auf dem GPC-Objekt gespeichert.Für die GPT ist es innerhalb der gpt.ini-Datei im Stamm einer jeweiligen GPT gespeichert.Der Client speichert in seiner Registrierung ebenfalls einen Datensatz der Versionsnummern der von ihm verarbeiteten GPOs (sowohl pro Computer als auch pro Benutzer).Diese Versionsinformationen sind auf jedem Client für den Computer unter HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\History for the computer and HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\<SID of User> gespeichert.
Wenn eine Gruppenrichtlinienverarbeitung stattfindet, werden u. a. die Versionsnummern aller GPOs untersucht, die für den Computer oder den Benutzer gelten, und mit allen in der Registrierung vorhandenen Versionsnummern verglichen, die während des letzten Zyklus verarbeitet wurden.Wenn aktuelle GPOs abweichende Versionsnummern aufweisen (beachten Sie, dass sie nur voneinander abweichen müssen – sie können höher oder auch niedriger sein!), werden diese GPOs während des aktuellen Verarbeitungszyklus verarbeitet.Falls nicht, werden sie nicht verarbeitet, sofern nicht eine der anderen Änderungsbedingungen erfüllt ist.Die anderen Änderungsbedingungen sind Folgende:
  • Eine Änderung in der Liste der für einen Benutzer oder Computer geltenden GPOs (ein GPO wurde hinzugefügt oder entfernt)
  • Eine Änderung in der Sicherheitsgruppenmitgliedschaft eines Benutzers oder Computers
  • Eine Änderung in einem mit einem GPO verknüpften WMI-Filter (ein WMI-Filter wurde hinzugefügt oder entfernt)
Wenn eine dieser Änderungsbedingungen erfüllt ist, verarbeitet der Client die Richtlinie während dieses Zyklus erneut.Es gibt in diesem Prozess jedoch Feinheiten, derer Sie sich bewusst sein müssen, da sich diese erhebliche auf die Leistung auswirken können.Wenn sich bei einer bestimmten CSE eines von zehn GPOs ändert, müssen für diese CSE alle GPOs verarbeitet werden.Bedenken Sie, dass die Verarbeitung individuell für die einzelnen CSEs erfolgt.CSEs müssen jedoch die Richtlinie in der Rangfolge verarbeiten, die die Verarbeitung steuert (zuerst lokale GPOs, dann standortverknüpfte GPOs, dann domänenverknüpfte GPOs, schließlich OU-verknüpfte GPOs).Ein Beispiel zur Erläuterung dieser Anforderung: Angenommen auf einen Benutzer treffen zehn GPOs zu, von denen jedes auf unterschiedlichen Ebenen der Active Directory-Hierarchie verknüpft ist.Außerdem wird angenommen, dass jedes dieser zehn GPOs Richtlinieneinstellungen für administrative Vorlagen implementiert.Nun ändert ein Administrator ein GPO, das mit der Domäne verknüpft ist, indem er eine neue Richtlinieneinstellung für administrative Vorlagen hinzufügt.Dann beginnt der Computer oder der Benutzer mit der Verarbeitung der Richtlinie und stellt fest, dass die Versionsnummer dieses geänderten GPOs höher ist als bei der letzten Verarbeitung: also muss das GPO erneut verarbeitet werden.Um jedoch die Rangfolge der Gruppenrichtlinienverarbeitung beizubehalten, müssen alle Einstellung für administrative Vorlagen verarbeitet werden, die für alle GPOs gelten.Daher kann eine einfache Änderung an einem GPO möglicherweise erhebliche Auswirkungen auf die Leistung dieses Clients haben.

Leistungsvergleich zwischen monolithischen und funktionalen GPOs
Nach dieser Betrachtung des Verarbeitungszyklus sowie der Art und Weise, wie sich Änderungen an der Gruppenrichtlinienumgebung auf die Verarbeitung auswirken, will ich zur Erörterung monolithischer und funktionaler GPOs zurückkehren und untersuchen, wie sich der jeweilige Ansatz auf die Leistung auswirkt.
Monolithische GPOs können aufgrund der Art und Weise, wie die Versionsverwaltung von Gruppenrichtlinien funktioniert, einen versteckten Leistungsabfall aufweisen.Die Gründe hierfür sind nicht ganz offensichtlich, aber sie hängen damit zusammen, dass es innerhalb der Gruppenrichtlinienverarbeitung kein Konzept der Versionsverwaltung für einzelne CSEs gibt.Angenommen ein Benutzer verfügt über drei für ihn geltende GPOs.Alle GPOs sind monolithisch, da sie mehrere Richtlinienbereiche implementieren.Beispielsweise implementieren diese GPOs jeweils die Richtlinie für administrative Vorlagen, die Richtlinie für Softwareinstallation und die Richtlinie für Ordnerumleitung.Jetzt nimmt ein Administrator eine Änderung an der Richtlinie für administrative Vorlagen in einem dieser GPOs vor.Durch diese Änderung erhöht sich die Versionsnummer.Der Benutzer verarbeitet anschließend die Gruppenrichtlinie.Die CSE für administrative Vorlagen startet und stellt fest, dass sich eines der GPOs geändert hat, also verarbeitet sie alle drei GPOs erneut.
Wenn die CSEs für Softwareinstallation und Ordnerumleitung ausgeführt werden, prüfen auch sie die GPO-Versionsnummern und stellen die neue Versionsnummer auf einem der GPOs fest.Da aber die Versionsnummer nichts darüber aussagt, welcher Richtlinienbereich in diesem GPO geändert wurde, werden für alle Fälle alle drei GPOs erneut verarbeitet.Somit können bei der Implementierung eines monolithischen GPO Änderungen an einem Bereich der Richtlinie zu Verarbeitungsaktivität in einem anderen Bereich führen.
Im Fall der Richtlinie für Softwareinstallation oder Ordnerumleitung führen diese CSEs zwar möglicherweise überhaupt keine Arbeit durch, da beispielsweise eine bereits installierte Anwendung nicht erneut installiert wird.Das Entscheidende aber ist, dass dieses Verhalten mit jeder CSE auftreten kann und beim Entwurf monolithischer GPOs berücksichtigt werden muss.Wenn sich einer Ihrer Richtlinienbereiche oft ändert, könnten Sie in Betracht ziehen, die GPOs, die diesen Richtlinienbereich implementieren, von anderen Richtlinienbereichen getrennt zu halten.
Bei funktionalen GPOs sind die Leistungsüberlegungen ersichtlicher.Wenn mehr GPOs pro Benutzer oder Computer vorliegen (weil der funktionale Ansatz in der Regel mehr GPOs für einen bestimmten Satz von Richtlinieneinstellungen bedeutet), muss das Gruppenrichtlinienmodul folglich mehr Zeit aufwenden, um diese GPOs während der Kernphase der Gruppenrichtlinienverarbeitung aufzulisten.Wie jedoch im nächsten Abschnitt erläutert wird, wirkt sich dies nicht unbedingt wesentlich auf die Leistung aus.

Leistungsmessung für Gruppenrichtlinien
Um letztendlich die richtigen Entscheidungen über die Leistung Ihrer Gruppenrichtlinieninfrastruktur zu treffen, müssen Sie messen können, wie Gruppenrichtlinien in Ihrer realen Umgebung funktionieren.Die Leistung von Gruppenrichtlinien zu modellieren oder vorherzusagen, ist beinahe unmöglich angesichts der Vielzahl von Faktoren, die sich auf einen bestimmten Verarbeitungszyklus auswirken können.Aus diesem Grund sollte möglichst mit einer empirischen Messung festgestellt werden, ob die Leistung der Gruppenrichtlinienverarbeitung problematisch ist.Was macht eine schlechte Leistung aus?Nun, eine schlechte Leistung ist jede Situation, in der sich die Gruppenrichtlinienverarbeitung auf die Benutzerfreundlichkeit auf den Systemen Ihrer Benutzer auswirkt.Dies kann für jede Organisation unterschiedlich sein, die Hauptsache aber ist das Wissen, dass ein Problem vorliegt.
Wie können Sie aber die Dauer eines bestimmten Gruppenrichtlinienverarbeitungszyklus messen?Auch diese Antwort ist nicht einfach.Wenn Sie Windows Vista oder Windows Server 2008 ausführen, können Sie die neuen Betriebsprotokolle in der Ereignisanzeige nutzen.Das Betriebsprotokoll für Gruppenrichtlinien innerhalb der Ereignisanzeige, zu finden unter „Anwendungs- und Dienstprotokolle\Microsoft\Windows\Gruppenrichtlinie\Betriebsbereit“, stellt eine ausgezeichnete Instrumentation aller Schritte des Gruppenrichtlinienverarbeitungszyklus bereit, einschließlich der während jeder Verarbeitungsphase beanspruchten Zeit (siehe Abbildung 2).
Abbildung 2 Das Ereignis im Betriebsprotokoll für Gruppenrichtlinien, das die Richtlinienverarbeitungszeit anzeigt
Abbildung 2 Das Ereignis im Betriebsprotokoll für Gruppenrichtlinien, das die Richtlinienverarbeitungszeit anzeigt
Wenn Sie allerdings nicht in einer Windows Vista- oder Windows Server 2008-Umgebung arbeiten, sind die Methoden zur Messung der Richtlinienverarbeitungszeiten weniger direkt.In diesem Fall müssen Sie entweder die ausführliche userenv-Protokollierung aktivieren (siehe Microsoft-Supportartikel unter support.microsoft.com/kb/221833) und für einen bestimmten Verarbeitungszyklus die Zeitstempel innerhalb dieser Datei anzeigen, oder Sie müssen die in der Registrierung auf dem Client gespeicherten Werte verwenden, die die Start- und Endzeit für die Richtlinienverarbeitung anzeigen.Diese Werte sind nachfolgend für den Computer
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\Machine\Extension-List\
{00000000-0000-0000-0000-000000000000}
und hier für den Benutzer gespeichert:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\<SID of User>\Extension-List\
{00000000-0000-0000-0000-000000000000}
Die Werte sind im FILETIME-Format gespeichert und müssen in eine normale Datums- und Zeitangabe umgewandelt werden.Sie können zum Abrufen derselben Informationen auch das kostenlose von mir geschriebene GPTime.exe-Dienstprogramm verwenden (verfügbar unter gpoguy.com/tools.htm#GP_Time_Utility).
Wenn Sie keine Windows Vista- oder Windows Server 2008-Umgebung, aber Zugriff auf ein userenv-Protokoll haben, können Sie trotzdem wertvolle Informationen darüber abrufen, wie viel Zeit in jedem Richtlinienverarbeitungszyklus beansprucht wurde.So zeigt zum Beispiel Abbildung 3 einen Ausschnitt des userenv-Protokolls, in dem ein Teil der Kernphase der Gruppenrichtlinienverarbeitung zu sehen ist.
Abbildung 3 Ein Teil des userenv-Protokolls
Abbildung 3 Ein Teil des userenv-Protokolls
Beachten Sie, dass jede Zeile der Protokolldatei einen Zeitstempel enthält.Der zentrale Teil des Gruppenrichtlinienverarbeitungszyklus beginnt, wenn Sie ein Ereignis sehen, das ungefähr Folgendes besagt: „ProcessGPOs:Starting user Group Policy (Background) processing ...“Der CSE-Teil des Verarbeitungszyklus beginnt, wenn Sie die Zeile „ProcessGPOs:Processing extension Registry“ sehen.Mithilfe dieses Protokolls und der darin enthaltenen Zeitstempel können Sie ermitteln, wie lange jeder Teil eines Richtlinienzyklus dauert.

Allgemeine Beobachtungen hinsichtlich der Leistung
Wenn Sie sich eine Weile mit den userenv-Protokolldateien beschäftigen, erkennen Sie schließlich Muster, und obwohl sich nicht vorhersagen lässt, wie lange die Richtlinienverarbeitung dauern wird, können Sie bereits allgemeine Beobachtungen darüber anstellen, wo in einem bestimmten Verarbeitungszyklus Zeit beansprucht wird.Wenn zum Beispiel während eines Richtlinienverarbeitungsereignisses Richtlinienänderungen verarbeitet werden und CSEs wegen einer Änderung tätig werden müssen, so wird im zentralen Teil der Gruppenrichtlinienverarbeitung in der Regel vergleichsweise viel weniger Zeit beansprucht als im CSE-Teil.
Dies trifft für die meisten Richtlinienbereiche zu, da die meisten CSEs Aufgaben ausführen müssen, die länger dauern als der zentrale Teil ihrer Verarbeitung, deren aufwändigste Vorgänge die Abfragen von Active Directory und SYSVOL sind.Zum Beispiel gibt es keinen Vergleich zwischen der Zeit, die bei der Kernverarbeitung beansprucht wird, und der Zeit, die beansprucht wird, wenn die CSE für Softwareinstallation Microsoft® Office installiert.Für die normale Hintergrundaktualisierung einer Richtlinie jedoch, bei der sich seit dem letzten Zyklus nichts geändert hat, beansprucht der zentrale Teil des Verarbeitungszyklus ungefähr gleich viel Zeit wie der CSE-Teil.Die Ausnahme hierzu ist die Registrierungsrichtlinienverarbeitung: Diese erfolgt tatsächlich ziemlich schnell, es sei denn, es liegen für einen bestimmten Benutzer oder Computer Dutzende oder Hunderte von Registrierungsrichtlinieneinstellungen vor.
Darüber hinaus hat es auf die Leistung der Richtlinienverarbeitung wenig Einfluss, wenn Sie die Computer- oder Benutzerseite eines GPOs deaktivieren, weil es nicht verwendet wird.Wenn eine Richtlinienseite nicht verwendet wird, besteht der einzige Aufwand darin, diese Tatsache bei der Abfrage von Active Directory zu ermitteln, und die gleiche Abfrage muss durchgeführt werden, um die Option zum Deaktivieren anzuzeigen, um zu ermitteln, ob eine CSE für diese Seite des GPOs implementiert wurde.Die Auswirkungen der Deaktivierung einer Seite sind unbedeutend.

Entwurfsempfehlungen für eine optimale Leistung von Gruppenrichtlinien
Nach dieser eingehenden Betrachtung einer Reihe von Leistungsaspekten der Gruppenrichtlinienverarbeitung sollten Sie sich nun mit einigen Entwurfsempfehlungen vertraut machen, die sich direkt auf die Leistung auswirken können.Diese lassen sich in vier Hauptpunkten zusammenfassen.
  1. Wenn Sie an Ihren GPOs häufige Änderungen vornehmen, bedenken Sie den oben erwähnten Effekt, dass sich eine Änderung an einer einzigen CSE auf die Verarbeitung aller CSEs auswirken kann.Wenn Sie also planen, häufige Änderungen beispielsweise an der Registrierungsrichtlinie vorzunehmen, ist es sinnvoller, die Registrierungsrichtlinie in funktionale GPOs (GPOs nur für Registrierungsrichtlinien) zu stellen, da hierdurch andere CSEs von der Verarbeitung abgetrennt werden, wenn Änderungen stattfinden.
  2. Bei der Frage, wie viele GPOs zu viele sind, bedenken Sie, dass Richtlinienverarbeitung nur bei Änderungen stattfindet, und dass „aufwändige“ CSEs wie Softwareinstallation, Ordnerumleitung oder die Behandlung einer großen Anzahl von Registrierungsrichtlinien oder Einstellungsberechtigungen auf großen Datei- oder Registrierungsstrukturen die meiste Zeit beanspruchen.Die Zeit für das Abfragen von Active Directory nach der GPO-Liste während der Kernverarbeitung ist oft der kleinste Teil des Verarbeitungszyklus.Daher beanspruchen 30 GPOs, die für einen bestimmten Benutzer gelten, aber nur minimale Änderungen an der Registrierungsrichtlinie vornehmen und sich nicht oft ändern, möglicherweise weniger Verarbeitungszeit als 5 GPOs, die regelmäßig aufwändige CSEs ausführen, da sich diese GPOs oft ändern.
  3. Vermeiden Sie Verhaltensweisen, die bei der Leistung der Richtlinienverarbeitung offensichtliche Verlangsamungen erzwingen.Zum Beispiel können Sie eine Richtlinie so einstellen, dass CSEs zur Verarbeitung gezwungen werden, selbst wenn sich kein GPO geändert hat (unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie).Dann müssen Sie sich jedoch darauf einstellen, dass die Richtlinienverarbeitung bei jedem Zyklus länger dauert.
  4. Bedenken Sie die Vor- und Nachteile einer Deaktivierung von Fast Logon Optimization in Windows XP und Windows Vista (dies erfolgt durch Aktivierung der Richtlinie unter Computerkonfiguration\Administrative Vorlagen\System\Anmeldung\Beim Neustart des Computers und bei der Anmeldung immer auf das Netzwerk warten).Wenn diese Richtlinie aktiviert ist, schaltet die Vordergrundverarbeitung von asynchron auf synchron um.Dies bedeutet, dass Computer- und Benutzerrichtlinie bis zum Abschluss ausgeführt werden müssen, bevor der Benutzer die Kontrolle über Computer und Desktop erhält.Dies kann auch von Vorteil sein, weil dadurch das Problem umgangen wird, dass zwei oder mehr Neustarts oder Anmeldungen erforderlich sind, damit Softwareinstallations- und Ordnerumleitungsrichtlinien wirksam werden.

Schlussbemerkung
Die Leistung bei der Verarbeitung von Gruppenrichtlinien ist zwar keine exakte Wissenschaft, Sie können sich aber einen gewissen Einblick verschaffen, der bei Berücksichtigung im Entwurfsprozess zur Verringerung von Leistungsproblemen beiträgt.
Wenn Sie erst einmal verstehen, wie der Verarbeitungszyklus funktioniert und an welcher Stelle Zeit beansprucht wird, sind Sie beim Aufspüren von Leistungsproblemen schon ein gutes Stück weiter gekommen.Verwenden Sie die Windows Vista- oder Windows Server 2008-Betriebsprotokolle (oder userenv-Protokolle in früheren Versionen von Windows), um instrumentierte Informationen über den Verarbeitungszyklus zu erhalten.Beachten Sie die Unberechenbarkeiten der CSE-Verarbeitung und das, was aus der Perspektive einer CSE eine Änderung an einer Richtlinie ausmacht.Vergessen Sie auch nicht, dass in dynamischen Umgebungen mit vielen Änderungen funktionale GPOs möglicherweise sinnvoller sind als monolithische.Im Endeffekt aber sind Gruppenrichtlinien eine Technologie, die darauf ausgerichtet ist, Ihnen bei der besseren Verwaltung Ihrer Windows-Umgebung zu helfen.Es ist sehr wichtig, dass der Gruppenrichtlinienentwurf von Ihren Unternehmensanforderungen bestimmt wird, nicht umgekehrt.Die Berücksichtigung einiger der hier erläuterten Leistungsverhaltensweisen tragen dazu bei, dieses Ziel zu erreichen.

Darren Mar-Eliaist Gruppenrichtlinien-MVP bei Microsoft, Entwickler der beliebten Gruppenrichtlinienwebsite www.gpoguy.com und Mitverfasser von „Microsoft Windows Group Policy Guide“ (Microsoft Press, 2005).Er ist auch CTO und Gründer von SDM Software, Inc. Sie erreichen ihn unter Darren@gpoguy.com.


 Gruppenrichtlinie: Einf&#252;hrung in die erweiterte Gruppenrichtlinienverwaltung
Gruppenrichtlinie Derek Melber

Einführung in die erweiterte Gruppenrichtlinienverwaltung
Kurz zusammengefasst:
  • Installation und Architektur erweiterter Gruppenrichtlinienverwaltung (Advanced Group Policy Management, AGPM)
  • Offlinebearbeitung von GPOs
  • Änderungsverwaltung mit AGPM
  • Notfallwiederherstellung

Microsoft hat kürzlich DesktopStandard erworben. Dieses Unternehmen veröffentlichte ein Produkt, das die vollständige Verwaltung von Gruppenrichtlinienobjekten ermöglicht.Meiner Meinung nach sollte jedes Unternehmen, das Active Directory verwendet, auch dieses Tool verwenden: die erweiterte Gruppenrichtlinienverwaltung (Advanced Group Policy Management, AGPM).
AGPM ermöglicht die Offlinebearbeitung von Gruppenrichtlinienobjekten (Group Policy Objects, GPOs), Änderungsverwaltung, Workflow von Aktualisierungsrichtlinien, Delegierung und vieles mehr.In diesem Artikel wird die interne Funktionsweise des Tools behandelt, und Sie erhalten ein detailliertes Bild dieses erstaunlichen und überaus nützlichen Produkts.
Zunächst ein paar Hintergrundinformationen.AGPM war anfänglich unter der Bezeichnung GPOVault bekannt.Nach dem Erwerb von DesktopStandard hat Microsoft es in AGPM umbenannt und dem Microsoft® Desktop Optimization Pack (MDOP) hinzugefügt.Sie können das MDOP derzeit nur erhalten, wenn Ihre Windows Vista®-Desktoplizenzen von Microsoft Software Assurance abgedeckt werden.
Aufgrund meiner Erfahrung mit den darin enthaltenen Tools denke ich, dass das MDOP in der jüngeren Vergangenheit bei Weitem eines der attraktivsten Angebote von Microsoft ist.Zum MDOP gehören fünf verschiedene Tools: Jedes von ihnen ist für sich genommen beeindruckend, und zusammen stellen sie ein überaus bemerkenswertes und wertvolles Toolset dar.Weitere Informationen über das MDOP finden Sie auf der MDOP-Website:windowsvista.com/optimizeddesktop.

Installation und Architektur erweiterter Gruppenrichtlinienverwaltung (Advanced Group Policy Management, AGPM)
Die Installation von AGPM wurde äußerst einfach und wenig aufwändig gestaltet: Sie besteht aus einer Server- und einer Clientkomponente (Verwaltungskomponente).Die Serverkomponente muss auf einem Mitgliedsserver in der Domäne installiert werden. Sie verändert weder Active Directory® noch das Schema noch irgendeinen anderen Verzeichnisdienst.AGPM kann gegebenenfalls auf einem Domänencontroller installiert werden.
Bei der Serverinstallation wird ein Dienst installiert, der ein domänenbasiertes Dienstkonto erfordert, von dem aus AGPM im Namen des Benutzers auf die aktiven Produktions-GPOs zugreift.Die Installation erfordert auch einen AGPM-Administrator, der alle Einstellungen innerhalb von AGPM kontrolliert, z. B. die Delegierung und die anfängliche GPO-Verwaltung.
Der Client muss auf einem Computer installiert werden, auf dem Windows Vista ausgeführt wird und auf dem normale administrative Funktionen bereits stattfinden: am wahrscheinlichsten auf dem Desktop der Netzwerk- und Active Directory-Administratoren.Der Client muss den AGPM-Server auf die AGPM-Einstellungen verweisen, und die Verbindung zum Archiv wird hergestellt.Der AGPM-Client verwendet die Schnittstelle der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC) und erscheint als der Knoten „Änderungssteuerung“, wie in Abbildung 1 dargestellt.
Abbildung 1 AGPM ist zur einfacheren Verwendung vollständig in die GPMC integriert
Abbildung 1 AGPM ist zur einfacheren Verwendung vollständig in die GPMC integriert
Die Dateien, auf die der AGPM-Client zugreift, werden in einem Standarddateiformat auf dem AGPM-Server gespeichert.Auf diese Weise lassen sich die Dateien am einfachsten speichern, und so lässt sich für das ganze AGPM-Archiv leicht eine Sicherung durchführen.Die meisten AGPM-Funktionen verwenden die integrierten GPMC-APIs, was wiederum eine nahtlose Integration und Verwendung des Produkts mit sich bringt.AGPM verwendet keine Datenbank. Die GPOs werden in einem einzigen Ordner gespeichert, und ein Manifest steuert die Korrelation aller GPOs zum übergeordneten GPO innerhalb des Archivs.So wird sichergestellt, dass alle GPOs eine eindeutige GUID haben, dass aber in einer Produktionsumgebung dem GPO bei der Bereitstellung die richtige GUID zugeordnet wird.

