 TechNet Magazine January 2008

TechNet Magazine January 2008

System Center: Contrôle réel avec Virtual Machine Manager 2007

La virtualisation permet aux organisations de consolider leurs ressources et de réaliser des économies.Si vous commencez à implémenter un nombre croissant d'ordinateurs virtuels, vous devrez trouver une façon adéquate d'en assurer l'administration.Voici un guide destiné à vous aider à configurer Virtual Machine Manager et à l'utiliser pour exécuter des tâches administratives à partir d'une interface centralisée.

Edwin Yuen System Center: De meilleures sauvegardes avec Data Protection Manager 2007

La dernière version de Data Protection Manager propose de nombreuses fonctionnalités nouvelles, offrant une solution puissante et flexible pour la gestion de vos sauvegardes.Voici un aperçu de la façon dont DPM peut protéger tous vos logiciels, d'Exchange et SQL Server aux succursales et aux sites SharePoint.

Calvin Keaton System Center: Les services en ligne contribuent à simplifier l'inventaire des logiciels

La gestion des ressources logicielles est une tâche essentielle pour toute entreprise, quelle que soit sa taille.Mais avec la quantité de logiciels que les entreprises achètent et déploient de nos jours, cette tâche peut paraître impossible.Découvrez comment le Service d'inventaire des actifs (AIS, Asset Inventory Service) de Microsoft peut vous aider.

Paul Bourgeau Stratégie de groupe: Au cœur des modèles ADM et ADMX pour la stratégie de groupe

Les fichiers ADM sont nécessaires mais souvent déroutants.Que cela ne ralentisse pas vos efforts de Stratégie de groupe !Cette visite guidée vous aidera à mieux comprendre les fichiers ADM et le nouveau format ADMX, quels outils vous pouvez utiliser pour les gérer et comment utiliser ces fichiers au mieux.

Jeremy Moskowitz Stratégie de groupe: Optimisation des performances de Stratégie de groupe

Toutes les stratégies de groupe ne se ressemblent pas et connaître les différences entre les différents types peut vous aider à déterminer les performances sur vos systèmes.Explorez les stratégies de groupe monolithiques et fonctionnelles, apprenez à traiter la Stratégie de groupe et découvrez ce qui arrive pendant des modifications de Stratégie de groupe.

Darren Mar-Elia Stratégie de groupe: Plongeon dans la gestion de stratégie de groupe avancée

AGPM (Advanced Group Policy Management) est un outil pratique qui vous permet de travailler avec les objets de stratégie de groupe d'une manière unique. Il est désormais à la disposition des membres du programme Microsoft Software Assurance.Découvrez comment vous pouvez utiliser AGPM pour modifier les GPO hors connexion, déléguer l'administration, assurer le suivi des modifications, et bien plus encore.

Derek Melber Le mot du rédacteur en chef: Un cynique convaincu

Joshua Hoffman Lettres: Les lecteurs ont la parole

Boîte à outils: Nouveaux produits pour les professionnels de l’informatique

Greg Steen Questions et réponses sur la file d'attente Exchange: Ajout d'invites vocales, choix d'un PBX, et bien plus encore

Vous avez des questions sur la messagerie unifiée Exchange ?Nous avons les réponses !Dans cette édition de Questions et réponses sur la file d'attente Exchange, nous portons notre attention sur la messagerie unifiée. Nous examinons comment vous pouvez implémenter des fonctionnalités de téléphone et de télécopie, proposer une haute disponibilité, configurer des invites vocales, et bien plus encore.&

Seema Rahman Coup de projecteur sur les utilitaires: Windows Easy Transfer Companion

Cet outil gratuit peut simplifier la migration d'applications clés de Windows XP à Windows Vista.

Lance Whitney Le petit câbleur: Améliorations du DNS dans Windows Server 2008

Windows Server 2008 inclut de nombreuses améliorations du serveur DNS.Examinons de plus près comment ces mises à jour accélèrent la résolution des noms, améliorent la prise en charge d'IPv6 et accroissent la flexibilité de l'administration de DNS.

Joseph Davies Windows PowerShell: Contrer le code malveillant

Lors de la conception de Windows PowerShell, la sécurité a fait l'objet d'énormément d'attention.Mais, comme avec n'importe quel logiciel, Windows PowerShell peut toujours être exposé au code malveillant.Voici quelques recommandations pour choisir une stratégie d'exécution qui améliorera la sécurité de vos systèmes.

Don Jones Hé, vous le scripteur !: Pas d'erreur, c'est une expression régulière

Vous recherchez un moyen d'éviter de commettre des erreurs ?La validation est un bon début.Apprenez à effectuer la mise en correspondance des modèles de caractères dans un script en utilisant les expressions régulières.

The Microsoft Scripting Guys Vigilance sécurité: Attaque de type Island Hopping :l'attrait contagieux des gadgets publicitaires

Les menaces contre la sécurité ne viennent pas seulement du courrier électronique et des sites Web malveillants.Découvrez comment un lecteur USB de poche et une ingénierie sociale simple peuvent être utilisés pour accéder à l'ensemble de votre réseau.Découvrez aussi ce que vous pouvez faire pour sécuriser votre réseau contre cette menace.

Jesper M. Johansson Histoires de Bureau: Informatique partagée avec Windows SteadyState

La nouvelle boîte à outils Windows SteadyState peut-elle vous aider à améliorer la sécurité et à simplifier la gestion des systèmes Windows XP dans un environnement à utilisation partagée ?Suivez une visite guidée pour découvrir comment.

Wes Miller Sur le terrain: La tâche la plus importante de la journée

Lorsque vous travaillez sur un projet, ne sous-estimez pas l'importance du temps que vous devez prévoir pour la réflexion, la planification et l'établissement de priorités.

Eric N. Bush La vie secrète de Windows: On ne m'y reprendra plus !

Avant l'avènement des périphériques Plug-and-play, la détection de matériel n'était pas une opération de tout repos.Découvrez pourquoi.

Raymond Chen


 System Center: Contr&#244;le r&#233;el avec Virtual&#160;Machine&#160;Manager&#160;2007
System Center Edwin Yuen

Contrôle réel avec Virtual Machine Manager 2007
Vue d'ensemble:
  • Principales fonctionnalités de System Center Virtual Machine Manager 2007
  • Installation de VMM
  • Conversion d'ordinateurs physiques ou virtuels en ordinateurs virtuels

System Center Virtual Machine Manager 2007 est une nouvelle solution offrant une interface consolidée pour la gestion de toute votre infrastructure virtuelle.Virtual Machine Manager (VMM)
peut gérer des installations existantes de Microsoft® Virtual Server 2005 et installer Virtual Server 2005 R2 SP1 sur de nouveaux hôtes d'ordinateur virtuel.Grâce à VMM, les tâches d'administration traditionnelles de Virtual Server 2005 peuvent désormais être effectuées avec beaucoup plus d'efficacité via une interface centralisée, avec accès de gestion sur plusieurs installations de Virtual Server.
De plus, VMM apporte de nouvelles fonctionnalités à Virtual Server, notamment la conversion P2V (physique vers virtuel), la conversion V2V (virtuel vers virtuel) de disques VMDK (format Virtual Machine Disk de VMware) vers VHD (Virtual Server Virtual Hard Disk) et les déploiements VM rapides à partir de modèles et de VHD préconfigurés via une bibliothèque centralisée d'objets d'infrastructure virtuelle.
Dans les pages suivantes, j'explorerai VMM et le puissant jeu de fonctionnalités qu'il offre aux administrateurs informatiques.J'étudierai ensuite la configuration requise et les étapes de création d'une installation de VMM.Pour terminer, j'examinerai plus en détail certaines des fonctionnalités les plus intéressantes de VMM et conclurai sur des conseils utiles pour la mise en route.

Présentation de Virtual Machine Manager 2007
System Center Virtual Machine Manager 2007 est une application autonome offrant une gestion centralisée des ordinateurs virtuels s'exécutant sous Microsoft Virtual Server 2005 adaptée aux besoins des entreprises. En tant que membre de la famille System Center, Virtual Machine Manager s'intègre avec les autres produits System Center pour assurer une gestion d'infrastructure physique et virtuelle de bout en bout.La figure 1 illustre les divers composants de Virtual Machine Manager et la façon dont VMM interagit avec l'hôte Virtual Server.
Le cadre de gauche représente le serveur VMM et le cadre de droite représente un hôte d'ordinateur virtuel.Les composants VMM peuvent également être installés sur des serveurs séparés, si vous le préférez, afin d'améliorer les performances et l'évolutivité.Pour cet article, nous utiliserons le modèle de la figure 1, dans lequel les composants VMM de base sont tous installés sur le même ordinateur.Le service Virtual Machine Manager se trouve au cœur de VMM, au centre, sur la gauche.Au-dessus de celui-ci se situent les trois différentes interfaces pour l'accès au service :l'interface Windows PowerShellTM, la console Administrateur et le portail libre-service avec gestion de mise en service déléguée.VMM s'appuie sur une base de données Microsoft SQL Server® 2005 (vous pouvez utiliser une installation complète de SQL Server ou SQL Server 2005 Express Edition), et la bibliothèque centralisée, qui est un partage de fichiers pour les composants d'infrastructure virtuelle.
Figure 1 Architecture de System Center Virtual Machine Manager 2007
Figure 1 Architecture de System Center Virtual Machine Manager 2007
Le côté droit de la figure 1 représente un hôte d'ordinateur virtuel Virtual Server 2005 R2 géré par VMM.Au bas se situe le système d'exploitation hôte, en l'occurrence Windows Server® 2003 R2.VMM installera un agent sur l'hôte d'ordinateur virtuel qui facilitera la communication entre VMM et Virtual Server 2005 R2.Il s'agit d'une installation unique sur l'hôte physique, sans aucune installation dans les ordinateurs virtuels ou sur le système d'exploitation invité.Si Virtual Server n'est pas installé sur l'ordinateur hôte, VMM peut exécuter automatiquement l'installation lorsque l'hôte est ajouté à la liste des serveurs gérés.
En tant que membre de la famille de produits System Center, Virtual Machine Manager utilise la nouvelle interface de System Center (de type Outlook®) pour la console Administrateur (par opposition au composant logiciel enfichable MMC traditionnel).La console Administrateur VMM (voir la figure 2) a été créée à l'aide de Microsoft .NET Framework 2.0 et repose sur Windows PowerShell 1.0.Toute action exécutée dans la console Administrateur appelle en fait la commande Windows PowerShell associée.Par conséquent, toute commande ou fonction appelée dans la console Administrateur peut également être appelée directement depuis la ligne de commande dans Windows PowerShell.
Figure 2 Interface utilisateur de VMM affichant les ordinateurs virtuels gérés
Figure 2 Interface utilisateur de VMM affichant les ordinateurs virtuels gérés
Chaque Assistant de la console Administrateur possède également un bouton Afficher le script qui affiche le script Windows PowerShell associé à la commande en instance d'exécution, ce qui offre un excellent point de départ pour apprendre à utiliser Windows PowerShell, puisqu'il est lié à VMM.Une fois que vous vous serez habitué à utiliser Windows PowerShell avec VMM, vous pourrez écrire des scripts d'actions en bloc avec VMM.
Virtual Machine Manager a été conçu pour offrir trois avantages clés aux administrateurs informatiques :il vous permet d'optimiser les ressources, d'obtenir une meilleure agilité et de tirer parti des compétences existantes.VMM offre ces avantages grâce à plusieurs fonctionnalités et fonctions.Premièrement, VMM aide à optimiser vos ressources en offrant une méthode permettant de convertir vos serveurs physiques en ordinateurs virtuels, un processus nommé conversion P2V qui vous permet de consolider vos ordinateurs physiques existants en ordinateurs virtuels, sans avoir à réinstaller ces ordinateurs.Ceci est spécialement important lors de la conversion d'ordinateurs dont le matériel est peu utilisé, car vous pouvez ainsi placer ensemble plusieurs de ces ordinateurs sur un matériel physique unique.Cela peut être particulièrement utile pour, par exemple, les ordinateurs dotés de logiciels hérités rarement utilisés mais qui doivent être conservés car ils sont exécutés une fois par an (par exemple, un logiciel de comptabilité réglementaire).Associé à System Center Operations Manager 2007, VMM permet de créer un rapport de candidats à la consolidation de serveur pour déterminer quels ordinateurs de l'infrastructure physique constituent des candidats appropriés pour le processus P2V.
Si vous disposez déjà d'ordinateurs virtuels au format VMDK de VMware, VMM offre la possibilité d'effectuer une conversion V2V pour la traduction de vos VMDK existants au format VHD.Ceci permet d'obtenir rapidement un environnement Virtual Server 2005 fonctionnel.
Dans le cadre de tout déploiement, qu'il s'agisse d'un nouveau déploiement ou d'une conversion, VMM utilise un processus nommé Intelligent Placement pour déployer les ordinateurs virtuels sur les hôtes d'ordinateurs virtuels.À l'aide d'Intelligent Placement, VMM interroge tous les hôtes d'ordinateurs virtuels qu'il gère, récupère plusieurs paramètres concernant la disponibilité des ressources de ces hôtes et renvoie ensuite une liste pondérée d'hôtes recommandés sur lesquels effectuer le déploiement d'ordinateurs virtuels.Comme vous pouvez le voir à la figure 3, l'administrateur peut alors choisir d'accepter la recommandation, d'ajuster l'algorithme pour répondre à des besoins particuliers ou de déployer simplement l'ordinateur virtuel sur le serveur de son choix.Grâce à son affichage consolidé de l'infrastructure virtuelle et à ses recommandations d'hôtes, le processus Intelligent Placement réduit considérablement les contraintes liées au déploiement d'ordinateur virtuel.
Figure 3 Le processus Intelligent Placement fournit des recommandations pour le choix du meilleur hôte Virtual Server
Figure 3 Le processus Intelligent Placement fournit des recommandations pour le choix du meilleur hôte Virtual Server
Les autres fonctionnalités de VMM qui offrent d'importants avantages incluent une bibliothèque centralisée et un portail libre-service pour la configuration de la mise en service.La bibliothèque, illustrée à la figure 4, fournit un magasin central pour tous les composants nécessaires pour créer une infrastructure virtuelle, notamment des VHD préconfigurés prêts pour le déploiement, des modèles avec configurations de système d'exploitation et de matériel, des fichiers ISO, des scripts et des profils.Les nouveaux ordinateurs virtuels peuvent être créés et déployés à partir de ces composants, et l'utilisation de modèles et de profils permet de standardiser les configurations matérielles et logicielles sur l'ensemble des ordinateurs virtuels.VMM prend également en charge les bibliothèques distribuées, ce qui permet aux composants d'être stockés sur des sites distants et de conserver le transfert de fichiers de taille importante sur le site distant tout en continuant à gérer les composants de façon centralisée.
Figure 4 La bibliothèque de VMM contient tous les blocs constitutifs nécessaires à une infrastructure virtuelle
Figure 4 La bibliothèque de VMM contient tous les blocs constitutifs nécessaires à une infrastructure virtuelle
Le portail libre-service est un site Web qui s'intègre au service VMM et à une installation d'IIS.Le portail confère aux utilisateurs et groupes autorisés par Active Directory® un accès aux ordinateurs virtuels, les fonctions disponibles dépendant de la stratégie créée pour l'utilisateur ou le groupe.Ces fonctions vont de la possibilité d'afficher les ordinateurs virtuels et d'y accéder à l'exécution ou l'arrêt des ordinateurs virtuels, en passant par la création de nouveaux ordinateurs virtuels en fonction des ressources déléguées spécifiques.
L'administrateur crée une stratégie en libre-service qui accorde des fonctions particulières aux utilisateurs et groupes Active Directory, aux hôtes ou aux groupes d'hôtes d'ordinateurs virtuels et à des ordinateurs virtuels et modèles spécifiques.Le portail libre-service offre à l'administrateur la possibilité de déléguer en toute sécurité des fonctions aux utilisateurs finaux.Sans cette fonction, l'administrateur devrait accorder aux utilisateurs finaux l'accès à la console Administrateur pour gérer leurs ordinateurs virtuels ou faire en sorte qu'ils envoient des requêtes pour chaque fonction, ce qui se traduirait par un nombre extravagant des messages électroniques et d'appels téléphoniques, simplement pour exécuter des actions telles que le démarrage et la réinitialisation des ordinateurs virtuels.

Installation de Virtual Machine Manager
VMM gère actuellement les installations de Virtual Server 2005 (et versions ultérieures) sur Windows Server 2003 SP1 (et versions ultérieures) dans un domaine Active Directory (ou un domaine de confiance), ainsi que les hôtes extérieurs au domaine grâce à la prise en charge de réseau de périmètre de VMM.Les installations de Virtual Server sur les systèmes d'exploitation de bureau tels que Windows® XP ne sont pas prises en charge.Les opérations de type P2V sont uniquement disponibles pour les ordinateurs physiques situés dans le même domaine (ou domaine de confiance) que le serveur VMM.
Bien que je recommande que chaque composant de VMM soit installé sur un serveur séparé dans un environnement de production, les instructions fournies ici couvriront une installation sur serveur unique.Le matériel recommandé pour une installation de serveur VMM est un serveur à processeur x86 ou x64 avec vitesse d'horloge de 2,8 GHz ou supérieure et au moins 2 Go de RAM.Puisqu'il s'agit d'une installation sur serveur unique avec base de données SQL Server locale, 7 Go d'espace disque seront nécessaires.Si une base de données distante est utilisée à la place, 1 Go sera nécessaire pour l'installation de VMM.80 Go d'espace disque supplémentaires sont recommandés pour l'installation de la bibliothèque locale.
En outre, VMM nécessite que WinRM 1.1 soit installé sur le serveur VMM, sur tous les hôtes d'ordinateurs virtuels et sur tout serveur de bibliothèque qui sera géré par VMM.WinRM est l'implémentation de Microsoft du protocole WS-Management (Web services for Management).WinRM est un protocole basé sur SOAP compatible avec les pare-feu qui permet au matériel et aux logiciels de différents fournisseurs d'interagir et de s'administrer mutuellement.VMM utilise WinRM pour exécuter des actions entre le serveur VMM, les hôtes d'ordinateurs virtuels et les serveurs de bibliothèque.Vous pouvez télécharger WinRM 1.1 depuis go.microsoft.com/fwlink/?LinkId=103610.
Les autres conditions préalables pour l'installation incluent .NET Framework 2.0 et 3.0, Windows PowerShell 1.0 et IIS pour le portail libre-service.Toutes les conditions préalables supplémentaires concernant les logiciels sont vérifiées durant l'installation du logiciel VMM et des liens vers les programmes d'installation appropriés sont fournis.Si l'une de ces conditions n'est pas respectée, l'installation s'interrompra.
Lorsque vous démarrez l'installation de VMM, trois choix vous sont offerts dans le menu principal :le serveur d'administration d'ordinateur virtuel, la console Administrateur et le portail libre-service.Nous installerons tous trois sur un seul ordinateur, en commençant par le serveur.Lorsque le processus d'installation démarre, les premiers écrans vérifient les conditions système requises. Vous devez vous assurer qu'elles sont remplies afin de permettre à l'installation de continuer.
Une fois les conditions requises vérifiées, vous devez passer en revue les options d'installation, en particulier celles liées à la base de données SQL Server.Avec VMM, vous pouvez choisir une installation de SQL Server 2005 Express Edition ou utiliser une base de données SQL Server 2005 existante.Pour cet exemple, nous utiliserons SQL Server 2005 Express Edition.
Au cours de l'étape suivante de l'Assistant d'installation de VMM, vous devez identifier l'emplacement de la bibliothèque centralisée.Cet emplacement peut être un répertoire local sur le serveur VMM (un partage sera alors créé pour ce répertoire), ou un partage de fichiers existant.L'emplacement par défaut est C:\Documents and Settings\All Users\Shared Documents\Virtual Machine Manager Library Files.
Les affectations de ports constituent l'étape suivante.À ce stade, vous devez configurer les ports utilisés pour la connexion de la console Administrateur au service central du serveur VMM (le port 8100), le port utilisé par WinRM pour exécuter les fonctions d'administration (le port 80, port HTTP standard) et le port utilisé par les services BITS (Background Intelligent Transfer Service) pour déplacer les fichiers vers les hôtes d'ordinateurs virtuels (le port 443, port HTTPS standard).Une fois toutes ces informations réunies, un écran de résumé est présenté et l'installation du serveur peut se terminer.
Installons maintenant la console Administrateur.Les conditions système requises sont similaires à celles du serveur VMM, c'est-à-dire .NET Framework 2.0 et 3.0, ainsi que Windows PowerShell 1.0.La seule option de configuration est la confirmation du port de communication utilisé pour la connexion au service central du serveur VMM.Ce port doit être le port 8100, comme dans la configuration de l'installation du serveur VMM.À la fin de l'installation, vous avez la possibilité de créer un raccourci sur le Bureau pour la console Administrateur et d'ouvrir la console lorsque vous fermez le programme d'installation.Je vous suggère d'effectuer ces deux opérations.La première fois que vous ouvrez la console Administrateur, vous êtes invité à indiquer les informations de connexion du serveur.Avec une installation sur serveur unique, vous devez vous connecter à localhost sur le port 8100 et appuyer sur Entrée pour démarrer la console.
Pour terminer, installons le portail libre-service sur ce serveur.Les conditions requises pour ce faire sont IIS, .NET Framework 2.0 et 3.0, ainsi que Windows PowerShell 1.0.Pendant l'installation, les seules options de configuration sont celles qui ont trait aux ports utilisés par le portail libre-service.La première est le port pour la connexion au service VMM central, le port 8100, qui est identique à celui de la console Administrateur.La seconde est le port pour l'exécution du portail.La valeur par défaut est le port 80, mais, dans de nombreuses configurations, ce port peut déjà être utilisé.Si nécessaire, modifiez le port pour utiliser un autre port ouvert, tel que le port 81.
Le programme d'installation créera un site Web nommé Microsoft System Center Virtual Machine Manager 2007 Self-Service Portal et la configuration pourra être changée dans le gestionnaire IIS.Voici un conseil qui facilitera l'installation :accédez au gestionnaire IIS et sélectionnez les propriétés de Microsoft System Center Virtual Machine Manager 2007 Self-Service Portal.Passez en revue la configuration d'ASP.NET pour le site Web et confirmez que la version d'ASP.NET est définie sur 2.0.Le portail libre-service ne fonctionnera pas avec ASP.NET défini sur la version 1.1 et, en fonction de l'ordre d'installation d'IIS et des versions de .NET Framework, ces paramètres peuvent varier.
Une fois l'installation d'IIS terminée, vous pouvez ouvrir le site Web en accédant à http://localhost:81 dans Internet Explorer®.Si vous êtes invité à entrer des informations d'authentification lors de l'ouverture d'un site Web, cela est dû aux paramètres de sécurité d'Internet Explorer.Le portail libre-service doit s'exécuter dans le contexte intranet dans Internet Explorer. Vous devrez peut-être ajouter le serveur VMM à la liste de sites intranet de votre configuration locale.Une fois ces modifications effectuées, vous serez prêt à créer et à utiliser des stratégies en libre-service dans VMM.

Fonctionnalités de Virtual Machine Manager
Bien qu'il y ait de nombreuses fonctionnalités passionnantes dans VMM, les deux fonctionnalités qui ont probablement généré le plus grand intérêt sont les fonctionnalités physique vers virtuel et virtuel vers virtuel.Ces deux fonctions sont prises en charge depuis la console Administrateur.Puisque la console Administrateur de VMM repose sur Windows PowerShell, toutes les commandes peuvent également être exécutées via Windows PowerShell.Dans l'optique qui nous intéresse, nous explorerons le processus P2V en utilisant la console Administrateur et le processus V2V via Windows PowerShell.

Conversion physique vers virtuel
Pour exécuter la conversion P2V, nous utilisons la console Administrateur VMM.Il existe plusieurs conditions requises pour l'ordinateur physique qui sera converti.Premièrement, cet ordinateur doit être membre du domaine actuel ou d'un domaine de confiance.VMM se connectera à cet ordinateur pour installer un agent P2V et transférer les informations nécessaires.Deuxièmement, l'ordinateur source doit exécuter un système d'exploitation pris en charge.Les systèmes d'exploitation pris en charge pour le processus P2V sont Windows Server 2003, Windows Server 2000 et Windows XP Professionnel.Si cet ordinateur source exécute Windows Server 2003 ou Windows XP, VMM utilisera le Service de cliché instantané de volumes (VSS) pour consolider les disques durs et diffuser les données sur les disques durs virtuels.Ceci permet à l'ordinateur d'être converti sans temps mort et il n'est par conséquent pas nécessaire de planifier de temps mort pour le serveur simplement pour créer l'image P2V.Pour Windows 2000, un disque de démarrage Windows PE est créé pour faciliter la création de l'image P2V.Pour cet exemple, j'utiliserai une cible Windows Server 2003.
Le processus P2V est démarré en choisissant l'option Convert physical server (Convertir le serveur physique) sous Actions dans la partie supérieure droite de la console Administrateur.Ceci démarre l'Assistant P2V, illustré à la figure 5.La première page est l'étape Select Source (Sélection de la source), au cours de laquelle l'ordinateur à convertir est identifié.Entrez le nom DNS de cet ordinateur et les informations d'authentification du domaine auquel se connecter et à gérer.L'étape suivante vous permet de donner un nom à l'ordinateur virtuel résultant.
Figure 5 La fonction P2V de VMM s'appuie sur un Assistant et est intégrée à l'interface utilisateur Admin
Figure 5 La fonction P2V de VMM s'appuie sur un Assistant et est intégrée à l'interface utilisateur Admin
L'Assistant démarre ensuite le processus de collecte d'informations à partir de l'ordinateur source.Lorsque vous cliquez sur Gather System Information (Réunir les informations sur le système), VMM installe un agent P2V qui récupère les informations nécessaires sur le système d'exploitation, le disque dur et les cartes réseau de l'ordinateur source.Cliquez sur Next (Suivant) pour accéder à un écran de validation permettant de vérifier qu'il n'existe aucun problème connu pouvant empêcher la conversion.S'il en existe, les résolutions possibles seront présentées.
Une fois les informations de configuration récupérées, vous pouvez sélectionner les partitions de disque dur à convertir.Par défaut, la partition de démarrage est sélectionnée et toute autre partition présente est rendue disponible.Vous pouvez choisir quelles partitions seront conservées dans le cadre de la conversion.Le processus P2V est un processus de copie intelligent. Cela signifie qu'il extrait uniquement les données sur les partitions spécifiées, par opposition au transfert fixe d'une image et d'une taille de disque dur entier.
Pour terminer, l'Assistant parcourt les étapes de déploiement de VMM standard, notamment les configurations de mise en route de Virtual Server et le processus Intelligent Placement décrit plus tôt.Lorsque l'Assistant est terminé, la fenêtre Jobs (Tâches) apparaît et affiche l'intégralité du processus et la progression de l'opération P2V.
Par défaut, les ordinateurs virtuels récemment convertis ne démarrent pas automatiquement (ils sont convertis dans un état Arrêté), et le processus P2V ne s'arrête pas et ne modifie pas l'état d'exécution de l'ordinateur source.Il s'agit d'un processus P2V non destructif.Comme le nouvel ordinateur virtuel possèdera le même nom d'ordinateur, la même adresse IP et la même adresse MAC que le serveur d'origine, celui-ci doit être arrêté avant de pouvoir démarrer l'ordinateur virtuel.Si vous voulez que l'ordinateur source s'arrête ou que l'ordinateur virtuel récemment converti démarre automatiquement, ceci peut être réalisé à partir de la ligne de commande Windows PowerShell.Dans le cadre du processus, il est judicieux d'exécuter la conversion physique vers virtuel puis d'exécuter l'ordinateur virtuel P2V dans un environnement de test, pour s'assurer que tout a été correctement converti.

