 TechNet Magazine January 2008

TechNet Magazine January 2008

System Center: Auténtico control con Virtual Machine Manager 2007

La virtualización permite a las organizaciones consolidar recursos y ahorrar dinero.Pero a medida que implemente un mayor número de máquinas virtuales, deseará conseguir una manera útil de administrarlas.A continuación, le presentamos una guía para configurar Virtual Machine Manager y usarlo para realizar tareas administrativas desde una interfaz centralizada.

Edwin Yuen System Center: Mejores copias de seguridad con Data Protection Manager 2007

La última versión de Data Protection Manager ofrece muchas características nuevas y proporciona una solución eficaz y flexible para administrar sus copias de seguridad.Aquí ofrecemos una introducción sobre cómo DPM puede proteger todo, desde Exchange y SQL Server a sucursales y sitios de SharePoint.

Calvin Keaton System Center: Los servicios en línea ayudan a simplificar el inventario de software

La administración de activos de software es una tarea esencial para cada empresa, ya sea grande o pequeña.Pero con la cantidad de software que las empresas compran e implementan en la actualidad, obtener el control de estos activos se puede considerar casi imposible.Descubra cómo el nuevo Asset Inventory Service de Microsoft puede ayudarle.

Paul Bourgeau Directiva de grupo: Las plantillas ADM y ADMX en relación con la directiva de grupo

Con frecuencia, los archivos ADM resultan tanto necesarios como confusos.No permita que este factor interrumpa sus esfuerzos de directiva de grupo.Esta visita guiada le ayudará a comprender mejor en qué consisten los archivos ADM y el nuevo formato ADMX, qué herramientas puede usar para administrarlos y cómo puede hacer el mejor uso de los mismos.

Jeremy Moskowitz Directiva de grupo: Optimización del rendimiento de directiva de grupo

No todas las directivas de grupo son iguales y conocer las diferencias entre los tipos puede servir para optimizar el rendimiento de los sistemas.Explore las directivas de grupo monolíticas y funcionales, aprenda a procesar la directiva de grupo y averigüe lo que sucede cuando se producen cambios de directiva de grupo.

Darren Mar-Elia Directiva de grupo: Análisis de la Administración avanzada de directivas de grupo

AGPM, o Administración avanzada de directivas de grupo, es una herramienta útil que permite trabajar con Objetos de directiva de grupo de maneras que otras herramientas no hacen posible. Actualmente está disponible para miembros del programa Software Assurance de Microsoft.Consulte cómo puede usar AGPM para editar GPO sin conexión, delegar la administración, efectuar el seguimiento de cambios y mucho más.

Derek Melber Nota del editor: Es posible convencer a un cínico

Joshua Hoffman Cartas: Comentarios de los lectores

Cuadro de herramientas: Nuevos productos para profesionales de TI

Greg Steen Preguntas y respuestas sobre Exchange: Cómo agregar mensajes de asistencia por voz, elección de una PBX y mucho más

¿Tiene preguntas acerca de la mensajería unificada de Exchange?Nosotros tenemos las respuestas.En esta entrega de Preguntas y respuestas sobre Exchange, nos centramos en la mensajería unificada, describimos cómo se pueden implementar características de teléfono y fax, ofrecer alta escalabilidad, configurar mensajes de asistencia por voz, etc.&

Seema Rahman Utility Spotlight: Windows Easy Transfer Companion

Esta herramienta gratuita puede simplificar la migración de aplicaciones clave de Windows XP a Windows Vista.

Lance Whitney The Cable Guy: Mejoras de DNS en Windows Server 2008

Windows Server 2008 incluye muchas mejoras del servidor DNS.Conozca más detalladamente cómo estas actualizaciones agilizan la resolución de nombres, mejoran la compatibilidad para IPv6 y agregan una gran flexibilidad a la administración de DNS.

Joseph Davies Windows PowerShell: Prevención del código malintencionado

Al diseñar Windows PowerShell, se prestó mucha atención a la seguridad.Pero, al igual que con cualquier software, Windows PowerShell puede aún sufrir las complicaciones del código malintencionado.Le presentamos algunas recomendaciones para elegir una Directiva de ejecución que garantizará la seguridad de sus sistemas.

Don Jones ¡Hola, encargados del scripting!: Las expresiones regulares saltan a la vista

¿Busca una manera de evitar errores?La validación es un buen comienzo.Aprenda a realizar coincidencias de patrones de caracteres en un script mediante expresiones regulares.

The Microsoft Scripting Guys Vigilancia de seguridad: Ataque de red desde enlace remoto:la atracción contagiosa de la mercadotecnia del proveedor

Las amenazas para la seguridad no proceden sólo del correo electrónico y de sitios web malintencionados.Vea cómo una unidad USB y la ingeniería social más sencilla pueden usarse para obtener acceso a toda su red.Averigüe además lo que puede hacer para que su red esté más protegida frente a esta amenaza.

Jesper M. Johansson Archivos del escritorio: Informática compartida con Windows SteadyState

El nuevo kit de herramientas de Windows SteadyState le puede ayudar a mejorar la seguridad y simplificar la administración de sistemas Windows XP en un entorno de uso compartido.Realicemos una sencilla visita guiada para averiguar cómo.

Wes Miller Notas de campo: La tarea más importante del día

Al trabajar en un proyecto, no es conveniente subestimar la importancia del tiempo dedicado a pensar, planear y establecer prioridades.

Eric N. Bush Confidencial de Windows: Recuérdeme no volver a hacer eso nunca más

La detección de hardware en los días anteriores a los dispositivos Plug and Play constituía una tarea muy complicada.Averigüe por qué.

Raymond Chen


 System Center: Aut&#233;ntico control con Virtual Machine Manager 2007
System Center Edwin Yuen

Auténtico control con Virtual Machine Manager 2007
Resumen:
  • Principales características de System Center Virtual Machine Manager 2007
  • Cómo instalar VMM
  • Conversión de máquinas físicas o virtuales en máquinas virtuales (VM)

System Center Virtual Machine Manager 2007 es una solución nueva que ofrece una interfaz consolidada para administrar toda la infraestructura virtual.Virtual Machine Manager (VMM)
puede administrar las instalaciones existentes de Microsoft® Virtual Server 2005 y puede instalar también Virtual Server 2005 R2 SP1 en nuevos hosts de máquinas virtuales.Con VMM, las tareas administrativas tradicionales de Virtual Server 2005 pueden realizarse ahora de manera más eficaz gracias a la interfaz centralizada, con acceso de administración a través de varias instalaciones de Virtual Server.
Además, VMM integra nuevas capacidades en Virtual Server, incluidas las conversiones de física a virtual (FaV), la conversión de virtual a virtual (V2V) de los discos Virtual Machine Disk Format (VMDK) de VMware a los discos duros virtuales (VHD) de Virtual Server, así como las implementaciones rápidas de VM desde plantillas y VHD configurados previamente a través de una biblioteca centralizada de objetos de infraestructura virtual.
En las páginas siguientes, explicaré VMM y el atractivo conjunto de características que ofrece a los administradores de TI.Pasaré, a continuación, a los requisitos y los pasos necesarios para crear una instalación de VMM.Finalmente, explicaré detenidamente las características más atractivas de VMM y ofreceré algunas sugerencias útiles para empezar.

Presentación de Virtual Machine Manager 2007
System Center Virtual Machine Manager 2007 es una aplicación independiente que ofrece administración centralizada de clase empresarial para máquinas virtuales que se ejecutan en Microsoft Virtual Server 2005. Como parte de la familia System Center, Virtual Machine Manager se integra con el resto de los productos de System Center para proporcionar una administración de infraestructura física y virtual de un extremo a otro.La Figura 1 muestra los distintos componentes de Virtual Machine Manager y cómo VMM se relaciona con un host de Virtual Server.
La casilla de la izquierda representa el servidor VMM y la de la derecha representa un host de máquina virtual.Los componentes de VMM pueden instalarse también en servidores independientes, si lo prefiere, para mejorar el rendimiento y la escalabilidad.Para este artículo, usaremos el modelo de la Figura 1, donde los componentes principales de VMM se encuentran todos instalados en un equipo.En el núcleo del producto VMM se encuentra el servicio Virtual Machine Manager, en el centro y a la izquierda.Sobre él se encuentran las tres distintas interfaces en el servicio:la interfaz de Windows PowerShellTM, la Consola de administrador y el Portal de autoservicio con administración de aprovisionamiento delegado.Como complemento de VMM, hay una base de datos de Microsoft SQL Server® 2005 (puede usar tanto una instalación completa de SQL Server como de SQL Server 2005 Express Edition) y la biblioteca centralizada, que es un recurso compartido de archivos para los componentes de la infraestructura virtual.
Figura 1 Arquitectura de System Center Virtual Machine Manager 2007
Figura 1 Arquitectura de System Center Virtual Machine Manager 2007
El lado derecho de la Figura 1 representa el host de máquina virtual de Virtual Server 2005 R2 que está administrando VMM.En la parte inferior está el sistema operativo host, en este caso, Windows Server® 2003 R2.VMM instalará un agente en el host de máquina virtual que facilite la comunicación entre VMM y Virtual Server 2005 R2.Se trata de una sola instalación en el host físico, sin ninguna instalación en la VM ni en SO invitados.Si Virtual Server no está instalado en el equipo host, VMM puede realizar automáticamente la instalación cuando el host se agregue a la lista de servidores administrados.
Como parte de la familia de productos de System Center, Virtual Machine Manager usa la nueva interfaz de System Center (o estilo Outlook®) para la Consola de administrador (a diferencia del complemento MMC tradicional).La Consola de administrador de VMM (consulte la Figura 2) se crea mediante Microsoft .NET Framework 2.0 y se integra sobre Windows PowerShell 1.0.De hecho, cualquier acción realizada en la Consola de administrador llama realmente al comando de Windows PowerShell asociado.Como resultado, cualquier comando o función al que se haya llamado en la Consola de administrador puede invocarse también directamente a través de la línea de comandos en Windows PowerShell.
Figura 2 Interfaz de usuario de administración de VMM que muestra máquinas virtuales administradas
Figura 2 Interfaz de usuario de administración de VMM que muestra máquinas virtuales administradas
Cada asistente en la Consola de administrador tiene también un botón Ver script que mostrará el script de Windows PowerShell asociado con el comando que va a ejecutarse, el cual supone un buen punto de partida para conocer cómo se relacionan Windows PowerShell y VMM.Una vez que se acostumbre a usar Windows PowerShell con VMM, podrá redactar scripts de acciones masivas a través de VMM.
Virtual Machine Manager se ha diseñado para proporcionar tres beneficios clave a los administradores de TI:permite maximizar los recursos, lograr mayor agilidad y aprovechar las capacidades existentes.VMM suministra estos beneficios a través de varias características y funciones.En primer lugar, VMM le ayuda a maximizar sus recursos ofreciendo un método para convertir sus servidores físicos en máquinas virtuales, un proceso conocido como conversión FaV que le permite consolidar sus máquinas físicas existentes en máquinas virtuales sin tener que volver a instalar estas máquinas.Esto es especialmente significativo si desea convertir máquinas con un uso muy reducido por su hardware, ya que puede colocar varias de estas máquinas juntas en un único componente de hardware físico.Por ejemplo, esto puede ser especialmente útil para máquinas con software heredado que se usa raramente pero que necesita conservarse ya que se ejecuta una vez al año (software de contabilidad normativo, por ejemplo).Cuando se usa junto con System Center Operations Manager 2007, VMM puede ayudar a producir un informe de candidatos de consolidación de servidores para revisar qué máquinas de la infraestructura física son candidatas probables para FaV.
Si ya dispone de máquinas virtuales en el formato VMDK de VMware, VMM proporciona la capacidad de realizar una conversión V2V para trasladar sus VMDK existentes al formato VHD.Esto pone rápidamente en funcionamiento el entorno Virtual Server 2005.
Como parte de cualquier implementación, tanto si es nueva como si se ha iniciado a través de una conversión, VMM usa un proceso denominado Ubicación inteligente para implementar la VM en los hosts de máquina virtual.Mediante la Ubicación inteligente, VMM consulta todos los host de máquina virtual que administra, recupera varios parámetros acerca de la disponibilidad de recursos de estos host y, a continuación, devuelve una lista ponderada de hosts recomendados en los que implementar la VM.Tal como puede ver en la Figura 3, el administrador puede elegir, a continuación, si aceptar la recomendación, ajustar el algoritmo para que se adapte a sus necesidades particulares o, simplemente, implementar la VM en el servidor de su elección.Con su vista consolidada de la infraestructura virtual y sus recomendaciones de host, la Ubicación inteligente reduce mucho las complicaciones relacionadas con la implementación de VM.
Figura 3 Ubicación inteligente ofrece recomendaciones para el mejor host de Virtual Server.
Figura 3 Ubicación inteligente ofrece recomendaciones para el mejor host de Virtual Server.
Otras características de VMM que ofrecen grandes beneficios son la biblioteca centralizada y un portal de autoservicio para aprovisionamiento delegado.La biblioteca, mostrada en la Figura 4, ofrece un almacén central para todos los componentes necesarios a la hora de crear una infraestructura virtual, incluidos los VHD creados previamente y los ya implementados, plantillas con SO y configuraciones de hardware, archivos ISO, scripts y perfiles.Las VM nuevas se pueden crear e implementar desde estos componentes, y el uso de plantillas y perfiles puede normalizar las configuraciones de hardware y de software a través de las VM.VMM es compatible también con bibliotecas distribuidas, lo que permite almacenar los componentes en ubicaciones remotas y mantener las transferencias de archivos grandes dentro de la ubicación remota al mismo tiempo que se continúa con la administración central de los componentes.
Figura 4 La biblioteca de VMM contiene todos los bloques de creación de una infraestructura virtual.
Figura 4 La biblioteca de VMM contiene todos los bloques de creación de una infraestructura virtual.
El portal de autoservicio es un sitio web que se integra con el servicio VMM y una instalación de IIS.El portal otorga acceso a las VM a todos los usuarios y los grupos autorizados de Active Directory®, si bien las funciones disponibles dependerán de la directiva creada para este usuario o grupo.Estas funciones varían desde la capacidad de ver y obtener acceso a las VM, hasta la capacidad de ejecutar y apagar las VM, o crear nuevas VM basadas en recursos delegados específicos.
El administrador crea una directiva de autoservicio que ofrece funciones particulares a usuarios y grupos de Active Directory, a hosts de máquina virtual o grupos de hosts concretos, y a VM y plantillas determinadas.El portal de autoservicio ofrece al administrador la capacidad de delegar de manera segura funciones a los usuarios finales.Sin esta función, el administrador necesitaría otorgar a los usuarios finales acceso a la Consola de administrador para administrar sus VM o, de lo contrario, los usuarios finales tendrían que realizar solicitudes para cada función, lo cual originaría un molesto número de correos electrónicos y llamadas telefónicas para simplemente realizar acciones tales como inicios y reinicios de VM.

Instalación de Virtual Machine Manager
VMM administra actualmente instalaciones de Virtual Server 2005 (y versiones posteriores) en Windows Server 2003 SP1 (y versiones posteriores) dentro de un dominio de Active Directory (o dominios confiables), así como hosts que no pertenezcan a dominios mediante la compatibilidad de red perimetral de VMM.Las instalaciones de Virtual Server en sistemas operativos de escritorio como Windows® XP no son compatibles.Las operaciones FaV están sólo disponibles para máquinas físicas ubicadas en el mismo dominio (o dominio confiable) que el servidor VMM.
Aunque personalmente recomendaría que cada componente de VMM se instalara en servidores independientes en un entorno de producción, las instrucciones aquí cubren una instalación de servidor único.El hardware recomendado para una instalación de servidor VMM es un servidor basado en x86 o x64 que se ejecute a un mínimo de 2,8 GHz con, al menos, 2 GB de RAM.Puesto que se trata de una instalación de servidor único con una base de datos local de SQL Server, se necesitan 7 GB de espacio en el disco duro.Si se usa en su lugar una base de datos remota, sólo es necesario 1 GB para la instalación de VMM.Se recomienda un espacio de 80 GB adicionales para la instalación de la biblioteca local.
Además, VMM requiere la instalación de WinRM 1.1 en el servidor VMM, en todos los host de máquina virtual y en cualquier servidor de biblioteca que sea administrado a través de VMM.WinRM constituye la implementación de Microsoft de los servicios web para el protocolo de administración (WS-Management).WinRM es un protocolo basado en SOAP y compatible con firewall que permite al hardware y al software de proveedores diferentes interoperar y administrarse entre sí.VMM usa WinRM para realizar las acciones entre el servidor VMM, los hosts de máquina virtual y los servidores de la biblioteca.Puede descargar WinRM 1.1 desde go.microsoft.com/fwlink/?LinkId=103610.
Otros requisitos previos para la instalación incluyen .NET Framework 2.0 y 3.0, Windows PowerShell 1.0 e IIS para el portal de autoservicio.Todos los requisitos adicionales de software se comprueban durante la instalación de software de VMM y se proporcionan vínculos a los instaladores adecuados.Si no se cumple cualquiera de estos requisitos, la instalación no se llevará a cabo.
Al iniciar la instalación de VMM, se ofrecen tres opciones en el menú principal:el servidor Virtual Machine Manager, la Consola de administrador y el portal de autoservicio.Instalaremos los tres en una sola máquina, comenzando con el servidor.Una vez que se inicie el proceso de instalación, las primeras pantallas comprobarán los requisitos previos de sistema; debe asegurarse de que todos se cumplan con el objeto de permitir que la instalación se lleve a cabo.
Una vez que se haya terminado con los requisitos previos, debe revisar las opciones de instalación, especialmente las relacionadas con la base de datos de SQL Server.Con VMM, es posible elegir la instalación con SQL Server 2005 Express Edition o usar una base de datos de SQL Server 2005 existente.Para este ejemplo, usaremos SQL Server 2005 Express Edition.
En el paso siguiente del asistente para la instalación de VMM, debe identificar la ubicación de la biblioteca centralizada.Esta ubicación puede ser un directorio local en el servidor VMM (y se creará un recurso compartido para este directorio) o se puede usar un recurso compartido de archivos existente.La ubicación predeterminada es C:\Documents and Settings\All Users\Shared Documents\Virtual Machine Manager Library Files.
Las asignaciones de puerto constituyen el siguiente paso.En este paso se configuran los puertos que se usan para la conexión de la Consola de administrador al servicio de servidor principal de VMM (puerto 8100), el puerto que usa WinRM para realizar las funciones de administración (puerto 80, el puerto HTTP estándar) y el puerto que usa el Servicio de transferencia inteligente de fondo (BITS) para mover los archivos a los host de máquina virtual (puerto 443, el puerto HTTPS estándar).Una vez que se reúne toda esta información, se presenta una pantalla de resumen y la instalación del servidor puede finalizar.
Ahora instalemos la Consola de administrador.Los requisitos previos del sistema son semejantes a los del servidor VMM: .NET Framework 2.0 y 3.0, así como Windows PowerShell 1.0.La única opción de configuración consiste en confirmar el puerto de comunicaciones que se usa para conectar al servicio de servidor principal de VMM.Este puerto debe ser el 8100, tal como se ha configurado en la instalación del servidor VMM.Al final de la instalación, se ofrece la opción de crear un acceso directo de escritorio para la Consola de administrador y para abrir la consola cuando cierre la instalación.Sugiero seleccionar ambas opciones.La primera vez que abra la Consola de administrador, se le solicitará la información de conexión del servidor.Con una instalación de servidor único, conecte a localhost mediante el puerto 8100 y presione Entrar para iniciar la consola.
Por último, instalemos el portal de autoservicio en este servidor.Los requisitos previos para esto son IIS, .NET Framework 2.0 y 3.0 y Windows PowerShell 1.0.Durante la instalación, las únicas opciones de configuración son aquellas que tienen que ver con los puertos usados por el mismo portal de autoservicio.La primera es el puerto que conecta al servicio VMM principal, el puerto 8100, el mismo que el de la Consola de administrador.La segunda es el puerto en el que ejecutar el portal.La opción predeterminada es el puerto 80 pero, en muchas configuraciones, este puerto puede estar en uso.Si fuera necesario, cambie el puerto a otro abierto, como el 81.
El instalador creará un sitio web denominado Portal de autoservicio de Microsoft System Center Virtual Machine Manager 2007 y la configuración podrá cambiarse en el Administrador IIS.Esta es una sugerencia para facilitar la instalación:diríjase al Administrador IIS y seleccione las propiedades del Portal de autoservicio de Microsoft System Center Virtual Machine Manager 2007.Revise la configuración de ASP.NET para el sitio web y confirme que la versión de ASP.NET es 2.0.El portal de autoservicio no funcionará con ASP.NET configurado en la versión 1.1 y, dependiendo del orden de instalación de IIS y de las versiones de .NET Framework, estas opciones pueden variar.
Una vez que ha finalizado la instalación de IIS, puede abrir el sitio web; para ello, vaya a http://localhost:81 en Internet Explorer®.Si se le solicita autenticación para abrir el sitio web, esto se debe a la configuración de seguridad de Internet Explorer.El portal de autoservicio debe ejecutarse en el contexto de intranet en Internet Explorer; puede que necesite agregar el servidor VMM a la lista de sitios de intranet en su configuración local.Una vez que estos cambios se han implementado, estará listo para crear y usar las directivas de autoservicio en VMM.

Características de Virtual Machine Manager
Aunque hay muchas características atractivas en VMM, las dos que han generado mayor expectación son las capacidades física a virtual y virtual a virtual.Ambas funciones son compatibles con la Consola de administrador.Puesto que la Consola de administrador de VMM se crea sobre Windows PowerShell, todos los comandos pueden ejecutarse también a través de Windows PowerShell.Para nuestros fines, exploraremos el proceso FaV que usa la Consola de administrador y el V2V a través de Windows PowerShell.

Conversión de física a virtual
Para realizar la conversión FaV, usamos la Consola de administrador de VMM.Hay varios requisitos para la máquina física que serán convertidos.En primer lugar, esta máquina debe ser miembro del dominio actual o de un dominio confiable.VMM se conectará a esta máquina para instalar un agente FaV y transferir la información necesaria.En segundo lugar, la máquina de origen debe ejecutar un sistema operativo compatible.Los sistemas operativos compatibles con FaV son Windows Server 2003, Windows 2000 Server y Windows XP Professional.Si esta máquina de origen ejecuta Windows Server 2003 o Windows XP, VMM usará el servicio de Instantáneas de volumen (VSS) para consolidar los discos duros y transmitir los datos a discos duros virtuales.Esto permite convertir la máquina sin ningún tiempo de inactividad, así que no tendrá que programar tiempo de inactividad para el servidor simplemente con el fin de crear la imagen FaV.Para Windows 2000, se crea un disco de inicio de Windows PE para facilitar la creación de la imagen FaV.Para este ejemplo, usaré como destino Windows Server 2003.
El proceso FaV se inicia seleccionando la opción "Convertir servidor físico" bajo Acciones en la parte superior derecha de la Consola de administrador.Esto inicia el asistente para FaV, mostrado en la Figura 5.La primera página es el paso Seleccionar origen, donde se identifica la máquina que va a convertirse.Escriba el nombre DNS de esta máquina y las credenciales de dominio apropiadas a las que conectarse para administrarla.El paso siguiente permite dar un nombre a la VM resultante.
Figura 5 La función FaV de VMM se basa en el asistente y se integra en la interfaz de usuario de administración.
Figura 5 La función FaV de VMM se basa en el asistente y se integra en la interfaz de usuario de administración.
A continuación, el asistente inicia el proceso de reunir información desde la máquina de origen.Al hacer clic en Reunir información del sistema, VMM instala un agente FaV que recuperará la información necesaria acerca del sistema operativo de la máquina de origen, del disco duro y de los adaptadores de red.Al hacer clic en Siguiente, pasará a una pantalla de validación para comprobar que no hay problemas conocidos que eviten la conversión.Si los hubiera, se presentarán las soluciones posibles.
Una vez que la información de configuración ha sido recuperada, puede seleccionar las particiones de disco duro que se van a convertir.De manera predeterminada, se selecciona la partición de arranque, y cualquier otra partición que esté presente estará también disponible.Puede elegir qué particiones se mantendrán como parte de la conversión.El FaV es un proceso de copia inteligente; esto significa que sólo aparta los datos en las particiones especificadas, al contrario que una transferencia fija de la imagen y el tamaño de un disco duro completo.
Por último, el asistente avanza hacia los pasos de implementación estándar de VMM, incluidas las configuraciones de inicio de Virtual Server y el proceso Ubicación inteligente descrito anteriormente.Cuando haya finalizado el asistente, aparecerá la ventana Trabajos, que le muestra todo el proceso y el progreso de FaV.
De manera predeterminada, las VM recientemente convertidas no se iniciarán automáticamente (se convierten en un estado Detenido), ni el proceso FaV apaga ni cambia el estado de ejecución de la máquina de origen.Se trata de un proceso FaV no destructivo.Puesto que la nueva VM tendrá el mismo nombre de equipo, la misma dirección IP e incluso la dirección MAC del servidor original, esta máquina debe apagarse antes de que la VM pueda iniciarse.Si desea que se apague la máquina de origen o que la VM recién convertida se inicie automáticamente, esto se puede hacer desde la línea de comandos de Windows PowerShell.Como parte del proceso, es buena idea realizar la conversión FaV y, a continuación, ejecutar la VM resultante en un entorno de prueba, asegurándose de que todo se convierte correctamente.

Conversión de virtual a virtual
Para realizar la conversión V2V, necesita una máquina virtual de VMWare (en forma de un archivo VMDK) y una instalación de VMM válida con un host de máquina virtual de destino designado.El cmdlet new-v2v para la conversión V2V de VMM en Windows PowerShell es compatible con los cuatro formatos de archivo VMDK siguientes:monolithicSparse, monolithicFlat, twoGbMaxExtentSparse y twoGbMaxExtentFlat.La mayoría de los archivos VMDK existentes entrarán dentro de una de estas categorías.
El proceso V2V sólo funciona en archivos VMDK sin conexión.Sin embargo, el proceso FaV puede usarse para convertir máquinas virtuales de VMware que se estén ejecutando actualmente.Las máquinas virtuales de VMware consisten en dos componentes principales: los archivos VMDK, que son los discos duros virtuales donde se almacenan los datos, y un archivo VMX que contiene la información de configuración de la máquina virtual.Los archivos VMDK y los VMX asociados pueden colocarse en una ubicación de la biblioteca que le ofrezca un método de acceso para convertir la máquina virtual de VMware sin la necesidad de tener que otorgar acceso al archivo desde el servidor de origen.
Durante el proceso V2V, el archivo VMDK se convertirá en un archivo VHD, el sistema operativo invitado se limpiará para funcionar con Virtual Server y se creará una nueva máquina virtual para coincidir con la configuración original tanto como sea posible, haciendo los cambios necesarios para el hardware virtual compatible con Virtual Server.Tenga en cuenta que cada parte del proceso de conversión puede administrarse independientemente a través de Windows PowerShell, que permite conversiones de formato masivas antes de asignar hosts para las máquinas virtuales nuevas.En este ejemplo, sin embargo, deseamos convertir e implementar el VHD.
Aunque V2V puede implementarse a través de la Consola de administrador y a través de Windows PowerShell, usaremos Windows PowerShell para este ejemplo.Para iniciar el proceso V2V, comencemos con una ventana de Windows PowerShell con los cmdlets de VMM cargados.Esto se puede conseguir haciendo clic en Inicio | Todos los programas | Microsoft System Center | Virtual Machine Manager 2007 | Windows PowerShell—Virtual Machine Manager.
La ventana resultante debe tener el título Windows PowerShell—Virtual Machine Manager.Si no fuera así, puede que los cmdlets de VMM no estén cargados.Una vez que se abre Windows PowerShell, puede revisar el nuevo comando new-v2v ejecutando lo siguiente:
get-help new-v2v –full | more
Esto le ofrecerá la sintaxis y ejemplos acerca de cómo realizar una V2V.En el ejemplo que se ofrece para este artículo, nuestro servidor VMM se llamará vmmserver.contoso.com, el host de máquina virtual de destino se llamará vshost1.contoso.com y el VMDK está disponible desde el servidor de biblioteca vmmserver.contoso.com.
Comience identificando el contexto para el servidor VMM que se usará con el fin de realizar la V2V, mediante el comando get-vmmserver.Al igual que con todos los comandos de Windows PowerShell, get-vmmserver sigue el formato verb-noun y usa los guiones para los parámetros.La siguiente línea muestra el comando que usaremos para identificar el servidor VMM:
get-vmmserver –computername "vmmserver.contoso.com"
Esto configura vmmserver.contoso.com como el contexto de servidor VMM para los comandos que siguen.El resultado del comando anterior es una lista detallada de información acerca de vmmserver.contoso.com. Si el comando fuera incorrecto o la sintaxis estuviera equivocada, un mensaje de error rojo describirá el problema.
El paso siguiente consiste en identificar el host de máquina virtual de destino, el host de Virtual Server al que se asignará el VMDK/VHD convertido.Sigamos adelante y asignemos el valor del host de máquina virtual a la variable $vmhost, usando el siguiente comando en Windows PowerShell:
$vmhost = get-vmhost –computername
"vshost1.contoso.com"
Este comando no produce ningún comentario en la ventana de comandos, pero puede comprobar fácilmente que la variable está correctamente configurada simplemente escribiendo $vmhost en el símbolo de Windows PowerShell y, a continuación, presionando Entrar.Esto debe mostrar la información almacenada en $vmhost (información detallada acerca de vshost1.contoso.com, semejante a la información anterior para el servidor VMM).
Además del host de máquina virtual, es necesario identificar el servidor de biblioteca donde se ubica el archivo VMDK.El comando es semejante al comando del host de máquina virtual que usé anteriormente:
$library = get-libraryserver –computername
"vmmserver.contoso.com"
Como ocurre con $vmhost, al escribir $library en la línea de comandos, se mostrará la información del servidor de biblioteca.
Por último, escriba el comando para realizar la conversión V2V.Para conseguirlo, use el comando new-v2v con la función get-help.En este comando, siga adelante e identifique el servidor de biblioteca para VMX/VMDK, el host de destino, el nombre de la VM resultante y la ruta de acceso para el archivo VHD convertido.
Para la línea de comandos, la mayor parte de las referencias se implementan desde la perspectiva del host de destino, en nuestro caso, vshost1.contoso.com, con la ruta de instalación como referencia local para VSHOST1.La ruta de acceso de VMX se da desde la perspectiva del servidor de biblioteca.La línea de comandos resultante en Windows PowerShell es la siguiente:
new-v2v –LibraryServer $library –vmxpath
"\\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx"
–vmhost $vmhost -name "DemoV2V"
–path "C:\VHDs"
Tal como puede ver, aquí convertimos el VMX/VMDK para \\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx en el servidor de biblioteca $library (VMMSERVER), implementándolo en el host en la variable $vmhost (VSHOST1), con el nombre DemoV2V, hacia la ruta C:\VHDs en VSHOST1.
Una vez que se ha ejecutado el comando, es siempre buena idea retroceder a la ventana Trabajos en la Consola de administrador de VMM con el objeto de ver el progreso.El VMX/VMDK se convertirá y copiará en VSHOST1, donde el VHD resultante se agregará a la lista de VM como DemoV2V.Cuando el proceso haya terminado por completo, podrá usar VMM para iniciar la nueva máquina virtual y revisar los resultados.

Conclusión
Tal como puede ver, System Center Virtual Machine Manager 2007 integra una serie de nuevas y atractivas características y capacidades en su infraestructura virtual.Con la revisión de los procesos FaV y V2V, espero haberle mostrado la facilidad con la que usan Virtual Machine Manager.
VMM se ha diseñado para simplificar el trabajo del administrador de TI en lo que se refiere a la creación, implementación y mantenimiento de las VM.Con el lanzamiento de System Center Virtual Machine Manager 2007, recomiendo encarecidamente que los administradores de Virtual Server 2005 consideren el uso de Virtual Machine Manager para mantener sus hosts de máquina virtual.En cuanto a usuarios de la nueva virtualización de Windows Server en Windows Server 2008, Microsoft ofrecerá soporte técnico para la virtualización de Windows Server en la siguiente versión de System Center Virtual Machine Manager, que estará disponible tras el lanzamiento final de la virtualización de Windows Server 2008.
Para obtener más información acerca de VMM y para descargar una demostración, visite microsoft.com/SCVMM.Para obtener más información acerca de todos los productos de virtualización de Microsoft, visite microsoft.com/virtualization.

Edwin Yuen es Director técnico de producto de la división de Administración empresarial de Windows para System Center Virtual Machine Manager.Edwin llegó a Microsoft por medio de la adquisición de Softricity en julio de 2006.Edwin cuenta también con 13 años de experiencia en consultoría técnica tanto en espacios comerciales como federales.Es licenciado en Ingeniería eléctrica por la Johns Hopkins University.
© 2007 Microsoft Corporation and CMP Media, LLC. Reservados todos los derechos; queda prohibida la reproducción parcial o total sin previa autorización.