Offlinebearbeitung mit AGPM
Das grundlegendste Feature von AGPM ist die Möglichkeit, GPOs offline außerhalb der Produktionsumgebung zu bearbeiten.Es ist ein bekanntes Problem, dass bei der Bearbeitung von GPOs mithilfe der Standard-GPMC fehlerhafte Einstellungen sofort in die Produktionsumgebung übertragen werden können, und zwar mit möglicherweise verheerenden Folgen.
Mit APGM kann eine Offlinebearbeitung von GPOs durch „Kontrollieren“ der GPOs vorgenommen werden.Ein kontrolliertes GPO, wie in Abbildung 2 gezeigt, kann offline ohne irgendeine Störung der Produktionsumgebung bearbeitet werden.
Abbildung 2 Kontrollierte GPOs werden im AGPM-Archiv gespeichert und können offline bearbeitet werden
Abbildung 2 Kontrollierte GPOs werden im AGPM-Archiv gespeichert und können offline bearbeitet werden
Kontrollieren eines GPOs ist äußerst einfach.Bei den unkontrollierten GPOs, wie in Abbildung 3 dargestellt, werden alle GPOs aufgeführt, die dem AGPM-Archiv noch nicht zugeordnet sind.Wenn Sie mit der rechten Maustaste auf ein beliebiges dieser GPOs klicken, öffnet sich ein Menü, das die Option „Control“ (Kontrolle) umfasst.Bei Auswahl dieser Menüoption wird das GPO vom Produktionsort (die Systemvolume- bzw. SYSVOL-Freigabe auf dem Domänencontroller) kopiert und ins AGPM-Archiv gestellt.Es können mehrere GPOs kontrolliert werden: halten Sie bei der Auswahl der GPOs einfach die Umschalt- oder die Steuerungstaste gedrückt, um die richtige Liste von GPOs zu erhalten, die Sie kontrollieren wollen, und klicken Sie dann mit der rechten Maustaste, um auf die Menüoption „Control“ (Kontrolle) zuzugreifen.Auch zur Bearbeitung kontrollierter GPOs wird der Gruppenrichtlinienobjekt-Editor (Group Policy Object Editor, GPOE) verwendet.Dies ist nur eine andere Art, wie AGPM vollständig in die GPMC integriert wurde.
Abbildung 3 Unkontrollierte GPOs werden durch Auswahl der Menüoption „Control“ (Kontrolle) ins Archiv gestellt
Abbildung 3 Unkontrollierte GPOs werden durch Auswahl der Menüoption „Control“ (Kontrolle) ins Archiv gestellt

Delegierung der Verwaltung mit AGPM
Im Folgenden soll betrachtet werden, wie AGPM die Delegierung behandelt. Dabei wird zunächst untersucht, wie Sie mithilfe der GPMC die GPO-Verwaltung delegieren können.Innerhalb der GPMC gibt es fünf verschiedene Delegierungsaufgaben, die Sie einem Benutzer gewähren können:„Gruppenrichtlinienobjekt erstellen“, „Link GPO“ (Gruppenrichtlinienobjekt verknüpfen), „Edit GPO“ (Gruppenrichtlinienobjekt bearbeiten), „Manage GPO“ (Gruppenrichtlinienobjekt verwalten) und „Read GPO“ (Gruppenrichtlinienobjekt lesen).
Alle diese Delegierungen werden innerhalb der GPMC-Schnittstelle ausgeführt.Sie werden von den Benutzern und den Gruppen kontrolliert, die auf den Registerkarten für die Delegierung aufgelistet sind, die wiederum den verschiedenen Knoten innerhalb der GPMC zugeordnet sind.Hier werden die Delegierungen behandelt, die das Erstellen neuer GPOs sowie die Bearbeitung und Verwaltung vorhandener GPOs ermöglichen.
Das Erstellen von GPOs innerhalb der GPMC wird von der Registerkarte für die Delegierung behandelt, die dem Knoten „Gruppenrichtlinienobjekte“ zugeordnet ist, wie in Abbildung 4 gezeigt.Sobald AGPM installiert ist, können Sie alle Benutzer und Gruppen von der Liste derer entfernen, die Zugriff auf die Erstellung von GPOs haben.(Es ist nicht erforderlich, System, Computer oder Computergruppen von der Registerkarte für die Delegierung zu entfernen, um GPOs zu erstellen).Die Erstellung von GPOs wird jetzt vom Dienstkonto behandelt, das den AGPM-Dienst kontrolliert.Diesem Konto wird die Delegierung gewährt, GPOs im Namen aller Benutzer und Gruppen zu erstellen, die berechtigt sind, GPOs zu erstellen und Delegierungen von innerhalb der AGPM aus bereitzustellen.
Abbildung 4 Die Erstellung von GPOs wird durch die Kontenliste auf der Registerkarte für die Delegierung auf dem Knoten „Gruppenrichtlinienobjekte“ in der GPMC kontrolliert
Abbildung 4 Die Erstellung von GPOs wird durch die Kontenliste auf der Registerkarte für die Delegierung auf dem Knoten „Gruppenrichtlinienobjekte“ in der GPMC kontrolliert
Diese neue Möglichkeit zum Erstellen von GPOs ermöglicht die Trennung von Aufgaben und schützt das Produktionsnetzwerk.Im Idealfall werden GPOs erstellt, konfiguriert und überprüft, bevor sie von der AGPM-Umgebung an die Produktion bereitgestellt werden.Dabei dürften nur selten fehlerhafte Konfigurationen übertragen werden, so wie es heute ohne AGPM der Fall ist.
Bei der Delegierung im Zusammenhang mit Bearbeitung oder Verwaltung von GPOs verhält es sich ähnlich.Innerhalb der GPMC werden diese Delegierungen auf der jedem GPO zugeordneten Registerkarte für die Delegierung konfiguriert, wie in Abbildung 5 gezeigt.
Abbildung 5 Bearbeitung und Verwaltung von GPOs werden jedem GPO einzeln zugeordnet
Abbildung 5 Bearbeitung und Verwaltung von GPOs werden jedem GPO einzeln zugeordnet
Nachdem die AGPM installiert ist, müssen diese Delegierungen aus jedem GPO entfernt werden, das unter dem Knoten „Gruppenrichtlinienobjekte“ aufgeführt ist.Dies schränkt alle Administratoren bei der Bearbeitung von GPOs außerhalb der AGPM ein.Im Grunde genommen wird so die gesamte Verwaltung von GPOs zur AGPM umgeleitet, wo Aufgaben wie Offlinebearbeitung, Änderungsverwaltung und Notfallwiederherstellung möglich sind.
Das Entfernen von Benutzern und Gruppen von der Bearbeitung von GPOs außerhalb der AGPM ist ein manueller Prozess.Durch Installation und Konfiguration der AGPM werden weder Benutzer noch Gruppen von der Bearbeitung von GPOs in der Produktionsumgebung entfernt.Da das Dienstkonto, das den AGPM-Dienst kontrolliert, im Namen der Benutzer die Aktionen durchführt, die von der AGPM aus Produktions-GPOs ändern, muss kein Benutzer bzw. keine Benutzergruppe auf der Registerkarte für die Delegierung für jedes GPO aufgelistet werden.(Computer und Computergruppen dürfen aus diesen Registerkarten für die Delegierung nicht entfernt werden.)
Sobald alle Delegierungen zur Bearbeitung eines GPOs innerhalb der GPMC entfernt sind, wird allen Administratoren die Möglichkeit verweigert, ein GPO von der GPMC aus zu bearbeiten, wie in Abbildung 6 gezeigt.
Abbildung 6 Administratoren können GPOs von der GPMC aus nicht bearbeiten, sobald Ihnen die Delegierung für diese Aktion verweigert wird
Abbildung 6 Administratoren können GPOs von der GPMC aus nicht bearbeiten, sobald Ihnen die Delegierung für diese Aktion verweigert wird
Um die Konfiguration abzuschließen, müssen alle Administratoren, die GPOs bearbeiten müssen, den entsprechenden Zugriffssteuerungslisten (Access Control Lists, ACLs) innerhalb der AGPM hinzugefügt werden.Wenn ein Administrator in der Lage sein muss, alle im Archiv befindlichen GPOs zu bearbeiten, muss sein Benutzerkonto einer Gruppe hinzugefügt werden, der Bearbeitungsfunktionen auf Domänenebene innerhalb der AGPM gewährt wurden, wie in Abbildung 7 gezeigt.Wenn ein Administrator auf die Bearbeitung weniger GPOs innerhalb des AGPM-Archivs eingeschränkt werden soll, muss diese Konfiguration an jedem GPO stattfinden (siehe Abbildung 8).
Abbildung 7 Die Registerkarte für die Domänendelegierung ermöglicht eine Konfiguration zur Bearbeitung aller GPOs im Archiv
Abbildung 7 Die Registerkarte für die Domänendelegierung ermöglicht eine Konfiguration zur Bearbeitung aller GPOs im Archiv
Abbildung 8 Die Bearbeitung einzelner GPOs muss in der ACL dieses GPOs konfiguriert werden
Abbildung 8 Die Bearbeitung einzelner GPOs muss in der ACL dieses GPOs konfiguriert werden

GPO-Änderungsverwaltung mit AGPM
Einer der fantastischen Vorteile von AGPM ist die Möglichkeit, alle Änderungen nachzuverfolgen, die an GPOs innerhalb des Archivs vorgenommen werden.Da dies ein automatisierter Prozess ist, braucht er nicht eingerichtet, konfiguriert oder verwaltet zu werden.Die Nachverfolgung aller Änderungen findet im Hintergrund statt, wenn GPOs über die AGPM-Clientschnittstelle verwaltet werden.
Dies ist eine bedeutende Verbesserung gegenüber der Art und Weise, wie die Standard-GPMC die GPO-Verwaltung abwickelt.Innerhalb der Standard-GPMC gibt es keine automatisierten oder gar integrierten Funktionen für die Nachverfolgung von Änderungen an GPOs.Dies war über Jahre hinweg eine Hauptklage der meisten Administratoren von Gruppenrichtlinien, und das Problem ist jetzt beseitigt.
Das AGPM-Änderungsverwaltungsfeature protokolliert alle wesentlichen Änderungen, die an einem GPO möglicherweise vorgenommen werden.Zusammen mit den Änderungen am GPO hilft das Änderungsverwaltungssystem auch bei Aufgaben der Überwachung oder der allgemeinen Nachverfolgung durch den Administrator.Das Änderungsverwaltungssystem überwacht, protokolliert und dokumentiert bei jeder GPO-Bearbeitung und -Änderung Folgendes:Datum und Uhrzeit der GPO-Änderung, den Benutzer, der die Änderung vorgenommen hat, die ursprünglichen GPO-Einstellungen sowie Änderungen an den GPO-Einstellungen.
Da die Nachverfolgung aller Änderungen nahtlos erfolgt, sollte bekannt sein, welche Aktionen die automatisierte Nachverfolgung auslösen.Innerhalb der AGPM-Clientschnittstelle können Sie mit der rechten Maustaste unter der Registerkarte „Controlled“ (Kontrolliert) auf ein GPO klicken und dann die Menüoption zum Auschecken auswählen, wie in Abbildung 9 dargestellt.
Abbildung 9 Das Auschecken eines GPOs löst den automatisierten Prozess aus, der Änderungen nachverfolgt
Abbildung 9 Das Auschecken eines GPOs löst den automatisierten Prozess aus, der Änderungen nachverfolgt
Dieses Verfahren muss bei der Bearbeitung des GPOs eingehalten werden, worauf im nächsten Abschnitt eingegangen wird.Selbst wenn ein GPO ausgecheckt und ohne irgendwelche Änderungen sofort wieder eingecheckt wird, wird diese Aktion archiviert.Da GPOs für das Unternehmen so wesentlich sind, protokolliert das Tool sogar potenzielle Änderungen.
Das Auscheckverfahren wird innerhalb von AGPM erzwungen, weil es einen Mechanismus geben muss, der GPO-Änderungen für den bestimmten Administrator nachverfolgt, der die Änderung vorgenommen hat.Zwei Administratoren können nicht gleichzeitig dasselbe GPO auschecken.Falls ein Administrator das GPO auscheckt und es dann nicht wieder eincheckt, gibt es eine integrierte Methode, mit der der AGPM-Administrator es wieder einchecken kann.

GPO-Bearbeitung mit AGPM
Solange der AGPM-Client installiert ist, können Sie auf das AGPM-Archiv zugreifen.Sobald die Delegierung für Bearbeitung oder uneingeschränkten Zugriff innerhalb des AGPM-Tools gewährt wird, können Sie gespeicherte GPOs bearbeiten.Ein GPO lässt sich nach dem Auschecken bearbeiten, wenn Sie mit der rechten Maustaste auf dieses GPO klicken und die Menüoption „Edit“ (Bearbeiten) auswählen.(Hinweis:Wenn Sie nur einige der GPOs innerhalb des AGPM-Archivs bearbeiten können, wurden Ihnen delegierte Funktionen möglicherweise nur für einige, nicht für alle GPOs innerhalb des Archivs gewährt.)
Mit dem Erwerb von DesktopStandard hat Microsoft auch PolicyMaker erworben, das jetzt in „Group Policy Preferences“ umbenannt wurde.Dieser Satz von Gruppenrichtlinienfeatures ist in der GPMC enthalten, die zusammen mit Windows Server® 2008 geliefert wird. Group Policy Preferences ermöglichen es dem Administrator, Anwendungen oder Windows-Komponenten zu konfigurieren, die normalerweise über Gruppenrichtlinien nicht konfigurierbar sind, sowie Gruppenrichtlinien aufgrund eines sehr reichhaltigen Satzes von Zielregeln auf bestimmte Benutzer oder Computer anzuwenden.Group Policy Preferences sind vollständig in GPMC und AGPM in Windows Server 2008 integriert.

GPO-Bereitstellung mit AGPM
Bei der Entwicklung von AGPM standen Effizienz und Workflow im Vordergrund.Da die GPO-Verwaltung mithilfe von AGPM jetzt stabiler und kontrollierter erfolgt, ist es sinnvoll, dass Administratoren GPOs nur bearbeiten, sie jedoch nicht an die Produktion bereitstellen können.Innerhalb der AGPM wird dies völlig reibungslos über die Schnittstelle, Dialogfelder und Arbeitsmethoden kontrolliert.Wenn zum Beispiel ein Administrator, der nur zur Bearbeitung berechtigt ist, ein GPO bereitzustellen versucht, weist das System dieses GPO ab.Dem Administrator wird dann ein Dialogfeld angezeigt, über das er mit einem Administrator kommunizieren kann, dem die Bereitstellungsberechtigung delegiert wurde.Dieses Workflowfeature sendet eine E-Mail sowohl an:als auch eine Kopie an:als Empfänger und bringt das GPO in einen eindeutigen Zustand.Diesen eindeutigen Zustand finden Sie unter der Registerkarte „Pending“ (Ausstehend) auf der AGPM-Schnittstelle.Hier ist das GPO als „Pending Deploy“ (Bereitstellung ausstehend) gekennzeichnet, was Administratoren einen schnellen Überblick über den Status jedes einzelnen GPOs verschafft, an dem Aktionen durchgeführt wurden.
Um ein ausstehendes GPO bereitzustellen, muss ein AGPM-Administrator mit Bereitstellungsdelegierung einfach nur mit der rechten Maustaste auf dieses GPO klicken und die Menüoption „Approve“ (Genehmigen) auswählen.Wenn das GPO bereitgestellt werden muss und statt auf der Registerkarte „Pending“ (Ausstehend) auf der Registerkarte „Controlled“ (Kontrolliert) aufgeführt ist, muss derselbe Administrator nur mit der rechten Maustaste auf dieses GPO klicken und „Deploy“ (Bereitstellen) auswählen.Da diese delegierte Berechtigung bereits gewährt ist, wird das GPO sofort an die Produktion bereitgestellt.

GPO-Einstellungen, -Berichte und -Vergleiche mit AGPM
Die GPMC-Benutzeroberfläche verfügt über das leistungsfähige Dialogfeld „Settings“ (Einstellungen), auf das über eine gleichnamige Registerkarte zugegriffen wird.Das Dialogfeld „Settings“ (Einstellungen) bietet eine genaue Anzeige aller Einstellungen, die im GPO konfiguriert sind. So können Sie leichter überblicken, welche der fast 3000 Gruppenrichtlinieneinstellungen konfiguriert wurden.
Da AGPM ein Archiv der geänderten GPOs bereitstellt, können Sie der Registerkarte „Settings“ (Einstellungen) in der GPMC nicht die in bearbeiteten GPOs konfigurierten Einstellungen entnehmen.Stattdessen bietet die AGPM-Schnittstelle für dieses Feature eine Alternativlösung, und sogar noch sehr viel mehr.
Um die Einstellungen eines GPOs zu sehen, ist es von Nutzen, zuerst die Verlaufsliste aller Änderungen anzuzeigen.Doppelklicken Sie zum Abrufen dieser Anzeige auf ein beliebiges GPO innerhalb der Registerkarte „Controlled“ (Kontrolliert) in AGPM.Von dieser Schnittstelle aus können Sie mit der rechten Maustaste auf eine beliebige GPO-Version klicken und den Einstellungsbericht auswählen.So erhalten Sie einen Bericht über alle Einstellungen, die in dieser Version des GPOs konfiguriert sind.Der Bericht wird als HTML-Datei ausgegeben, kann jedoch auch in einem XML-Format erstellt werden.
Dies ist zwar nützlich, aber noch nützlicher ist die Möglichkeit, zwei Versionen desselben GPOs zu vergleichen.Mit diesem Feature können Sie sehen, was sich von einer Version zur nächsten geändert hat, oder Sie können zwei völlig verschiedene Versionen desselben GPOs vergleichen.(Dies ist auch sehr nützlich, wenn Sie ein GPO mit ausstehender Bereitstellung haben, da Sie so die Unterschiede zwischen dem ausstehenden GPO und dem Produktions-GPO feststellen können.)Um diesen Bericht zu sehen, markieren Sie zwei verschiedene GPOs in der Verlaufsansicht und klicken dann mit der rechten Maustaste auf eines davon.
Die Farbcodierung im Unterschiedsbericht ist äußerst nützlich, besonders wenn Sie überprüfen wollen, was sich in einem ausstehenden GPO geändert hat, bevor Sie es bereitstellen.Rot hervorgehobene Einstellungen wurden vom Produktions-GPO gelöscht und sind im ausstehenden GPO nicht mehr verfügbar.Blau hervorgehobene Einstellungen wurden geändert, und grün hervorgehobene Einstellungen sind neue Änderungen, die im ausstehenden GPO vorhanden sind, nicht aber im Produktions-GPO.
Dieses Feature von AGPM kann Ihnen viele Stunden mühsamer manueller Vergleiche von GPO-Einstellungen ersparen.Es ist auch eine perfekte Möglichkeit, die GPOs über einen gewissen Zeitraum lang zu dokumentieren: über jede Version kann ein Berichtet erstellt und gedruckt werden.

GPO-Notfallwiederherstellung mit AGPM
Eine einzige Änderung an einem GPO kann an einem oder mehreren Computern in Ihrem Netzwerk großen Schaden verursachen.Mit der Standard-GPMC kann diese Art fehlerhafter Konfiguration korrigiert werden, wenn nämlich die richtigen manuellen Maßnahmen ergriffen wurden, um sowohl vor als auch nach Änderungen am Produktions-GPO Sicherungen des GPOs zu erstellen.Falls keine Sicherungen erstellt wurden, ist die Notfallwiederherstellung nicht so einfach, wie Sie vielleicht denken.
Aber AGPM bewältigt dies leicht.Da vollständige Sicherungen aller GPOs über den gesamten GPO-Verlauf hinweg vorliegen, können Sie leicht den Verlauf des GPOs öffnen und auswählen, welche GPO-Version Sie erneut bereitstellen möchten.
AGPM ermöglicht somit eine wirklich nahtlose Verwaltung Ihrer Gruppenrichtlinien.Jahrelang haben Administratoren auf die Möglichkeit gewartet, GPOs zu kontrollieren und offline zu verwalten.AGPM erfüllt diese Erwartung problemlos und elegant.AGPM stellt dazu eine äußerst robuste Änderungsverwaltungslösung bereit, die nicht nur die Schlüsselbereiche eines geänderten GPOs nachverfolgt, sondern außerdem einfache Vergleiche und Notfallwiederherstellung von GPOs bietet.Mit dem in AGPM integrierten Delegierungsmodell können Sie alle Administratoren für alle Bearbeitungen an GPOs in die AGPM überführen, die automatisierte Sicherungen von GPO-Änderungen bereitstellt und etwaige Fehler an Produktions-GPOs beseitigt.Dieser Dienst umfasst so viele Features, dass es unmöglich ist, sie an dieser Stelle alle zu behandeln. Im AGMP-Handbuch finden Sie eine Vielzahl an Informationen zu Vorlagen, Wiederherstellung von Knotenverknüpfungen, SMTP-Konfiguration und vieles mehr.

Derek Melber ist unabhängiger Berater, Schulungsleiter und Autor.Zu seinem Tätigkeitsbereich gehören Schulungen zur sowie die Verbreitung der Microsoft-Technologie, wobei er sich auf Active Directory, die Gruppenrichtlinie, Sicherheit und die Desktopverwaltung konzentriert.Derek Melber bringt regelmäßig Beiträge für Online- und Druckveröffentlichungen heraus und hat mehr als 10 Technologiebücher geschrieben, darunter „The Microsoft Windows Group Policy Guide“ (Microsoft Press, 2005).Er ist unter derekm@braincore.net zu erreichen.


 Mitteilung der Redaktion: &#220;berzeugen Sie einen Skeptiker
Mitteilung der Redaktion
Überzeugen Sie einen Skeptiker
Joshua Hoffman

Ich bin ein Skeptiker. Ja, wirklich.Ich weiß, dass wir New Yorker im Allgemeinen als vertrauensselig und naiv bekannt sind, aber ab und zu taucht doch einmal eine abgebrühte Figur in der Stadt auf und macht diesen Ruf zunichte.Als Skeptiker neige ich dazu, alles zu hinterfragen.Es kann sehr schwer sein, mich zu überzeugen.
Meine Kollegen in Redmond hören dies zwar wahrscheinlich nicht gern, aber ich war sehr skeptisch, als Microsoft vor einigen Jahren die System Center-Marke einführte.Verstehen Sie mich bitte nicht falsch – ich bin mit Herz und Seele ein SMS-Mensch.Als ich in einem früheren Leben als Experte für Desktopbereitstellung und -verwaltung gearbeitet habe, war Systems Management Server (jedenfalls nach der Version 2.0) ein unerlässliches Tool meines Werkzeugkastens.Doch als die Marke „System Center“ entwickelt wurde und die Produktreihe immer größer wurde, regte sich die mir angeborene Neigung, unangenehme Fragen zu stellen.
Ist das wirklich alles notwendig?Zieht der Kunde letzten Endes wirklich einen Nutzen daraus?Könnte sich die Erweiterung der Produktreihe negativ auf die wichtigsten Verwaltungsprodukte auswirken, die wir alle kennen und lieben gelernt haben?
Ich muss jedoch zugeben, dass mich System Center trotz meiner anfänglichen Vorbehalte restlos überzeugt hat.SMS und MOM (mittlerweile unter den Bezeichnungen „Konfigurations-Manager“ und „Operations Manager“ bekannt) haben sich zu erstklassigen Verwaltungsprodukten entwickelt, die mit jeder weiteren Version leistungsfähige (und sogar überraschende) neue Zusatzfunktionen bieten.Nicht nur hat sich herausgestellt, dass ihr Wert durch die Einführung neuer Produkte nicht gemindert wurde – sie haben stattdessen dadurch sogar beträchtlich an Wert gewonnen.
In den letzten Monaten haben wir die neuen Produkte zum Konfigurations-Manager und zum Operations Manager sowie einige der anderen frühen Add-Ons für die System Center-Produktreihe (z. B. den Kapazitätenplaner, die Überwachung der gewünschten Konfiguration und Essentials) untersucht.In diesem Monat werden Ihnen einige äußerst leistungsfähige neue Ergänzungsprodukte vorgestellt.
Edwin Yuen eröffnet diese Artikelreihe, indem er demonstriert, dass Virtual Machine Manager 2007 nicht nur eine zentrale Verwaltung Ihrer virtualisierten Infrastruktur ermöglicht, sondern Sie auch bei der Beseitigung lästiger Migrationsbarrieren unterstützen kann, damit Sie ältere Hardware zu neuen virtuellen Computern zusammenfassen können.Calvin Keaton führt Sie durch die neue Version von Data Protection Manager, die leistungsfähige Datensicherungslösungen auf Datenträgerbasis nicht nur für Standardbenutzerdaten (z. B. Dokumente), sondern auch für Unternehmensdaten wie die wichtigen, in Exchange Server gespeicherten Informationen ermöglicht.Zum Schluss stellt Paul Bourgeau die erste gehostete System Center-Lösung vor: den Asset Inventory Service.
Teilen Sie uns mit, was Sie von den neuen Ergänzungen der System Center-Produktpalette halten.Senden Sie mir eine E-Mail unter tnmag@microsoft.com. – Joshua Hoffman

Unser Dank gilt folgenden technischen Experten von Microsoft: Karandeep Anand, Joseph Dadzie, Ray Hayes, KC Lemson, Bill Scheidel, Jeffrey Snover, Mike Stephens, Kevin Sullivan, Jim Truher und Winni Verhoef.


 Briefe: Leser sagen ihre Meinung
Briefe
Leser sagen ihre Meinung

Probleme mit VMRCplus
Ich habe VMRCplus gemäß der Beschreibung in „Schwerpunkt Dienstprogramme“ vom Oktober 2007 (technetmagazine.com/issues/2007/10/UtilitySpotlight) heruntergeladen.Doch wenn ich versuche, eine Verbindung zu einem Remotecomputer herzustellen, erhalte ich RPC-Fehler.Da die Verwaltungsschnittstelle von Virtual Server eine webbasierte Schnittstelle ist, habe ich angenommen, dass diese Anwendung ebenfalls die Webschnittstelle verwendet und die vorhandene Webtechnologie einfach um zusätzliche Clientfunktionen erweitert.Leider wird jedoch die COM-API verwendet.
– Über blogs.technet.com/tnmag.

VMRCPlus verwendet denselben Netzwerkpfad wie der VMRC-Client zur Remotesteuerung, der im Lieferumfang von Virtual Server enthalten ist (und der keine Webschnittstelle, sondern tatsächlich eine Clientanwendung ist).Folglich müssen Sie Zugriff auf die folgenden Ports haben:
  • Port 5900, der Standardport für den VMRC-Server
  • Port 1024, der Standardport für die Verwaltungsswebsite
  • Port 137 und Port 138, die beiden TCP- und UDP (User Datagram Protocol)-Ports für die Kerberos V5-Ticket-Granting-Instanz
  • Port 135, der für die RPC-Endpunktzuordnung verwendet wird
Mehr darüber können Sie unter microsoft.com/technet/prodtechnol/virtualserver/2005/proddocs/vs_operate_using_VMRC_manageVMs.mspx nachlesen.

Verwenden von Windows PE
Ich habe den Artikel „Erste Schritte mit Windows PE“ (September 2006, technetmagazine.com/issues/2006/09/WindowsPE) gelesen.Ich versuche gerade, Windows® PE in einer VMware-Arbeitsstationsumgebung mit Netzwerkunterstützung einzurichten und auszuführen, aber es gelingt mir nicht, Windows PE dazu zu bringen, über den NIC-Treiber auf das Netzwerk zuzugreifen.Ich starte von VMware mit der ISO-Abbilddatei von Windows PE.Das System wird gestartet, und es wird eine Befehlskonsole angezeigt, aber wenn ich „ipconfig“ eingebe, wird keine IP-Adresse angezeigt.Es kann auch keine Adresse von meinem DHCP-Server aufgelöst werden.
– John C.