Conversion virtuel vers virtuel
Pour exécuter l'opération V2V, vous avez besoin d'un ordinateur virtuel VMWare (sous la forme d'un fichier VMDK) et d'une installation de VMM valide avec un hôte d'ordinateur virtuel de destination désigné.L'applet de commande V2V VMM de Windows PowerShell new-v2v prend en charge les quatre formats de fichier VMDK suivants :MonolithicSparse, monolithicFlat, twoGbMaxExtentSparse et twoGbMaxExtentFlat.La plupart des fichiers VMDK existants appartiendront à l'une de ces catégories.
Le processus V2V fonctionne uniquement avec les fichiers VMDK autonomes.Cependant, le processus P2V pourrait être utilisé pour convertir des ordinateurs virtuels VMware en cours d'exécution.Les ordinateurs virtuels VMware consistent en deux composants principaux : les fichiers VMDK, qui sont les disques durs virtuels sur lesquels les données sont stockées, et un fichier VMX qui contient les informations de configuration d'ordinateur virtuel.Les fichiers VMDK et les fichiers VMX associés peuvent être placés dans un emplacement de bibliothèque vous offrant le moyen d'accéder à l'ordinateur virtuel VMware et de le convertir sans avoir à accorder l'accès au fichier depuis le serveur d'origine.
Pendant le processus V2V, le fichier VMDK sera converti en fichier VHD, le système d'exploitation invité sera nettoyé pour fonctionner avec Virtual Server et un nouvelle ordinateur virtuel sera créé pour correspondre aussi fidèlement que possible à la configuration originale, en apportant les modifications nécessaires pour le matériel virtuel pris en charge par Virtual Server.Notez que chaque partie du processus de conversion peut être gérée séparément par Windows PowerShell, ce qui permet d'effectuer des conversions de format en série avant d'allouer des hôtes aux nouveaux ordinateurs virtuels.Dans cet exemple, cependant, nous souhaitons convertir et déployer le VHD.
Bien que l'opération V2V puisse être effectuée tant via la console Administrateur qu'à l'aide de Windows PowerShell, nous utiliserons Windows PowerShell pour cet exemple.Pour démarrer le processus V2V, démarrons une fenêtre Windows PowerShell avec les applets de commande VMM chargées.Ceci peut être effectué en cliquant sur Démarrer | Tous les programmes | Microsoft System Center | Virtual Machine Manager 2007 | Windows PowerShell—Virtual Machine Manager.
La fenêtre résultante doit porter le titre Windows PowerShell—Virtual Machine Manager.Si ce n'est pas le cas, les applets de commande VMM peuvent ne pas être chargées.Une fois que Windows PowerShell est ouvert, vous pouvez passer en revue la commande new-v2v en exécutant ceci :
get-help new-v2v –full | more
Cette commande vous fournira la syntaxe et des exemples d'exécution d'une opération V2V.Dans l'exemple qui est donné pour cet article, notre serveur VMM sera appelé vmmserver.contoso.com, l'hôte d'ordinateur virtuel de destination sera appelé vshost1.contoso.com et le VMDK est disponible à partir du serveur de bibliothèque vmmserver.contoso.com.
Vous devez commencer par identifier le contexte pour le serveur VMM qui sera utilisé pour exécuter le V2V, en utilisant la commande get-vmmserver.Comme toutes les commandes Windows PowerShell, get-vmmserver possède un format verbe-substantif et utilise des tirets pour les paramètres.La ligne suivante affiche la commande que nous utiliserons pour identifier le serveur VMM :
get-vmmserver –computername "vmmserver.contoso.com"
Ceci définit vmmserver.contoso.com en tant que contexte de serveur VMM pour les commandes suivantes.Le résultat de la commande ci-dessus est une liste détaillée d'informations sur vmmserver.contoso.com. Si la commande est inexacte ou la syntaxe incorrecte, un message d'erreur rouge décrit le problème.
L'étape suivante est l'identification de l'hôte d'ordinateur virtuel de destination, l'hôte Virtual Server auquel le VMDK/VHD converti sera affecté.Continuons et affectons la valeur d'hôte d'ordinateur virtuel à la variable $vmhost, en utilisant la commande suivante dans Windows PowerShell :
$vmhost = get-vmhost –computername
"vshost1.contoso.com"
Cette commande ne génère aucune information dans la fenêtre de commandes mais vous permet de vérifier facilement que la variable est correctement définie en tapant simplement $vmhost à l'invite de Windows PowerShell et en appuyant ensuite sur Entrée.Ceci devrait afficher les informations stockées dans $vmhost (informations détaillées sur vshost1.contoso.com, semblables aux informations que nous avions ci-dessus pour le serveur VMM).
Outre l'hôte d'ordinateur virtuel, vous devez identifier le serveur de bibliothèque sur lequel se trouve le fichier VMDK.La commande est semblable à la commande d'hôte d'ordinateur virtuel que j'ai utilisée précédemment :
$library = get-libraryserver –computername
"vmmserver.contoso.com"
Comme avec $vmhost, l'entrée de $library dans la ligne de commande affichera les informations concernant le serveur de bibliothèque.
Enfin, vous devez taper la commande d'exécution de la conversion V2V.Pour ce faire, vous devez utiliser la commande new-v2v avec la fonction get-help.Dans cette commande, vous devez identifier le serveur de bibliothèque pour le VMX/VMDK, l'hôte de destination, le nom de l'ordinateur virtuel résultant et le chemin du fichier VHD converti.
Pour la ligne de commande, la plupart des références sont effectuées dans la perspective de l'hôte de destination, dans notre cas vshost1.contoso.com, avec le chemin d'installation donné comme référence locale pour VSHOST1.Le chemin VMX est indiqué dans la perspective du serveur de bibliothèque.La ligne de commande résultante dans Windows PowerShell est la suivante :
new-v2v –LibraryServer $library –vmxpath
"\\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx"
–vmhost $vmhost -name "DemoV2V"
–path "C:\VHDs"
Comme vous pouvez le voir, nous convertissons ici le VMX/VMDK pour \\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx sur le serveur de bibliothèque $library (VMMSERVER), en le déployant sur l'hôte dans la variable $vmhost (VSHOST1), avec le nom DemoV2V, vers le chemin C: \VHDs sur VSHOST1.
Une fois la commande exécutée, il est toujours judicieux de revenir à la fenêtre Jobs (Tâches) de la console Administrateur de VMM afin de voir la progression.Le VMX/VMDK sera converti puis copié sur VSHOST1, où le VHD résultant sera ajouté à la liste d'ordinateurs virtuels en tant que DemoV2V.Lorsque le processus sera complètement terminé, vous pourrez utiliser VMM pour démarrer le nouvel ordinateur virtuel et passer en revue les résultats.

Conclusion
Comme vous le voyez, System Center Virtual Machine Manager 2007 apporte de formidables nouvelles fonctionnalités et capacités à votre infrastructure virtuelle.En passant en revue les processus de P2V et V2V, j'espère que je vous ai démontré leur simplicité avec Virtual Machine Manager.
VMM est conçu pour simplifier le travail de l'administrateur informatique en termes de création, de déploiement et de maintenance des ordinateurs virtuels.Avec la sortie de System Center Virtual Machine Manager 2007, je recommande fortement aux administrateurs Virtual Server 2005 d'envisager l'utilisation de Virtual Machine Manager pour maintenir leurs hôtes d'ordinateur virtuel.Pour les utilisateurs de la nouvelle virtualisation Windows Server dans Windows Server 2008, Microsoft fournira la prise en charge de la virtualisation Windows Server dans la nouvelle version de System Center Virtual Machine Manager, qui sera disponible après la version finale la virtualisation Windows Server 2008.
Pour plus d'informations sur VMM et pour télécharger une démonstration, veuillez visiter microsoft.com/SCVMM.Pour plus d'informations sur tous les produits de virtualisation de Microsoft, visitez microsoft.com/virtualization.

Edwin Yuen est responsable de produit technique pour System Center Virtual Machine Manager au sein de la division Windows Enterprise Management.Edwin a rejoint Microsoft en juillet 2006, dans le cadre de l'acquisition de Softricity.Edwin possède également 13 années d'expérience en tant que consultant technique dans le contexte commercial et gouvernemental.Il est titulaire d'un diplôme en ingénierie électrique de l'université Johns Hopkins.
© 2007 Microsoft Corporation et CMP Media, LLC. Tous droits réservés. Toute reproduction, totale ou partielle, est interdite sans autorisation préalable.


 System Center: De meilleures sauvegardes avec Data&#160;Protection&#160;Manager&#160;2007
System Center Calvin Keaton

De meilleures sauvegardes avec Data Protection Manager 2007
Vue d'ensemble:
  • Abandon des sauvegardes sur bande
  • Protection de données continue
  • Sauvegardes sur disque
  • Contrôle plus granulaire avec DPM

Le marché de la protection des données a récemment connu une certaine recrudescence.Après des années de solutions de sauvegarde sur bande et de méthodes « solution unique » pour les sauvegardes nocturnes, un certain nombre de
nouvelles technologies et méthodes ont été introduites sur une période de temps relativement courte.Ces nouvelles technologies incluent la sauvegarde sur disque, la protection des données continue et même quelque chose d'aussi simple en apparence que le chiffrement de données.Certaines de ces nouvelles approches ont été rendues possibles ou même nécessaires par les récentes baisses du prix du stockage sur disque, par les améliorations des performances des réseaux et des processeurs et par les nouvelles exigences réglementaires.
Microsoft fournit depuis longtemps des solutions basées sur les plates-formes et les applications dans ce domaine, notamment NTBackup, Exchange Server et SQL ServerTM, pour n'en citer que quelques-unes.
Microsoft System Center Data Protection Manager (DPM) 2006 représentait le premier pas de Microsoft sur le marché des logiciels de protection des données autonomes ; il a été l'un des premiers produits à offrir une protection des données sur disque et demeure l'une des seules offres en son genre à avoir été conçue dès le départ avec la sauvegarde sur disque à l’esprit.La plupart des autres offres étaient et demeurent des méthodes de sauvegarde sur bande qui ont été adaptées à la sauvegarde sur disque.
DPM fait partie de la famille de produits System Center.Les produits System Center sont conçus pour simplifier la gestion quotidienne de votre infrastructure informatique complexe tout en optimisant sa rentabilité.Les solutions System Center reposent sur l'automation et les méthodes recommandées dérivées de Microsoft® Operations Framework (MOF) et d'Information Technology Infrastructure Library (ITIL), et peuvent être utilisées à tous les niveaux d'une organisation.
DPM n'est qu'une des composantes de la famille System Center.System Center Configuration Manager assure la gestion des configurations et la réception de logiciels.System Center Operations Manager vous offre une surveillance et une automation proactives des systèmes.System Center Capacity Planner peut être utilisé pour la planification des capacités et les analyses de simulation des déploiements d'infrastructure.(Pour plus d'informations, consultez la page microsoft.com/systemcenter).
System Center Data Protection Manager 2006 proposait une sauvegarde sur disque des serveurs d'impression et de fichiers ainsi qu'une sauvegarde sur disque WAN des succursales.Il était conçu pour protéger les serveurs de fichiers du centre de données et débarrasser la succursale du matériel de sauvegarde sur bande locale.Mais il n'offrait pas de prise en charge native pour les applications Microsoft et s'appuyait sur des produits tiers pour l'archivage à long terme sur bande.
System Center Data Protection Manager 2007, la nouvelle version de DPM, s'appuie sur cette base et continue d'offrir une protection sur disque robuste des serveurs d'impression et de fichiers ainsi que des succursales, mais il ajoute également une prise en charge des applications Microsoft stratégiques telles qu'Exchange, SQL Server et SharePoint®, ainsi qu'une prise en charge native des sauvegardes sur bande.Il n’est pas rare de voir une grande quantité de modifications dans une nouvelle version, et cela est particulièrement vrai dans le cas de DPM.La deuxième version comporte plusieurs nouvelles fonctionnalités ainsi que des améliorations considérables des fonctionnalités existantes.Dans cet article, j'examinerai plusieurs de ces nouvelles fonctionnalités et vous donnerai un aperçu des résultats auxquels vous pouvez vous attendre de la part de cette remarquable version.

Prise en charge des applications et plates-formes
De nombreux fournisseurs de logiciels de sauvegarde adoptent une approche « confiture » de la prise en charge des applications.Ils étalent leurs investissements en ingénierie sur plusieurs applications et essaient ainsi de prendre en charge autant de sources de données que possible.Résultat : une prise en charge rudimentaire pour un grand nombre d'applications.Au lieu d'essayer de fournir une prise en charge limitée à toute une gamme d'applications ou de plates-formes, Microsoft a choisi de se focaliser sur la protection de quelques applications très spécifiques sur la plate-forme Windows®.Microsoft a ainsi pu concentrer ses investissements d'ingénierie sur ces applications et créer un environnement de sauvegarde et de restauration intégré qui inclut des fonctionnalités qui n'existent généralement pas dans les autres produits de sauvegarde.
La prise en charge Microsoft Exchange était la fonctionnalité la plus sollicitée par les utilisateurs de DPM 2006. C'est pour cette raison que DPM 2007 introduit la prise en charge Exchange Server 2003 et Exchange Server 2007. La protection intervient au niveau des groupes de stockage. Les groupes de stockage individuels apparaissent en tant qu'objets dans l'interface utilisateur DPM, et peuvent être ensuite ajoutés aux groupes de protection, le cas échéant, pour assurer des sauvegardes planifiées basées sur les stratégies.Les groupes de stockage en cluster apparaissent sous la forme d'un objet individuel, ce qui évite d'avoir à assurer le suivi des membres individuels d'un cluster et à synchroniser manuellement leur protection.Les restaurations peuvent se produire au niveau Groupe de stockage, Base de données ou Boîte aux lettres.Une récupération granuleuse s'effectue à l'aide de l'automation qui utilise les outils Exchange standard pour restaurer les données sur un groupe de stockage de récupération et extrait ensuite des objets plus granuleux tels que les boîtes aux lettres, une fois encore à l'aide des outils Exchange standard (voir la figure 1).
Figure 1 Support Exchange dans DPM
Figure 1 Support Exchange dans DPM
Contrairement à d'autres solutions de sauvegarde Exchange, DPM ne s'appuie pas sur des outils non-Exchange ou sur l’ingénierie à rebours de la base de données d'Exchange lorsqu'il extrait des objets qui sont ensuite restaurés.Les restaurations des boîtes aux lettres DPM sont donc entièrement prises en charge par Exchange.
DPM 2007 est le premier produit à prendre entièrement en charge les clusters CCR (Cluster Continuous Replication) et LCR (Local Continuous Replication) Exchange 2007.Les clusters Exchange 2003 sont également pris en charge.
SQL Server 2000 et SQL Server 2005 sont pris en charge par DPM 2007, et la sauvegarde et la restauration ont toutes deux lieu au niveau de la base de données.La prise en charge des restaurations redirigées et renommées, ainsi que la prise en charge complète des bases de données en cluster, en miroir ou d'envoi de journaux sont également incluses.
Comme avec Exchange, les bases de données en cluster apparaissent sous la forme d'un objet individuel dans l'interface utilisateur, ce qui évite de devoir configurer la protection séparément sur plusieurs serveurs en cluster (voir figure 2).La prise en charge SQL Server dans DPM peut être utilisée pour protéger plusieurs applications tierces qui reposent sur les bases de données principales de SQL Server, la prise en charge de l'application ayant lieu via la protection des fichiers et la base de données de SQL Server étant protégée en mode natif via la prise en charge DPM de SQL Server.Le moteur de planification flexible de DPM permet à la sauvegarde des fichiers et à la sauvegarde SQL Server d'être toutes deux ajoutées au même groupe de protection afin qu'elles se produisent simultanément et qu'elles partagent une gestion et une interface de planification communes.
Figure 2 Mise en cluster des sauvegardes
Figure 2 Mise en cluster des sauvegardes
Les charges de travail de collaboration sont protégées avec SharePoint 2007, Windows SharePoint Services (WSS) 3.0 et Microsoft Office SharePoint Server (MOSS) 2007 étant tous deux pris en charge.La prise en charge intervient au niveau de la batterie, même si cette batterie s'étend sur plusieurs serveurs.Par exemple, une batterie composée de trois serveurs Web frontaux, deux serveurs de collecte de sites et un serveur de base de données pour un total de six serveurs apparaîtrait sous la forme d'un objet unique dans l'interface utilisateur DPM, serait sauvegardée en tant qu'objet unique et pourrait également être restaurée sous la forme d'un objet unique par DPM.
Outre la prise en charge des restaurations de batteries complètes, DPM inclut également la prise en charge des restaurations de sites, collection de sites et documents, listes ou éléments.Les versions antérieures de SharePoint peuvent, bien sûr, être protégées en tant que bases de données SQL Server à l'aide des fonctionnalités de protection SQL Server de DPM.
Les charges de travail de fichiers et d'impression continuent d'être prises en charge dans DPM 2007, avec une prise en charge Open File (ficher ouvert) disponible gratuitement.Une prise en charge des exclusions de fichiers et dossiers a été ajoutée, de même qu'une prise en charge de la sauvegarde de l’état du système.Il est important de noter que la prise en charge des fichiers a été étendue à Windows Vista® et Windows XP.Toutefois, la prise en charge de ces systèmes d'exploitation client est relativement limitée, vu qu'elle est principalement destinée aux systèmes utilisés en tant que serveurs de fichiers.Les utilisateurs de DPM sont autorisés à protéger un nombre de clients restreint au besoin, mais il sera difficile d'étendre cette protection à un nombre de postes de travail trop élevé.
La prise en charge native d'Exchange Server, de SQL Server, des serveurs SharePoint et des serveurs de fichiers permet à DPM de prendre en charge la majorité des charges de travail des environnements Windows.Toutefois, pour les charges de travail moins courantes, DPM 2007 inclut également une prise en charge des pré-scripts et postscripts qui peuvent être exécutés automatiquement lorsqu'une sauvegarde a lieu.Cette fonctionnalité permet à DPM de prendre en charge une grande quantité d'autres applications ou charges de travail.Cette prise en charge n'est pas aussi intégrée que celle qui est proposée pour Exchange, SQL Server et SharePoint, mais elle offre une grande flexibilité dans la prise en charge des sources de données.Des livres blancs examinant en détail la prise en charge de produits clés non Microsoft tels qu'Oracle seront disponibles sur le TechCenter DPM sur le site technet.microsoft.com/dpm.
L'une des innovations les plus intéressantes dans DPM 2007 est la prise en charge des serveurs virtuels basés sur l'hôte.Bien que la plupart des produits de sauvegarde soient capables de prendre en charge des invités Virtual Server en tant que serveurs individuels, très peu, voire aucun produit ne peut offrir une telle protection au niveau de l'hôte via une seule installation de licence et d'agent.DPM exploite les enregistreurs du service de cliché instantané des volumes (VSS) pour protéger tous les invités qui sont hébergés sur un hôte Virtual Server donné via un seul agent déployé sur l'hôte.Ces enregistreurs VSS peuvent appeler les enregistreurs VSS qui résident dans des invités ou même dans des applications qui s'exécutent sur des invités indépendamment de l'application ou du système d'exploitation installé sur l'invité.Cela permet à DPM de protéger n'importe quelle plate-forme ou application qui s'exécute en tant qu'invité, quel que soit le fournisseur.Ces sauvegardes de serveur virtuel d'hôte sont cohérentes avec les applications et produisent une seule image VHD (disque dur virtuel) qui peut être restaurée sur un hôte existant ou nouveau, selon le cas.
Ces images de sauvegarde n'offrent pas la même granularité de restauration que les sauvegardes effectuées à l'aide d'un agent DPM installé sur l'invité ou un serveur autonome, mais elles offrent d'autres options efficaces telles qu'une récupération de système sur les environnements virtualisés.

Rapidité, fiabilité et efficacité
Outre les diverses améliorations de la prise en charge des applications par rapport à la version précédente, DPM 2007 offre une meilleure granularité des sauvegardes complètes et incrémentielles.Avec DPM 2006, vous pouviez synchroniser au maximum toutes les heures. La nouvelle version DPM, quant à elle, vous permet de procéder à une sauvegarde incrémentielle toutes les 15 minutes et à une sauvegarde complète toutes les heures.Pour les clients soumis à de contrats de niveau de service (SLA) moins rigoureux, les sauvegardes complètes peuvent être nécessaires seulement une fois par semaine.Ces clients peuvent dès lors réduire la fréquence des sauvegardes sur les serveurs moins importants tout en prévoyant des calendriers de protection agressifs pour les serveurs critiques.Bien que la synchronisation avec le serveur DPM ait lieu toutes les 15 minutes au maximum, l'agent DPM surveille activement les modifications effectuées sur le serveur protégé pendant l'intervalle entre les synchronisations.
Ce nouvel agent DPM surveille en permanence les modifications au niveau des blocs à mesure qu'elles se produisent sur un serveur protégé.Ceci est rendu possible par un filtre de volume entièrement nouveau, développé pour DPM 2007 et consistant en un bitmap résidant dans la mémoire de réserve paginée et incluant un bit pour chaque bloc du volume protégé.
Chaque fois qu'un bloc est écrit sur le volume, un bit est renvoyé dans le bitmap.L'impact sur le processeur et la mémoire associé à ce processus est moins important qu'avec un filtre antivirus normal, et les besoins en espace disque de doivent pas augmenter en fonction du taux de modification.En fait, la charge associée à ce filtre n'augmente pas du tout avec le taux de modification, ce qui esttrès important, vu que la plupart des programmes de suivi des modifications au niveau des blocs entraînent souvent une surcharge des processeurs et de la mémoire, ainsi qu'un encombrement du disque qui augmente avec le taux de modification.Ainsi, un taux de modification élevé tend à avoir un impact plus important, et, dans certains cas, un taux de modification très élevé peut provoquer un manque d'espace disque sur le système.Avec DPM 2007, l'impact du filtre de volume sur le processeur, la mémoire et le disque est le même quel que soit le taux de modification.Qu'il soit de 100 ou 1000 %, le taux de modification n'a aucun effet sur la faible surcharge associée au filtre.
Le suivi des données modifiées n'est toutefois qu'un aspect.DPM 2007 utilise également le service VSS du serveur protégé pour créer des images de sauvegarde cohérentes avec les applications qui peuvent être récupérées de façon fiable.VSS a été développé par Microsoft pour fournir l'infrastructure de sauvegarde pour Windows XP et Windows Server® 2003 et jouer le rôle de mécanisme servant à créer des copies cohérentes et ponctuelles de données (clichés instantanés).VSS peut produire des clichés instantanés cohérents en coordonnant les lectures et écritures avec les applications métier, les services de système de fichiers, les applications de sauvegarde, les solutions de récupération rapide et le matériel de stockage.Par conséquent, VSS est sans doute le mécanisme le plus cohérent et fiable pour la création de sauvegardes cohérentes avec les applications que l'on puisse trouver sur le marché aujourd'hui.Plusieurs fonctionnalités de Windows Server 2003 utilisent VSS, notamment les Clichés instantanés de dossiers partagés.
La plupart des produits qui utilisent VSS pour les sauvegardes d'applications créent un réplica VSS et le laissent sur le serveur protégé pour effectuer le suivi des modifications et obtenir une image cohérente avec l'application pour la sauvegarde.Malheureusement, le fait de laisser le réplica sur le serveur protégé a des répercussions importantes sur les performances, car une copie à l'écriture destinée à maintenir le réplica VSS à jour a lieu chaque fois que l'application écrit sur disque.Ceci peut entraîner une perte de 25 % des performances du processeur et a un impact considérable sur les temps d'écriture.
Puisque DPM effectue le suivi des modifications à l'aide de son filtre de volume, il n'a pas besoin de garder un réplica VSS sur place en permanence.Au lieu de cela, DPM crée un réplica VSS lorsqu'une sauvegarde complète a lieu puis superpose le bitmap de filtre de volume pour identifier uniquement les données modifiées dans le réplica.Ces données modifiées sont placées sur le serveur DPM qui est utilisé pour créer un point de récupération.Le réplica VSS du serveur protégé est ensuite supprimé et le filtre de volume réinitialisé.Le suivi des modifications au niveau des blocs se poursuit ensuite avec une surcharge minimale et sans l'aide d'un réplica VSS ou d'une utilisation des ressources associées.
Cette solution garantit que les points de récupération produiront une image d'application restaurable et réduit la quantité de données déplacées entre le serveur protégé et le serveur DPM.
Avec DPM 2007, une sauvegarde complète ne déplace pas une copie complète des données du serveur protégé au serveur DPM.Elle ne déplace que les données modifiées.Ainsi, une sauvegarde complète quotidienne sur un groupe de stockage Exchange de 100 Go avec un taux de modification de 10 % par jour ferait seulement 10 Go.
Cette réduction de la taille des sauvegardes complètes se traduit par un stockage très efficace sur le serveur DPM lorsqu'un instantané est créé pour capturer un point de récupération.Chaque instantané comprend les données modifiées qui ont constitué la dernière sauvegarde complète et a lieu automatiquement lorsqu'une sauvegarde complète est effectuée.Lorsqu'ils se rapportent à des applications, ces instantanés incluent également toutes les sauvegardes incrémentielles qui se sont produites.
Les sauvegardes incrémentielles sont essentiellement des sauvegardes de journaux dans DPM. Par conséquent, chaque fois que vous prenez une sauvegarde complète d'une application, les données modifiées sont déplacées vers le serveur DPM et sont regroupées avec toutes les sauvegardes de journaux qui ont eu lieu afin de créer un instantané unique contenant plusieurs points de récupération.Dans le cas du groupe de stockage Exchange de 100 Go avec un taux de modification quotidien de 10 % décrit plus haut, si nous supposons une sauvegarde complète quotidienne et des incréments de 15 minutes, un instantané inclurait 10 Go de données modifiées et entre 5 et 10 Go de journaux d'applications.Il est cependant important de ne pas oublier que cet instantané de 15 à 20 Go peut contenir jusqu'à 97 points de récupération !
Les sauvegardes complètes doivent avoir lieu au moins une fois par semaine et le nombre total d'instantanés est limité à 512 pour les serveurs d'applications et à 64 pour les serveurs de fichiers.Ainsi, des sauvegardes complètes effectuées une fois par semaine et les sauvegardes incrémentielles effectuées toutes les 15 minutes créeraient 673 points de récupération par instantané et plus de 340 000 points de récupération si les 512 instantanés étaient tous utilisés.Une telle quantité de points de récupération sur disque ne sera probablement jamais requise, mais elle démontre la flexibilité et l'évolutivité de DPM en termes de planification des tâches et de récupération ponctuelle.
L'inclusion des sauvegardes de journaux avec les sauvegardes complètes permet à DPM de stocker un très grand nombre de points de récupération dans une très petite quantité d'espace disque.Il existe toutefois une certaine surcharge associée à ce processus, et ce dernier ne constitue techniquement pas une compression ou un stockage d'instance unique (SIS) bien qu'il comporte certains composants de déduplication de données, à savoir le suivi des modifications au niveau des blocs.Dans tous les cas, DPM utilise une petite quantité de stockage pour chaque point de récupération créé.En outre, étant donné qu'il n'utilise ni la compression traditionnelle, ni le stockage d'instance unique ou la déduplication pour exécuter cette tâche, DPM peut être encore plus performant si une plate-forme de stockage de compression, de stockage d'instance unique ou de déduplication est utilisée en tant qu'espace de stockage pour le serveur DPM.