 System Center: Mejores copias de seguridad con Data Protection Manager 2007
System Center Calvin Keaton

Mejores copias de seguridad con Data Protection Manager 2007
Resumen:
  • Cómo dejar atrás las copias de seguridad en cinta
  • Protección continua de datos
  • Copias de seguridad en disco
  • Control más granular con DPM

El mercado de protección de datos se encuentra en una etapa de renacimiento.Después de años de soluciones de copias de seguridad en cinta e intentos de copias de seguridad diarias de talla única, hay una gran cantidad
de tecnologías y métodos que han aparecido en el mercado en un espacio de tiempo relativamente corto.Estas tecnologías nuevas incluyen la copia de seguridad en disco, la protección continua de datos (CDP) e incluso algo tan aparentemente sencillo como el cifrado de datos.Algunos de estos enfoques nuevos han sido posibles o incluso necesarios por las recientes reducciones en el precio del almacenamiento en disco, por mejoras en el rendimiento de la red y el procesador, y por requisitos normativos nuevos.
Microsoft tiene un largo historial como proveedor de soluciones basadas en aplicaciones y plataformas en esta área, como las herramientas de copia de seguridad de NTBackup, Exchange Server y SQL ServerTM, por nombrar sólo algunos ejemplos.
System Center Data Protection Manager (DPM) 2006 supuso la primera entrada de Microsoft en el mercado de software independiente de protección de datos. Fue uno de los primeros productos en ofrecer protección de datos en disco, y permanece como una de las pocas soluciones elaboradas desde su base con el enfoque de la copia de seguridad basada en disco.La mayoría de las otras ofertas eran y continúan siendo enfoques basados en cinta que se han adaptado a disco.
DPM es parte de la familia de productos System Center.Los productos de System Center están diseñados para funcionar en conjunto con el fin de hacer más fácil y rentable la administración diaria de la compleja infraestructura de TI.Las soluciones de System Center se basan en la automatización y las mejores prácticas derivadas de Microsoft® Operations Framework (MOF) y la Biblioteca de infraestructuras de tecnologías de la información (ITIL), y se pueden usar en todos los niveles de una organización.
DPM es sólo una parte de la familia System Center.System Center Configuration Manager ofrece administración de configuración y distribución de software.System Center Operations Manager proporciona supervisión y automatización proactivas de sistema.System Center Capacity Planner se puede usar en la planeación de capacidad y en el análisis WhatIf de implementaciones de infraestructura.Consulte microsoft.com/systemcenter para obtener más información.
System Center Data Protection Manager 2006 proporcionaba copia de seguridad en disco de servidores de archivo e impresión, así como copia de seguridad en disco basada en WAN de sucursales.Fue diseñado para proteger servidores de archivos en el centro de datos y para extraer el hardware de copia de seguridad en cinta local de la sucursal.Pero carecía de compatibilidad para aplicaciones de Microsoft y dependía de productos de terceros para almacenamiento en cinta a largo plazo.
La nueva versión de DPM, System Center Data Protection Manager 2007, se basa en estos fundamentos y continúa proporcionando una protección en disco eficaz de los servidores de archivo e impresión así como de sucursales, pero agrega también compatibilidad con aplicaciones de Microsoft esenciales para la empresa, tales como Exchange, SQL Server y Sharepoint®, y compatibilidad nativa para copias de seguridad en cinta.No es muy usual ver una cantidad significativa de cambios en una nueva versión, pero esto es especialmente cierto en el caso de DPM.La segunda versión ha agregado muchas características nuevas, así como mejoras considerables a características existentes.En este artículo, le guiaré a través de varias de estas características nuevas y mejoradas, y le daré una visión más amplia de lo que puede esperar de esta nueva versión.

Compatibilidad de aplicación y plataforma
Muchos proveedores de software de copia de seguridad dan un enfoque un tanto extraño a la compatibilidad con aplicaciones.Extienden su inversión en ingeniería en muchas aplicaciones para ofrecer compatibilidad con tantas fuentes de datos como sea posible.El resultado es una compatibilidad muy básica para un gran número de aplicaciones.En lugar de tratar de ofrecer compatibilidad limitada a un amplio espectro de aplicaciones o plataformas, Microsoft ha elegido centrarse en proteger unas pocas aplicaciones muy específicas en la plataforma Windows®.Esto nos ha permitido centrar nuestra inversión en ingeniería en estas aplicaciones para crear una experiencia integrada de copia de seguridad y restauración, que incluye características que no se encuentran comúnmente en otros productos de copia de seguridad.
La compatibilidad de Microsoft Exchange fue la solicitud número uno de los usuarios de DPM 2006. Con esta idea en mente, DPM 2007 introduce la compatibilidad para Exchange Server 2003 y Exchange Server 2007. La protección se produce al nivel de grupo de almacenamiento con grupos de almacenamiento individuales que aparecen como objetos en la interfaz de usuario de DPM que, posteriormente, pueden agregarse a grupos de protección, según se necesite, para realizar copias de seguridad programadas y controladas por directiva.Los grupos de almacenamiento en clúster aparecen como un solo objeto, eliminando la necesidad de realizar seguimiento de miembros individuales de un clúster y de sincronizar manualmente su protección.Las restauraciones se pueden producir a los niveles de Grupo de almacenamiento, Base de datos o Buzón de correo.La recuperación granular se consigue mediante la automatización, que usa herramientas estándar de Exchange para restaurar los datos en un grupo de almacenamiento de recuperación y extraer a continuación objetos más granulares, como buzones, una vez más mediante herramientas estándar de Exchange (consulte la Figura 1).
Figura 1 Compatibilidad de Exchange en DPM
Figura 1 Compatibilidad de Exchange en DPM
A diferencia de otras soluciones de copia de seguridad de Exchange, DPM no depende de herramientas que no sean de Exchange o de ingeniería inversa de la base de datos de Exchange cuando extrae objetos que se restauran seguidamente.Así que las restauraciones de buzón basadas en DPM son totalmente compatibles con Exchange.
DPM 2007 es el primer producto totalmente compatible con los clústeres de replicación continua en clúster (CCR) y replicación continua local (LCR) de Exchange 2007.También son compatibles los clústeres de Exchange 2003.
SQL Server 2000 y SQL Server 2005 son compatibles con DPM 2007, con la copia de seguridad y la restauración produciéndose al nivel de base de datos.Se incluye también la compatibilidad con restauraciones redirigidas y con nombre cambiado, así como la compatibilidad con bases de datos de trasvase de registros, reflejadas o en clúster.
Al igual que con Exchange, las bases de datos en clúster aparecen como un solo objeto en la interfaz de usuario, eliminando la necesidad de configurar la protección en varios servidores en clúster por separado (consulte la Figura 2).La compatibilidad de SQL Server en DPM puede usarse para proteger varias aplicaciones de terceros que dependen de bases de datos back-end de SQL Server, con compatibilidad para la aplicación mediante la protección de archivos, y la protección de la base de datos de SQL Server de manera nativa mediante compatibilidad de DPM para SQL Server.El motor flexible de programación en DPM permite agregar la copia de seguridad tanto de archivos como de SQL Server al mismo grupo de protección para se produzcan de forma simultánea y compartan una interfaz de administración y programación común.
Figura 2 Copias de seguridad en clúster
Figura 2 Copias de seguridad en clúster
Las cargas de trabajo de colaboración se protegen con Sharepoint 2007, y se ofrece compatibilidad con Windows SharePoint Services (WSS) 3.0 y Microsoft Office SharePoint Server (MOSS) 2007.La compatibilidad se produce a nivel de granja, incluso si esta granja abarca más de un servidor.Así, por ejemplo, una granja formada por tres servidores front-end web, dos servidores de colección de sitios y un solo servidor de base de datos para un total de seis servidores aparecerían como un solo objeto en la interfaz de usuario de DPM, se realizaría la copia de seguridad como un solo objeto y también podrían ser restaurados como un solo objeto mediante DPM.
Aunque son compatibles las restauraciones completas de granja, DPM incluye también compatibilidad para sitios, para la colección de sitios y para la restauración de documentos, listas o artículos individuales.Las versiones anteriores de Sharepoint pueden, por supuesto, protegerse como bases de datos de SQL Server mediante características de protección de SQL Server de DPM.
Las cargas de trabajo de archivo e impresión continúan siendo compatibles en DPM 2007, con compatibilidad con Open File disponible sin costo adicional.Se ha agregado la compatibilidad con exclusiones de archivo y carpeta, así como compatibilidad con la copia de seguridad de estado del sistema.Es importante tener en cuenta que la compatibilidad con archivos se ha expandido aún más para incluir Windows Vista® y Windows XP.Pero la compatibilidad para estos sistemas operativos cliente es relativamente limitada, ya que está orientada principalmente a sistemas que se usan como servidores de archivos.A los usuarios de DPM se les permite proteger un número pequeño de clientes según necesiten, pero esta compatibilidad no se escalará necesariamente a un mayor número de escritorios.
La compatibilidad nativa con servidores Exchange, SQL Server, servidores Sharepoint y servidores de archivo permite que DPM sea compatible con la inmensa mayoría de las cargas de trabajo encontradas en entornos de Windows.Pero, para cargas de trabajo no tan comunes, DPM 2007 incluye también compatibilidad para scripts ant. y post. que se pueden ejecutar de manera automática cuando se produce una copia de seguridad.Esta funcionalidad permite que DPM sea compatible con una gran variedad de aplicaciones o cargas de trabajo.Dicha compatibilidad no es tan integral como la que ofrecen Exchange, SQL Server y Sharepoint, pero ofrece una flexibilidad considerable en la compatibilidad con orígenes de datos.Las notas del producto que detallan cómo conseguir compatibilidad con algunos productos clave que no son de Microsoft, tales como Oracle, estarán disponibles en DPM TechCenter en technet.microsoft.com/dpm.
Una de las innovaciones más interesantes en DPM 2007 es la compatibilidad de servidor virtual basado en host.Mientras que la mayoría de los productos de copia de seguridad son compatibles con servidores virtuales invitados como servidores individuales, pocos (en caso de haber alguno) son capaces de ofrecer dicha protección al nivel de host mediante la instalación de una sola licencia y un agente.DPM aprovecha los escritores recursivos del Servicio de instantáneas de volumen (VSS) para proteger todos los invitados que se alojan en un servidor virtual mediante un solo agente implementado en el host.Estos escritores recursivos de VSS pueden llamar a escritores de VSS alojados en los invitados o incluso en aplicaciones que se ejecutan en invitados independientemente de la aplicación o el sistema operativo instalados en el invitado.Esto permite a DPM proteger cualquier plataforma o aplicación que se ejecute como invitado, independientemente del proveedor.Dichas copias de seguridad de servidor virtual basadas en host son coherentes con respecto a aplicaciones y producen una imagen de disco duro virtual (VHD) que se puede restaurar en un host nuevo o existente, según sea necesario.
Estas imágenes de copia de seguridad basadas en host no ofrecen la misma granularidad de restauración que las copias de seguridad realizadas mediante un agente de DPM instalado en el servidor invitado o independiente, pero ofrecen otras ventajas, incluida la recuperación fácil de sistema en entornos virtualizados.

Velocidad, confiabilidad y eficacia
Además de mejoras tanto en la profundidad como en la amplitud de compatibilidad con aplicaciones en comparación con la versión anterior, DPM 2007 permite una granularidad incrementada de copias de seguridad completas e incrementales.Mientras que DPM 2006 le permitía sincronizar hasta cada hora, la versión nueva de DPM le permite hacer una copia de seguridad incremental cada 15 minutos y una copia de seguridad completa cada hora.Para clientes con contratos de nivel de servicio (SLA) menos exigentes, la copia de seguridad completa podría requerirse sólo una vez a la semana.Así, estos clientes pueden reducir la frecuencia de copias de seguridad en servidores menos críticos y, al mismo tiempo, utilizar programaciones de protección más frecuentes para servidores críticos.Aunque la sincronización con el servidor DPM se produce hasta cada 15 minutos, el agente de DPM sigue activamente los cambios en el servidor protegido durante el intervalo entre sincronizaciones.
Este agente nuevo de DPM sigue continuamente los cambios a nivel de bloque a medida que se producen en un servidor protegido.Esto es posible gracias a un filtro de volumen completamente nuevo desarrollado para DPM 2007 que consiste en un mapa de bits alojado en la memoria de grupo paginada e incluye un bit para cada bloque del volumen protegido.
Cada vez que se escribe un bloque en el volumen, cambia un bit en el mapa de bits.La repercusión del procesador y la memoria asociada con este proceso es más baja que con un filtro antivirus típico y no hay requisito de espacio en disco que incrementa con la tasa de cambios.De hecho, la carga asociada con este filtro no aumenta en absoluto con la tasa de cambios.Esto es muy importante, ya que la mayoría de los esquemas de seguimiento de cambios a nivel de bloque tienen generalmente como resultado la sobrecarga del procesador y de la memoria, así como una superficie de disco que aumenta con la tasa de cambios.Así que las tasas más altas de cambios tienden a tener mayor repercusión y, a veces, las tasas de cambios muy altas pueden tener como resultado que el sistema se quede sin espacio en disco.Con DPM 2007, la repercusión del filtro del volumen en el procesador, la memoria y el disco es la misma independientemente de la tasa de cambios.Ya sea de un 1% o de un 1000%, la tasa de cambios simplemente no tiene repercusión en la baja sobrecarga asociada al filtro.
El seguimiento de los datos cambiados es sólo una parte de la historia, sin embargo.DPM 2007 aprovecha también VSS en el servidor protegido para crear las imágenes de copia de seguridad coherentes con respecto a las aplicaciones que se pueden recuperar de forma confiable.VSS fue desarrollado por Microsoft para ofrecer la infraestructura de copia de seguridad para Windows XP y Windows Server® 2003, y para servir como mecanismo para crear copias coherentes de datos de un momento dado (instantáneas).VSS puede producir instantáneas coherentes coordinando lecturas y escrituras con aplicaciones de negocio, servicios de sistema de archivo, aplicaciones de copia de seguridad, soluciones de recuperación rápida y hardware de almacenamiento.Como resultado, VSS es posiblemente el mecanismo más coherente y confiable para producir copias de seguridad coherentes que existe en el mercado hoy en día.Varias características de Windows Server 2003 usan VSS, incluida la característica Instantáneas para carpetas compartidas.
La mayoría de los productos que usan VSS para copias de seguridad de aplicaciones crean una copia de VSS y la dejan colocada en el servidor protegido para seguir los cambios y obtener una imagen coherente con respecto a las aplicaciones para la copia de seguridad.Desafortunadamente, mantener la copia en este lugar del servidor protegido durante todo el tiempo tiene algunas implicaciones considerables en el rendimiento, ya que se realiza una copia de la escritura para mantener la réplica de VSS actualizada cada vez que la aplicación escribe en el disco.Esto puede generar una sobrecarga del procesador de hasta un 25% y tiene una repercusión considerable en los tiempos de escritura.
Ya que DPM sigue los cambios mediante su filtro de volumen, no necesita mantener una copia de VSS en su lugar todo el tiempo.En su lugar, DPM crea una réplica de VSS cuando se produce una copia de seguridad completa y, a continuación, superpone el mapa de bits del filtro de volumen para identificar solamente los datos cambiados en la réplica.Estos datos cambiados se trasladan al servidor DPM, que se usa para crear un punto de recuperación.La réplica de VSS en el servidor protegido se elimina y el filtro del volumen se restablece.El seguimiento de cambios a nivel de bloque continúa entonces con una sobrecarga mínima y ninguna necesidad de réplica de VSS ni su uso asociado del recurso.
Esta solución garantiza que los puntos de recuperación tendrán como resultado una imagen de la aplicación restaurable, y reduce la cantidad de datos que se mueven entre el servidor protegido y el servidor DPM.
Con DPM 2007, una copia de seguridad completa no mueve una copia completa de los datos del servidor protegido al servidor DPM.En lugar de esto, mueve sólo los datos cambiados.Así que una copia de seguridad completa diaria en un Grupo de almacenamiento de Exchange de 100 GB con una tasa de cambios del 10% al día sería sólo 10 GB.
Esta reducción en el tamaño de copias de seguridad completas se traduce en un almacenamiento muy eficiente en el servidor DPM cuando se crea una instantánea para capturar un punto de recuperación.Cada instantánea está formada por los datos cambiados que formaron la última copia de seguridad completa, y se produce automáticamente cuando se realiza una copia de seguridad completa.Cuando tratan con aplicaciones, estas instantáneas incluyen también cualquier copia de seguridad incremental que se haya producido.
Las copias de seguridad incrementales son esencialmente copias de seguridad de registro en DPM, así que cada vez que toma una copia de seguridad completa de una aplicación, los datos cambiados se mueven al servidor DPM y se incluyen en cualquier copia de seguridad del registro para crear una sola instantánea que contiene varios puntos de recuperación.En el caso del grupo de almacenamiento de Exchange de 100 GB con un 10% de tasa de cambios diaria descrita anteriormente, si suponemos la existencia de un copia de seguridad completa diaria y de copias incrementales de 15 minutos, una instantánea incluiría 10 GB de datos cambiados y aproximadamente de 5 a 10 GB de registros de aplicaciones.Pero es importante observar que esta instantánea de 15 a 20 GB contendría hasta 97 puntos de recuperación.
Las copias de seguridad completas deben realizarse por lo menos una vez a la semana, y el número total de instantáneas está limitado a 512 para servidores de aplicaciones y a 64 para servidores de archivos.Así, al realizar las copias de seguridad completas semanales y las copias de seguridad incrementales cada 15 minutos, tendríamos como resultado 673 puntos de recuperación por instantánea y más de 340.000 puntos de recuperación si se usaran 512 instantáneas.Aunque es poco probable que alguien tenga la necesidad de tantos puntos de recuperación en disco, se demuestra la flexibilidad y la escalabilidad de DPM con respecto a la programación de tareas y la recuperación a un momento dado.
La inclusión de las copias de seguridad del registro en las copias de seguridad completas permite a DPM almacenar eficientemente un gran número de puntos de recuperación en una cantidad muy pequeña de espacio en disco.Pero hay alguna sobrecarga asociada a este proceso; además, este no es técnicamente de compresión ni de almacenamiento de instancia única (SIS), aunque hay algunos componentes de deduplicación de datos en el proceso, a saber, el seguimiento de cambios a nivel de bloque.Sea lo que sea la etiqueta, DPM realiza un buen trabajo al usar una cantidad pequeña de almacenamiento para cada punto de recuperación creado.Lo que es más importante, ya que DPM no usa la compresión tradicional, el almacenamiento de instancia única, ni la deduplicación para realizar esta tarea, hay espacio para eficacia adicional si se usa una compresión, SIS o plataforma de almacenamiento de deduplicación para ofrecer almacenamiento al servidor DPM.

Recuperación de pérdida de datos cero y CDP
Quizás uno de los cambios más emocionantes en DPM 2007 es su capacidad para realizar recuperaciones sin pérdidas de aplicaciones de Microsoft.Esto es posible gracias al seguimiento de cambios a nivel de bloque y la arquitectura de VSS, así como a la integración profunda con registros de aplicaciones existentes en el servidor protegido.
Por lo general, hoy en día hay dos enfoques en cuanto a la protección de datos y recuperación en el mercado:
Soluciones basadas en replicación Esto es lo que la mayoría de los clientes conocen tradicionalmente como protección continua de datos (CDP).La protección de datos basada en replicación implica el movimiento de cambios del servidor protegido al servidor de copia de seguridad a medida que se producen.Esto es una solución basada en disco que pretende permitir la recuperación a cualquier momento dado con pérdida de datos cero.
Aunque esto es un reclamo atractivo, hay unas pocas desventajas asociadas a este enfoque.En primer lugar, una solución de replicación no tiene concepto de estado de aplicación, ni ningún conocimiento de las piezas que se mueven en una aplicación.Así que no vacía los búferes ni tiene en cuenta los datos que puedan estar en la memoria ni en tránsito cuando se produce la copia de seguridad.Esto significa que estos puntos de recuperación basados en replicación a menudo no son coherentes con la aplicación.Puede realizar una recuperación, pero la aplicación no regresa realmente a un estado que se puede usar.Este problema es tan predominante que algunos proveedores de CDP basada en replicación incluyen notas en su documentación que dicen que intente otro punto de recuperación para una aplicación si la actual no funciona.
Además de estos problemas de coherencia, las soluciones de CDP basada en replicación son generalmente bastante costosas, producen una sobrecarga considerable de la red y el procesador, y requieren cantidades bastante elevadas de almacenamiento, que puede localizarse en el hardware propietario.Las soluciones de protección de datos basada en replicación tampoco están bien adaptadas a copias de seguridad en cinta para archivo o externas, y ambas constituyen un requisito para muchos clientes.
Soluciones basadas en instantáneas Este es un enfoque tradicional de copia de seguridad en cinta a la protección de datos en la que las instantáneas de un momento dado se crean en medios externos que se pueden usar para recuperaciones a un momento dado.El objetivo del punto de recuperación (RPO) viene determinado por la frecuencia de las instantáneas, así que una copia de seguridad diaria tiene como resultado 24 horas de pérdida de datos.La ventaja de las instantáneas es que son baratas, fáciles de administrar, tienen una repercusión más limitada en la red y están bien adaptadas al archivado en disco o cinta.Tienden también a tener como resultado imágenes coherentes con respecto a las aplicaciones porque tiene tiempo de preparar la aplicación antes de que se tome la instantánea, así que tiene menos riesgo de que cualquier parte móvil de la aplicación quede omitida cuando se produzca la copia de seguridad.
Una tendencia reciente en la toma de instantáneas es la constituida por soluciones cuasi-CDP.Estas son soluciones de instantánea en las que la frecuencia de instantáneas se aumenta para que el RPO pase a ser muy bajo.Algunos productos ahora miden su RPO en minutos y toman dichas instantáneas con tanta frecuencia que han abandonado la denominación "cuasi-CDP" y se llaman a sí mismos productos CDP.No obstante, pierden todavía algunos minutos de datos en caso de restauración.
En este sentido, DPM 2006 fue una gran solución cuasi-CDP, pero DPM 2007 es único en su enfoque a CDP.La nueva versión de DPM toma instantáneas hasta cada 15 minutos usando VSS y su tecnología de seguimiento de cambios a nivel de bloque para sólo mover los datos cambiados de la instantánea de VSS en el servidor protegido.Así, las instantáneas individuales de un momento dado son muy pequeñas, ya que sólo están formadas por cambios a nivel de bloque.Esto es esencialmente un enfoque muy avanzado de toma de instantáneas.La novedad en DPM es la integración profunda de aplicaciones para Exchange, SQL y Sharepoint.Es tan profunda que DPM es consciente de los registros de aplicación y puede poner al día estos registros en caso de recuperación.Siempre que sus registros de aplicación estén disponibles (deben estarlo si sigue las mejores prácticas y los tiene en una unidad de disco separada), DPM podrá ponerlos al día desde la última instantánea de un momento dado para una recuperación sin pérdida (consulte la Figura 3).
Figura 3 Opciones de recuperación en la Consola de administración de Data Protection Manager
Figura 3 Opciones de recuperación en la Consola de administración de Data Protection Manager
En muchos sentidos, este enfoque híbrido a CDP es lo mejor de ambos mundos.Ofrece la coherencia de aplicaciones y la compatibilidad de archivo a largo plazo de una solución de toma de instantáneas con funciones de pérdida de datos cero de un producto de replicación, al mismo tiempo que evita muchas de las desventajas de cualquier solución.

Compatibilidad con copias de seguridad en disco y cinta
Ninguna discusión sobre las nuevas características de DPM 2007 estaría completa sin mencionar la adición de la compatibilidad con cinta al producto.DPM 2006 es compatible solamente con copias de seguridad disco a disco (D2D), con el traslado de datos del disco en el servidor protegido al disco en el servidor DPM.DPM 2007 incluye compatibilidad tanto para medios de disco como de cinta.Por lo tanto, los datos se pueden mover del disco en el servidor protegido al disco adjunto al servidor DPM (D2D), a la cinta adjunta al servidor DPM (D2T), o los datos protegidos pueden ubicarse en el disco en el servidor DPM antes de moverse a la cinta para la retención a largo plazo (D2D2T).
DPM 2007 es compatible con una gran variedad de bibliotecas de cinta y cargadores automáticos, así como con una gran variedad de tipos diferentes de medios de cinta.
La compatibilidad de cinta en DPM incluye muchas características avanzadas, tales como el cifrado basado en software de medios de cinta sin ningún costo adicional, así como la administración básica de claves de cifrado, retención de cinta y seguimiento de ubicaciones.

Conclusión
He detallado varias de las nuevas características y mejoras que se encuentran en System Center Data Protection Manager 2007. Estas características han sido diseñadas para proporcionar una protección de datos administrados coherente, segura y fácil para plataformas y aplicaciones de Microsoft, estableciendo un nuevo estándar en la protección de datos de aplicaciones y plataformas de Windows.
Además de las características resumidas en este artículo, hay muchas más mejoras en el producto, tales como la recuperación por el usuario final integrada en Windows, la limitación de ancho de banda flexible y una interfaz de línea de comandos avanzada.Le animo a descargar la versión beta 2 de Data Protection Manager 2007 para ver cómo funcionan estas y otras características.Para obtener más información y una descripción de todos los productos de la familia System Center, visite microsoft.com/systemcenter.Desde aquí, puede navegar por cualquier solución de la familia System Center, incluido Data Protection Manager.

Calvin Keaton se encarga actualmente de la planeación de producto para DPM.Anteriormente, administró el servicio de Protección de datos de TI de Microsoft.Calvin contaba con seis años de experiencia en el sector de hardware y operaciones de centro de datos antes de llegar a Microsoft. Entre otras cosas, se encargó de la administración de los equipos de operaciones de sitio de centro de datos para Compaq y, más tarde, para HP Services.


 System Center: Los servicios en l&#237;nea ayudan a simplificar el inventario de software
System Center Paul Bourgeau

Los servicios en línea ayudan a simplificar el inventario de software
Resumen:
  • Aspectos básicos de los servicios en línea
  • Configuración del agente de inventario
  • Obtención de informes de inventario

Su director financiero acaba de enviarle un correo electrónico en el que le pide un "pequeño favor":necesita un inventario completo de todos los equipos de su organización, dónde se encuentran y qué software hay instalado en cada
uno.Para el final de la semana.Lo necesita porque (elija uno o más):
  • es el momento de planear el presupuesto del año que viene y desea saber cuánto asignar para licencias de software.
  • ha recibido un aviso de auditoría de software y tiene que demostrar que su organización cuenta con suficientes licencias de un determinado producto para estar en regla.
  • el director general le ha pedido que reduzca los gastos en operaciones de TI y piensa que la estandarización de aplicaciones es una forma de lograrlo.
Entonces, ¿qué debe hacer?
La administración de activos de TI ha evolucionado durante la década pasada y, ahora, las organizaciones dirigen su atención a la administración efectiva de sus activos de software.Esto se debe principalmente a que el software ahora representa una inversión financiera considerablemente mayor que antes, pero también hay más cuestiones legales, de seguridad y de directiva a las que se debe prestar atención.La posibilidad de hallarse en una situación de incumplimiento y afrontar grandes sanciones o tarifas por reajuste ha destacado la necesidad de una administración precisa de los activos de software.
Las organizaciones de mayor tamaño disponen de los recursos y las herramientas para administrar el software.Estas herramientas normalmente son soluciones a gran escala y multipropósito que no sólo realizan el seguimiento del inventario de hardware y software, sino que también administran la entrega de software para el escritorio y supervisan el rendimiento, además de desempeñar otras funciones operativas.¿Y las organizaciones donde estas soluciones no son viables o donde los recursos y la experiencia para implementar y administrar dichas soluciones complejas no están disponibles?
La satisfacción de las necesidades de las empresas grandes y pequeñas es una de las principales influencias promotoras del concepto de software como servicio (SaaS).La estrategia de "software más servicios" de Microsoft abarca esfuerzos para desarrollar soluciones basadas en servicios con el fin de ayudar a los clientes a administrar los activos de software de forma eficaz.Uno de estos primeros servicios, Microsoft® Asset Inventory Service, se va a lanzar para los clientes de Software Assurance como parte de Desktop Optimization Pack for Software Assurance más adelante este año.
Asset Inventory Service (AIS), mostrado en la Figura 1, proporciona un servicio hospedado fácil de implementar y usar para recopilar información acerca del software instalado en la organización.Puede tener acceso a esta información mediante informes basados en explorador, y existen planes para que en una versión futura del servicio, también se analice la implementación de los contratos de licencia por volumen de Microsoft.
Figura 1 Microsoft Asset Inventory Service
Figura 1 Microsoft Asset Inventory Service

La naturaleza de los servicios en línea
¿Por qué adoptar una solución en línea?Hay varios motivos atractivos, entre ellos, la inmediatez de la disponibilidad de actualizaciones y nuevas versiones, la facilidad de adopción y los costos reducidos de implementación y administración.
Los servicios en línea son dinámicos:al igual que una página web, el proveedor de servicios puede actualizar constantemente el contenido y la funcionalidad para mejorar la experiencia del usuario y proporcionar respuestas actuales a los cambios en el panorama tecnológico.Esto ofrece un nivel sin precedentes de agilidad y permite a los proveedores de software proporcionar características, soluciones y conocimientos actualizados para que los administradores puedan ser más proactivos al administrar sus escritorios.
Los servicios en línea tienen la ventaja de ser ubicuos.En los entornos de TI de hoy en día, se encuentra una combinación de situaciones, que van desde equipos totalmente en red que se conectan a los recursos de la red de forma directa, hasta usuarios y sucursales que tienen acceso a los recursos a través de Internet desde ubicaciones dispersas.Si además se cuentan los usuarios móviles que se conectan a la red en contadas ocasiones, excepto a través de programas de correo basados en Web, resulta muy difícil lograr un inventario completo de los activos de TI.Históricamente, esto ha supuesto un reto importante para las herramientas de inventario, en concreto para las soluciones locales que no admiten los escenarios remotos/sin conexión a la red.
No obstante, la gran mayoría de los equipos, si no todos, tiene conectividad a Internet, por lo que se puede usar un servicio en línea para administrarlos sin implementar medidas especiales para garantizar la conectividad a las soluciones cliente-servidor internas.El acceso al servicio para realizar las funciones de administración se puede efectuar igualmente mediante una conexión de Internet segura, por lo que se puede administrar cualquier equipo de la cuenta administrada desde cualquier parte siempre que tenga acceso a Internet.
La implementación es fácil, y sólo necesita crear su cuenta con el sistema en línea para empezar.No hay que mantener servidores activos en el entorno y no se debe invertir en infraestructura de red ni en nuevas plataformas de software. Esto supone menos administración e inversión financiera.El soporte técnico continuo también es más sencillo, ya que la organización no debe preocuparse de mantener una ruta de actualización porque el servicio, la mayoría de las veces, incluirá nuevas versiones como parte del contrato de servicio.

Uso del servicio
Fomento de una comunidad en línea
Asset Inventory Service y el servicio System Center Online están fomentando el desarrollo de una sólida comunidad de usuarios que podrían influir en la evolución de los servicios en línea.El catálogo de software constituye un ejemplo excelente acerca de lo que una comunidad de usuarios podría ofrecer información (en el auténtico sentido wiki), y los usuarios del servicio podrían ofrecer sugerencias, correcciones y orientación.
En el futuro, el propio catálogo podría ser una fuente de información valiosa para los usuarios finales cuando estudian posibles compras de software.Se pueden recopilar estadísticas anónimas y acumuladas de todo el servicio para determinar las tasas de adopción de los productos de software y hardware, y proporcionarán datos útiles a los usuarios finales que intervengan en estas actividades.
La comunidad también será la voz que oriente la dirección general del servicio al aportar comentarios acerca de las áreas a las que se debe asignar prioridad para satisfacer necesidades de negocio específicas.

Para proporcionar servicios de administración de escritorio en línea, Microsoft System Center Online está creando una plataforma que no sólo admitirá Asset Inventory Service a corto plazo, sino también servicios futuros.El servicio se ha diseñado pensando en la seguridad, la escalabilidad y la confiabilidad.AIS es una solución completamente hospedada, con todos los servidores ubicados en centros de datos de Microsoft.Para implementar la solución, los clientes deben instalar un pequeño elemento de software en cada equipo cliente que se desee incluir en el inventario administrado.
Asset Inventory Service viene administrado por las mismas personas que administran Microsoft.com. Se trata de una aplicación web multiconcepto que usa servicios web para garantizar la privacidad y la seguridad de los datos por cliente, y utiliza una combinación de aplicaciones cliente y web para almacenar los datos de cliente.Los agentes que se ejecutan en el sitio del cliente cargan el inventario de software a un servicio web de Microsoft IIS.SSL autenticado mutuamente protege los datos del cliente, la comunicación entre el cliente y el servicio, y el sitio web de AIS. El sitio usa SQL Server™ para el almacenamiento.
Con cuentas Windows Live™ ID para la autenticación, los clientes inician la sesión en el servicio para administrar sus cuentas y ver los informes.El sitio web del cliente también usa SSL para proteger los datos del cliente y SQL Server Reporting Services para generar informes.Las bases de datos de SQL Server están reflejadas y los sitios web presentan equilibrio de carga para ofrecer una alta disponibilidad.Además, los datos de inventario se dividen en unidades de escala para ofrecer una alta escalabilidad.
La suscripción a Asset Inventory Service se realiza con la compra de licencias Microsoft Desktop Optimization Pack en el contrato de licencias por volumen de Microsoft.A continuación, la suscripción a Asset Inventory Service se activa desde el sitio de servicios de licencias por volumen de Microsoft en licensing.microsoft.com. Para autenticarse e iniciar la sesión correctamente en el servicio AIS, debe disponer de una cuenta válida de Windows Live ID.
Durante la activación, el administrador del contrato designa a un administrador de suscripciones de Asset Inventory Service mediante la especificación de su cuenta de Windows Live ID. El administrador de suscripciones inicia la sesión en AIS con su cuenta de Windows Live ID y finaliza el proceso de activación para AIS.Posteriormente, agrega otros usuarios al servicio mediante la especificación de sus cuentas de Windows Live ID.