Das Problem besteht darin, dass der von VMware standardmäßig installierte NIC-Treiber nicht von Windows Vista® unterstützt wird, das das Fundament von Windows PE 2.0 bildet.Um dies zu beheben, müssen Sie wie folgt in der VMX-Datei (Datei zur Konfiguration virtueller Computer) einen anderen NIC-Typ festlegen:
ethernet0.virtualDev = "e1000"
Dazu müssen Sie die VMX-Datei in einem Texteditor wie Editor manuell bearbeiten, denn sie kann nicht über eine grafische Benutzeroberfläche bearbeitet werden.Durch diese Änderung wird der vorhandene virtualisierte NIC-Treiber durch den von Windows Vista unterstützten Intel 1GB NIC-Treiber ersetzt.Am wichtigsten dabei ist, dass die Ersetzung des NIC-Treibers durch diesen Wert zur Folge hat, dass Sie keine Netzwerktreiber hinzufügen müssen.

Optimieren der Abfrageleistung in SQL Server
Im Artikel „Optimieren der Abfrageleistung in SQL Server“ vom November 2007 (technetmagazine.com/issues/2007/11/SQLQuery) hat der Autor ein Beispiel für SQL Server™ 2005 angeführt, mit dem sich die 20 kostspieligsten Abfragen ermitteln lassen, die ausgeführt werden.Dieses Beispiel funktioniert jedoch in SQL Server 2000 nicht. Können Sie mir ein Beispiel bieten, das mit dieser älteren Version funktioniert?
– Arun N.

Leider gibt es keine Möglichkeit, diese Informationen in SQL Server 2000 abzurufen, denn diese Informationen über Abfragen werden von SQL Server 2000 nicht im Prozedurzwischenspeicher gesammelt und zur Verfügung gestellt.Diese Angaben wurden erst durch den neuen Satz dynamischer Verwaltungsansichten verfügbar gemacht, die in SQL Server 2005 erstmalig eingeführt wurden.

Die MIISWorkflow-Anwendung funktioniert nicht
Nach der Lektüre des Artikels „Erstellen eines einstufigen Bereitstellungsworkflows“ vom Mai 2007 (technetmagazine.com/issues/2007/05/Workflow) habe ich einige Fragen.Wird die MIISWorkflow-Anwendung unterstützt?Ist sie mit .NET Framework 2.0 kompatibel?Ich erhalte die Fehlermeldung „Dienst nicht verfügbar“, wenn ich versuche, die Anwendung außerhalb von Visual Studio® zu öffnen.Ich habe sie mit Erfolg im Debugmodus ausgeführt, aber wenn ich Visual Studio schließe und versuche, die Anwendung direkt zu öffnen, wird dieser Fehler ausgegeben.Was könnte die Anwendung dazu bringen, den Anwendungspool zu beenden und/oder den Fehler „Dienst nicht verfügbar“ auszugeben?
– Cliff C.

Die MIISWorkflow-Anwendung ist kein offiziell unterstütztes Microsoft-Produkt.Sie wird lediglich zu Schulungszwecken als Beispielcode zur Verfügung gestellt.
Die beste Stelle, an die Sie sich zur Erörterung von Problemen im Bereich Identitätsverwaltung wenden können, ist die Identitätsverwaltungs-Website der TechNet-Foren unter der Adresse forums.microsoft.com/TechNet/ShowForum.aspx?ForumID=540&SiteID=17. Diese Foren werden von Mitgliedern der Microsoft-Produktgruppen sowie von Communityexperten überwacht und sind die besten Anlaufstellen, um direkte Unterstützung zu derartigen Problemen zu erhalten.


 Toolbox: Neue Produkte f&#252;r IT-Experten
Toolbox
Neue Produkte für IT-Experten
Greg Steen

Übernehmen Sie die Kontrolle über Windows PowerShell
PowerGUI
powergui.org
Wenn Sie Windows PowerShellTM bisher noch nicht verwendet haben, werden Sie dies höchstwahrscheinlich bald nachholen.Windows PowerShell entwickelt sich in der Welt von Windows Server® zu einem wichtigen Verwaltungstool.Zunächst einmal ist es zur Basis für die auf Skript basierende Verwaltung von Exchange Server 2007 geworden.
Um das systemeigene Format von Windows PowerShell optimal nutzen zu können, müssen Sie sich viel Wissen über Syntax, Cmdlets und Grundstruktur aneignen.Möglicherweise verfügen Sie nicht über die hierzu erforderliche Zeit oder geistige Energie.Wäre es nicht ideal, wenn es eine zentralisierte grafische Verwaltungskonsole zum Verwalten von Skripts gäbe?Wie würde Ihnen eine Benutzeroberfläche gefallen, die anpassbare Vorlagen, Bearbeitungsfeatures wie bei IntelliSense® und eine Communitybasis zur gemeinsamen Nutzung von Skripts bietet?Mit dieser Art von Umgebung könnten Sie schnell die zur Aufgabenerfüllung erforderlichen Skripts erstellen und sie bei Bedarf in der Zukunft wiederverwenden und als Referenzmaterial nutzen.
Hierbei handelt es sich wirklich nicht um einen Scherz.Mit dem von Quest Software gesponserten Freeware-Produkt PowerGUI erhalten Sie nämlich genau diese auf einer grafischen Benutzeroberfläche basierende Umgebung für Windows PowerShell.Obwohl diese Anwendung zur Entstehungszeit dieses Artikels nur als Betaversion vorliegt, bietet sie bereits jetzt eine leicht zu bedienende, erweiterbare, administrative grafische Benutzeroberfläche, die einem gedopten Microsoft® Management Console (MMC)-Snap-In ähnelt.
Innerhalb der grafischen Benutzeroberfläche können Sie auf jedes der vorgegebenen Skripts oder eines Ihrer eigenen benutzerdefinierten Skripts doppelklicken, um es zu starten und eine tabellarische Ansicht des zurückgegebenen Datasets zu erhalten.Sie können auf diese Daten Spalten- und Wertefilter anwenden, um auf die von Ihnen benötigten Informationen zuzugreifen.Darüber hinaus können Sie eigene benutzerdefinierten Spalten hinzufügen, um berechnete Werte oder benutzerdefinierte Ergebnisse bereitzustellen, die Ihren spezifischen Anforderungen entsprechen.
Von der grafischen Benutzeroberfläche aus können Sie eine Windows PowerShell-Eingabeaufforderung oder den integrierten Skripteditor der Anwendung starten.Über den Skripteditor erhalten Sie eine einfache, IntelliSense ähnelnde Umgebung, die Ihnen die Syntax der verfügbaren Cmdlets sowie standardmäßige Datei- und Bearbeitungsfeatures wie Suchen und Ersetzen, Drucken sowie Ausschneiden, Kopieren und Einfügen anzeigt.Außerdem können Sie Schritte mit Lesezeichen markieren.
Darüber hinaus stellt PowerGUI eine Reihe anpassbarer und erweiterbarer Aktionen zur Verfügung, die Sie auf Ihr Dataset anwenden können.So können Sie beispielsweise mit dem Skript für lokale Systemdienste den festgelegten Dienst starten, stoppen, anhalten und Eigenschaften für ihn einstellen.Außerdem gibt es als weiteres nützliches Feature die Möglichkeit, Verknüpfungen zwischen Skripts hinzuzufügen, die es Ihnen ermöglichen, Skripts durch gemeinsame Elemente zu verketten, um die gewünschten Informationen abzurufen.Sie können zum Beispiel eine Liste von Benutzern einer bestimmten Gruppe abrufen und anschließend diese Liste mit einem Skript verknüpfen, das die Datenmenge anzeigt, die im Stammverzeichnis dieser Benutzer enthalten ist.Zusätzlich zu diesen Funktionen enthält PowerGUI einige integrierte Skripts für häufige Aktionen der Berichterstellung und Überprüfung, mit denen Sie Daten in den Formaten XML, CSV und HTML sowie in der Zwischenablage speichern können.
Sie können sowohl die einzelnen Skriptaktionen als auch die häufigen Aktionen erweitern, indem Sie eigene Skripts hinzufügen oder eine der bereitgestellten Vorlagen anpassen.Wenn Sie das Eigenschaftenfenster eines Skripts öffnen, können Sie dieses Skript bearbeiten oder einfach nur nachsehen, wie es funktioniert.
Ein weiteres wertvolles Feature ist die Bibliothek der PowerGUI-Websitecommunity, die von Benutzern als Anlaufstelle genutzt werden kann, um für Systemverwaltungsaufgaben nützliche Skripts gemeinsam zu verwenden oder herunterzuladen.Hier finden Sie Skripts und Aktionen für die Active Directory®-Verwaltung, für die Exchange Server-Verwaltung, für Aufgaben des Microsoft Operations Managers, für allgemeine Windows Server-Aufgaben und vieles mehr.PowerGUI ist ein guter erster Schritt auf dem Weg, ein auf einer grafischen Benutzeroberfläche basierendes, erweiterbares Verwaltungstool für die Arbeit mit Windows PowerShell bereitzustellen.

Preis: Kostenlos
Vereinfachen Sie Windows PowerShell durch eine grafische Benutzeroberfläche
Vereinfachen Sie Windows PowerShell durch eine grafische Benutzeroberfläche

Denken Sie beim Kauf von Produkten an die Umwelt
Electronic Product Environmental Assessment Tool
epeat.net
Wenn Sie an die Umwelt denken, müssen Sie die Gesamtkosten eines Computers während seiner ganzen Lebensdauer in Betracht ziehen.Dies bedeutet, dass Sie die gesamte Energie berücksichtigen müssen, die bei Fertigung, Verwendung und Entsorgung von Computern verbraucht wird (sowie weitere Faktoren wie die verwendeten Materialien und die produzierten Abfallstoffe).Es ist erstaunlich, welche Gesamtkosten unter dieser Betrachtungsweise zusammenkommen.(Einen Überblick über die Kosten für die Umwelt und die finanziellen Kosten, die dabei eine Rolle spielen, finden Sie im Artikel von Dave Ohara in der Ausgabe des TechNet Magazins vom Oktober 2007. Er ist unter technetmagazine.com/issues/2007/10/Green verfügbar.)
Immer mehr Einzelpersonen und Unternehmen sind sich inzwischen der finanziellen und ökologischen Auswirkungen ihrer Infrastruktur bewusst.Diese Erkenntnis bringt sie dazu, sich nach Produkten umzusehen, die den Energieverbrauch senken.Eines der Tools für IT-Experten, das Unternehmen bei der Lösung solcher Probleme hilft, wird vom Green Electronics Council (greenelectronicscouncil.org) angeboten.
Das als EPEAT (Abkürzung für Electronic Product Environmental Assessment Tool) bezeichnete Tool dieser Organisation bewertet elektronische Produkte nach 51 verschiedenen Umweltkriterien, von denen 23 Kriterien zwingend erforderlich und 28 Kriterien optional sind.Bei dieser Überprüfung werden folgende Bewertungen vergeben:Bronze (das Produkt erfüllt die Mindestanforderungen), Silber (das Produkt erfüllt die Mindestanforderungen und 50 Prozent der optionalen Kriterien) und Gold (das Produkt erfüllt die Mindestanforderungen und mindestens 75 Prozent der optionalen Kriterien).
Die Kriterien decken die gesamte Lebensdauer eines Produkts ab, von den für die Produktion gewählten Materialien über den Energieverbrauch während der Verwendung bis hin zur Entsorgung bei Ablauf der Lebensdauer.Die zwingend erforderlichen Kriterien dieses Standards betreffen in erster Linie Vorgaben für die Auswirkungen eines Produkts, z. B. die Vorgabe, welcher Anteil des Produkts aus wiederverwertetem Kunststoff bestehen muss, welche im Produkt enthaltenen Materialien eine spezielle Verarbeitung erfordern und welcher Anteil des Verpackungsmaterials für das Produkt aus wiederverwertetem Material bestehen muss.(Alle beim EPEAT registrierten Produkte erfüllen derzeit die Standards von ENERGYSTAR 3.0, und bis Ende Januar 2008 werden alle registrierten Produkte den neuen Standards von ENERGYSTAR 4.0 entsprechen.)
Zusätzlich muss für zertifizierte Produkte und ihre Akkus (sofern vorhanden) ein Rücknahmedienst eingerichtet sein.Eine weitere interessante Anforderung ist die Verfügbarkeit einer Garantie oder eines Kundendienstvertrags mit einer Laufzeit von 3 Jahren, die theoretisch dazu beiträgt, die Lebensdauer eines Geräts zu verlängern und somit die Gesamtauswirkungen einer hohen Umschlagsrate zu mindern.
Einige der optionalen Standards betreffen die Beseitigung bestimmter Schwermetalle (z. B. Kadmium), die modulare Bauweise, die Drittanbieterzertifizierung der Umweltschutzverfahren und -richtlinien des Unternehmens und verschiedene prozentuale Anteile in Bezug auf die Wiederverwertbarkeit.
Derzeit sind Produkte aus vier Kategorien verfügbar:Desktops, integrierte Systeme, Bildschirme und Notebook-Rechner.Die Produktkategorien werden fortlaufend erweitert, und für das Jahr 2009 sind Serverstandards geplant.
Hinzu kommt, dass fast alle großen Hersteller an diesem Programm teilnehmen.Dies wurde durch die Executive Order 13423 vom Januar 2007 gefördert, die vorschreibt, dass jede Bundesbehörde, die ihren Anforderungen entsprechende elektronische Produkte erwirbt, mindestens 95 Prozent dieser Anforderungen durch ein beim EPEAT (Electronic Product Environmental Assessment Tool) registriertes Produkt erfüllen muss (whitehouse.gov/news/releases/2007/01/20070124-2.html).
Falls Sie bei Ihren Einkäufen nicht ohnehin bereits die Auswirkungen auf die Umwelt berücksichtigen, sollten Sie das EPEAT-Bewertungstool in Erwägung ziehen, um sich der ökologischen (und finanziellen) Vorteile bewusst zu werden, die Sie sich bei Ihrem nächsten Produkteinkauf sichern können.

Preis: Kostenlos
Nutzen Sie EPEAT, um die Umweltauswirkungen Ihrer Hardwareeinkäufe zu bewerten
Nutzen Sie EPEAT, um die Umweltauswirkungen Ihrer Hardwareeinkäufe zu bewerten

Buchbesprechung
Windows Vista Administrator's Pocket Consultant
microsoft.com/MSPress/books/9588.aspx
Wenn Sie sich darauf vorbereiten, Windows Vista® in Ihrer Organisation einzusetzen, kann Ihnen das Buch „Windows Vista Administrator's Pocket Consultant“ (Microsoft Press, 2006) von William Stanek dabei helfen, sich schnell mit den neuen Features und Funktionen dieses Betriebssystems vertraut zu machen.Diejenigen unter Ihnen, die bereits andere Bücher aus der Reihe „Administrator's Pocket Consultants“ gelesen haben, werden mit Format und Informationsinhalt dieses Buchs vertraut sein.Es geht zwar nicht auf sämtliche Problemstellungen ein, vermittelt aber einen unfassenden Überblick über Features und Funktionen sowie die Ausführung bestimmter administrativer Aufgaben und ermöglicht Ihnen, Ihr Wissen über die Funktionsweise aufzufrischen.Darüber hinaus ist der Inhalt nicht auf Endbenutzer, sondern auf Systemadministratoren zugeschnitten.
Das Buch enthält zunächst eine Einführung in Windows Preinstallation Environment 2.0 und eine kurze Übersicht über die Dienstprogramme, die Ihnen bei der automatisierten oder interaktiven Installation zur Verfügung stehen.Danach geht das Buch auf die Verwaltung von Windows Vista-Systemen ein und zeigt Ihnen, wie Sie Tools wie msconfig einsetzen können, um Installationsprobleme zu beheben oder die Installation anzupassen. Darüber hinaus werden neue Features wie „Previous Versions“ (Frühere Versionen) vorgestellt, womit Sie einen früheren Zustand eines Ordners oder einer Datei wiederherstellen können.Außerdem erhalten Sie eine Einführung in die Tools, mit deren Hilfe die Hardware und die Geräte auf Zielsystemen verwaltet werden.
Anschließend wird darauf eingegangen, wie der Umgang mit Windows® für den Endbenutzer durch Anpassen der Benutzeroberfläche und des Desktops vereinfacht werden kann.Sie erfahren zum Beispiel, wie Sie die Ressourcennutzung durch Bildschirmschoner reduzieren, die Startprogramme und die Programme des Startmenüs anpassen und die Randleiste von Windows konfigurieren können.Darüber hinaus wird aufgezeigt, wie Sie persönliche Symbolleisten erstellen können, um Ihren Endbenutzern über die Taskleiste schnellen Zugriff auf gemeinsam genutzte Ordner und Dateien zu gewähren.
Im Abschnitt über die Installation und die Wartung von Windows Vista-Programmen und -Features werden Tools wie Software Explorer behandelt, das eine schnelle Anzeige der Startprogramme eines Systems, der derzeit ausgeführten Programme, der Winsock-Dienstanbieter sowie der über Netzwerk angeschlossenen Programme ermöglicht.Danach wird auf die Verwaltung von Benutzern und Profilen, Mobilitätsbelange, Richtlinien für Computer und Benutzer und auch auf die Datenträgerverwaltung, die Sicherheit von Dateien und die gemeinsame Nutzung von Ressourcen eingegangen.Dabei wird insbesondere erläutert, wie Benutzer erstellt werden, wie die Windows-Anmeldung über Gruppenrichtlinien abgewickelt wird und wie Schlüsselsammlungseinträge erstellt werden, die es Benutzern erleichtern, auf durch Kennwort geschützte Ressourcen zuzugreifen.
Im Abschnitt über Mobilität wird behandelt, wie Sie über die neue alternative Netzwerkkonfiguration sowohl eine Konfiguration „im Büro“ als auch eine Konfiguration „für unterwegs“ festlegen können.Die Benutzer können leicht zwischen diesen beiden Modi umschalten.
Im Kapitel „Verwaltung der Dateisicherheit und der Ressourcenfreigabe“ werden Ihnen die Grundlagen der Konfiguration von Berechtigungen für NTFS-Dateien und -Ordner vorgestellt. Außerdem werden Sie in die Funktionsweise (und die Steuerungsmöglichkeiten) der speziellen Berechtigungen in Windows Vista eingeführt.Hier erfahren Sie auch, wie Sie Verbindungen zu gemeinsam genutzten Ressourcen einrichten, herstellen und beibehalten können.
In Bezug auf die Datenträgerverwaltung enthält das Buch eine Einführung zum Konfigurieren von Datenträgerkontingenten, die nicht nur vermittelt, wie Datenträgerkontingente erstellt, angezeigt, aktualisiert und gelöscht werden, sondern auch, wie diese Einstellungen zur Wiederverwendung importiert bzw. exportiert werden.
Zudem wird detailliert erläutert, wie der duale IPv4/IPv6-Netzwerkstapel in Windows Vista funktioniert.Hier erfahren Sie auch, wie Sie Ihre Netzwerkadapter für Ihre Umgebung konfigurieren.
Das Buch schließt mit einem Abschnitt darüber, wie Sie Windows Vista optimieren können, um Ihren Benutzern optimale Benutzerfreundlichkeit zu bieten, gefolgt von einem kurzen Kapitel über allgemeine Problembehandlungsverfahren.Hier erfahren Sie, wie Sie Remoteunterstützung einrichten, durch zeitlich geplante Datenträgerüberprüfungen und Defragmentierungen die Integrität Ihres Systems sichern und Datensicherungen durchführen.Alles in allem ist dies eine leicht verständliche Kurzreferenz für die Verwaltung von Windows Vista.

Preis:29,99 US-Dollar im Direktversand.

Überwachen Sie Ihre Website
Pingdom.com
pingdom.com
Es kann gar nicht oft genug betont werden:Eine proaktive Vorgehensweise bei der Systemverwaltung reduziert den Stress und hilft dabei, peinliche Situationen zu vermeiden, beispielsweise den Fall, dass Sie eine E-Mail von Ihrem Vorgesetzten mit der Frage erhalten: „Wussten Sie, dass die Website abgestürzt ist?“
Ein gutes Netzwerküberwachungstool ist für diese Vorgehensweise unerlässlich.Die meisten oder vielleicht sogar alle unter Ihnen setzen wahrscheinlich bereits einen internen Netzwerküberwachungsserver der einen oder anderen Art ein.Doch wie steht es mit denjenigen unter Ihnen, die eine globale Präsenz gewährleisten und somit die Verfügbarkeit der mit dem Internet verbundenen Dienste sicherstellen müssen?
Pingdom.com ist ein ASP (Application Service Provider), der einen einfachen, aber effektiven automatischen Überwachungsdienst bereitstellt.Die Server des ASPs sind über mehrere globale Standorte verteilt, wodurch Sie einen viel besseren Überblick darüber erhalten, was Ihren Benutzern tatsächlich geboten wird. Dies ist nicht der Fall, wenn Sie sich auf eine externe Dienstüberwachung aus einer einzigen Quelle verlassen.
Um diesen ASP zu nutzen, melden Sie zunächst ein Konto an und stellen Ihren Standort, Ihre Zeitzone, Ihr Land, Ihr Datumsformat und das Ihren Anforderungen entsprechende Zahlenformat ein.Anschließend richten Sie Ihre Kontakte ein, indem Sie Namen, SMS-Telefonnummern und E-Mail-Adressen für Benachrichtigungen angeben.Danach erstellen Sie eine Überwachungsüberprüfung. Legen Sie dazu einen Namen, eine Überprüfungsauflösung, die Art der in dieser Auflösung durchzuführenden Überwachungsüberprüfung sowie den Typ, die Kontakte und regelmäßige Benachrichtigungsintervalle für die Überprüfung fest.
Das Standardkontopaket bietet Überprüfungsauflösungen im Bereich zwischen 1 Minute und 60 Minuten und erlaubt Ihnen, die Anforderungen des zu überprüfenden Diensts auf Ihre jeweiligen Bedürfnisse zuzuschneiden.Die Benachrichtigung kann Ihren Kontakten über E-Mail oder SMS zugesendet werden.Außerdem können Sie festlegen, wie oft das Dienstpingsignal fehlschlagen darf, bevor eine Benachrichtigung gesendet wird, und wie viele Fehlerzyklen vergehen müssen, bevor Sie erneut benachrichtigt werden (maximal sind vier Erinnerungen möglich).Darüber hinaus können Sie sich von Pingdom benachrichtigen lassen, sobald Ihr Dienst wieder läuft, was sich hervorragend für Überprüfungen von Website- oder Dienstwartungsfenstern eignet.Apropos Wartung – Sie können die Überprüfungen auch anhalten oder stoppen, um falsche Positivdiagnosen während der Ausführung geplanter Aufgaben zu vermeiden.
Der Dienst bietet Benutzern vier Grundüberprüfungstypen an:einen HTTP-Sensor, einen TCP-Port-Sensor, einen Pingsensor und einen UDP-Sensor.Beim HTTP-Sensor können Sie die URL/IP einstellen und festlegen, ob die Anforderung über SSL, über den Port, über eine Basisauthentifizierung durch eine Kombination aus Benutzername und Kennwort oder über eine einfache inklusive/exklusive Inhaltsüberprüfungszeichenfolge erfolgen soll.Beim TCP-Port-Sensor können Sie den Dienstport und die IP/Domäne festlegen, die überprüft werden sollen.Beim Pingsensor können Sie die IP oder die Domäne festlegen, die über ICMP geprüft werden soll.Der UDP-Sensor wird über die IP/Domäne, einen Port, die Zeichenfolge, die an diese Kombination gesendet werden soll, und die erwartete Antwortzeichenfolge eingestellt.Sie können damit also die Verfügbarkeit Ihrer Website, Ihres FTP-Servers, Ihres SMTP-Servers und weiterer Komponenten von mehreren Standorten in der ganzen Welt aus überprüfen.
Der Dienst stellt dazu mehrere Berichte bereit, mit denen sich Vergangenheitsdaten visuell darstellen lassen.Aus diesen Berichten können Sie den prozentualen Anteil der Betriebszeit für einen bestimmten Monat und die durchschnittliche Antwortzeit für diesen Zeitraum ersehen.Außerdem erhalten Sie eine detaillierte Ansicht jeder Überprüfungsinstanz, die den Zeitstempel, den Status, die Antwortzeit und den Server anzeigt, von dem aus die Überprüfung durchgeführt wurde.Darüber hinaus erhalten Sie eine Ansicht der Benachrichtigungen, in der für einen festgelegten Zeitraum angezeigt wird, wann, wie viele, an wen und auf welche Weise Benachrichtigungen gesendet wurden.Sie können diese Berichte öffentlich verfügbar machen, damit andere Mitglieder Ihrer Organisation die Dienststatistiken einsehen können.Wenn Sie ein eigenes benutzerdefiniertes NOC eingerichtet haben, stellt pingdom.com auch eine Webdienst-API bereit, über die diese Informationen abgefragt werden können. Dies ermöglicht es, den Dienst in Ihre aktuellen Dashboardansichten zu integrieren.

Preis:9,95 US-Dollar pro Monat.
Pingdom.com überwacht Webdienste aus einer globalen Perspektive
Pingdom.com überwacht Webdienste aus einer globalen Perspektive

Greg Steen ist Technologieexperte, Unternehmer und Enthusiast.Er ist immer auf der Suche nach neuen Tools, um IT-Experten Betriebs-, Qualitätssicherungs- und Entwicklungsprozesse zu erleichtern.