Récupération sans perte de données et CDP
L'un des changements les plus intéressants dans DPM 2007 est peut-être sa capacité à exécuter des récupérations sans perte des applications Microsoft.Celles-ci sont rendues possibles par le suivi des modifications et l'architecture au niveau des blocs, ainsi que par l'intégration profonde aux journaux d'applications existants du serveur protégé.
De façon générale, il existe deux approches de la protection et de la récupération de données sur le marché actuel :
Solutions basées sur la réplication C'est ce que la plupart des clients traditionnels considèrent comme la Protection des données continue (CDP).La protection des données basée sur la réplication implique le déplacement des modifications du serveur protégé au serveur de sauvegarde à mesure qu'elles surviennent.Cette solution de protection sur disque prétend permettre une récupération à tout moment sans perte de données.
Bien que cette revendication paraisse irrésistible, il existe de sérieux inconvénients associés à cette approche.Tout d'abord, les solutions de réplication ne connaissent pas le concept d'état d'application et ignorent totalement les éléments mobiles des applications.Elle ne vide donc pas les tampons et ne tient pas compte des données qui peuvent être en mémoire ou en transit lorsque la sauvegarde survient.Cela signifie que les points de récupération basés sur la réplication ne sont souvent pas cohérents avec les applications.Vous pouvez effectuer une récupération, mais l'application ne revient en fait pas dans un état utilisable.Ce problème est si courant que certains fournisseurs de solutions de protection des données continue basées sur la réplication incluent des notes dans leur documentation vous conseillant d'essayer un autre point de récupération pour une application si le point actuel ne fonctionne pas.
Outre ces problèmes de cohérence, les solutions CDP basées sur la réplication sont généralement onéreuses, entraînent des surcharges réseau et processeur substantielles et nécessitent une grande quantité d'espace de stockage, lequel peut par ailleurs se trouver sur du matériel propriétaire.De plus, les solutions de protection des données basées sur la réplication ne sont pas particulièrement bien adaptées à l'archivage ou aux sauvegardes sur bande hors site, deux capacités exigées par un grand nombre de clients.
Les solutions basées sur les instantanés Il s'agit d'une approche de sauvegarde sur bande traditionnelle de la protection des données dans laquelle des instantanés ponctuels sont créés sur un support externe pouvant ensuite être utilisé pour les récupérations ponctuelles.Le RPO (Objectif de point de récupération) est déterminé par la fréquence des instantanés, si bien qu'une sauvegarde quotidienne entraîne une perte de données de 24 heures.L'avantage des instantanés est qu'ils sont peu coûteux et faciles à gérer, qu'ils ont un impact plus limité sur le réseau et qu'ils conviennent à l'archivage sur disque ou sur bande.Ils ont également tendance à produire des images cohérentes avec les applications dans la mesure où vous avez le temps de préparer l'application avant de prendre l'instantané, ce qui réduit le risque d'exclusion des éléments mobiles de l'application lorsque la sauvegarde survient.
Les solutions de protection de données quasi continue constituent une tendance récente dans la prise d'instantanés.Il s'agit de solutions d'instantanés dans lesquelles la fréquence des instantanés est augmentée de sorte que le RPO devienne très bas.Certains produits mesurent désormais leur RPO en minutes et prennent des instantanés si fréquents qu'ils n'utilisent plus le label quasi CDP et s'appellent maintenant produits CDP.Toutefois, ils perdent toujours l'équivalent de quelques minutes en données dans le cas d'une restauration.
DPM 2006 était fermement ancré dans le camp des prises d'instantanés quasi CDP, mais DPM 2007 est unique dans son approche de la CDP.La nouvelle version de DPM prend des instantanés à une fréquence maximale de 15 minutes à l'aide de VSS et de sa technologie de suivi des modifications au niveau des blocs pour ne déplacer que les données modifiées de l'instantané VSS vers le serveur protégé.Ainsi, les instantanés ponctuels individuels sont très petits car ils consistent uniquement en modifications au niveau des blocs.Il s'agit là d'une approche de prise d'instantanés très avancée.La nouvelle innovation de DPM est une intégration profonde des applications pour Exchange, SQL et SharePoint.Cette intégration est si profonde que DPM est conscient des journaux d'application et est capable de les reconstituer en cas de récupération.Dans la mesure où vos journaux d'application sont disponibles (et ils doivent l'être si vous respectez les méthodes recommandées en les gardant sur un lecteur séparé), DPM peut les reconstituer à partir du dernier instantané ponctuel pour une récupération sans perte (voir figure 3).
Figure 3 Options de récupération dans la Console d'administration de Data Protection Manager
Figure 3 Options de récupération dans la Console d'administration de Data Protection Manager
Cette approche hybride de la CDP vous offre le meilleur des deux technologies à plusieurs égards.Elle offre la cohérence des applications et la prise en charge de l'archivage à long terme d'une solution de prise d'instantanés avec fonctionnalités de récupération sans perte de données d'un produit de réplication, tout en évitant de nombreux inconvénients liés aux deux solutions.

Prise en charge des sauvegardes sur disque et sur bande
Aucune discussion sur les nouvelles fonctionnalités de DPM 2007 ne serait complète si elle ne mentionnait pas l'ajout de la prise en charge des sauvegardes sur bande au produit.DPM 2006 ne prenait en charge que les sauvegardes D2D (Disque à disque), les données étant déplacées du disque sur le serveur protégé au disque sur le serveur DPM.DPM 2007 inclut une prise en charge des sauvegardes sur disque et sur bande.Les données peuvent donc être déplacées du disque sur le serveur protégé au disque attaché au serveur DPM (D2D) ou à la bande attachée au serveur DPM (D2T). Elles peuvent également être placées sur disque sur le serveur DPM avant d'être transférées sur bande pour une conservation à long terme (D2D2T).
DPM 2007 prend en charge une grande variété de bibliothèques et de chargeurs automatiques de bandes, ainsi que divers types de supports de bandes.
La prise en charge des bandes dans DPM inclut de nombreuses fonctionnalités avancées telles que le chiffrement logiciel gratuit des supports de bandes ainsi que la gestion de base des clés de chiffrement et le suivi de l'emplacement et de la conservation sur bande des sauvegardes.

Conclusion
J'ai détaillé plusieurs des nouvelles fonctionnalités et améliorations de System Center Data Protection Manager 2007. Ces fonctionnalités offrent une protection des données cohérente, fiable et facile à gérer pour les plates-formes et applications Microsoft, établissant ainsi une nouvelle norme dans la protection des données des plates-formes et applications Windows.
Outre les fonctionnalités présentées dans cet article, il existe de nombreuses autres améliorations du produit telles que la récupération par l’utilisateur intégrée à Windows, la limitation de bande passante flexible et l'interface de ligne de commande avancée.Je vous encourage à télécharger la version Bêta 2 de Data Protection Manager 2007 pour voir toutes ces fonctionnalités (et bien d'autres encore) en action.Pour plus d'informations et pour une présentation de tous les produits de la gamme System Center, consultez le site microsoft.com/systemcenter.Depuis cette page, vous pouvez accéder à n'importe quelle solution de la gamme System Center, notamment à Configuration Manager.

Calvin Keaton est actuellement planificateur de produit pour DPM.Auparavant, il était responsable du service de protection de données de Microsoft IT.Calvin avait six ans d'expérience dans l'exploitation et le matériel des centres de données avant de rejoindre Microsoft. Il faisait notamment partie des équipes Data Center Site Operations de Compaq et, plus tard, de HP Services.


 System Center: Les services en ligne contribuent &#224; simplifier l'inventaire des logiciels
System Center Paul Bourgeau

Les services en ligne contribuent à simplifier l'inventaire des logiciels
Vue d'ensemble:
  • Principes fondamentaux des services en ligne
  • Configuration de l'agent d'inventaire
  • Obtention de rapports d'inventaire

Vous venez de recevoir un message de votre directeur financier, vous demandant de lui rendre un « petit service » :il a besoin d'un inventaire complet de tous les ordinateurs de votre entreprise, de leur emplacement et des logiciels installés sur chaque
ordinateur.Et tout cela avant la fin de la semaine.Il a besoin de cet inventaire parce que (choisissez une ou plusieurs réponses) :
  • Il est temps de planifier le budget pour l'année à venir et il veut savoir quelle somme allouer aux licences logicielles.
  • Il a été averti d'un audit des logiciels et doit maintenant prouver que votre entreprise détient suffisamment de licences pour un produit particulier pour être conforme.
  • Votre PDG lui a demandé de réduire les dépenses d'exploitation informatique et il pense que la normalisation des applications est un moyen d'y parvenir.
Que pouvez-vous donc faire ?
La gestion des ressources informatiques a évolué ces dix dernières années et aujourd'hui les entreprises ont déplacé leur attention sur une gestion efficace de leurs ressources logicielles.Ceci s'explique principalement par le fait que les logiciels représentent maintenant un investissement financier beaucoup plus important qu'autrefois, mais il faut également tenir compte des problèmes juridiques, de sécurité et de stratégie croissants.Le risque de se retrouver dans une situation non conforme et de faire face à des amendes a accentué encore plus la nécessité d'une gestion des ressources logicielles précise.
Les grandes entreprises ont généralement des ressources et des outils en place pour gérer les logiciels.Ces outils sont souvent des solutions polyvalentes à grande échelle qui non seulement assurent un suivi de l'inventaire matériel et logiciel mais gèrent également la livraison des logiciels sur le bureau et surveillent les performances, ainsi que d'autres fonctions opérationnelles.Qu'en est-il alors des entreprises dans lesquelles de telles solutions ne sont pas viables ou les ressources et l'expertise nécessaires à l'implémentation et la gestion de solutions aussi complexes ne sont pas disponibles ?
La réponse aux besoins des entreprises, grandes et petites, est l'une des influences principales du concept de logiciel en tant que service (SaaS, Software as a Service).La stratégie « Logiciel plus services » de Microsoft englobe des efforts pour développer des solutions basées sur des services afin d'aider les clients à gérer les ressources logicielles efficacement.L'un des premiers services, Microsoft® Asset Inventory Service, est mis à la disposition des clients Software Assurance dans le cadre de Desktop Optimization Pack pour Software Assurance à la fin de l'année.
Le Service d'inventaire des actifs (AIS, Asset Inventory Service), illustré à la figure 1, fournit un service hébergé facile à déployer, facile à utiliser pour récupérer des informations sur les logiciels installés sur les ordinateurs de votre entreprise.Vous pouvez accéder à ces informations par le biais de rapports basés sur navigateur et il est prévu qu'une version future du service analysera également le déploiement d'accords de licence en volume de Microsoft.
Figure 1 Microsoft Asset Inventory Service
Figure 1 Microsoft Asset Inventory Service

La nature des services en ligne
Pourquoi adopter une solution en ligne ?Il y a plusieurs raisons attrayantes, notamment l'imminence de la disponibilité des mises à jour et des nouvelles versions, la facilité d'adoption et une réduction des coûts de déploiement et de gestion.
Les services en ligne sont dynamiques :comme une page Web, le contenu et les fonctionnalités peuvent être mis à jour par le fournisseur de service pour améliorer l'expérience utilisateur et fournir des réponses actuelles aux modifications du paysage technologique.Ceci fournit un niveau d'agilité sans précédent et permet aux fournisseurs de logiciels de livrer des fonctionnalités, des solutions et des connaissances en temps réel qui permettent aux administrateurs d'être plus dynamiques dans la gestion de leurs bureaux.
Les services en ligne ont l'avantage d'être omniprésents.Dans les environnements informatiques d'aujourd'hui, on trouve un mélange de situations, allant des ordinateurs entièrement en réseau connectés directement à des ressources réseau, à des succursales et des utilisateurs distants accédant aux ressources par Internet depuis des emplacements différents.Ajoutez à cela des utilisateurs mobiles qui ne se connectent que rarement à votre réseau, sauf par le biais de programmes de messagerie sur le Web, et il devient très difficile d'obtenir un inventaire complet de vos ressources informatiques.Ceci a toujours été un défi majeur pour les outils d'inventaire, en particulier les solutions sur site qui ne fourniront pas de prise en charge pour les scénarios à distance/hors réseau.
Cependant, la plupart, si ce n'est l'ensemble, de vos ordinateurs ont une connectivité Internet, de sorte que vous pouvez utiliser un service en ligne pour les gérer sans implémenter de mesures particulières pour assurer la connectivité à des solutions client-serveur internes.L'accès au service pour réaliser les fonctions de gestion est accessible aussi bien via une connexion Internet sécurisée, de sorte que vous pouvez gérer n'importe quel ordinateur sur votre compte géré depuis n'importe où tant que vous avez un accès Internet.
Le déploiement est facile et il vous suffit de créer votre compte avec le système en ligne pour démarrer.Il n'y a pas de serveurs à installer dans votre environnement et aucune nouvelle infrastructure réseau et nouvelles plates-formes logicielles dans lesquelles investir. Ceci signifie moins d'administration et d'investissements financiers.La prise en charge continue est également plus facile, puisque l'entreprise n'a pas à se soucier de maintenir un chemin de mise à niveau étant donné que le service inclura la plupart du temps des versions plus récentes dans le cadre du contrat de service.

Utilisation du service
Encouragement d'une communauté en ligne
Le service d'inventaire des actifs et le service System Center en ligne favorisent le développement d'une communauté d'utilisateurs solide qui pourrait influencer l'évolution de services en ligne.Une communauté d'utilisateurs pourrait, par exemple, fournir son avis sur un catalogue de logiciels (façon wiki) et les utilisateurs du service pourraient fournir des suggestions, des corrections et de l'aide.
À l'avenir, le catalogue lui-même pourra également être une source précieuse d'informations pour les utilisateurs finaux lorsqu'ils font des recherches concernant des achats potentiels de logiciels.Des statistiques anonymes agrégées peuvent être récupérées dans l'ensemble du service pour déterminer des tarifs d'adoption pour les produits logiciels et matériels et elles fourniront des données utiles aux utilisateurs finaux impliqués dans ces activités.
La communauté guidera également la direction générale du service en apportant des commentaires sur les secteurs auxquels accorder la priorité pour répondre à des besoins d'entreprise spécifiques.

Pour fournir des services de gestion du bureau en ligne, System Center en ligne de Microsoft crée une plate-forme qui prendra en charge non seulement le Service d'inventaire des actifs à court terme mais aussi des services futurs.Le service a été conçu en gardant à l'esprit la sécurité, l'évolutivité et la fiabilité.AIS est une solution entièrement hébergée, avec tous les serveurs situés dans des centres de données Microsoft.Pour déployer la solution, les clients doivent installer un petit logiciel sur chacun des ordinateurs clients qu'ils souhaitent inclure dans leur inventaire géré.
Le service d'inventaire AIS est géré par les personnes qui gèrent Microsoft.com. C'est une application Web partagée au sein d'une architecture mutualisée qui utilise des services Web pour garantir la confidentialité et la sécurité des données pour chaque client et emploie une combinaison d'applications clientes et Web pour enregistrer des données clients.Les agents exécutés sur le site client téléchargent l'inventaire des logiciels vers un service Web Microsoft Information Services (IIS).Le SSL authentifié mutuellement protège les données du client, la communication entre le client et entre le service et le site Web AIS. Le site utilise SQL Server™ pour le stockage.
En utilisant des comptes Windows Live™ ID pour l'authentification, les clients se connectent au service pour gérer leurs comptes et afficher des rapports.Le site Web client utilise également le SSL pour protéger les données clients et SQL Server Reporting Services produit des rapports.Les bases de données SQL Server sont mises en miroir et les sites Web font l'objet d'un équilibrage des charges pour une haute disponibilité.De plus, les données d'inventaire sont réparties en unités à l'échelle pour une évolutivité élevée.
Vous vous abonnez à Asset Inventory Service en achetant des licences de Microsoft Desktop Optimization Pack sur votre contrat de licences en volume Microsoft.Vous pouvez ensuite activer l'abonnement à Asset Inventory Service à partir du site de services Microsoft Volume Licensing à l'adresse licensing.microsoft.com. Pour vous authentifier et vous connecter au service AIS, vous devez avoir un identifiant Windows Live ID valide.
Lors de l'activation, l'administrateur du contrat désigne un administrateur d'abonnement Asset Inventory Service en spécifiant son identifiant Windows Live ID. L'administrateur d'abonnement se connecte à AIS avec son identifiant Windows Live ID et termine le processus d'activation d'AIS.Il peut ensuite ajouter d'autres utilisateurs au service en spécifiant leurs identifiants Windows Live ID.

Agent d'inventaire
Le client installé sur chaque ordinateur est un petit agent facile à déployer qui est empaqueté en tant que Windows® Installer (MSI).Vous pouvez télécharger le programme d'installation de l'agent et gérer le déploiement du client à partir du service en ligne.(La figure 2 montre l'interface de gestion et de prise en charge).L'agent fonctionne d'une manière similaire à l'agent Windows Update car il communique régulièrement avec les serveurs en ligne System Center.C'est pour mettre à jour son profil d'inventaire en fonction d'une fréquence prédéfinie et pour se mettre à jour automatiquement si une version plus récente de l'agent est disponible.
Figure 2 Gestion de compte et déploiement client
Figure 2 Gestion de compte et déploiement client
L'inventaire est programmé pour s'exécuter automatiquement et aucune n'est nécessaire de la part de l'utilisateur.Il y a également une option qui permet de lancer un inventaire manuel au besoin.La première fois qu'un agent contacte le service, il utilise des informations d'identification d'infrastructure de clé publique (PKI) pour présenter l'identité du client au service et produire une identité unique pour l'ordinateur sur lequel l'agent est exécuté.L'agent lui-même, qui est exécuté uniquement suivant un calendrier établi, est conçu pour être discret pour l'utilisateur ; il utilise donc des ressources minimales et s'exécute en arrière-plan.Les fichiers de données téléchargés sont petits afin d'éviter de provoquer des pics de trafic réseau.
Le processus d'inventaire lui-même est léger et efficace.L'agent numérise les entrées de registre, la base de données MSI et d'autres sources pour obtenir des informations d'installation, contrairement à des systèmes de gestion traditionnels qui s'imposent sur la productivité des utilisateurs en analysant et en résolvant tous les fichiers exécutables présents sur un ordinateur.Ce processus renvoie des données d'inventaire des logiciels en utilisant des noms conviviaux avec des métadonnées qui facilitent l'identification et la classification des éléments, de sorte qu'ils peuvent être utilisés dans un large groupe d'activités de gestion des ressources logicielles.

Reporting Services
Une fois les données d'inventaire téléchargées, elles sont soumises à un processus d'identification et de catalogage qui les prépare pour l'affichage dans des rapports.Les données d'inventaire sont mises en correspondance avec un catalogue central des logiciels, où elles sont classées.Il s'agit là de l'une des principales capacités du service :les données d'inventaire des logiciels de chaque client apportent des signatures uniques à un catalogue central des logiciels.Une équipe de chercheurs chez Microsoft passe en revue les signatures de logiciels non classées, non privées et classe, à l'aide d'une taxinomie structurée de familles et de catégories de logiciels, les applications qu'elles représentent en fonction de la nature et du rôle des applications. Ces catégories aident à fournir un niveau plus élevé d'informations en permettant aux utilisateurs de se concentrer rapidement sur des types spécifiques de logiciels qui les intéressent ; par exemple, peut-être souhaitez-vous voir uniquement des applications antivirus.
Les signatures de logiciels servent également à consolider les données affichées dans les rapports.Par exemple, un nom d'éditeur peut avoir un certain nombre de variantes (une application peut signaler le nom d'éditeur comme étant Contoso Software, tandis qu'une autre parlera de Contoso), ce qui les afficherait comme des éditeurs différents dans un rapport.En consolidant les noms d'éditeurs et d'applications, la capacité à créer des rapports précis en fonction de ces critères et de présenter les données d'une façon pertinente est améliorée.
Lorsque l'utilisateur est parvenu au jeu de données souhaité en appliquant des filtres et des regroupements, le contenu des rapports peut être exporté dans toute une variété de formats pris en charge par l'utilisation de SQL Server Reporting Services, y compris les fichiers CSV, les documents Microsoft Word, les feuilles de calcul Microsoft Excel® et les fichiers PDF (voir la figure 3).Ceci vous permet de réaliser des analyses et des manipulations externes supplémentaires ou peut servir d'entrée dans d'autres systèmes de gestion d'entreprise.
Figure 3 Rapport de résultats d'inventaires
Figure 3 Rapport de résultats d'inventaires
Une fonctionnalité future du service améliorera la façon dont les licences Microsoft sont gérées, en facilitant considérablement le processus pour les utilisateurs.Les utilisateurs pourront télécharger leurs paires de contrats de licences en volume, qui seront ensuite utilisées pour récupérer leurs informations de position de licence dans le Référentiel des positions de licences clients de Microsoft.Ces données de droit de licence rempliront ensuite une instruction qui récapitule tous les logiciels Microsoft nécessitant une licence qui ont été trouvés et les quantités de licences correspondantes.
Grâce à l'identificateur de produits qui est également récupéré pendant l'inventaire, les logiciels installés peuvent être triés par canal :Licence en volume, détail et OEM.Cette fonctionnalité est prévue dans la prochaine version d'Asset Inventory Service.

Fonctions avancées
Asset Inventory Service est le premier service offert par System Center en ligne, mais ce ne sera en aucun cas le dernier.Comme mentionné auparavant, l'objectif à long terme de System Center en ligne est de fournir des services de gestion des bureaux complets, pour être entièrement disponible en tant que service en ligne.
Certains des produits potentiels envisagés incluent une gestion des ressources informatiques pour l'inventaire et le suivi matériels et logiciels, la mise à jour et la distribution logicielles pour fournir des fonctionnalités similaires à Windows Software Update Services sur Internet et des services hybrides en ligne/sur site.Plusieurs autres services de gestion des bureaux sont également envisagés pour voir s'ils fonctionneraient dans ce type de scénario.
Pour en savoir plus sur Microsoft Asset Inventory Service, visitez microsoft.com/windows/products/windowsvista/enterprise/ais.mspx.

Paul Bourgeau responsable de programme dans l'équipe System Center en ligne, a rejoint Microsoft au moment de l'acquisition d'Assetmetrix.


 Strat&#233;gie de groupe: Au cœur des mod&#232;les ADM et ADMX pour la strat&#233;gie de groupe
Stratégie de groupe Jeremy Moskowitz

Au cœur des modèles ADM et ADMX pour la stratégie de groupe
Vue d'ensemble:
  • Types de modèles de stratégie de groupe
  • Clés de stratégies correctes et incorrectes
  • Affichage de modèles ADM
  • Conversion ADM vers ADMX

Fichiers ADM.Vous les aimez ou vous les haïssez.Ou les deux à la fois.C'est parce qu'ils sont à la fois nécessaires et déroutants.Et maintenant il y a des fichiers ADMX, un nouveau format qui semble ajouter encore plus à la confusion.Hé bien, il est temps pour moi de lever le voile sur ce sujet trouble.

Pourquoi avons-nous besoin de fichiers ADM ?
La Stratégie de groupe couvre une grande variété de secteurs.Si vous vous plongez dans l'Éditeur d'objets de stratégie de groupe, vous découvrirez toutes les différentes choses que vous pouvez faire avec la Stratégie de groupe.Vous trouverez par exemple la stratégie de restriction des logiciels, l'installation de logiciels fondée sur les stratégies de groupe, la redirection de dossiers et, bien entendu, celle que nous utilisons le plus :les modèles d'administration.Le nœud des Modèles d'administration apparaît sur les côtés Utilisateur et Ordinateur.Comme vous pouvez vous y attendre, les utilisateurs peuvent gérer uniquement les paramètres de stratégie côté Utilisateur et les ordinateurs peuvent gérer uniquement le côté Ordinateur.
Mais d'où proviennent donc tous ces paramètres magiques à l'intérieur des Modèles d'administration ?Lorsque de nouvelles applications apparaissent, vous pouvez potentiellement manipuler certains paramètres.C'est là qu'interviennent les fichiers ADM.Ils décrivent les secteurs de l'application qui sont prêts à accepter des paramètres définis par un administrateur.Les fichiers ADM sont limités tout de suite, malheureusement, parce qu'ils peuvent uniquement traiter des paramètres de Registre au sein d'une application.Mais une application peut enregistrer ses paramètres dans d'autres endroits tels que des fichiers .ini, des fichiers .js, des fichiers .xml et des bases de données.