Agente de inventario
El cliente instalado en cada equipo es un pequeño agente fácil de implementar que se ofrece empaquetado en Windows® Installer (MSI).Puede descargar el instalador del agente y administrar la implementación de clientes desde el servicio en línea.La Figura 2 muestra la interfaz de administración y soporte técnico.El agente actúa de forma similar al agente de Windows Update en que se comunica con los servidores de System Center Online de forma periódica.De este modo, actualiza su perfil de inventario según una frecuencia predefinida y se actualiza automáticamente si hay disponible una versión más reciente del agente.
Figura 2 Administración de cuentas e implementación de clientes
Figura 2 Administración de cuentas e implementación de clientes
El inventario está programado para ejecutarse automáticamente y no se requiere la intervención del usuario.También hay una opción para iniciar un inventario manual si es necesario.La primera vez que un agente se pone en contacto con el servicio, usa credenciales de certificado de infraestructura de claves públicas (PKI) para presentar la identidad del cliente al servicio y generar una identidad única para el equipo en el que se ejecuta el agente.El propio agente, que sólo se ejecuta de forma programada, está diseñado para no interferir en la acción del usuario, por lo que usa pocos recursos y se ejecuta de fondo.Los archivos de datos cargados son pequeños para no provocar un aumento brusco del tráfico de red.
El proceso de inventario es ligero y eficaz.El agente analiza las entradas del Registro, la base de datos MSI y otros orígenes para obtener información de instalación, a diferencia de los sistemas de administración tradicionales, que interfieren en la productividad de los usuarios al analizar y resolver todos los ejecutables presentes en un equipo.Este proceso devuelve datos de inventario de software mediante nombres descriptivos con metadatos que sirven de ayuda en la identificación y clasificación de elementos, de modo que se puedan usar en un amplio conjunto de actividades de administración de activos de software.

Reporting Services
Una vez cargados los datos de inventario, pasan por un proceso de identificación y catalogación que los prepara para su presentación en informes.Los datos de inventario se comparan con un catálogo de software centralizado donde se clasifican.Esta es una de las capacidades más importantes del servicio:los datos de inventario de software de cada cliente contribuyen a firmas únicas en un catálogo de software centralizado.Un equipo de investigadores en Microsoft revisa las firmas de software no privadas y sin clasificar y, mediante una taxonomía estructurada de familias y categorías de software, clasifica las aplicaciones que representan según lo que son y lo que hacen. Estas categorías contribuyen a proporcionar un mayor nivel de inteligencia para los informes al permitir que los usuarios se centren rápidamente en los tipos de software específicos en los que están interesados, por ejemplo, se pueden consultar sólo aplicaciones antivirus.
Las firmas de software también sirven para consolidar los datos que se muestran en los informes.Por ejemplo, un nombre de publicador puede tener una serie de variaciones: una aplicación puede mostrar el nombre de publicador como Contoso Software, mientras que otra puede notificar Contoso, por lo que se mostrarían de forma distinta en un informe.Con la consolidación de nombres de publicador y aplicación, mejora la capacidad de realizar informes por estos criterios y presentar los datos de una forma significativa.
Una vez que el usuario ha llegado al conjunto de datos deseado mediante la aplicación de filtros y agrupaciones, el contenido de informe se puede exportar en diferentes formatos compatibles mediante el uso de SQL Server Reporting Services, incluidos archivos CSV, documentos de Microsoft Word, hojas de cálculo de Microsoft Excel® y archivos PDF (consulte la Figura 3).De este modo se pueden efectuar tareas de análisis y manipulación externas adicionales, o puede servir como datos de entrada para otros sistemas de administración empresarial.
Figura 3 Informe de resultados de inventario
Figura 3 Informe de resultados de inventario
Una característica futura del servicio mejorará la forma en que se tratan las licencias de Microsoft, y se facilitará mucho el proceso para los usuarios.Los usuarios podrán cargar sus pares de contrato de licencia por volumen, que se usarán para recuperar su información de posición de licencia del repositorio de posiciones de licencia de cliente de Microsoft.Estos datos de derecho a licencia rellenarán una declaración que resuma todo el software de Microsoft del que se puede obtener licencia que se encuentre instalado y las cantidades de licencias correspondientes.
Con el identificador del producto, que también se recopila durante el inventario, el software instalado se puede dividir por canal:licencia por volumen, comercial y OEM.Esta característica está planeada para su lanzamiento en la próxima versión de Asset Inventory Service.

Futuros desarrollos
Asset Inventory Service es la oferta inicial de System Center Online, pero en absoluto será la última.Tal como se ha mencionado anteriormente, System Center Online tiene el objetivo a largo plazo de proporcionar servicios de administración de escritorios total, para que esté completamente disponible como servicio en línea.
Algunas de las posibles ofertas que se están considerando incluyen la administración de activos de TI para el inventario y el seguimiento de hardware y software, la actualización y la distribución de software con funcionalidad similar a Windows Software Update Services desde Internet y servicios híbridos en línea/locales.También se están investigando otros servicios de administración de escritorios con el fin de comprobar si funcionarían en este tipo de escenario.
Para obtener más información acerca de Microsoft Asset Inventory Service, consulte microsoft.com/windows/products/windowsvista/enterprise/ais.mspx.

Paul Bourgeau, director de programas en el equipo System Center Online, se unió a Microsoft tras la adquisición de Assetmetrix.


 Directiva de grupo: Las plantillas ADM y ADMX en relaci&#243;n con la directiva de grupo
Directiva de grupo Jeremy Moskowitz

Las plantillas ADM y ADMX en relación con la directiva de grupo
Resumen:
  • Tipos de plantillas de directiva de grupo
  • Claves de directiva apropiadas e inapropiadas
  • Visualización de las plantillas ADM
  • Conversión de ADM a ADMX

Archivos ADM.Puede adorarlos o bien odiarlos.O quizá ambas cosas.La razón es que son, al mismo tiempo, necesarios y confusos.Y ahora existen, además, los archivos ADMX, un formato nuevo que, aparentemente, sólo agrega más confusión.Bien, ha llegado el momento de aclarar ciertos aspectos de este confuso entramado.

¿Por qué son necesarios los archivos ADM?
Una directiva de grupo cubre una gran variedad de áreas.Si se adentra en el Editor de objetos de directiva de grupo (GPOE), descubrirá muchas cosas de diversa índole que podrá llevar a cabo con la directiva de grupo.Encontrará, por ejemplo, la directiva de restricción de software, la directiva de instalación de software, la redirección de carpetas y, por supuesto, lo que más usamos:las plantillas administrativas.El nodo Plantillas administrativas aparece tanto para el usuario como para el equipo.Tal como cabría esperar, los usuarios sólo pueden adoptar la configuración de la directiva de usuario, y los equipos sólo pueden adoptar la configuración de la directiva de equipo.
Pero, ¿de dónde proceden todas estas configuraciones "mágicas" de las plantillas administrativas?Cuando surgen nuevas aplicaciones, existen ciertas configuraciones que es posible manipular potencialmente.Aquí es donde entran en juego los archivos ADM.Estos describen las áreas de la aplicación que están preparadas para aceptar la configuración definida por un administrador.Los archivos ADM encuentran, rápidamente, una limitación; desafortunadamente, sólo pueden administrar la configuración del Registro dentro de una aplicación.Pero una aplicación puede guardar su configuración en otras áreas como, por ejemplo, archivos .ini, archivos .js, archivos .xml y bases de datos.

Archivos ADM originales
Así pues, en primer lugar, ¿cómo llegaron todas estas configuraciones de directiva originales a Configuración de equipo | Plantillas administrativas y Configuración de usuario | Plantillas administrativas?Si hace clic con el botón secundario en las palabras "Plantillas administrativas" en el GPOE y selecciona "Agregar o quitar plantillas" en el usuario o bien en el equipo, verá las plantillas predeterminadas que constituyen la configuración estándar en la Figura 1.
Figura 1 Plantillas administrativas predeterminadas
Figura 1 Plantillas administrativas predeterminadas
El desglose de estos archivos es el siguiente:
  • Conf.adm: configuración de NetMeeting®.
  • Inetres.adm: configuración de Internet Explorer®, incluidas las conexiones, las barras de herramientas y la configuración de barras de herramientas.Estas configuraciones son equivalentes a las opciones disponibles al hacer clic en el menú Opciones de Internet en Internet Explorer.
  • System.adm: cambios y configuración del sistema operativo.La mayor parte de las configuraciones de la Plantilla administrativa de equipo y usuario se encuentran en esta plantilla ADM.
  • Wmplayer.adm: configuración de Windows Media® Player 9.
  • Wuau.adm: controla el acceso de cliente a los servidores Windows® Update y/o Windows Server® Update Services.

Cómo agregar un nuevo archivo de plantilla ADM
Cómo superar las limitaciones con Microsoft y las herramientas de terceros
Los archivos ADM y ADMX son extremadamente útiles.Úselos para añadir cierto conocimiento a su archivo de definición y controlar su aplicación de destino.No obstante, los archivos ADM y ADMX tienen limitaciones.De manera específica, los archivos no pueden llevar a cabo las siguientes acciones:
  • No pueden alcanzar subárboles del Registro que no sean HKEY_LOCAL_MACHINE o HKEY_Current_User.Si tiene cosas que hacer en otros subárboles del Registro, no podrá llevarlas a cabo con archivos ADM o ADMX.
  • No pueden realizar adiciones a los valores REG_Binary.
  • No pueden configurarse específicamente en "ejecutar sólo una vez".
  • No pueden configurarse específicamente en "volver a aplicar siempre" durante una actualización de la directiva de grupo.
  • La escritura de archivos ADM y ADMX en claves inapropiadas marca el Registro.Así, incluso si el usuario no formara parte del ámbito de administración (SOM) o si se eliminara el GPO, el valor persistiría.
Para superar estas limitaciones, Microsoft y algunos terceros disponen de soluciones para ayudarle.Microsoft adquirió recientemente DesktopStandard y acaba de lanzar al mercado una nueva versión de la extensión del Registro de DesktopStandard.Con esta herramienta, puede dictar qué valores específicos del Registro desea administrar en el equipo de destino mediante una interfaz de asistente dentro del GPOE.
Las tecnologías PolicyMaker de DesktopStandard (incluida la herramienta Extensión del Registro) reciben ahora el nombre de Preferencias de directivas de grupo y se incluyen con Windows Server 2008. Las Preferencias de directivas de grupo permiten al administrador configurar aplicaciones o componentes de Windows que no son normalmente configurables a través de la directiva de grupo, así como aplicarlos a ciertos usuarios o equipos según un conjunto enriquecido de reglas de definición.Las Preferencias de directivas de grupo se integran por completo con la Consola de administración de directivas de grupo y la Administración avanzada de directivas de grupo en Windows Server 2008.
Puede obtener más información acerca de las Preferencias de directivas de grupo en el artículo de Derek Melber, "Análisis de la administración avanzada de directivas de grupo", en este número de TechNet Magazine.

Esto es fácil.En primer lugar, obtenga la plantilla ADM que desea usar.Podría usar una que haya descargado de GPanswers.com (tenemos, al menos, una docena de plantillas interesantes), o quizá desee usar los archivos ADM para Office 2003 u Office 2007 ubicados en el sitio web de Microsoft.
Haga simplemente clic con el botón secundario en "Plantillas administrativas" y, a continuación, en "Agregar", tal como se muestra en la Figura 1, para agregar la plantilla.De manera predeterminada, Windows busca plantillas en el directorio \Windows\inf, pero puede almacenarlas donde desee.Quizás no esté al tanto de lo siguiente:una vez que la plantilla ADM se agrega desde el punto de almacenamiento original, esta plantilla ADM también se agrega al contenido del Objeto de directiva de grupo (GPO).
Por ejemplo, para este artículo, visité GPanswers.com y descargué nopassport.adm. En un principio, almacené este archivo de plantilla en mi directorio c:\temp.Esta plantilla ADM nos permite acabar con el mensaje "¿Desea agregar su pasaporte?" que aparece la primera vez que un usuario inicia la sesión en un equipo con Windows XP.
También descargué las plantillas ADM de Office 2003 y las almacené en c:\temp.Pero no se quedarán en este directorio.En la Figura 2, puede ver que he agregado nopassport.adm y Word11.adm. Puede ver que estas se han agregado a la lista de plantillas predeterminadas en la ventana "Agregar o quitar plantillas".
Figura 2 Archivos ADM adicionales en el GPO
Figura 2 Archivos ADM adicionales en el GPO
Ahora, si mira en el fragmento basado en archivos del GPO (específicamente, en el directorio \\domaincontroller\SYSVOL\domainname\Policies\GUID\ADM), puede ver que los archivos nopassport.adm y Word11.adm forman parte del GPO, tal como se muestra en la Figura 2.
¿Por qué se han agregado estas plantillas al GPO?Porque si intenta editar este GPO en otra estación de administración, podrá consultar la configuración de los archivos ADM.

¿Por qué no puedo ver lo que acabo de cargar?
Unas veces es posible ver las adiciones de archivos ADM y otras no, y esto provoca gran confusión a muchos administradores.Es cierto además que se trata de una pregunta muy común en GPanswers.com, así que aclarémosla ahora mismo.
Al menos, debería ver los resultados tras agregar las dos plantillas (consulte la Figura 3).Aparecerán dos nodos nuevos:Computer Configuration | Nuisances (debido a nopassport.adm) y User Configuration | Microsoft Office Word 2003 (debido a Word11.adm).Si se adentra en la configuración de Microsoft® Word 2003, verá una enorme matriz de opciones configurables, tal como se indica en la Figura 3.
Figura 3 Opciones de directiva de grupo configurables
Figura 3 Opciones de directiva de grupo configurables
Pero, ¿por qué no puede ver la configuración en el nuevo nodo Nuisances?Para comprenderlo, necesita entender, en primer lugar, la idea de claves de directiva "apropiadas" e "inapropiadas" a las que puede afectar una plantilla ADM.

Claves de directiva apropiadas frente a inapropiadas
La documentación de Microsoft establece que son cuatro áreas del Registro las consideradas como ubicaciones aprobadas para crear directivas fuera de las modificaciones del Registro:
  • HKLM\Software\Policies (configuración del equipo, la ubicación preferida)
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Policies (configuración del equipo, una ubicación alternativa)
  • HKCU\Software\Policies (configuración de usuario, ubicación preferida)
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Policies (configuración de usuario, una ubicación alternativa)
Las configuraciones que forman parte del archivo ADM de Word 2003 se escriben en estas ubicaciones apropiadas, pero el archivo nopassport.adm no; nopassport. adm se escribe en HKLM\Software\Microsoft\MessengerService\PassportBalloon.
El GPOE coloca una pequeña puerta de seguridad antes de permitirle ver estas configuraciones, ya que las configuraciones que no se escriben en estas cuatro claves de directiva apropiadas marcarán el Registro.Así pues, incluso atacando al GPO, no habrá manera de restaurar la configuración.Por ejemplo, digamos que agregó el archivo nopassport.adm y eligió eliminar el globo emergente "¿Desea agregar un pasaporte?" para cada equipo de su dominio.Más tarde, el jefe le dice que le gustaba ver el globo emergente.En este caso, le queda un largo camino por recorrer, porque todos los equipos adoptarán ahora esta configuración, básicamente para siempre, hasta que la restaure expresamente.Y, sí, es posible crear un ADM nuevo y personalizado simplemente para este fin, pero, de nuevo, podría ser un largo camino.
En contraste, la configuración de directivas normal tiene un valor predeterminado.Y, si ataca al GPO, esta configuración volverá al valor predeterminado.Por ejemplo, si elige prohibir el acceso al Panel de control mediante las plantillas ADM integradas y después cambia de opinión, lo único que necesita hacer es atacar el GPO para volver a tener acceso al Panel de control.Esto es cierto prácticamente para cada configuración que se incluye con los ADM predeterminados (salvo raras excepciones).
De nuevo, con el ADM de pasaporte silenciado y personalizado, el sitio donde se ubica la configuración de directiva no habilita el motor de directiva de grupo para devolverla tras la eliminación.Así que Microsoft le protege (inicialmente) no mostrando, en absoluto, estas configuraciones marcadas de directiva, de manera que todo será mucho más sencillo.

Visualización de plantillas ADM
Así pues, la visualización de plantillas ADM no es en absoluto complicada.De forma predeterminada, el editor no le muestra la configuración, pero es fácil corregirlo.Haga clic en "Plantillas administrativas" (o bien en el área Usuario o Equipo) y, a continuación, seleccione Ver | Filtrado.Por último, desactive la casilla (sí, desactive) "Mostrar sólo valores de directivas que pueden administrarse totalmente" (que se puede ver en la Figura 4).Al hacer esto, verá la configuración de directiva "Solicitud de pasaporte" bajo la columna Configuración, también en la Figura 4.
Figura 4 Filtrado de GPO
Figura 4 Filtrado de GPO

Windows XP en comparación con Windows Vista en el Editor
¿Ha notado una sutil diferencia en la configuración de directiva que acababa de aparecer?Observe los iconos de la configuración de directiva que se incluye con los archivos ADM de la Figura 5.Ahora, observe el icono para una configuración de directiva desde una plantilla ADM en la cual las configuraciones no escriben en las claves del Registro de directivas apropiadas, tal como se muestra en la Figura 6.
Figura 5 Archivos ADM con iconos
Figura 5 Archivos ADM con iconos
Figura 6 Iconos de uso de claves inapropiadas
Figura 6 Iconos de uso de claves inapropiadas
Esta diferencia entre el icono azul frente al rojo le ayuda a saber qué configuración se marcará y cuál no. Pero, de nuevo, todo se basa en la ubicación en la cual la configuración lleva a cabo realmente su deber.
Por cierto, en Windows Vista®, la situación cambia un poco al usar archivos ADM en la estación de administración de Windows Vista.Los archivos ADM se muestran en su propio nodo denominado "Plantillas administrativas clásicas (ADM)", tal como se muestra en la Figura 7.Lo que fue una configuración de puntos rojos se muestra ahora como iconos de desplazamiento con una flecha hacia abajo (pero mientras se edita la propia configuración, tiene un pequeño signo de prohibición de entrada).
Figura 7 Nodo de plantillas administrativas clásicas
Figura 7 Nodo de plantillas administrativas clásicas
La anterior configuración de puntos azules (que escribe en las claves de directivas apropiadas) se muestra como pequeños iconos de desplazamiento, tal como presenta la Figura 8.
Figura 8 Iconos de desplazamiento que muestran claves apropiadas
Figura 8 Iconos de desplazamiento que muestran claves apropiadas

¿Qué es todo ese bullicio en torno a ADMX?
Tanto Windows Vista como Windows Server 2003 incluyen una nueva Consola de administración de directivas de grupo (GPMC).Con esta nueva GPMC, se integra una nueva capacidad que le permite dejar de lado el uso de los anteriores archivos ADM para pasar a los nuevos archivos ADMX, si es que lo desea.¿Y por qué desearíamos dejar de lado el anterior formato ADM?
Recuerde que el archivo ADM se ubica dentro de la Plantilla de directiva de grupo (GPT) del GPO (la parte que reside en SYSVOL).Cuando esto ocurre, se graban alrededor de 4 MB en cada controlador de dominio (DC) cada vez que crea un GPO.Recuerde también que el mismo archivo ADM se coloca en la GPT del GPO porque es necesario para reeditar el GPO en otra estación de administración.Sin este archivo ADM, no puede editar ninguna configuración personalizada contenida en el GPO.
Así pues, el formato ADMX nos ayuda a apartarnos de estos problemas.No es necesario, por tanto, almacenar nada dentro del GPO directamente. De este modo, no obtendrá lo que se conoce como "saturación de SYSVOL", es decir, un SYSVOL saturado que debe almacenar los GPO llenos de archivos ADM y que tiene asignada la tarea de replicarlos en cada DC.Para solucionar esto, el nuevo ADMX estándar puede aprovechar el "almacén central".La tarea del almacén central es tener una ubicación para colocar los nuevos archivos ADMX de manera que no haya que copiarlos en cada uno de los GPO.Así pues, adiós a la saturación de SYSVOL.El otro gran objetivo del almacén central es que si un archivo ADMX tiene una definición actualizada, entonces todas las estaciones de administración de Windows Vista usarán inmediatamente este archivo ADMX actualizado.
Si desea obtener más información acerca del formato de archivos ADMX, específicamente acerca de la creación y el uso del almacén central, le ofrezco para ello dos recursos muy interesantes.Darren Mar-Elia escribió un artículo informativo sobre los elementos internos de formato de los archivos ADMX y una breve explicación del almacén central en el número de febrero de 2007 de Technet Magazine (technetmagazine.com/issues/2007/02/Templates).Es también muy útil el capítulo descargable de mi último libro, Group Policy:Management, Troubleshooting, and Security, disponible en la sección "Book Resources" de GPanswers.com.
Tal como expliqué, las plantillas ADM son aún compatibles si usa una estación de administración de Windows Vista, pero los archivos ADM no son compatibles con el almacén central.Esto puede ser un poco confuso; así pues, expliquemos detenidamente un ejemplo.
Supongamos que acabo de crear un GPO desde una estación de administración de Windows Vista y que modifico algunas de las configuraciones originales (como la prohibición de acceso al Panel de control).Ahora, supongamos también que quería agregar una plantilla ADM personalizada.Después de hacer esto, observemos la GPT del GPO y veamos lo que ha sucedido para aclararnos un poco.
Para agregar la plantilla ADM, puede repetir algunos de los pasos que realicé anteriormente.Simplemente abra el GPOE, haga clic con el botón secundario en "Plantillas administrativas" que está presente tanto en el nodo Usuarios como en Equipos y seleccione "Agregar o quitar plantilla".Puede ver la plantilla agregada en la Figura 9.
Figura 9 Visualización de la plantilla agregada
Figura 9 Visualización de la plantilla agregada
Con el objeto de ver realmente la configuración presente dentro de esta plantilla ADM, necesitará hacer lo que hicimos antes en la Figura 4.Es decir, hacer clic en Ver | Filtrado.Finalmente, desactive la casilla "Mostrar sólo valores de directivas que pueden administrarse totalmente".A continuación, cierre el GPOE y vuelva a la GPMC.La Figura 10 muestra la ficha Detalles del GPO que acabo de crear desde mi estación de administración de Windows Vista.Fíjese en el nombre fácil de recordar del GPO.Al observar la ficha Detalles, puedo determinar el GUID para el GPO, lo que facilitará las cosas cuando decida investigar en SYSVOL para buscar este GPO concreto.
Figura 10 Plantillas administrativas predeterminadas
Figura 10 Plantillas administrativas predeterminadas
Una vez que localizo la GPT del GPO (con el GUID del GPO), puedo obtener acceso al directorio ADM del GPO y ver que hay exactamente una plantilla ADM aquí, la que importé manualmente, tal como se muestra en la Figura 11.La razón es que los equipos de Windows Vista no confían en los ADM.Como no los usan de manera nativa, tampoco integran nada de manera nativa en el propio GPO.Sin embargo, si importa manualmente un ADM (tal como acabamos de hacer), continuará respetando el ADM de la misma manera que lo hacían las versiones anteriores de Windows.
Figura 11 Archivo ADM importado de manera manual
Figura 11 Archivo ADM importado de manera manual
Esto es en contraste con, por ejemplo, el GPO de la Figura 12, que se creó en un equipo que ejecuta Windows XP o Windows Server 2003. Cuando los GPO se crean mediante estaciones de administración previas a Windows Vista, los archivos ADM originales se integran en el GPO, tal como describí anteriormente.Este GPO se creó en una estación de administración de Windows XP.Es sencillo saberlo, ya que está repleto de archivos ADM que Windows Vista no necesita ni usa.
Figura 12 GPO creado en Windows XP
Figura 12 GPO creado en Windows XP

Conversión de ADM en ADMX mediante la herramienta ADMX Migrator
Así pues, Windows XP usa archivos ADM y Windows Vista usa archivos ADMX, aunque Windows Vista continuará siendo compatible con archivos ADM si es lo que tenemos disponible.Sin embargo, no podemos agregar un archivo ADM al almacén central y esperar que nuestras estaciones de administración de Windows Vista puedan usar el archivo.
Para usar la configuración presente en el ADM del almacén central, necesitaría convertir el archivo ADM a ADMX, o volver a crear los archivos ADM como archivos ADMX a mano.Por suerte, hay una descarga que realiza estas dos funciones.La herramienta ADMX Migrator (que consta de la herramienta de conversión de ADM a ADMX y de la herramienta de creación de ADMX) puede descargarse desde go.microsoft.com/fwlink/?LinkId=103774.
Puede instalar el archivo MSI de la herramienta ADMX Migrator en Windows Server 2003, Windows XP o en Windows Vista.Una vez instalado, las aplicaciones pueden encontrarse en el directorio C:\Archivos de programa\FullArmor\ADMX Migrator.La aplicación de línea de comando que ejecutaré se llama faAdmxConv.exe. Pero, puesto que el directorio no está en la ruta de acceso, necesitaría estar en este directorio para ejecutar la aplicación.Por lo tanto, cuando uso la herramienta, opto por agregar este directorio a mi ruta de acceso de Windows.El artículo en www.computerhope.com/issues/ch000549.htm explica cómo configurar la ruta de acceso en Windows.
Normalmente, creo un directorio temporal como C:\ADMtemp y copio mis archivos ADM de origen en él.Hay muchos parámetros posibles para faAdmxConv.exe, pero la manera más sencilla de convertir un archivo ADM es especificar el nombre del archivo ADM y el directorio de salida.Si ya ha seguido adelante y ha colocado el archivo ADM de origen en ADMtemp y ha agregado faAdmxConv.exe a la ruta de acceso, puede ejecutar simplemente "faAdmxConv nopassport.adm ."(con el punto al final para indicar que el directorio actual es de salida).Si no especifica el punto (para este directorio) ni otra ruta de acceso explícita, la salida va al directorio temporal dentro de su perfil de cuenta.En la Figura 13, puede consultar tres comandos:
Figura 13 Herramienta ADMX Migrator
Figura 13 Herramienta ADMX Migrator
  • Un comando "dir" para ver el archivo ADM
  • El comando "faAdmxConv" con el nombre del ADM y el .(punto) para representar el directorio actual
  • Un "dir" para ver los archivos de salida:nopassport.admx y nopassport.adml
Antes de llevar los archivos resultantes directamente al almacén central, quizás desee probar esto en un equipo que se ejecute sin conexión.Con el equipo sin conexión, copie el archivo ADMX en el directorio C:\Windows\PolicyDefinitions y el archivo ADML en el directorio de idioma específico.En Estados Unidos, este directorio es C:\Windows\PolicyDefinitions\en-us.Un ejemplo del procedimiento de copia puede verse en la Figura 14.
Figura 14 Copia de archivos ADMX en el almacén central
Figura 14 Copia de archivos ADMX en el almacén central
La herramienta de conversión de ADM a ADMX se actualizó recientemente a la versión 1.2.Esto corrige una serie de errores de conversión y agrega mensajes de advertencia útiles durante el tiempo de conversión.Si ha probado la herramienta de conversión de ADM a ADMX en el pasado, pero la abandonó debido a mensajes de error que no podía corregir, le recomendaría que la probase de nuevo con la versión 1.2, ahora disponible para descarga.
Finalmente, el archivo ADM convertido es ahora realmente dos archivos:un ADMX (de idioma neutral) y un ADML (de idioma específico).En este momento, puede colocar los archivos resultantes dentro del almacén central o probarlos en un equipo local.Sin embargo, una vez más, con el objeto de ver la configuración de directiva presente en esta plantilla ADMX, va a necesitar hacer lo que hicimos en la Figura 4.Es decir, necesitará hacer clic en Ver | Filtrado y, a continuación, desactive "Mostrar sólo valores de directivas que pueden administrarse totalmente".Esto es porque la configuración presente en este archivo ADMX no escribe en una de las claves de directivas apropiadas que expliqué anteriormente.

Limpieza del almacén
Claramente, la condición ideal es usar sólo archivos ADMX y el almacén central.Pero, para conseguirlo, debe convertir todos sus archivos actuales ADM a ADMX, convertir todas las estaciones de administración a Windows Vista (o Windows Server 2008) y comprometerse a dejar de editar GPO en equipos anteriores a Windows Vista.
Si ha completado estos tres pasos, habrá eliminado por completo los archivos ADM de su entorno.En este momento, los archivos ADM de GPO están simplemente ocupando espacio dentro del SYSVOL de su DC.Una vez que haya logrado el nirvana de ADMX, podría, si lo desease, eliminar simplemente los ADM presentes en la GPT de GPO dentro de SYSVOL.Exacto:al igual que el apéndice en el cuerpo humano, son simplemente un vestigio.Sirvieron para algo en su momento, pero ya nunca más.Puede hacer esto manualmente o con un script.Pero, antes de hacerlo, tenga en cuenta que sería un error grave si estos pasos no se completaran adecuadamente.Así que asegúrese de hacer esto sólo si está seguro de que puede dejar atrás los archivos ADM.
Para obtener información adicional acerca de los archivos ADM, ADMX y ADML, consulte la Guía paso a paso para la administración de archivos ADMX de la directiva de grupo en go.microsoft.com/fwlink/?LinkId=105019 y la Revisión de la tecnología ADMX en go.microsoft.com/fwlink/?LinkId=105032.Además, suscríbase al boletín de GPanswers.com en GPanswers.com/newsletter y a los avisos intermediarios a través de blog en GPanswers.com/blog.

Jeremy MoskowitzMCSE y MVP en directivas de grupo, dirige GPanswers.com, un foro comunitario sobre directivas de grupo.También dirige una serie de cursos intensivos de aprendizaje sobre directivas de grupo.El último libro de Jeremy es Group Policy:Management, Troubleshooting, and Security (Sybex, 2007).Póngase en contacto con Jeremy en la dirección www.GPanswers.com.


 Directiva de grupo: Optimizaci&#243;n del rendimiento de directiva de grupo
Directiva de grupo Darren Mar-Elia

Optimización del rendimiento de directiva de grupo
Resumen:
  • Objetos de directiva de grupo monolíticos y funcionales
  • Cómo procesar las entradas de directiva de grupo
  • Qué sucede cuando se producen cambios de directiva de grupo

Con frecuencia me suelen plantear esta pregunta: "Desde el punto de vista del rendimiento, ¿es mejor tener pocos objetos de directiva de grupo de gran tamaño o muchos pequeños?"Esta y otras preguntas relacionadas con el diseño y el rendimiento de la directiva de grupo constituyen el centro de este artículo.Y, como sucede con la mayoría de las preguntas genéricas,
puedo anticipar la respuesta:"Depende."Aunque pueda parecer evasivo, mi objetivo es clarificar los mecanismos subyacentes al procesamiento de directivas de grupo para que pueda tomar decisiones con fundamento acerca de su diseño de directivas de grupo, independientemente de si está comenzando o desea optimizar un entorno con centenares de objetos de directiva de grupo existentes.

Objetos de directiva de grupo monolíticos y funcionales
Empecemos con la descripción de las distintas formas en que se pueden implementar los objetos de directiva de grupo.Los términos "monolíticos" y "funcionales" hacen referencia a su diseño.Los objetos de directiva de grupo monolíticos contienen la configuración de muchas áreas diversas.Por ejemplo, un objeto de directiva de grupo monolítico quizás contenga la configuración de plantillas administrativas, mantenimiento de Internet Explorer y de directivas de instalación de software, todo ello en un solo objeto de directiva de grupo.Por el contrario, los objetos de directiva de grupo funcionales normalmente llevan a cabo una tarea.Por ejemplo, un objeto de directiva de grupo funcional podría realizar sólo instalación de software o aplicar una configuración de seguridad.Incluso he visto objetos de directiva de grupo funcionales que sólo contenían una única configuración de directiva.Pero eso probablemente es un caso extremo.En la Figura 1 se muestran algunas de las ventajas y desventajas de cada enfoque.
Figure 1 Comparación de objetos de directiva de grupo monolíticos y funcionales (Close Figure 1)

Problema | Objetos de directiva de grupo monolíticos | Objetos de directiva de grupo funcionales
Delegación/aislamiento | Difícil, ya que cada objeto de directiva de grupo puede contener la configuración de varias áreas y sólo se puede delegar en el nivel de objeto de directiva de grupo, no en el de configuración. | Fácil, ya que cada objeto de directiva de grupo contiene una sola área de directiva y puede delegar, por ejemplo, el objeto de instalación de software al administrador de implementación, el objeto de seguridad al encargado de seguridad, etc.
Capacidad de administración y complejidad | Potencialmente, es más simple y sencillo de administrar, ya que cada objeto de directiva de grupo contiene todas las configuraciones en un solo lugar. | Potencialmente, es más difícil, porque un mayor número de objetos de directiva de grupo implica más lugares en los que realizar el seguimiento de los problemas y más complejidad a la hora de determinar el conjunto resultante de directiva para un determinado usuario o equipo.
Rendimiento | Potencialmente más lento porque, para una determinada extensión de lado cliente, si un objeto de directiva de grupo cambia, se deben ejecutar todas las extensiones en todos los objetos del ámbito. | Depende de la cantidad de objetos de directiva de grupo en uso y la frecuencia con que cambien.El rendimiento podría ser mejor en entornos dinámicos en comparación con los objetos de directiva de grupo monolíticos.
Como se puede ver, no hay respuesta clara con respecto a qué enfoque, monolítico o funcional, es el mejor en todos los casos.En su entorno, probablemente necesitará los dos.Por ejemplo, tal vez prefiera el enfoque funcional al crear la directiva de seguridad para todo el dominio.Con un único objeto de directiva de grupo que contenga solamente configuración de seguridad, se facilita la delegación del control de dicho objeto a los administradores de seguridad donde nadie más tendrá acceso a él.De la misma forma, si delega la administración de las directivas de grupo a los administradores de la unidad organizativa, el establecimiento de un objeto de directiva de grupo monolítico para cada unidad organizativa proporcionará a dichos administradores un único lugar donde puedan administrar todas las configuraciones de directiva.De este modo se les reducirá la complejidad y podrá moderar el número de objetos de directiva de grupo creados para los usuarios y los equipos de una determinada unidad organizativa.
¿Cómo afectan estas decisiones de diseño de alto nivel al rendimiento de procesamiento de la directiva de grupo, y cómo puede tomar decisiones adecuadas acerca del diseño de directivas de grupo para minimizar las repercusiones en el rendimiento?El primer paso para maximizar el rendimiento de la infraestructura de directiva de grupo es comprender el funcionamiento del procesamiento de directiva de grupo.