 Exchange Fragen &amp; Antworten: Hinzuf&#252;gen von Sprachansagen, Wahl einer PBX und mehr
Exchange Fragen & Antworten
Hinzufügen von Sprachansagen, Wahl einer PBX und mehr
Seema Rahman

F: Ich habe gehört, dass Exchange Unified Messaging keine hohe Verfügbarkeit oder Clustering anbietet.Stimmt das?
A: Obwohl Unified Messaging nicht in einer Cluster- oder Netzwerkkonfiguration mit Lastenausgleichsfunktion unterstützt wird, können Sie von bestimmten Gateways aus durchaus eine Lösung mit hoher Verfügbarkeit erzielen.Die Lösung besteht darin, Unified Messaging-Server für den Datenverkehr auf Round-Robin-Basis zu bestimmen.Sie können auch dafür sorgen, dass bestimmter Datenverkehr zu einem bestimmten Unified Messaging-Server weitergeleitet wird, vorausgesetzt, das Gateway verfügt über die erforderlichen erweiterten Routingfeatures.Sie können beispielsweise einen Unified Messaging-Server für Abonnentenzugriff und einen für alle automatisierten Telefonzentralenanrufe bestimmen.Dies ermöglicht Ihnen den Ausgleich von Unified Messaging-Datenverkehr auf der Grundlage Ihrer Infrastruktur und der Trends in Ihrer Umgebung.

F: Kann ich Sprachansagen für die öffentliche Telefonnummer meines Unternehmens mit Exchange Unified Messaging einrichten?
A: Ja, das ist möglich. Sie können außerdem eine automatische Telefonzentrale einrichten.Der Artikel „Verwalten von benutzerdefinierten Telefonansagen“ unter technet.microsoft.com/aa998818 enthält detaillierte Schritte zum Konfigurieren dieses Features.

F: Woher weiß ich, ob meine private Nebenstellenanlage (Private Branch Exchange, PBX) mit Exchange Unified Messaging kompatibel ist?
A: Bestimmte Gateways werden von Microsoft getestet und für die Verwendung mit Exchange Unified Messaging empfohlen.Die Anbieter dieser Gateways stellen eine Liste von PBXs bereit, die mit dem jeweiligen Gateway funktionieren.Wenn Ihre PBX von einem Anbieter aufgeführt wird, ist sie mit Exchange Unified Messaging kompatibel.
Der Artikel „Telefonieratgeber für Exchange Server 2007“ unter microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx stellt eine Liste unterstützter Gateways sowie andere relevante Informationen bereit.

F: Muss ich mein Telefonsystem um andere besondere Hardware erweitern, um Exchange Unified Messaging zu verwenden?
A: Der Exchange Unified Messaging-Server fungiert als Voicemailanbieter.Um mit Ihrem aktuellen Telefoniesystem zu funktionieren, braucht er möglicherweise bestimmte Hardware, die Sie nicht haben.
Wenn Sie eine unterstützte IP-PBX verwenden, brauchen Sie keine zusätzliche Hardware. Wahrscheinlich müssen jedoch gewisse Einstellungen in Ihrer IP-PBX konfiguriert werden, damit sie mit Unified Messaging funktioniert.
Wenn Sie ein anderes System als eine unterstützte IP-PBX verwenden, müssen Sie zuerst bestimmen, ob diese Hardware mit einem der unterstützten Gateways kompatibel ist.Sie benötigen außerdem ein unterstütztes VoIP-Gateway.
Die Informationen unter microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx umfassen eine Liste unterstützter Hardware, insbesondere IP-PBXs und Gateways.Überprüfen Sie diese Liste regelmäßig, da sie häufig aktualisiert wird, wenn Microsoft neue Hardware zertifiziert.Sie können sich auch an Ihren regionalen Unified Messaging-Experten wenden, um zu erfahren, welche Hardwareanforderungen für Ihre Umgebung gelten.

F: Wie stellt Unified Messaging Faxunterstützung bereit?
A: Derzeit stellt Unified Messaging ein Feature für eingehende Faxnachrichten bereit. Dieses sorgt dafür, dass ein Fax, das an die Durchwahl eines Benutzers gesendet wird, für den Unified Messaging aktiviert ist, als E-Mail-Nachricht im Posteingang des Benutzers landet. Die Faxnachricht ist dabei im TIFF-Format angefügt.Eine ausführliche Übersicht ist verfügbar unter technet.microsoft.com/bb232022.

F: Ich habe eine Nortel CS1000 IP/PBX und möchte Unified Messaging in Exchange Server 2007 verwenden. Ich weiß jedoch nicht, wie ich diese beiden Systeme zusammenführen kann.Kann ich die Nortel CS1000 IP/PBX als Gateway verwenden, oder werden nur Intel und AudioCodes als Gateways unterstützt?Ich benötige außerdem das Exchange-System zur Authentifizierung am CS1000-Server.
A: Nortel CS1000 ist eine unterstützte IP/PBX, vorausgesetzt, Version 5.0 der Firmware wird für die IP/PBX ausgeführt.In diesem Fall brauchen Sie keine zusätzliche Hardware.Die Nortel-Website enthält die Konfigurationshinweise zum Konfigurieren der IP-PBX unter support.nortel.com/go/main.jsp?cscat=docdetail&id=626197&poid=14261.Unterstützte Gateways, PBXs und unterstützte Firmwareversionen finden Sie unter microsoft.com/technet/prodtechnol/exchange/pbx-partners.mspx.

Seema Rahman ist seit sechs Jahren bei Microsoft tätig.Als Support Escalation Engineer hilft sie Kunden beim Lösen komplexer Probleme mit Exchange Server.Besonders gefallen hat Seema Rahman ihre Zeit im Exchange 2007 Beta-Team, wo für sie Unified Messaging im Mittelpunkt stand.


 Schwerpunkt Dienstprogramme: Windows-EasyTransfer-Companion
Schwerpunkt Dienstprogramme
Windows-EasyTransfer-Companion
Lance Whitney
Dieser Artikel basiert auf einer Vorabversion des Windows-EasyTransfer-Companion.Änderungen an den in diesem Artikel enthaltenen Informationen sind vorbehalten.

Es ist höchste Zeit, Ihre Benutzer durch Migration von ihren alten Windows® XP-Computern auf neue Windows Vista®-Computer umzustellen.Bei jeder Migration besteht die schwerste Arbeit darin, die Anwendungen der Benutzer auf den neuen PCs neu zu installieren und sicherzustellen, dass diese Anwendungen auch funktionieren.Jetzt kann Ihnen ein kostenloses Tool von Microsoft diese unzähligen Neuinstallationen ersparen.Windows-EasyTransfer-Companion (WETC) kann wichtige Softwareprogramme von Windows XP zu Windows Vista kopieren.
WETC liegt gegenwärtig als Beta-Version vor und arbeitet anders als der Windows-EasyTransfer-Assistent von Windows Vista.Während der Assistent Datendateien, Programmeinstellungen und Benutzerprofile kopiert, kopiert WETC ganze Anwendungen. Dies wird allerdings nur von Windows XP SP2 zu Windows Vista vorgenommen.Sie müssen die Übertragung unter einem Administratorkonto ausführen.
WETC wird dabei sowohl auf dem Quellcomputer als auch auf dem Zielcomputer installiert.Die PCs können über ein Netzwerk oder ein EasyTransfer-USB-Kabel miteinander kommunizieren.Der Treiber für das EasyTransfer-Kabel ist in Windows Vista enthalten Bei Windows XP müssen Sie den Treiber von der Produkt-CD installieren.
WETC stellt eine kategorisierte Liste übertragbarer Anwendungen bereit.
WETC stellt eine kategorisierte Liste übertragbarer Anwendungen bereit.
Schließen Sie das Kabel an, und starten Sie danach WETC auf dem Windows XP-Computer.Das Dienstprogramm durchsucht die Festplatte, sammelt die wichtigsten Systeminformationen und analysiert die gesamte installierte Software.Führen Sie nach Abschluss dieses Prozesses WETC auf dem Windows Vista-Computer aus.Das Dienstprogramm kommuniziert mit dem Windows XP-Computer und zeigt eine Liste aller entdeckten Anwendungen an, die in drei Kategorien unterteilt sind (siehe oben abgebildeter Screenshot):
  1. Programme, die sich leicht übertragen lassen: Diese Programme lassen sich problemlos übertragen und auf dem Windows Vista-PC ausführen.
  2. Programme, die sich mit möglichen Einschränkungen übertragen lassen: Diese Programme lassen sich zwar übertragen, werden danach aber evtl. nicht einwandfrei ausgeführt.
  3. Programme, die sich nicht übertragen lassen: Diese Programme können unter Windows Vista nicht ausgeführt werden und werden daher nicht in die Übertragung aufgenommen.
Für jedes Programm, das nicht erfolgreich übertragen werden kann, wird eine kurze Erläuterung bereitgestellt.In der Regel können Anwendungen nicht kopiert werden, weil ihnen Installationsprogramminformationen oder andere wichtige Daten fehlen, weil sie nicht mit Windows Vista kompatibel sind oder weil sie auf dem Windows Vista-Computer bereits vorhanden sind.Außerdem werden von WETC bestimmte Arten von Anwendungen wie Antiviren- und Systemdienstprogramme nicht kopiert.WETC überträgt auch keine Betriebssystemframeworks wie Microsoft .NET. Solche Frameworks müssen Sie in Windows Vista installieren, bevor Anwendungen kopiert werden können, die diese Frameworks erfordern.
Markieren Sie in der Liste der Programme diejenigen Programme, die kopiert werden sollen.Ein Hilfebildschirm kann Ihnen bei dieser Entscheidung helfen und Lösungen für eventuelle Probleme bereitstellen.Außerdem kann ein Vorübertragungsbericht gespeichert werden, in dem aufgelistet wird, welche Programme übertragen und welche nicht übertragen werden.
Danach wird die Übertragung durch Kopieren der Daten für jedes Programm durchgeführt.Nach der Übertragung wird in einer Statusmeldung angegeben, welche Programme kopiert wurden und ob Fehler aufgetreten sind.Sie können bei Bedarf einen ausführlichen Nachübertragungsbericht speichern.Beenden Sie WETC, führen Sie einen Neustart des Windows Vista-PCs aus, melden Sie sich an, und führen Sie die übertragenen Programme aus, um sich zu vergewissern, dass sie auch wirklich funktionieren.
Sind Probleme aufgetreten?Im Ordner „WETC Programs“ auf dem Windows Vista-PC ist eine Verknüpfung zu einem Tool namens „Resources“ enthalten, das ein Rückgängig-Feature besitzt, mit der Sie alle Anwendungen entfernen können, die auf den Windows Vista-Computer kopiert wurden. Allerdings stehen die dazu erforderlichen Informationen lediglich 3 Tage lang zur Verfügung.Unter support.microsoft.com/kb/931696 können Sie weitere Informationen über WETC (Windows-EasyTransfer-Companion) einholen und das Programm herunterladen.

Lance Whitney ist IT-Berater, Schulungsleiter und Autor technischer Artikel.Er hat sich intensiv mit dem Optimieren von Windows-Arbeitsstationen und -Servern beschäftigt.Er ist von Haus aus Journalist und hat vor etwa 15 Jahren den Sprung in das kalte Wasser der IT-Welt getan.


 The Cable Guy: DNS-Verbesserungen in Windows Server&#160;2008
The Cable Guy
DNS-Verbesserungen in Windows Server 2008
Joseph Davies
Dieser Artikel basiert auf einer Vorabversion von Windows Server 2008. Die in diesem Artikel enthaltenen Informationen können jederzeit geändert werden.

Microsoft hat einen DNS-Serverdienst (Domain Name System) in die Versionen von Windows Server seit Windows NT 4.0 aufgenommen.DNS ist eine hierarchische, verteilte Datenbank, die Zuordnungen von DNS-Domänennamen zu verschiedenen Datentypen wie IP-Adressen enthält.In Windows Server 2008 umfasst der DNS-Serverdienst den neuen
Zonenladevorgang im Hintergrund, Verbesserungen zur Unterstützung von IPv6, Unterstützung für schreibgeschützte Domänencontroller (Read-only Domain Controllers, RODCs) und die Möglichkeit, globale Namen mit einer einfachen Bezeichnung zu hosten.

Zonenladevorgang im Hintergrund
Der DNS-Serverdienst in Windows Server® 2008 beschleunigt den Datenabruf durch Implementieren des Zonenladevorgangs im Hintergrund.In der Vergangenheit kam es in Unternehmen mit Zonen, die eine große Anzahl von Datensätzen in Active Directory® enthielten, zu Verzögerungen von bis zu einer Stunde oder mehr, wenn der DNS-Serverdienst in Windows Server 2003 versuchte, beim Neustart die DNS-Daten aus Active Directory abzurufen.Während dieser Verzögerungen war der DNS-Server für DNS-Clientanforderungen für seine gehosteten Zonen nicht verfügbar.
Um dieses Problem zu lösen, ruft der DNS-Serverdienst in Windows Server 2008 nach dem Start Zonendaten aus Active Directory im Hintergrund ab, sodass er auf Anforderungen von Daten aus anderen Zonen antworten kann.Wenn der Dienst startet, erstellt er einen oder mehrere Ausführungsthreads, um die in Active Directory gespeicherten Zonen zu laden.Da separate Threads zum Laden der Active Directory-basierten Zonen vorhanden sind, kann der DNS-Serverdienst auf Abfragen antworten, während der Zonenladevorgang gerade ausgeführt wird.Wenn ein DNS-Client Daten in einer Zone anfordert, die bereits geladen wurde, antwortet der DNS-Server entsprechend.Wenn Daten in einer Zone angefordert werden, die noch nicht vollständig abgerufen wurde, ruft der DNS-Server stattdessen die spezifischen Daten aus Active Directory ab.
Diese Möglichkeit zum Abrufen bestimmter Daten aus Active Directory während des Zonenladevorgangs stellt einen zusätzlichen Vorteil gegenüber der Speicherung von Zoneninformationen in Dateien bereit, da der DNS-Serverdienst nun sofort auf Anforderungen antworten kann.Wenn die Zone in Dateien gespeichert ist, muss der Dienst die Datei sequenziell lesen, bis die Daten gefunden werden.

Verbesserte Unterstützung für IPv6
IPv6, das in früheren Ausgaben dieser Rubrik behandelt wurde, ist eine neue Sammlung von Standardinternetprotokollen.IPv6 wurde entwickelt, um viele Probleme der aktuellen Version (IPv4) wie Adressenknappheit, Sicherheit, automatische Konfiguration und den Bedarf an Erweiterbarkeit zu lösen.
Ein Unterschied in IPv6 besteht darin, dass die Adressen 128 Bit lang sind, während IPv4-Adressen nur 32 Bit lang sind.IPv6-Adressen werden in Hexadezimalnotation mit Doppelpunkt ausgedrückt.Jede Hexadezimalziffer entspricht 4 Bit der IPv6-Adresse.Eine vollständig dargestellte IPv6-Adresse besteht aus 32 Hexadezimalziffern in 8 Blöcken, die durch Doppelpunkte getrennt sind.Ein Beispiel für eine vollständig dargestellte IPv6-Adresse ist FD91:2ADD:715A:2111:DD48:AB34:D07C:3914.
Die Forwardnamensauflösung für IPv6-Adressen verwendet den IPv6-Host-DNS-Datensatz, der als AAAA-Datensatz (ausgesprochen „Quad-A“) bezeichnet wird.Für die Reversenamensauflösung verwendet IPv6 die IP6.ARPA-Domäne, und jede Hexadezimalziffer in der 32-stelligen IPv6-Adresse wird in umgekehrter Reihenfolge zu einer eigenständigen Ebene in der umgekehrten Domänenhierarchie.Der Reverse-Lookup-Domänenname für die Adresse FD91:2ADD:715A:2111:DD48:AB34:D07C:3914 ist beispielsweise 4.1.9.3.C.7.0.D.4.3.B.A.8.4.D.D.1.1.1.2.A.5.1.7.D.D.A.2.1.9.D.F.IP6.ARPA.
Der DNS-Serverdienst in Windows Server 2003 unterstützt die Forward- und Reversenamensauflösung für IPv6. Die Unterstützung ist jedoch nicht vollständig integriert.Um beispielsweise einen IPv6-Adressdatensatz (den gerade erörterten AAAA-Datensatz) im Windows Server 2003-DNS-Manager-Snap-In zu erstellen, müssen Sie mit der rechten Maustaste auf die Zone klicken, auf „Other New Records“ (Weitere neue Einträge) klicken und dann auf IPv6-Host (AAAA) als Ressourceneintragstyp doppelklicken.Um einen AAAA-Datensatz im DNS-Manager-Snap-In für Windows Server 2008 hinzuzufügen, klicken Sie mit der rechten Maustaste auf den Zonennamen und klicken dann auf „Neuer Host“ (A oder AAAA).Im Dialogfeld „Neuer Host“ können Sie eine IPv4- oder eine IPv6-Adresse eingeben.Abbildung 1 zeigt ein Beispiel.
Abbildung 1 Dialogfeld „Neuer Host“
Abbildung 1 Dialogfeld „Neuer Host“
Ein weiteres Beispiel für bessere Unterstützung für IPv6 ist die Unterstützung von Reverse-IPv6-Zonen.Um eine Reverse-Lookupzone im DNS-Manager-Snap-In für Windows Server 2003 zu erstellen, müssen Sie den Reverse-Zonennamen manuell auf der Seite „Reverse Zone Lookup Name“ (Reverse-Lookupzonenname) des Assistenten zum Erstellen neuer Zonen eingeben.Ein Beispiel für einen Reverse-Zonennamen in DNS ist 1.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa (für das IPv6-Subnetzpräfix 2001:db8:0:1::/64, vollständig dargestellt als 2001:0db8:0000:0001::/64).
IPv6-Reverse-Zonen im DNS-Manager-Snap-In für Windows Server 2008 sind jetzt in den Assistenten zum Erstellen neuer Zonen integriert.Der Assistent verfügt über eine neue Seite, auf der Sie zur Auswahl einer IPv4- oder IPv6-Reverse-Lookupzone aufgefordert werden.Für eine IPv6-Reverse-Lookupzone müssen Sie nur das IPv6-Subnetzpräfix eingeben, und der Assistent erstellt die Zone automatisch.Abbildung 2 zeigt ein Beispiel.
Abbildung 2 Benennen einer IPv6-Reverse-Lookupzone
Abbildung 2 Benennen einer IPv6-Reverse-Lookupzone
Eine weitere Verbesserung bei Reverse-Zonen ist die Art und Weise, wie das DNS-Manager-Snap-In IPv6-Zeigerdatensätze (Pointer, PTR) anzeigt.Abbildung 3 veranschaulicht, wie das DNS-Manager-Snap-In für Windows Server 2003 einen PTR-Datensatz anzeigt.
Abbildung 3 PTR-Datensatz für IPv6 in Windows Server 2003
Abbildung 3 PTR-Datensatz für IPv6 in Windows Server 2003
Obwohl diese Anzeige die Struktur des DNS-Namespace für IPv6-Reverse-Domänennamen genau wiedergibt, erschwert sie die PTR-Datensatzverwaltung für IPv6-Adressen.Abbildung 4 zeigt, wie das DNS-Manager-Snap-In für Windows Server 2008 einen PTR-Datensatz anzeigt.
Abbildung 4 PTR-Datensatz für IPv6 in Windows Server 2008
Abbildung 4 PTR-Datensatz für IPv6 in Windows Server 2008
Der DNS-Serverdienst in Windows Server 2003 unterstützt Vorgänge über IPv6, aber dies muss manuell mit dem dnscmd /config /EnableIPv6 1-Befehl aktiviert werden.Dagegen unterstützt Windows Server 2008 standardmäßig Vorgänge über IPv6.Das Dnscmd.exe-Befehlszeilentool wurde so aktualisiert, dass IPv6-Adressen in Befehlszeilenoptionen akzeptiert werden.Zudem kann der DNS-Serverdienst jetzt rekursive Abfragen an reine IPv6-Server senden, und die Serverweiterleitungsliste kann sowohl IPv4- als auch IPv6-Adressen enthalten.
Weitere Informationen über IPv6 und darüber, wie das Protokoll in Windows® unterstützt wird, finden Sie unter microsoft.com/ipv6.

Unterstützung für schreibgeschützte Domänencontroller
Windows Server 2008 führt auch den RODC ein, eine neue Art von Domänencontroller, der eine schreibgeschützte Kopie von Active Directory-Informationen enthält und Active Directory-Funktionen durchführt, aber nicht direkt konfiguriert werden kann.RODCs sind weniger anfällig für Angriffe und können an Orten untergebracht werden, wo die physische Sicherheit des Domänencontrollers nicht garantiert werden kann oder wo das Netzwerk potenziell schädliche Hosts enthält.
Für RODCs unterstützt der DNS-Serverdienst in Windows Server 2008 den neuen primären schreibgeschützten Zonentyp.Wenn ein Computer zu einem RODC wird, repliziert er eine vollständige schreibgeschützte Kopie aller Anwendungsverzeichnispartitionen, die der DNS verwendet, einschließlich Domänenpartition, ForestDNSZones und DomainDNSZones.So wird gewährleistet, dass der DNS-Serverdienst, der auf dem RODC ausgeführt wird, über eine vollständige schreibgeschützte Kopie aller DNS-Zonen verfügt, die in den Verzeichnispartitionen eines Domänencontrollers gespeichert sind, bei dem es sich nicht um einen RODC handelt.Sie können den Inhalt einer primären schreibgeschützten Zone auf einem RODC anzeigen, aber Sie können ihn nicht ändern.Der Inhalt der Zone muss auf einem Domänencontroller geändert werden, bei dem es sich nicht um einen RODC handelt.

GlobalNames-Zone
Namensauflösung mit der GlobalNames-Zone
Wenn ein Windows Vista-basierter DNS-Client nach Bereitstellung der GlobalNames-Zone versucht, einen Namen mit einer einfachen Bezeichnung aufzulösen, fügt er das primäre DNS-Suffix an die einfache Bezeichnung an und sendet die Namensabfrage an seinen DNS-Server.
Wenn der Name nicht gefunden wird, sendet der DNS-Client zusätzliche Namensabfragen für die Kombination aus der einfachen Bezeichnung und den Suffixen in seiner DNS-Suffixsuchliste (bei entsprechender Konfiguration).Wenn keiner dieser Namen aufgelöst wird, fordert der Client die Auflösung mithilfe der einfachen Bezeichnung an.
Der DNS-Server sucht die einfache Bezeichnung in der GlobalNames-Zone.Wenn sie dort angezeigt wird, sendet der DNS-Server die aufgelöste IPv4-Adresse oder den FQDN zurück an den DNS-Client.Andernfalls konvertiert der DNS-Clientcomputer den Namen in einen NetBIOS-Namen und verwendet NetBIOS-Verfahren einschließlich WINS zur Namensauflösung.Am DNS-Clientdienst müssen keine Änderungen vorgenommen werden, um die Auflösung der einfachen Bezeichnung in der GlobalNames-Zone zu aktivieren.

Windows Server 2008 und Windows Vista® unterstützen das NetBIOS über TCP/IP-Protokoll (NetBT).NetBT verwendet NetBIOS-Namen zum Identifizieren von Sitzungsschicht-NetBIOS-Anwendungen.Obwohl die NetBIOS-Namensauflösung mit WINS für aktuelle Versionen von Windows, die Windows Sockets-basierte Netzwerkanwendungen und DNS zur Namensauflösung benötigen, nicht erforderlich ist, stellen viele Microsoft-Kunden WINS in ihren Netzwerken bereit, um ältere NetBT-Anwendungen zu unterstützen und die Namensauflösung für einfache Bezeichnungen in ihren Organisationen bereitzustellen.Einfache Bezeichnungen beziehen sich in der Regel auf wichtige, bekannte und häufig verwendete Server in einer Organisation wie E-Mail Server, zentrale Webserver oder die Server für Branchenanwendungen.
Damit diese einfachen Bezeichnungen organisationsweit nur mithilfe von DNS aufgelöst werden können, könnte es erforderlich sein, den DNS-Domänen Ihrer Organisation A-Datensätze hinzuzufügen, sodass ein Windows-basierter DNS-Client den Namen unabhängig von dessen zugewiesenem DNS-Domänensuffix oder der Suffixsuchliste auflösen kann.
Angenommen die contoso.com-Organisation hat einen zentralen Webserver namens CWEB, der Mitglied der central.contoso.com-Domäne ist.Um eine einfache Bezeichnung für den Server CWEB zu implementieren, wenn DNS-Clients das DNS-Domänensuffix wcoast.contoso.com, central.contoso.com oder ecoast.contoso.com zugewiesen werden kann, muss der Netzwerkadministrator zwei zusätzliche A-Datensätze für cweb.wcoast.contoso.com und cweb.ecoast.contoso.com erstellen. Sie sollten jedoch beachten, dass manuell erstellte A-Datensätze für einfache Bezeichnungen bei Änderungen in der IPv4-Adresszuweisung oder bei neuen Namen verwaltet werden müssen.
Wenn contoso.com für ältere NetBT-Anwendungen WINS bereits verwendet, kann ein Netzwerkadministrator die Namensauflösung für die einfache Bezeichnung CWEB durch Hinzufügen eines einzelnen statischen WINS-Datensatzes zur WINS-Infrastruktur implementieren.Wenn sich die IPv4 Adresse ändert, muss nur der einzelne statische WINS-Datensatz geändert werden.Da einfache Bezeichnungen auf WINS leichter verwaltet werden können, verwenden viele Windows-basierte Netzwerke statische WINS-Datensätze für einfache Bezeichnungen.
Um eine Lösung für die Auflösung einfacher Bezeichnungen im DNS bereitzustellen, die sich ebenso leicht wie statische WINS-Datensätze verwalten lässt, unterstützt der DNS-Serverdienst in Windows Server 2008 eine neue Zone namens „GlobalNames“ zum Speichern von einfachen Bezeichnungen.Der Replikationsbereich dieser Zone ist in der Regel eine Gesamtstruktur, die die Auflösung für einfache Bezeichnungen über eine vollständige Active Directory-Gesamtstruktur bereitstellt.Zusätzlich kann die GlobalNames-Zone die Auflösung einfacher Bezeichnungen in einer Organisation unterstützen, die mehrere Gesamtstrukturen enthält, wenn Sie Ressourceneinträge zur Dienstidentifizierung (Service Location, SRV) zum Veröffentlichen des Speicherorts der GlobalNames-Zone verwenden.
Im Unterschied zu WINS soll die GlobalNames-Zone die Auflösung von einfachen Bezeichnungen für einen begrenzten Satz von Hostnamen bereitstellen, bei denen es sich in der Regel um die zentralen und wichtigen Server einer Organisation handelt, die von der IT-Abteilung verwaltet werden.Die GlobalNames-Zone sollte nicht zum Speichern der Namen von Desktopcomputern oder anderen Servern verwendet werden, deren IPv4-Adressen sich ändern können, und unter keinen Umständen werden von ihr dynamische DNS-Updates unterstützt.Sie wird am häufigsten für Aliasressourceneinträge (CNAME) zum Zuordnen einer einfachen Bezeichnung zu einem vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) verwendet.Für Netzwerke, die derzeit WINS verwenden, enthält die GlobalNames-Zone normalerweise Ressourceneinträge für von der IT-Abteilung verwaltete Namen, die bereits statisch in WINS konfiguriert sind.
Die GlobalNames-Zone stellt die Auflösung von einfachen Bezeichnungen nur dann bereit, wenn auf allen maßgeblichen DNS-Servern Windows Server 2008 ausgeführt wird. Doch auf anderen DNS-Servern, die für keine Zone maßgeblich sind, können ältere Versionen von Windows oder andere Betriebssysteme ausgeführt werden.Die GlobalNames-Zone muss in der Gesamtstruktur eindeutig sein.
Für maximale Leistung und Skalierbarkeit sollte die GlobalNames-Zone in Active Directory integriert werden, und Sie sollten jeden maßgeblichen DNS-Server mit einer lokalen Kopie dieser Zone konfigurieren.Dies ist erforderlich, damit die Bereitstellung der GlobalNames-Zone über mehrere Gesamtstrukturen hinweg unterstützt wird.
Weitere Informationen zur DNS-Unterstützung in Windows und zum Bereitstellen der GlobalNames-Zone finden Sie auf der Microsoft DNS-Webseite unter microsoft.com/dns.