Fichiers ADM
Alors comment tous ces paramètres de stratégie pour Configuration de l'ordinateur | Modèles d'administration et Configuration de l'utilisateur | Modèles d'administration finissent-ils là ?Si vous cliquez avec le bouton droit sur les mots « Modèles d'administration » dans l'Éditeur d'objets de stratégie de groupe et que vous sélectionnez « Ajout/Suppression de modèles » côté Utilisateur ou côté Ordinateur, vous verrez les modèles par défaut qui constituent la configuration standard de la figure 1.
Figure 1 Modèles d'administration par défaut
Figure 1 Modèles d'administration par défaut
Voici le détail de ces fichiers :
  • Conf.adm—Paramètres NetMeeting®.
  • Inetres.adm—Paramètres Internet Explorer®, y compris les connexions, les barres d'outils et les paramètres des barres d'outils.Ces paramètres sont équivalents aux options qui sont disponibles lorsque vous cliquez sur le menu Options Internet d'Internet Explorer.
  • System.adm—Modifications et paramètres du système d'exploitation.La plupart des paramètres des modèles d'administration Ordinateur et Utilisateur sont dans ce modèle ADM.
  • Wmplayer.adm—Paramètres de Windows Media® Player 9.
  • Wuau.adm—Contrôle l'accès de vos clients à Windows® Update et/ou aux serveurs Windows Server® Update Services.

Ajout d'un nouveau fichier de modèle ADM
Comment surmonter les restrictions avec Microsoft et des outils tiers
Les fichiers ADM et ADMX sont très utiles.Utilisez-les pour inclure des connaissances dans votre fichier de définition et contrôler votre application cible.Cependant, les fichiers ADM et ADMX ont des limites.Notamment, les fichiers ne peuvent pas exécuter les opérations suivantes :
  • Ils ne peuvent pas atteindre les ruches de Registre autres que HKEY_LOCAL_MACHINE et HKEY_Current_User.Si vous avez quelque chose à faire dans d'autres ruches de Registre, vous ne pouvez pas le faire avec des fichiers ADM ou ADMX.
  • Ils ne peuvent pas exécuter d'ajouts à des valeurs REG_Binary.
  • Ils ne peuvent pas être définis pour être « exécutés une seule fois ».
  • Ils ne peuvent pas être définis pour être « toujours réappliqués » lorsqu'une Stratégie de groupe est actualisée.
  • Les fichiers ADM et ADMX écrivant sur des touches incorrectes font un tatouage du Registre.Donc, même si l'utilisateur sort de l'étendue de la gestion (SOM), ou si le GPO est supprimé, la valeur persiste.
Pour surmonter ces restrictions, Microsoft et certains tiers proposent des solutions pour vous aider.Microsoft a acquis récemment DesktopStandard et vient de publier une version renommée de l'extension de Registre DesktopStandard.Avec cet outil, vous pouvez dicter les valeurs de Registre spécifiques que vous souhaitez gérer sur l'ordinateur cible à l'aide d'une interface d'assistant dans l'Éditeur d'objets de stratégie de groupe.
Les technologies PolicyMaker de DesktopStandard (y compris l'outil d'extension du registre) s'appellent maintenant Préférences de stratégie de groupe et sont incluses avec Windows Server 2008. Les Préférences de stratégie de groupe permettent à l'administrateur de configurer des applications ou des composants Windows qui ne sont pas habituellement configurables via la stratégie de groupe et elles s'appliquent à certains utilisateurs ou ordinateurs en fonction d'un ensemble très complet de règles de ciblage.Les Préférences de Stratégie de groupe sont entièrement intégrées avec la Console de gestion des stratégies de groupe et la Gestion de stratégie de groupe avancée dans Windows Server 2008.
Vous pouvez en apprendre davantage sur les Préférences de stratégie de groupe dans l'article de Derek Melber intitulé « Plongeon dans la gestion de stratégie de groupe avancée » dans ce numéro de TechNet Magazine.

C'est très facile.Commencez par obtenir le modèle ADM que vous souhaitez utiliser.Vous pourriez utiliser un modèle téléchargé sur GPanswers.com (vous y trouverez environ une dizaine de modèles intéressants), à moins que vous ne souhaitiez utiliser les fichiers ADM pour Office 2003 ou Office 2007 situés sur le site Web de Microsoft.
Cliquez avec le bouton droit sur les mots « Modèles d'administration », puis cliquez sur « Ajouter », comme illustré à la figure 1, pour ajouter le modèle.Par défaut, Windows recherche des modèles dans le répertoire \Windows\inf, mais vous pouvez les stocker où vous le souhaitez.Voici quelque chose que vous ne savez peut-être pas :Une fois le modèle ADM ajouté depuis le point de stockage original, ce modèle ADM est également ajouté au contenu de l'Objet de stratégie de groupe (GPO).
Ainsi, pour cet article, je suis allé sur GPanswers.com et j'ai téléchargé nopassport.adm. J'ai placé ce fichier modèle dans mon répertoire c:\temp.Ce modèle ADM nous permet de supprimer le message « Souhaitez-vous ajouter votre passeport ? » qui apparaît la première fois qu'un utilisateur se connecte sur un ordinateur exécutant Windows XP.
J'ai téléchargé également les modèles ADM Office 2003 et je les ai enregistrés dans c:\temp.Mais ils ne resteront pas dans ce répertoire.Dans la figure 2, vous pouvez voir que j'ai ajouté nopassport.adm et Word11.adm. Vous pouvez voir qu'ils ont été ajoutés à la liste des modèles par défaut dans la fenêtre « Ajout/Suppression de modèles ».
Figure 2 Fichiers ADM supplémentaires dans le GPO
Figure 2 Fichiers ADM supplémentaires dans le GPO
À présent, si vous regardez dans la portion fichier du GPO (en particulier, dans le répertoire \\domaincontroller\SYSVOL\domainname\Policies\GUID\ADM), vous pouvez voir que les fichiers nopassport.adm et Word11.adm font maintenant partie du GPO, comme l'illustre la figure 2.
Pourquoi ces modèles sont-ils ajoutés au GPO ?Parce que si vous essayez ensuite de modifier ce GPO sur une autre station de gestion, vous pourrez voir les paramètres contenus dans les fichiers ADM.

Pourquoi ne puis-je pas voir ce que je viens de charger ?
Parfois vous pouvez voir vos ajouts de fichiers ADM et parfois ne vous pouvez pas. Et ceci est très déroutant pour un grand nombre d'administrateurs.En effet, il s'agit d'une question très courante sur GPanswers.com, donc parlons-en tout de suite.
Vous devriez voir au moins les résultats de l'ajout des deux modèles (voir la figure 3).Deux nouveaux nœuds apparaîtront :Configuration de l'ordinateur | Problèmes (à cause de nopassport.adm) et Configuration de l'utilisateur | Microsoft Office Word 2003 (à cause de Word11.adm).Si vous examinez les paramètres de Microsoft® Word 2003, vous verrez tout un ensemble de paramètres configurables, comme l'indique la figure 3.
Figure 3 Paramètres de stratégie de groupe configurables
Figure 3 Paramètres de stratégie de groupe configurables
Mais pourquoi ne vous pouvez-vous pas voir les paramètres dans le nouveau nœud Problèmes ?Pour comprendre cela, vous devez d'abord comprendre l'idée des clés de stratégies « correctes » par rapport aux clés de stratégies « incorrectes » sur lesquelles un modèle ADM peut avoir un impact.

Clés de stratégies correctes et incorrectes
D'après la documentation Microsoft, quatre parties du Registre sont considérées comme étant des endroits approuvés pour créer des stratégies à l'abri des piratages de Registre :
  • HKLM\Software\Policies (paramètres de l'ordinateur, l'emplacement recommandé)
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Policies (paramètres de l'ordinateur, autre emplacement)
  • HKCU\Software\Policies (paramètres utilisateur, emplacement recommandé)
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Policies (paramètres utilisateur, autre emplacement)
Les paramètres qui se trouvent dans le fichier ADM Word 2003 écrivent dans ces emplacements corrects, mais ce n'est pas le cas pour le fichier nopassport.adm—nopassport.adm écrit dans HKLM\Software\Microsoft\MessengerService\PassportBalloon.
L'Éditeur d'objets de stratégie de groupe établit une certaine sécurité avant de vous permettre de voir ces paramètres parce que les paramètres qui n'écrivent pas dans ces quatre clés de stratégies correctes effectueront un tatouage du Registre.Donc, même si vous donnez un grand coup au GPO, il n'y aura aucun changement.Imaginons par exemple que vous avez ajouté le fichier nopassport.adm et que vous avez choisi de supprimer la bulle contextuelle « Souhaitez-vous ajouter un passeport ? » pour chaque ordinateur dans votre domaine.Ensuite, votre patron déclare qu'il regrette cette fameuse bulle contextuelle.Dans ce cas, vous avez du pain sur la planche car tous les ordinateurs auront ce paramètre (pour toujours en fait) jusqu'à ce que vous remettiez expressément ce paramètre.Et, oui, il est possible de créer un nouveau fichier ADM personnalisé à cette seule fin, mais, une fois de plus, vous aurez du pain sur la planche.
Par opposition, les paramètres de stratégie réguliers ont une valeur par défaut.Et si vous donnez un grand coup au GPO, les paramètres par défaut seront rétablis.Ainsi, si vous choisissez d'interdire l'accès au Panneau de configuration à l'aide de modèles ADM intégrés et que vous changez d'avis ensuite, il vous suffit de donner un grand coup au GPO pour faire revenir l'accès au panneau de configuration.Ceci vaut pour quasiment chaque paramètre fourni avec les fichiers ADM par défaut (à part quelques rares exceptions).
Une fois encore, avec l'ADM personnalisé qui supprime le passeport, l'endroit où se trouve le paramètre de stratégie ne permet pas au moteur de stratégie de groupe de le rétablir en cas de suppression.Donc Microsoft vous protège en évitant (au début) d'afficher ces paramètres de stratégie de tatouage dans votre propre intérêt !

Affichage des modèles ADM
En fait, il n'est pas difficile de voir les modèles ADM.Par défaut, l'éditeur ne vous montre pas les paramètres, mais vous pouvez y remédier facilement.Cliquez sur « Modèles d'administration » (dans la zone Utilisateur ou Ordinateur), puis sélectionnez Afficher | Filtrage.Ensuite, décochez (oui, décochez) la case « Afficher uniquement les paramètres de stratégie pouvant être entièrement gérés » (illustré à la figure 4).Vous verrez alors apparaître le paramètre de stratégie « Sollicitation de passeport » sous la colonne Paramètres, illustré également à la figure 4.
Figure 4 Filtrage GPO
Figure 4 Filtrage GPO

Windows XP et Windows Vista dans l'Éditeur
Avez-vous remarqué une différence subtile dans le paramètre de stratégie qui vient de s'afficher ?Observez les icônes des paramètres de stratégie fournis avec les fichiers ADM dans la figure 5.À présent, regardez l'icône correspondant à un paramètre de stratégie provenant d'un modèle ADM pour lequel les paramètres n'écrivent pas sur les clés de registre de stratégies correctes, comme l'illustre la figure 6.
Figure 5 Fichiers ADM avec des icônes
Figure 5 Fichiers ADM avec des icônes
Figure 6 Icônes pour utilisation de touches incorrectes
Figure 6 Icônes pour utilisation de touches incorrectes
Cette distinction d'icônes bleues et rouges vous aide à reconnaître les paramètres qui effectueront un tatouage. Mais, une fois de plus, cela dépend où le paramètre s'exécute.
Notez que, dans Windows Vista®, la situation est un peu différente lorsque vous utilisez des fichiers ADM dans votre station de gestion Windows Vista.Les fichiers ADM apparaissent dans leur propre nœud appelé nœud de « modèles d'administration classiques (ADM) », comme illustré à la figure 7.Les paramètres qui étaient représentés par des points rouges apparaissent maintenant comme des icônes de défilement avec une flèche vers le bas (mais lorsque vous êtes en train de modifier le paramètre, un signe d'accès interdit est visible).
Figure 7 Nœud de modèles d'administration classiques
Figure 7 Nœud de modèles d'administration classiques
Les paramètres qui étaient représentés par des points bleus (ceux qui écrivent dans les clés de stratégies correctes) apparaissent comme de petites icônes de défilement, comme l'indique la figure 8.
Figure 8 Icônes de défilement affichant des clés correctes
Figure 8 Icônes de défilement affichant des clés correctes

Qu'est-ce que tout ce bruit autour d'ADMX ?
Windows Vista et Windows Server 2003 sont tous deux fournis avec une nouvelle Console de gestion des stratégies de groupe (GPMC) intégrée.Et avec cette nouvelle console; vous avez la possibilité de remplacer les vieux fichiers ADM par des fichiers ADMX plus récents, si vous le souhaitez.Pourquoi renoncer au format ADM ?
Rappelez-vous que le fichier ADM est placé dans la partie Modèle de stratégie de groupe du GPO (la partie qui se trouve dans SYSVOL).Lorsque cela se produit, vous utilisez environ 4 Mo sur chaque contrôleur de domaine à chaque fois que vous créez un GPO.Rappelez-vous également que le fichier ADM est placé dans le GPT du GPO parce qu'il est nécessaire lorsque vous souhaitez re-modifier le GPO sur une autre station de gestion.Sans ce fichier ADM, vous ne pouvez pas modifier de paramètres personnalisés se trouvant dans le GPO.
Le format ADMX nous libère de ces problèmes.Vous n'avez plus besoin d'enregistrer quoi que ce soit directement dans le GPO, ce qui fait que vous ne vous retrouvez pas avec un gonflement de SYSVOL c'est-à-dire un SYSVOL énorme qui doit stocker des GPO pleins de fichiers ADM et a l'inconvénient de les répliquer sur chaque contrôleur de domaine.Pour contourner le problème, la nouvelle norme ADMX peut profiter de ce qu'on appelle le « magasin central ».Le magasin central prévoit un emplacement pour les nouveaux fichiers ADMX, de sorte qu'ils n'ont pas besoin d'être copiés dans chaque GPO.Alors, fini les gonflements de SYSVOL.Autre intérêt du magasin central : si un fichier ADMX a une définition mise à jour, toutes les stations de gestion Windows Vista utiliseront immédiatement ce fichier ADMX à jour.
Si vous voulez en savoir plus sur le format des fichiers ADMX, notamment pour plus de détails sur la création et l'utilisation du magasin central, j'ai deux ressources à vous recommander.Darren Mar-Elia a écrit un article instructif sur le format des fichiers ADMX et une brève explication du magasin central dans le numéro de février 2007 de Technet Magazine (technetmagazine.com/issues/2007/02/Templates).J'ai également tout un chapitre téléchargeable de mon dernier livre, « Group Policy:Management, Troubleshooting, and Security », disponible dans la section « Book Resources » de GPanswers.com.
Comme je l'ai expliqué, les modèles ADM sont toujours pris en charge lorsque vous utilisez une station de gestion Windows Vista, mais les fichiers ADM ne sont pas pris en charge dans le magasin central.Ceci peut être un peu déroutant, alors étudions un exemple.
Supposons que je viens de créer un GPO à partir d'une station de gestion Windows Vista et que j'ai ensuite modifié légèrement certains des paramètres (par exemple interdiction de l'accès au panneau de configuration).Supposons également que j'ai voulu ajouter un modèle ADM personnalisé.Cela fait, examinons le GPT du GPO et voyons ce qui est arrivé pour plus de clarté.
Pour ajouter le modèle ADM, vous pouvez répéter les étapes que j'ai suivies plus haut.Ouvrez simplement l'Éditeur d'objets de stratégie de groupe, cliquez avec le bouton droit sur « Modèles d'administration » qui se trouve dans les nœuds Utilisateurs et Ordinateurs, et sélectionnez « Ajout/Suppression de modèle ».Vous pouvez voir le modèle ajouté dans la figure 9.
Figure 9 Affichage du modèle ajouté
Figure 9 Affichage du modèle ajouté
Pour voir les paramètres contenus dans ce modèle ADM, vous allez devoir faire ce que nous avons fait plus haut à la figure 4.C'est-à-dire cliquer sur Afficher | Filtrage.Pour finir, décochez la case « Afficher uniquement les paramètres de stratégie pouvant être entièrement gérés ».Ensuite, fermez l'Éditeur d'objets de stratégie de groupe et retournez dans la Console de gestion des stratégies de groupe.La figure 10 montre l'onglet Détails du GPO que je viens de créer à partir de ma station de gestion Windows Vista.(Notez le nom sympa du GPO).En examinant l'onglet Détails, je peux déterminer le GUID du GPO, ce qui me permettra de trouver facilement ce GPO particulier lorsque je serai dans SYSVOL.
Figure 10 Modèles d'administration par défaut
Figure 10 Modèles d'administration par défaut
Une fois que j'ai trouvé le GPT du GPO (grâce au GUID du GPO), je peux ouvrir le répertoire ADM de ce GPO pour voir qu'il y a exactement un modèle ADM : celui que j'ai importé manuellement, illustré à la figure 11.C'est parce que les ordinateurs Windows Vista ne s'appuient plus sur les ADM.Comme ils ne les utilisent plus en mode natif, ils ne transmettent plus rien non plus dans le GPO en mode natif.Cependant, si vous importez manuellement un ADM (comme nous venons de le faire), l'ordinateur continuera à traiter l'ADM de la même façon que les versions précédentes de Windows.
Figure 11 Fichier ADM importé manuellement
Figure 11 Fichier ADM importé manuellement
Ceci est en opposition avec, disons, le GPO de la figure 12, qui a été créée sur une machine exécutant Windows XP ou Windows Server 2003. Lorsque des GPO sont créés à l'aide de stations de gestion antérieures à Windows Vista, les fichiers ADM originaux sont transmis dans le GPO, comme je l'ai décrit précédemment.Ce GPO a été créé sur une station de gestion Windows XP.Ça se voit car on note plein de fichiers ADM dont Windows Vista n'a pas besoin ou n'utilise pas.
Figure 12 GPO créé sur Windows XP
Figure 12 GPO créé sur Windows XP

Conversion ADM vers ADMX avec l'outil ADMX Migrator
Donc Windows XP utilise des fichiers ADM et Windows Vista utilise des fichiers ADMX, même si Windows Vista continuera à prendre en charge les fichiers ADM au besoin.Cependant, il est impossible de placer un fichier ADM dans le magasin central et de s'attendre à ce que nos stations de gestion Windows Vista puissent utiliser le fichier.
Afin d'utiliser les paramètres contenus dans l'ADM du magasin central, vous devrez convertir le fichier ADM vers ADMX ou recréer les fichiers ADM en ADMX à la main.Heureusement, un seul téléchargement peut réaliser ces deux opérations.Vous pouvez télécharger l'outil ADMX Migrator (qui est en fait composé d'un outil de conversion ADM vers ADMX et d'un outil de création ADMX) à l'adresse go.microsoft.com/fwlink/?LinkId=103774.
Vous pouvez installer le fichier MSI de l'outil ADMX Migrator sur Windows Server 2003, Windows XP ou Windows Vista.Une fois le fichier installé, les applications se trouveront dans le répertoire C:\Program Files\FullArmor\ADMX Migrator.L'application de ligne de commande que je vais exécuter s'appelle faAdmxConv.exe. Mais, étant donné que le répertoire n'est pas dans le chemin, il vous faudrait être dans ce répertoire pour exécuter l'application.C'est pour cette raison que, lorsque j'utilise l'outil, je choisis d'ajouter ce répertoire à mon chemin Windows.L'article que vous trouverez à l'adresse www.computerhope.com/issues/ch000549.htm explique comment déterminer le chemin dans Windows.
Je crée généralement un répertoire temporaire tel que C:\ADMtemp et j'y copie mes fichiers ADM sources.Il y a beaucoup de paramètres possibles pour faAdmxConv.exe, mais la façon la plus simple de convertir un fichier ADM consiste à spécifier le nom du fichier ADM et le répertoire de sortie.Si vous avez déjà mis le fichier ADM dans ADMtemp et ajouté faAdmxConv.exe au chemin, vous pouvez simplement exécuter « faAdmxConv nopassport.adm . »(avec le point à la fin pour signaler que le répertoire actuel sert pour la sortie).Si vous omettez le point (pour ce répertoire) ou un autre chemin explicite, la sortie se fait dans le répertoire temporaire du profil de votre compte.Dans la figure 13, vous pouvez voir trois commandes :
Figure 13 Outil ADMX Migrator
Figure 13 Outil ADMX Migrator
  • Une commande « dir » pour voir le fichier ADM
  • La commande « faAdmxConv » avec le nom de l'ADM et le .(point) pour représenter le répertoire en cours
  • Une commande « dir » pour voir les fichiers obtenus :nopassport.admx et nopassport.adml
Avant de placer les fichiers obtenus directement dans votre magasin central, il est recommandé de les tester sur un ordinateur exécuté hors connexion.Une fois l'ordinateur hors connexion, copiez le fichier ADMX dans le répertoire C:\Windows\PolicyDefinitions et le fichier ADML dans le répertoire spécifique à la langue.Aux États-Unis, ce répertoire est C:\Windows\PolicyDefinitions\en-us.La figure 14 vous donne un exemple de la procédure de copie.
Figure 14 Copie de fichiers ADMX dans le magasin central
Figure 14 Copie de fichiers ADMX dans le magasin central
L'outil de conversion ADM vers ADMX a été mis à jour récemment en version 1.2.Cette version a permis de corriger un certain nombre de bogues de conversion et d'ajouter des messages d'avertissement utiles au moment de la conversion.Si vous avez déjà essayé l'outil de conversion ADM vers ADMX, mais que vous avez renoncé en raison de messages d'erreur que vous ne parveniez pas à corriger, je vous encourage à l'essayer à nouveau avec la version 1.2 à présent disponible au téléchargement.
Pour finir, le fichier ADM converti correspond maintenant à deux fichiers :un fichier ADMX (de langue neutre) et un fichier ADML (spécifique à une langue).À ce stade, vous pouvez placer les fichiers obtenus dans le magasin central ou les tester sur un ordinateur local.Cependant, pour voir les paramètres de stratégie contenus dans ce modèle ADMX, vous aurez toujours besoin de faire ce que nous avons fait à la figure 4.Vous devrez cliquer sur Afficher | Filtrage, puis décochez la case « Afficher uniquement les paramètres de stratégie pouvant être entièrement gérés ».C'est parce que les paramètres contenus dans ce fichier ADMX n'écrivent pas sur une des stratégies correctes dont j'ai parlé plus haut.

Opération nettoyage
Le mieux est d'utiliser uniquement des fichiers ADMX et le magasin central.Mais, pour ce faire, vous devez convertir tous vos fichiers ADM actuels vers ADMX, convertir toutes les stations de gestion vers Windows Vista (ou Windows Server 2008) et vous engagez à ne plus modifier de GPO sur des ordinateurs disposant d'un système d'exploitation antérieur à Windows Vista.
Si vous avez terminé ces trois étapes, vous avez plus ou moins banni les fichiers ADM de votre univers.À ce stade, les fichiers ADM de vos GPO occupent une place inutile dans le SYSVOL de votre contrôleur de domaine.Si vous êtes passé pour de bon à ADMX, vous pouvez, si vous le souhaitez, simplement supprimer les ADM qui se trouvent dans le GPT du GPO à l'intérieur de SYSVOL.C'est bien cela :Un peu comme votre appendice, ils ne servent à rien.Ils ont servi à un moment, mais c'est fini.Vous pouvez le faire manuellement ou avec un script.Mais surtout, avant de le faire, vous devez savoir que vous commettriez une grave erreur si ces étapes n'étaient pas complétées.Donc supprimez les ADM uniquement si vous être sûr que vous n'en avez plus besoin.
Pour plus d'informations sur les fichiers ADM, ADMX et ADML, consultez le Guide détaillé de la gestion des fichiers ADMX de Stratégie de groupe à l'adresse go.microsoft.com/fwlink/?LinkId=105019 et l'étude sur la technologie ADMX à l'adresse go.microsoft.com/fwlink/?LinkId=105032.Ne manquez pas également de vous abonner au bulletin GPanswers.com, à l'adresse GPanswers.com/newsletter et aux avis intermédiaires en consultant GPanswers.com/blog.

Jeremy Moskowitz MCSE et MVP Group Policy, administre GPanswers.com, un forum communautaire sur la Stratégie de groupe.Il dirige également un ensemble de formations intensives sur la Stratégie de groupe.Le dernier ouvrage de Jeremy est intitulé « Group Policy:Management, Troubleshooting and Security » (Sybex, 2007).Vous pouvez contacter Jeremy à l’adresse www.GPanswers.com.


 Strat&#233;gie de groupe: Optimisation des performances de Strat&#233;gie de groupe
Stratégie de groupe Darren Mar-Elia

Optimisation des performances de Stratégie de groupe
Vue d'ensemble:
  • Comparaison entre GPO monolithiques et GPO fonctionnels
  • Comment traiter les entrées de stratégie de groupe
  • Ce qui se passe lors de modifications de la Stratégie de groupe

On me pose fréquemment la question, « Du point de vue performances, vaut-il mieux avoir un petit nombre d'objets de stratégie de groupe volumineux ou beaucoup de petits » ?Cette question et d'autres liées à la conception de Stratégie de groupe et aux performances font justement l'objet de cet article.Et, comme avec la plupart des questions larges,
je peux vous dire d'ores et déjà :« Ça dépend. »Bien que cela puisse vous sembler évasif, mon objectif est d'apporter la lumière sur les mécanismes sous-jacents au traitement de la Stratégie de groupe de manière à vous permettre de prendre des décisions éclairées pour votre conception de Stratégie de groupe, que vous en soyez juste au début ou que vous cherchiez à optimiser un environnement avec des centaines d'objets de stratégie de groupe existants.