Descripción del procesamiento de directiva de grupo
El procesamiento de directiva de grupo es un conjunto complejo de las interacciones que implican muchos elementos de su infraestructura de Windows® y Active Directory®.En un nivel alto, existen dos partes en el procesamiento de directiva de grupo.La primera es la parte principal, el procesamiento de la infraestructura de directiva de grupo.En esta fase, un cliente de directiva de grupo de Windows consulta su controlador de dominio más próximo para determinar cuál es la velocidad de vínculo al mismo, dónde se encuentra en la jerarquía de Active Directory (es decir, de qué sitio, dominio y unidad organizativa es miembro el cliente) y qué objetos de directiva de grupo se aplican al equipo o al usuario que ha iniciado sesión.Es importante tener en cuenta que en este contexto un cliente puede ser un servidor o una estación de trabajo que participa en un dominio de Active Directory.Una vez creada la lista de objetos de directiva de grupo, comienza la siguiente fase: el procesamiento de extensión de lado cliente (CSE).Durante la fase de CSE, cada CSE registrada procesa la lista de los objetos de directiva de grupo que han implementado configuraciones en su área.Por ejemplo, la CSE Registro o Plantilla administrativa se ejecuta en primer lugar en todos los casos y procesa todos los objetos de directiva de grupo que se aplican al equipo o al usuario concretos y que han implementado la directiva del Registro en ellos.
En la lista que se ofrece a continuación, se detallan los pasos que recorre el ciclo de procesamiento de directiva de grupo, incluidas las interacciones de red entre el cliente y el controlador de dominio.Es importante recordar que la directiva de grupo se aplica tanto a equipos como a usuarios.Por lo tanto, cada vez que se procese la directiva (por ejemplo, durante una actualización de fondo de directiva de grupo), el ciclo que indico más adelante se repetirá para el equipo y para la cuenta de usuario que ha iniciado la sesión en un sistema determinado, ya que cada uno puede tener aplicado un conjunto de directivas distinto.Cuando esto sucede, Windows lleva a cabo realmente el ciclo de procesamiento simultáneamente tanto para el equipo como para el usuario, y cada ciclo se ejecuta en un subproceso diferente en el motor de directiva de grupo.El proceso Winlogon para Windows 2000, Windows XP y Windows Server® 2003, y el servicio Cliente de la directiva de grupo en Windows Vista® y Windows Server 2008.
El procesamiento de una directiva de grupo es un procedimiento de seis pasos:
  1. El cliente lleva a cabo la detección de vínculo lento del Protocolo de mensajes de control de Internet (ICMP) en un controlador de dominio de su sitio para determinar la velocidad de vínculo.En Windows Vista, el uso de ICMP para la detección de vínculos lentos queda reemplazo por el servicio de reconocimiento de ubicación de red (NLA).
  2. El cliente lee la información de estado de CSE en su Registro local para determinar los últimos objetos de directiva de grupo que se procesaron.
  3. El cliente usa LDAP para buscar el atributo gpLink en Active Directory en cada objeto contenedor dentro de su ubicación en la jerarquía de Active Directory: primero en el nivel de unidad organizativa (incluidas todas las unidades organizativas anidadas), después en el dominio y, finalmente, en el nivel de sitio de Active Directory.A partir de los resultados de esta búsqueda, construye una lista de objetos de directiva de grupo que se deben evaluar para su procesamiento.
  4. Seguidamente, se busca cada objeto de directiva de grupo en Active Directory para determinar si el cliente (usuario o equipo) tiene los permisos necesarios para procesarlo.También se evalúa su número de versión, la ruta de acceso a la parte de la plantilla de directiva de grupo (GPT), la parte del objeto de directiva de grupo en SYSVOL y las CSE que se han implementado en dicho objeto de directiva de grupo.
  5. A continuación, el cliente usa el protocolo de bloque de mensajes de servidor (SMB) para leer el contenido de la plantilla de directiva de grupo y obtener el número de versión del objeto de directiva de grupo del archivo gpt.ini.Los números de versión del contenedor de directiva de grupo (GPC) y la plantilla de directiva de grupo constituyen un factor que se usa para determinar si un objeto de directiva de grupo ha cambiado desde el último ciclo de procesamiento.
  6. Cada CSE se ejecuta en el orden registrado en HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions, y procesa los objetos de directiva de grupo que implementan dicha CSE si el objeto de directiva de grupo ha cambiado desde el último ciclo de procesamiento (según lo determinado durante el procesamiento principal).Cada CSE también registra los datos del conjunto resultante de directivas (RSoP) de usuario en el Instrumental de administración de Windows (WMI) durante cada actualización, si están disponibles.
Analicemos este proceso y veamos cómo se puede ver afectado el rendimiento.Lo primero es apreciar que hay una diferencia entre el procesamiento en primer plano y el procesamiento de fondo.El procesamiento en primer plano se produce para los equipos durante un reinicio del sistema y para los usuarios durante un inicio de sesión.Las actualizaciones de fondo se producen en las estaciones de trabajo y los servidores miembro cada 90 minutos de forma predeterminada y hasta un máximo de 30 minutos en un valor aleatorio.Las actualizaciones de fondo se producen en los controladores de dominio cada cinco minutos de forma predeterminada.En Windows Vista, también puede tener actualizaciones basadas en NLA, que son fundamentalmente eventos de actualización de fondo que se activan por un error anterior del procesamiento de directiva de grupo debido a la falta de acceso a un controlador de dominio (como cuando el cliente está sin conexión al producirse un intervalo de fondo).¿Por qué son importantes estas distinciones?Principalmente porque determinadas CSE (por ejemplo, las CSE Instalación de software y Redirección de carpetas) no se ejecutarán durante una actualización de fondo.Del mismo modo, los scripts de inicio y cierre de sesión o de inicio y apagado no se ejecutarán durante una actualización de fondo.
De forma similar, en el paso uno de este proceso, mencioné el proceso de detección de vínculo lento.En sistemas anteriores a Windows Vista, este proceso se basa en clientes que usan ICMP para enviar un ping al controlador de dominio con el fin de determinar su disponibilidad y velocidad de vínculo.Si la velocidad de vínculo calculada está por debajo de un determinado valor de umbral (el valor predeterminado es 500 Kb/s), se considera que el vínculo es lento y, de nuevo, determinadas CSE, como Instalación de software, Redirección de carpetas y Mantenimiento de Internet Explorer, no se ejecutarán.Todas estas condiciones pueden afectar al rendimiento así como a la entrega esperada de directivas.
Probablemente, el aspecto del ciclo de procesamiento de directiva con la mayor repercusión en el rendimiento sea la lógica que determina si han cambiado los objetos de directiva de grupo que se aplican a un equipo o un usuario.El motor de directiva de grupo tiene una optimización integrada que indica si no ha cambiado nada para un equipo o un usuario desde la última vez que se procesó la directiva de grupo; en este caso, no se produce el procesamiento.Evidentemente, esto puede afectar de forma considerable al tiempo que los clientes tardan en procesar la directiva, especialmente si su entorno de directiva de grupo es bastante estático.Examinemos con más detalle lo que constituye un cambio.

Cuándo se produce un cambio de directiva de grupo
Por lo tanto, ¿qué constituye un cambio en lo que respecta al procesamiento de directiva de grupo?Hay varios factores, pero el más evidente es que si cambia un objeto de directiva de grupo, los clientes que lo procesan detectarán el cambio y volverán a procesar el objeto.¿Cómo sabe un cliente que un objeto de directiva de grupo ha cambiado?Lo averigua a partir de los números de versión en el objeto de directiva de grupo y en el cliente.
Un objeto de directiva de grupo se compone de dos partes: el GPC almacenado en Active Directory en CN=Directivas, CN=Contenedor del sistema en cada dominio y la GPT almacenada en SYSVOL en la carpeta "Directivas".Cada elemento del objeto de directiva de grupo contiene un número de versión.Para el GPC, este número de versión se almacena en el atributo versionNumber en el objeto GPC.Para la GPT, se almacena en el archivo gpt.ini en la raíz de una GPT concreta.El cliente también mantiene un registro de los números de versión de los objetos de directiva de grupo que ha procesado (tanto por equipo como por usuario) dentro de su Registro.Esta información de versión se almacena en HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\History para el equipo y en HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\<SID de usuario> para el usuario en cada equipo.
Cuando se produce el procesamiento de directiva de grupo, una de las partes examina los números de versión de todos los objetos de directiva de grupo a los que está sujeto el equipo o el usuario y los compara con los procesados en el último ciclo, tal como consta en el Registro.Si cualquiera de los números de versión de los objetos de directiva de grupo actuales es distinto (tenga en cuenta que sólo tienen que ser diferentes; pueden ser mayores o menores), dichos objetos se procesarán en el ciclo de procesamiento actual.Si no es así, no se procesan a menos que se cumpla otra de las condiciones de cambio.Las demás condiciones de cambio son las siguientes:
  • Un cambio en la lista de objetos de directiva de grupo que se aplican a un usuario o equipo (un objeto de directiva de grupo que se ha agregado o quitado).
  • Un cambio en la pertenencia al grupo de seguridad de un usuario o un equipo.
  • Un cambio en un filtro WMI vinculado a un objeto de directiva de grupo (un filtro WMI que se ha agregado o quitado).
Si se cumple alguna de estas condiciones de cambio, el cliente volverá a procesar la directiva durante dicho ciclo.Pero hay sutilezas en este proceso que debe conocer, ya que pueden tener una gran repercusión en el rendimiento.Para una CSE determinada, si uno de diez objetos de directiva de grupo cambia, dicha CSE debe procesar todos los objetos.Recuerde que el procesamiento se produce por CSE.Sin embargo, las CSE deben procesar la directiva en el orden de prioridad que controla el procesamiento (primero los objetos de directiva de grupo locales, después los vinculados al sitio, a continuación los vinculados al dominio y, finalmente, los vinculados a la unidad organizativa).Según este requisito, supongamos que un usuario tiene diez objetos de directiva de grupo aplicables, cada uno vinculado a distintos niveles de la jerarquía de Active Directory.Y supongamos que cada uno de estos diez objetos de directiva de grupo implementa algunas configuraciones de directiva de plantilla administrativa.Un administrador cambia un objeto de directiva de grupo vinculado al dominio, y agrega una nueva configuración de directiva de plantilla administrativa.A continuación, el equipo o el usuario procesa la directiva y advierte que el número de versión del objeto de directiva de grupo que ha cambiado es mayor con respecto a la última vez que se procesó, por lo que el objeto se debe volver a procesar.Pero, para mantener el orden de prioridad del procesamiento de directiva de grupo, debe procesar todas las configuraciones de plantillas administrativas que se aplican a todos los objetos de directiva de grupo.Por lo tanto, un simple cambio en un objeto de directiva de grupo puede tener una repercusión importante en dicho cliente.

Comparación del rendimiento de los objetos de directiva de grupo monolíticos y funcionales
Una vez examinado el ciclo de procesamiento y el modo en que los cambios en el entorno de directiva de grupo afectan al procesamiento, volvamos a nuestra explicación de las diferencias entre los objetos de directiva de grupo monolíticos y los funcionales, y el modo en que cada enfoque afecta al rendimiento.
Los objetos de directiva de grupo monolíticos pueden tener una penalización de rendimiento oculta debido al modo en que funciona el control de versiones de directiva de grupo.Los motivos al respecto no son evidentes, pero están relacionados con el hecho de que no existe el concepto de control de versiones por CSE en el procesamiento de directiva de grupo.Supongamos que un usuario tiene tres objetos de directiva de grupo que se le aplican.Cada objeto de directiva de grupo es monolítico en el sentido en que implementa varias áreas de directiva.Por ejemplo, supongamos que cada objeto de directiva de grupo implementa las directivas Plantilla administrativa, Instalación de software y Redirección de carpetas.Supongamos que un administrador efectúa un cambio en la directiva Plantilla administrativa de uno de estos objetos de directiva de grupo.Debido a este cambio, aumenta su número de versión.A continuación, el usuario procesa la directiva de grupo.La CSE Plantilla administrativa se inicia y advierte que uno de los objetos de directiva de grupo ha cambiado, por lo que procesa los tres objetos de nuevo.
Cuando se ejecutan las CSE Instalación de software y Redirección de carpetas, también consultan los números de versión de objeto de directiva de grupo y advierten un nuevo número de versión en uno de los objetos.Pero como este número de versión no les indica el área de directiva que ha cambiado en dicho objeto de directiva de grupo, continúan y procesan los tres objetos, por si acaso.El resultado es que, en una implementación de objeto de directiva de grupo monolítico, efectuar cambios en un área de la directiva puede provocar actividad de procesamiento en otra área.
Ciertamente, en el caso de la directiva de instalación de software o de redirección de carpetas, es posible que las CSE no efectúen realmente ninguna tarea porque, por ejemplo, si una aplicación ya se ha instalado no se volverá a instalar.Pero la cuestión es que este comportamiento puede suceder con cualquier CSE y se debe tener en cuenta cuando se diseñan objetos de directiva de grupo monolíticos.Si tiene un área de directiva que cambia con frecuencia, puede considerar la posibilidad de mantener los objetos de directiva de grupo que implementan dicha área de directiva separados de las demás áreas de directiva.
Desde un punto de vista de objeto de directiva de grupo funcional, las consideraciones de rendimiento resultan más evidentes.Si tiene varios objetos de directiva de grupo por usuario o equipo (debido a que el enfoque funcional normalmente implica más objetos de directiva de grupo para un determinado conjunto de configuraciones de directiva), significa que el motor de directiva de grupo tiene que dedicar más tiempo a enumerar dichos objetos de directiva de grupo durante la fase principal del procesamiento de directiva de grupo.Sin embargo, como veremos en la sección siguiente, esto puede no afectar necesariamente al rendimiento de una manera importante.

Medición del rendimiento de directiva de grupo
Por último, para tomar decisiones acertadas acerca del rendimiento de la infraestructura de directiva de grupo, debe ser capaz de cuantificar el rendimiento de directiva de grupo en el entorno real.Resulta prácticamente imposible modelar o predecir el rendimiento de directiva de grupo, dada la gran cantidad de factores que pueden afectar a un determinado ciclo de procesamiento.Por este motivo, la medición empírica es la mejor apuesta para descubrir si el rendimiento de procesamiento de directiva de grupo supone un problema.¿Qué constituye un rendimiento incorrecto?El rendimiento incorrecto es cualquier situación donde el procesamiento de directiva de grupo afecta a la experiencia de los usuarios en sus sistemas.Esto puede ser diferente para cada organización, pero la clave es saber que existe un problema.
Por lo tanto, ¿cómo se mide la duración de un determinado ciclo de procesamiento de directiva de grupo?Bueno, de nuevo, la respuesta no es sencilla.Si ejecuta Windows Vista o Windows Server 2008, puede aprovechar los nuevos registros operativos del Visor de eventos.El registro operativo de directiva de grupo en el Visor de eventos, que se encuentra en Registros de aplicaciones y de servicios\Microsoft\Windows\Directiva de grupo\Operativo, proporciona un instrumental excelente de cada paso del ciclo de procesamiento de directiva de grupo, incluido el tiempo empleado durante cada fase del procesamiento (consulte la Figura 2).
Figura 2 Evento de registro operativo de directiva de grupo que muestra el tiempo de procesamiento de directiva
Figura 2 Evento de registro operativo de directiva de grupo que muestra el tiempo de procesamiento de directiva
Sin embargo, si no trabaja en un entorno de Windows Vista o Windows Server 2008, los mecanismos para medir los tiempos de procesamiento de directiva son menos directos.En este caso, las opciones son habilitar el registro de userenv detallado (consulte el artículo de soporte técnico de Microsoft en support.microsoft.com/kb/221833) y consultar las marcas de tiempo en este archivo para un determinado ciclo de procesamiento, o usar los valores almacenados en el Registro del cliente que indican los tiempos de inicio y detención del procesamiento de directiva.Estos valores se almacenan en la siguiente ubicación para el equipo:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\Machine\Extension-List\
{00000000-0000-0000-0000-000000000000}
Y aquí para el usuario:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\<SID of User>\Extension-List\
{00000000-0000-0000-0000-000000000000}
Los valores están almacenados en formato FILETIME y se deben convertir a una fecha y hora normales.También puede usar la utilidad gratuita GPTime.exe que escribí (disponible en gpoguy.com/tools.htm#GP_Time_Utility) para obtener la misma información.
Si no tiene un entorno de Windows Vista o Windows Server 2008 pero tiene acceso a un registro de userenv, puede obtener información valiosa acerca del tiempo que se ha empleado en cada ciclo de procesamiento de directiva.Por ejemplo, en la Figura 3 se ofrece un fragmento del registro de userenv que muestra parte de la fase principal del procesamiento de directiva de grupo.
Figura 3 Una parte del registro de userenv
Figura 3 Una parte del registro de userenv
Observe que cada línea del archivo de registro incluye una marca de tiempo.La parte principal del ciclo de procesamiento de directiva de grupo empieza a partir del evento que indica algo parecido a "ProcessGPOs:Iniciando el procesamiento de directivas de grupo (de fondo)... "La parte de CSE del ciclo de procesamiento empieza a partir de la línea "ProcessGPOs:Procesando Registro de extensiones".Puede usar este registro y las marcas de tiempo que contiene para determinar cuánto tarda cada parte de un ciclo de directiva.

Observaciones generales acerca del rendimiento
Cuando haya dedicado suficiente tiempo a examinar los archivos de registro de userenv, empezarán a surgir patrones y, aunque no puede predecir cuánto tardará el procesamiento de directiva, puede comenzar a realizar algunas observaciones generales acerca del tiempo empleado en un determinado ciclo de procesamiento.Por ejemplo, durante un evento de procesamiento de directiva, cuando se procesan cambios de directiva y las CSE tienen trabajo a consecuencia de un cambio, el tiempo dedicado a la parte principal del procesamiento de directiva de grupo normalmente es mucho menor en comparación con la parte de CSE.
Esto se aplica a la mayoría de las áreas de directiva porque muchas CSE necesitan llevar a cabo tareas que duran más tiempo que la parte principal de su procesamiento, cuyas operaciones más exigentes consultan Active Directory y SYSVOL.Por ejemplo, no hay comparación entre el tiempo empleado en el procesamiento principal y la CSE Instalación de software que ejecuta una instalación de Microsoft® Office.Sin embargo, para una actualización de directiva de fondo normal donde no ha cambiado nada desde el último ciclo, la parte principal del ciclo de procesamiento dura aproximadamente el mismo tiempo que la parte de CSE.El procesamiento de directivas del Registro constituye la excepción, ya que es realmente bastante más rápido, a menos que tenga decenas o centenares de configuraciones de directivas del Registro para un determinado usuario o equipo.
Además, deshabilitar el lado de equipo o usuario de un objeto de directiva de grupo porque no se usa apenas repercute en el rendimiento de procesamiento de directiva.Si no se usa un lado de directiva, la única sobrecarga será consultar Active Directory para determinarlo, y la misma consulta se debe realizar con el fin de ver la opción de deshabilitación como la única que se produce para determinar si se ha implementado alguna CSE para dicho lado del objeto de directiva de grupo,El efecto de deshabilitar un lado es mínimo.

Recomendaciones de diseño para un rendimiento de directiva de grupo óptimo
Una vez examinados numerosos aspectos del rendimiento de procesamiento de directiva de grupo, existen algunas recomendaciones de diseño que pueden afectar directamente al rendimiento.Se resumen en cuatro puntos clave.
  1. Si realiza cambios frecuentes en los objetos de directiva de grupo, tenga presente el efecto mencionado anteriormente por el que un cambio en una CSE puede afectar al procesamiento de todas las CSE.En este sentido, por ejemplo, si planea realizar cambios frecuentes en la directiva del Registro, resulta más lógico colocar la directiva del Registro en objetos de directiva de grupo funcionales (objetos que sólo se encargan de la directiva del Registro), ya que así se aislará el procesamiento de otras CSE cuando se produzcan cambios.
  2. Al plantearse cuántos objetos de directiva de grupo son demasiados, tenga presente que el procesamiento de directiva sólo se produce durante los cambios, y que las CSE más "exigentes", como Instalación de software, Redirección de carpetas, el tratamiento de una gran cantidad de directivas del Registro o la configuración de permisos en árboles de archivo grande o del Registro, son las que llevan más tiempo.El tiempo dedicado a consultar Active Directory en busca de la lista de objetos de directiva de grupo durante el procesamiento principal suele ser la parte menor del ciclo de procesamiento.Por lo tanto, 30 objetos de directiva de grupo que se aplican a un determinado usuario pero que apenas efectúan cambios de directiva del Registro y no cambian con frecuencia tardarán menos tiempo en procesarse que cinco objetos de directiva de grupo que ejecutan CSE exigentes de forma periódica, porque dichos objetos cambian con frecuencia.
  3. Evite los comportamientos que provocan retrasos evidentes en el rendimiento del procesamiento de directivas.Por ejemplo, puede establecer la directiva para obligar a las CSE a procesarse, incluso si un objeto de directiva de grupo no ha cambiado (en Configuración del equipo\Plantillas administrativas\Sistema\Directiva de grupo).Sin embargo, si lo hace, el procesamiento de directiva tardará más tiempo en cada ciclo.
  4. Tenga en cuenta lo que implica deshabilitar la optimización del inicio de sesión rápido en Windows XP y Windows Vista (se realiza habilitando la directiva en Configuración del equipo\Plantillas administrativas\Sistema\Inicio de sesión\Esperar siempre la detección de red al inicio del equipo y de sesión).Cuando se habilita esta directiva, el procesamiento en primer plano cambia de asincrónico a sincrónico.Esto significa que la directiva de equipo y de usuario debe ejecutarse hasta su finalización antes de que el usuario obtenga el control del equipo y del escritorio.Sin embargo, también puede ser beneficioso, porque soluciona el problema de requerir dos o más reinicios o inicios de sesión para que las directivas de instalación de software y de redirección de carpetas surtan efecto.

Conclusión
Aunque el rendimiento del procesamiento de directiva de grupo no es una ciencia exacta, existe información que puede usar en el proceso de diseño para mitigar los problemas de rendimiento.
La comprensión de cómo funciona el procesamiento y dónde se emplea el tiempo supone una gran ventaja en el seguimiento de los problemas de rendimiento.Use los registros operativos de Windows Vista o Windows Server 2008 (o los registros de userenv en versiones anteriores de Windows) para obtener información instrumentada del ciclo de procesamiento.Tenga presente las peculiaridades de procesamiento de CSE y lo que constituye un cambio en la directiva desde un punto de vista de CSE.Y recuerde que, en los entornos dinámicos con numerosos cambios, los objetos de directiva de grupo funcionales son más lógicos que los monolíticos.Pero la conclusión final es que la directiva de grupo es una tecnología diseñada para ayudarle a administrar mejor su entorno de Windows.Es muy importante que sus necesidades de negocio impulsen el diseño de directiva de grupo en vez de que suceda al revés.Tenga en cuenta que algunos de los comportamientos de rendimiento tratados aquí pueden ayudarle a alcanzar dicho objetivo.

Darren Mar-Eliaes MVP en directivas de grupo de Microsoft, creador del famoso sitio de directivas de grupo www.gpoguy.com y coautor de la guía de directivas de grupo de Microsoft Windows (Microsoft Press, 2005). Es también CTO y fundador de SDM Software, Inc. Póngase en contacto con él en la dirección Darren@gpoguy.com.


 Directiva de grupo: An&#225;lisis de la Administraci&#243;n avanzada de directivas de grupo
Directiva de grupo Derek Melber

Análisis de la Administración avanzada de directivas de grupo
Resumen:
  • Instalación y arquitectura de AGPM
  • Edición sin conexión de GPO
  • Administración de cambios con AGPM
  • Recuperación de desastres

Microsoft adquirió muy recientemente DesktopStandard, una compañía que creó un producto que permite la administración completa de Objetos de directiva de grupo.En mi opinión, cada empresa que usa Active Directory debería ejecutar esta herramienta: Administración avanzada de directivas de grupo (AGPM).
AGPM facilita la edición sin conexión de Objetos de directiva de grupo (GPO), la administración de cambios, el flujo de trabajo de las directivas de actualización, la delegación y mucho, mucho más.En este artículo, analizo el funcionamiento interno de la herramienta para ofrecer una vista exhaustiva de este atractivo y útil producto.
En primer lugar le ofreceré cierta información básica.AGPM se denominó en un principio GPOVault.Después de adquirir DesktopStandard, Microsoft le cambió el nombre por AGPM y agregó la herramienta a Microsoft® Desktop Optimization Pack (MDOP).Sólo puede obtener MDOP si sus licencias de escritorio de Windows Vista® están cubiertas por Software Assurance de Microsoft.
Según mi experiencia con las herramientas incluidas, creo que MDOP es, con gran ventaja, una de las ofertas más atractivas de Microsoft de los últimos tiempos.MDOP incluye cinco herramientas diferentes, cada una de las cuales es ya notable de por sí, y unidas componen un conjunto de herramientas muy útil y atractivo.Para obtener más información acerca de MDOP, consulte el sitio web de MDOP:windowsvista.com/optimizeddesktop.

Instalación y arquitectura de AGPM
La instalación de AGPM se ha diseñado para ser muy sencilla y concisa: consiste en un componente servidor y un componente cliente (administrativo).El componente servidor debe instalarse en un servidor miembro en el dominio; no altera Active Directory®, el esquema ni cualquier otro servicio de directorio.AGPM puede instalarse en un controlador de dominio si la situación lo requiere.
La instalación del servidor instalará un servicio que requiere una cuenta de servicio basada en el dominio, desde la cual AGPM tiene acceso a los Objetos de directiva de grupo de producción activa en nombre del usuario.La instalación requiere también que haya un administrador de AGPM, que controlará toda la configuración de AGPM, como la delegación y la administración inicial de GPO.
El cliente debe instalarse en un equipo que ejecute Windows Vista donde ya tienen lugar funciones administrativas normales, probablemente en el escritorio de los administradores de la red y Active Directory.El cliente necesita indicar la configuración de AGPM al servidor AGPM y se establece la conexión al archivo.El cliente de AGPM usa la interfaz de la Consola de administración de directivas de grupo (GPMC) y se muestra como el nodo Control de cambios, tal como se muestra en la Figura 1.
Figura 1 AGPM se ha integrado completamente en GPMC para facilidad de uso.
Figura 1 AGPM se ha integrado completamente en GPMC para facilidad de uso.
Los archivos a los que el cliente de AGPM tendrá acceso se almacenan en un formato de archivo básico en el servidor de AGPM.Este es el método más sencillo para almacenar estos archivos y facilita la copia de seguridad de todo el archivo de AGPM.La mayoría de las funciones de AGPM usan las API integradas de GPMC, que igualmente simplifican la integración y el uso adecuado del producto.AGPM no usa una base de datos; almacena los GPO en una sola carpeta y un manifiesto controla la correlación de todos los GPO con el GPO principal dentro del archivo.Esto garantiza que todos los GPO tengan un GUID único pero, cuando se colocan en el entorno de producción, el GUID correcto se asocia con el GPO en la implementación.

Edición sin conexión de AGPM
La característica más básica de AGPM es la capacidad de llevar a cabo la edición de los GPO sin conexión, lejos del entorno de producción.Es un problema muy conocido que la edición de los GPO mediante la GPMC predeterminada puede llevar a que la configuración errónea se inserte inmediatamente en el entorno de producción, causando posiblemente resultados desastrosos.
La AGPM administra la edición de los GPO sin conexión "controlando" los GPO.Un GPO controlado, tal como se muestra en la Figura 2, es un GPO que se puede editar sin conexión sin provocar una intrusión en el entorno de producción.
Figura 2 Los GPO controlados se almacenan en el archivo de AGPM y pueden editarse sin conexión.
Figura 2 Los GPO controlados se almacenan en el archivo de AGPM y pueden editarse sin conexión.
El control de un GPO es muy sencillo.Los GPO no controlados, tal como se muestra en la Figura 3, indican todos los GPO que no están todavía asociados con el archivo de AGPM.Al hacer clic con el botón secundario en cualquiera de estos GPO, aparece un menú, que incluye la opción Control.Al seleccionar Control, se copiará el GPO de la ubicación de producción (el volumen de sistema, o SYSVOL, recurso compartido en el controlador de dominio) y quedará colocado en el archivo de AGPM.Se pueden controlar varios GPO; simplemente mantenga presionada la tecla Mayús o Control al seleccionar los GPO para obtener la lista correcta de GPO que desea controlar y, a continuación, haga clic con el botón secundario para tener acceso a la opción de menú Control.Seguirá editando los GPO controlados mediante el Editor de objetos de directiva de grupo (GPOE).Se trata de otra manera en la que AGPM se ha integrado completamente en la GPMC.
Figura 3 Los GPO no controlados se colocan en el archivo seleccionando la opción de menú Control.
Figura 3 Los GPO no controlados se colocan en el archivo seleccionando la opción de menú Control.

Delegación de administración de AGPM
Observemos cómo AGPM administra la delegación examinando, en primer lugar, cómo puede delegar la administración de GPO mediante la GPMC.Dentro de la GPMC, tiene cinco tareas diferentes de delegación que puede conceder a un usuario:crear un GPO, vincular un GPO, editar un GPO, administrar un GPO y leer un GPO.
Todas estas delegaciones se llevan a cabo dentro de la interfaz de la GPMC.Todas se controlan a través de los usuarios y los grupos que se incluyen en las fichas Delegación asociadas con los distintos nodos dentro de la GPMC.Las delegaciones que nos conciernen son aquellas que permiten la creación de nuevos GPO, así como la edición y la administración de los GPO existentes.
La creación de GPO dentro de la GPMC se administra a través de la ficha Delegación asociada con el nodo Objetos de directiva de grupo, tal como se muestra en la Figura 4.Una vez que ha instalado AGPM, podrá eliminar todos los usuarios y los grupos de la lista de aquellos que tienen acceso para crear GPO.(No hay necesidad de eliminar el sistema, los equipos, ni los grupos de equipos de la ficha Delegación para crear GPO).La creación de GPO será administrada ahora por la cuenta de servicio que controla el servicio AGPM.Se delegará en esta cuenta para crear GPO en nombre de todos los usuarios y los grupos que tienen los permisos Crear GPO e Implementar en AGPM.
Figura 4 La creación de GPO se controla mediante la lista de cuentas en la ficha Delegación del nodo Objetos de directiva de grupo en la GPMC.
Figura 4 La creación de GPO se controla mediante la lista de cuentas en la ficha Delegación del nodo Objetos de directiva de grupo en la GPMC.
Esta nueva capacidad para crear GPO permite la separación de tareas y protege el entorno de producción.Lo ideal es que los GPO se creen, configuren y comprueben antes de ser implementados desde el entorno de AGPM a la producción.No habrá prácticamente configuraciones erróneas expulsadas al entorno como las hay actualmente sin AGPM.
Para la delegación relacionada con la edición o la administración de GPO, el procedimiento es similar.Dentro de la GPMC, estas delegaciones se configuran en la ficha Delegación asociada con cada GPO, tal como se muestra en la Figura 5.
Figura 5 La edición y la administración de GPO se asocian con cada GPO de manera individual.
Figura 5 La edición y la administración de GPO se asocian con cada GPO de manera individual.
Una vez que se ha instalado AGPM, estas delegaciones necesitan ser eliminadas de cada GPO enumerado en el nodo Objetos de directiva de grupo.Esto evitará que todos los administradores editen los GPO desde fuera de la AGPM.En esencia, esto conecta toda administración de los GPO con la AGPM, donde tareas como la edición sin conexión, la administración de cambios y la recuperación de desastres son posibles.
El evitar que usuarios y grupos editen GPO fuera de la AGPM constituye un proceso manual.La instalación y la configuración de AGPM no evitan que los usuarios o grupos editen GPO en el entorno de producción.Puesto que la cuenta de servicio que controla el servicio AGPM realizará las acciones en nombre de los usuarios que modifican los GPO de producción desde la AGPM, no hay necesidad de que exista un usuario o un grupo de usuarios incluidos en la ficha Delegación para cada GPO.Los equipos y los grupos de equipo no deben eliminarse de estas fichas de delegación.
Una vez que se eliminan todas las delegaciones para editar un GPO dentro de la GPMC, todos los administradores tendrán denegada la capacidad de editar un GPO desde la GPMC, tal como se muestra en la Figura 6.
Figura 6 Los administradores no pueden editar GPO desde la GPMC una vez que se les ha denegado la delegación de esta acción.
Figura 6 Los administradores no pueden editar GPO desde la GPMC una vez que se les ha denegado la delegación de esta acción.
Para completar la configuración, todos los administradores que necesiten editar GPO deben ser añadidos a las Listas de control de acceso (ACL) apropiadas dentro de la AGPM.Si un administrador necesita editar todos los GPO que están en el archivo, su cuenta de usuario debe agregarse a un grupo al que se hayan concedido capacidades de edición en el nivel de dominio dentro de la AGPM, tal como se muestra en la Figura 7.Si se debe restringir la capacidad de edición de un administrador a un número reducido de GPO dentro del archivo de AGPM, esta configuración se debe aplicar a cada GPO (consulte la Figura 8).
Figura 7 La ficha Delegación de dominios permite la configuración de la edición de todos los GPO en el archivo.
Figura 7 La ficha Delegación de dominios permite la configuración de la edición de todos los GPO en el archivo.
Figura 8 La edición de GPO individuales necesita configurarse en las ACL de cada GPO.
Figura 8 La edición de GPO individuales necesita configurarse en las ACL de cada GPO.