Joseph Davies ist technischer Redakteur bei Microsoft und lehrt und schreibt seit 1992 über Themen im Bereich der Windows-Netzwerke. Er hat fünf Bücher für Microsoft Press verfasst und ist Autor des monatlich erscheinenden TechNet-Artikels „The Cable Guy“.


 Windows PowerShell: Abwehren von sch&#228;dlichem Code
Windows PowerShell
Abwehren von schädlichem Code
Don Jones

Erinnern Sie sich an die Zeit, als sich Windows Vista noch im Beta-Stadium befand und Gerüchte über eine sehr frühe Version einer neuen Befehlszeilenshell mit dem Codenamen „Monad“ im Umlauf waren?(Diese erhielt natürlich schließlich den Namen Windows PowerShell.)Damals gab es in den populären Medien viele Berichte über den „ersten Windows Vista-Virus“.In
Wirklichkeit war der „Virus“ lediglich ein Malwareskript zum Machbarkeitsnachweis, der auf „Monad“ abzielte.Um das Skript auszuführen, hätte „Monad“ selbst besonders konfiguriert werden müssen, denn das Skript funktionierte nicht unter den Standardeinstellungen.Zudem hatte Microsoft, als diese Berichte im Umlauf waren, bereits angekündigt, dass „Monad“ nicht im Lieferumfang von Windows Vista® enthalten sein würde.Es war praktisch viel Lärm um nichts (oder zumindest um sehr wenig).
Doch da Windows PowerShellTM immer populärer wird (das Programm wurde bereits über eine Million Mal heruntergeladen), nehmen die Chancen zu, dass jemand das Programm zum Erstellen von schädlichem Skript verwendet.Die Möglichkeit, ein potenziell schädliches Skript in Windows PowerShell zu schreiben, ist vorgegeben. Jedes Verwaltungstool, einschließlich Windows PowerShell, cmd.exe und VBScript, kann zu böswilligen Zwecken verwendet werden.Sie können also nicht davon ausgehen, dass eine bestimmte PS1-Datei harmlos ist.
Glücklicherweise ist Windows PowerShell standardmäßig so konfiguriert, dass keine Skripts ausgeführt werden, d. h. ein schädliches Skript kann nur mit Ihrer Hilfe ausgeführt werden.In diesem Monat möchte ich vorhersagen, wie dies wahrscheinlich vor sich gehen wird.Damit soll nichts Schlechtes über Windows PowerShell gesagt werden – meiner Meinung nach hat Microsoft bei der Entwicklung dieser Skripterstellungsshell, bei der viele Risiken vermieden werden, gute Arbeit geleistet.Doch eine Diskussion lohnt, damit Sie sich vorbereiten können und zur Abwehr dieses potenziellen Angriffs bereit sind.

Sicherheit als Standard
Es sollte erwähnt werden, dass Windows PowerShell die erste von Microsoft entwickelte Sprache nach der berühmten Trustworthy Computing-Initiative war.Sicherheitsguru Michael Howard (Autor des Buchs „Writing Secure Code“) war der „Sicherheitskollege“ des Windows PowerShell-Teams.Auf seine Initiative hin wurde der Code so sicher wie möglich geschrieben und – noch wichtiger – die Shell standardmäßig so sicher wie möglich konfiguriert.
Zuerst soll Ihnen ein schneller Überblick über die ursprünglichen Windows PowerShell-Sicherheitseinstellungen verschafft werden.Standardmäßig führt die Shell keine Dateien mit einer PS1-Dateinamenerweiterung aus, wenn Sie auf diese doppelklicken.Diese Erweiterung wird dem Editor zugeordnet.Tatsächlich führt die Shell aufgrund eines integrierten Features, das als Ausführungsrichtlinie bezeichnet wird, standardmäßig überhaupt keine Skripts aus. Diese Ausführungsrichtlinie beschreibt die Bedingungen, unter denen ein Skript ausgeführt wird.Es ist automatisch auf „Eingeschränkt“ gesetzt, wodurch alle Skripts an der Ausführung gehindert werden und die Shell nur zur interaktiven Verwendung aktiviert wird.Die Ausführungsrichtlinie kann mithilfe des Set-ExecutionPolicy-Cmdlets oder über eine von Microsoft bereitgestellte administrative Vorlage für Gruppenrichtlinien (ADM-Datei) geändert werden.(Sie erhalten die ADM-Datei unter go.microsoft.com/fwlink/?LinkId=102940.)Abbildung 1 zeigt die Ausführungsrichtlinien, die Sie festlegen können.
Abbildung 1 Auswählen einer sicheren Ausführungsrichtlinie
Abbildung 1 Auswählen einer sicheren Ausführungsrichtlinie
Die Ausführungsrichtlinie weist lediglich einige Ausnahmen auf.Selbst wenn die Shell auf „Eingeschränkt“ gesetzt ist, kann sie einige bestimmte XML-Konfigurationsdateien importieren, die von Microsoft bereitgestellt und zusammen mit der Shell installiert werden.Diese Dateien dienen zum Bereitstellen bestimmter Funktionen, beispielsweise Erweiterungen zu Microsoft® .NET Framework-Typen und Standardformatierungslayouts für die meisten .NET-Objekttypen.Es sind also Dateien, die die Shell auf jeden Fall beim Starten laden sollte.
Obwohl diese Dateien ausführbaren Code enthalten können und ihn auch enthalten, wurden sie digital von Microsoft signiert.Jegliche Manipulation lässt die Signatur nutzlos werden, und wenn dies geschieht, importiert die Shell die Dateien nicht beim Starten.Aufgrund dieses Entwurfs sind die Dateien vor Malware, die versuchen könnte, schädlichen Code in sie einzufügen, ziemlich sicher.
Selbstverständlich verhindert die auf „Eingeschränkt“ gesetzte Ausführungsrichtlinie auch, dass Ihre eigenen Windows PowerShell-Profilskripts beim Starten ausgeführt werden.Windows PowerShell erstellt ein Profilskript nicht standardmäßig, sondern sucht an vier bestimmten Speicherorten nach bestimmten Dateinamen, und wenn diese gefunden werden, versucht das Programm, sie bei jedem Start der Shell auszuführen.(Die zusammen mit Windows PowerShell installierte Dokumentation stellt Details über den Ordner und die Dateinamen bereit, die für Profilskripts verwendet werden.)Das Profil ist der Schlüssel zum hier erläuterten Exploit.

Ändern der Ausführungsrichtlinie
Cmdlet des Monats
Das Partnercmdlet zu Set-AuthenticodeSignature ist Get-AuthenticodeSignature.Dieses Cmdlet soll ein digital signiertes Skript untersuchen und Ihnen Einzelheiten über die Signatur vermitteln.Zeigen Sie damit auf die betreffende Datei, und Sie sehen nicht nur, ob eine Datei signiert wurde, sondern auch, ob die Signatur unversehrt ist, welches Zertifikat zum Signieren der Datei verwendet wurde und so weiter.Dieses Cmdlet arbeitet nicht nur mit Windows PowerShell Skripts, sondern auch mit signierten ausführbaren Dateien, und zwar so:
PS C:\Program Files\Microsoft Office\Office12>
Get-AuthenticodeSignature excel.exe | Format-List *
Durch Ausführen dieses Befehls können Sie sehen, dass die ausführbare Datei von der Microsoft Corporation mit einem Zertifikat signiert wurde, das von der Microsoft Codesignatur-Zertifizierungsstelle ausgestellt wurde.
Befehlsergebnisse

Es soll an dieser Stelle betont werden, dass es unter Standardbedingungen sehr schwierig, wenn nicht sogar unmöglich ist, Windows PowerShell irgendeinen Code, von schädlichem Code einmal ganz abgesehen, ausführen zu lassen.Erst durch Ändern der Ausführungsrichtlinie wird das Ausführen von schädlichen Skripts überhaupt ermöglicht.Es soll ganz klar gesagt werden, dass dieser Artikel keine Alarmglocke bezüglich Sicherheitslöchern in Windows PowerShell ist. Vielmehr sollen einige bewährte Methoden vermittelt werden, damit Ihre Systeme abgesichert bleiben.
Die niedrigste Ausführungsrichtlinie ist „Nicht eingeschränkt“, d. h. alle Skripts können ohne Einschränkung oder Frage ausgeführt werden, was im Wesentlichen das gleiche unerwünschte Szenario bietet, das jahrelang bei VBScript und Batchdateien existierte.Wenn Sie die Shell auf „Nicht eingeschränkt“ setzen, dient dies praktisch als Einladung für ein schädliches Skript, Schaden anzurichten.Wenn Sie „Nicht eingeschränkt“ als Einstellung auswählen und ein Skript Schaden anrichtet, sollten Sie rechtfertigen können, warum Sie sich für diese Einstellung entschieden haben, und Sie sollten Ihre Entscheidung eingestehen, wenn Sie erklären müssen, wie ein Virus Ihre Umgebung ausgelöscht hat!
Fairerweise sollte erwähnt werden, dass Windows PowerShell weiterhin versucht, aus dem Internet heruntergeladene Skripts zu entdecken, und Sie vor ihrer Ausführung warnt, selbst wenn die Einstellung „Nicht eingeschränkt“ lautet.Es ist jedoch generell keine gute Idee, eine Ausführungsrichtlinie auf „Nicht eingeschränkt“ zu setzen.

Signieren von Skripts
Die sicherste Ausführungsrichtlinie, die das Ausführen von Skripts zulässt, ist AllSigned.Diese Einstellung führt, wie der Name schon sagt, nur Skripts mit einer unversehrten digitalen Signatur aus, die mit einem vertrauenswürdigen Zertifikat erstellt wurde (irgendeine Signatur reicht also nicht aus).Zum Signieren von Skripts müssen Sie sich ein digitales Zertifikat der Klasse III beschaffen, genauer gesagt ein codesigniertes Microsoft Authenticode-Zertifikat.Solche Zertifikate sind bei der internen Public Key-Infrastruktur (PKI) Ihres Unternehmens erhältlich, wenn eine solche vorhanden ist, oder sie können von kommerziellen Zertifizierungsstellen (Certification Authority, CA) wie CyberTrust, Thawte und VeriSign erworben werden.
Wenn Sie wissen möchten, ob auf Ihrem Computer Zertifikate installiert sind, die zum Signieren von Skripts verwendet werden können, können Sie sich dies durch das folgende Cmdlet anzeigen lassen:
Get-ChildItem CERT: -recurse –codeSigningCert
Nach Installation des Zertifikats auf Ihrem Windows®-Computer verwenden Sie das Set-AuthenticodeSignature-Cmdlet zum Erstellen und Anwenden einer digitalen Signatur, die als eine Reihe von scheinbar unsinnigen Kommentarzeilen am Ende des Skripts angezeigt wird.Einige Skripteditoren bieten die Option, eine Signatur auf eine Skriptdatei anzuwenden, einschließlich der Möglichkeit, Skripts automatisch beim Speichern zu signieren, was praktisch sein kann.
AllSigned ist die beste Ausführungsrichtlinie für eine Produktionsumgebung.Obwohl damit schädliche Skripts nicht sofort verhindert werden, wird sichergestellt, dass ein schädliches Skript signiert ist und damit der Autor des Skripts ausfindig gemacht werden kann (vorausgesetzt, Ihre Windows-Computer sind so konfiguriert, dass sie nur vertrauenswürdigen CAs vertrauen, doch dieses Thema geht über den Rahmen dieses Artikels hinaus).Interessanterweise kann Windows Script Host (WSH) 5.6 oder höher mit einer ähnlichen TrustPolicy-Einstellung konfiguriert werden, für die ebenfalls digitale Signaturen erforderlich sind, doch ich kenne nur wenige Administratoren, die diese Einstellung verwenden.
Es folgt eine kurze Wiederholung der bisher bereitgestellten Informationen.Mit einer auf „Eingeschränkt“ gesetzten Ausführungsrichtlinie sind Sie vor schädlichen Skripts sicher, aber es können auch keine nützlichen Skripts ausgeführt werden.Wenn Ihre Ausführungsrichtlinie als „AllSigned“ konfiguriert ist, lässt die Shell signierte Skripts zu, was recht sicher ist, da nur wenige Autoren von schädlichem Skript wünschen, dass eine überprüfte, nachverfolgbare Identität für ihre Arbeit vorliegt.Die Einstellung „Nicht eingeschränkt“ andererseits ist äußerst unsicher, und bei ihrer Verwendung ist zu erwarten, dass irgendwann ein schädliches Skript ausgeführt wird.(Beachten Sie, dass ich die Einstellung „Nicht eingeschränkt“ nicht als besonderes Sicherheitsrisiko betrachte, denn sie gibt nicht vor, sicher zu sein. Wenn Sie diese Einstellung verwenden, wissen Sie vermutlich, worauf Sie sich einlassen.)

Durch den Nebeneingang
Es gibt noch eine weitere Ausführungsrichtlinie:RemoteSigned.Diese wird meines Wissens nach heute von den meisten Administratoren verwendet, da sie einfach als sicherer als „Nicht eingeschränkt“ und weniger problematisch als „AllSigned“ empfunden wird.Bei „RemoteSigned“ ist keine Signatur für lokale Skripts erforderlich.PS1-Dateien, die sich auf Ihren lokalen Laufwerken befinden, werden ohne Signatur ausgeführt.Remoteskripts (hauptsächlich jene, die Sie mithilfe von Internet Explorer® oder Outlook® aus dem Internet herunterladen) werden nur ausgeführt, wenn sie signiert sind. Beide Anwendungen markieren heruntergeladene Dateien mit einem speziellen Kennzeichen.
Doch die RemoteSigned-Einstellung kann Ihnen ein falsches Gefühl der Sicherheit vermitteln.Zum einen ist es einfach, Remoteskripts herunterzuladen, ohne dass das spezielle Kennzeichen angewendet wird.Nicht-Microsoft-Browser beispielsweise setzen dieses Kennzeichen in der Regel nicht, was auch bei den meisten Nicht-Microsoft-E-Mail-Clients der Fall ist.Es gilt zu beachten, dass Windows PowerShell heruntergeladene Skripts ohne dieses Kennzeichen als lokale Skripts behandelt, was bedeutet, dass eine Signatur nicht erforderlich ist.Dennoch sehe ich dies nicht als bedeutendes Sicherheitsrisiko an.Sie müssten das Skript herunterladen, Windows PowerShell öffnen und das Skript manuell ausführen, damit es ausgeführt werden kann.Es dürfte ziemlich schwierig sein, jemanden dazu zu bringen, alle diese Schritte durchzuführen, und Administratoren – in der Regel die einzigen Benutzer in einem Netzwerk, bei denen Windows PowerShell installiert ist – sollten es eigentlich besser wissen.
Bei „RemoteSigned“ ist jedoch ein „Nebeneingang“ von Bedeutung, durch den sich Malware einschleichen kann.Erinnern Sie sich an die Windows PowerShell-Profilskripts?Wenn sie vorhanden sind (egal, ob von Ihnen oder einer Malware erstellt), werden sie jedes Mal beim Ausführen von Windows PowerShell ausgeführt.Gemäß der RemoteSigned-Ausführungsrichtlinie müssen Ihre Profilskripts, die lokal sind, nicht signiert werden.
Hier ist das Szenario:
  1. Eine Malware gelangt in Ihr System und erstellt ein Shellprofilskript oder fügt schädlichen Code in ein vorhandenes Profilskript ein.Malware wird in der Regel unter Ihrem angemeldeten Benutzerkonto ausgeführt, das Ihr Profilskript normalerweise ändern darf.
  2. Sie öffnen Windows PowerShell, wobei Sie nicht erkennen, dass Ihr Profilskript erstellt oder geändert wurde und nun schädlichen Code enthält.Der Code wird ausgeführt, und der Schaden ist angerichtet.Der Schaden ist noch schlimmer, wenn Sie Windows PowerShell gewöhnlich unter Ihren Administratoranmeldeinformationen öffnen. Dies ist eine häufige Praxis, denn wenn Sie die Shell verwenden, benötigen Sie Administratorrechte, um die Aufgaben durchzuführen, für die die Shell vorgesehen ist.
Das Profil bietet beliebigem und schädlichem Code dann eine Möglichkeit, ohne Ihr Wissen ausgeführt zu werden, und die RemoteSigned-Ausführungsrichtlinie lässt dies zu.

Schutz für das Profil
Es gibt nur eine gute Möglichkeit, Ihr Profil zu schützen:Verwenden Sie die AllSigned-Ausführungsrichtlinie.Unter „AllSigned“ müssen selbst Ihre Profilskripts digital signiert werden, andernfalls führt Windows PowerShell sie beim Start nicht aus.Wenn Sie Ihre Profilskripts signiert haben, zerstören schädliche Änderungen an ihnen die digitalen Signaturen, sodass sie nicht ausgeführt werden können. Windows PowerShell macht Sie sogar beim Starten auf dieses Problem aufmerksam.„AllSigned“ ist im Grunde die einzig sichere Einstellung der Ausführungsrichtlinie in Produktionsumgebungen, in denen das Ausführen von Skripts möglich sein muss.
Es gibt einen weiteren Ansatz, der jedoch komplizierter und weniger vertrauenswürdig ist.Sie können leere Profilskriptsdateien für alle vier Dateien erstellen, nach denen Windows PowerShell sucht.Verwenden Sie ein neues Benutzerkonto (ich bezeichne es als „Profileditor“), um diese Dateien zu erstellen, und legen Sie die NTFS-Berechtigungen der Dateien so fest, dass nur das Profileditorkonto sie ändern kann.Für andere Konten kann ein schreibgeschützter Zugriff eingerichtet werden.
Melden Sie sich jedoch nie bei Ihrem Computer mit dem Profileditorkonto an, es sei denn, Sie wollen Ihr Profil bearbeiten.Bei dieser Vorgehensweise können die normalen Benutzerkonten Ihre Profilskripts nicht ändern.Malware, die ausgeführt wird, während Sie mit einem normalen Konto angemeldet sind, ist ebenfalls nicht in der Lage, die Skripts zu ändern.Was geschieht, wenn Malware ausgeführt wird und Sie gerade als Profileditor angemeldet sind?Da Sie als Profileditor angemeldet sein werden, um Ihre Profilskripts zu bearbeiten, sollten Sie die Änderungen bemerken.
Sie können Ihr eigenes Sicherheitsnetz spannen, indem Sie ein Profilskript für alle Benutzer erstellen, das, wie gerade beschrieben, mit strengen Dateiberechtigungen gesteuert wird.Innerhalb dieses Skripts schreiben Sie Code, der das Get-AuthenticodeSignature-Cmdlet zum Prüfen der digitalen Signaturen in den anderen Profilen verwendet, nach denen die Shell sucht.Damit können Sie praktisch Signaturen bei Profilskripts anfordern, ohne dass sie für andere Skripts erforderlich sind.
Die AllSigned-Ausführungsrichtlinie ist jedoch eine gründlichere Möglichkeit zum Schutz Ihres Profils.Es ist zu empfehlen, dass die Ausführungsrichtlinie jedes Computers, der mit Ihrem Netzwerk verbunden ist, auf „Eingeschränkt“ gesetzt wird, was vorzugsweise über die Gruppenrichtlinie vorgenommen wird.Diese setzt lokale Einstellungen außer Kraft und stellt sicher, dass neue Domänencomputer automatisch so eingestellt werden, dass Skripts nicht zugelassen sind.Computer, auf denen Skripts zugelassen werden müssen, sollten eine andere Gruppenrichtlinie haben, die die AllSigned-Ausführungsrichtlinie festlegt.Sie müssen alle Skripts digital signieren, aber Sie können sich darauf verlassen, dass nur vertrauenswürdige Skripts von identifizierbaren Autoren in Ihrer Umgebung ausgeführt werden.

Don Jones ist der führende Experte für die Skripterstellung bei SAPIEN Technologies und Mitverfasser von Windows PowerShell:TFM (SAPIEN Press, 2007).Sie erreichen ihn unter www.ScriptingAnswers.com.


 Hey, Scripting Guy!: Regul&#228;re Ausdr&#252;cke sind unmissverst&#228;ndlich
Hey, Scripting Guy!
Reguläre Ausdrücke sind unmissverständlich
Die Scripting Guys von Microsoft
Laden Sie den Code für diesen Artikel herunter: HeyScriptingGuy2008_01.exe (150KB)

Jeder macht Fehler.(Dachten Sie etwa, das Scripting Guys-Team wurde dafür absichtlich ins Leben gerufen?)Das Positive an Fehlern ist jedoch – wie bitte?Sie dachten, wir würden sagen, das Positive an Fehlern besteht darin, dass man immer daraus lernen kann?Keineswegs:Das Einzige, was sich aus einem Fehler lernen lässt, ist, dass man ohne Fehler viel besser dran gewesen wäre.
Hinweis:Wir bedauern, aber heute gibt es keine Witze über Microsoft Bob.Wir haben schon einmal den Fehler begangen, uns über Microsoft Bob lustig zu machen. In diesem Fall haben wir tatsächlich aus unserem Fehler gelernt.Was Microsoft Bob betrifft, hüllen wir uns in Schweigen.
Um ehrlich zu sein, können die Scripting Guys eigentlich nicht viel Gutes über Fehler sagen. Daher haben wir unser Leben der Aufgabe geweiht, so wenig Fehler wie möglich zu machen.(Die einzige Möglichkeit, die Zahl unserer Fehler zu minimieren, besteht natürlich darin, so wenig wie möglich zu tun. Doch das ist eine andere Geschichte.)
Alles schön und gut, aber: Was nützt es uns, die Zahl unserer Fehler so gering wie möglich zu halten, wenn die Leute, mit denen wir zusammenarbeiten, weiter Fehler machen?(Nein, wir sagten es bereits:Keine Witze über Microsoft Bob!)Wenn Sie je ein Front-End für ein Datenbankprogramm oder Active Directory® geschrieben haben (und auf viele von Ihnen trifft das zu), dann wissen Sie genau, wovon wir reden:Ihr Front-End-Dateneingabeprogramm ist nur so gut wie die Personen, die die Dateneingabe vornehmen.
Angenommen Sie möchten, dass Vornamen wie folgt eingegeben werden:Ken, beginnend mit einem Großbuchstaben, gefolgt von Kleinbuchstaben.Was geschieht, wenn ein Benutzer den Namen wie folgt eingibt:KEN?Angenommen die Datumseingabe soll folgendermaßen aussehen:01/23/2007. Was geschieht, wenn ein Benutzer ein Datum wie folgt eingibt:23. Januar 2007?Angenommen – das Prinzip ist wohl klar.Wie gesagt, Ihr Front-End-Dateneingabeprogramm ist nur so gut wie die Personen, die die Daten eingeben.Und ob Ihnen das gefällt oder nicht: Diese Personen machen Fehler.Es sei denn, Sie bauen vor und gewährleisten, dass dies nicht geschieht.