Comparaison entre GPO monolithiques et GPO fonctionnels
Commençons par décrire les différentes façons dont vous pouvez implémenter vos objets de stratégie de groupe.Les termes « monolithiques » et « fonctionnels » se réfèrent à la façon dont vous les concevez.Les objets de stratégie de groupe monolithiques contiennent des paramètres ayant de multiples origines.Par exemple, un GPO monolithique peut contenir des paramètres provenant des stratégies de modèles d'administration, de maintenance Internet Explorer et d'installation de logiciels, le tout dans un seul objet de stratégie de groupe.Par contraste, les objets de stratégie de groupe fonctionnels exécutent généralement une seule action.Par exemple, un objet de stratégie de groupe fonctionnel peut s'attacher seulement à l'installation de logiciel ou appliquer des paramètres de sécurité.J'ai vu même des objets de stratégie de groupe fonctionnels contenant seulement un paramètre de stratégie !Mais c'est probablement un cas extrême.La figure 1 montre quelques uns des avantages et désavantages de chaque approche.
Figure 1 Comparaison des GPO monolithiques et fonctionnels (Close Figure 1)

Problème | GPO monolithiques | GPO fonctionnels
Délégation/isolation | Difficile, puisque chaque objet de stratégie de groupe peut contenir des paramètres de multiples zones, et que vous pouvez déléguer seulement au niveau GPO, pas au niveau paramètres. | Facile, puisque chaque objet de stratégie de groupe contient une seule zone de stratégie, vous pouvez déléguer, par exemple, le GPO d'installation de logiciel à l'administrateur de déploiement, le GPO de sécurité au responsable de sécurité, et ainsi de suite.
Gérabilité & complexité | Potentiellement plus simple et plus facile à gérer, parce que chaque objet de stratégie de groupe contient tous les paramètres à un seul emplacement. | Potentiellement plus difficile parce que plus de GPO signifie plus d'endroits à consulter pour dépister des problèmes et plus de complexité dans la détermination du jeu de stratégie résultant pour un utilisateur ou un ordinateur donné.
Performances | Potentiellement plus lent parce que, pour une extension côté client donnée, si un objet de stratégie de groupe change, toutes les extensions devront s'exécuter sur tous les objets de stratégie de groupe dans l'étendue. | Cela dépend du nombre d'objets de stratégie de groupe utilisés et de leur fréquence de modification.Les performances peuvent être meilleures dans les environnements dynamiques par rapport aux GPO monolithiques.
Comme vous pouvez le voir, il n'est pas possible de trancher définitivement sur la meilleure approche : monolithique ou fonctionnelle.Dans votre environnement, vous aurez probablement besoin des deux.Par exemple, vous pourrez trouver l'approche fonctionnelle préférable lorsque vous créez la stratégie de sécurité pour l'ensemble de votre domaine.Utiliser un objet de stratégie de groupe unique contenant seulement les paramètres de sécurité facilite la délégation du contrôle de cet objet de stratégie de groupe à vos administrateurs de sécurité, où personne d'autre ne peut y toucher.Par le même jeton, si vous déléguez l'administration de la stratégie de groupe aux administrateurs d'unités d'organisation, la configuration d'un GPO monolithique pour chaque unité d'organisation offre un emplacement unique à ces administrateurs pour gérer tous leurs paramètres de stratégie.Cela peut réduire la complexité et vous permettre de modérer le nombre d'objets de stratégie de groupe créés pour les utilisateurs et les ordinateurs de l'unité d'organisation donnée.
Quel est l'effet de ces décisions de conception de haut niveau sur les performances du traitement de la stratégie de groupe, et comment pouvez-vous prendre des décisions intelligentes sur la conception de la Stratégie de groupe pour réduire les impacts sur les performances ?La première étape dans l'optimisation des performances de votre infrastructure de Stratégie de groupe est de comprendre comment le traitement de la stratégie de groupe fonctionne sous couverture.

Comprendre le traitement de la stratégie de groupe
Le traitement de la stratégie de groupe est une série complexe d'interactions impliquant de nombreuses parties de votre infrastructure Windows® et Active Directory®.À un niveau élevé, le traitement de la Stratégie de groupe comprend deux parties.La première est appelée Noyau, ou traitement d'Infrastructure de Stratégie de groupe.Dans cette phase, un client de stratégie de groupe Windows interroge son contrôleur de domaine le plus proche pour déterminer la vitesse de lien au DC, où il se situe dans la hiérarchie Active Directory (c'est-à-dire de quel site, quel domaine et quelle l'unité d'organisation le client est membre), et quels objets de stratégie de groupe s'appliquent à l'ordinateur ou l'utilisateur actuellement connecté.(Il est important de noter que dans ce contexte un client peut être un serveur ou un poste de travail appartenant à un domaine Active Directory.)Une fois la liste d'objets de stratégie de groupe créée, la phase suivante démarre : le traitement d'extension côté client (CSE, Client-Side Extension).Pendant la phase CSE, chaque CSE enregistré traite la liste d'objets de stratégie de groupe ayant des paramètres implémentés dans sa zone.Par exemple, le CSE Registre ou Modèle d'administration s'exécute systématiquement en premier et traite tous les objets de stratégie de groupe qui s'appliquent à l'ordinateur ou à l'utilisateur donné et qui ont une stratégie de registre implémentée en eux.
La liste qui suit détaille les étapes du cycle de traitement de la stratégie de groupe, y compris les interactions de réseau entre le contrôleur client et domaine.Il est important de rappeler que la stratégie de groupe s'applique aux ordinateurs et aux utilisateurs.Donc, chaque fois que la stratégie opère (par exemple pendant l'actualisation en arrière-plan de la stratégie de groupe), le cycle que j'énumère ci-dessous sera répété pour l'ordinateur et le compte utilisateur actuellement connecté sur un système donné, puisque chacun peut avoir un ensemble différent de stratégies appliqué.Dans ce cas, Windows exécute en fait le cycle de traitement simultanément pour l'ordinateur et l'utilisateur, avec chaque cycle s'exécutant sur un thread différent du processus de moteur de Stratégie de groupe.(Le processus Winlogon pour Windows 2000, Windows XP et Windows Server® 2003 et le service Client de Stratégie de groupe dans Windows Vista® et Windows Server 2008.)
Le traitement d'une stratégie de groupe compte six étapes :
  1. Le client exécute la détection de liaisons lentes ICMP (Internet Control Message Protocol) sur un contrôleur de domaine de son site pour déterminer la vitesse des liaisons.Dans Windows Vista, l'utilisation du protocole ICMP pour la détection de liaisons lentes est remplacée par le service NLA (Network Location Awareness).
  2. Le client lit les informations d'état de CSE à partir de son registre local pour déterminer quels objets de stratégie de groupe ont été traités en dernier.
  3. Le client utilise le protocole LDAP pour rechercher l'attribut gpLink dans Active Directory sur chaque objet de conteneur dans son emplacement de la hiérarchie Active Directory : d'abord au niveau d'unité d'organisation (y compris toutes les unités d'organisation imbriquées), ensuite au niveau du domaine et enfin au niveau du site Active Directory.À partir des résultats de cette recherche, il génère une liste d'objets de stratégie de groupe devant être évalués pour le traitement.
  4. Chaque objet de stratégie de groupe est ensuite recherché dans Active Directory pour déterminer si le client (utilisateur ou ordinateur) possède les autorisations nécessaires pour le traiter.Son numéro de version, le chemin du Modèle de Stratégie de groupe (GPT), la portion de l'objet de stratégie de groupe dans SYSVOL et les CSE implémentés dans cet objet de stratégie de groupe sont également évalués.
  5. Le client utilise ensuite le protocole SMB (Server Message Block) pour lire le contenu du GPT et obtenir le numéro de version de l'objet de stratégie de groupe à partir du fichier gpt.ini.Les numéros de version dans le Conteneur de Stratégie de groupe (GPC) et le GPT sont un facteur utilisé pour déterminer si un objet de stratégie de groupe a changé depuis le dernier cycle de traitement.
  6. Chaque CSE s'exécute dans l'ordre enregistré sous HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions, et traite les objets de stratégie de groupe qui implémentent ce CSE si l'objet de stratégie de groupe a changé depuis le dernier cycle de traitement (comme déterminé pendant le traitement noyau).Chaque CSE consigne également les données RSOP (Resultant Set of User Policy) dans Windows Management Instrumentation (WMI) à chaque actualisation, le cas échéant.
Examinons ce processus et regardons quel impact cela peut avoir sur les performances.La première chose à savoir est qu'il y a une différence entre le traitement de premier plan et le traitement en arrière-plan.Le traitement de premier plan a lieu pour les ordinateurs pendant un redémarrage du système et pour les utilisateurs pendant une ouverture de session.Les actualisations en arrière-plan ont lieu sur les postes de travail et les serveurs membres par défaut toutes les 90 minutes plus jusqu'à 30 minutes dans une valeur aléatoire.Les actualisations en arrière-plan ont lieu sur les contrôleurs de domaine toutes les 5 minutes par défaut.Dans Windows Vista, vous pouvez avoir également des actualisations NLA, qui sont essentiellement des événements d'actualisation en arrière-plan déclenchés par une défaillance précédente de traitement de la stratégie de groupe suite à un problème d'accès à un contrôleur de domaine (comme quand le client était hors connexion lorsque une échéance d'opération en arrière-plan est survenue).Pourquoi ces distinctions sont-elles importantes ?Principalement parce que certains CSE (par exemple, Installation de logiciel et CSE de redirection de dossiers) ne s'exécuteront pas pendant une actualisation en arrière-plan.De la même manière, les scripts d'ouverture/de fermeture de session ou de démarrage/d'arrêt ne s'exécutent pas pendant une actualisation en arrière-plan.
De même, dans l'Étape 1 de ce processus, j'ai mentionné le processus de détection de liaison lente.Dans les systèmes antérieurs à Windows Vista, ce processus se base sur les clients utilisant ICMP pour analyser le contrôleur de domaine et déterminer sa disponibilité et sa vitesse de liaison.Si la vitesse de liaison calculée descend au-dessous d'une certaine valeur seuil (par défaut 500 Ko/s) la liaison est considérée comme lente et, encore une fois, certains CSE comme Installation de logiciel, Redirection de dossiers et Maintenance Internet Explorer ne s'exécuteront pas.Toutes ces conditions peuvent avoir un impact sur les performances de même que sur la réalisation prévue de la stratégie.
L'aspect du cycle de traitement de stratégie qui a probablement le plus grand impact sur les performances est la logique qui détermine si l'objet de stratégie de groupe s'appliquant à un ordinateur ou à un utilisateur a changé.Le moteur Stratégie de groupe a une optimisation incorporée qui stipule que si rien n'a changé pour un ordinateur ou un utilisateur depuis le dernier traitement de la stratégie de groupe, aucun traitement ne survient.Ceci peut avoir évidemment un impact énorme sur la durée de traitement de la stratégie pour vos clients, surtout si votre environnement de Stratégie de groupe est assez statique.Regardons plus en détail ce que constitue une modification.

Quand une modification de la stratégie de groupe se produit
Donc, qu'est-ce qui constitue une modification en termes de traitement de la stratégie de groupe ?Il y a plusieurs facteurs mais le plus évident est que si vous changez à un objet de stratégie de groupe, les clients qui le traitent détecteront la modification et retraiteront cet objet de stratégie de groupe.Comment un client sait-il qu'un objet de stratégie de groupe a changé ?Il se base sur les numéros de version de l'objet de stratégie de groupe et dans le client pour le déterminer.
Un objet de stratégie de groupe est composé de deux parties : GPC enregistré dans Active Directory sous le conteneur CN = Stratégies, CN = Système dans chaque domaine, et le GPT enregistré dans SYSVOL sous le dossier des stratégies.Chaque partie de l'objet de stratégie de groupe contient un numéro de version.Pour le GPC, ce numéro de version est enregistré dans l'attribut versionNumber sur l'objet de GPC.Pour le GPT, il a enregistré dans le fichier gpt.ini à la racine d'un GPT donné.Le client garde également un enregistrement des numéros de version des objets de stratégie de groupe qu'il a traités (par ordinateur et par utilisateur) dans son registre.Cette information de version est conservée sous HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\History pour l'ordinateur et HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\<SID of User> pour l'utilisateur sur chaque client.
Lorsque le traitement de la stratégie de groupe s'exécute, une des parties de l'opération consiste à examiner les numéros de version de tous les objets de stratégie de groupe en vigueur pour l'ordinateur ou l'utilisateur et à les comparer ceux traités au cours du dernier cycle, tels qu'ils sont dans le registre.Si des numéros de version des objets de stratégie de groupe actuels sont différents (notez qu'il suffit qu'ils soient différents, ils pourraient être plus grands ou plus petits !), ces objets de stratégie de groupe seront traités pendant le cycle de traitement courant.Si non, ils ne sont pas traités à moins qu'une des autres conditions de modification ne soit vraie.Ces autres conditions de modification sont les suivantes :
  • une modification dans la liste d'objets de stratégie de groupe qui s'applique à un utilisateur ou à un ordinateur (ajout ou suppression d'un objet de stratégie de groupe) ;
  • une modification dans l'appartenance au groupe de sécurité d'un utilisateur ou d'un ordinateur ;
  • une modification dans un filtre WMI lié à un objet de stratégie de groupe (ajout ou suppression d'un filtre WMI).
Si l'une de ces conditions de changement est remplie, le client retraitera la stratégie pendant ce cycle.Mais ce processus comprend des subtilités que vous devez connaître, car elles peuvent avoir un impact significatif sur les performances.Pour un CSE donné, si 1 objet de stratégie de groupe sur 10 change, tous les objets de stratégie de groupe doivent être traités pour ce CSE.N'oubliez pas que le traitement se produit sur une base par CSE.Cependant, les CSE doivent traiter la stratégie dans l'ordre de priorité qui régit le traitement (objets de stratégie de groupe locaux en premier, puis objets de stratégie de groupe liés au site, puis objets de stratégie de groupe liés au domaine, puis objets de stratégie de groupe liés aux unités d'organisation).Sachant cela, imaginons qu'un utilisateur a 10 objets de stratégie de groupe qui s'appliquent, chacun étant lié à des niveaux différents de la hiérarchie Active Directory.Et disons que chacun de ces 10 objets de stratégie de groupe implémente certains paramètres de stratégie Modèle d'administration.Maintenant, un administrateur passe et modifie un objet de stratégie de groupe lié au domaine en ajoutant un nouveau paramètre de stratégie de modèle d'administration.Ensuite l'ordinateur ou l'utilisateur traite la stratégie et remarque que le numéro de version de cet objet de stratégie de groupe modifié est plus grand que lors du dernier traitement, l'objet de stratégie de groupe doit donc être traité de nouveau.Mais afin de maintenir l'ordre de priorité de traitement de Stratégie de groupe, il doit traiter les paramètres de tout le modèle d'administration qui s'appliquent à tous objets de stratégie de groupe.Donc une simple modification à un objet de stratégie de groupe peut avoir un impact potentiellement significatif sur les performances pour ce client.

Comparaison entre GPO monolithiques et GPO fonctionnels
Maintenant que nous avons étudié le cycle de traitement et comment les modifications apportées à votre environnement de Stratégie de groupe influence votre traitement, revenons à notre discussion sur les GPO monolithiques et fonctionnels et la façon dont chaque approche affecte les performances.
Les objets de stratégie de groupe monolithiques peuvent présenter des problèmes de performances masqués en raison du mode de fonctionnement du contrôle des versions de la stratégie de groupe.Les raisons n'en sont pas tout à fait évidentes, mais cela a voir avec le fait qu'il n'y a pas de concept de contrôle de versions par CSE dans le traitement de la stratégie de groupe.Supposons que trois objets de stratégie de groupe soient appliqués à un utilisateur.Chaque objet de stratégie de groupe est monolithique, en ce qu'il implémente plusieurs zones de stratégie.Par exemple, supposons que chaque objet de stratégie de groupe implémente la stratégie de modèle d'administration, la stratégie d'installation de logiciel et la stratégie de redirection de dossiers.Disons maintenant qu'un administrateur modifie la stratégie de modèle d'administration dans l'un de ces objets de stratégie de groupe.Son numéro de version est augmenté par cette modification.Ensuite l'utilisateur arrive et traite la stratégie de groupe.Le CSE Modèle d'administration démarre et voit qu'un des objets de stratégie de groupe a changé, donc il traite ces trois objets de stratégie de groupe une nouvelle fois.
Lorsque les CSE Installation de logiciel et Redirection de dossiers s'exécutent, ils regardent également les numéros de version de l'objet de stratégie de groupe et remarquent le nouveau numéro de version sur un des GPO.Mais parce que ce numéro de version ne leur dit pas quelle zone de stratégie a été modifiée dans quel objet de stratégie de groupe, ils continuent et traitent encore les trois objets de stratégie de groupe, au cas où.Le résultat est que, dans une mise en œuvre de GPO monolithique, modifier une zone de stratégie peut causer une activité de traitement dans une autre zone.
C'est vrai, dans le cas d'une stratégie d'installation de logiciel ou de redirection de dossiers, il est possible que ces CSE n'exécutent en réalité pas d'autre tâche parce que, par exemple, si une application a déjà été installée, elle ne le sera pas de nouveau.Mais l'important est que ce comportement peut se produire avec n'importe quel CSE et devrait être pris en compte lorsque vous concevez des GPO monolithiques.Si vous avez une zone de stratégie qui change fréquemment, vous pouvez envisager de conserver les GPO implémentant cette zone de stratégie séparés des autres zones de stratégie.
Du point de vue des GPO fonctionnel, les considérations de performances sont plus évidentes.Si vous avez plus d'objets de stratégie de groupe par utilisateur ou par ordinateur (parce que l'approche fonctionnelle implique généralement plus de GPO pour un ensemble donné de paramètres de stratégie), cela signifie que le moteur Stratégie de groupe doit passer plus de temps pour énumérer ces objets de stratégie de groupe pendant la phase fondamentale de traitement de la stratégie de groupe.Cependant, comme nous le verrons dans la section suivante, ceci peut ne pas nécessairement impacter les performances de façon significative.

Mesure des performances de Stratégie de groupe
Finalement, pour prendre de bonnes décisions sur les performances de votre infrastructure de Stratégie de groupe, vous avez besoin de pouvoir mesurer comment la Stratégie de groupe s'exécute dans votre environnement réel.Il est presque impossible de déterminer ou de prévoir les performances de Stratégie de groupe, étant donné le nombre de facteurs qui peuvent influer un cycle de traitement donné.Pour cette raison, une mesure empirique est votre meilleur atout pour déterminer si les performances du traitement de Stratégie de groupe sont un problème.Qu'est-ce qui constitue de mauvaises performances ?Et bien, les mauvaises performances sont n'importe quelle situation où un traitement de la stratégie de groupe affecte l'expérience de vos utilisateurs sur leurs systèmes.Ce peut être différent pour chaque organisation, mais l'essentiel est de savoir que vous avez un problème.
Alors comment mesurer la durée d'un cycle de traitement de Stratégie de groupe donné ?Et bien, une fois encore, la réponse n'est pas simple.Si vous exécutez Windows Vista ou Windows Server 2008, vous pouvez profiter des nouveaux journaux des opérations de l'Observateur d'événements.Le journal des opérations de la stratégie de groupe dans l'Observateur d'événements, situé sous Journaux des applications et des services\Microsoft\Windows\Stratégie de groupe\Opérationnel, fournit une instrumentation excellente sur chaque étape du cycle de traitement de la stratégie de groupe, y compris le temps passé pendant chaque phase de traitement (voir la Figure 2).
Figure 2 Événement de journal des opérations de la Stratégie de groupe indiquant le temps de traitement de la stratégie
Figure 2 Événement de journal des opérations de la Stratégie de groupe indiquant le temps de traitement de la stratégie
Cependant, si vous ne travaillez pas dans un environnement Windows Vista ou Windows Server 2008, les mécanismes de mesure des durées de traitement de stratégie sont moins directs.Dans ce cas, vos choix sont d'activer la journalisation détaillée de userenv (voir l'article du support de Microsoft à l'adresse support.microsoft.com/kb/221833) et d'afficher les horodateurs dans ce fichier pour un cycle de traitement donné, ou d'utiliser les valeurs contenues dans le registre sur le client qui indique les heures de démarrage et d'arrêt pour le traitement de stratégie.Ces valeurs sont enregistrées dans ce qui suit pour l'ordinateur
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\Machine\Extension-List\
{00000000-0000-0000-0000-000000000000}
et ici pour l'utilisateur :
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\<SID of User>\Extension-List\
{00000000-0000-0000-0000-000000000000}
Les valeurs sont enregistrées au format FILETIME et doivent être converties en une date et une heure normales.Vous pouvez utiliser également l'utilitaire gratuit GPTime.exe que j'ai écrit (disponible à gpoguy.com/tools.htm#GP_Time_Utility) pour obtenir la même information.
Si vous ne travaillez pas dans un environnement Windows Vista ou Windows Server 2008, mais que vous avez accès à un journal userenv, vous pouvez toujours obtenir des informations utiles sur la durée de chaque cycle de traitement de stratégie.Par exemple, la figure 3 montre un extrait du journal userenv affichant la partie de la phase fondamentale de traitement de Stratégie de groupe.
Figure 3 Une portion du journal userenv
Figure 3 Une portion du journal userenv
Remarquez que chaque ligne du fichier journal inclut un horodateur.La partie fondamentale du cycle de traitement de Stratégie de groupe commence lorsque vous voyez un événement disant quelque chose comme « ProcessGPOs :Démarrage du traitement de la stratégie de groupe d'utilisateurs (en arrière-plan)... .»La partie CSE du cycle de traitement commence lorsque vous voyez la ligne « ProcessGPOs :traitement du Registre d'extension. »Vous pouvez utiliser ce journal et ses horodateurs pour déterminer la durée de chaque partie d'un cycle de stratégie.

Observations générales sur les performances
Lorsque vous aurez passé assez de temps à regarder les fichiers journaux userenv, vous commencerez à voir des modèles émerger, et bien que vous ne puissiez pas prédire combien de temps prendra le traitement de la stratégie, vous pouvez commencer à faire certaines observations générales sur les zones où le temps est dépensé dans un cycle de traitement donné.Par exemple, pendant un événement de traitement de stratégie, lorsque les modifications de stratégie sont traitées et que les CSE doivent agir à cause d'une modification, le temps passé dans la partie fondamentale de traitement de Stratégie de groupe est généralement beaucoup plus court comparé à la partie CSE.
Ceci est vrai pour la plupart des zones de stratégie parce que la plupart des CSE doivent effectuer des tâches qui s'exécutent plus longtemps que la portion fondamentale de leur traitement, dont les opérations les plus lourdes interrogent Active Directory et SYSVOL.Par exemple, il n'y a pas de comparaison entre le temps passé au traitement fondamental et le CSE Installation de logiciel exécutant une installation de Microsoft® Office.Cependant, pour une actualisation en arrière-plan normale de stratégie où rien n'a changé depuis le dernier cycle, la partie fondamentale du cycle de traitement prend à peu près le même temps que la portion CSE.L'exception est le traitement de stratégie de registre, qui est en fait assez rapide, à moins que vous ayez des dizaines ou des centaines de paramètres de stratégie de registre en place pour un utilisateur ou un ordinateur donné.
En outre, désactiver le côté ordinateur ou utilisateur d'un objet de stratégie de groupe parce qu'il est inutilisé a peu d'effet sur les performances de traitement de stratégie.Si un côté de stratégie est inutilisé, la seule surcharge sera dans l'interrogation d'Active Directory pour déterminer cela, et la même requête doit être exécutée pour afficher l'option de désactivation comme celle qui s'exécute pour déterminer si des CSE ont été implémentés pour ce côté de l'objet de stratégie de groupe.L'effet de la désactivation d'un côté est négligeable.

Recommandations de conception pour des performances optimales de Stratégie de groupe
Maintenant que nous avons observés bon nombre des aspects des performances de traitement de Stratégie de groupe, certaines recommandations de conception qui peuvent avoir un impact direct sur les performances.Celles-ci sont résumées dans quatre points importants.
  1. Si vous modifiez fréquemment vos GPO, gardez présent à l'esprit l'effet mentionné précédemment : une modification d'un CSE peut influer sur le traitement de tous les CSE.Dans ce but, si vous avez l'intention d'apporter souvent des modifications à, par exemple, la stratégie de registre, il est plus logique pour vous de placer votre stratégie de registre dans des GPO fonctionnels (objets de stratégie de groupe réalisant seulement la stratégie de registre) car cela isolera les autres CSE du traitement lorsque les modifications surviendront.
  2. Lorsque vous vous demandez combien il faut de GPO pour en avoir trop, gardez à l'esprit que le traitement de stratégie se produit seulement pendant les modifications et que ce sont les CSE « lourds » comme l'Installation de logiciel, la Redirection de dossiers ou le traitement de nombreuses stratégies de registre ou autorisations de paramètres sur de vastes arborescences de fichiers ou de registre qui prennent le plus de temps.Le temps passé à interroger Active Directory pour obtenir la liste de GPO pendant le traitement fondamental est souvent la plus petite partie du cycle de traitement.Donc, le traitement de 30 objets de stratégie de groupe appliqués à un utilisateur donné mais qui apportent des modifications minimales de stratégie de registre et qui ne changent pas souvent peut prendre moins de temps que pour 5 objets de stratégie de groupe qui exécutent des CSE lourds régulièrement parce que ces objets de stratégie de groupe changent fréquemment.
  3. Évitez les comportements qui forcent des ralentissements évidents dans les performances de traitement de stratégie.Par exemple, vous pouvez déterminer la stratégie pour forcer le traitement de CSE même si aucun GPO n'a changé (sous Configuration ordinateur\Modèles d'administration\Système\Stratégie de groupe).Cependant, si vous faites ceci, attendez-vous à ce que le traitement de stratégie prenne plus longtemps à chaque cycle.
  4. Gardez à l'esprit les compromis dus à la désactivation de l'optimisation d'ouverture de session rapide dans Windows XP et Windows Vista (en activant la stratégie à la Configuration ordinateur\Modèles d'administration\Système\Ouverture de session\Toujours attendre le réseau lors du démarrage de l’ordinateur et de l’ouverture de session).Lorsque cette stratégie est activée, le traitement de premier plan passe d'asynchrone à synchrone.Ceci signifie que la stratégie d'ordinateur et d'utilisateur doit s'exécuter jusqu'à la fin avant que l'utilisateur n'obtienne le contrôle de l'ordinateur et du poste de travail.Cependant, ceci peut être également avantageux parce que cela contourne le problème de la nécessité de deux redémarrages ou ouvertures de session ou plus pour que la stratégie d'installation de logiciel et de redirection de dossiers prenne effet.