Administración de cambios de GPO de la AGPM
Uno de los grandes beneficios de AGPM es la capacidad de seguir todos los cambios realizados en los GPO dentro del archivo.Puesto que esto es un proceso automatizado, no necesita ser instalado, configurado o administrado.El seguimiento de todos los cambios se realiza de fondo cuando los GPO se administran a través de la interfaz de cliente de AGPM.
Esto constituye una mejora considerable de la manera en la que la GPMC predeterminada se encarga de la administración de GPO.Dentro de la GPMC predeterminada, no hay capacidades automatizadas o integradas para efectuar el seguimiento de los cambios a los GPO.Esto ha constituido una queja por parte de la mayoría de los administradores de directivas de grupo durante años, aunque el problema ahora se ha eliminado.
La característica de administración de cambios de AGPM efectúa el seguimiento de todas las modificaciones esenciales que podrían ocurrir en un GPO.Junto con los cambios que se realizan en el GPO, el sistema de administración de cambios ayudará también en situaciones de auditoría o de seguimiento de la administración general.El sistema de administración de cambios supervisará, registrará y documentará los siguientes aspectos específicos por edición y cambio de GPO:fecha y hora de modificación del GPO, el usuario que hizo el cambio, la configuración original del GPO y las modificaciones en la configuración del GPO.
Puesto que el seguimiento de todos los cambios es continuo, es importante saber qué acciones activan el seguimiento automatizado.Dentro de la interfaz de cliente de AGPM, puede hacer clic con el botón secundario en un GPO bajo la ficha Controlado y, a continuación, seleccionar la opción de menú Desproteger, tal como se muestra en la Figura 9.
Figura 9 La desprotección de un GPO activará el proceso automatizado para efectuar el seguimiento de los cambios.
Figura 9 La desprotección de un GPO activará el proceso automatizado para efectuar el seguimiento de los cambios.
Este procedimiento debe seguirse para editar el GPO, que trataré en la sección siguiente.Incluso si se desprotege un GPO y se vuelve a proteger inmediatamente sin ningún cambio, se llevará a cabo un archivo de esta acción.Puesto que los GPO son componentes integrales de la empresa, la herramienta efectúa incluso el seguimiento de la posibilidad de un cambio.
El procedimiento de desprotección se fuerza dentro de AGPM porque debe haber un mecanismo que efectúe el seguimiento de los cambios en los GPO para el administrador específico que hizo el cambio.Dos administradores no pueden desproteger el mismo GPO al mismo tiempo.Si un administrador desprotege un GPO y no lo vuelve a proteger, hay un mecanismo integrado que permite al administrador de AGPM volver a protegerlo.

Edición de GPO de AGPM
Siempre que el cliente de AGPM esté instalado, puede tener acceso al archivo de AGPM.Una vez que se otorga la delegación para editar o el control total dentro de la herramienta de AGPM, podrá editar los GPO almacenados.Después de desproteger un GPO, puede editarlo al hacer clic con el botón secundario en el GPO y seleccionar la opción de menú Editar.Nota:si sólo puede editar algunos de los GPO dentro del archivo de AGPM, es posible que sólo se le hayan otorgado capacidades delegadas sobre algunos de los GPO, no para todos los GPO dentro del archivo.
Con la adquisición de DesktopStandard, Microsoft adquirió también PolicyMaker, ahora denominado Preferencias de directiva de grupo.Este conjunto de características de directiva de grupo se incluye en la GPMC que se lanzará con Windows Server® 2008. Las Preferencias de directiva de grupo permiten al administrador configurar las aplicaciones o los componentes de Windows que no son normalmente configurables a través de la directiva de grupo, así como aplicarlos a ciertos usuarios o equipos según un conjunto muy rico de reglas de objetivos.Las Preferencias de directiva de grupo están integradas completamente en GPMC y AGPM en Windows Server 2008.

Implementación de GPO de AGPM
AGPM fue diseñada con el fin de mejorar la eficacia y el flujo de trabajo.Puesto que la administración de GPO es ahora más estable y se controla mediante AGPM, tiene sentido disponer de administradores que tengan la capacidad de editar un GPO, pero no implementarlo en la producción.Dentro de AGPM, esto se controla muy adecuadamente con la interfaz, los cuadros de diálogo y los mecanismos de trabajo.Por ejemplo, si un administrador con derechos de sólo edición intenta implementar un GPO, el sistema lo bloqueará.El administrador verá un cuadro de diálogo para la comunicación con un administrador que tenga permiso delegado de implementación.Esta característica de flujo de trabajo enviará un correo electrónico a los destinatarios de Para:y CC:y colocará el GPO en un estado único.Este estado único puede encontrarse bajo la ficha Pendiente en la interfaz de AGPM.Aquí, el GPO se marca como "Pendiente de implementación", lo cual ofrece a los administradores una vista rápida del estado de cada uno de los GPO en los que se hayan realizado acciones.
Para implementar un GPO que esté pendiente, un administrador de AGPM que tenga la delegación de implementación puede, simplemente, hacer clic con el botón secundario en el GPO y seleccionar la opción de menú Aprobar.Si el GPO necesita implementarse y aparece enumerado en la ficha Controlado, y no en la ficha Pendiente, el mismo administrador sólo necesita hacer clic con el botón secundario en el GPO y seleccionar Implementar.Puesto que ya está otorgado este permiso delegado, el GPO se implementará inmediatamente en el entorno de producción.

Informe de Configuración de GPO de AGPM y comparaciones
La interfaz de la GPMC tiene un cuadro de diálogo Configuración muy eficaz al que se obtiene acceso a través de la ficha del mismo nombre.Este cuadro de diálogo Configuración ofrece una vista completa de todas las configuraciones que se pueden realizar en el GPO, y permite averiguar cuáles de las casi 3.000 configuraciones de directiva de grupo están configuradas.
Puesto que AGPM ofrece un archivo de los GPO modificados, la ficha Configuración en la GPMC no le ofrecerá la capacidad de ver las opciones configuradas en los GPO editados.En su lugar, la interfaz de AGPM ofrece una solución alternativa a esta característica, entre otras muchas cosas.
Para ver la configuración de cualquier GPO, es adecuado ver, en primer lugar, la lista del historial de todos los cambios.Para obtener esta vista, haga doble clic en cualquier GPO dentro de la ficha Controlado en AGPM.Desde esta interfaz, puede hacer clic con el botón secundario en cualquier versión de GPO y seleccionar el Informe de configuración.Esto creará un informe de todas las configuraciones llevadas a cabo en esta versión del GPO.El informe es un archivo HTML descriptivo, pero puede crearse también en formato XML.
Aunque esto sea útil, más asequible aún es la capacidad de comparar dos versiones del mismo GPO.Con esta característica, puede ver lo que ha cambiado de una versión a la otra, o comparar dos versiones completamente diferentes del mismo GPO.Esto es también muy útil cuando un GPO está pendiente de implementación, puesto que permite ver las diferencias entre el GPO pendiente y el GPO de producción.Para consultar este informe, resalte dos GPO diferentes en la vista del historial y haga clic con el botón secundario en uno de ellos.
La codificación del color en el informe de diferencias es muy útil, especialmente si desea comprobar lo que ha cambiado en un GPO pendiente antes de implementarlo.La configuración resaltada en rojo se eliminó del GPO de producción y ya no está disponible en el GPO pendiente.La configuración azul se cambió, y la verde refleja los nuevos cambios que existen en el GPO pendiente, pero no en el GPO de producción.
Esta característica de AGPM puede ahorrarle muchas horas de comparaciones manuales laboriosas de la configuración de GPO.Es también una manera perfecta de documentar los GPO a largo plazo, ya que se puede crear un informe de cada versión e imprimirse.

Recuperación de desastres de GPO de AGPM
Un solo cambio en un GPO puede crear un caos en uno o más equipos de la red.Con la GPMC predeterminada, este tipo de configuración errónea puede corregirse, si es que se adoptaron las medidas manuales apropiadas para hacer copias de seguridad del GPO tanto antes como después de la realización de los cambios en el GPO de producción.Si no se realizaron copias de seguridad, la recuperación de este desastre no es tan sencilla como pueda parecer.
Pero AGPM soluciona esto fácilmente.Puesto que hay copias de seguridad completas de todos los GPO en el historial de GPO, puede abrir fácilmente el historial del GPO y seleccionar qué versión de GPO desea volver a implementar.
Con AGPM, la administración de las directivas de grupo es muy fluida.Durante años, los administradores han deseado tener la capacidad de controlar y administrar los GPO sin conexión.AGPM ofrece esta característica con gracia y elegancia.AGPM ofrece también una solución muy eficaz de administración de cambios, que no sólo efectúa el seguimiento de las áreas clave de un GPO modificado, sino que también proporciona comparaciones sencillas del GPO y recuperación de desastres.El modelo de delegación integrado en AGPM permite conectar todos los administradores con AGPM para todas las ediciones de GPO, lo cual ofrece copias de seguridad automáticas de los cambios de GPO y elimina la posibilidad de errores en GPO de producción.Este servicio tiene tantas características que no es posible tratarlas todas aquí, pero el manual de AGMP ofrece mucha más información acerca de plantillas, recuperación de vínculos de nodos, configuración SMTP y mucho más.

Derek Melber es consultor independiente, instructor y autor.Derek se dedica a educar y difundir la tecnología de Microsoft, centrándose en Active Directory, directivas de grupo, seguridad y administración de escritorios.Derek contribuye regularmente en publicaciones impresas y en línea, y ha escrito más de diez libros de tecnología, incluido The Microsoft Windows Group Policy Guide (Microsoft Press, 2005).Puede ponerse en contacto con él en derekm@braincore.net.


 Nota del editor: Es posible convencer a un c&#237;nico
Nota del editor
Es posible convencer a un cínico
Joshua Hoffman

Soy un cínico. Sí, es verdad.Sé que a los neoyorquinos por lo general se nos conoce por nuestra confianza y humilde ingenuidad pero, de vez en cuando, un espíritu hastiado se cuela inadvertidamente por el túnel Lincoln y lo estropea todo.Como soy un cínico, tengo tendencia a dudar de las cosas.Puede ser difícil convencerme.
Tal vez a mis colegas de Redmond no les guste oír esto, pero me tenía mis reservas cuando Microsoft presentó la marca System Center hace unos años.No me malinterpreten; soy de SMS de pies a cabeza.Como especialista en implementaciones y administración de escritorios en una vida anterior, Systems Management Server (por lo menos después de la versión 2.0) era una herramienta esencial en mi arsenal.Pero, a medida que la marca System Center fue evolucionando y la línea de productos creció, surgió amenazadoramente mi tendencia natural a plantear dudas.
¿Era realmente necesario?¿Beneficiaría al cliente en última instancia?¿Tendría la diversificación de productos una repercusión negativa en la línea de productos de administración emblemáticos que todos conocemos y amamos?
Sin embargo, tengo que admitir que, a pesar de mi aprensión inicial, System Center me ha convencido.SMS y MOM (ahora denominados Configuration Manager y Operations Manager) han evolucionado hasta convertirse en productos de administración universales al ofrecer nuevas funciones eficaces (e incluso sorprendentes) con cada versión.Y no es sólo que su valor no se ha visto mermado por la adición de nuevos productos sino que, por el contrario, se ha amplificado considerablemente.
En los últimos meses, hemos explorado los nuevos productos Configuration Manager y Operations Manager, así como otros complementos anteriores de la gama System Center (como Capacity Planner, Desired Configuration Monitor y Essentials).Como podrá ver, este mes nos sumergimos en algunas innovaciones muy eficaces.
Edwin Yuen comienza la cobertura mostrando el modo en que Virtual Machine Manager 2007 ayuda a centralizar la administración de la infraestructura virtualizada y, además, a vencer algunas de las molestas barreras de migración, lo que le permite consolidar el hardware heredado en nuevas máquinas virtuales.Calvin Keaton nos guía por la nueva versión de Data Protection Manager, que proporciona soluciones de copia de seguridad basadas en disco muy útiles, no sólo para datos de usuario estándar (como documentos) sino también para datos empresariales, como la información crítica almacenada en Exchange Server.Finalmente, Paul Bourgeau presenta la primera solución de System Center hospedada: Asset Inventory Service.
Hágame saber lo que piensa de las nuevas inclusiones en la gama System Center.Envíeme un correo electrónico a la dirección tnmag@microsoft.com. (Joshua Hoffman)

Mi agradecimiento a los siguientes expertos de Microsoft: Karandeep Anand, Joseph Dadzie, Ray Hayes, KC Lemson, Bill Scheidel, Jeffrey Snover, Mike Stephens, Kevin Sullivan, Jim Truher y Winni Verhoef.


 Cartas: Comentarios de los lectores
Cartas
Comentarios de los lectores

Problemas de VMRCplus
Descargué VMRCplus, tal como se describe en Utility Spotlight de octubre de 2007 (technetmagazine.com/issues/2007/10/UtilitySpotlight).Pero, si intento conectarme a un equipo remoto, obtengo como resultado errores de RPC.Puesto que la interfaz de administración de Virtual Server se basa en Web, di por hecho que esta aplicación usaría también la interfaz web, agregando simplemente una experiencia de cliente enriquecida a la tecnología web existente.Lamentablemente, usa la API COM.
A través de blogs.technet.com/tnmag.

VMRCPlus usa realmente la misma ruta de acceso de red que el cliente de control remoto de VMRC que se incluye con Virtual Server (que es una aplicación cliente real, no una interfaz web).Esto significa que debe tener acceso a los siguientes puertos:
  • Puerto 5900, que es el puerto predeterminado para el servidor VMRC
  • Puerto 1024, que es el puerto predeterminado para el sitio web de administración
  • Puertos 137 y 138, los puertos TCP y de Protocolo de datagramas de usuario (UDP), para la autoridad de concesión de vales Kerberos V5
  • Puerto 135, que se usa para el asignador de extremos de RPC
Para obtener más información, puede leer microsoft.com/technet/prodtechnol/virtualserver/2005/proddocs/vs_operate_using_VMRC_manageVMs.mspx.

Uso de Windows PE
Leí su artículo "Introducción a Windows PE" (septiembre de 2006, technetmagazine.com/issues/2006/09/WindowsPE).Estoy intentando poner en funcionamiento Windows® PE en un entorno de estación de trabajo de VMWare con compatibilidad con redes, pero no consigo que Windows PE obtenga acceso a la red mediante el controlador de NIC.Realizo el arranque desde VMWare con el archivo de imagen ISO de Windows PE.Se inicia y aparece una consola de comandos pero, cuando escribo ipconfig, no muestra una dirección IP.Tampoco resuelve una dirección de mi servidor DHCP.
John C.

El problema es que la NIC que instala VMware de manera predeterminada no es compatible con Windows Vista® (que constituye la base para Windows PE 2.0).Lo que necesita hacer es especificar otro tipo de NIC en el archivo de configuración de máquina virtual (archivo VMX), de este modo:
ethernet0.virtualDev = "e1000"
Esto debe hacerse manualmente, editando el archivo VMX en un editor de texto como el Bloc de notas, por ejemplo, no es posible editarlo en ninguna GUI.Este cambio sustituirá la NIC existente virtualizada e integrada por la NIC de 1 GB de Intel que es compatible con Windows Vista.Y lo más importante, la sustitución con este valor significa que no tiene que agregar ningún controlador de red.

Optimización del rendimiento de consultas en SQL Server
En el artículo "Optimización del rendimiento de las consultas de SQL Server" (noviembre de 2007, technetmagazine.com/issues/2007/11/SQLQuery), el autor ofrecía un ejemplo de SQL Server™ 2005 para encontrar las 20 consultas más costosas en términos de ejecución.Sin embargo, no se ejecuta en SQL Server 2000. ¿Puede darme un ejemplo que funcione con esta versión más antigua?
Arun N.

Lamentablemente, no hay manera de obtener esta información en SQL Server 2000. SQL Server 2000 no reúne ni expone dicha información de consultas en su caché de procedimiento.Esta información sólo está disponible con el nuevo conjunto de vistas de administración dinámicas introducidas en SQL Server 2005.

La aplicación MIISWorkflow no funciona.
Tras leer "Creación de un flujo de trabajo de aprovisionamiento de un solo paso" (mayo de 2007, technetmagazine.com/issues/2007/05/Workflow), tengo una serie de preguntas.¿Es compatible la aplicación MIISWorkflow?¿Es compatible con .NET Framework 2.0?Obtengo el error "Servicio no disponible" cuando trato de abrir la aplicación fuera de Visual Studio®.He podido realizar la ejecución sin problemas en el modo de depuración pero, si cierro Visual Studio e intento abrir la aplicación directamente, aparece el error.¿Qué lleva a la aplicación a detener el grupo de aplicaciones y/o producir el error Servicio no disponible?
Cliff C.

La aplicación MIISWorkflow no es un producto oficialmente compatible con Microsoft.Se ofrece como código de ejemplo con fines educativos únicamente.
El mejor lugar al que puede acudir para la explicación de problemas relacionados con la administración de identidades se encuentra en los foros de TechNet, en el sitio de Administración de identidades, en forums.microsoft.com/TechNet/ShowForum.aspx?ForumID=540&SiteID=17. Estos foros son supervisados por miembros de los grupos de productos de Microsoft, así como por expertos de la comunidad, y se encuentran entre las mejores fuentes de soporte técnico directo para problemas de este tipo.


 Cuadro de herramientas: Nuevos productos para profesionales de TI
Cuadro de herramientas
Nuevos productos para profesionales de TI
Greg Steen

Tome el control de Windows PowerShell
PowerGUI
powergui.org
Si todavía no ha empezado a usar Windows PowerShellTM, es muy probable que pronto lo haga.Windows PowerShell se está convirtiendo en una herramienta administrativa fundamental en el mundo de Windows Server®.Para empezar, ha pasado a ser la base para la administración de Exchange Server 2007 basada en scripts.
Para sacar el máximo partido de Windows PowerShell en su formato nativo, es necesario memorizar una buena cantidad de sintaxis, cmdlets y estructura general.Por supuesto, es posible que no disponga del tiempo (ni de la energía mental) para dedicarse a esto.Pero, ¿y si tuviera una consola administrativa, gráfica y centralizada para administrar los scripts?¿Una interfaz de usuario que le aportara plantillas personalizables, características de edición tipo Intellisense® y una base de comunidades de uso compartido de scripts?Con este tipo de entorno, podría crear rápidamente scripts para las tareas que necesite y saber siempre dónde se encuentran para uso y consulta futuros.
No se preocupe; no me estoy burlando.Este entorno basado en GUI para Windows PowerShell es lo que se obtiene con PowerGUI, un producto de software gratuito patrocinado por Quest Software.Aunque todavía se encuentra en versión beta en el momento de escribir esta columna, esta aplicación ofrece una GUI administrativa extensible fácil de usar, con el aspecto de un complemento de Microsoft® Management Console (MMC) mejorado.
En la GUI, puede hacer doble clic en cualquiera de los scripts suministrados o en uno de sus propios scripts personalizados para que se ejecute y ofrezca una vista tabular del conjunto de datos devuelto.Puede aplicar filtros de columna y valores a estos datos para analizar la información que necesita.Además, puede agregar sus propias columnas personalizadas para suministrar valores calculados o resultados personalizados que se adapten a sus necesidades específicas.
En la GUI, puede iniciar una solicitud de Windows PowerShell o el editor de scripts integrado de la aplicación.En el editor de scripts, se obtiene un entorno básico tipo Intellisense que muestra la sintaxis de los cmdlets disponibles, así como las funciones estándar de edición y archivo, como buscar y reemplazar, imprimir y cortar/copiar/pegar.También puede agregar marcadores a los pasos.
Además, PowerGUI ofrece varias acciones personalizables y extensibles que se pueden aplicar al conjunto de datos.Por ejemplo, el script de servicios del sistema local permite iniciar, detener, suspender y establecer propiedades para el servicio designado.Otra característica ventajosa es la capacidad de agregar vínculos entre scripts, lo cual permite encadenar scripts mediante elementos comunes para obtener la información que necesite.Por ejemplo, puede obtener una lista de usuarios de un determinado grupo y vincularla a un script que muestre la cantidad de datos en sus directorios de inicio.Además de estas capacidades, PowerGUI dispone de algunos scripts de acción integrados para notificación y revisión que permiten volcar los datos a XML, CSV, HTML y al portapapeles.
Puede extender las acciones de script individuales y las acciones comunes al agregar sus propios scripts o personalizar una de las plantillas suministradas.Al abrir la ventana de propiedades en un script, puede editar el script directamente o consultar simplemente cómo funciona.
Otra característica valiosa es la biblioteca de la comunidad del sitio web de PowerGUI, que ofrece un lugar para que los usuarios compartan y descarguen scripts como ayuda para las tareas de administración del sistema.Aquí encontrará scripts y acciones para la administración de Active Directory®, la administración de servidores Exchange, tareas de Microsoft Operations Manager, tareas generales de Windows Server y mucho más.PowerGUI es un comienzo sólido a la hora de ofrecer una herramienta administrativa extensible basada en GUI para trabajar con Windows PowerShell.

Precio: Producto gratuito
Simplifique Windows PowerShell con una IU gráfica
Simplifique Windows PowerShell con una IU gráfica

Tenga en cuenta el medio ambiente al adquirir productos
Herramienta de evaluación medioambiental de productos electrónicos
epeat.net
El pensamiento ecológico requiere considerar el costo general de un equipo en todo su ciclo de vida.Esto se refiere a la energía consumida globalmente al fabricar, usar y eliminar los equipos (sin olvidar otros factores, como los materiales usados y los residuos generados).El costo general, en estos términos, es bastante increíble.(Para ver una descripción general de los costos medioambientales y financieros implicados, consulte el artículo de Dave Ohara publicado en el número de octubre de 2007 de TechNet Magazine, disponible en technetmagazine.com/issues/2007/10/Green.)
Afortunadamente, cada vez más personas y empresas reconocen la repercusión, financiera y medioambiental, de su infraestructura.Y, por consiguiente, empiezan a buscar productos que reduzcan el consumo de energía.Una herramienta para el profesional de TI que trata de ayudar a las compañías a afrontar estas preocupaciones es la que ofrece la entidad Green Electronics Council (Consejo de electrónica ecológica, greenelectronicscouncil.org).
La herramienta de esta organización, apodada EPEAT (forma abreviada de Electronic Product Environmental Assessment Tool), evalúa los productos electrónicos según 51 criterios medioambientales diferentes; 23 de ellos son obligatorios y los 28 restantes son opcionales.Las clasificaciones son las siguientes:Bronce (implica que el producto cumple los criterios obligatorios de referencia), Plata (cumple los criterios obligatorios más el 50 por ciento de los criterios opcionales) y Oro (cumple los criterios obligatorios más el 75 por ciento o más de los elementos opcionales).
Los criterios cubren todo lo incluido en el ciclo de vida de un producto, desde los materiales seleccionados para la fabricación, hasta el consumo de energía durante el uso y la administración del fin de la utilidad.Los criterios obligatorios del estándar cubren principalmente las declaraciones del impacto de un producto, por ejemplo, declarar qué porcentaje de un producto está hecho a partir de plástico reciclado, identificar los materiales del producto que requieren un tratamiento especial y declarar qué porcentaje del embalaje del producto es de material reciclado.Todos los productos registrados por EPEAT cumplen actualmente los estándares ENERGYSTAR 3.0 y, a finales de enero de 2008, serán compatibles con el nuevo estándar ENERGYSTAR 4.0.
Además, los productos certificados deben disponer de un servicio de "reciclaje" tanto para el producto como para sus baterías recargables (si es el caso).Otro requisito interesante es la disponibilidad de una garantía o contrato de servicio de tres años, que, teóricamente, debe ayudar a prolongar la vida útil de un dispositivo y, en consecuencia, a reducir el impacto general de la alta rotación de los productos.
Una parte de los estándares opcionales abarca la eliminación de ciertos metales pesados (como el cadmio), el diseño modular, la certificación de terceros de las prácticas y directivas medioambientales de la compañía y varios niveles porcentuales de la capacidad de reciclaje.
Actualmente, hay cuatro categorías de productos disponibles:equipos de escritorio, sistemas integrados, monitores y equipos portátiles.Las categorías de productos continuarán ampliándose, y se prevé disponer de estándares de servidor a lo largo de 2009.
La mayoría de los principales fabricantes participan ya en esta iniciativa.El Decreto Ley 13423 de EE.UU. de enero de 2007 ha tenido mucho que ver con todo ello. Establece que cualquier agencia federal que adquiera productos electrónicos debe cumplir por lo menos el 95 por ciento de los requisitos en el caso de productos electrónicos registrados por la herramienta de evaluación medioambiental EPEAT (whitehouse.gov/news/releases/2007/01/20070124-2.html).
De modo que si todavía no aborda el impacto medioambiental de sus compras, debería emplear unos momentos en comprobar la herramienta de evaluación EPEAT y empezar a considerar los beneficios medioambientales (y financieros) que puede lograr con su próxima adquisición de productos.

Precio: Producto gratuito
Uso de EPEAT para evaluar el impacto medioambiental de las compras de hardware
Uso de EPEAT para evaluar el impacto medioambiental de las compras de hardware

Reseña de libro
Libro de consulta de bolsillo para el administrador de Windows Vista
microsoft.com/MSPress/books/9588.aspx
Si está preparándose para distribuir Windows Vista® en su organización, el libro de consulta de bolsillo para el administrador de Windows Vista (Windows Vista Administrator's Pocket Consultant, Microsoft Press, 2006), de William Stanek, puede ayudarle a ponerse rápidamente al día acerca de las características y las funciones nuevas.Los usuarios que han leído otros títulos de la serie de libros de consulta de bolsillo para administradores ya conocen el formato de este libro y el grado de profundidad de su contenido, similar al de otras publicaciones de esta serie.No se dedica a fondo a desvelar complejidades, pero ofrece una buena y amplia descripción general de características y funcionalidad, cubre la ejecución de tareas administrativas específicas y refresca la memoria acerca de cómo funcionan las cosas.Y el contenido va claramente dirigido a administradores del sistema, no se centra en el usuario final común.
El libro empieza con una introducción a Windows Preinstallation Environment 2.0 y continúa con una breve descripción general de las utilidades que tendrá a su disposición durante la instalación automatizada o interactiva.A continuación, el libro pasa a tratar temas de administración de sistemas Windows Vista y muestra cómo usar herramientas, como msconfig, para solucionar problemas o personalizar la instalación, así como funciones nuevas, por ejemplo, Versiones anteriores, que permite restaurar una carpeta o un archivo a un estado anterior.Además, se ofrece una introducción a las herramientas que ayudan a administrar el hardware y los dispositivos en sistemas de destino.
A continuación, el libro trata el modo de adaptar la experiencia de Windows® para los usuarios finales mediante la personalización de la interfaz y el escritorio.Así, muestra cómo reducir el uso de recursos del protector de pantalla, adaptar los programas de inicio y los del menú Inicio y configurar Windows Sidebar.También muestra cómo crear barras de herramientas personales para ofrecer a los usuarios finales acceso rápido a carpetas y archivos compartidos desde la barra de tareas.
La sección que trata la instalación y el mantenimiento de programas y características de Windows Vista analiza herramientas como el Explorador de software, que permite consultar rápidamente los programas de inicio de un sistema, los programas que se están ejecutando, los proveedores de servicios WinSock y los programas conectados a la red.Seguidamente, pasa a la administración de usuarios, perfiles, aspectos de movilidad y directivas de equipos y usuarios, así como la administración de discos, la seguridad de archivos y el uso compartido de recursos.En concreto, explica cómo crear usuarios, administrar inicios de sesión de Windows mediante directivas de grupo y crear entradas de patrones de claves que facilitarán a los usuarios el acceso a los recursos protegidos por contraseña.
La sección acerca de la movilidad analiza cómo la nueva configuración alternativa de red permite especificar una configuración "para la oficina" y una configuración "para los desplazamientos".Los usuarios pueden cambiar fácilmente entre los dos modos.
En el capítulo sobre la administración de la seguridad de los archivos y del uso compartido de los recursos, se recibe información básica acerca de la configuración de permisos en archivos y carpetas NTFS, así como acerca del funcionamiento de los permisos especiales de Windows Vista (y de su control).También se aprende a crear recursos compartidos, a conectar con ellos y a mantener estas conexiones activas.
En lo que se refiere a administración de discos, el libro contiene una introducción a la configuración de cuotas de disco que le enseña no sólo a crear, ver, actualizar y eliminar cuotas de disco, sino también a importar y exportar estas configuraciones para volver a usarlas.
Hay una descripción bastante detallada del funcionamiento de la pila de red dual IPv4/IPv6 en Windows Vista.También puede consultar cómo configurar los adaptadores de red para su entorno.
El libro termina con una sección acerca de cómo optimizar Windows Vista para garantizar la mejor experiencia a los usuarios, seguida de un breve capítulo acerca de técnicas generales de solución de problemas.Aquí, puede averiguar cómo configurar la asistencia remota, mantener el sistema en buen estado mediante desfragmentación y comprobaciones de disco programadas, y cómo crear copias de seguridad.En términos generales, se trata de una herramienta de consulta rápida fácil de usar para la administración de Windows Vista.

Precio:29,99 dólares, venta directa.

Supervise su sitio web
Pingdom.com
pingdom.com
Ya he dicho en otras ocasiones lo que voy a decir ahora pero, sencillamente, creo necesario recalcarlo:un enfoque proactivo a la administración de sistemas puede reducir la tensión y ayudar a evitar momentos avergonzantes, como cuando el jefe le envía un mensaje de correo electrónico para decirle que el sitio ha dejado de funcionar.
Una buena herramienta de supervisión de la red es algo esencial en este enfoque.Probablemente ya emplee alguna clase de servidor de supervisión de la red interna.Pero, ¿qué hay de la presencia global, en la que es necesario garantizar la disponibilidad de los servicios orientados a Internet?
Pingdom.com, proveedor de servicios de aplicaciones (ASP), ofrece un servicio de supervisión automatizado sencillo pero efectivo.Los servidores del ASP están distribuidos en varias ubicaciones globales, lo cual ofrece un juicio mucho mejor de lo que los usuarios experimentan realmente, a diferencia de tener que confiar en un supervisor de servicios externo que se base en una sola fuente de información.
Para empezar, suscríbase a una cuenta y establezca su localidad, definiendo la zona horaria, el país, el formato de fecha y el formato de número que satisfaga sus necesidades.A continuación, se definen los contactos indicando los nombres, los números de teléfono SMS y las direcciones de correo electrónico para la notificación.Después, se crea una comprobación de supervisión definiendo un nombre, una resolución de comprobación, el tipo de comprobación de supervisión que debe llevarse a cabo en la resolución, y el tipo, los contactos e intervalos periódicos de notificación para la comprobación.
El paquete predeterminado de la cuenta ofrece resoluciones de comprobación que van de 1 a 60 minutos, y permite adaptar las solicitudes al servicio que se supervisa.La notificación se puede enviar a los contactos mediante correo electrónico o SMS.Además, es posible definir el número de veces que se puede producir un error al hacer ping al servicio antes de enviar una notificación, así como la cantidad de ciclos de error que deben pasar para que se notifique de nuevo (hasta un máximo de cuatro recordatorios).Además, puede establecer que Pingdom le informe cuando el servicio vuelva a estar en funcionamiento, algo muy conveniente para las comprobaciones de sitios web o de períodos de mantenimiento de servicio.Por cierto: también puede interrumpir o detener las comprobaciones para evitar falsas alarmas durante las tareas programadas.
El servicio ofrece al usuario cuatro tipos básicos de comprobaciones:un sensor HTTP, un sensor de puerto TCP, un sensor ping y un sensor UDP.El sensor HTTP permite establecer la dirección URL/IP, si la solicitud es mediante SSL, el puerto, una combinación básica de nombre de usuario y contraseña de autenticación, o bien, una cadena de comprobación de contenido inclusiva o exclusiva.El sensor de puerto TCP permite definir el puerto de servicio y la dirección IP o el dominio que se va a comprobar.El sensor ping permite establecer la dirección IP o el dominio que se va a comprobar vía ICMP.El sensor UDP viene determinado por la dirección IP o el dominio, un puerto, la cadena que se va a enviar a la combinación y la cadena esperada de respuesta.De hecho, podría comprobar la disponibilidad de su sitio web, del servidor FTP, del servidor SMTP y de mucho más desde varias ubicaciones en cualquier punto del globo.
El servicio ofrece también varios informes como ayuda para ver los datos históricos.Con estos informes, puede consultar el porcentaje de tiempo productivo de un determinado mes y el tiempo de respuesta medio durante este período de tiempo.También puede obtener una vista detallada de cada sesión de comprobación, que muestre la marca de tiempo, el estado, el tiempo de respuesta y el servidor desde el que se realizó la comprobación.Además, se obtiene una vista de las notificaciones que muestra cuándo y cuántas notificaciones se enviaron, a quién se enviaron y qué medio se usó para el envío durante un período de tiempo especificado.Puede poner estos informes a disposición pública, de modo que otros miembros de su organización puedan consultar las estadísticas del servicio.Si dispone de su propio centro de operaciones de red (NOC) adaptado, pingdom.com ofrece también una API de servicio web que se puede consultar al respecto, y permite integrar el servicio en sus vistas de panel actuales.

Precio:9,95 dólares al mes.
Pingdom.com supervisa sus servicios web con una perspectiva global
Pingdom.com supervisa sus servicios web con una perspectiva global

Greg Steen es un profesional emprendedor y entusiasta de la tecnología.Siempre está buscando nuevas herramientas para ayudar a simplificar las operaciones, el control de calidad y el desarrollo para los profesionales de TI.


 Preguntas y respuestas sobre Exchange: C&#243;mo agregar mensajes de asistencia por voz, elecci&#243;n de una PBX y mucho m&#225;s
Preguntas y respuestas sobre Exchange
Cómo agregar mensajes de asistencia por voz, elección de una PBX y mucho más
Seema Rahman

P: He oído que la mensajería unificada de Exchange no ofrece alta disponibilidad o clústeres.¿Es verdad?
R: Aunque la mensajería unificada no se admite en una configuración de clústeres o de equilibrio de carga de red, desde determinadas puertas de enlace se puede lograr una solución de alta disponibilidad.La clave es designar varios servidores de mensajería unificada para una operación por turnos del tráfico.También se puede organizar determinada parte del tráfico para que se enrute a través de un servidor de mensajería unificada concreto, siempre que la puerta de enlace disponga de las necesarias características de enrutamiento avanzadas.Por ejemplo, puede designar un servidor de mensajería unificada para el acceso de suscriptores y otro para todas las llamadas de operador automático.Esto permite equilibrar el tráfico de mensajería unificada según la infraestructura y las tendencias del entorno.