Stellen Sie sicher, dass die Daten gültig sind
Das Ende der Spiele
Haben Sie sich je gefragt, auf welches Ereignis sich die Scripting Guys das ganze Jahr lang freuen?Wenn Sie in den vergangenen zwei Jahren das Scriptcenter im Februar besucht haben, tippen Sie vielleicht auf die „Winter Scripting Games“.Falsch geraten.Die Scripting Guys sehen dem Ende der Scripting Games mit Freude entgegen, wenn sie sich – nach zwei Wochen Jux und Dollerei – im Glanze eines weiteren erfolgreichen Scripting Games-Wettbewerbs sonnen und die nächsten vier Wochen schlafen dürfen.
In Vorbereitung auf unser Lieblingsereignis des Jahres – das Ende der Scripting Games – wird es nun also Zeit, die Winter Scripting Games 2008 in Angriff zu nehmen!Besuchen Sie uns vom 15. Februar bis 3. März 2008 im Scriptcenter! Es erwarten Sie mehr als zwei Wochen Skriptingspaß und der beste Skriptingwettbewerb überhaupt.
Die Scripting Games bieten eine hervorragende Möglichkeit, Ihre Fähigkeiten zu testen und zu verbessern.Da die Scripting Guys in diesem Jahr nach dem Wettbewerb noch ein paar Tage länger schlafen wollen, wird der diesjährige Wettbewerb noch größer und besser als im letzten Jahr!Es gibt wieder zwei Gruppen:Anfänger und Fortgeschrittene.Das bedeutet, ob Sie gerade erst anfangen mit dem Skripting, ob sie ein alter Hase (oder junger Profi) sind oder irgendwo dazwischen liegen – dieser Wettbewerb ist das Richtige für Sie.
Was ist nun neu in diesem Jahr?Es wird noch eine weitere Skriptsprache aufgenommen.Sie können mit VBScript, Windows PowerShell oder – das ist neu – Perl am Wettbewerb teilnehmen.(Wir wissen, dass Perl nicht neu ist, aber für den Wettbewerb ist es ein Novum.)Vermutlich wird es noch mehr tolle Sachen geben. Da wir diese Randleiste jedoch Monate im Voraus produzieren müssen, können wir noch nicht mit Einzelheiten dienen.Sie müssen schon ins Scriptcenter kommen, um herauszufinden, was wir uns haben einfallen lassen.
Falls Sie sich fragen – ja, es wird Preise geben.Was für Preise?Wir möchten Ihnen die Überraschung nicht verderben. Kommen Sie ins Scriptcenter und sehen Sie selbst! microsoft.com/technet/scriptcenter/funzone/games/default.mspx.

Viele von Ihnen haben wahrscheinlich bereits Erfahrung mit elementarer Dateneingabeüberprüfung.In vielen Situationen ist diese einfache Dateneingabeüberprüfung völlig ausreichend.Sie müssen sicherstellen, dass der Wert der Zeichenfolge „strName“ aus höchstens 20 Zeichen besteht?Dieser kleine Codeblock erfüllt die Aufgabe:
If Len(strName) > 20 Then
    Wscript.Echo "Invalid name; a " & _
    "name must have 20 or fewer characters."
End If
Angenommen aber, es handelt sich bei strName um eine neue Teilenummer, und Teilenummern müssen einem vorgegebenen Muster entsprechen:vier Ziffern, gefolgt von zwei Großbuchstaben (z. B. 1234AB).Können Sie mit einfachem VBScript überprüfen, ob strName dem erforderlichen Muster für Teilenummern entspricht?Möglich ist das.Aber wirklich alles andere als ideal.Verwenden Sie stattdessen einen regulären Ausdruck.

Stellen Sie sicher, dass ein Wert nur Ziffern enthält
Reguläre Ausdrücke gehen zurück auf die 50er Jahre, als sie erstmals als eine Form der mathematischen Notation beschrieben wurden.In den 60er Jahren wurde dieses mathematische Modell in den QED-Texteditor integriert, als eine Möglichkeit, in einer Textdatei nach Zeichenmustern zu suchen.Einige Zeit später – wie bitte?Aha.Offensichtlich finden nicht alle die Geschichte regulärer Ausdrücke so faszinierend wie wir. Verständlich.Wenn das so ist, zeigen wir Ihnen einfach, was wir meinen.
Sie wollen sicherstellen, dass eine Variable (in diesem Fall die Variable „strSearchString“) nur Ziffern enthält?Abbildung 1 zeigt eine Möglichkeit, dies zu erreichen.
Figure 1 Nur Zahlen, bitte (Close Figure 1)
Set objRegEx = _
  CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\D"

strSearchString = "353627"

Set colMatches = _
  objRegEx.Execute(strSearchString)

If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Wie Sie sehen, wird im Skript zunächst eine Instanz des VBScript.RegExp-Objekts erstellt. Sie haben ganz Recht, es ist das Objekt, das es ermöglicht, reguläre Ausdrücke in einem Skript zu verwenden.(Eigentlich wollten wir Ihnen das erklären.)Anschließend weisen Sie zwei Haupteigenschaften des Objekts für reguläre Ausdrücke Werte zu:„Global“ und „Pattern“.
Die Global-Eigenschaft bestimmt, ob das Skript alle Vorkommen eines Musters oder nur das erste Auftreten finden und dann anhalten soll.Im Allgemeinen empfiehlt es sich, für diesen Wert „True“ festzulegen. Das bedeutet, Sie wollen nach allen Vorkommen eines Musters suchen.(Der Standardwert ist „False“.)In den meisten Fällen möchten Sie sicher alle Vorkommen eines Musters finden.Selbst wenn dies nicht der Fall ist: Der einzige Vorteil, nur das erste Auftreten eines Musters zu suchen, besteht darin, dass das Skript schneller ausgeführt wird, wenn es auf halbem Weg durch die Zeichenfolge anhält, anstatt die Suche bis zum Ende fortzusetzen.Theoretisch klingt das gut.In der Praxis wird die Suche jedoch in der Regel so schnell abgeschlossen, dass Sie den Unterschied kaum bemerken.
Hier der gute Teil:Mit der Pattern-Eigenschaft werden die Zeichen (und die Zeichen-„Blaupause“) angegeben, an denen Sie interessiert sind. In diesem Beispielskript suchen Sie nach allen Zeichen, die nicht einer der Ziffern von 0 bis 9 entsprechen. Wenn ein solches Zeichen (ein Buchstabe, ein Satzzeichen oder was auch immer) gefunden wird, wissen Sie, dass der strSearchString zugewiesene Wert nicht gültig ist.In regulären Ausdrücken wird die Syntax \D verwendet, um Übereinstimmungen mit beliebigen Zeichen zu finden, die keine Ziffern sind. Daher weisen Sie der Pattern-Eigenschaft den Wert \D zu.
Hinweis:Woher wussten wir, dass \D jedem Zeichen entspricht, das keine Ziffer ist?Nun, das ist eine lange Geschichte.Also: Vor etlichen Jahren – oh, Sie hätten es lieber etwas kürzer.Wir haben in der VBScript Language Reference auf MSDN® unter msdn2.microsoft.com/1400241x nachgeschlagen.
Nach dem Zuweisen von Werten zu den Global- und Pattern-Eigenschaften wird im nächsten Schritt der Variable „strSearchString“ ein Wert zugewiesen:
strSearchString = "353627"
Woher wissen Sie, ob diese Zeichenfolge Zeichen enthält, die keine Ziffern sind?Das ist ganz einfach.Sie rufen kurzerhand die Execute-Methode auf, die die Variable nach solchen Zeichen durchsucht:
Set colMatches = _
objRegEx.Execute(strSearchString)
Wenn Sie die Execute-Methode aufrufen, werden alle gefundenen Übereinstimmungen (das heißt, alle Instanzen des Musters) automatisch in der Matches-Auflistung gespeichert.(Im Beispielskript wurde dieser Auflistung der Name „colMatches“ gegeben.)Wenn Sie wissen möchten, ob die Variable Zeichen enthält, die keine Ziffern sind, müssen Sie jetzt lediglich den Wert der Count-Eigenschaft der Auflistung überprüfen. Dieser Wert teilt Ihnen mit, wie viele Elemente sich in der Auflistung befinden:
If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Ist der Wert der Count-Eigenschaft größer als 0, kann das nur eins bedeuten:Irgendwo im Variablenwert wurde ein Zeichen gefunden, das keine Ziffer ist.(Wären alle Zeichen im Wert Ziffern, wäre die Auflistung leer und die Count-Eigenschaft hätte folglich den Wert 0.)Im Beispielskript wird dann zurückgegeben, dass ein nicht numerisches Zeichen entdeckt wurde.Im eigentlichen Skript oder Datenbank-Front-End würde wahrscheinlich eine ähnliche Nachricht zurückgegeben und ein Loopback durchgeführt, damit der Benutzer einen erneuten Versuch unternehmen kann.Doch die Sorge darum überlassen wir Ihnen. Als Scripting Guys müssen wir uns über zahlreiche andere Dinge Gedanken machen.
Zum Beispiel?Zum Beispiel darüber, dass die Leute beim TechNet Magazin die Artikel, die wir ihnen jeden Monat senden, eines Tages vielleicht tatsächlich lesen.Fast wäre es uns lieber, sie würden nicht aus ihren Fehlern lernen.
Ah, gute Frage:Könnten wir nicht einfach mithilfe der IsNumeric-Funktion bestimmen, ob strSearchString eine Zahl enthält?Sicher, vorausgesetzt, dass es sich bei strSearchString um eine beliebige Zahl handeln darf.Was aber, wenn strSearchString einer positiven Ganzzahl entsprechen muss?Das könnte ein Problem sein, denn IsNumeric erkennt jede der folgenden Zahlen als gültige Ziffern:
-45
672.69
Warum werden diese Zahlen als gültige Zahlen erkannt?Weil sie gültige Zahlen sind, nur eben keine Ganzzahlen.Mit dem regulären Ausdruck werden sie hingegen als ungültige Einträge gekennzeichnet, da der reguläre Ausdruck das Minusvorzeichen (–) und den Punkt (.) erfasst, die keine Ziffern sind.Wenn Sie diese Rubrik bis hierhin gelesen haben und sich fragen „Warum lese ich das eigentlich?“, geben wir Ihnen hiermit einen ziemlich guten Grund.
Was meinen Sie?Das reicht nicht aus?Schwieriges Publikum diesen Monat.OK, betrachten wir einige andere Arten der Dateneingabeüberprüfung, die mit regulären Ausdrücken möglich sind.

Stellen Sie sicher, dass ein Wert keine Zahlen enthält
Soeben wurde aufgezeigt, wie Sie sicherstellen, dass ein Wert nur Zahlen enthält.Was aber, wenn das Gegenteil erreicht werden soll, wenn Sie also sicherstellen wollen, dass ein Wert keine Zahlen enthält?Es folgt ein Suchmuster, das dazu verwendet werden kann:
objRegEx.Pattern = "[0-9]"
Was passiert hier eigentlich?Also: In der wilden und verrückten Welt der regulären Ausdrücke geben Ihnen die Klammern ([ und ]) die Möglichkeit, eine Zeichengruppe oder (wie in diesem Beispiel) einen Zeichenbereich anzugeben.Was bedeutet das Muster [0-9]?Es bedeutet, dass nach beliebigen Zeichen im Bereich von 0 bis 9 gesucht wird, oder anders gesagt, nach beliebigen numerischen Werten.Wenn Sie nur gerade Zahlen möchten (das heißt, wenn Sie sicherstellen wollen, dass der Wert keine 1, 3, 5, 7 oder 9 enthält), müssten Sie folgendes Muster verwenden:
objRegEx.Pattern = "[13579]"
Beachten Sie, dass wir nicht nach Zeichenbereichen suchen, da kein Bindestrich verwendet wurde.Tatsächlich werden speziell die Zeichen 1, 3, 5, 7 und 9 gesucht.
Mit dem Muster [0-9] können Sie selbstverständlich nur nach Ziffern suchen. Satzzeichen oder andere Zeichen, die keine Buchstaben, aber auch keine Ziffern sind, werden damit nicht gefunden.Meinen Sie, es könnte ein Muster für die Suche nach allen Zeichen erstellt werden, die keine Buchstaben sind?Selbstverständlich.Mit regulären Ausdrücken lässt sich praktisch alles machen:
objRegEx.Pattern = "[^A-Z][^a-z]"
In diesem Fall werden zwei Kriterien im Muster kombiniert:Es wird nach [^A-Z] und [^a-z] gesucht.Wie Sie sich wahrscheinlich denken können, steht A-Z für den Bereich der Großbuchstaben A bis Z. Was bedeutet nun das Zeichen ^?Wenn es zwischen zwei eckigen Klammern steht, bedeutet das ^: „Suche nach allen Zeichen, die nicht zur Zeichengruppe gehören.“Folglich bedeutet [^A-Z]: „Suche nach allen Zeichen, die keine Großbuchstaben sind.“Hingegen bedeutet [^a-z]: „Suche nach allen Zeichen, die keine Kleinbuchstaben sind.“Das Ergebnis:Das Muster bedeutet, dass nach allen Zeichen gesucht wird, die keine Großbuchstaben oder Kleinbuchstaben sind.Eingeschlossen sind Ziffern, Satzzeichen und andere seltsame Zeichen, die Sie auf Ihrer Tastatur finden.
Allerdings hätte auch für die IgnoreCase-Eigenschaft der Wert „True“ festgelegt werden können:
objRegEx.IgnoreCase = True
In diesem Fall würde bei der Suche die Groß-/Kleinschreibung ignoriert.Sie könnten dann dieses Muster verwenden, das (in Kombination mit der IgnoreCase-Eigenschaft) nach allen Zeichen sucht, die keine Groß- oder Kleinbuchstaben sind:
objRegEx.Pattern = "[^A-Z]"

Stellen Sie sicher, dass eine Teilenummer gültig ist
Lassen wir nun unsere Fantasie ein bisschen spielen.(Mit regulären Ausdrücken lassen sich wirklich viele ausgefallene Sachen anstellen. Einige Beispiele finden Sie auf der Website regexlib.com.)An früherer Stelle in diesem Artikel stellten wurde etwa Folgendes festgestellt:Angenommen es handelt sich bei strName um eine neue Teilenummer, und Teilenummern müssen einem vorgegebenen Muster entsprechen:vier Ziffern, gefolgt von zwei Großbuchstaben (z. B. 1234AB).Wie können Sie nun überprüfen, ob eine Variable diesem Muster entspricht?Natürlich folgendermaßen:
objRegEx.Pattern = "^\d{4}[A-Z]{2}"
Was bedeutet dieses Muster?Was für ein Zufall:Gerade wollten wir die Bedeutung dieses Musters erklären.In diesem Fall gibt es drei Kriterien für die Suche:
^\d{4}
Das \d bedeutet, dass nach Ziffern gesucht wird (Zeichen im Bereich von 0 bis 9).Was bedeutet {4}?Es bedeutet, dass eine Übereinstimmung mit genau vier der Zeichen gewünscht wird (das heißt, genau vier Ziffern).Folglich suchen Sie nach vier aufeinander folgenden Ziffern.
Und was hat es mit dem Zeichen ^ auf sich?Befindet es sich außerhalb eines Paars eckiger Klammern, weist das ^ darauf hin, dass der Wert mit dem folgenden Muster beginnen muss. Das bedeutet, dass AA1234AB nicht als Treffer angezeigt wird.(Warum?Weil der Wert mit AA beginnt, nicht mit vier aufeinander folgenden Ziffern.)Wenn Sie wollten, könnten Sie mit dem Zeichen $ angeben, dass die Übereinstimmung am Ende der Zeichenfolge auftreten muss.Aber das ist hier nicht erforderlich.(Zumindest nicht in diesem Beispiel.)
[A-Z]{2}
Sie kennen bereits die Bedeutung der Komponente [A-Z]. Sie steht für einen beliebigen Großbuchstaben.Und die {2}?Ganz genau:Den vier Ziffern müssen genau zwei Großbuchstaben folgen.
Ziemlich einfach, oder?Übrigens: Wenn der Wert der Count-Eigenschaft in diesem Fall 0 beträgt, haben Sie es mit einem ungültigen Wert zu tun.Warum?Diesmal suchen Sie nicht nach einem einzelnen Zeichen, das die Zeichenfolge ungültig machen würde, sondern nach einer genauen Musterübereinstimmung.Wenn keine Übereinstimmung gefunden wird, bedeutet das, der Wert ist ungültig.Außerdem bedeutet es, dass der Wert der Count-Eigenschaft gleich 0 ist.
Hinweis:Zwei weitere nützliche Konstruktionen sind diese:{3,} und {3,7}.Die {3,} bedeutet, es muss mindestens 3 aufeinander folgende Zeichen (oder Ausdrücke) geben. Festgelegt ist jedoch nur das Minimum, nicht das Maximum.Mit \d{3,} ergeben sich Übereinstimmungen mit 123, 1234 und 123456789. Der Ausdruck {3,7} bedeutet, es müssen mindestens 3 aufeinander folgende Zeichen (oder Ausdrücke) vorhanden sein, das Maximum beträgt jedoch 7. Folglich besteht Übereinstimmung mit 123456, mit 123456789 hingegen nicht (mehr als 7 aufeinander folgende Ziffern).
Hier ist ein weiteres nützliches Muster.Angenommen Ihre Teilenummer beginnt mit 4 Ziffern, gefolgt von den Buchstaben US, gefolgt von zwei abschließenden Zeichen (Buchstaben oder Ziffern oder Zeichen anderer Art).Eine Möglichkeit, Übereinstimmungen zu finden, ist folgende:
objRegEx.Pattern = "^\d{4}US.."
Wie Sie sehen, beginnt dieses Muster mit vier Ziffern (\d), denen die Zeichen US (und nur die Zeichen US, mit allen anderen wird keine Übereinstimmung gefunden) folgen müssen.Auf die Zeichen US müssen zwei weitere Zeichen folgen.Wie kennzeichnen Sie in einem regulären Ausdruck ein beliebiges Zeichen?Moment mal, das wissen wir:Ein beliebiges einzelnes Zeichen wird durch einen Punkt (.) gekennzeichnet.Daraus folgt, dass zwei Zeichen durch zwei Punkte gekennzeichnet werden können:
..
OK, das war einfach.Jetzt wird es ein wenig schwieriger.Angenommen diese beiden internen Zeichen geben das Land an, in dem das Teil hergestellt wurde.Wenn es Produktionsanlagen in den USA, in Großbritannien und Spanien gibt, ist jeder der folgenden Zeichencodes aus zwei Buchstaben gültig:US, UK, ES.Wie in aller Welt lässt sich ein Multiple-Choice-Element in einem regulären Ausdruck unterbringen?
Zum Beispiel so:
objRegEx.Pattern = "^\d{4}(US|UK|ES).."
Der Schlüssel ist diese kleine Konstruktion:(US|UK|ES).Die drei akzeptablen Werte (US, UK und ES) wurden in Klammern gesetzt und dabei die einzelnen Werte durch einen senkrechten Strich (|) voneinander getrennt.So funktioniert Multiple Choice in regulären Ausdrücken.
Doch halt:Haben wir nicht gesagt, dass Sie mehrere Optionen in eckige Klammern setzen können?War das nicht der Sinn der Konstruktion [13579]?Stimmt.Das funktioniert jedoch nur bei einzelnen Zeichen. [13579] wird immer als 1, 3, 5, 7 und 9 interpretiert. Wenn Sie 135 und 79 als Optionen verwenden möchten, müssen Sie folgende Syntax verwenden:(135|79). Sie können ein einzelnes Wort, nach dem gesucht werden soll, auch mit Klammern abgrenzen:
objRegEx.Pattern = "(scripting)"
Alternativ lassen Sie die Klammern weg:
objRegEx.Pattern = "scripting"
Hinweis:OK, das ist nützlich. Was aber passiert, wenn die Klammern als Teil des Suchbegriffs eingegeben werden müssen, wenn Sie z. B. nach (scripting) suchen wollen?Es passiert Folgendes: Da die offenen und die geschlossenen Klammern in regulären Ausdrücken als reservierte Zeichen fungieren, müssen Sie jedem Zeichen ein \ voranstellen.Anders ausgedrückt:
objRegEx.Pattern = "\(scripting\)"

Freiheit des Ausdrucks
Das war schon alles für diesen Monat.Wenn Sie mehr über reguläre Ausdrücke erfahren möchten, werfen Sie einen Blick auf den Webcast „Zeichenfolgentheorie für Systemadministratoren:Eine Einführung in reguläre Ausdrücke“ (microsoft.com/technet/scriptcenter/webcasts/archive.mspx).Während Sie sich mit regulären Ausdrücken vertraut machen und diese anwenden, sollten Sie sich die folgenden unvergesslichen Worte von Sophia Loren ins Gedächtnis rufen:„Fehler sind ein Teil dessen, was man für ein erfülltes Leben bezahlt.“
Unglaublich.Da haben die Scripting Guys doch tatsächlich ein erfülltes Leben!

Der Scripting Perplexer von Dr. Scripto
Die monatliche Herausforderung, die nicht nur Ihr Talent zum Rätsellösen testet, sondern auch Ihre Skriptingfähigkeiten.

Januar 2008:Wickeln von Nomen
In diesem Monat hat Dr. Scripto beschlossen, mit Windows PowerShell zu arbeiten.Selbstverständlich können Sie mit Windows PowerShell nicht arbeiten, ohne Cmdlets zu verwenden – jedenfalls nicht, wenn Sie es richtig machen wollen (und Dr. Scripto macht immer alles richtig).Für dieses Rätsel hat Dr. Scripto einige Cmdlets um ein Raster gewickelt, und Sie müssen sie finden.
Wir geben zu, dass dieses Rätsel noch ein wenig verwirrender wäre, wenn das ganze Cmdlet verwendet würde.Wegen der Verb-Nomen-Konstruktion von Cmdlets gibt es Dutzende, die mit „Get-“, „Set-“ usw. beginnen.Daher wurde der Verbteil des Cmdlets (und der Bindestrich) weggelassen, sodass nur die Nomen verbleiben.(Wir verraten Ihnen jedoch, dass das Verb in allen Cmdlets „Get-“ lautete.)
Ihre Aufgabe in diesem Monat besteht darin, die Cmdlet-Nomen abzuwickeln.Die Liste der Nomen, die sich im Rätsel verbergen, stellen wir bereit.(Sind wir nicht großzügig?)Jedes Wort kann senkrecht und waagerecht sowie vorwärts und rückwärts gewickelt werden, nicht jedoch diagonal.Das erste Wort (Location) erhalten Sie als Beispiel.Viel Glück!

Wortliste
Alias
ChildItem
Credential
Date
EventLog
ExecutionPolicy
Location
Member
PSSnapin
TraceSource
Unique
Variable
WMIObject

Der Scripting Perplexer von Dr. Scripto
Antwort:Wickeln von Nomen, Januar 2008

Die Scripting Guys von MicrosoftDie Scripting Guys von Microsoft arbeiten für Microsoft (oder sind zumindest dort angestellt).Wenn sie nicht gerade ihrem Hobby, dem Baseball (oder verschiedenen anderen Aktivitäten) nachgehen, betreiben sie das TechNet-Skriptcenter.Besuchen Sie es unter www.scriptingguys.com.


 Sicherheit auf dem Pr&#252;fstand: Inselspringen:Die ansteckende Verlockung von Werbegeschenken
Sicherheit auf dem Prüfstand
Inselspringen:Die ansteckende Verlockung von Werbegeschenken
Jesper M. Johansson

Die Methode des so genannten Inselspringens (Island Hopping) – das Eindringen in ein Netzwerk durch eine Schwachstelle und das weitere Angreifen von Systemen innerhalb dieses Netzwerks – ist seit Jahren bekannt.Doch sie nimmt fortwährend neue Dimensionen an.In den heutigen sicherheitsbewussten IT-Umgebungen ist der Mensch oft die größte Schwachstelle, und böswillige Benutzer
finden Möglichkeiten, dies zu ihrem Vorteil auszunutzen (denken Sie nur an Phishing und andere Formen des Social Engineering).Diese Kombination aus Mensch und Maschine kann sich für Ihr Netzwerk als verhängnisvoll erweisen.
Eine meiner Lieblingsimplementierungen, die das menschliche Element nutzt, wurde von Steve Stasiukonis von Secure Network Technologies während eines Penetrationstests für einen Kunden durchgeführt.Er verteilte USB-Flashlaufwerke, auf denen ein Trojaner installiert war, auf dem Parkplatz des Kunden.Die Mitarbeiter, die am Morgen zur Arbeit eintrafen, freuten sich über die kostenlosen Geräte, die auf dem Parkplatz herumlagen.Sie sammelten die USB-Laufwerke auf und schlossen sie an den ersten Computer an, den sie finden konnten:die eigene Arbeitsstation.
Einige Mitarbeiter waren vielleicht klug genug, um die USB-Laufwerke zu ignorieren oder wegzuwerfen, aber es war ja nur ein einziger Benutzer erforderlich, der sein eigenes System infizierte und damit ein Gateway ins Netzwerk bereitstellte.Stasiukonis führt das Ganze natürlich nur als Test durch, aber diese Methode wurde auch schon von Kriminellen eingesetzt, um in große Unternehmensnetzwerke einzudringen.
USB-Flashlaufwerke sind heute überall anzutreffen.Auf fast jeder Konferenz verteilen einige Anbieter sie wie Süßigkeiten.Diese Laufwerke haben möglicherweise nur geringe Kapazität, aber es ist nicht viel Speicherplatz erforderlich, um die Kontrolle über ein ganzes Netzwerk zu erhalten.In dieser zweiteiligen Reihe werden Angriffe dieser Art untersucht und Möglichkeiten zur Risikominderung aufgezeigt.Im Artikel dieses Monats wird erläutert, was mit USB-Flashlaufwerken möglich ist und welche Maßnahmen Sie zu ihrer Kontrolle einsetzen können.In der nächsten Ausgabe des TechNet Magazins erfahren Sie, wie Sie einen Angriff auf ein einzelnes System oder eine kleine Anzahl von Systemen im Netzwerk begrenzen können.
Die technischen Einzelheiten des Angriffs sind im Grunde recht einfach.Alles beginnt mit einem infizierten USB-Flashlaufwerk, das an einen einzelnen Computer angeschlossen wird.Was dann geschieht, hängt von der Nutzlast auf dem Laufwerk und natürlich von der Leichtgläubigkeit des Benutzers ab.