Conclusion
Bien que les performances de traitement de Stratégie de groupe ne soient pas une science exacte, vous pouvez apporter quelques éclaircissements à votre processus de conception et ainsi atténuer les problèmes de performances.
Comprendre le fonctionnement du cycle de traitement et à quoi le temps est consacré peut vous faire avancer vers le dépistage des problèmes de performances.Utilisez les journaux des opérations de Windows Vista ou Windows Server 2008 (ou les journaux userenv dans les versions précédentes de Windows) pour obtenir des informations rationalisées sur le cycle de traitement.Gardez présent à l'esprit les caprices du traitement de CSE et ce qui constitue une modification de stratégie d'un point de vue CSE.Et n'oubliez pas que, dans les environnements dynamiques avec beaucoup de modifications, les GPO fonctionnels peuvent être plus judicieux que des GPO monolithiques.Mais la base à connaître est que la Stratégie de groupe est une technologie conçue pour vous aider à mieux gérer votre environnement Windows.Il est très important que vos besoins d'entreprise orientent votre conception de Stratégie de groupe et non l'inverse.Gardez en tête que certains des comportements de performances abordés peuvent vous aider ici à atteindre cet objectif.

Darren Mar-Elia est MVP de Microsoft Group Policy, créateur du célèbre site sur la stratégie de groupe, www.gpoguy.com et coauteur de Microsoft Windows Group Policy Guide (Guide de stratégie de groupe Microsoft Windows) (en anglais) (Microsoft Press, 2005)Il est également Directeur technique et fondateur de SDM Software, Inc. Contactez-le à Darren@gpoguy.com.


 Strat&#233;gie de groupe: Plongeon dans la gestion de strat&#233;gie de groupe avanc&#233;e
Stratégie de groupe Derek Melber

Plongeon dans la gestion de stratégie de groupe avancée
Vue d'ensemble:
  • Installation et architecture AGPM
  • Modification hors connexion des GPO
  • Gestion des modifications avec AGPM
  • Récupération après incident

Microsoft vient d'acquérir DesktopStandard, l'entreprise qui a créé AGPM (Advanced Group Policy Management), un produit permettant la gestion complète des objets de stratégie de groupe.À mon avis, toute entreprise qui utilise Active Directory devrait également utiliser cet outil.
AGPM offre la modification hors connexion des objets de stratégie de groupe (GPO), la gestion des modifications, un flux de travail de stratégies de mise à jour, la délégation, et bien plus encore.Dans cet article, j'examinerai de près le fonctionnement de l'outil et vous donnerai une vue détaillée de ce produit unique extrêmement utile.
Commençons tout d'abord par quelques informations contextuelles.Au départ, AGPM était connu sous le nom de GPOVault.Après avoir acquis DesktopStandard, Microsoft l'a renommé AGPM et l'a ajouté au package MDOP (Microsoft® Desktop Optimization Pack).Á l'heure actuelle, vous ne pouvez obtenir MDOP que si vos licences de poste de travail Windows Vista® sont couvertes par Microsoft Software Assurance.
D'après ce que je connais des outils inclus, je pense que MDOP est de loin l'une des offres Microsoft les plus impressionnantes de ces dernières années.MDOP est proposé avec cinq outils différents, chacun impressionnant individuellement. Ensemble, ils constituent un jeu d'outils aussi remarquable que précieux.Pour plus d'informations sur MDOP, consultez le site Web de MDOP :windowsvista.com/optimizeddesktop.

Installation et architecture AGPM
L'installation d'AGPM a été conçue pour être très simple et légère : elle consiste en un composant serveur et un composant client (administratif).Le composant serveur doit être installé sur un serveur membre du domaine ; il ne modifie pas Active Directory®, le schéma ou aucun autre service d'annuaire.AGPM peut être installé sur un contrôleur de domaine si la situation l'exige.
L'installation serveur installe un service nécessitant un compte de service basé sur le domaine à partir duquel AGPM accède aux objets de stratégie de groupe de production actifs pour le compte de l'utilisateur.L'installation nécessite également un administrateur AGPM qui contrôlera tous les paramètres au sein d'AGPM, tels que la délégation et la gestion GPO initiale.
Le client doit être installé sur un ordinateur exécutant Windows Vista sur lequel les fonctions administratives normales ont déjà lieu, probablement sur le poste de travail des administrateurs du réseau et d'Active Directory.Il suffit à présent au client de pointer les paramètres AGPM sur le serveur AGPM et la connexion à l'archive est établie.Le client AGPM utilise l'interface de la Console de gestion des stratégies de groupe (GPMC) et s'affiche en tant que nœud Contrôle des modifications, comme illustré à la figure 1.
Figure 1 AGPM est entièrement intégré à la console GPMC pour une plus grande facilité d'utilisation
Figure 1 AGPM est entièrement intégré à la console GPMC pour une plus grande facilité d'utilisation
Les fichiers auxquels le client AGPM accédera sont stockés dans un format de fichier de base sur le serveur AGPM.Il s'agit de la méthode la plus simple pour stocker ces fichiers, et elle permet également de sauvegarder la totalité de l'archive AGPM.La plupart des fonctions AGPM utilisent les API de GPMC, ce qui permet là aussi une intégration et une utilisation transparentes du produit.AGPM n'utilise pas de base de données ; il stocke les GPO dans un dossier unique et un manifeste contrôle la corrélation de tous les GPO avec le GPO parent dans l'archive.Ainsi, tous les GPO disposent d'un GUID unique, mais lorsqu'un GPO est mis en production, le bon GUID lui est associé au déploiement.

Modification hors connexion d'AGPM
La fonctionnalité la plus la plus simple d'AGPM est celle qui permet de modifier les GPO hors connexion, loin de l'environnement de production.Tout le monde sait que la modification des GPO à l'aide de la console GPMC par défaut peut pousser des paramètres errants immédiatement dans l'environnement de production, ce qui risque d'entraîner des résultats désastreux.
APGM gère la modification des GPO hors connexion en les « contrôlant ».Un GPO contrôlé, comme illustré à la figure 2, est un GPO qui peut être modifié hors connexion sans causer d'intrusion dans l'environnement de production.
Figure 2 Les GPO contrôlés sont stockés dans l'archive AGPM et peuvent être modifiés hors connexion
Figure 2 Les GPO contrôlés sont stockés dans l'archive AGPM et peuvent être modifiés hors connexion
Le contrôle d'un GPO est très simple.Les GPO non contrôlés, comme illustré à la figure 3, énumèrent tous les GPO qui ne sont pas encore associés à l'archive AGPM.Si vous cliquez avec le bouton droit sur un GPO, un menu comprenant l'option Contrôle apparaît.Si vous sélectionnez cette option, vous copiez le GPO à partir de l'emplacement de production (le volume système ou SYSVOL, partage sur le contrôleur de domaine) et vous le placez dans l'archive AGPM.Vous pouvez contrôler plusieurs GPO ; il vous suffit de maintenir la touche Maj ou Ctrl enfoncée lorsque vous sélectionnez les GPO pour obtenir la liste des GPO que vous souhaitez contrôler, et de cliquer ensuite avec le bouton droit pour accéder à l'option de menu Contrôle.Vous continuez de modifier les GPO contrôlés à l'aide de l’Éditeur d'objets de stratégie de groupe (GPOE).Il s'agit là tout simplement d'une autre façon dont AGPM a été entièrement intégré à la console GPMC.
Figure 3 Les GPO non contrôlés sont placés dans l'archive en sélectionnant l'option de menu Contrôle
Figure 3 Les GPO non contrôlés sont placés dans l'archive en sélectionnant l'option de menu Contrôle

Délégation d'Administration AGPM
Voyons comment AGPM traite la délégation en examinant tout d'abord la façon dont vous pouvez déléguer l'administration GPO à l'aide de la console GPMC.La console GPMC comporte cinq tâches de délégation différentes que vous pouvez attribuer à un utilisateur :Créer un GPO, Lier un GPO, Modifier un GPO, Gérer un GPO et Lire un GPO.
Ces délégations sont toutes complétées dans l'interface GPMC.Elles sont toutes contrôlées par les utilisateurs et groupes figurants sur les onglets Délégation associés aux différents nœuds de la console GPMC.Les délégations qui nous intéressent sont celles qui permettent de créer de nouveaux GPO et de modifier et gérer les GPO existants.
La création de GPO dans la console GPMC est contrôlée par l'onglet Délégation associé au nœud Objets de stratégie de groupe, comme illustré à la figure 4.Une fois AGPM installé, vous pourrez supprimer tous les utilisateurs et groupes de la liste de ceux qui y ont accès pour créer des GPO.(Il n'est pas nécessaire de supprimer le système, les ordinateurs ou les groupes d'ordinateurs de l'onglet Délégation pour créer des GPO).La création de GPO sera maintenant gérée par le compte de service contrôlant le service AGPM.Ce compte sera autorisé à créer des GPO au profit de tous les utilisateurs et groupes qui bénéficient des délégations Création de GPO et Déploiement dans AGPM.
Figure 4 La création de GPO est contrôlée par la liste de comptes sur l'onglet Délégation du nœud Objets de stratégie de groupe de la console GPMC
Figure 4 La création de GPO est contrôlée par la liste de comptes sur l'onglet Délégation du nœud Objets de stratégie de groupe de la console GPMC
Cette nouvelle capacité de création de GPO vous permet de séparer les tâches et de protéger le réseau de production.Dans l'idéal, les GPO sont créés, configurés et vérifiés avant d'être déployés dans l'environnement de production à partir de l'environnement AGPM.Les configurations errantes ne devraient ainsi pas être transférées comme elles le sont de nos jours sans AGPM.
Le scénario est le même pour la délégation liée à la modification ou gestion des GPO.Au sein de la console GPMC, ces délégations sont configurées sur l'onglet Délégation associé à chaque GPO, comme illustré à la figure 5.
Figure 5 La modification et la gestion des GPO sont associées à chaque GPO de façon individuelle
Figure 5 La modification et la gestion des GPO sont associées à chaque GPO de façon individuelle
Une fois AGPM installé, ces délégations doivent être supprimées de chaque GPO figurant sous le nœud Objets de stratégie de groupe.Vous empêcherez ainsi les administrateurs de modifier les GPO en dehors d'AGPM.En deux mots, cette opération a pour effet de diriger toute l'administration des GPO vers AGPM, où des tâches telles que les modifications hors connexion, la gestion des modifications et la récupération après incident peuvent être effectuées.
L'opération visant à empêcher les utilisateurs et des groupes de modifier les GPO en dehors d'AGPM est un processus manuel.L'installation et la configuration d'AGPM n'empêchent pas un utilisateur ou groupe de modifier les GPO dans l'environnement de production.Dans la mesure où le compte de service contrôlant le service AGPM effectuera ces tâches au profit des utilisateurs qui modifient les GPO de production depuis AGPM, il n'est pas nécessaire que des utilisateurs ou groupes d'utilisateurs figurent sur l'onglet Délégation de chaque GPO.(L'ordinateur et les groupes d'ordinateurs ne doivent pas être supprimés de ces onglets de délégation.)
Une fois toutes les délégations liées à la modification d'un GPO dans GPMC supprimées, les administrateurs ne pourront plus modifier un GPO à partir de la console GPMC, comme illustré à la figure 6.
Figure 6 Les administrations ne peuvent pas modifier les GPO depuis la console GPMC une fois qu'ils ne disposent plus de la délégation pour cette action.
Figure 6 Les administrations ne peuvent pas modifier les GPO depuis la console GPMC une fois qu'ils ne disposent plus de la délégation pour cette action.
Pour finaliser la configuration, les administrateurs qui ont besoin de modifier des GPO doivent être ajoutés aux Listes de contrôle d'accès appropriées dans AGPM.Si un administrateur a besoin de modifier tous les GPO qui se trouvent dans l'archive, son compte utilisateur doit être ajouté à un groupe disposant du droit de modification au niveau du domaine dans AGPM, comme illustré à la figure 7.Dans le cas où un administrateur doit être limité à la modification de quelques GPO seulement dans l'archive AGPM, cette configuration doit avoir lieu au niveau de chaque GPO (voir la figure 8).
Figure 7 L'onglet Délégation de domaine permet de configurer la modification de tous les GPO de l'archive
Figure 7 L'onglet Délégation de domaine permet de configurer la modification de tous les GPO de l'archive
Figure 8 La modification d'un GPO individuels doit être configurée dans la Liste de contrôle d'accès de ce GPO
Figure 8 La modification d'un GPO individuels doit être configurée dans la Liste de contrôle d'accès de ce GPO

Gestion des modifications de GPO d'AGPM
L'un des avantages formidables d'AGPM réside dans sa capacité à effectuer le suivi de toutes les modifications qui sont apportées aux GPO dans l'archive.Comme ce processus est automatisé, il n'a pas besoin d'être installé, configuré ou géré.Le suivi de toutes les modifications a lieu en arrière-plan lorsque les GPO sont gérés par l'interface du client AGPM.
Il s'agit d'une amélioration extrêmement importante de la façon dont la console GPMC par défaut traite la gestion des GPO.Dans la console GPMC par défaut, il n'existe pas de fonctionnalité, automatisée ou intégrée, permettant d'effectuer le suivi des modifications de GPO.Les administrateurs de la stratégie de groupe ont souvent regretté cette lacune. Ce problème a maintenant été résolu.
La fonctionnalité de gestion des modifications d'AGPM effectue le suivi de toutes les modifications essentielles qui pourraient être apportées à un GPO.Outre les modifications apportées au GPO, le système de gestion des modifications sera également utile dans des situations d'audit ou de vérification administrative.Le système de gestion des modifications contrôle, suit et décrit les détails suivants pour chaque GPO modifié :date et heure de modification du GPO, utilisateur ayant effectué les modifications, paramètres du GPO d'origine et modifications des paramètres du GPO.
Puisque le suivi de toutes les modifications est transparent, il est important de savoir quelles actions déclenchent le suivi automatisé.Dans l'interface du client AGPM, vous pouvez cliquer avec le bouton droit sur un GPO sous l'onglet Contrôlé, puis sélectionner l'option de menu Extraire, comme illustré à la figure 9.
Figure 9 L'extraction d'un GPO déclenche le processus automatisé servant à effectuer le suivi des modifications
Figure 9 L'extraction d'un GPO déclenche le processus automatisé servant à effectuer le suivi des modifications
Vous devez suivre cette procédure pour modifier le GPO, chose que j'aborderai dans la section suivante.Même si un GPO est extrait puis réintégré sans avoir subi de modifications, une archive de cette action sera créée.Vu que les GPO sont intégrés à l'entreprise, l'outil effectue le suivi de l'éventualité même d'une modification.
La procédure d'extraction est forcée dans AGPM parce qu'il doit y avoir un mécanisme qui fait remonter les modifications des GPO à l'administrateur spécifique qui les a effectuées.Deux administrateurs ne peuvent pas extraire un même GPO en même temps.Si un administrateur extrait le GPO et ne le réintègre pas par la suite, un mécanisme incorporé permet à l'administrateur AGPM à le remettre en place.

Modification de GPO d'AGPM
Tant que le client AGPM est installé, vous pouvez accéder à l'archive AGPM.Une fois la délégation de modification ou le Contrôle total accordé au sein de l'outil AGPM, vous pourrez modifier les GPO stockés.Une fois un GPO extrait, vous pouvez le modifier en cliquant dessus avec le bouton droit et en sélectionnant l'option de menu Modifier.Remarque :Si vous ne pouvez modifier que certains GPO dans l'archive AGPM, il est possible que vous n'ayez obtenu des fonctions déléguées que sur certains GPO et non sur tous les GPO de l'archive).
Avec DesktopStandard, Microsoft a également acquis PolicyMaker, désormais appelé Préférences de stratégie de groupe.Cette série de fonctionnalités de stratégie de groupe sera incluse dans la console GPMC qui accompagnera Windows Server® 2008. Les Préférences de stratégie de groupe permettent à l'administrateur de configurer des applications ou des composants Windows qui ne peuvent pas être configurés par le biais de la Stratégie de groupe et de les appliquer à certains utilisateurs ou ordinateurs conformément à un jeu extrêmement riche de règles de ciblage.Les Préférences de Stratégie de groupe sont entièrement intégrées à GPMC et AGPM dans Windows Server 2008.

Déploiement de GPO d'AGPM
AGPM a été conçu avec l'efficacité et le flux de travail à l'esprit.Étant donné que la gestion de GPO est désormais plus stable et mieux contrôlée avec AGPM, il est judicieux d'avoir des administrateurs qui peuvent modifier un GPO mais n'ont pas l'autorisation de le déployer dans l'environnement de production.Dans AGPM, cette opération est contrôlée de façon très efficace avec l'interface, les boîtes de dialogue et les mécanismes de travail.Par exemple, si un administrateur disposant de droits de modification uniquement essaie de déployer un GPO, il sera bloqué par le système.L'administrateur verra ensuite s'afficher une boîte de dialogue lui permettant de communiquer avec un administrateur qui a lui le droit d'effectuer des déploiements.Cette fonctionnalité de flux de travail enverra un message électronique aux destinataires Á :et CC :et placera le GPO dans un état unique.Cet état unique se trouve sous l'onglet En attente, dans l'interface AGPM.Le GPO est indiqué comme étant « En attente de déploiement », ce qui donne aux administrateurs une vue d'ensemble rapide de l'état de chaque GPO ayant subi des modifications.
Pour déployer un GPO en attente, un administrateur AGPM possédant l'autorisation de déploiement peut tout simplement cliquer avec le bouton droit sur le GPO et sélectionner l'option Approuver.Si le GPO doit être déployé et figure dans l'onglet Contrôlé plutôt que l'onglet En attente, l'administrateur en question n'a plus qu'à cliquer avec le bouton droit sur le GPO et sélectionner Déployer.Puisque cette autorisation déléguée est déjà accordée, le GPO sera déployé immédiatement dans l'environnement de production.

Rapport et comparaisons des paramètres GPO d'AGPM
L'interface de la console GPMC comprend une boîte de dialogue Paramètres extrêmement riche à laquelle vous pouvez accéder par le biais d'un onglet du même nom.Cette boîte de dialogue offre une vue complète de tous les paramètres qui ont été configurés dans le GPO, et vous aide ainsi à les retrouver aisément parmi les quelques 3 000 paramètres de stratégie de groupe existants.
Puisque AGPM fournit une archive des GPO modifiés, l'onglet Paramètres de la console GPMC ne vous permettra pas de voir les paramètres qui ont été configurés dans les GPO modifiés.Au lieu de cela, l'interface AGPM propose une solution alternative ainsi que de nombreuses autres fonctionnalités.
Pour voir les paramètres d'un GPO, il est conseillé de consulter la liste historique de toutes les modifications en premier lieu.Pour accéder à cette liste, double-cliquez sur n'importe quel GPO dans l'onglet Contrôlé d'AGPM.Depuis cette interface, vous pouvez cliquer avec le bouton droit sur n'importe quelle version de GPO et sélectionner Rapport sur les paramètres.Vous créez ainsi un rapport sur tous les paramètres qui sont configurés dans cette version du GPO.Le rapport est un fichier HTML convivial qui peut également être créé au format XML.
Cette fonctionnalité est certes très pratique, mais la possibilité de comparer deux versions du même GPO est encore plus pratique.Grâce à cette fonctionnalité, vous pouvez voir ce qui a changé d'une version à l'autre ou comparer deux versions complètement différentes de même GPO.(Cette fonctionnalité est également très utile dans le cas d'un GPO en attente de déploiement puisqu'elle vous permet de voir les différences entre le GPO en attente et le GPO de production).Pour voir ce rapport, vous devez mettre en surbrillance deux GPO différents dans la vue de l’historique et cliquer ensuite avec le bouton droit sur l'un d'eux.
Les couleurs employées dans le rapport sur les différences sont extrêmement utiles, surtout lorsque vous voulez vérifier ce qui a changé dans un GPO en attente avant de le déployer.Les paramètres mis en surbrillance en rouge ont été supprimés du GPO de production et ne sont plus disponibles dans le GPO en attente.Les paramètres bleus ont été modifiés et les paramètres verts représentent les nouvelles modifications qui existent dans le GPO en attente mais pas dans le GPO de production.
Cette fonctionnalité d'AGPM peut vous éviter de passer d'innombrables heures à comparer manuellement des paramètres de GPO.Elle représente également une façon idéale de documenter progressivement les GPO, chaque version pouvant être répertoriée et imprimée.

Récupération après incident de GPO d'AGPM
Une seule modification apportée à un GPO peut créer des ravages sur un ou plusieurs ordinateurs de votre réseau.Avec la console GPMC par défaut, ce type de configuration errante peut être corrigé si les bonnes mesures manuelles ont été prises pour effectuer des copies de sauvegarde du GPO avant et après que les modifications ont été effectuées sur le GPO de production.Si aucune sauvegarde n'a été faite, l'opération de récupération après incident ne sera pas de tout repos.
AGPM vous permet d'effectuer cette opération en toute facilité.Puisqu'il existe des sauvegardes complètes de tous les GPO dans l'historique des GPO, vous pouvez ouvrir l'historique du GPO en question et sélectionner la version du GPO que vous souhaitez redéployer.
Avec AGPM, votre gestion de stratégie de groupe devient une opération tout à fait transparente.Pendant des années, les administrateurs ont souhaité avoir la possibilité de contrôler et de gérer les GPO hors connexion.AGPM leur offre désormais cette possibilité avec grâce et élégance.AGPM fournit également une solution de gestion des modifications très robuste qui non seulement suit les éléments clés d'un GPO modifié, mais propose également des options de comparaison et de récupération de GPO très conviviales.Le modèle de délégation intégré à AGPM vous permet de diriger tous les administrateurs vers AGPM pour toutes les modifications de GPO, ce qui garantit des sauvegardes automatisées de ces modifications et évite tout accident avec les GPO de production.Ce service comporte tellement de fonctionnalités qu'il est impossible de les aborder toutes dans cet article, mais le manuel d'AGMP vous propose de nombreuses informations sur les modèles, la récupération de liens/nœuds, la configuration SMTP, et bien plus encore.

Derek Melber est consultant, formateur et auteur indépendant.Il enseigne et promeut la technologie Microsoft, se concentrant en particulier sur Active Directory, la stratégie de groupe, la sécurité et la gestion des postes de travail.Derek contribue régulièrement à des publications en ligne et imprimées, et a publié plus de 10 livres informatiques, notamment Microsoft Windows Group Policy Guide (Microsoft Press, 2005).Vous pouvez le contacter à l'adresse derekm@braincore.net.


 Le mot du r&#233;dacteur en chef: Un cynique convaincu
Le mot du rédacteur en chef
Un cynique convaincu
Joshua Hoffman

Je suis cynique. Oui, c'est vrai.Je sais que nous les New-yorkais sommes généralement connus pour notre nature confiante et notre humble crédulité, mais de temps à autre, une âme blasée passe par le Lincoln Tunnel et ravage tout.Étant cynique, j'ai tendance à tout remettre en question.Je peux être extrêmement difficile à convaincre.
Cela ne plaira peut-être pas à mes collègues de Redmond, mais j'étais un peu sceptique lorsque Microsoft a introduit la marque System Center il y a quelques années.Ne vous y trompez pas : je suis un partisan de SMS convaincu, un pur et dur.Lorsque j'exerçais en tant que spécialiste du déploiement et de la gestion d'ordinateurs de bureau dans une ancienne vie, Systems Management Server (après la v2.0 en tout cas) était une arme incontournable de mon arsenal.Mais à mesure que la marque System Center évoluait et que la gamme de produits grandissait, ma tendance naturelle à la remise en question a refait surface.
Était-ce vraiment nécessaire ?System Center serait-il vraiment bénéfique pour le client au bout du compte ?La diversification de la gamme de produits aurait-elle un impact négatif sur les produits de gestion phares que nous avons tous appris à connaître et à apprécier ?
Je dois admettre, toutefois, que malgré mon préjugé initial, System Center m'a convaincu.SMS et MOM (maintenant appelés Configuration Manager et Operations Manager) ont évolué en produits de gestion de niveau international, ajoutant de nouvelles fonctionnalités puissantes (voire étonnantes) à chaque version.Et non seulement leur valeur n'a pas été affectée par l'ajout de nouveaux produits, mais elle a en fait été considérablement accrue.
Au cours des derniers mois, nous avons exploré les nouveaux produits Configuration Manager et Operations Manager, ainsi que certains des autres premiers modules complémentaires de la gamme System Center (tels que Capacity Planner, Desired Configuration Monitor et Essentials).Comme vous allez le voir, ce mois-ci, nous plongeons dans certains nouveaux ajouts très puissants.
Edwin Yuen commence notre exploration en vous expliquant comment Virtual Machine Manager 2007 non seulement permet de centraliser la gestion de votre infrastructure virtualisée mais aussi comment il peut vous aider à abattre certaines de ces satanées barrières de migration, ce qui vous permet de consolider le matériel hérité dans les nouveaux ordinateurs virtuels.Calvin Keaton sera notre guide dans la nouvelle version de Data Protection Manager, qui offre des solutions de sauvegarde puissantes basées sur disque non seulement pour les données d'utilisateurs standard (comme les documents) mais également les données d'entreprise, telles que les informations critiques stockées dans Exchange Server.Enfin, Paul Bourgeau présente la première solution hébergée de System Center : le Service d’inventaire des actifs.
Faites-moi savoir ce que vous pensez des nouveaux ajouts à la gamme System Center.Envoyez-moi un message électronique à tnmag@microsoft.com. —Joshua Hoffman

Remerciements aux experts techniques Microsoft suivants : Karandeep Anand, Joseph Dadzie, Ray Hayes, KC Lemson, Bill Scheidel, Jeffrey Snover, Mike Stephens, Kevin Sullivan, Jim Truher et Winni Verhoef.