P: ¿Puedo configurar mensajes de asistencia por voz para el número de teléfono público de mi compañía con la mensajería unificada de Exchange?
R: Sí, puede hacerlo, y también puede configurar un operador automático.En el artículo acerca de la administración de solicitudes de audio personalizadas en technet.microsoft.com/aa998818 se ofrecen pasos detallados acerca de cómo configurar esta característica.

P: ¿Cómo puedo averiguar si la central de conmutación (PBX) es compatible con la mensajería unificada de Exchange?
R: Microsoft ha probado determinadas puertas de enlace y recomienda su uso con la mensajería unificada de Exchange.Los proveedores que producen estas puertas de enlace ofrecen una lista de PBX que funcionan con su puerta de enlace.Si su PBX está indicada por algún proveedor, significa que es compatible con la mensajería unificada de Exchange.
En el artículo "Asesor de telefonía para Exchange Server 2007", disponible en microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx, se proporciona una lista de las puertas de enlace admitidas, así como gran cantidad de información pertinente.

P: ¿Necesito agregar hardware especial a mi sistema telefónico para usar la mensajería unificada de Exchange?
R: El servidor de mensajería unificada de Exchange actúa como proveedor de correo de voz.Para funcionar con su sistema de telefonía actual, puede requerir hardware adicional.
Si usa un IP-PBX compatible, no necesitará hardware adicional; no obstante, probablemente deberá configurar algunas opciones específicas en el IP-PBX para que funcione con la mensajería unificada.
Si no usa un IP-PBX compatible, primero deberá determinar si dicho hardware es compatible con una de las puertas de enlace admitidas.También necesitará una puerta de enlace VoIP compatible.
La información de microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx incluye una lista de hardware compatible, específicamente IP-PBX y puertas de enlace.No se olvide de consultarla a menudo porque se actualiza frecuentemente según Microsoft certifica nuevo hardware.También puede consultar a su especialista de mensajería unificada local para determinar los requisitos de hardware de su entorno.

P: ¿Proporciona la mensajería unificada compatibilidad con fax?
R: Actualmente, la mensajería unificada proporciona una característica de fax entrante, de modo que un fax enviado a la extensión de un usuario habilitado para mensajería unificada acabará en la bandeja de entrada del usuario como mensaje de correo electrónico con el mensaje de fax adjunto en formato TIFF.En technet.microsoft.com/ bb232022 se ofrece una descripción detallada.

P: Tengo un IP/PBX Nortel CS1000 y deseo usar la mensajería unificada en Exchange Server 2007, pero no sé cómo combinar estos dos sistemas.¿Puedo usar el IP/PBX Nortel CS1000 como puerta de enlace o sólo se admiten como puertas de enlace los códigos de Intel y audio?También necesito el sistema Exchange para la autenticación en el servidor CS1000.
R: Nortel CS1000 es un IP/PBX compatible siempre que ejecute la versión 5.0 de firmware del mismo.No necesitará hardware adicional para que funcione.El sitio de Nortel incluye las instrucciones para configurar el IP-PBX en support.nortel.com/go/main.jsp?cscat=docdetail&id=626197&poid=14261.Las puertas de enlace compatibles, PBX y versiones de firmware admitidas se pueden encontrar en microsoft.com/technet/prodtechnol/exchange/pbx-partners.mspx.

Seema Rahman trabaja en Microsoft desde hace seis años.Como ingeniera de escalado de problemas de soporte técnico, ayuda a los clientes a resolver problemas complejos con Exchange Server.Seema disfrutó especialmente en el equipo de la versión beta de Exchange 2007, donde su interés se centró en la mensajería unificada.


 Utility Spotlight: Windows Easy Transfer Companion
Utility Spotlight
Windows Easy Transfer Companion
Lance Whitney
Este artículo se basa en una versión preliminar de Windows Easy Transfer Companion.Por tanto, toda la información de este documento está sujeta a cambios.

Es el momento de migrar sus usuarios desde los anteriores equipos con Windows® XP a equipos con Windows Vista®.La tarea más complicada en cualquier migración consiste en volver a instalar las aplicaciones de usuario en el nuevo equipo y asegurarse de que estas aplicaciones funcionan.Ahora, una herramienta gratuita de Microsoft puede ahorrarle estas innumerables instalaciones.Windows Easy Transfer Companion (WETC) puede copiar programas de software clave de Windows XP a Windows Vista.
Actualmente en beta, WETC es diferente del asistente para Windows Easy Transfer en Windows Vista.Mientras que el asistente copia los archivos de datos, la configuración de programas y los perfiles de usuario, WETC copia las aplicaciones al completo, aunque sólo desde Windows XP SP2 a Windows Vista.Debe ejecutar la transferencia bajo una cuenta de administrador.
Es necesario instalar WETC en los equipo de origen y de destino.Los equipos pueden comunicarse entre sí a través de una red o a través de un cable USB de Easy Transfer.El controlador para el cable de Easy Transfer se incluye en Windows Vista; para Windows XP, necesitará instalar el controlador desde el CD del producto.
WETC ofrece una lista por categorías de aplicaciones transferibles.
WETC ofrece una lista por categorías de aplicaciones transferibles.
Después de conectar el cable, inicie WETC en el equipo de Windows XP.La utilidad examina el disco duro, reúne información básica del sistema y analiza todo el software instalado.Una vez que ha finalizado el proceso, ejecute WETC en el equipo de Windows Vista.La utilidad se comunica con el equipo de Windows XP para mostrar una lista de todas las aplicaciones descubiertas, dividida en tres categorías (consulte la captura de pantalla superior):
  1. Programas que se transferirán adecuadamente: software que se transferirá sin problemas y que se ejecutará en el equipo de Windows Vista.
  2. Programas que se transfieren con posibles limitaciones: software que podrá ser transferido pero que, en ocasiones, no se ejecutará adecuadamente.
  3. Programas que no serán transferidos: software que no se ejecutará en Windows Vista y que no se incluirá en la transferencia.
Para cada programa que no se pueda transferir correctamente, WETC explica brevemente el porqué.Normalmente, las aplicaciones no se copian si no hay disponible información del instalador u otros datos clave, si no son compatibles con Windows Vista o si ya se encuentran en el equipo de Windows Vista.Además, WETC no copiará tipos específicos de aplicaciones, como antivirus y utilidades de sistema.Tampoco transferirá marcos de SO, como Microsoft .NET; necesitará instalarlos en Windows Vista antes de copiar cualquier aplicación que los necesite.
En la lista de programas, debe marcar los que desea copiar.Una pantalla de ayuda puede ayudarle a tomar decisiones y le ofrece soluciones para cualquier problema.Puede guardar también un informe previo de transferencia que muestra todos los programas que se transferirán y los que no.
La transferencia continúa, copiando los datos relacionados con cada programa.Al final, un mensaje de estado indica los programas que se copiaron y si ocurrieron errores.Puede guardar un informe detallado posterior a la transferencia.Después de salir de WETC, reinicie el equipo de Windows Vista, inicie la sesión y ejecute los programas transferidos para asegurarse de que funcionan.
¿Algún problema?La carpeta Programas de WETC en Windows Vista incluye un acceso directo a la herramienta Recursos, donde encontrará la opción Deshacer, que puede eliminar todas las aplicaciones copiadas en el equipo de Windows Vista, pero esta información caduca en un plazo de tres días.Puede conocer más detalles acerca de Windows Easy Transfer Companion y descargar la versión más reciente en support.microsoft.com/kb/931696.

Lance Whitney es consultor, instructor y escritor técnico de TI.Ha pasado cientos y cientos de horas trabajando con estaciones de trabajo y servidores de Windows.Periodista en sus inicios, dio un giro hacia el mundo de TI hace unos 15 años.


 The Cable Guy: Mejoras de DNS en Windows Server 2008
The Cable Guy
Mejoras de DNS en Windows Server 2008
Joseph Davies
Este artículo se basa en una versión preliminar de Windows Server 2008. Por tanto, toda la información de este documento está sujeta a cambios.

Microsoft ha incluido un Sistema de nombres de dominio (DNS) en versiones de Windows Server desde Windows NT 4.0.DNS es una base de datos jerárquica y distribuida que contiene asignaciones de nombres de dominio DNS a varios tipos de datos, tales como direcciones IP.Con Windows Server 2008, el nuevo servicio de servidor DNS incluye una nueva
carga de zona de fondo, mejoras para la compatibilidad con IPv6, compatibilidad para controladores de dominio de sólo lectura (RODC) y la capacidad de alojar nombres globales de una sola etiqueta.

Carga de zona de fondo
El servicio de servidor DNS en Windows Server ® 2008 consigue una recuperación de datos más rápida implementando la carga de zona de fondo.En el pasado, las empresas con zonas que contenían un gran número de registros en Active Directory ® experimentaban demoras de hasta una hora o más cuando el servicio de servidor DNS en Windows Server 2003 trataba de recuperar los datos DNS de Active Directory en el reinicio.Durante estas demoras, el servidor DNS no podía atender las solicitudes de cliente DNS para cualquiera de sus zonas alojadas.
Para resolver este problema, el servicio de servidor DNS en Windows Server 2008 recupera de fondo los datos de la zona de Active Directory después de iniciarse para que pueda responder a solicitudes de datos de otras zonas.Cuando el servicio se inicia, crea uno o más subprocesos de ejecución para cargar las zonas almacenadas en Active Directory.Ya que hay distintos subprocesos para cargar las zonas basadas en Active Directory, el servicio de servidor DNS puede responder a las solicitudes mientras la carga de zona está en curso.Si un cliente DNS solicita datos en una zona que ya se ha cargado, el servidor DNS responde apropiadamente.Si la solicitud es para datos en una zona que todavía no se ha recuperado completamente, el servidor DNS recupera los datos específicos de Active Directory en su lugar.
Esta capacidad de recuperar datos específicos de Active Directory durante la carga de zona ofrece una ventaja adicional sobre el almacenamiento de información de zona en archivos, en concreto, que el servicio de servidor DNS tiene la capacidad de responder a solicitudes inmediatamente.Cuando la zona está almacenada en archivos, el servicio debe leer secuencialmente el archivo hasta encontrar los datos.

Compatibilidad mejorada para IPv6
IPv6, del que se ha hablado en ediciones anteriores de esta columna, es un nuevo conjunto de protocolos estándar de Internet.IPv6 está diseñado para resolver muchos de los problemas de la versión actual, IPv4, tales como el agotamiento de las direcciones, la seguridad, la configuración automática y la necesidad de extensibilidad.
Una diferencia en IPv6 es que sus direcciones tienen una longitud de 128 bits, mientras que las direcciones IPv4 son sólo de 32 bits.Las direcciones IPv6 se expresan en notación hexadecimal de dos puntos.En las direcciones IPv6, cada dígito hexadecimal es de 4 bits.Una dirección IPv6 completa consta de 32 dígitos hexadecimales en 8 bloques separados por dos puntos.Un ejemplo de una dirección IPv6 completa sería FD91:2ADD:715A:2111:DD48:AB34:D07C:3914.
La resolución de nombres directa para direcciones IPv6 usa el registro DNS de Host IPv6, conocido como registro AAAA.Para la resolución de nombres inversa, IPv6 usa el dominio IP6.ARPA, y cada dígito hexadecimal en la dirección IPv6 de 32 dígitos pasa a ser un nivel separado en la jerarquía inversa del dominio en orden inverso.Por ejemplo, el nombre de dominio de consulta inverso para la dirección FD91:2ADD:715A:2111:DD48:AB34:D07C:3914 es 4.1.9.3.C.7.0.D.4.3.B.A.8.4.D.D.1.1.1.2.A.5.1.7.D.D.A.2.1.9.D.F.IP6.ARPA.
El servicio de servidor DNS en Windows Server 2003 es compatible con la resolución de nombres inversa y directa de IPv6; sin embargo, la compatibilidad no está integrada por completo.Por ejemplo, para crear un registro de dirección IPv6 (el registro AAAA del que acabamos de hablar) en el complemento Administrador de DNS de Windows Server 2003, debe hacer clic con el botón secundario en la zona, hacer clic en Otros registros nuevos y, a continuación, hacer doble clic en Host IPv6 (AAAA) como el tipo de registro del recurso.Para agregar un registro AAAA en el complemento Administrador DNS para Windows Server 2008, haga clic con el botón secundario en el nombre de la zona y, a continuación, haga clic en Host nuevo (A o AAAA).En el cuadro de diálogo Host nuevo, puede escribir una dirección IPv4 o IPv6.La figura 1 muestra un ejemplo.
Figura 1 Cuadro de diálogo Host nuevo
Figura 1 Cuadro de diálogo Host nuevo
Otro ejemplo de compatibilidad mejorada para IPv6 es para las zonas IPv6 inversas.Para crear una zona de consulta inversa en el complemento Administrador DNS para Windows Server 2003, tiene que escribir manualmente el nombre de la zona inversa en la página Nombre de búsqueda de zona inversa del asistente para crear zona nueva.Un ejemplo de nombre DNS de zona inversa sería 1.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa (para el prefijo de subred IPv6 2001:db8:0:1::/64, expresado de forma completa como 2001:0db8:0000:0001::/64).
Las zonas inversas IPv6 en el complemento Administrador de DNS para Windows Server 2008 están integradas completamente en el asistente para crear zona nueva.Hay una página nueva del asistente que solicita seleccionar una zona de búsqueda inversa IPv4 o una zona de búsqueda inversa IPv6.Para una zona de búsqueda inversa IPv6, simplemente necesita escribir el prefijo de subred IPv6 y el asistente crea automáticamente la zona.La Figura 2 muestra un ejemplo.
Figura 2 Designación de una zona de búsqueda inversa IPv6
Figura 2 Designación de una zona de búsqueda inversa IPv6
Otra mejora para zonas inversas es la manera en que el complemento Administrador de DNS muestra los registros de puntero IPv6 (PTR).La Figura 3 muestra cómo el complemento Administrador de DNS para Windows Server 2003 muestra un registro PTR.
Figura 3 Registro PTR para IPv6 en Windows Server 2003
Figura 3 Registro PTR para IPv6 en Windows Server 2003
Aunque esta pantalla muestra exactamente la estructura del espacio de nombres DNS para nombres de dominio inverso IPv6, hace más difícil la administración de registros PTR para direcciones IPv6.La Figura 4 muestra cómo el complemento Administrador de DNS para Windows Server 2008 muestra un registro PTR.
Figura 4 Registro PTR para IPv6 en Windows Server 2008
Figura 4 Registro PTR para IPv6 en Windows Server 2008
El servicio de servidor DNS en Windows Server 2003 es compatible con IPv6, pero debe activarse de forma manual con el comando dnscmd /config /EnableIPv6 1.Por el contrario, Windows Server 2008 es compatible con IPv6 de forma predeterminada.Se ha actualizado la herramienta de línea de comando Dnscmd.exe para aceptar las direcciones IPv6 en opciones de línea de comando.De manera adicional, el servicio de servidor DNS ahora puede enviar las consultas recursivas sólo a servidores IPv6, y la lista de reenvío de servidor puede contener tanto direcciones IPv4 como IPv6.
Para obtener más información acerca de IPv6 y su compatibilidad con Windows®, consulte microsoft.com/ipv6.

Compatibilidad de controlador de dominio de sólo lectura
Windows Server 2008 introduce también el RODC, un nuevo tipo de controlador de dominio que contiene una copia de sólo lectura de la información de Active Directory y puede realizar funciones de Active Directory pero no se puede configurar directamente.El RODC es menos vulnerable a ataques y puede colocarse en ubicaciones donde la seguridad física del controlador de dominio no pueda ser garantizada ni donde la red contenga posibles hosts malintencionados.
Para los RODC, el servicio de servidor DNS en Windows Server 2008 es compatible con el nuevo tipo de zona principal de sólo lectura.Cuando un equipo pasa a ser RODC, replica una copia completa de sólo lectura de todas las particiones de directorio de la aplicación que usa el DNS, incluidas la partición del dominio, ForestDNSZones y DomainDNSZones.Esto asegura que el servicio de servidor DNS que se ejecute en el RODC tiene una copia de sólo lectura completa de cualquier zona DNS almacenada en las particiones de directorio de un controlador de dominio que no es RODC.Puede ver el contenido de una zona de sólo lectura principal en un RODC, pero no lo puede cambiar.Debe cambiar el contenido de la zona en un controlador de dominio que no sea RODC.

Zona GlobalNames
Resolución de nombres con la zona GlobalNames
Tras implementar la zona GlobalNames, cuando un cliente DNS basado en Windows Vista intenta resolver un nombre de una sola etiqueta, anexa el sufijo DNS principal al nombre de una sola etiqueta y envía la solicitud de consulta de nombre a su servidor DNS.
Si no se encuentra el nombre, el cliente DNS envía las solicitudes adicionales de consulta de nombre para la combinación del nombre de una sola etiqueta con los sufijos en su lista de búsqueda de sufijos DNS (si se ha configurado).Si ninguno de estos nombres se resolviera, el cliente solicitará la resolución usando el nombre de una sola etiqueta.
El servidor DNS busca el nombre de una sola etiqueta en la zona GlobalNames.Si aparece allí, el servidor DNS envía la dirección IPv4 o el FQDN resueltos de vuelta al cliente DNS.De lo contrario, el equipo de cliente DNS convierte el nombre a nombre NetBIOS, y usa las técnicas de resolución de nombres NetBIOS, incluyendo WINS.No es necesario realizar ningún cambio al servicio de cliente DNS para habilitar la resolución de nombre de una sola etiqueta en la zona GlobalNames.

Windows Server 2008 y Windows Vista® son compatibles con el protocolo NetBIOS sobre TCP/IP (NetBT).NetBT usa los nombres NetBIOS para identificar las aplicaciones NetBIOS de nivel de sesión.Aunque no se requiere la resolución de nombres NetBIOS con WINS para versiones actuales de Windows que dependen de aplicaciones de red basadas en Windows Sockets y en DNS para la resolución de nombres, muchos clientes de Microsoft implementan WINS en sus redes para ofrecer compatibilidad con aplicaciones anteriores de NetBT y proporcionar resolución de nombres de una sola etiqueta en sus organizaciones.Los nombres de una sola etiqueta se refieren normalmente a servidores importantes muy conocidos y extensamente usados por una organización, tal como servidores de correo electrónico, servidores web centrales o servidores para aplicaciones empresariales.
Para permitir que estos nombres de una sola etiqueta se resuelvan en toda la organización con el uso exclusivo de DNS, quizás descubra que es necesario agregar registros A a los varios dominios DNS de su organización para que un cliente DNS basado en Windows pueda resolver el nombre independientemente del sufijo de dominio DNS asignado o de la lista de búsqueda de sufijos.
Suponga, por ejemplo, que la organización contoso.com tiene un servidor web central denominado CWEB que es miembro del dominio central.contoso.com.Para implementar un nombre de una sola etiqueta para el servidor CWEB cuando a los clientes DNS se les puede asignar el sufijo de dominio DNS wcoast.contoso.com, central.contoso.com o ecoast.contoso.com, el administrador de red debe crear dos registros A adicionales para cweb.wcoast.contoso.com y cweb.ecoast.contoso.com. No obstante, no olvide que los registros A creados manualmente para nombres de una sola etiqueta se deben mantener para cambios en la asignación de direcciones IPV4 o para nombres nuevos.
Si contoso.com ya usa WINS para aplicaciones anteriores de NetBT, un administrador de red puede implementar la resolución de nombres para el CWEB de nombre de una sola etiqueta agregando un único registro WINS estático a su infraestructura WINS.Si la dirección IPv4 cambia, sólo es necesario cambiar el registro estático WINS.Puesto que los nombres de una sola etiqueta son más fáciles de administrar en WINS, muchas redes basadas en Windows usan los registros WINS estáticos para nombres de una sola etiqueta.
Para ofrecer una solución de nombre de una sola etiqueta en DNS que se administre tan fácilmente como los registros WINS estáticos, el servicio de servidor DNS en Windows Server 2008 es compatible con una nueva zona llamada GlobalNames para almacenar nombres de una sola etiqueta.El ámbito de la réplica de esta zona es normalmente un bosque, que ofrece resolución de nombres de una sola etiqueta en un bosque de Active Directory completo.De manera adicional, la zona GlobalNames puede ser compatible con la resolución de nombre de una sola etiqueta a través de una organización que contiene varios bosques cuando se usan los registros de recurso de ubicación de servicio (SRV) para publicar la ubicación de la zona GlobalNames.
A diferencia de WINS, la zona GlobalNames está pensada para ofrecer la resolución de nombre de una sola etiqueta para un conjunto limitado de nombres de host, normalmente los servidores centrales y críticos de una organización administrados por su departamento de TI.La zona GlobalNames no ha sido diseñada para almacenar los nombres de equipos de escritorio u otros servidores cuyas direcciones IPv4 pueden cambiar y, bajo ningún concepto, es compatible con actualizaciones dinámicas de DNS.Normalmente se usa para mantener los alias (CNAME) de registros de recursos para asignar un nombre de una sola etiqueta a un nombre de dominio completo.Para las redes que usan actualmente WINS, la zona GlobalNames contiene generalmente registros de recursos para los nombres de TI administrados que ya están configurados estáticamente en WINS.
La zona GlobalNames ofrece resolución de nombres de una sola etiqueta sólo cuando todos los servidores DNS autorizados ejecutan Windows Server 2008. Sin embargo, otros servidores DNS que no tienen autorización para ninguna zona pueden ejecutar versiones anteriores de Windows u otros sistemas operativos.La zona GlobalNames debe ser única en el bosque.
Para ofrecer niveles de rendimiento y escalabilidad máximos, la zona GlobalNames debe integrarse con Active Directory y es necesario configurar cada servidor DNS autorizado con una copia local del mismo.Esto es necesario para posibilitar la implementación de la zona GlobalNames en varios bosques.
Para obtener más información acerca de la compatibilidad con DNS en Windows y acerca de cómo implementar la zona GlobalNames, consulte la página web sobre DNS de Microsoft en microsoft.com/dns.

Joseph Davies es escritor técnico de Microsoft y enseña y escribe sobre temas de red de Windows desde 1992. Ha escrito cinco libros para Microsoft Press y es autor del artículo mensual Cable Guy de TechNet.


 Windows PowerShell: Prevenci&#243;n del c&#243;digo malintencionado
Windows PowerShell
Prevención del código malintencionado
Don Jones

¿Recuerda cuando Windows Vista se encontraba aún en versión beta y existía el rumor de una versión muy temprana de un nuevo shell de línea de comandos cuyo nombre en código era "Monad"?Por supuesto, este pasó a ser conocido como Windows PowerShell.En aquel momento, había una gran cantidad de informes en medios convencionales acerca del "primer virus en Windows Vista".En
realidad, el "virus" era simplemente un script de malware de prueba de concepto dirigido a "Monad".Para ejecutar el script, "Monad" en sí mismo habría tenido que ser especialmente configurado; el script no funcionaría bajo determinadas configuraciones.Además, en el momento en que surgieron estos informes, Microsoft había anunciado que "Monad" no formaría parte de Windows Vista®.En resumen, mucho ruido y pocas nueces (o, al menos, muy poquitas).
No obstante, a medida que Windows PowerShellTM se hace cada vez más popular (ya se han efectuado más de un millón de descargas del mismo), aumentan las probabilidades de que alguien lo use para crear un script malintencionado.La capacidad de escribir un script potencialmente peligroso en Windows PowerShell es un hecho: cualquier herramienta de administración (incluidas Windows PowerShell, cmd.exe y VBScript) puede usarse de manera malintencionada.Así pues, no puede dar por hecho simplemente que un archivo PS1 determinado sea inofensivo.
Afortunadamente, Windows PowerShell está configurado para no ejecutar scripts de forma predeterminada, de manera que cualquier script malintencionado necesite ayuda por su parte para poder ejecutarse.Este mes, mi intención es predecir cómo ocurrirá esto.Mi objetivo no es resaltar un aspecto negativo de Windows PowerShell; creo que Microsoft ha realizado un buen trabajo con el diseño de un shell de scripting que evita muchos de estos riesgos.Sin embargo, este tema merece ser discutido simplemente con el fin de ayudarle a estar listo para prevenir este ataque potencial.

Seguridad predeterminada
Hay que tener en cuenta que Windows PowerShell fue el primer lenguaje diseñado por Microsoft tras la famosa iniciativa Trustworthy Computing.El gurú de seguridad Michael Howard (autor del libro Writing Secure Code) se convirtió en el "coleguilla de seguridad" del equipo de Windows PowerShell.Prestó su ayuda a la hora de garantizar que el código escrito fuera lo más seguro posible y, lo más importante, que el shell incluido fuera configurado de la manera más segura posible.
En primer lugar, revisemos rápidamente la configuración de seguridad inicial de Windows PowerShell.De forma predeterminada, el shell no ejecutará archivos con una extensión de nombre de archivo PS1 cuando haga doble clic en ellos.Esta extensión está asociada al Bloc de notas.De hecho, de forma predeterminada, el shell no ejecutará scripts debido a una característica integrada llamada Directiva de ejecución, que describe las condiciones bajo las cuales se ejecutará un script.Se ha configurado como Restricted, lo cual prohíbe que los scripts se ejecuten y habilita el shell únicamente para uso interactivo.La Directiva de ejecución se puede cambiar mediante el cmdlet Set-ExecutionPolicy o a través de una plantilla administrativa de la Directiva de grupo (archivo AMD) suministrada por Microsoft.Puede obtener el archivo ADM en go.microsoft.com/fwlink/?LinkId=102940.La Figura 1 muestra las Directivas de ejecución que puede configurar.
Figura 1 Elección de una Directiva de ejecución segura
Figura 1 Elección de una Directiva de ejecución segura
La Directiva de ejecución tiene sólo unas pocas excepciones.De manera específica, aún cuando se ha configurado en Restricted, permitirá al shell importar algunos archivos de configuración XML particulares proporcionados por Microsoft e instalados junto con el shell.Estos archivos se usan para proporcionar funcionalidad específica, como extensiones para tipos de Microsoft® .NET Framework y diseños de formato predeterminados para la mayoría de los tipos de objetos .NET.Además, se trata de archivos que deseará que el shell cargue definitivamente durante el inicio.
Aunque estos archivos pueden contener y, de hecho, contienen código ejecutable, llevan la firma digital de Microsoft.El modificar uno de ellos de cualquier modo convertiría la firma en inútil y, si eso ocurriera, el shell no importaría los archivos al inicio.Gracias a este diseño, los archivos están muy protegidos frente al malware que pueda tratar de insertar código malintencionado en ellos.
Por supuesto, si la Directiva de ejecución se deja como Restricted, evitará también que sus propios scripts de perfil de Windows PowerShell se ejecuten durante el inicio.Windows PowerShell no crea un script de perfil de manera predeterminada, pero explora cuatro ubicaciones específicas en busca de nombres de archivo específicos y, si los encuentra, intenta ejecutarlos cada vez que se inicia el shell.La documentación instalada junto con Windows PowerShell proporciona detalles acerca de la carpeta y los nombres de archivo que se usan para scripts de perfil.El perfil es la clave de la vulnerabilidad que voy a explicar.

Modificación de la Directiva de ejecución
Cmdlet del mes
El complemento de Set-AuthenticodeSignature es Get-AuthenticodeSignature.Este cmdlet se ha diseñado para examinar un script con firma digital y para ofrecerle detalles acerca de la firma.Simplemente diríjalo al archivo en cuestión y verá no sólo si se ha realizado la firma de un archivo sino, además, si la firma está intacta, qué certificado se usó para firmar el archivo, etc.Además de funcionar con scripts de Windows PowerShell, este cmdlet funciona también con ejecutables firmados, así:
PS C:\Program Files\Microsoft Office\Office12>
Get-AuthenticodeSignature excel.exe | Format-List *
Al ejecutar este comando, puedo ver que el ejecutable fue firmado por Microsoft Corp. mediante un certificado emitido por la CA de firma de código de Microsoft.
Resultados del comando
Resultados del comando

Permítame enfatizar que, bajo las condiciones predeterminadas, es muy difícil, si no imposible, conseguir que Windows PowerShell ejecute cualquier código, menos aún código malintencionado.Los scripts malintencionados resultan imposibles hasta que se modifique la Directiva de ejecución.Para ser claro, esta columna no constituye una advertencia acerca de las vulnerabilidades de seguridad en Windows PowerShell; en su lugar, su objetivo es compartir algunos procedimientos recomendados para reforzar los sistemas.
La Directiva de ejecución más baja es Unrestricted, que permite que todos los scripts se ejecuten sin restricción o consulta, y ofrece, esencialmente, el mismo escenario no deseable que se producía con VBScript y los archivos por lotes durante años.Si configura el shell en Unrestricted, facilitará la entrada de scripts malintencionados y sus consecuentes daños.En caso de que seleccione la configuración Unrestricted y de que sufra, consecuentemente, un ataque, asegúrese de ser capaz de justificar por qué seleccionó la configuración Unrestricted y prepárese para apoyar su decisión cuando tenga que explicar cómo pudo entrar un virus en su entorno.
Para ser justos, Windows PowerShell intentará, de todos modos, detectar los scripts descargados de Internet y le advertirá antes de ejecutarlos, aún cuando la configuración sea Unrestricted.Pero lo importante en este caso es que tener una Directiva de ejecución configurada en Unrestricted no es buena idea.

Firma de scripts
La Directiva de ejecución más segura que permite la ejecución de scripts es AllSigned.Esta configuración, sólo ejecuta scripts que llevan una firma digital intacta creada mediante un certificado confiable (no vale una firma cualquiera).La firma de scripts requiere la adquisición de un certificado digital Class III, más específicamente, un certificado de firma de código de Microsoft Authenticode.Dichos certificados pueden obtenerse de la Infraestructura de claves públicas (PKI) interna de su compañía, si tiene una, o adquirirse de entidades de certificación (CA) comerciales, como CyberTrust, Thawte y VeriSign.
Si desea saber si tiene algún certificado instalado en su equipo que se pueda usar para firmar scripts, el siguiente cmdlet le servirá:
Get-ChildItem CERT: -recurse –codeSigningCert
Tras instalar el certificado en su equipo de Windows®, use el cmdlet Set-AuthenticodeSignature para crear y aplicar una firma digital, que se muestra como una serie de líneas de apariencia incomprensible al final del script.Algunos editores de scripts pueden ofrecer la opción de aplicar una firma a un archivo de script, incluida la oportunidad de firmar scripts de manera automática a medida que los guarda, lo cual puede ser muy útil.
AllSigned es la mejor Directiva de ejecución que puede usar en un entorno de producción.Aunque no evita directamente los scripts malintencionados, garantiza la firma de un script malintencionado y, por lo tanto, podría localizar al autor del script (si damos por hecho que sus equipos de Windows están configurados para confiar únicamente en CA confiables, pero este tema escapa al alcance de esta columna).Es interesante cómo Windows Script Host (WSH) 5.6 y las versiones posteriores pueden configurarse con opciones TrustPolicy que requieren también firmas digitales; no obstante, he conocido a pocos administradores que usan esta configuración.
Hagamos una pequeña recapitulación de lo que tenemos hasta ahora.Con una Directiva de ejecución configurada en Restricted, estará a salvo de scripts malintencionados, pero tampoco podrá ejecutar los beneficiosos.Con una Directiva de ejecución configurada en AllSigned, el shell permite scripts firmados, lo cual es bastante seguro, puesto que pocos autores de scripts malintencionados desean la inclusión de una identidad rastreable en su trabajo.La configuración Unrestricted, por otro lado, es muy poco segura y, si la usa, puede esperar con total seguridad ser atacado de manera eventual por algún script malintencionado.Tenga en cuenta que no considero la configuración Unrestricted como una vulnerabilidad particular, pues no presume de ser confiable. Si usa esta configuración, se supone que sabe a lo que se atiene.

Entrada a hurtadillas por la puerta trasera
Existe otra configuración de Directiva de ejecución:RemoteSigned.Esta es la que creo que usan la mayoría de los administradores hoy en día, simplemente porque se percibe como mucho más segura que la configuración Unrestricted y menos molesta que AllSigned.RemoteSigned no requiere una firma para los scripts locales.Los archivos PS1 almacenados en sus unidades de disco locales se ejecutarán sin ser firmados.Los scripts remotos, principalmente aquellos descargados de Internet mediante Internet Explorer® u Outlook® (estas aplicaciones marcan los archivos descargados con un marcador especial), no se ejecutarán a menos que estén firmados.
La configuración RemoteSigned le puede dar, no obstante, un sentido falso de seguridad.Para empezar, es fácil descargar scripts remotos sin tener aplicado el marcador especial.Por ejemplo, los exploradores que no son de Microsoft, normalmente no configuran este marcador, ni tampoco lo hacen la mayoría de los clientes de correo electrónico ajenos a Microsoft.Es importante tener en cuenta que, sin este marcador, Windows PowerShell trata los scripts descargados como locales, lo cual significa que no será necesaria la firma digital.Aún así, no considero esto como una vulnerabilidad importante,ya que tiene que descargar el script, abrir Windows PowerShell y ejecutar manualmente el script.Es bastante difícil persuadir a alguien para que realice todos estos pasos y los administradores, generalmente los únicos usuarios de una red con Windows PowerShell instalado, deberían estar al tanto.
RemoteSigned ofrece, sin embargo, una "puerta trasera" que el malware puede utilizar.¿Recuerda los scripts de perfil de Windows PowerShell de los que hablamos anteriormente?En el caso de que existan, tanto creados por usted como por el malware, se ejecutarán cada vez que se ejecute Windows PowerShell.Y, bajo la Directiva de ejecución RemoteSigned, sus scripts de perfil, que son locales, no necesitan firma.
Este es el escenario:
  1. Determinados fragmentos de malware se adentran en su sistema y bien crean un script de perfil de shell o insertan código malintencionado en un script de perfil existente.El malware se ejecuta normalmente bajo su cuenta de usuario de inicio de sesión, la cual disfruta generalmente de permiso para modificar su script de perfil.
  2. Al abrir Windows PowerShell, no se da cuenta de que su script de perfil ha sido creado o modificado para incluir código malintencionado.El código se ejecuta y el daño ya está hecho.El daño es peor si tiene la costumbre de abrir Windows PowerShell con credenciales de Administrador, una práctica común porque, cuando se usa el shell, son necesarios privilegios administrativos para realizar cualquier tarea que requiera el shell.
Entonces, el perfil presenta un método para que se ejecute el código malintencionado y arbitrario sin su conocimiento, y la Directiva de ejecución RemoteSigned permite que esto ocurra.