So fing alles an
Auf dem Podium befand sich ein unbeaufsichtigter Laptop.Der Referent war vor Beginn seiner Präsentation damit beschäftigt, sich dem Publikum vorzustellen.Der Laptop war gesperrt, aber das spielte kaum eine Rolle.Der Angreifer schlenderte zum Podium, und es entstand der Eindruck, er warte auf die Rückkehr des Referenten.Da Podien hässliche Gegenstände wie Computer möglichst verbergen sollen, waren die USB-Ports und die Hände des Angreifers vor Beobachtung geschützt.Als das USB-Flashlaufwerk erst einmal an den Computer angeschlossen war, dauerte der eigentliche Angriff nur wenige Sekunden.
Es gibt zu diesem bestimmten Thema natürlich eine Reihe von Variationen.Als ich noch in der Welt umherreiste und jede Woche Präsentationen hielt, baten mich anschließend fast jedes Mal einige Zuhörer um eine Kopie meiner Folien.Ich überreichte ihnen immer eine Visitenkarte und bat sie, mir eine E-Mail-Nachricht zu senden.Warum ich das tat, wenn alle mir eifrig ein USB-Flashlaufwerk anboten?Weil ich Tools wie USB Hacksaw und Switchblade kenne.(Wenn Sie damit nicht vertraut sind, finden Sie Informationen unter wiki.hak5.org.)
Mithilfe dieser Tools kann praktisch jeder die Unvorsicht von Benutzern ausnutzen, die ihre USB-Ports nicht schützen.Switchblade beispielsweise kann Folgendes abrufen:
  • Systeminformationen
  • Alle Netzwerkdienste
  • Eine Liste der Ports, die Abfragen durchführen
  • Alle Produktschlüssel der auf dem Computer installierten Microsoft-Produkte
  • Die lokale Kennwortdatenbank
  • Das Kennwort aller Drahtlosnetzwerke, die der Computer verwendet
  • Alle Netzwerkkennwörter, die der derzeit angemeldete Benutzer auf dem Computer gespeichert hat
  • Internet Explorer®-, Messenger-, Firefox- und E-Mail-Kennwörter
  • Geheiminformationen der lokalen Sicherheitsautorität (Local Security Authority, LSA), die alle Kennwörter der Dienstkonten in Klartext enthalten
  • Eine Liste installierter Patches
  • Eine Liste der aktuell besuchten Websites
Dies alles wird in einer Protokolldatei auf dem Flashlaufwerk gespeichert, was ungefähr 45 Sekunden dauert.
Hacksaw ist eine leicht abgeänderte Version. Das Tool installiert einen Trojaner auf dem Computer, der überwacht, wann ein USB-Flashlaufwerk angeschlossen wird.Dann sendet es alle Dokumente von allen Flashlaufwerken, die anschließend an den Computer angeschlossen werden, per E-Mail an den Angreifer.
Die bisher erörterten Tools verwenden U3 (u3.com), eine Technologie, die es Benutzern ermöglichen soll, Programme auf einem Flashlaufwerk mit sich zu tragen.Im Prinzip verbreitet ein U3-aktiviertes Flashlaufwerk Lügen über sich.Es teilt dem Betriebssystem mit, dass es sich um einen USB-Hub mit einem Flashlaufwerk und einer angeschlossenen CD handelt.Windows®-Versionen vor Windows Vista® führen standardmäßig automatisch Programme aus, die in der autorun.inf-Datei auf CDs angegeben sind, nehmen dies aber nicht bei USB-Laufwerken vor.Das U3-aktivierte USB-Flashlaufwerk verleitet das Betriebssystem nun dazu, das so genannte U3-Startprogramm automatisch auszuführen.Das U3-Startprogramm wiederum kann Programme starten, Ihnen ein Menü bieten oder so ziemlich alles vornehmen was Sie selbst mit dem Computer tun könnten.
Die Exploittools ersetzen praktisch nur das Startprogramm durch den Angreifercode.Sobald das Flashlaufwerk an ein Windows XP-System angeschlossen wird, kommt es zur automatischen Ausführung des Exploittools.Bei Windows Vista verläuft der Entscheidungsfluss bei der automatischen Wiedergabe anders.Die automatische Wiedergabe wird nämlich genau wie bei CDs auf Wechseldatenträgern aktiviert.Das heißt, es passiert etwas, wenn das Gerät angeschlossen wird.Standardmäßig wird das Dialogfeld für die automatische Wiedergabe angezeigt, wie in Abbildung 1 dargestellt.
Abbildung 1 Das Standarddialogfeld für die automatische Wiedergabe wird angezeigt, wenn ein Benutzer einen austauschbaren Datenträger mit Bildern anschließt.
Abbildung 1 Das Standarddialogfeld für die automatische Wiedergabe wird angezeigt, wenn ein Benutzer einen austauschbaren Datenträger mit Bildern anschließt.
Beachten Sie, dass das Dialogfeld in Abbildung 1 die Option „Always do this for pictures“ (Immer bei Bildern durchführen) aufweist.Damit wird eine Option für die automatische Wiedergabe festgelegt, die in der Systemsteuerung konfiguriert werden kann, wie in Abbildung 2 dargestellt.
Abbildung 2 Konfiguration für die automatische Wiedergabe in Windows Vista
Abbildung 2 Konfiguration für die automatische Wiedergabe in Windows Vista
Die Konfiguration für die automatische Wiedergabe ist besonders interessant für „Software und Spiele“.Definitionsgemäß bedeutet dies, dass auf dem austauschbaren Datenträger eine autorun.inf-Datei vorhanden ist, die ein auszuführendes Programm angibt.Die Einstellungen in Abbildung 2, die sich auf „Software und Spiele“ beziehen, sind im folgenden Registrierungsschlüssel gespeichert:
Hive:    HKEY_CURRENT_USER
Key:    \Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\
UserChosenExecuteHandlers\AutorunINFLegacyArrival
Value: (Default)
Data:
MSAutoRun – automatically executes the program specified in the autorun.inf file

MSPromptEachTime – prompts the user, using strings specified in the autorun.inf file, if available
Da Sie nicht über Administratorrechte verfügen müssen, um diese Einstellungen zu ändern, können Benutzer sie nach Belieben festlegen und auch automatisch Malware ausführen lassen, die sich auf dem Laufwerk vom Parkplatz befindet.Dazu muss nur das entsprechende Kontrollkästchen im Dialogfeld für die automatische Wiedergabe markiert werden.

Die Verwaltung der automatischen Wiedergabe in Ihrem Netzwerk
Als Administrator haben Sie einige Möglichkeiten zum Verwalten der automatischen Wiedergabe in Ihrem Netzwerk.Zum einen können Sie verhindern, dass Benutzer die automatische Wiedergabe auf Wechselmedien und CDs aktivieren, indem Sie die NoDriveTypeAutoRun-Einstellung ändern. Diese Einstellung steuert, für welche Laufwerktypen die automatische Wiedergabe aktiviert ist.Bei Windows XP war NoDriveTypeAutoRun standardmäßig auf 0x95 eingestellt, wodurch die automatische Wiedergabe auf unbekannten Laufwerktypen, Netzwerklaufwerken und Wechseldatenträgern deaktiviert ist.Ab Windows XP SP2 ist die NoDriveTypeAutoRun-Einstellung standardmäßig auf 0x91 konfiguriert.Dadurch wird die automatische Wiedergabe auf Wechselspeichermedien aktiviert.Bei Verwenden der Gruppenrichtlinie gibt es eine Einstellung unter Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Richtlinien für die automatische Wiedergabe, mit deren Hilfe Sie die NoDriveTypeAutoRun-Einstellung verwalten können.Beim Aktivieren von „Turn off AutoPlay setting and select CD-ROM and Removable Drives“ (Automatische Wiedergabe deaktivieren und CD-ROM und austauschbaren Datenträger auswählen) wird die automatische Wiedergabe bei beiden Laufwerktypen deaktiviert.
In diesem Fall wird dem Benutzer jedoch nicht das Dialogfeld für die automatische Wiedergabe in Abbildung 1 angezeigt.Eigentlich geschieht überhaupt nichts, wenn der Benutzer das Laufwerk anschließt.Das dürfte jedoch keine ideale Lösung sein, da dies den Benutzer verwirren könnte, der sich nun nicht sicher ist, wie er auf die gewünschten Informationen auf dem Laufwerk zugreifen kann.
Es ist wahrscheinlich eher angebracht, die Art der Inhalte zu steuern, die automatisch wiedergegeben werden können.Dies ist bei Windows Vista in gewissem Umfang möglich, da dieses Betriebssystem praktisch über zwei Steuerungsmöglichkeiten für die automatische Wiedergabe von Software verfügt.Ein weiteres Steuerelement in der Gruppenrichtlinie, das in Abbildung 3 dargestellt ist, ermöglicht die Deaktivierung der automatischen Wiedergabe von Software, die autorun.inf-Dateien verwendet, und zwar ohne Auswirkungen auf das übrige Windows Vista-Verhalten bei der automatischen Wiedergabe.
Abbildung 3 Deaktivieren von autorun.inf-Dateien mithilfe der Gruppenrichtlinie
Abbildung 3 Deaktivieren von autorun.inf-Dateien mithilfe der Gruppenrichtlinie
Der Entscheidungsfluss bei der automatischen Wiedergabe ist etwas kompliziert. Er lässt sich wahrscheinlich am einfachsten mit einem Flussdiagramm darstellen.Abbildung 4 zeigt den Entscheidungsfluss, über den festgelegt wird, ob eine Datei auf Wechselmedien automatisch ausgeführt werden soll.
Abbildung 4 Der Entscheidungsfluss für die automatische Wiedergabe
Abbildung 4 Der Entscheidungsfluss für die automatische Wiedergabe

Andere Ansätze
Selbstverständlich sind diese nur einige Tools, die für Angriffe auf Computer mithilfe eines USB-Flashlaufwerks verwendet werden können.In dieses Szenario lassen sich eine Vielzahl anderer möglicher Tools einbringen, beispielsweise ein Tool, das ein Abbild des Windows NT®-Kennworthash des derzeit angemeldeten Benutzers erstellt (siehe microsoft.com/technet/community/columns/secmgmt/sm1005.mspx).
Bei vielen USB-Controllern handelt es sich eigentlich um Geräte für den direkten Speicherzugriff (Direct Memory Access, DMA).Dies bedeutet, dass sie das Betriebssystem umgehen und direkt Lese-und Schreibvorgänge im Speicher des Computers durchführen können.Beim Umgehen des Betriebssystems werden die von ihm bereitgestellten Sicherheitseinrichtungen umgangen. Sie haben nun vollständigen und ungehinderten Zugriff auf die Hardware.Damit wird die vom Betriebssystem implementierte Gerätesteuerung völlig unwirksam.Ich kenne keine Hackertools, bei denen diese Methode derzeit verwendet wird, bezweifle aber sehr, dass dies noch nie der Fall war.
Eine weitere Möglichkeit zum Ausnutzen der Kombination Benutzer/Wechseldatenträger besteht in der Anzeige einer verlockenden Option.Wie viele Benutzer würden wohl auf den Dialog in Abbildung 5 klicken?Nicht alle, aber wahrscheinlich viele.Es dürfte eine recht einfache Aufgabe sein, sich ein äußerst verführerisches Dialogfeld auszudenken, dass der Benutzer einfach nicht ignorieren kann.
Abbildung 5 Wie viele Benutzer würden wohl darauf hereinfallen?
Abbildung 5 Wie viele Benutzer würden wohl darauf hereinfallen?

Das Blockieren von Geräten
Als neue Funktion in Windows Vista verfügt die Gruppenrichtlinie jetzt über einen Richtliniensatz zum Steuern der Geräteinstallation (siehe Abbildung 6).Wie bereits erläutert, kann der Administrator alle neuen Wechselmedien blockieren, sodass sie bei Angabe durch den Treiber, dass sie austauschbar sind, nicht installiert werden.Wenn der Treiber angibt, dass sie es nicht sind, kommt die Richtlinie nicht zum Tragen.Folglich kann diese Richtlinie mithilfe von benutzerdefinierten Treibern umgangen werden.
Abbildung 6 Windows Vista-Richtlinien für die Geräteinstallation
Abbildung 6 Windows Vista-Richtlinien für die Geräteinstallation
Für eine präzisere Steuerung kann der Administrator die Richtlinien so verwenden, dass sie sich auf bestimmte Gerätesetupklassen auswirken.Dazu müssen Sie jedoch die GUID der betreffenden Geräteklasse kennen, die Sie blockieren (oder zulassen) möchten, was diesen Ansatz beträchtlich erschwert.

Das Prinzip der geringsten Rechte spielt eine wichtige Rolle
Wenn Sie das DMA-Szenario einen Moment außer Acht lassen, hängt der Erfolg der erläuterten Angriffe sowie der Erfolg der Gegenmaßnahmen von den Rechten des Benutzers ab, der den Computer verwendet.Bei einem Standardbenutzer ist der Schaden durch einen Exploit begrenzt.Die Daten des betreffenden Benutzers und alles, auf das der Benutzer Zugriff hat, können zwar gestohlen werden,doch der Angriff dürfte sich nicht auf das Netzwerk insgesamt auswirken.
Wenn es sich bei dem betreffenden Benutzer jedoch um einen Administrator handelt, können die Folgen insgesamt viel schlimmer sein.Schlimmstenfalls ist der Benutzer ein Domänenadministrator, sodass die Übernahme des ganzen Netzwerks einfach wäre.Der Angreifer könnte beispielsweise den Kennworthash des Benutzers aus dem Speicher extrahieren.Das System speichert den Hash bei der Anmeldung im LSA-Prozessbereich, sodass er verwendet werden kann, um im Namen des Benutzers transparent auf Netzwerkressourcen zuzugreifen.Ein Angreifer mit Administratorrechten kann diesen Hash extrahieren und damit auf alle Netzwerkressourcen zugreifen.Das heißt, wenn es sich bei dem Benutzer um einen Domänenadministrator handelt, ist die ganze Domäne betroffen.
Dies führt mich zum Thema Abhängigkeiten.Bisher wurde ein bestimmter Angriff auf Arbeitsstationen erläutert.Es wurde jedoch noch nicht untersucht, wozu der Angriff bei einem Netzwerk führen kann.Im Artikel des nächsten Monats wird das Konzept der Abhängigkeiten untersucht. Sie erfahren, welchen Stellenwert sie in einer Umgebung einnehmen und vor allem, was Sie zur Absicherung dieser Abhängigkeiten tun können.

Jesper M. Johansson ist Security Engineer, der an Problemen mit der Softwaresicherheit arbeitet und redaktionelle Beiträge für das TechNet Magazin schreibt.Er verfügt über einen PhD in MIS und kann auf mehr als 20 Jahre Erfahrung im Bereich Computersicherheit zurückblicken.


 Die Desktopdateien: Freigegebene Computer mit Windows SteadyState
Die Desktopdateien
Freigegebene Computer mit Windows SteadyState
Wes Miller

Wenn Sie sich in den letzten 10 Jahren auch nur in der Nähe einer Computertestumgebung aufgehalten haben, sind Sie mit diesem Problem vertraut.Ich wurde damit zum ersten Mal während des Studiums konfrontiert.Damals waren Testumgebungen jederzeit (mit dem Studentenausweis) zugänglich und praktisch unbeaufsichtigt, wenn man die Bibliothek erst einmal betreten hatte.Die Spielefans unter den Studenten in dieser Ära
nahmen Änderungen an den wichtigen Windows®- und MS-DOS®-Dateien vor, um ihre Spiele ausführen zu können.Das Ergebnis? Ein Computer, auf dem das betreffende Spiel gut ausgeführt wurde, Windows jedoch nicht besonders gut, wenn überhaupt.Wir haben dies alle irgendwann einmal erlebt – freigegebene Computer, an denen so viele Änderungen vorgenommen wurden, dass eine weitere Verwendung reinste Zeitverschwendung wäre.
Kürzlich habe ich hier in Texas auf South Padre Island Urlaub gemacht.Mein Hotel hatte drei Computer in einem „Computerraum für Gäste“, auf denen Windows XP ausgeführt wurde.Jeder, der diese Windows-Systeme nutzte, war Administrator, und es waren keine Richtlinien vorhanden, sodass die armen Computer von Besuchern, die schädliche Software installiert und Kernanwendungen entfernt oder geändert hatten, ziemlich malträtiert worden waren. Das war vom Hotel sicherlich nicht so beabsichtigt.Freigegebene Computer in einer öffentlichen Umgebung (egal, ob sie sich in einer Testumgebung oder in einem Hotel befinden), müssen oft viel ertragen – mehr noch als so mancher Heimcomputer.

Lösungen für das Problem
Herunterladen und Verwenden von SteadyState
Windows SteadyState steht als kostenloser Download unter go.microsoft.com/fwlink/?LinkId=104721 zur Verfügung.Weitere Informationen zu SteadyState erhalten Sie unter microsoft.com/windows/products/winfamily/sharedaccess.
Windows SteadyState kann auf jedem System ausgeführt werden, auf dem Windows XP ausgeführt werden kann.Die bedeutendste Verbesserung gegenüber dem SCT besteht darin, dass SteadyState keine zweite Partition wie das SCT braucht, um als Windows-Datenträgerschutz zu funktionieren.
Die folgende Tabelle bietet einen Überblick über die Systemanforderungen für SteadyState.Beachten Sie, dass für SteadyState kein NTFS-formatiertes Dateisystem erforderlich ist, obwohl alle Versionen von Windows XP unterstützt werden.SteadyState funktioniert derzeit nicht mit Windows Vista®.

Komponente | Anforderung
Prozessor | 300 MHz oder höher (mindestens 233 MHz).
Speicher | 128 MB RAM oder höher (mindestens 64 MB, kann die Leistung und einige Features einschränken).
Festplatte | Mindestens 1,5 GB verfügbarer Festplattenspeicher ohne Windows Disk Protection oder mindestens 4,0 GB verfügbarer Festplattenspeicher mit Windows Disk Protection.
Betriebssystem | Windows XP Home Edition, Windows XP Professional oder Windows XP Tablet PC Edition.Windows XP SP2 muss installiert werden.
Unterstützte lokalisierte Sprachen | Englisch, Niederländisch, Französisch, Italienisch, Japanisch, Portugiesisch (Brasilien), Chinesisch (vereinfacht) und Spanisch.
Dateisystem | NTFS-formatiertes Dateisystem.
Zugriff | Zugriff auf Administratorebene.

Wenn Sie meine Rubrik im vergangenen Jahr gelesen haben oder mit der Windows-Bereitstellung im Allgemeinen vertraut sind, denken Sie vielleicht: „Kein Problem, ich erstelle einfach ein neues Abbild der Systeme.“Doch wer dies schon einmal ausführen musste, weiß genau, dass es nicht immer so einfach ist.Das tägliche oder wöchentliche Klicken der großen roten Schaltfläche zur Neuerstellung eines Abbilds bringt es einfach nicht.
Vor einigen Jahren überlegten ein Freund und ich, ob wir ein Cybercafé eröffnen sollten.Man schrieb das Jahr 1995, als dies noch eine ungewöhnliche Idee war.Meine größte Sorge galt der Sicherstellung von Systemzuverlässigkeit und Verfügbarkeit.Leider bestanden die Optionen damals größtenteils in der Neuerstellung eines Abbilds oder geringfügig stabileren Lösungen. Es gab praktisch keine Plug & Play-Lösungen für dieses Problem.
Beim Sichern freigegebener Computer sollten Sie die folgenden Punkte beachten:
  • Stellen Sie sicher, dass Benutzer nur als Nichtadministratoren ausgeführt werden.Dies sollte bei freigegebenen Computern immer der Fall sein.
  • Stellen Sie eine Richtlinie auf, damit die Systeme möglichst sicher sind.Dadurch besteht nur geringes Potenzial, dass Benutzer Systembereiche manipulieren können, auf die sie keinen Zugriff haben sollten.
  • Sie sollten in der Lage sein, zufällige, von Benutzern durchgeführte Änderungen zurückzusetzen.Selbst wenn Benutzer als Nichtadministratoren ausgeführt werden, können sie dennoch schädliche Änderungen an Menüs, Favoriten und so weiter vornehmen.
Glücklicherweise arbeitet Microsoft seit mehreren Jahren an einem Toolset, das bei diesem Szenario helfen soll.

Die Geschichte von SteadyState
Vor etwa einem Jahr veröffentlichte Microsoft das Windows Shared Computing Toolkit (SCT).Das als kostenloser Download für verifizierte Windows Genuine Advantage-Systeme verfügbare Toolkit wurde speziell für Bibliotheken, Cybercafés, Testumgebungen und andere freigegebene Computerumgebungen entwickelt.Vielleicht haben Sie den Artikel über das SCT in der Ausgabe des TechNet Magazins vom Juli 2006 (technetmagazine.com/issues/2006/07/UtilitySpotlight) gesehen.
Eine neue Version, die jetzt in Windows SteadyStateTM umbenannt wurde (microsoft.com/windows/products/winfamily/sharedaccess), wurde im Juni 2007 ausgeliefert. Die neue Version wurde zum Teil deswegen umbenannt, weil sich das Toolset in den unterschiedlichen Versionen erheblich geändert hatte.Es führt noch immer dieselben Aufgaben durch, auf die gleich näher eingegangen wird, doch für das Team stand bei der neuesten Veröffentlichung die Benutzerfreundlichkeit insgesamt im Mittelpunkt.Daher ist SteadyState eng in eine neue Konsole integriert und lässt sich leichter installieren und verwalten.Es ist leistungsfähiger und flexibler und unterstützt Active Directory®-Integration für eine seiner Hauptkomponenten, sodass es in einer Reihe völlig neuer Unternehmensszenarios über mehr Flexibilität verfügt.Jetzt wird auch die Windows Update-Integration unterstützt, sodass SteadyState weiß, wann Windows Disk Protection ausgeschaltet werden muss, um eigenständig Updates anzuwenden.Dies verringert den Verwaltungsaufwand, der für mit SteadyState verwaltete Systeme angesetzt werden muss.

Features von SteadyState
Windows SteadyState besteht aus vier Hauptkomponenten:„Computer Restrictions“ (Computereinschränkungen) sperrt Sicherheits- und Konfigurationsoptionen pro Computer, „Windows Disk Protection“ (Windows-Datenträgerschutz) speichert Änderungen an der Windows-Systempartition im Cache (und setzt sie zurück), „User Account Manager“ (Benutzerkontenverwaltung) erstellt, bearbeitet, importiert oder exportiert einen Benutzer und „User Restrictions and Settings“ (Benutzereinschränkungen und -einstellungen) schließlich sperrt die Sicherheits- und Konfigurationsoptionen für Einzelbenutzer.
Eine sofortige Verbesserung, die Ihnen gegenüber dem Shared Computing Toolkit auffallen wird, ist die Benutzerhilfe.Ein Starthandbuch hilft Ihnen, SteadyState in den betriebsbereiten Zustand zu bringen.Dann bietet SteadyState vier Hauptaufgaben (sie entsprechen den vorstehend genannten Hauptfeatures):
  • Einrichten von Computereinschränkungen (Computer Restrictions).
  • Planen von Softwareupdates.(Hier können Sie angeben, ob SteadyState automatisch Windows Update anwenden soll.Dies wird empfohlen, da Sie sich dann nicht selbst um Windows Disk Protection kümmern müssen. Zudem werden die Signaturen mehrerer populärer Antivirusprogramme aktualisiert.)
  • Schützen der Festplatte (Windows Disk Protection).
  • Hinzufügen eines Benutzers (User Account Manager).
In der Benutzerkontenverwaltung finden Sie Benutzereinschränkungen und Einstellungen, die Ihnen eine Konfigurationsoption für Einzelbenutzer bieten.

Computer- und Benutzereinschränkungen und Einstellungen
Wenn Sie mit den Windows-Gruppenrichtlinien vertraut sind, kennen Sie die Aspekte von SteadyState wie das Festlegen von Computer- und Benutzereinschränkungen und Einstellungen bereits.Statt durchzusetzen, dass SteadyState-Administratoren den Gruppenrichtlinienobjekt-Editor (GPEdit.msc) verwenden, der unter Windows XP Home Edition kein verfügbares Feature ist (obwohl SteadyState unterstützt wird), bietet SteadyState mehrere wichtige Sicherheits- und Konfigurationsoptionen, die in freigegebenen Computerszenarios häufig vorkommen.
Abbildung 1 zeigt den Konfigurationsbildschirm zum Festlegen der Computereinschränkungen.Beachten Sie, dass es sich um allgemeine Einstellungen handelt, die auf den ganzen Computer angewendet werden.Diese Einstellungen werden hauptsächlich ausgewählt, um die Sicherheitsrisiken für das System zu minimieren – und im Fall von USB-Laufwerkzugriff, die Möglichkeit, etwas aus dem System zu entfernen.(Wenn Sie sich die Einzelbenutzereinstellungen ansehen, wird Ihnen eine Möglichkeit auffallen, den Lesezugriff auf einige oder alle Laufwerke zu sperren.)
Abbildung 1 Computereinschränkungen in SteadyState
Abbildung 1 Computereinschränkungen in SteadyState
Beachten Sie, dass die USB-Einstellung nur dann aktiv ist, wenn sie unter der eigentlichen Windows-Installation ausgeführt wird, in der SteadyState konfiguriert ist.Zum Schutz vor Offlineangriffen sollten Sie das BIOS richtig konfigurieren, um den Systemstart von USB- oder CD-Geräten aus zu sperren, und das BIOS selbst mit einem Kennwort schützen.
Selbstverständlich bietet dies keine absolute Sicherheit.Denken Sie an das dritte Gesetz der “10 unveränderlichen Gesetze zur Sicherheit“ (microsoft.com/technet/archive/community/columns/security/essays/10imlaws.mspx):„Falls ein Angreifer uneingeschränkten physischen Zugriff auf Ihren Computer hat, gehört der Computer nicht mehr Ihnen.“Mit entsprechendem Einsatz, ausreichend Zeit und den richtigen Tools kann es oft gelingen, ein BIOS-Kennwort zu umgehen.