 Lettres: Les lecteurs ont la parole
Lettres
Les lecteurs ont la parole

Problèmes liés à VMRCplus
J'ai téléchargé VMRCplus, comme décrit dans la rubrique Coup de projecteur sur les utilitaires d'octobre 2007, (technetmagazine.com/issues/2007/10/UtilitySpotlight)Mais lorsque j'essaie de me connecter à un ordinateur distant, j'obtiens des erreurs RPC.Puisque l'interface d'administration du serveur virtuel est basée sur le Web, j'ai supposé que cette application utiliserait également l'interface Web et ajouterait tout simplement un environnement client plus riche à la technologie Web existante.Hélas, elle utilise l'API COM.
—Via blogs.technet.com/tnmag.

VMRCPlus utilise en fait le même chemin réseau que le client de contrôle à distance VMRC fourni avec Virtual Server (qui est une vraie application cliente, et non pas une interface Web).Cela signifie que vous devez avoir accès aux ports suivants :
  • Port 5900, qui est le port par défaut pour le serveur VMRC
  • Port 1024, qui est le port par défaut pour le site Web d'administration
  • Ports 137 et 138, TCP et ports UDP (User Datagram Protocol), pour l'autorité d'attribution de tickets Kerberos V5.
  • Port 135, qui est utilisé pour l’Endpoint Mapper RPC
Pour plus d'informations, consultez l'article à l'adresse microsoft.com/technet/prodtechnol/virtualserver/2005/proddocs/vs_operate_using_VMRC_manageVMs.mspx.

Utilisation de Windows PE
J'ai lu votre article intitulé « Prise en main de Windows PE » (septembre 2006, technetmagazine.com/issues/2006/09/WindowsPE).J'essaie d'installer Windows® PE dans un environnement de postes de travail VMWare avec prise en charge réseau, mais Windows PE n'arrive pas à accéder au réseau à l'aide du pilote de carte réseau.Je démarre à partir de VMWare avec le fichier ISO de l'image Windows PE.Une console de commande apparaît au démarrage, mais lorsque je tape ipconfig, l'adresse IP n'est pas affichée.Le programme ne peut pas non plus résoudre une adresse à partir de mon serveur DHCP.
—John C.

Le problème réside dans le fait que la carte réseau installée par défaut par VMware n'est pas prise en charge par Windows Vista® (qui constitue la base pour Windows PE 2.0).La solution consiste à spécifier un autre type de carte réseau dans le fichier de configuration d'ordinateur virtuel (fichier VMX), comme suit :
ethernet0.virtualDev = "e1000"
Vous devez faire cela manuellement en modifiant le fichier VMX dans un éditeur de texte tel que le Bloc-notes. Vous ne pouvez pas le modifier à l'aide d'une interface graphique.Vous remplacez ainsi la carte réseau virtualisée intégrée par la carte réseau Intel d'1 Go prises en charge par Windows Vista.Le plus important, c'est qu'en la remplaçant par cette valeur, vous n'avez pas à ajouter de pilotes réseau.

Optimisation des performances des requêtes dans SQL Server
Dans l'article « Optimisation des performances des requêtes SQL Server » (novembre 2007, technetmagazine.com/issues/2007/11/SQLQuery), l'auteur a donné un exemple SQL Server™ 2005 servant à trouver les 20 requêtes les plus coûteuses qui sont exécutées.Toutefois, il ne s'exécute pas dans SQL Server 2000. Pouvez-vous me donner un exemple qui fonctionne avec cette version ?
—Arun N.

Malheureusement, il n'y a aucun moyen d'obtenir ces informations sur SQL Server 2000. Ce dernier ne recueille pas et n'expose pas ce type d'informations sur les requêtes dans son cache de procédure.Ces informations ne sont devenues disponibles qu'avec le nouveau jeu de vues de gestion dynamique introduit dans SQL Server 2005.

L'application MIISWorkflow ne fonctionne pas
Après avoir lu l'article « Générez un flux de travail de mise en service à étape unique » (mai 2007, technetmagazine.com/issues/2007/05/Workflow), j'ai quelques questions à vous poser.L'application MIISWorkflow est-elle prise en charge ?Est-elle compatible avec .NET Framework 2.0 ?J'obtiens une erreur « Service non disponible » lorsque j'essaie d'ouvrir l'application en dehors de Visual Studio®.Je l'ai exécuté sans problème en mode de débogage, mais si je ferme Visual Studio et essaie d'ouvrir l'application directement, l'erreur apparaît.Qu'est-ce qui provoque l'arrêt du pool d'applications et/ou le renvoi de l'erreur « Service non disponible » ?
—Cliff C.

L'application MIISWorkflow n'est pas un produit officiellement pris en charge par Microsoft.Il est fourni en tant qu'exemple de code à des fins de formation uniquement.
Le meilleur endroit pour trouver des informations sur les problèmes liés à la gestion d'identité est le site Identity Management des forums Technet à l'adresse forums.microsoft.com/TechNet/ShowForum.aspx?ForumID=540&SiteID=17. Ces forums sont surveillés par des membres des groupes de produits Microsoft, ainsi que par des experts de la communauté, et sont parmi les meilleures sources de support direct pour les problèmes de ce genre.


 Bo&#238;te &#224; outils: Nouveaux produits pour les professionnels de l’informatique
Boîte à outils
Nouveaux produits pour les professionnels de l’informatique
Greg Steen

Prenez le contrôle de Windows PowerShell
PowerGUI
powergui org
Si vous n'avez pas déjà commencé à utiliser Windows PowerShellTM, vous l'utiliserez probablement bientôt.Windows PowerShell devient petit à petit un outil d'administration essentiel dans le monde de Windows Server®.Pour commencer, il est devenu la base pour l'administration à base de scripts d'Exchange Server 2007.
Pour tirer au mieux parti de Windows PowerShell dans son format natif, vous devrez apprendre par cœur un certain volume de syntaxe, cmdlets et structure générale.Vous pouvez bien entendu ne pas avoir le temps (ou l'énergie) nécessaires pour vous attaquer à cette tâche.Et si vous disposiez d'une console d'administration graphique centralisée pour la gestion de vos scripts ?Une interface utilisateur qui vous procurerait des modèles personnalisables, des fonctionnalités d'édition de type IntelliSense® et une communauté de partage de scripts ?Avec ce type d'environnement, vous pourriez écrire rapidement les scripts correspondant aux tâches dont vous avez besoin et toujours savoir où ils sont situés pour les réutiliser et y faire référence à l'avenir.
Ne vous inquiétez pas, je ne m'amuse pas à vous taquiner.Cet environnement à base de GUI pour Windows PowerShell est ce que vous procure PowerGUI, un logiciel gratuit subventionné par Quest Software.Bien que toujours au stade bêta lors de la rédaction de cet article, cette application dispose d'une interface utilisateur graphique d'administration extensible et facile à utiliser qui donne l'impression d'un composant logiciel enfichable Microsoft® Management Console sous stéroïdes.
Dans l'interface graphique utilisateur, vous pouvez double-cliquer sur les scripts fournis ou vos propres scripts personnalisés pour les exécuter et obtenir un affichage sous forme de tableau du jeu de données renvoyé.Vous pouvez appliquer des filtres de colonnes et de valeurs à ces données pour recentrer les informations sur ce dont vous avez besoin.De plus, vous pouvez ajouter vos propres colonnes personnalisées pour fournir des valeurs calculées ou des résultats personnalisés convenant à vos besoins spécifiques.
Depuis l'interface utilisateur graphique, vous pouvez démarrer une invite de Windows PowerShell ou l'éditeur de script intégré de l'application.L'éditeur de script constitue un environnement de type IntelliSense de base vous indiquant la syntaxe des cmdlets disponibles ainsi que les fonctionnalités de fichiers et d'édition standard, telles que rechercher et remplacer, imprimer et couper/copier/coller.Vous pouvez également affecter des signets aux étapes.
De plus, PowerGUI met à votre disposition plusieurs actions personnalisables et extensibles que vous pouvez appliquer à votre jeu de données.Par exemple, le script de services de système local vous permet de démarrer, arrêter, interrompre et définir les propriétés du service désigné.Une autre fonctionnalité pratique est la capacité d'ajouter des liens entre les scripts, vous permettant d'enchaîner des scripts par élément commun pour obtenir les informations dont vous avez besoin.Par exemple, vous pouvez obtenir une liste d'utilisateurs d'un certain groupe et lier ceci à un script qui vous affiche le volume de données dans son répertoire d'accueil.Outre ces capacités, PowerGUI dispose de quelques scripts d'actions courants intégrés pour la création de rapports et la consultation, vous permettant de transférer vos données aux formats XML, CSV, HTML, ainsi que dans le Presse-papiers.
Vous pouvez étendre les actions de scripts individuels et les actions courantes en ajoutant vos propres scripts ou en personnalisant l'un des modèles fournis.En affichant la fenêtre de propriétés d'un script, vous pouvez modifier immédiatement le script ou simplement examiner son fonctionnement.
La bibliothèque de communauté du site Web PowerGUI est une autre fonctionnalité utile offrant un emplacement auquel les utilisateurs peuvent partager et télécharger des scripts pour faciliter les tâches d'administration de système.Vous y trouverez des scripts et des actions pour l'administration Active Directory®, l'administration d'Exchange Server, les tâches Microsoft Operations Manager, les tâches Windows Server générales, et bien plus encore.PowerGUI offre un point de départ solide pour les outils d'administration s'appuyant sur une interface graphique administrative extensible pour travailler avec Windows PowerShell.

Prix : gratuit
Simplifiez Windows PowerShell avec une interface utilisateur graphique
Simplifiez Windows PowerShell avec une interface utilisateur graphique

Pensez à l'environnement lors de l'acquisition de vos produits
Outil d'évaluation environnementale de produit électronique
epeat.net
Lorsque vous réfléchissez à l'environnement, vous devez prendre en compte le coût global d'un ordinateur tout au long de son cycle de vie.Ceci implique l'énergie collective consommée lors de la fabrication, l'utilisation et la mise au rebut des ordinateurs (sans oublier d'autres facteurs tels que les matériaux utilisés et les déchets produits).Le coût général, en ces termes, est tout à fait étonnant.(Pour une présentation des coûts environnementaux et financiers, consultez l'article de Dave Ohara du numéro d'octobre 2007 de Technet Magazine, disponible à l'adresse technetmagazine.com/issues/2007/10/Green.)
Heureusement, de plus et plus d'individus et de sociétés prennent en considération l'impact, financièrement comme pour l'environnement, de leur infrastructure.Ils commencent par conséquent à rechercher des produits réduisant la consommation d'énergie.Pour aider les entreprises à répondre à ces inquiétudes, l'organisme Green Electronics Council (greenelectronicscouncil org) met un outil à la disposition des professionnels de l'informatique.
L'outil de l'organisation, nommé EPEAT (raccourci d'Electronic Product Environmental Assessment Tool, Outil d'évaluation écologique de produit électronique), évalue les produits électroniques en fonction de 51 critères écologiques différents, 23 de ces critères étant obligatoires et 28 facultatifs.Les résultats sont les suivants :Bronze (impliquant que le produit répond aux critères de base requis), Argent (répond au minimum requis, plus 50% des critères facultatifs) et Or (répond aux critères requis, plus 75% ou plus des éléments facultatifs).
Les critères couvrent l'ensemble du cycle de vie du produit, depuis les matériaux sélectionnés pour la fabrication jusqu'à la consommation d'énergie durant l'utilisation et la gestion de la fin de vie.Les critères standard requis couvrent principalement les déclarations d'impact du produit, comme la déclaration de la proportion du produit fabriquée à partir de plastique recyclé, l'identification des matériaux contenus dans le produit et nécessitant une manipulation spéciale, ainsi que la déclaration de la proportion de l'emballage constituée de matériaux recyclés.(Tous les produits enregistrés auprès de l'EPEAT répondent actuellement aux normes ENERGYSTAR 3.0. À la fin janvier 2008, tous seront conformes à la nouvelle norme ENERGYSTAR 4.0).
Qui plus est, les produits certifiés doivent avoir un service de retour en vigueur pour le produit et ses batteries rechargeables (le cas échéant).La disponibilité d'une garantie ou d'un accord de service de trois ans est un autre critère exigé intéressant qui devrait, en théorie, aider à prolonger la vie d'un périphérique, en réduisant ainsi l'impact global d'un taux de roulement élevé.
Certaines des normes facultatives ont trait à l'élimination de certains métaux lourds (tel que le cadmium), la conception modulaire, la certification par un tiers des pratiques et stratégies environnementales de l'entreprise et les divers niveaux de pourcentage de possibilité de recyclage.
Il existe actuellement quatre catégories de produits disponibles :bureau, systèmes intégrés, moniteurs et portables.Les catégories de produits continueront à se développer, avec des normes de serveur prévues pour 2009.
En outre, la plupart des fabricants principaux y participent.Ceci a été facilité par l'Executive Order 13423 de janvier 2007 stipulant que toute agence fédérale acquérant des produits électroniques pour répondre à ses exigences doit respecter au moins 95% de ces exigences avec un produit électronique inscrit avec EPEAT (Electronic Product Environmental Assessment Tool) (whitehouse.gov/news/releases/2007/01/20070124-2.html).
Par conséquent, si vous n'avez pas déjà pris en charge l'impact sur l'environnement de vos achats, vous devriez prendre le temps d'examiner l'outil d'évaluation EPEAT afin de commencer à évaluer les gains en matière d'environnement (et financiers) pouvant être réalisés avec votre prochaine acquisition.

Prix : gratuit
Utilisez EPEAT pour évaluer l'impact sur l'environnement de vos achats de matériel
Utilisez EPEAT pour évaluer l'impact sur l'environnement de vos achats de matériel

Critique
Windows Vista Administrator's Pocket Consultant
microsoft.com/MSPress/books/9588.aspx
Si vous vous apprêtez à effectuer la transition vers Windows Vista® dans votre entreprise, Windows Vista Administrator's Pocket Consultant (Consultant de poche de l'administrateur de Windows Vista, Microsoft Press, 2006, en anglais) de William Stanek peut vous aider à maîtriser plus rapidement les nouvelles fonctions et possibilités.Ceux d'entre vous qui ont déjà lu d'autres livres de la collection Administrator's Pocket Consultant reconnaîtront le format familier de ce livre ainsi que le contenu approfondi, similaires aux autres ouvrages de cette collection.Il ne vous détaille pas toutes les complexités, mais il offre un bon et large aperçu des fonctionnalités et capacités, de l'exécution de tâches administratives spécifiques, ainsi que des rappels sur le fonctionnement des différents éléments.Son contenu est destiné à l'administrateur systèmes plutôt qu'à l'utilisateur final.
L'ouvrage commence par une présentation de Windows Preinstallation Environment 2.0, avec un bref aperçu des utilitaires que vous aurez à votre disposition durant l'installation automatisée ou interactive.Le livre aborde ensuite l'administration des systèmes Windows Vista, en vous montrant comment utiliser des outils tels que msconfig pour dépanner ou adapter votre installation, tout en vous montrant les nouvelles fonctionnalités telles que Versions précédentes, qui vous permet de restaurer un dossier ou un fichier dans un état antérieur.De plus, vous bénéficierez d'une présentation des outils qui vous aideront à administrer le matériel et les périphériques sur les systèmes cibles.
Le livre couvre ensuite l'adaptation de l'expérience Windows® à vos utilisateurs finaux en personnalisant l'interface et le Bureau.Par exemple, il vous montre comment réduire l'utilisation des ressources d'économiseur d'écran, adapter le démarrage et les programmes du menu Démarrer, ainsi que configurer le Volet Windows.Le livre vous montre également comment créer des barres d'outils personnalisées pour offrir à vos utilisateurs finaux un accès rapide aux dossiers et aux fichiers partagés à partir de la barre des tâches.
La section d'installation et de maintenance des programmes et des fonctionnalités de Windows Vista aborde des outils tels que l'Explorateur de logiciels, qui vous permet de voir rapidement les programmes de démarrage d'un système, ses programmes en cours d'exécution, les fournisseurs de service Winsock et les programmes connectés au réseau.Il aborde ensuite l'administration des utilisateurs, les profils, les questions de mobilité, les stratégies d'utilisateurs et d'ordinateurs, la sécurité des fichiers et le partage des ressources.Plus particulièrement, il explique comment créer des utilisateurs, gérer l'ouverture de session Windows au travers de la stratégie de groupe, et créer des entrées Key Ring qui faciliteront l'accès aux ressources protégées par mot de passe.
La section concernant la mobilité décrit comment la nouvelle configuration de réseau alternatif vous permet de spécifier une configuration « au bureau » comme une configuration « en déplacement ».Les utilisateurs peuvent facilement basculer entre les deux modes.
Le chapitre sur la gestion de la sécurité de fichier et du partage de ressources vous donnera les principes fondamentaux de la configuration des autorisations de fichiers et dossiers NTFS ainsi que la manière dont fonctionnent les autorisations spéciales de Windows Vista (et comment les contrôler).Vous apprendrez également ici à créer, connecter et assurer la persistance des connexions aux ressources partagées.
Sur le plan de la gestion de disque, le livre contient une présentation de la configuration des quotas de disques, qui vous apprennent non seulement à créer, afficher, mettre à jour et supprimer les quotas de disque, mais également à importer et exporter ces paramètres pour les réutiliser.
L'ouvrage comprend une analyse détaillée de la manière dont fonctionne la pile IPv4/IPv6 double de Windows Vista.Vous y trouverez également comment configurer vos cartes réseau pour votre environnement.
Le livre se termine par une section de conseils pour l'optimisation de Windows Vista afin d'assurer la meilleure expérience possible pour vos utilisateurs, suivie d'un chapitre court sur les techniques de dépannage générales.Vous pourrez y découvrir comment arrêter l'assistance à distance, conserver un système sain avec les vérifications de disque planifiées et la défragmentation, et comment créer des sauvegardes.Globalement, il s'agit d'une référence rapide et facile à comprendre pour l'administration de Windows Vista.

Prix :29,99 USD (vente directe).

Surveillez votre site Web
Pingdom.com
pingdom.com
Je l'ai déjà dit et je ne le répéterai jamais assez :une approche dynamique de l'administration de systèmes aura pour résultat une quantité de stress réduite et vous aidera à éviter des situations embarrassantes, comme lorsque votre patron vous envoie un message électronique du genre « Vous savez que le site Web est hors service ? ».
Un bon outil de surveillance réseau est essentiel à cette approche.La majorité, si ce n'est pas l'ensemble, d'entre-vous utilise probablement déjà un serveur de surveillance de réseau interne.Mais qu'en est-il de ceux qui se soucient d'une présence globale nécessitant la disponibilité permanente des services exposés à Internet ?
Pingdom.com, fournisseur de service d'application (Application Service Provider, ASP), fournit un service de surveillance automatisé simple et pourtant efficace.Les serveurs de l'ASP sont distribués sur plusieurs emplacements à travers le monde, vous donnant un bien meilleur aperçu de l'expérience vécue par vos utilisateurs, par opposition à l'utilisation d'une surveillance de service externe de source unique.
Pour commencer, inscrivez-vous pour ouvrir un compte et établissez votre emplacement géographique en définissant votre fuseau horaire, votre pays, votre format de date et le format numérique qui répondent à vos besoins.Définissez ensuite vos contacts en fournissant noms, numéros de téléphone pour SMS et adresses de messagerie pour la notification.Après cela, vous créez une vérification de surveillance en définissant un nom, une résolution de vérification, le type de vérification de surveillance à exécuter à la résolution, ainsi que le type, les contacts et les intervalles périodiques de notification de la vérification.
Le package de compte par défaut vous donne des résolutions de vérification s'étalant de 1 minute à 60 minutes, vous permettant d'adapter les requêtes au service que vous surveillez.La notification peut être envoyée à vos contacts par message électronique ou SMS.Vous pouvez également définir le nombre d'échecs du ping de service avant que la notification soit envoyée, ainsi que le nombre de cycles de défaillance devant s'écouler avant que vous soyez de nouveau notifié (jusqu'à quatre rappels).De plus, vous pouvez faire en sorte que pingdom vous notifie lorsque votre service redevient opérationnel, ce qui est idéal pour les vérifications de créneau de maintenance de site Web ou de service.À propos de maintenance, vous pouvez également arrêter ou suspendre les vérifications pour éviter les fausses alertes durant les tâches planifiées.
Le service offre aux utilisateurs quatre types de vérifications fondamentaux :un détecteur HTTP, un détecteur de port TCP, un détecteur de ping et un détecteur UDP.Le détecteur HTTP vous permet de définir l'URL/adresse IP, si la requête est effectuée sur SSL, le port, une combinaison nom d'utilisateur et mot de passe d'authentification de base, ou une chaîne simple de vérification de contenu inclus/exclus.Le détecteur de port TCP vous permet de définir le port et l'adresse IP/le domaine à vérifier.Le détecteur de ping vous permet de définir l'adresse IP ou le domaine à vérifier à l'aide d'ICMP.Le détecteur UDP est quant à lui déterminé par l'adresse IP/le domaine, un port, la chaîne à envoyer à cette combinaison et la chaîne de réponse attendue.En fait, vous pourriez vérifier la disponibilité de votre site Web, votre serveur FTP, votre serveur SMTP et davantage pour plusieurs emplacements autour du globe.
Le service fournit également plusieurs rapports pour vous aider à afficher des données d'historique.Avec ces rapports, vous pouvez voir votre pourcentage de disponibilité pour un mois spécifié et le temps de réponse moyen pour cette période.Vous pouvez également obtenir un affichage détaillé de chaque instance de vérification, avec la date et l'heure, l'état, le temps de réponse et le serveur à partir duquel la vérification a été effectuée.De plus, vous obtenez un affichage des notifications vous indiquant quand, combien, qui, et par quel moyen elles ont été envoyées durant une période spécifiée.Vous pouvez rendre ces rapports disponibles publiquement, afin que d'autres membres de votre entreprise puissent voir les statistiques de service.Si vous disposez d'un centre réseau sur mesure, pingdom.com fournit également une API de service Web que vous pouvez interroger pour obtenir ces informations, ce qui vous permet d'intégrer le service dans vos affichages de tableau de bord existants.

Prix :9,95 USD par mois.
Pingdom.com surveille vos services Web d'une perspective globale
Pingdom.com surveille vos services Web d'une perspective globale

Greg Steen est un professionnel de l’informatique, dynamique et enthousiaste.Il est constamment à la recherche d’outils innovants destinés à faciliter les opérations, l'assurance qualité et le développement pour les professionnels de l’informatique.


 Questions et r&#233;ponses sur la file d'attente Exchange: Ajout d'invites vocales, choix d'un PBX, et bien plus encore
Questions et réponses sur la file d'attente Exchange
Ajout d'invites vocales, choix d'un PBX, et bien plus encore
Seema Rahman

Q. J'ai entendu dire que la messagerie unifiée Exchange n'offre ni haute disponibilité ni clustering.Est-ce vrai ?
R. Bien que la messagerie unifiée ne soit pas prise en charge dans une configuration d’équilibrage de la charge réseau ou en cluster, depuis certaines passerelles, il est assurément possible d'obtenir une solution haute disponibilité.L'important est de désigner plusieurs serveurs de messagerie unifiée pour gérer le trafic à tour de rôle.Vous pouvez également acheminer un certain trafic vers un serveur de messagerie unifiée spécifique, à condition que la passerelle dispose des fonctionnalités de routage avancées requises.Par exemple, vous pouvez désigner un serveur de messagerie unifiée pour l'accès des abonnés et un autre pour tous les appels par standard automatique.Cela vous permet d'équilibrer le trafic de la messagerie unifiée en fonction de votre infrastructure et des tendances dans votre environnement.

Q. Puis-je configurer des invites vocales pour le numéro de téléphone public de mon entreprise avec la messagerie unifiée Exchange ?
R. Oui, cela est possible, et vous pouvez aussi configurer un standard automatique.L'article « Gestion des invites vocales personnalisées » de technet.microsoft.com/aa998818 offre des instructions détaillées sur la façon de configurer cette fonctionnalité.

Q. Comment savoir si mon PBX (Private Branch eXchange) est compatible avec la messagerie unifiée Exchange ?
R. Certaines passerelles sont testées par Microsoft et recommandée pour une utilisation avec la messagerie unifiée Exchange.Les fournisseurs de ces passerelles proposent une liste de PBX qui fonctionnent avec elles.Si votre PBX figure sur la liste d'un fournisseur, cela signifie qu'il est compatible avec la messagerie unifiée Exchange.
L'article « Conseils concernant la téléphonie pour Exchange Server 2007 », disponible à microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx, contient une liste de passerelles prises en charge ainsi que d'autres informations pertinentes.

Q. Dois-je ajouter un matériel spécial à mon système téléphonique pour utiliser la messagerie unifiée Exchange ?
R. Le serveur de la messagerie unifiée Exchange sert de fournisseur de messagerie vocale.Pour qu'il puisse fonctionner avec votre système de téléphonie actuel, il peut nécessiter un matériel dont vous ne disposez pas.
Si vous utilisez un PBX IP pris en charge, vous n'aurez pas besoin de matériel supplémentaire ; toutefois, vous devrez probablement configurer certains paramètres spécifiques sur votre PBX IP pour que ce dernier puisse fonctionner avec la messagerie unifiée.
Si vous utilisez autre chose qu'un PBX IP pris en charge, vous devez d'abord déterminer si ce matériel est compatible avec l'une des passerelles prises en charge.Vous aurez également besoin d'une passerelle VoIP prise en charge.
Les informations disponibles à la page microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx incluent une liste de matériels pris en charge, en particulier les PBX IP et les passerelles.N'oubliez pas de consulter régulièrement cette liste car elle est fréquemment mise à jour, lorsque que Microsoft certifie du nouveau matériel.Vous pouvez également consulter votre conseiller en messagerie unifiée pour vous renseigner sur le matériel nécessaire à votre environnement.

Q. Comment la messagerie unifiée prend-elle en charge la télécopie ?
R. La messagerie unifiée est actuellement dotée d'une fonctionnalité de télécopie entrante qui permet à une télécopie envoyée au numéro d'un utilisateur de la messagerie unifiée d'être transférée dans la Boîte de réception de cet utilisateur sous forme d'un message électronique auquel est attachée la télécopie au format TIFF.Une présentation détaillée est disponible à l'adresse technet.microsoft.com/ bb232022.