Protección del perfil
Sólo hay una manera correcta de proteger su perfil:usar la Directiva de ejecución AllSigned.Bajo AllSigned, incluso sus scripts de perfil deben firmarse digitalmente; de lo contrario, Windows PowerShell no los ejecutará durante el inicio.Y, si ha firmado sus scripts de perfil, las modificaciones malintencionadas a los mismos interrumpirán sus firmas digitales, dejándoles sin capacidad para ejecutarse; de hecho, Windows PowerShell le advertirá del problema al inicio.AllSigned es realmente la única configuración segura de la Directiva de ejecución para entornos de producción que necesitan permitir la ejecución de scripts.
Hay otro enfoque, pero es más complicado y menos confiable.Puede crear archivos de script de perfil en blanco para cada uno de los cuatro archivos que busca Windows PowerShell.Use una nueva cuenta de usuario (por ejemplo, "Editor de perfil") para crear estos archivos y configurar los permisos NTFS de los archivos para que sólo la cuenta "Editor de perfil" los pueda modificar.Otras cuentas únicamente tendrán acceso de sólo lectura.
Pero recuerde, jamás inicie la sesión en el equipo mediante la cuenta "Editor de perfil" excepto para editar el perfil.Con este enfoque, sus cuentas de usuario normal no podrán modificar los scripts de perfil.Y cualquier malware que se ejecute mientras usa una cuenta normal tampoco podrá modificar los scripts.¿Qué ocurriría si el malware se ejecutara mientras usa la cuenta Editor de perfil?Bien, como ha iniciado la sesión como Editor de perfil para editar los scripts de perfil, advertirá los cambios.
Puede implementar también su propia red de seguridad mediante un script de perfil de todos los usuarios que se controle con permisos de archivo sólidos, como acabo de describir.Dentro de este script, escriba código que use el cmdlet Get-AuthenticodeSignature para examinar las firmas digitales en los otros perfiles que busca el shell.Esto le permite esencialmente requerir firmas en scripts de perfil, sin requerirlas para otros scripts.
Pero la Directiva de ejecución AllSigned es una manera mucho más completa de proteger su perfil.Mi recomendación es que cualquier equipo conectado a su red debe tener una Directiva de ejecución configurada en Restricted, preferiblemente aplicada por Directiva de grupo.Esto omite cualquier configuración local y garantiza que los equipos de dominios nuevos se configuren automáticamente para rechazar los scripts.Los equipos en los cuales deban permitirse los scripts deben tener una Directiva de grupo alternativa que configure la Directiva de ejecución en AllSigned.Tendrá que firmar digitalmente todos los scripts, pero puede estar seguro de que sólo los scripts confiables de autores identificables se ejecutarán en su entorno.

Don Jones es el principal gurú de scripting de SAPIEN Technologies y coautor de Windows PowerShell:TFM (SAPIEN Press, 2007).Puede ponerse en contacto con él en www.ScriptingAnswers.com.


 &#161;Hola, encargados del scripting!: Las expresiones regulares saltan a la vista
¡Hola, encargados del scripting!
Las expresiones regulares saltan a la vista
Los chicos del scripting de Microsoft
Descargar el código de este artículo: HeyScriptingGuy2008_01.exe (150KB)

Todos cometemos errores.(¿Acaso cree que el equipo de chicos del scripting fue creado a propósito?)Sin embargo, si hay algo positivo que se puede decir acerca de los errores, es... ¿Qué?¿Pensaba que íbamos a decir que lo positivo de los errores es que siempre se puede aprender de los mismos?No, por supuesto que no:lo único que puede aprender de un error es que hubiera sido mucho mejor no haberlo cometido en primer lugar.
Nota:por favor, no más chistes sobre Microsoft Bob, hoy no.Cometimos el error de burlarnos hace años de Microsoft Bob y, en ese caso, aprendimos verdaderamente de nuestro error.En lo que se refiere a Microsoft Bob, nuestros labios están sellados.
Para ser honestos, los Chicos del scripting no podemos sacar nada positivo de los errores; por eso hemos decidido dedicar nuestras vidas a minimizar los errores que cometemos.En realidad, la única manera en la que podríamos minimizar nuestros errores consistiría en minimizar el número de cosas que hacemos realmente. Pero esa es otra historia.
Ahora, está muy bien que hayamos tratado de minimizar nuestros propios errores; sin embargo, eso no será de gran ayuda si las personas con las que trabajamos continúan cometiendo errores.(No, por favor... ya se lo hemos dicho:¡Ningún chiste sobre Microsoft Bob!)Si ha escrito alguna vez un front-end para, digamos, un programa de base de datos o para Active Directory® (sabemos que muchos lo han hecho), entonces sabe exactamente de lo que hablamos:su programa de entrada de datos front-end es sólo tan bueno como las personas que llevan a cabo la entrada de datos.
Suponga que desea que los nombres de pila se escriban de esta forma:Ken, la primera con mayúscula y las siguientes letras en minúscula.¿Qué sucede cuando un usuario escribe ese nombre de esta manera:KEN?Suponga que las fechas se tienen que escribir así:01/23/2007. ¿Qué sucede cuando un usuario escribe una fecha de esta manera:Enero 23, 2007?Suponga... bueno, ya capta la idea.Como hemos dicho, su programa de entrada de datos front-end es tan bueno sólo como las personas que llevan a cabo la entrada de datos.Y, le guste o no, las personas encargadas de la entrada de datos van a cometer errores.A menos que, por supuesto, siga los pasos para asegurarse de que no los cometan.

Asegúrese de que sus datos sean válidos
Abandonemos los juegos de una vez
¿Se ha preguntado alguna vez qué evento ansían los chicos del scripting durante todo el año?Si ha asistido al Script Center en febrero durante alguno de los dos últimos años, podría pensar que ese evento es "Los Juegos de invierno de Scripting".Bien, pues se equivocaría.Los chicos del scripting ansían la finalización de los Juegos de Scripting: tras dos semanas de diversión y emoción sin pausa, estos disfrutan del calor de la victoria obtenida en los Juegos de Scripting y se dedican a dormir durante el mes siguiente.
Así que, en preparación para nuestro evento del año favorito, el final de los Juegos de Scripting, ha llegado el momento de comenzar "Los Juegos de invierno de Scripting 2008".Únase a nosotros del 15 de febrero al 3 de marzo de 2008 en el Script Center para disfrutar de más de dos semanas de diversión y la mejor competición de scripting existente.
Los Juegos de Scripting son una manera excelente de comprobar y mejorar sus habilidades de scripting.Y, ya que los chicos del scripting quieren dormir unos cuantos días más una vez que la competición finalice, ¡vamos a hacer de este evento algo aún más grande y mejor que el año pasado!Una vez más, tendremos dos divisiones:Principiante y Avanzado.Esto significa que ya sea usted un recién llegado al mundo del scripting, un profesional veterano (o joven), o alguien a medio camino entre ambas cosas, esta competición es para usted.
Así que ¿qué hay de nuevo este año?Vamos a agregar otro lenguaje de scripting.Puede entrar en la competición en VBScript, Windows PowerShell o, en la novedad, Perl.Sabemos que Perl no es nuevo, pero sí lo es en esta competición.Seguramente encontraremos más diversión pero, como tuvimos que completar este artículo hace varios meses, no tenemos la menor idea de lo que podrá ser.Tendrá que venir al Script Center para conocer todas las novedades.
En caso de que se lo haya preguntado... sí, ¡habrá premios!¿Cuáles serán?Un momento, no vamos a estropear la sorpresa, así que venga al Script Center y descúbralo. microsoft.com/technet/scriptcenter/funzone/games/default.mspx.

Puede que muchos de ustedes ya realicen una validación rudimentaria de la entrada de datos.Aunque, para muchas cosas, esta validación rudimentaria de la entrada de datos sea perfectamente adecuada.¿Necesita asegurarse de que el valor de cadena strName tiene 20 o menos caracteres?Este diminuto bloque de código lo hará:
If Len(strName) > 20 Then
    Wscript.Echo "Invalid name; a " & _
    "name must have 20 or fewer characters."
End If
Pero suponga que strName es un número de pieza nuevo, y los números de pieza deben cumplir un patrón específico:cuatro dígitos seguidos por dos letras mayúsculas (por ejemplo, 1234AB).Mediante un VBScript convencional, ¿es posible comprobar que ese strName sigue el patrón necesario para números de pieza?Sí, es posible.Pero créanos, no querrá hacerlo.En su lugar, use una expresión regular.

Asegúrese de que sólo aparecen números en un valor
Las expresiones regulares se remontan a los años cincuenta, cuando fueron descritas por primera vez como una forma de notación matemática.En los años sesenta, este modelo matemático se incluyó en el editor de texto QED como una manera de buscar patrones de carácter en un archivo de texto.Posteriormente... ¿Qué?Vaya.Parece que no todo el mundo encuentra fascinante la historia de las expresiones regulares. De acuerdo, muy bien.En ese caso, simplemente le mostraremos de lo que estamos hablando.
¿Desea asegurarse de que una variable (en este caso, la variable strSearchString) contiene sólo números?La Figura 1 muestra una forma de hacerlo.
Figure 1 Sólo números, por favor (Close Figure 1)
Set objRegEx = _
  CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\D"

strSearchString = "353627"

Set colMatches = _
  objRegEx.Execute(strSearchString)

If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Como puede ver, el script comienza creando una instancia del objeto VBScript.RegExp, el objeto que... sí, tiene razón... el objeto que nos permite usar las expresiones regulares en nuestro script.Ah, queríamos encargarnos de explicarlo.Después, asignamos valores a dos propiedades clave del objeto de expresiones regulares:Global y Pattern.
La propiedad Global determina si el script debe coincidir con todas las apariciones de un patrón o debe encontrar simplemente la primera de estas apariciones y, a continuación, detenerse.En general, es mejor configurar este valor en True, lo cual significa que desea buscar todas las apariciones de un patrón.El valor predeterminado es False.La mayoría de las veces, querrá encontrar todas las apariciones de un patrón.Incluso si no es así, la única ventaja de encontrar sólo la primera aparición de un patrón es que el script se ejecutará más rápido si se detiene en algún lugar de la cadena en vez de buscar completamente hasta el fin.En teoría, eso suena bastante bien.En la práctica, no obstante, la búsqueda se completa normalmente de una forma tan rápida que no notará diferencia.
Esta es la parte positiva:el patrón es el lugar donde especificamos los caracteres (y la serie de caracteres) en que estamos interesados. En nuestro script de ejemplo, buscamos cualquier carácter que no sea uno de los dígitos del 0 al 9. Si encontramos un carácter así (una letra, un signo de puntuación, o lo que sea), sabremos entonces que el valor asignado a strSearchString no es válido.Con expresiones regulares, la sintaxis \D se usa para hacer coincidir cualquier carácter que no sea un dígito; por lo tanto, asignamos el valor \D a la propiedad Pattern.
Nota:¿Cómo supimos que \D coincidía con cualquier carácter que no sea un dígito?Bien, hay una larga historia detrás.Verá, hace varios años... Bueno, vale.Lo miramos en la referencia del lenguaje VBScript en MSDN® en msdn2.microsoft.com/1400241x.
Tras asignar valores a las propiedades Global y Pattern, el siguiente paso es asignar un valor a la variable strSearchString:
strSearchString = "353627"
Así pues, ¿cómo sabemos si hay algún carácter que no sea un dígito en esta cadena?Muy fácil.Llamamos al método Execute, que busca en nuestra variable cualquier carácter que no sea un dígito:
Set colMatches = _
objRegEx.Execute(strSearchString)
Cuando llama al método Execute, cualquier coincidencia, es decir, cualquier instancia de Pattern, que se encuentre se almacena automáticamente en la colección Matches.En nuestro script de ejemplo, dimos a esta colección el nombre colMatches.Si queremos saber si nuestra variable contiene o no cualquier carácter que no sea un dígito (y queremos saberlo), todo lo que tenemos que hacer es comprobar el valor de la propiedad Count de la colección, que nos dice cuántos elementos hay en la colección:
If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Si la propiedad Count es mayor que 0, puede significar sólo una cosa:que se ha encontrado un carácter que no es un dígito en algún lugar del valor de la variable.Si todos los caracteres del valor fueran dígitos, la colección estaría vacía y, entonces, tendría una propiedad Count de 0.En nuestro script de ejemplo, avisábamos del descubrimiento de un carácter no numérico.En un front-end real de script o de base de datos, devolveríamos un mensaje similar y volveríamos atrás para que el usuario lo intentara otra vez.Será usted el que deba preocuparse de eso, pues nosotros, como chicos del scripting, tenemos muchas otras cosas de las que preocuparnos.
¿Cómo qué?Como que, por ejemplo, algún día los suscriptores de TechNet Magazine comiencen a leer realmente los artículos que les enviamos cada mes.Preferimos que no aprendan de sus errores.
Buena pregunta:¿No podríamos usar simplemente la función IsNumeric para determinar si strSearchString contiene o no un número?Por supuesto, siempre que strSearchString pueda ser cualquier número.Pero, ¿qué pasa si strSearchString debe ser un entero positivo?Eso podría ser un problema; IsNumeric identifica estos dos números como válidos:
-45
672.69
¿Por qué se identifican estos números como válidos?Porque son números válidos; simplemente, no son enteros positivos.Nuestra expresión regular marcará estas entradas como no válidas, sin embargo, puesto que la expresión regular captura el signo menos (-) y el punto (.) de los caracteres que no son dígitos.Si, al leer esta columna, ha pensado: "¿Por qué estoy leyendo esta columna?" Bien, hay una buena razón ahí mismo.
¿Qué ha dicho?¿No es ese un motivo lo suficientemente bueno?Vaya, tenemos un público difícil este mes.De acuerdo, echemos un vistazo a otros tipos de validación de entrada de datos que se pueden realizar usando expresiones regulares.

Asegúrese de que no aparecen números en un valor
Acabamos de mostrar cómo asegurar que sólo aparezcan números en un valor.¿Qué pasaría si quisiéramos hacer lo contrario? ¿Y si quisiéramos asegurarnos de que no aparecen números en nuestro valor?Bien, aquí hay un patrón de búsqueda que podemos usar:
objRegEx.Pattern = "[0-9]"
¿Qué ocurre aquí?Bien, en el mundo un poco alocado y salvaje de las expresiones regulares, los caracteres de corchetes ([ y ]) permiten especificar un conjunto de caracteres o, como hemos hecho aquí, un rango de caracteres.¿Qué significa el patrón [0-9]?Significa que estamos buscando cualquier carácter en el rango 0 a 9, en otras palabras, cualquier valor numérico.Si queremos sólo números pares (es decir, si deseamos asegurarnos de que nuestro valor no incluya ningún 1, 3, 5, 7 o 9), usaríamos este patrón:
objRegEx.Pattern = "[13579]"
Tenga en cuenta que, como no usamos un guión, no buscamos un rango de caracteres.De hecho, buscamos los caracteres 1, 3, 5, 7 y 9, específicamente.
Por supuesto, el patrón [0-9] busca sólo números; no encontrará los signos de puntuación ni otros caracteres que no son letras pero que no son números tampoco.¿Cree que podemos crear un patrón que busque cualquier carácter que no sea una letra?Por supuesto que podemos.Puede hacer prácticamente cualquier cosa que desee con expresiones regulares:
objRegEx.Pattern = "[^A-Z][^a-z]"
En este caso, vamos a combinar dos criterios en nuestro patrón:buscamos [^A-Z] y [^a-z].Como ya se habrá imaginado, A-Z significa el rango de caracteres desde A mayúscula a Z mayúscula. ¿Qué significa el carácter ^?Cuando va incluido entre un par de corchetes, ^ significa "buscar cualquier carácter que no se encuentre en el conjunto de caracteres".Por lo tanto, [^A-Z] significa "buscar cualquier carácter que no aparezca en mayúscula".Del mismo modo, [^a-z] significa "buscar cualquier carácter que no aparezca en minúscula".El resultado final:este patrón significa que buscamos algo que no está en letra mayúscula ni en letra minúscula.Esto incluye números, signos de puntuación y cualquier otro carácter extraño que pudiera encontrar en su teclado.
De forma alternativa, podríamos haber establecido la propiedad IgnoreCase en True:
objRegEx.IgnoreCase = True
Con esto, nuestra búsqueda omitiría si las letras se escriben en mayúscula o en minúscula.Al mismo tiempo, podríamos usar este patrón, que combinado con la propiedad IgnoreCase, buscaría cualquier carácter que no estuviera en mayúscula ni en minúscula:
objRegEx.Pattern = "[^A-Z]"

Asegúrese de que el número de pieza es válido
Vamos a adoptar un tono más elegante.Y, confíe en nosotros, es posible adoptar un tono muy elegante con expresiones regulares; visite el sitio web regexlib.com para ver algunos ejemplos.Anteriormente en este artículo, dijimos algo parecido a esto:Suponga que strName es un número de pieza nuevo, y que los números de pieza deben cumplir un patrón especificado:cuatro dígitos seguidos por dos letras mayúsculas (por ejemplo, 1234AB).¿Cómo puede comprobar que una variable cumple este patrón?Pues así, claro:
objRegEx.Pattern = "^\d{4}[A-Z]{2}"
¿Qué significa este patrón?Qué casualidad:estábamos a punto de explicar lo que significa este patrón.En este caso, estamos buscando tres criterios:
^\d{4}
\d significa que estamos buscando dígitos (un carácter en el rango de 0 a 9).¿Qué significa {4}?Significa que deseamos la coincidencia exacta de cuatro de los caracteres (es decir, exactamente cuatro dígitos).Así que buscamos cuatro dígitos consecutivos.
¿Y el carácter ^?Bien, fuera de un par de corchetes, ^ indica que el valor debe empezar con el patrón subsiguiente; lo que significa que AA1234AB no se marcaría como una coincidencia.¿Por qué?Porque el valor empieza realmente con AA, no con cuatro dígitos consecutivos.Si quisiéramos, podríamos usar el carácter $ para indicar que la coincidencia debe producirse al final de la cadena.Pero no queremos.Bueno, al menos no en este ejemplo.
[A-Z]{2}
Ya sabe lo que significa el componente [A-Z]; es cualquier letra mayúscula.¿Y el {2}?Exacto:los cuatro dígitos deben aparecer seguidos exactamente por dos caracteres en mayúscula.
Es bastante fácil, ¿no?A propósito, en este caso, si Count es 0, tendremos un valor no válido.¿Por qué?Esta vez no estamos buscando un solo carácter que pueda invalidar la cadena; en su lugar, buscamos una coincidencia exacta del patrón.Si no obtenemos tal coincidencia, eso significa que tenemos un valor no válido.Y también significa que la propiedad Count de colección será 0.
Nota:estas son otras dos construcciones útiles:{3,} y {3,7}.{3,} significa que debe haber al menos 3 caracteres consecutivos (o expresiones); sin embargo, mientras hay un mínimo de 3, no hay máximo.\d{3,} coincide con 123, coincide con 1234 y también con 123456789. {3,7} significa que debe haber por lo menos 3 caracteres consecutivos (o expresiones) pero no más de 7. Así, 123456 es una coincidencia, pero 123456789 (que tiene más de 7 dígitos consecutivos) no lo es.
Este es otro patrón útil.Suponga que el número de la pieza comienza con cuatro dígitos seguidos por las letras US y dos caracteres finales (que pueden ser letras, números o cualquier cosa).Esta es una forma de conseguir la coincidencia:
objRegEx.Pattern = "^\d{4}US.."
Como puede ver, este patrón comienza con cuatro dígitos (\d), que deben aparecer seguidos por los caracteres US (y sólo los caracteres US; nada más será una coincidencia).Después de los caracteres US, necesitamos dos caracteres más de cualquier clase.¿Cómo indicamos cualquier carácter en una expresión regular?Un segundo; sabemos la respuesta... Espere, ya lo tenemos:cualquier carácter único se indica con un punto (.).Lógicamente, eso significa que dos caracteres pueden ir indicados por dos puntos:
..
De acuerdo, eso era fácil.Probemos algo más difícil.Suponga que estos dos caracteres internos indican el país donde se fabricó la pieza.Si tiene plantas de producción en Estados Unidos, el Reino Unido y España, eso significa que cualquiera de estos códigos de dos caracteres es válido:US, UK, ES.¿Cómo podemos, entonces, establecer varias opciones en una expresión regular?
Bien, qué tal así:
objRegEx.Pattern = "^\d{4}(US|UK|ES).."
La clave aquí es esta pequeña construcción:(US|UK|ES).Hemos colocado los tres valores aceptables (US, UK y ES) dentro de un conjunto de paréntesis, separando cada valor con el carácter de barra vertical (|).Así es como se establecen varias opciones con una expresión regular.
Pero espere:¿No dijimos que podía colocar varias opciones entre corchetes?¿No era eso para lo que se utilizaba [13579]?Sí, lo era.Sin embargo, esto funciona sólo para caracteres sueltos; [13579] siempre se interpretará como 1, 3, 5, 7 y 9. Para usar 135 y 79 como opciones, necesitará usar esta sintaxis:(135|79). También puede usar paréntesis para delinear una sola palabra que se debe buscar:
objRegEx.Pattern = "(scripting)"
O simplemente omita los paréntesis:
objRegEx.Pattern = "scripting"
Nota:de acuerdo, pero, ¿qué pasa si se necesita incluir los paréntesis como parte del término de búsqueda?, es decir, ¿qué pasa si quiero buscar (scripting)?Bien, ya que tanto los paréntesis abiertos como los cerrados son caracteres reservados en expresiones regulares, necesita colocar \ antes de cada carácter.En otras palabras:
objRegEx.Pattern = "\(scripting\)"

Libertad de expresión
Esto es todo para lo que hemos tenido tiempo este mes.Si desea obtener más información acerca de expresiones regulares, bueno, quizás desee echar un vistazo al webcast que trata la teoría de cadenas para administradores de sistemas:introducción a las expresiones regulares (microsoft.com/technet/scriptcenter/webcasts/archive.mspx).Y, a medida que empiece a aprender y a usar expresiones regulares, tenga presentes las palabras inmortales de Sophia Loren:"Los errores forman parte de los derechos que uno paga por una vida completa".
¡Anda!¡Los chicos del scripting hemos vivido unas vidas mucho más completas de lo que creíamos!

Dr. Scripto's Scripting Perplexer
El desafío mensual que prueba no sólo sus habilidades para resolver rompecabezas, también sus habilidades para el scripting.

Enero de 2008:Nombres escurridizos
Este mes Dr. Scripto decidió trabajar con Windows PowerShell.Por supuesto, no se puede trabajar con Windows PowerShell, al menos, no si lo utiliza correctamente (y Dr. Scripto siempre lo hace todo correctamente), sin usar cmdlets.Para este rompecabezas, Dr. Scripto ha repartido algunos cmdlets por una cuadrícula y debe encontrarlos.
Eso si, tenemos que admitir que este rompecabezas sería un poco más confuso si hubiéramos incluido el cmdlet completo.A causa de la construcción verbo-nombre de los cmdlets, hay docenas que comienzan con Get-, Set-, etc.Así que abandonamos la parte verbal del cmdlet (y el guión), dejando sólo los nombres.Pero podemos decirle que todos los verbos son "Get-".
Su tarea este mes consiste en descubrir los nombres de cmdlet.Le proporcionamos la lista de nombres oculta en el rompecabezas.¿Somos generosos, verdad?Cada palabra puede ir en vertical y en horizontal, hacia delante y hacia atrás, pero nunca en diagonal.Le damos la primera palabra (Location) como ejemplo.Buena suerte.

Lista de palabras
Alias
ChildItem
Credential
Date
EventLog
ExecutionPolicy
Location
Member
PSSnapin
TraceSource
Unique
Variable
WMIObject

Dr. Scripto's Scripting Perplexer
Respuesta:Nombres escurridizos, enero de 2008

Los chicos del scripting de MicrosoftLos chicos del scripting trabajan para, bueno, son empleados de Microsoft.Cuando no juegan al béisbol, ni entrenan ni lo ven (u otras actividades varias), dirigen el TechNet Script Center.Visite la página web www.scriptingguys.com.


 Vigilancia de seguridad: Ataque de red desde enlace remoto:la atracci&#243;n contagiosa de la mercadotecnia del proveedor
Vigilancia de seguridad
Ataque de red desde enlace remoto:la atracción contagiosa de la mercadotecnia del proveedor
Jesper M. Johansson

La técnica de ataque de red desde enlace remoto, es decir, penetrar en una red desde un vínculo no seguro y atacar los sistemas de dicha red, ha existido desde hace años.Pero continúa conquistando nuevas dimensiones.En los entornos actuales de TI conscientes de la seguridad, las personas son a menudo el vínculo más deficiente, y los usuarios malintencionados
pueden encontrar maneras de aprovechar esta vulnerabilidad (por ejemplo, suplantación de identidad, o phishing, y otras formas de ingeniería social).Esta combinación puede ser desastrosa para su red.
Una de mis implementaciones favoritas para aprovechar el elemento humano fue llevada a cabo por Steve Stasiukonis, de Secure Network Technologies, durante unas pruebas de penetración para un cliente."Sembró" todo el aparcamiento de clientes con unidades flash USB, cada una de las cuales tenía un troyano instalado.Cuando los empleados llegaron al trabajo por la mañana, les encantó encontrar estos dispositivos gratuitos desperdigados por todo el aparcamiento.Los empleados se llevaron las unidades USB y las conectaron al primer equipo que encontraron a su paso:en este caso, sus propias estaciones de trabajo.
Quizá algunos empleados fueron lo suficientemente inteligentes como para omitir estas unidades USB y puede que algunas de estas unidades USB fueran desechadas, pero simplemente un usuario que ponga en funcionamiento la unidad podría infectar su propio sistema y convertirlo en puerta de enlace a la red.Stasiukonis realizó este ejercicio como una prueba, por supuesto, pero esta técnica la han usado auténticos criminales para infiltrarse en grandes redes corporativas.
Las unidades flash USB están por todas partes estos días.En prácticamente todos los congresos, ciertos proveedores las regalan como si fueran caramelos.Estas unidades pueden no tener mucha capacidad, pero no es necesaria mucha capacidad de almacenamiento para infectar toda la red.En esta serie de dos partes, investigaré este tipo de ataque y le mostraré una serie de métodos que le ayudarán a mitigar el riesgo.En el número de este mes, explicaré exactamente lo que pueden hacer las unidades flash USB y lo que puede hacer para controlarlas.En el número del próximo mes de TechNet Magazine, le mostraré cómo contener un ataque en un conjunto único o pequeño de sistemas en la red.
Los detalles técnicos del ataque son realmente bastante sencillos.Todo comienza con una unidad flash USB infectada que se inserta en un solo equipo.Lo que sucede a continuación depende de la carga útil en esta unidad y, por supuesto, de lo ingenuo que pueda ser el usuario.

Los comienzos
En la tribuna había un equipo portátil desatendido.El conferenciante intentaba afanosamente integrarse con el público antes de empezar su presentación.El equipo portátil estaba bloqueado, pero eso no importaba.El atacante subió a la tribuna y dejó pasar un rato; parecía que esperaba a que regresase el conferenciante.Puesto que estas tribunas se diseñan para que oculten cosas que puedan parecer feas, como los equipos y los puertos USB, las manos del atacante estaban ocultas a la vista.Una vez que la unidad flash USB se insertó en el equipo, sólo tardó unos pocos segundos en llevar a cabo el ataque.
Hay algunas variaciones obvias de este tema en particular.Por ejemplo, cuando solía viajar por todo el mundo realizando presentaciones cada semana, cada vez que terminaba, algunas personas me pedían copias de mis diapositivas.Mi respuesta siempre consistía en entregarles una tarjeta y pedirles que me enviasen un mensaje de correo electrónico.Y eso, ¿por qué, si todos tenían una unidad flash USB que querían usar para tal fin?Porque conozco herramientas como USB Hacksaw y Switchblade.Si no está familiarizado con las mismas, obtenga más información sobre ellas en wiki.hak5.org.
Básicamente, estas herramientas permiten prácticamente a cualquiera sacar provecho de aquellas personas que dejan sus puertos USB desprotegidos.Por ejemplo, Switchblade permite volcar lo siguiente:
  • Información del sistema
  • Todos los servicios de red
  • Una lista de los puertos que escuchan
  • Todas las claves de producto de los productos de Microsoft en el equipo
  • La base de datos de contraseñas local
  • La contraseña de cualquier red inalámbrica que use el equipo
  • Todas las contraseñas de red que haya almacenado en el equipo el usuario que ha iniciado sesión
  • Contraseñas de Internet Explorer®, Messenger, Firefox y de correo electrónico
  • Los secretos de la Autoridad local de seguridad (LSA), que contienen todas las contraseñas de cuenta de servicio en texto no cifrado
  • Una lista de las revisiones instaladas
  • Un historial reciente de exploración
Todo esto formará parte de un archivo de registro de la unidad flash y tan solo tarda unos 45 segundos en completarse.
Hacksaw es una versión ligeramente modificada; instala un troyano en el equipo, el cual supervisa todos los eventos de inserción de la unidad flash USB.A continuación, manda un correo electrónico con todos los documentos de todas las unidades flash insertadas posteriormente en el equipo al atacante.
Las herramientas que he mencionado hasta ahora usan U3 (u3.com), una tecnología diseñada para permitir a los usuarios incluir programas en una unidad flash.En pocas palabras, una unidad flash habilitada para U3 miente acerca de sí misma.Dice al SO que es realmente un concentrador USB con una unidad flash y un CD conectado al mismo.Las versiones de Windows® anteriores a Windows Vista® ejecutarán automáticamente, de manera predeterminada, los programas designados en el archivo autorun.inf en los CD, pero no en las unidades USB.Mintiendo acerca de sí misma, la unidad flash USB habilitada para U3 engaña al SO para que ejecute automáticamente el selector de U3.El selector de U3, a su vez, puede iniciar programas, ofrecer menús y casi cualquier otra cosa que el usuario pudiera hacer con su equipo.
Lo único que hacen las herramientas de explotación es reemplazar el selector con el código de explotación.Tan pronto como la unidad flash se conecta a un sistema Windows XP, la herramienta de explotación se ejecuta automáticamente.En Windows Vista, el flujo de decisión de Reproducción automática funciona de forma distinta.La función Reproducción automática está actualmente habilitada en dispositivos extraíbles, como en los CDs.Esto significa que se implementará algún tipo de acción cuando se inserte el dispositivo.De manera predeterminada, el cuadro de diálogo Reproducción automática aparecerá, tal como se muestra en la Figura 1.
Figura 1 El cuadro de diálogo predeterminado Reproducción automática aparece cuando un usuario inserta una unidad extraíble con imágenes.
Figura 1 El cuadro de diálogo predeterminado Reproducción automática aparece cuando un usuario inserta una unidad extraíble con imágenes.
Observe que el cuadro de diálogo de la Figura 1 tiene una opción "Always do this for pictures" ("Hacer siempre esto con las imágenes").Esto configura una opción de Reproducción automática, que puede configurarse en el Panel de control, mostrado en la Figura 2.
Figura 2 Configuración de Reproducción automática en Windows Vista
Figura 2 Configuración de Reproducción automática en Windows Vista
La configuración de Reproducción automática es especialmente interesante para software y juegos.Por definición, significa que la unidad extraíble tiene un archivo autorun.inf que especifica algún programa que va a ser ejecutado.La configuración de la Figura 2 relacionada con software y juegos se almacena en la siguiente clave del Registro:
Hive:    HKEY_CURRENT_USER
Key:    \Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\
UserChosenExecuteHandlers\AutorunINFLegacyArrival
Value: (Default)
Data:
MSAutoRun – automatically executes the program specified in the autorun.inf file

MSPromptEachTime – prompts the user, using strings specified in the autorun.inf file, if available
Puesto que no es necesario que sea administrador para modificar estas opciones, los usuarios pueden configurarlas según sus preferencias, incluso pueden ejecutar automáticamente cualquier malware que esté en la unidad que encontraron en el aparcamiento.De hecho, lo pueden hacer activando la casilla adecuada en el cuadro de diálogo Reproducción automática.