Windows Disk Protection
Wenn Sie schon einmal Windows XP Embedded von einer CD oder Windows PE 2.0 verwendet haben, werden Ihnen die nachstehenden Ausführungen vertraut sein, und zwar aus gutem Grund: sie haben eine gemeinsame Geschichte.Windows Disk Protection stellt vollständiges „Rückgängigmachen“ der Windows-Systempartition bereit, indem alle an der Systempartition vorgenommenen Änderungen in einem Cache auf derselben Partition gespeichert werden.Dieser Aspekt von SteadyState ist unerlässlich, da diese Komponente es Ihnen ermöglicht, die von Benutzern nach und nach am System vorgenommenen Änderungen rückgängig zu machen.
Windows Disk Protection wird hauptsächlich verwendet, wenn Sie sicherstellen wollen, dass Sie im Lauf der Zeit (entweder nach einem ungeplanten Neustart oder in geplanten Intervallen) Änderungen schnell zurücksetzen können, um den ursprünglich bereitgestellten Zustand des Systems wiederherzustellen.Im in Abbildung 2 dargestellten Dialogfeld können vier Modi eingestellt werden:
Abbildung 2 Konfigurieren von Windows Disk Protection
Abbildung 2 Konfigurieren von Windows Disk Protection
Off (Aus) Windows Disk Protection ist vollständig deaktiviert, und alle Änderungen werden normal auf den Datenträger geschrieben.
On – Discard changes at reboot (Ein – Änderungen beim Neustart verwerfen) Windows Disk Protection ist aktiviert, und bei jedem Neustart des Computers werden alle Änderungen verworfen.Im Wesentlichen bedeutet dies, dass das System genau in den Status zurückgesetzt wird, der vorhanden war, als Sie diese Option markiert und gespeichert haben.
On – Discard changes at set time (Ein – Änderungen zu einer festgelegten Zeit verwerfen) Diese Option ist mit den vorhergehenden fast identisch, doch Änderungen werden zu einer festgelegten Zeit und nicht beim nächsten Neustart verworfen.Dies wäre eine logische Wahl, wenn Sie Änderungen täglich oder wöchentlich verwerfen möchten.
On – Retain changes permanently (Ein – Änderungen permanent beibehalten) Dies könnte im Grunde mit „Off“ verwechselt werden, doch der Unterschied besteht darin, dass es sich um einen temporären Modus handelt.Sie könnten diesen Modus beispielsweise auswählen, wenn Sie Anwendungsupdates anwenden, neue Anwendungen installieren oder das System konfigurieren möchten.Dieser Modus wird im Allgemeinen nicht über längere Zeit ausgeführt.
Beachten Sie, dass jeweils ein Neustart erforderlich ist, wenn ein Modus in Windows Disk Protection geändert wird.

Das Planen von Softwareupdates
Die Einstellung „Schedule Software Updates“ (Softwareupdates planen) ist praktisch, da SteadyState für Sie jetzt Windows Disk Protection automatisch aus- und einschalten kann.Wenn SteadyState Ihre Updates verwaltet, wird Windows Disk Protection so eingestellt, dass die Änderungen während des Updates beibehalten werden und Windows Disk Protection dann auf die vorherige Einstellung zurückgesetzt wird.Diese Einstellung ist unbedingt empfehlenswert, da sich dadurch Ihre Liste mit Verwaltungsaufgaben um eine Aufgabe verringert.
Die folgende Sicherheitssoftware wird über das Updatefeature in Softwareupdates unterstützt:Computer Associates eTrust 7.0, McAfee VirusScan, Windows Defender und TrendMicro 7.0.

User Account Manager
Mithilfe der Option für das Hinzufügen eines Benutzers können Sie neue Benutzer für das System konfigurieren.Abbildung 3 zeigt die für einen neuen Benutzer verfügbaren Optionen:Name, Kennwort, ein Bild, das den Benutzer darstellt, und der Speicherort des Benutzerprofils.Wenn Sie Benutzer erstellt haben, können Sie Benutzereinschränkungen und Einstellungen für jedes lokale Konto festlegen.Wenn das Konto dem System hinzugefügt und konfiguriert wurde, können Sie es bei Bedarf exportieren und dann in ein anderes System importieren (oder es archivieren).
Abbildung 3 Hinzufügen von Benutzerkonten
Abbildung 3 Hinzufügen von Benutzerkonten
Ein praktischer Aspekt der Benutzerkontenverwaltung besteht darin, dass Benutzerprofile auf einer sekundären Partition über das in Abbildung 3 dargestellte Menü „User Location“ (Benutzerspeicherort) erstellt werden können.Normalerweise müssen Profile auf der Windows-Partition erstellt werden, es sei denn, Sie haben manuell bei der Installation über eine unattend.txt-Datei einen anderen Speicherort für Dokumente und Einstellungen angegeben.Dieser Ansatz ist bei SteadyState besonders nützlich, da bei Aktivierung von Windows Disk Protection Änderungen verworfen werden, die an der Windows-Systempartition vorgenommen wurden.Wenn ein Benutzerprofil während Bereinigungen des Cache durch Windows Disk Protection konsistent bleiben soll, können Sie beim Erstellen des Benutzers über die Benutzerkontenverwaltung einfach angeben, dass das Profil des Benutzers auf einer anderen lokalen Partition gespeichert werden soll.
Die Funktionsweise dieses Prozesses besteht darin, dass durch einen Neustart der Windows Disk Protection-Cache gelöscht wird, die Updates angewendet und dann ein weiterer Neustart durchgeführt wird, um Windows Disk Protection neu zu starten.Zusätzlich zu Windows Update aktualisiert SteadyState die Signaturdateien für mehrere gängige Antivirusanwendungen, die unterstützt werden (siehe die Randleiste „Herunterladen und Verwenden von SteadyState“).Wenn Ihre Anwendung nicht unterstützt wird oder Sie ein anderes Update ausführen müssen, können Sie das Update manuell durchführen. Stellen Sie dabei jedoch sicher, dass Windows Disk Protection deaktiviert ist, da das Signaturupdate sonst verloren geht.

Benutzereinschränkungen und -einstellungen
Nach Auswahl eines Benutzers unterteilt SteadyState die Benutzereinschränkungen in vier Kategorien.Diese leiten sich von den Einstellungen der Gruppenrichtlinie ab und werden Ihnen wahrscheinlich vertraut sein.
Über die allgemeinen Einstellungen werden Benutzerprofile und Konfigurationen für erzwungene Abmeldungen gesteuert.Dies umfasst Einstellungen zum Sperren des Profils und das Festlegen von Zeitlimitintervallen für das Abmelden nach einer konfigurierten Nutzungsdauer oder Leerlaufzeit.
Die in Abbildung 4 dargestellten Einstellungen für Windows-Einschränkungen steuern Windows-spezifische Konfigurationselemente.Beispiele umfassen das Entfernen des Zugriffs auf Windows-Benutzeroberflächenelemente wie Komponenten des Startmenüs und Windows Explorer-Funktionen.Die Möglichkeit, den Zugriff auf bestimmte Laufwerke nach Laufwerkbuchstaben zu sperren, ist ebenfalls verfügbar, genau wie die Möglichkeit, das Brennen von CDs zu deaktivieren.
Abbildung 4 Windows-spezifische Benutzereinschränkungen
Abbildung 4 Windows-spezifische Benutzereinschränkungen
Die Registerkarte „Feature Restrictions“ (Featureeinschränkungen) in Abbildung 5 steuert den genau begrenzten Zugriff auf die meisten Internet Explorer®-Funktionen, ermöglicht das Festlegen der Internet Explorer-Homepage und in einem gewissen Maß das Steuern der Microsoft® Office-Funktionen, wobei im Wesentlichen die Möglichkeit gesteuert wird, VBA-Skripts (Visual Basic® for Applications) auszuführen.
Abbildung 5 Featureeinschränkungen
Abbildung 5 Featureeinschränkungen
Über die Einstellungen „Block Programs“ (Programme sperren) (siehe Abbildung 6) wird die Möglichkeit gesteuert, bestimmte Anwendungen auszuführen. Sie erstellen im Grunde eine schwarze Liste.Diese enthält mehrere gängige Anwendungen, denen Sie andere hinzufügen können.Beachten Sie, dass diese Elemente auf der Grundlage ihrer Pfaddefinition gesperrt sind.Wenn einem Benutzer ermöglicht wird, eine Anwendung im System an einen anderen Ort zu verschieben, gilt die Pfadregel nicht mehr.Richtig angewendete Datei- und Verzeichnis-ACLs und Zugriffseinschränkungen zum System auf andere Art und Weise verhindern jedoch, dass eine solche Verschiebung einfach möglich ist.
Abbildung 6 Sperren von Programmen, um deren Ausführung zu verhindern
Abbildung 6 Sperren von Programmen, um deren Ausführung zu verhindern
Eine weitere wichtige neue Funktion von SteadyState basiert auf den vorkonfigurierten Vorlagen, die Einschränkungsebenen im Zusammenhang mit Windows-Einschränkungen und Featureeinschränkungen enthalten.Mithilfe der Vorlagen lässt sich eine Basiskonfiguration abhängig von der gewünschten Ebene der Feature-/Funktionssperrung leichter einrichten.Selbstverständlich haben Sie auch die Möglichkeit, benutzerdefinierte Vorlagen zu erstellen.

Einschränkungen von SteadyState
SteadyState eignet sich gut dazu, freigegebene Computersysteme in einer Organisation zu stabilisieren.Für ein kommerzielles Tool ist dies schon nicht schlecht.Für ein kostenloses Tool ist es hervorragend.Doch vergessen Sie nicht, dass dieses Tool nicht alles kann.
Freigegebene Computersysteme sind ein leichtes Ziel für Angriffe oder sogar nicht beabsichtigten Missbrauch.Sie sollten sicherstellen, dass diese Systeme von Informationen isoliert sind, auf die ein Zugriff nicht erforderlich ist.Obwohl SteadyState auch die Möglichkeit hat, Zugriff auf Anwendungen zu sperren, wird dies über Richtlinien für Softwareeinschränkungen durchgesetzt.Wie Mark Russinovich bereits vor einigen Jahren angemerkt hat, gibt es Verfahren, mit deren Hilfe ein intelligenter Benutzer eine Anwendung erstellen kann, die harmlos aussieht, deren Richtlinien jedoch selbst von einem Benutzer mit eingeschränkten Rechten umgangen werden können (blogs.technet.com/markrussinovich/archive/2005/12/12/circumventing-group-policy-as-a-limited-user.aspx).Wenn Sie nicht den gesamten Geräte- und Internetzugriff sperren möchten, ist dies ein Sicherheitsrisiko, das Sie beachten müssen.Denken Sie dabei immer an Gesetz Nummer 3 ...
SteadyState ist natürlich nur eine Komponente eines gut konfigurierten, freigegebenen Computersystems.Die regelmäßige Anwendung der Updates über Windows Update und die richtige Konfiguration der Windows-Firewall (oder einer anderen Firewall) ist wichtig.Installieren Sie unbedingt auch Antivirus- und Antispywareschutz und andere Sicherheitsmaßnahmen, die aufgrund einer Analyse der potenziellen Risiken für den Computer erforderlich sind.Steuern Sie auch den Zugriff auf den Computer. Wenn Sie dies nicht können, steuern Sie, was der Computer sehen kann.Speichern Sie vertrauliche Daten vor allem nicht lokal.
Beim endgültigen Qualifizieren der Plattform sollten Sie sicherstellen, dass die Tests die Verwendung von SteadyState umfassen (wobei Windows Disk Protection aktiviert ist, es sei denn, die Verwendung ist nicht geplant) sowie die gesamte zusätzliche Software, die auf dem System ausgeführt werden soll.Es sollte auch sichergestellt werden, dass die Software und SteadyState optimal zusammenarbeiten.

Unterstützung für SteadyState
Das mir bekannte Benutzerfeedback zu SteadyState ist äußerst positiv.Mir sind zwar einige kleinere Probleme zu Ohren gekommen, beispielsweise im Zusammenhang mit der Reihenfolge, in der Benutzer hinzugefügt werden müssen.Viele dieser Probleme werden (zusammen mit anderen Tipps und Tricks) in der sehr aktiven Windows SteadyState-Community erläutert, auf die bequem über Links an mehreren Stellen der SteadyState-Anwendung und -Dokumentation unter forums.microsoft.com/windowstoolsandutilities zugegriffen werden kann.
Ich würde vor der Verwendung von SteadyState auch empfehlen, das entsprechende Handbuch zu lesen, das unter go.microsoft.com/fwlink/?LinkId=104722 verfügbar ist.Es stellt eine Reihe von Tipps und Tricks für die erfolgreiche Verwendung von SteadyState bereit.

Schlussbemerkung
SteadyState stellt ein großartiges Funktionspaket für jedes Windows XP-System bereit, bei dem der Zugriff gesteuert werden muss. Zudem ist es kostenlos!Die deutlich verbesserte Windows Disk Protection-Funktionalität und die Verbesserungen der Benutzeroberfläche bedeuten leichtere Bereitstellung und eine insgesamt einfachere Verwaltung Ihrer Systeme mit freigegebenem Zugriff.
Unabhängig davon, ob es sich um Systeme in Computertestumgebungen, für den Besucher- oder Mitarbeiterzugriff freigegebene Kioske, Schulungsräume oder andere freigegebene Computer handelt, kann SteadyState Sie dabei unterstützen, Systeme in Betriebsbereitschaft zu versetzen und zu halten.Außerdem müssen Sie nicht mehr jede Woche Abbilder erstellen, um dem System immer wieder eine Starthilfe zu geben.Das ist meiner Meinung nach eine enorme Verbesserung.

Wes Millerist als technischer Produktmanager bei Initiate Systems (InitiateSystems.com) in Austin, Texas, tätig.Vorher war er bei Winternals Software und als Programmmanager für Microsoft tätig.Sie können Wes Miller unter der folgenden E-Mail-Adresse erreichen: technet@getwired.com.


 Berichte aus der Praxis: Die wichtigste Aufgabe des Tages
Berichte aus der Praxis
Die wichtigste Aufgabe des Tages
Eric N. Bush

Bill Gates bleibt zwei Mal im Jahr seinem Büro fern, um eine „Denkwoche“ einzulegen, wie er das nennt.In dieser Zeit schottet er sich von Menschen, Telefonaten und E-Mails ab und widmet seine Zeit der Lektüre.Er denkt über den Zustand der Technologie bei Microsoft und in der Welt nach.Dadurch will er begreifen, woran sein eigenes und andere Unternehmen arbeiten und wie sich die Vorgehensweise strategisch verbessern lässt.Bill Gates weiß, wie wichtig es ist, nachzudenken und zu planen.
Jeder von uns kann davon profitieren, indem er sich jeden Tag Zeit dafür reserviert, einfach nur nachzudenken und zu planen – Zeit, um Ideen zu formulieren, Probleme zu lösen, den bevorstehenden Aufgaben Prioritäten zuzuweisen, sich Ziele zu setzen und mit offenen Augen zu träumen.Versuchen Sie, dies jeden Tag zur selben Uhrzeit und am selben Ort zu tun, und meiden Sie während dieses Zeitraums alle sonstigen Ablenkungen.Ihre wichtigste Aufgabe besteht darin zu planen, was Sie mit Ihrem Tag anfangen wollen, und Ihren Vorsätzen Prioritäten zuzuweisen.Wenn Sie in einer betrieblichen Führungsposition arbeiten, verbringen Sie wahrscheinlich sowieso den größten Teil Ihrer Zeit damit, die Arbeit anderer Menschen zu planen und ihr Prioritäten zuzuweisen.
Unabhängig davon, ob Sie für das betriebliche Netzwerk zuständig sind, für eine unternehmenswichtige Datenbank Verantwortung tragen oder die Informationssysteme des Unternehmens entwerfen und verwalten, tauchen jeden Tag aufs Neue Probleme auf, die Sie von Ihren eigentlichen wichtigen Aufgaben ablenken.Am Ende des Tages wissen Sie einfach nicht genau, ob Sie Fortschritte gemacht haben oder noch weiter im Rückstand sind.
Ihr Ziel sollte sein, effektiver zu planen und zu organisieren und besser darauf vorbereitet zu sein, auf IT-Notfälle reagieren zu können.Durch gute Planung lässt sich eine reaktionsorientierte Denkweise in eine proaktive Denkweise verwandeln.Um diesen Wandel zu schaffen, müssen Sie jedoch nachdenken, planen und Prioritäten setzen.Dabei hilft es, eine in drei Kategorien unterteilte Aufgabenliste zu führen und diese Liste am Anfang jedes Tages zu überprüfen. Die drei Kategorien lauten:„In Arbeit“, „So schnell wie möglich“ und „Wunschliste“.Anhand dieser Teillisten können Sie Zeit freisetzen, um Lösungen einzurichten, die Krisen überhaupt erst nicht entstehen lassen.
Die Liste „In Arbeit“ muss auf jeden Fall äußerst gewissenhaft geführt werden.Es ist von entscheidender Bedeutung, bei diesen wichtigen Aufgaben täglich Fortschritte zu machen.Arbeiten Sie daran, zuerst die primären Ziele Ihres Unternehmens und Ihrer Gruppe zu erreichen.Aufgaben, die sich nicht direkt auf diese Priorität auswirken, können in der Liste weiter nach unten verschoben werden.Wenn Sie in einer Führungsposition arbeiten, sollten Sie einen Prozess einrichten, der allen Mitarbeitern die obersten Prioritäten ständig vor Augen hält.
Die Teillisten „So schnell wie möglich“ und „Wunschliste“ sind in der Regel für strategische Pläne vorgesehen, durch die Ihr Unternehmen Zeit und Geld einsparen und somit konkurrenzfähiger werden kann.Ermitteln Sie diese Aufgaben, und arbeiten Sie sie langsam und methodisch ab. Verschieben Sie diese Aufgaben in die Teilliste „In Arbeit“, sobald sie eine höhere Priorität einnehmen.
Vergessen Sie dabei aber Folgendes nicht:Die Tatsache, dass Sie diese nach Prioritäten geordneten Listen führen, bedeutet nicht automatisch, dass auch tatsächlich alles erledigt wird.Hier sind einige Tipps, die Ihnen helfen werden, Ihre Aufgaben zu meistern:
  • Schaffen Sie zuerst die schnell und einfach zu erledigenden Aufgaben aus dem Weg.
  • Erledigen Sie danach diejenigen Aufgaben, die Sie nicht gerne tun.
  • Wenden Sie sich zum Schluss den interessanten Aufgaben zu.
  • Vermeiden Sie es, den Kontext zu wechseln.Ordnen Sie Ihre Arbeiten in einer seriellen Reihenfolge an, sofern dies möglich ist.
  • Sollten Sie jedoch bei einer Aufgabe einfach nicht mehr weiterkommen, dann gehen Sie zur nächsten Aufgabe über, und fahren Sie zu einem späteren Zeitpunkt mit der vorherigen Aufgabe fort.
  • Delegieren Sie Aufgaben, die nicht unbedingt von Ihnen erledigt werden müssen, bzw. lehnen Sie Aufgaben ab, die Ihnen nicht sinnvoll erscheinen, oder machen Sie Alternativvorschläge.
  • Finden Sie heraus, wann Sie am besten und produktivsten arbeiten.Reservieren Sie sich diese Zeit, um sich auf wichtige Aufgaben zu konzentrieren.
Durch gute Arbeitseinteilung wird sich Ihre Arbeitsleistung erheblich verbessern.Ohne einen Plan durchs Leben zu gehen, führt fast nie zu Zufriedenheit, weil es von vornherein an einer Zielsetzung fehlt.

Eric N. Bush ist als leitender Softwareentwickler in der Engineering Excellence Group bei Microsoft tätig.In seiner Eigenschaft als interner Berater und Seminarleiter fördert er technische und organisatorische Verbesserungen in den Bereichen Mitarbeiter, Prozesse und Technologien.Sie erreichen ihn unter ericbush@microsoft.com.


 Windows Confidential: Das darf ich auf keinen Fall noch einmal tun
Windows Confidential
Das darf ich auf keinen Fall noch einmal tun
Raymond Chen

Es gibt ein altes Tool für die Windows® 95- Betriebssystemreihe, das als Automatic Skip Driver bezeichnet wird.Ihre erste Reaktion bezog sich wahrscheinlich auf den ungeschickten Namen des Tools, und vielleicht haben Sie sogar vermutet, dass die Buchstaben ASD ursprünglich eine andere Bedeutung hatten.Damit liegen Sie ganz richtig.
Windows 95 musste viele Geräte ohne Plug & Play-Funktion handhaben, da die große Mehrzahl der Systeme damals aus der Zeit vor der Plug & Play-Spezifikation stammte.Die Hardwareerkennung war in Ermangelung richtiger Plug & Play-Geräte ein sehr schwieriges Unterfangen.
Bei der Modemerkennung beispielsweise wurden Abfragen nach den Werten von Dutzenden von Modemregistern ausgegeben.Obwohl eine ziemlich bewährte, grundlegende Modembefehlsliste vorhanden war, gab es beträchtliche Unterschiede bei der Implementierung der undurchsichtigeren Bereiche der Befehlssprache.Es überrascht daher nicht, dass diese Inkonsistenzen für Kommunikationsprogramme frustrierend waren, da Sonderfälle für verschiedene Modemmodelle hinzugefügt werden mussten, um individuellen Problemen gerecht zu werden, doch die Inkonsistenzen erwiesen sich als Segen für Windows:Da sich jedes Modem geringfügig anders verhielt, konnte Windows diese undurchsichtigeren Bereiche untersuchen und das Verhalten des Modems mit einer Tabelle bekannter Modems und ihrer Antworten vergleichen.
Es gab einen Mitarbeiter im Windows 95-Team, dessen Aufgabe darin bestand, alle bekannten Modems zu installieren und ein kleines Programm auszuführen, das das jeweilige Modem auf Herz und Nieren prüfte, undurchsichtige Bereiche erforschte und die Ergebnisse von jedem Modem sammelte, sodass eine vollständige Modemdatenbank erstellt werden konnte.Wenn Sie noch Zugriff auf einen Computer haben, auf dem Windows 95 ausgeführt wird, können Sie das Windows\Inf-Verzeichnis öffnen und sich die Dateien ansehen, deren Name mit MDM beginnt.Über ein Megabyte an Geräteinformationsdateien ist Modems gewidmet.Das sind einige Lebensjahre eines Mitarbeiters, zusammengefasst in einem Megabyte nicht lesbarer Hexadezimalzahlen.
Das Erkennen von Modems war eine ziemlich einfache Sache, da sich fast alle Modems auf hoher Ebene etwa gleich verhielten. Interessant wurde es erst bei den Details.Viel schwieriger waren die Geräte, die E/A-Ports verwendeten.Um beispielsweise zu erkennen, ob eine bestimmte Videokarte installiert war, sendete das Videokartenerkennungsmodul im Konfigurations-Manager von Windows 95 sorgfältig ausgewählte Werte an bestimmte E/A-Ports und hörte Antworten des jeweiligen Geräts ab.Wenn das Gerät genau richtig antwortete, nahm der Konfigurations-Manager an, dass er das Gesuchte gefunden hatte.Wenn nicht, ging er zum nächsten Videokartenmodell über.
Wenn das auf diesem E/A-Port installierte Gerät nicht die Videokarte war, für die der Konfigurations-Manager den Test durchführte, konnte das Gerät ziemlich verstimmt reagieren, weil ihm jemand Werte sendete, die keinen Sinn ergaben.In Abhängigkeit davon, wie launisch es war, konnte der Computer abstürzen oder wurde neu gestartet.Das verhieß nichts Gutes für den Konfigurations-Manager.So wurde das als ASD bezeichnete Modul geboren.
Bevor der Konfigurations-Manager diese möglicherweise katastrophalen Hardwareprüfungen durchführte, erstellte er eine Datei, die im Grunde Folgendes besagte: „Oh nein!Ich stehe kurz davor, den gefährlichen Vorgang X auszuführen!“Dies war die Computerversion des klassischen Umschlags mit der Aufschrift „Im Fall meines Todes zu öffnen“, den der Held eines Abenteuerfilms bei seiner Freundin zurücklässt, bevor er ein Himmelfahrtskommando unternimmt, um das Böse zu bekämpfen.
Wenn der gefährliche Vorgang X tatsächlich dazu führte, dass der Computer abstürzte oder neu gestartet wurde, sah das System beim nächsten Start diese magische Datei und öffnete „den Umschlag“, um festzustellen, ob es der gefährliche Vorgang X war, der den Computerabsturz verursacht hatte.Das System kam dann zu dem Schluss, dass der Versuch, Gerät X zu erkennen, verhängnisvoll war, und es dies nie wieder tun würde!
Das Modul, das diese Arbeit durchführte, wurde als ASD bezeichnet.Die Buchstaben ASD waren eine Abkürzung für „Attempting Something Dangerous“ (Versuch, etwas Gefährliches zu tun).

Raymond Chen befasst sich auf seiner Website The Old New Thing und in seinem gleichnamigen Buch (Addison-Wesley, 2007) mit der Geschichte von Windows und mit der Win32-Programmierung.Er ist vorsichtig, weil der Teller sehr heiß ist.