Administración de Reproducción automática en su red
Como administrador, hay un par de métodos que puede usar para administrar la función Reproducción automática en su red.En primer lugar, puede evitar que un usuario habilite la Reproducción automática en medios extraíbles y CDs modificando la configuración NoDriveTypeAutoRun que controla para qué tipos de unidades está habilitada esta función.Windows XP venía con NoDriveTypeAutoRun configurado como 0x95, lo cual deshabilita la Reproducción automática en tipos de unidades desconocidas, en unidades de red y en dispositivos extraíbles.A partir de Windows XP SP2, la configuración de NoDriveTypeAutoRun es 0x91 de manera predeterminada.Esto permite la Reproducción automática en dispositivos de almacenamiento extraíbles.Si se usa la directiva de grupo, hay una opción en Configuración de usuario\Plantillas administrativas\Componentes de Windows\Directivas de Reproducción automática que permite administrar la configuración de NoDriveTypeAutoRun.Si habilita "Desactivar la configuración de Reproducción automática y seleccionar CD-ROM y unidades extraíbles", se deshabilitará la Reproducción automática en ambos tipos de unidades.
Como resultado, no obstante, el usuario no obtiene el cuadro de diálogo Reproducción automática de la Figura 1.De hecho, no ocurre nada cuando el usuario inserta la unidad de disco.No obstante, puede que esto no sea una solución ideal, ya que puede producir confusión en el usuario que no sepa cómo obtener acceso a la información de la unidad.
Lo que probablemente desee será controlar qué tipos de contenido se pueden reproducir automáticamente.Puede hacer esto hasta cierto punto en Windows Vista, ya que este sistema operativo tiene efectivamente dos niveles de control sobre el software que se ejecuta automáticamente.Otro control en la directiva de grupo, mostrado en la Figura 3, permite desactivar la Reproducción automática del software que use archivos autorun.inf, dejando intacto el resto del comportamiento de Reproducción automática en Windows Vista.
Figura 3 Deshabilite los archivos autorun.inf con la directiva de grupo
Figura 3 Deshabilite los archivos autorun.inf con la directiva de grupo
El flujo de decisión es algo complicado en lo que se refiere a la Reproducción automática, y quizás sea más fácil mostrarlo con un diagrama de flujo.La Figura 4 representa el flujo de decisión usado para determinar si se debe ejecutar automáticamente un archivo en un medio extraíble.
Figura 4 El flujo de decisión de Reproducción automática
Figura 4 El flujo de decisión de Reproducción automática

Otros comienzos
Por supuesto, estas son simplemente algunas de las herramientas que pueden usarse para poner en peligro un equipo con una unidad flash USB.Se pueden añadir todo tipo de herramientas a este escenario, como una herramienta que expulsa el hash de contraseña de Windows NT® del usuario que haya iniciado la sesión (consulte microsoft.com/technet/community/columns/secmgmt/sm1005.mspx).
Muchos controladores USB son realmente dispositivos de Acceso directo a memoria (DMA).Esto significa que pueden omitir el sistema operativo, y llevar a cabo operaciones de lectura y escritura directamente en la memoria del equipo.Si omite el sistema operativo y los controles de seguridad que proporciona, ya tiene acceso completo y libre al hardware.Esto convierte en ineficaz el control de dispositivos implementado por el SO.No conozco herramientas de piratería que usan actualmente esta técnica, pero dudo mucho que no las haya.
Otra manera de aprovechar la combinación usuario/dispositivo extraíble es presentar simplemente una opción que resulte atractiva.Por ejemplo, ¿cuántos usuarios harían clic en el cuadro de diálogo de la Figura 5?No todos, pero probablemente muchos.La idea básica es que es una tarea bastante sencilla crear un cuadro de diálogo que sea tan llamativo que los usuarios no puedan resistir la tentación de utilizarlo.
Figura 5 ¿Cuántos usuarios caerían en la trampa?
Figura 5 ¿Cuántos usuarios caerían en la trampa?

Bloqueo de dispositivo
Como novedad en Windows Vista, la directiva de grupo tiene un conjunto de directivas para controlar la instalación de dispositivos (consulte la Figura 6).Tal como se muestra, el administrador puede bloquear la instalación de todos los dispositivos extraíbles si la unidad especifica que son extraíbles.Si el controlador indica que no lo son, sin embargo, la directiva no surte efecto.Así, esta directiva puede evitarse usando controladores personalizados.
Figura 6 Directivas de instalación de dispositivos en Windows Vista
Figura 6 Directivas de instalación de dispositivos en Windows Vista
Para obtener un control más granular, el administrador puede usar las directivas para actuar sobre clases específicas de instalación de dispositivos.Sin embargo, estas requieren conocer el GUID para la clase específica de dispositivo que desea bloquear (o permitir), lo que dificulta bastante la administración de este enfoque.

Los privilegios mínimos importan realmente
Si omitimos el escenario de DMA por un momento, el éxito de los ataques que he tratado, así como el éxito de las contramedidas, dependerá de los privilegios del usuario que usa el equipo.Si el usuario es un usuario estándar, el daño que puede provocar la vulnerabilidad es limitado.Todavía es posible obtener datos de usuario y cualquier cosa a la que este usuario tenga acceso.Sin embargo, el ataque no tendrá un gran impacto en la red.
No obstante, si el usuario atacado es un administrador, las consecuencias pueden ser mucho peores.En el peor de los casos, si el usuario es administrador de dominio, hacerse con la red entera resulta fácil.Por ejemplo, el atacante podría extraer el hash de la contraseña de usuario de la memoria.El sistema copia en caché el hash dentro del espacio del proceso LSA durante el inicio de sesión para que pueda usarse de forma transparente y obtener acceso a recursos de red en nombre del usuario.Un atacante con privilegios administrativos puede extraer este hash y tener acceso a cualquier recurso de red.Es decir, si el usuario es administrador de dominio, el dominio entero está en peligro.
Esto me lleva al tema de las dependencias.Hasta ahora, he resumido un ataque específico en estaciones de trabajo.No he explorado, sin embargo, lo que el ataque puede suponer a escala de red.En la columna del próximo mes, me introduciré en el concepto de las dependencias, explicaré lo que significan para el entorno en general y, lo que es más importante, lo que puede hacer para reforzar su seguridad.

Jesper M. Johansson es ingeniero de seguridad y trabaja en problemas de seguridad de software, asimismo colabora como editor en TechNet Magazine.Tiene un doctorado en MIS y más de 20 años de experiencia en el ámbito de la seguridad.


 Archivos del escritorio: Inform&#225;tica compartida con Windows SteadyState
Archivos del escritorio
Informática compartida con Windows SteadyState
Wes Miller

Con toda seguridad, si ha estado cerca de un laboratorio informático durante los últimos diez años, seguro que conoce este problema.Fue algo que observé cuando estaba en la universidad.En aquellos momentos, los laboratorios estaban abiertos durante todo el día (si se contaba con identificación de estudiante) y se quedaban vacíos cuando los estudiantes acudían a la biblioteca.Los estudiantes aficionados al juego de aquella era
podrían entrar y realizar modificaciones a los archivos principales de Windows® y MS-DOS® para ejecutar sus juegos.El resultado final era un equipo que podía ejecutar juegos, pero que no podía ejecutar adecuadamente Windows, si es que llegaba a ejecutarlo.Todos nosotros lo hemos experimentado en algún momento, el equipo de uso compartido ha quedado destartalado hasta tal punto que es una pérdida de tiempo intentar usarlo.
Recientemente, fui de vacaciones a la Isla del Padre en Texas.El hotel donde me alojé tenía tres equipos en una "sala de equipos para invitados" que ejecutaban Windows XP.Cualquiera que ejecutara estos sistemas de Windows podía hacerlo como administrador y no había directivas aplicadas a los sistemas. Así, los visitantes abusaban de estos pobres equipos: instalaban software inapropiado y eliminaban o cambiaban aplicaciones principales. Seguramente, no se trataba de la situación esperada por el hotel.Tanto en un laboratorio como en un hotel, la verdad es que los equipos de uso compartido en entornos públicos son víctimas de malos tratos, en mayor medida que los equipos domésticos.

Soluciones al problema
Cómo obtener y usar SteadyState
Windows SteadyState está disponible como descarga gratuita en go.microsoft.com/fwlink/?LinkId=104721.Hay más información disponible acerca de SteadyState en microsoft.com/windows/products/winfamily/sharedaccess.
Windows SteadyState se ejecutará en cualquier sistema que pueda ejecutar Windows XP.La mejora más considerable sobre SCT es que SteadyState no requiere una segunda partición para funcionar, al contrario que SCT para Protección de disco de Windows.
La tabla siguiente ofrece una introducción de los requisitos de sistema para SteadyState.Tenga en cuenta que SteadyState necesita un sistema de archivos con formato NTFS, aunque cualquier versión de Windows XP es compatible.SteadyState no funciona actualmente con Windows Vista®.

Componente | Requisito
Procesador | 300 MHz o superior (233 MHz mínimo).
Memoria | 128 MB de RAM o superior (64 MB mínimo; puede limitar el rendimiento y otras características).
Disco duro | Mínimo de 1,5 GB de espacio en disco duro disponible sin Protección de disco de Windows o un mínimo de 4,0 GB de espacio en disco duro disponible con Protección de disco de Windows.
Sistema operativo | Windows XP Home Edition, Windows XP Professional o Windows XP Tablet PC Edition.Debe instalarse Windows XP SP2.
Idiomas localizados compatibles | Inglés, holandés, francés, italiano, japonés, portugués brasileño, chino simplificado y español.
Sistema de archivos | Sistema de archivos con formato NTFS.
Acceso | Acceso de nivel de administrador.

Si ha leído mi columna durante el último año o si está familiarizado con la implementación de Windows en general, quizás esté pensando, "no es tan difícil, simplemente debo volver a realizar la imagen de los sistemas".Pero aquellos que estén plenamente familiarizados con el tema saben que no es siempre tan fácil.La solución de realizar imágenes cada día o cada semana no facilita realmente las cosas.
Hace años, un amigo y yo consideramos la apertura de un cibercafé.Esto fue en el año 1995, cuando era una idea única.Mi preocupación más importante era garantizar la confiabilidad y la disponibilidad de los sistemas.Desafortunadamente, las opciones en aquel momento consistían principalmente en realizar imágenes o incluso soluciones de mayor envergadura; no existía nada como plug-and-play para resolver el problema.
Si desglosamos el asunto, al proteger equipos de uso compartido, siempre necesitará hacer tres cosas:
  • Garantizar que los usuarios usen los equipos sólo como no administradores.Esto debe ser siempre así en equipos compartidos.
  • Implementar directivas para que los sistemas sean tan seguros como sea posible.De este modo, habrá un número potencial de usuarios capaz de manipular áreas del sistema a las que no deberían tener acceso.
  • Ser capaz de revertir cualquier cambio aleatorio realizado por los usuarios.Incluso si los usuarios usan los equipos como no administradores, pueden hacer todavía cambios no deseados en los menús, favoritos, etc.
Afortunadamente, Microsoft ha estado trabajando durante varios años en un conjunto de herramientas diseñado específicamente para ayudar en este escenario.

Historia de SteadyState
Hace poco más de un año, Microsoft lanzó al mercado Windows Shared Computing Toolkit (SCT).Disponible como descarga gratuita para los sistemas con el Programa de Ventajas de Windows Original, el kit de herramientas se diseñó específicamente para bibliotecas, cibercafés, laboratorios y otros entornos informáticos de uso compartido.Puede haber visto anteriormente información de SCT en el número de julio de 2006 de TechNet Magazine (technetmagazine.com/issues/2006/07/UtilitySpotlight).
Una nueva versión, ahora denominada Windows SteadyStateTM (microsoft.com/windows/products/winfamily/sharedaccess) se lanzó en junio de 2007. La nueva versión ha cambiado su nombre en parte debido a que el conjunto de herramientas cambiaba significativamente de una versión a otra.Realiza todavía las mismas tareas que trataré en un momento pero, en la última versión, el equipo se centró en la facilidad de uso general.Como resultado, SteadyState se ha integrado adecuadamente en una nueva consola, y es más fácil de instalar y administrar.Es más eficaz y flexible, y es compatible con la integración de Active Directory® para uno de sus componentes clave, lo cual implica mayor flexibilidad en varios escenarios de empresa completamente nuevos.También ahora es compatible con la integración de Windows Update, de manera que SteadyState tiene la inteligencia para saber cuándo desactivar Protección de disco de Windows para aplicar actualizaciones por sí mismo.Esto reduce los gastos de administración que tiene que dedicar a sus sistemas administrados de SteadyState.

Características de SteadyState
Windows SteadyState consta de cuatro componentes clave:Las restricciones de equipo bloquean las opciones de configuración y de seguridad por equipo; Protección de disco de Windows copia en caché (y revierte) los cambios a la partición de sistema de Windows; el administrador de cuentas de usuario crea, edita, importa o exporta usuarios y, finalmente, las restricciones y la configuración del usuario bloquean las opciones de seguridad y de configuración por usuario.
Una mejora inmediata que advertirá en el kit de herramientas es la ayuda de usuario.Una guía de inicio ayuda a poner en funcionamiento SteadyState.A continuación, SteadyState ofrece cuatro tareas clave para adentrarse en (reflejando las características clave que resumí más arriba):
  • Configurar restricciones de equipo (Restricciones de equipo).
  • Programar actualizaciones de software.Permite especificar si SteadyState aplica automáticamente Windows Updates.Esto se recomienda, puesto que se encarga de la administración con Protección de disco de Windows, y también actualiza las firmas de varios programas antivirus conocidos.
  • Proteger el disco duro (Protección de disco de Windows).
  • Agregar usuarios (administrador de cuentas de usuario).
Bajo Agregar usuario, encontrará las restricciones y configuración de usuario, que le ofrece una opción de configuración por usuario.

Restricciones de equipo, y restricciones y configuración de usuario
Si está familiarizado con la directiva de grupo de Windows, ya conoce los aspectos Establecer restricciones en el equipo y Establecer restricciones y configuración de usuario de SteadyState.Mejor que obligar a los administradores de SteadyState a usar el Editor de objetos de directiva de grupo (GPEdit.msc), que no es una característica disponible en Windows XP Home Edition (aunque SteadyState es compatible con el mismo), SteadyState hace surgir varias opciones clave de seguridad y configuración que son comunes en el escenario de equipos compartidos.
La Figura 1 muestra la pantalla de configuración Establecer restricciones en el equipo.Tenga en cuenta que todas estas configuraciones genéricas se aplicarán al equipo entero.Estas configuraciones se seleccionan principalmente para minimizar los riesgos de seguridad al sistema y, en el caso de acceso mediante unidad USB, la capacidad de eliminar cosas del sistema.Al observar la configuración por usuario, verá una manera de bloquear el acceso de lectura a algunas o a todas las unidades también.
Figura 1 Restricciones de equipo en SteadyState
Figura 1 Restricciones de equipo en SteadyState
Es importante tener en cuenta que la configuración de USB está sólo activa si se ejecuta bajo la instalación real de Windows donde está configurado SteadyState.Con el objeto de proteger contra ataques sin conexión, debe configurar adecuadamente el BIOS para bloquear el arranque desde dispositivos USB o CD y proteger con contraseña el mismo BIOS.
Por supuesto, esto no es infalible.Recuerde la tercera ley de "Las 10 leyes inmutables de la seguridad" (microsoft.com/technet/archive/community/columns/security/essays/10imlaws.mspx):"Si un tipo malo tiene acceso físico sin restricción a su equipo, ya no es su equipo".Una persona dedicada con suficiente tiempo y las herramientas apropiadas a menudo puede eludir una contraseña de BIOS.

Protección de disco de Windows
Si alguna vez ha usado Windows XP Embedded desde un CD o Windows PE 2.0, lo que voy a describir le podrá sonar muy familiar y por una buena razón, tienen una historia compartida.Protección de disco de Windows funciona para ofrecer una completa función "deshacer" de la partición de sistema de Windows guardando todos los cambios realizados a la partición del sistema en una caché en la misma partición.Este aspecto de SteadyState es crítico, puesto que es el componente que permite deshacer los cambios realizados por los usuarios del sistema en el transcurso del tiempo.
Protección de disco de Windows es útil principalmente si desea garantizar la posibilidad de revertir rápidamente (o después de un reinicio imprevisto o en un intervalo programado) al estado implementado inicial del sistema.Tiene cuatro modos que puede configurar en el cuadro de diálogo mostrado en la Figura 2:
Figura 2 Configuración de Protección de disco de Windows
Figura 2 Configuración de Protección de disco de Windows
Desactivado Protección de disco de Windows está deshabilitada completamente y todos los cambios se escriben en el disco normalmente.
Activado, descartar cambios en reinicio Protección de disco de Windows está habilitada y, cada vez que reinicia el equipo, todos los cambios quedan descartados.En esencia, esto significa que el sistema revertirá exactamente al punto donde estaba cuando comprobó y guardó esta opción.
Activado, descartar cambios a la hora establecida Casi idéntica a las opciones anteriores, excepto que los cambios se descartan a una hora establecida, no en el reinicio siguiente.Esto sería una elección lógica si deseara descartar los cambios diaria o semanalmente.
Activado, retener los cambios permanentemente Se confunde conceptualmente con Desactivado, pero la diferencia aquí está en que este es un modo temporal.Por ejemplo, podría usar este modo si desea aplicar actualizaciones de aplicaciones, instalar aplicaciones nuevas o configurar el sistema.Este no es un modo que deba ejecutar generalmente a largo plazo.
Tenga en cuenta que Protección de disco de Windows requiere un reinicio para cambiar entre cualquiera de estos modos.

Programar actualizaciones de software
La opción Programar actualizaciones de software es útil, ya que SteadyState ahora tiene la capacidad de desactivar o activar Protección de disco de Windows automáticamente.Si permite a SteadyState administrar sus actualizaciones, configurará Protección de disco de Windows para mantener los cambios durante la actualización y, después, devolverá Protección de disco de Windows a la configuración establecida anteriormente.Recomiendo definitivamente esta configuración, ya que elimina una tarea en su lista de tareas de administración.
El siguiente software de seguridad es compatible mediante la característica de actualización en Actualizaciones de software:Computer Associates eTrust 7.0, McAfee VirusScan, Windows Defender y TrendMicro 7.0.

Administrador de cuentas de usuario
La opción Agregar usuario permite configurar nuevos usuarios para el sistema.La Figura 3 muestra las opciones disponibles para su nuevo usuario:nombre, contraseña, imagen para representar al usuario y ubicación del perfil de usuario.Una vez que ha creado usuarios, puede establecer las restricciones y la configuración de usuario para cada una de estas cuentas locales.Lo bueno es que una vez que ha agregado y configurado una cuenta en su sistema, puede exportarla y, a continuación, importarla a otro sistema según necesite (o archivarla).
Figura 3 Cómo agregar cuentas de usuario
Figura 3 Cómo agregar cuentas de usuario
Un aspecto muy útil del administrador de cuentas de usuario es que los perfiles de usuario pueden crearse en una partición secundaria mediante el menú Ubicación de usuario mostrado en la Figura 3.Generalmente, los perfiles se deben crear en la partición de Windows a menos que especificara manualmente una ubicación diferente a Documents and Settings durante la instalación mediante un archivo unattend.txt.Este enfoque es especialmente útil con SteadyState, ya que descarta los cambios realizados a la partición del sistema de Windows cuando Protección de disco de Windows está habilitada.Si desea que un perfil de usuario sea coherente en las purgas de caché de Protección de disco de Windows, puede especificar simplemente el perfil de usuario para que se almacene en otra partición local al crear el usuario mediante el administrador de cuentas de usuario.
Este proceso funciona reiniciando para borrar la memoria caché de Protección de disco de Windows, aplicando las actualizaciones y reiniciando otra vez para volver a iniciar Protección de disco de Windows.Además de Windows Update, SteadyState actualizará los archivos de firmas para varias aplicaciones antivirus conocidas que son compatibles (consulte la barra lateral "Cómo obtener y usar SteadyState").Si su aplicación no es compatible o si necesita ejecutar otro actualizador, puede realizar la actualización de manera manual; simplemente, asegúrese de que Protección de disco de Windows esté deshabilitada cuando lo haga o se perderá la firma digital.

Restricciones y configuración de usuario
Una vez que ha seleccionado un usuario, SteadyState divide las restricciones de usuario en cuatro categorías.Estas se derivan de la configuración de directiva de grupo y posiblemente le resultarán familiares.
La configuración general controla los perfiles de usuario y las configuraciones de cierre de sesión forzado.Esto incluye la configuración para bloquear el perfil y establecer los intervalos de tiempo de espera para cerrar la sesión tras una duración de uso o tiempo de espera establecidos.
La configuración Restricciones de Windows, mostrada en la Figura 4, controla elementos de configuración específicos de Windows.Los ejemplos incluyen la eliminación del acceso a elementos de interfaz de usuario de Windows, tales como los componentes del menú Inicio y de la funcionalidad de Windows Explorer.La capacidad para bloquear el acceso a unidades de disco específicas según la letra de unidad está también disponible, así como la capacidad de deshabilitar la grabación de CD.
Figura 4 Restricciones de usuario específicas de Windows
Figura 4 Restricciones de usuario específicas de Windows
La ficha Restricciones de características, mostrada en la Figura 5, controla el acceso granular a la mayoría de las funciones de Internet Explorer®, permite configurar la página principal de Internet Explorer y controlar las funciones de Microsoft® Office hasta cierto punto, en gran parte para controlar la capacidad de ejecución de scripts de Visual Basic® para aplicaciones (VBA).
Figura 5 Restricciones de características
Figura 5 Restricciones de características
La opción Bloquear programas (consulte la Figura 6) controla la capacidad de ejecutar aplicaciones específicas; básicamente, crea una lista negra.Esta se rellena con varias aplicaciones comunes, aunque puede agregar otras.Tenga en cuenta que estos elementos se bloquean según una definición de su ruta de acceso.Si a un usuario se le permite mover una aplicación a otra parte en el sistema, la regla de ruta de acceso no seguirá aplicándose.No obstante, las restricciones de acceso al sistema y unas ACL de archivos y directorios correctamente aplicadas complicarán la realización de esta tarea.
Figura 6 Bloqueo de la ejecución de programas
Figura 6 Bloqueo de la ejecución de programas
Otra capacidad nueva importante de SteadyState está basada en las plantillas preconfiguradas que especifican los niveles de restricción relacionados con las restricciones de Windows y las restricciones de características.Las plantillas facilitan el funcionamiento de una configuración de línea de base dependiendo del nivel deseado de bloqueo de características o funciones.Por supuesto, cuenta con la capacidad de crear plantillas personalizadas.

Limitaciones de SteadyState
SteadyState hace un gran trabajo al ayudar a una organización a estabilizar sus sistemas informáticos compartidos.Para una herramienta comercial, estaría muy bien.Para ser una herramienta gratuita, es admirable.Pero, recuerde, no lo hace todo.
Los sistemas informáticos compartidos son objetivos fáciles para ataques y también para abusos no intencionados.Debe asegurar que estos sistemas estén aislados de la información a la que no necesitan tener acceso.Aunque SteadyState tiene también la capacidad de bloquear el acceso a las aplicaciones, estas exigencias se administran mediante directivas de restricción de software.Y, como Mark Russinovich recalcó hace unos años, hay técnicas mediante las cuales un usuario astuto puede elaborar una aplicación con aspecto benigno, pero incluso como usuario limitado podrá omitir estas directivas (blogs.technet.com/markrussinovich/archive/2005/12/12/circumventing-group-policy-as-a-limited-user.aspx).A menos que bloquee todos los accesos de dispositivos y el acceso a Internet, esto es una vulnerabilidad que necesitará tener en cuenta.Recuerde siempre la Ley nº 3...
Obviamente, SteadyState es sólo un componente de un sistema informático compartido bien configurado.La aplicación regular de actualizaciones mediante Windows Update y la configuración apropiada del Firewall de Windows (u otro firewall) son igualmente importantes.También, asegúrese de instalar y configurar antivirus, antispyware y otras contramedidas de seguridad necesarias analizando los posibles riesgos del equipo.Igualmente, controle el acceso al equipo; si no puede controlar eso, controle lo que el equipo puede consultar.Y no almacene datos confidenciales de forma local.
Finalmente, al habilitar su plataforma, asegúrese de que sus pruebas incluyan el uso de SteadyState (con Protección de disco de Windows habilitada, a menos que no desee su uso) y todo el software adicional que planee ejecutar en el sistema.Deseará asegurarse de que el software y SteadyState funcionen juntos de manera óptima.

Compatibilidad con SteadyState
Los comentarios de los usuarios para SteadyState que he consultado son muy positivos.Hay una serie de problemas menores que he oído hasta ahora, algunos en relación con el orden en el que hay que agregar los usuarios.Muchos de estos problemas (junto con otras sugerencias y trucos) están cubiertos en la comunidad de Windows SteadyState (con vínculos prácticos a varios lugares en la aplicación y la documentación de SteadyState) en forums.microsoft.com/windowstoolsandutilities.
Recomendaría también antes de comenzar que revisara la guía de SteadyState, disponible en go.microsoft.com/fwlink/?LinkId=104722.Ofrece bastantes sugerencias y trucos para usar SteadyState correctamente.

Conclusión
SteadyState ofrece un gran paquete de funciones para cualquier sistema con Windows XP cuyo acceso deba controlar... y es gratuito.La funcionalidad altamente mejorada de Protección de disco de Windows y las mejoras en la interfaz de usuario se traducen en una implementación más fácil y una administración general más cómoda de sus sistemas de acceso compartido.
Tanto si sus necesidades están relacionadas con sistemas de laboratorios de equipos, quioscos de acceso compartido para visitantes o empleados, salas de aprendizaje o cualquier otra necesidad de informática compartida, SteadyState puede ayudarle a mantener los sistemas en funcionamiento y en ejecución de una forma más sencilla.Y no tendrá que hacer más imágenes semanales sólo para reiniciar un sistema.Esta es una mejora inmensa en mi libro.

Wes Milleres director técnico de producto en Initiate Systems (InitiateSystems.com) en Austin, Texas.Anteriormente, trabajó en Winternals Software y como administrador de programas para Microsoft.Puede ponerse en contacto con él en technet@getwired.com.


 Notas de campo: La tarea m&#225;s importante del d&#237;a
Notas de campo
La tarea más importante del día
Eric N. Bush

Bill Gates se aleja de la oficina dos veces al año para lo que él llama su "semana para pensar".Se aísla de las personas, las llamadas telefónicas y el correo electrónico, y se dedica exclusivamente a la lectura.Reflexiona sobre el estado de la tecnología en Microsoft y en el mundo.Trata de comprender los trabajos actuales de su compañía y otras empresas, y cómo pueden seguir adelante de una manera mucho más estratégica.Gates conoce el valor de la reflexión y la planeación.
Cada uno de nosotros puede sacar gran provecho de la dedicación diaria de unos minutos a la reflexión y la planeación: tiempo para formular ideas, resolver problemas, establecer prioridades en las tareas, fijar objetivos y soñar despierto.Intente llevar a cabo este ejercicio a la misma hora y en el mismo lugar cada día, y evite cualquier interrupción durante este periodo.Su tarea más importante consiste en planear y establecer prioridades entre las tareas que llevará a cabo durante el día.Si tiene asignadas tareas de administración, puede emplear gran parte de su tiempo planeando y estableciendo prioridades en relación con el trabajo de otros.
Tanto si debe administrar la red de la empresa o una base de datos esencial, como si debe diseñar y administrar los sistemas de información de la empresa, hay problemas que surgen a diario y que pueden desviar su atención evitándole progresar en el trabajo que realmente importa.Al final del día, no puede decir realmente si ha conseguido adelantar algo o, al contrario, ha retrocedido varios pasos.
Su objetivo debe ser conseguir ser más previsor, estar mejor organizado y más preparado para responder a emergencias de TI.Gracias a la planeación, puede pasar de ser reactivo a ser proactivo.No obstante, para poder llevar a cabo este cambio, tiene que reflexionar, planear y establecer prioridades.Es de gran ayuda crear una lista de tareas, organizada en tres categorías, y comenzar cada día revisándola:En curso, Tan pronto como sea posible y Lista de deseos.Mediante estas listas, puede hacer tiempo para crear soluciones que eviten, en primer lugar, las crisis.
La lista En curso es muy importante para empezar bien.Es vital que progrese en estas tareas críticas cada día.Otorgue mayor prioridad a los objetivos principales de su compañía y su grupo.Las tareas que no afecten directamente a esta prioridad pueden retroceder puestos en la lista.Si su cargo tiene que ver con la administración, implemente un proceso que ayude a todos los empleados a estar sincronizados con las prioridades absolutas.
Las listas Tan pronto como sea posible y Lista de deseos son, generalmente, para planes estratégicos que ahorrarán tiempo y dinero a su compañía y la harán más competitiva.Identifique estas tareas y trate de conseguirlas de una manera lenta y metódica, pasándolas a la lista En curso a medida que aumenta su prioridad.
Pero no olvide que:el simple hecho de tener estas listas de prioridad no significa que se hará todo lo que incluyen.Estas son algunas sugerencias para ayudarle a desarrollar sus tareas:
  • Realice en primer lugar las tareas más rápidas y fáciles.
  • A continuación, lleve a cabo las tareas por las que se siente menos motivado.
  • En último lugar, dedíquese a las tareas que más le gusten.
  • Evite intercambiar contextos.Serialice su trabajo si le es de algún modo posible.
  • No obstante, si se quedara bloqueado en una tarea, pase a la siguiente hasta que pueda volver a la anterior.
  • Delegue o rechace tareas cuya realización no tenga sentido, o sugiera alternativas.
  • Sepa cuándo trabaja mejor y es más productivo.Reserve este tiempo para centrarse en las tareas importantes.
Si sabe cómo planear su tiempo de una manera inteligente, realizará mejor su trabajo.Las personas que se pasean por la vida sin un plan de acción nunca están satisfechas con sus resultados, ya que nunca supieron hacia dónde se dirigían en primer lugar.

Eric N. Bush es Director de desarrollo de software en el grupo Engineering Excellence de Microsoft.Trabaja como consultor interno e instructor de clase controlando mejoras de ingeniería y organización en las áreas de habilidades personales, procesos y tecnología.Puede ponerse en contacto con él en ericbush@microsoft.com.


 Confidencial de Windows: Recu&#233;rdeme no volver a hacer eso nunca m&#225;s
Confidencial de Windows
Recuérdeme no volver a hacer eso nunca más
Raymond Chen

Hay una antigua herramienta para la serie de sistemas operativos Windows® 95 conocida como Automatic Skip Driver (Controlador de omisión automática).Quizás su primera reacción ante la herramienta se centre en su confuso nombre, incluso puede haber sospechado que las siglas ASD tenían un significado distinto al principio.Y tiene razón.
Windows 95 tuvo que adaptarse a una gran cantidad de dispositivos que no eran Plug and Play, ya que la inmensa mayoría de los sistemas existentes en aquel momento eran anteriores a la especificación Plug and Play.La detección de hardware antes de los dispositivos Plug and Play constituía una tarea muy complicada.
Por ejemplo, la detección del módem se llevaba a cabo mediante la emisión de consultas de valores de decenas de registros de módem.Aunque había un conjunto básico y muy sólido de comandos de módem, existía una variación considerable en la implementación de los rincones más desconocidos del lenguaje de comandos.No es sorprendente, por tanto, que esta incoherencia fuera frustrante para los programas de comunicaciones, puesto que requería la adición de casos especiales para varios modelos de módem con el objeto de acomodar sus peculiaridades individuales. Sin embargo, la incoherencia fue una bendición accidental para Windows:puesto que cada módem se comportaba de una manera sutilmente distinta, Windows podría investigar estos rincones desconocidos y comparar el comportamiento del módem con una tabla de los módems conocidos y sus respuestas.
Había una persona en el equipo de Windows 95 cuyo trabajo consistía en instalar cualquier módem conocido y ejecutar un pequeño programa que ponía a prueba el módem. Esta persona decidió explorar los rincones desconocidos y reunir los resultados de cada módem para crear una base de datos exhaustiva de estos dispositivos.Si aún le es posible obtener acceso a un equipo que ejecute Windows 95, puede echar un vistazo al directorio Windows\Inf y verá todos aquellos archivos cuyos nombres empiezan con MDM.Hay alrededor de un megabyte de archivos de información de dispositivo dedicados a los módems.Esto supone varios años de trabajo condensados en un megabyte de números hexadecimales ilegibles.
La detección de módems era bastante segura, puesto que prácticamente todos los módems se comportaban más o menos del mismo modo a grandes rasgos; la emoción recaía en los detalles.Era mucho peor la detección con dispositivos que usaban puertos de E/S.Por ejemplo, para detectar si estaba instalada una tarjeta de vídeo específica, el módulo de detección de tarjetas de vídeo del Administrador de configuración de Windows 95 enviaba los valores cuidadosamente seleccionados por puertos de E/S específicos y escuchaba cualquier respuesta del dispositivo.Si el dispositivo respondía de la manera correcta, se suponía entonces que había encontrado lo que buscaba.Si no, seguía adelante con el siguiente modelo de tarjeta de vídeo.
Por supuesto, si el dispositivo instalado en el puerto de E/S no era la tarjeta de vídeo que el Administrador de configuración estaba probando, podía resultar bastante molesto que alguien enviara al dispositivo valores que carecían de sentido.Según el "humor" del dispositivo, este podía bloquear o reiniciar el equipo.Esto no constituyó un buen presagio para el Administrador de configuración.Así es como surgió el módulo conocido como ASD.
Antes de llevar a cabo estas pruebas de hardware potencialmente dañinas, el Administrador de configuración creaba un archivo que, básicamente, decía: "¡Oh, no!¡Estoy a punto de llevar a cabo la acción peligrosa X!"Esta era la versión informática de la mítica frase "Abrir en caso de fallecimiento" que aparecía en el sobre que entregaba el héroe de la película a su novia antes de embarcarse en una misión suicida de lucha contra el enemigo.
Si la acción peligrosa X provocaba, realmente, el bloqueo o reinicio del equipo, en el siguiente inicio del sistema, este vería el archivo mágico y "abriría el sobre" para comprobar que era la acción peligrosa X la que provocó el bloqueo del equipo.El sistema concluía entonces que el intento de detectar el dispositivo X había sido catastrófico y sabía que no debía volver a hacerlo nunca más.
El módulo que se encargaba de esta tarea se denominaba ASD.Las siglas ASD significaban "Attempting Something Dangerous" ("Intentando algo peligroso").

Raymond Chen, The Old New Thing, y en su libro homónimo (Addison-Wesley, 2007) se trata la historia de Windows y la programación Win32.Tiene cuidado porque el plato quema.