Q. Jai un PBX IP Nortel CS1000 et je souhaite utiliser la messagerie unifiée dans Exchange Server 2007, mais je ne sais pas comment réconcilier ces deux systèmes.Puis-je utiliser le PBX IP Nortel CS1000 comme passerelle ou est-ce uniquement les codes Intel et Audio qui sont pris en charge en tant que passerelles ?J'ai également besoin de l'authentification du système Exchange au niveau du serveur CS1000.
R. Nortel CS1000 est un PBX IP qui est pris en charge tant que vous exécutez la version 5.0 du microprogramme pour le PBX IP.Vous n'aurez pas besoin de matériel supplémentaire pour le faire fonctionner.Le site de Nortel contient toutes les informations nécessaires pour configurer le PBX IP à l'adresse support.nortel.com/go/main.jsp?cscat=docdetail&id=626197&poid=14261.Vous trouverez une liste des passerelles, PBX et versions de microprogrammes pris en charge sur le site microsoft.com/technet/prodtechnol/exchange/pbx-partners.mspx.

Seema Rahman travaille chez Microsoft depuis six ans.En tant que technicienne de support de gestion, elle aide les clients à résoudre des problèmes complexes liés à Exchange Server.Seema a particulièrement apprécié le temps qu'elle a passé avec l'équipe de la version bêta 2 d’Exchange 2007 au sein de laquelle elle s'était concentrée sur la messagerie unifiée.


 Coup de projecteur sur les utilitaires: Windows Easy Transfer Companion
Coup de projecteur sur les utilitaires
Windows Easy Transfer Companion
Lance Whitney
Cet article est basé sur une version préliminaire de Windows Easy Transfer Companion.Toutes les informations contenues dans le présent document sont susceptibles d’être modifiées.

Il est temps de migrer vos utilisateurs de leurs vieux ordinateurs fonctionnant sous Windows® XP vers de nouvelles machines exécutant Windows Vista®.Dans toute migration, la tâche la plus laborieuse est celle qui consiste à réinstaller les applications de vos utilisateurs sur leurs nouveaux ordinateurs et à vous assurer qu'elles fonctionnent.À présent, un outil Microsoft gratuit peut vous épargner toutes ces innombrables réinstallations.WETC (Windows Easy Transfer Companion) peut copier les programmes logiciels clés de Windows XP vers Windows Vista.
En version bêta actuellement, WETC est différent de l'Assistant Windows Easy Transfer dans Windows Vista.Tandis que l'Assistant copie les fichiers de données, paramètres de programmes et profils utilisateur, WETC copie des applications entières, bien que seulement de Windows XP SP2 à Windows Vista.Vous devez exécuter le transfert sous un compte administratif.
Vous devez installer WETC sur les ordinateurs source et de destination.Les ordinateurs peuvent communiquer entre eux sur un réseau ou par le biais d'un câble USB Easy Transfer.Le pilote du câble Easy Transfer est inclus dans Windows Vista ; pour Windows XP, vous devrez installer le pilote à partir du CD du produit.
WETC fournit une liste d'applications transférables divisée en catégories
WETC fournit une liste d'applications transférables divisée en catégories
Après avoir connecté le câble, vous devez démarrer WETC sur l'ordinateur exécutant Windows XP.L'utilitaire analyse le disque dur, rassemble les informations système importantes et examine tous les logiciels installés.Une fois ce processus terminé, vous devez exécuter WETC sur l'ordinateur Windows Vista.L'utilitaire communique avec l'ordinateur Windows XP pour afficher une liste de toutes les applications découvertes, divisée en trois catégories (voir la capture d'écran ci-dessus) :
  1. Les programmes qui peuvent être aisément transférés, c'est-à-dire les logiciels qui seront transférés sans aucun problème et qui s'exécuteront sur le PC Windows Vista.
  2. Les programmes qui peuvent être transférés mais avec des restrictions éventuelles, c'est-à-dire les logiciels qui peuvent être transférés mais qui risquent de ne pas fonctionner correctement.
  3. Les programmes qui ne sont pas transférables, c'est-à-dire les logiciels qui ne s'exécuteront pas sur Windows Vista et qui ne seront donc pas inclus dans le transfert.
Pour chaque programme qui ne peut pas être transféré, WETC en expliquera brièvement la raison.Généralement, les applications ne peuvent pas être copiées parce qu'elles ne possèdent pas d'informations sur le programme d'installation ou d'autres informations importantes, parce qu'elles ne sont pas compatibles avec Windows Vista ou parce qu'elles existent déjà sur l'ordinateur Windows Vista.En outre, WETC ne copie pas certaines applications spécifiques telles que les antivirus et les utilitaires système.Il ne transfère pas non plus les infrastructures de système d'exploitation telles que Microsoft .NET ; vous devrez les installer dans Windows Vista avant de copier les applications auxquelles elles se rapportent.
Dans la liste des programmes, cochez les programmes que vous souhaitez copier.Un écran d'aide peut vous aider à prendre vos décisions et propose des solutions en cas de problèmes.Vous pouvez également enregistrer un rapport pré-transfert qui énumère tous les programmes qui seront ou qui ne seront pas transférés.
Le transfert commence alors et les données de chaque programme sont copiées.Au terme de cette opération, un message d'état vous indique les programmes qui ont été copiés et si des erreurs sont survenues.Vous pouvez enregistrer un rapport post-transfert détaillé.Après avoir quitté le programme WETC, redémarrez l'ordinateur Windows Vista, ouvrez une session et lancez les programmes transférés pour vous assurer qu'ils fonctionnent correctement.
Des problèmes ?Le dossier Programme WETC de Windows Vista inclut un raccourci vers un outil Ressources doté d'une option Annuler qui peut supprimer toutes les applications copiées sur l'ordinateur Windows Vista. Ces informations expirent toutefois au bout de trois jours.Pour en savoir plus sur Windows Easy Transfer Companion et en télécharger la dernière version, rendez-vous à l'adresse support.microsoft.com/kb/931696.

Lance Whitney est consultant en informatique, formateur et rédacteur technique.Il a passé un nombre d'heures incalculable à affiner des postes de travail et serveurs Windows.Journaliste de formation, il s'est reconverti à l'informatique il y a 15 ans.


 Le petit c&#226;bleur: Am&#233;liorations du DNS dans Windows Server&#160;2008
Le petit câbleur
Améliorations du DNS dans Windows Server 2008
Joseph Davies
Cet article se base sur une version préliminaire de Windows Server 2008. Toutes les informations contenues dans cet article sont susceptibles d’être modifiées.

Microsoft inclut un service de serveur DNS (Domain Name System) dans les versions de Windows Server depuis Windows NT 4.0.Le DNS est une base de données hiérarchique distribuée qui contient des mappages de noms de domaine DNS sur divers types de données, telles que les adresses IP.Avec Windows Server 2008, le service de serveur DNS inclut un nouveau
chargement de zone en arrière-plan, des améliorations pour la prise en charge d'IPv6, la prise en charge des contrôleurs de domaine en lecture seule (RODC) et la possibilité d'héberger des noms globaux en une partie.

Chargement de zone en arrière-plan
Le service du serveur DNS de Windows Server® 2008 accélère la récupération de données en implémentant le chargement de zone en arrière-plan.Par le passé, les entreprises avec des zones contenant de grands nombres d'enregistrements dans Active Directory® rencontraient des retards pouvant atteindre une heure ou plus lorsque le service du serveur DNS de Windows Server 2003 essayait de récupérer les données de DNS à partir d'Active Directory au redémarrage.Pendant ces retards, le serveur DNS était indisponible pour desservir les requêtes de client DNS pour ses zones hébergées.
Pour corriger ce problème, le service du serveur DNS de Windows Server 2008 récupère les données de zone d'Active Directory en arrière-plan après son démarrage, de sorte qu'il puisse répondre aux requêtes de données des autres zones.Lorsque le service démarre, il crée un ou plusieurs threads d'exécution pour charger les zones stockées dans Active Directory.Grâce à la présence de threads séparés pour le chargement les zones Active Directory, le service du serveur DNS peut répondre aux requêtes pendant le chargement de zone.Si un client DNS demande des données d'une zone qui a été déjà chargée, le serveur DNS répond en conséquence.Si la requête concerne des données d'une zone qui n'a pas encore été entièrement récupérée, le serveur DNS récupère plutôt les données spécifiques à partir d'Active Directory.
Cette capacité à récupérer des données spécifiques à partir d'Active Directory pendant le chargement de zone offre un avantage supplémentaire sur le stockage des informations de zone dans des fichiers, à savoir que le service du serveur DNS a la possibilité de répondre immédiatement aux requêtes.Lorsque la zone est stockée dans des fichiers, le service doit lire le fichier de façon séquentielle jusqu'à ce qu'il trouve les données.

Prise en charge améliorée pour IPv6
IPv6, dont il a déjà été question dans les éditions précédentes de cette rubrique, est une nouvelle suites de protocoles Internet standard.IPv6 est conçu pour résoudre bon nombre des problèmes de l'actuelle version (IPv4) tels que l'épuisement des adresses, la sécurité, la configuration automatique et le besoin d'extensibilité.
L'une des différences d'IPv6 réside dans le fait que ses adresses font 128 bits, alors que les adresses IPv4 font seulement 32 bits.Les adresses IPv6 sont exprimées par une notation deux points-hexadécimal.Chaque chiffre hexadécimal représente 4 bits de l'adresse IPv6.Une adresse IPv6 entièrement exprimée compte 32 chiffres hexadécimaux séparés en 8 blocs par le signe deux points.Un exemple d'une adresse IPv6 entièrement exprimée est FD91:2ADD:715A:2111:DD48:AB34:D07C:3914.
La résolution de noms normale pour les adresses IPv6 utilise l'enregistrement de DNS d'hôte IPv6, appelé enregistrement AAAA (prononcé quad-a).Pour la résolution de noms inverse, IPv6 utilise le domaine IP6.ARPA et chaque chiffre hexadécimal de l'adresse IPv6 à 32 chiffres devient un niveau séparé dans la hiérarchie de domaine inverse dans l'ordre inversé.Par exemple, le nom de domaine de recherche inversée pour l'adresse FD91:2ADD:715A:2111:DD48:AB34:D07C:3914 est 4.1.9.3.C.7.0.D.4.3.B.A.8.4.D.D.1.1.1.2.A.5.1.7.D.D.A.2.1.9.D.F.IP6.ARPA.
Le service du serveur DNS de Windows Server 2003 prend en charge la résolution de noms normale et inversée pour IPv6 ; cependant, la prise en charge n'est pas entièrement intégrée.Par exemple, pour créer un enregistrement d'adresse IPv6 (l'enregistrement AAAA dont nous venons de parler) dans le composant logiciel enfichable Gestionnaire DNS de Windows Server 2003, vous devez cliquer avec le bouton droit sur la zone, cliquer sur Autres nouveaux enregistrements, puis double-cliquer sur Hôte IPv6 (AAAA) comme type d'enregistrement de ressource.Pour ajouter un enregistrement AAAA dans le composant logiciel enfichable Gestionnaire DNS pour Windows Server 2008, cliquez avec le bouton droit sur le nom de zone, puis cliquez sur Nouvel hôte (A ou AAAA).Dans la boîte de dialogue Nouvel hôte, vous pouvez taper une adresse IPv4 ou IPv6.La figure 1 en offre un exemple.
Figure 1 Boîte de dialogue Nouvel hôte
Figure 1 Boîte de dialogue Nouvel hôte
Un autre exemple de la prise en charge améliorée d'IPv6 concerne les zones IPv6 inverses.Pour créer une zone de recherche inversée dans le composant logiciel enfichable Gestionnaire DNS pour Windows Server 2003, vous devez taper manuellement le nom de zone inverse dans la page Nom de la zone de recherche inversée de l'Assistant Nouvelle zone.Un exemple de nom de zone DNS inverse est 1.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa (pour le préfixe de sous-réseau IPv6 2001:db8:0:1::/64, exprimé entièrement sous la forme 2001:0db8:0000:0001::/64).
Les zones IPv6 inverses du composant logiciel enfichable Gestionnaire DNS pour Windows Server 2008 sont maintenant entièrement intégrées dans l'Assistant Nouvelle zone.Une nouvelle page de l'Assistant vous invite à sélectionner une zone de recherche inversée IPv4 ou une zone de recherche inversée IPv6.Pour une zone de recherche inversée IPv6, il vous suffit de taper le préfixe de sous-réseau IPv6 et l'Assistant crée automatiquement la zone pour vous.La figure 2 en offre un exemple.
Figure 2 Nommage d'une zone de recherche inversée IPv6
Figure 2 Nommage d'une zone de recherche inversée IPv6
Autre amélioration pour les zones inverses réside dans le mode d'affichage du composant logiciel enfichable Gestionnaire DNS pour les enregistrements de pointeur IPv6 (PTR).La figure 3 illustre comment le composant logiciel enfichable Gestionnaire DNS pour Windows Server 2003 affiche un enregistrement PTR.
Figure 3 Enregistrement PTR pour IPv6 dans Windows Server 2003
Figure 3 Enregistrement PTR pour IPv6 dans Windows Server 2003
Bien que cet affichage reflète précisément la structure de l'espace de noms DNS pour les noms de domaine inverses IPv6, il rend plus difficile la gestion des enregistrements PTR pour les adresses IPv6.La figure 4 illustre comment le composant logiciel enfichable Gestionnaire DNS pour Windows Server 2008 affiche un enregistrement PTR.
Figure 4 Enregistrement PTR pour IPv6 dans Windows Server 2008
Figure 4 Enregistrement PTR pour IPv6 dans Windows Server 2008
Le service du serveur DNS de Windows Server 2003 prend en charge les opérations via IPv6, mais il doit être activé manuellement avec la commande dnscmd /config /EnableIPv6 1.Windows Server 2008, à l'inverse, prend en charge les opérations via IPv6 par défaut.L'outil de ligne de commande Dnscmd.exe a été mis à jour pour accepter les adresses IPv6 dans les options de ligne de commande.De plus, le service du serveur DNS peut maintenant envoyer des requêtes récursives à des serveurs IPv6 uniquement et la liste de redirecteurs de serveur peut contenir des adresses IPv4 et IPv6.
Pour plus d'informations concernant IPv6 et sa prise en charge dans Windows®, consultez la page microsoft.com/ipv6.

Prise en charge du contrôleur de domaine en lecture seule
Windows Server 2008 introduit également le RODC, un nouveau type de contrôleur de domaine contenant une copie en lecture seule des informations Active Directory et capable d'exécuter les fonctions Active Directory, mais qui ne peut pas être configuré directement.Les RODC sont moins vulnérables aux attaques et peuvent être placés dans des emplacements où la sécurité physique du contrôleur de domaine ne peut pas être garantie ou bien où le réseau contient des hôtes potentiellement malveillants.
Pour les RODC, le service du serveur DNS de Windows Server 2008 prend en charge le nouveau type de zone principale en lecture seule.Lorsqu'un ordinateur devient un RODC, il effectue une copie complète en lecture seule des partitions de tout l'annuaire d'applications utilisé par le DNS, y compris la partition de domaine, ForestDNSZones et DomainDNSZones.Ceci garantit que le service du serveur DNS exécuté sur le RODC possède une copie complète en lecture seule de toutes les zones DNS stockées dans les partitions de répertoires d'un contrôleur de domaine qui n'est pas un RODC.Vous pouvez afficher le contenu d'une zone principale en lecture seule sur un RODC, mais vous ne pouvez pas le modifier.Vous devez modifier le contenu de la zone sur un contrôleur de domaine qui n'est pas un RODC.

Zone GlobalNames
Résolution de noms avec la zone GlobalNames
Une fois que la zone GlobalNames est déployée, lorsqu'un client DNS Windows Vista tente de résoudre un nom en une partie, il ajoute le suffixe de DNS principal au nom en une partie et soumet la requête d'interrogation de nom à son serveur DNS.
Si le nom est introuvable, le client DNS envoie des requêtes d'interrogation de nom supplémentaires pour rechercher la combinaison du nom en une partie avec les suffixes dans sa liste de recherche de suffixe DNS (si configuré).Si aucun de ces noms n'est résolu, le client demande la résolution en utilisant le nom en une partie.
Le serveur DNS cherche le nom en une partie dans la zone GlobalNames.S'il y figure, le serveur DNS renvoie l'adresse IPv4 ou le FQDN résolu au client DNS.Sinon, l'ordinateur DNS client convertit le nom en nom NetBIOS et utilise les techniques de résolution de nom NetBIOS, y compris WINS.Il n'est pas nécessaire de modifier le service client DNS pour activer la résolution de nom en une partie dans la zone GlobalNames.

Windows Server 2008 et Windows Vista® prennent en charge le protocole NetBIOS via TCP/IP (NetBT).NetBT utilise des noms NetBIOS pour identifier les applications NetBIOS de couche session.Bien que la résolution de nom NetBIOS avec WINS ne soit pas nécessaire pour les versions actuelles de Windows utilisant les applications réseau basées sur Windows Sockets et DNS pour la résolution de noms, de nombreux clients de Microsoft déploient WINS dans leurs réseaux pour prendre en charge les anciennes applications NetBT et assurer la résolution des noms en une partie dans leurs organisations.Les noms en une partie font généralement référence à des serveurs importants, connus et largement utilisés pour une organisation, tels que les serveurs de messagerie, les serveurs Web centraux ou les serveurs d'applications métier.
Afin de permettre la résolution de ces noms en une partie dans l'ensemble d'une organisation en utilisant uniquement le DNS, vous devrez peut-être ajouter des enregistrements A aux différents domaines DNS de votre organisation pour qu'un client DNS Windows puisse résoudre le nom quel que soit son suffixe de domaine DNS attribué ou sa liste de recherche de suffixes.
Supposons, par exemple, que l'organisation contoso.com possède un serveur Web central nommé CWEB qui est membre du domaine central. contoso.com.Pour implémenter un nom en une partie pour le serveur CWEB lorsque les clients DNS peuvent recevoir le suffixe de domaine DNS wcoast.contoso.com, central.contoso.com ou ecoast.contoso.com, l'administrateur réseau doit créer deux enregistrements A supplémentaires pour cweb.wcoast.contoso.com et cweb.ecoast.contoso.com. Cependant, n'oubliez pas que les enregistrements A créés manuellement pour les noms en une partie doivent être maintenus pour les modifications dans l'attribution d'adresses IPv4 ou pour les nouveaux noms.
Si contoso.com utilise déjà WINS pour les anciennes applications NetBT, un administrateur réseau peut implémenter la résolution de noms pour le nom en une partie CWEB en ajoutant un enregistrement WINS statique unique à son infrastructure WINS.Si l'adresse IPv4 change, il suffira de modifier l'enregistrement WINS statique unique.Comme ils sont plus faciles à gérer sur WINS, de nombreux réseaux Windows utilisent des enregistrements WINS statiques pour les noms en une partie.
Pour fournir une solution de nom en une partie sur DNS qui soit aussi facile à gérer que les enregistrements WINS statiques, le service du serveur DNS de Windows Server 2008 prend en charge une nouvelle zone appelée GlobalNames pour stocker les noms en une partie.L'étendue de réplication de cette zone est généralement une forêt, ce qui fournit la résolution de nom en une partie à l'ensemble d'une forêt Active Directory.De plus, la zone GlobalNames peut prendre en charge la résolution de nom en une partie dans l'ensemble d'une organisation comptant plusieurs forêts lorsque vous utilisez des enregistrements de ressource SRV (Service Location) pour publier l'emplacement de la zone GlobalNames.
Contrairement à WINS, la zone GlobalNames est conçue pour fournir la résolution de nom en une partie pour un ensemble limité de noms d'hôte, généralement des serveurs centraux et critiques d'une organisation qui sont gérés par son département informatique.La zone GlobalNames n'est pas destinée à stocker les noms des postes de travail ou d'autres serveurs dont les adresses IPv4 peuvent changer, et elle ne prend en aucun cas en charge les mises à jour dynamiques de DNS.Elle est le plus souvent utilisée pour contenir des enregistrements de ressource alias (CNAME) pour mapper un nom en une partie sur un nom de domaine complet (FQDN).Pour les réseaux utilisant actuellement WINS, la zone GlobalNames contient généralement des enregistrements de ressource pour les noms gérés par informatique qui sont déjà configurés statiquement dans WINS.
La zone GlobalNames fournit la résolution de noms en une partie uniquement lorsque tous les serveurs DNS faisant autorité exécutent Windows Server 2008. Toutefois, les autres serveurs DNS qui ne font pas autorité pour la zone peuvent utiliser des versions antérieures de Windows ou d'autres systèmes d'exploitation.La zone GlobalNames doit être unique dans la forêt.
Pour optimiser les performances et l'évolutivité, la zone GlobalNames doit être intégrée à Active Directory et vous devez configurer chaque serveur DNS faisant autorité avec une copie locale de la zone.Ceci est indispensable pour prendre en charge le déploiement de la zone GlobalNames sur plusieurs forêts.
Pour plus d'informations sur la prise en charge de DNS dans Windows et le déploiement de la zone GlobalNames, consultez la page Web de Microsoft relative à DNS à l'adresse microsoft.com/dns.

Joseph Davies est rédacteur technique chez Microsoft. Il enseigne et rédige des articles sur les questions relatives aux réseaux Windows depuis 1992. Il a écrit cinq livres pour Microsoft Press et est l'auteur de la chronique en ligne mensuelle Le petit câbleur de TechNet.


 Windows&#160;PowerShell: Contrer le code malveillant
Windows PowerShell
Contrer le code malveillant
Don Jones

Rappelez-vous, lorsque Windows Vista était toujours à la version bêta et que tout le monde parlait d'une toute première version d'un nouvel interpréteur de ligne de commande, nom de code « Monad » ?(Ce nouvel interpréteur s'appellerait bien sûr finalement Windows PowerShell).À l'époque, un grand nombre de rapport issus des médias traditionnels faisaient état du « premier virus de Windows Vista ».En
réalité, le « virus » était juste un script de logiciel malveillant de validation technique qui ciblait « Monad ».Afin d'exécuter le script, « Monad » lui-même aurait été dû être spécialement configuré. En effet, le script ne fonctionnait pas sous les paramètres par défaut.De plus, au moment où ces rapports sont apparus, Microsoft avait déjà annoncé que « Monad » ne serait pas fourni avec Windows Vista®.En bref, toute cette situation avait fait beaucoup de bruit pour rien (ou, du moins, pour très peu).
Á mesure que Windows PowerShellTM gagne en popularité (il a été déjà téléchargé plus d'un million de fois), le risque que quelqu'un l'utilise pour créer un script malveillant augmente.La possibilité d'écrire un script potentiellement dangereux dans Windows PowerShell est un fait. Tout outil d’administration, y compris Windows PowerShell, cmd.exe et VBScript, peut être utilisé de façon malveillante.Vous ne pouvez par conséquent pas simplement supposer qu'un fichier PS1 donné est inoffensif.
Heureusement, Windows PowerShell est configuré par défaut pour n'exécuter aucun script, si bien qu'un script malveillant nécessite votre aide pour s'exécuter.Ce mois-ci, j'aimerais prédire comment cela arrivera probablement.Je ne cherche surtout pas à présenter Windows PowerShell sous un mauvais jour ; en réalité je pense que Microsoft a conçu un interpréteur de script qui évite de nombreux risques.Mais cette discussion mérite d'avoir lieu, simplement pour vous aider à vous préparer à contrer cette attaque potentielle.

Sécurisation par défaut
Il est important de noter que Windows PowerShell a été le premier langage conçu par Microsoft après la célèbre initiative Trustworthy Computing.Le grand manitou de la sécurité Michael Howard (l'auteur du livre Écrire du code sécurisé) était « le spécialiste de la sécurité » de l'équipe de Windows PowerShell.Il a aidé à s'assurer que le code était écrit pour être aussi sécurisé que possible et, plus important encore, que l'interpréteur était configuré de façon aussi sécurisée que possible dès l'installation.
Tout d'abord, examinons rapidement les paramètres de sécurité initiaux de Windows PowerShell.Par défaut, l'interpréteur n'exécutera pas les fichiers avec une extension de nom de fichier PS1 si vous double-cliquez sur ceux-ci.Cette extension est associée au Bloc-notes.Par défaut, l'interpréteur n'exécutera aucun script grâce à une fonctionnalité intégrée appelée stratégie d'exécution, qui décrit les conditions dans lesquelles un script s'exécutera.Il est défini sur Restricted dès l'installation, ce qui interdit l'exécution de tous les scripts et active l'interpréteur uniquement pour un usage interactif.La stratégie d'exécution peut être modifiée à l'aide de l'applet de commande Set-ExecutionPolicy, ou via un modèle d'administration de stratégie de groupe (fichier ADM) fourni par Microsoft.(Vous pouvez obtenir le fichier ADM à l'adresse go.microsoft.com/fwlink/?LinkId=102940.)La figure 1 illustre les stratégies d'exécution que vous pouvez définir.
Figure 1 Choix d'une stratégie d'exécution sécurisée
Figure 1 Choix d'une stratégie d'exécution sécurisée
La stratégie d'exécution comporte seulement quelques exceptions.En particulier, même lorsqu'elle est définie sur Restricted, la stratégie autorisera l'interpréteur à importer quelques fichiers de configuration XML particuliers fournis par Microsoft et installés avec l'interpréteur.Ces fichiers sont utilisés pour fournir des fonctionnalités spécifiques, telles que les extensions des types Microsoft® .NET Framework et les dispositions de format par défaut pour la plupart des types d'objet .NET.Il est par conséquent nécessaire que l'interpréteur charge ces fichiers au démarrage.
Bien que ces fichiers puissent contenir du code exécutable, et c'est d'ailleurs le cas, ils ont été signés numériquement par Microsoft.Une altération quelconque de ceux-ci rend la signature inutilisable et, si cela se produit, l'interpréteur n'importera pas les fichiers au démarrage.Cette conception améliore la sécurité des fichiers contre les logiciels malveillants qui pourraient essayer d'y insérer du code malveillant.
Bien sûr, si elle est définie sur Restricted, la stratégie d'exécution empêchera également vos propres scripts de profil de Windows PowerShell de s'exécuter au démarrage.Windows PowerShell ne crée pas un script de profil par défaut, mais il recherche quatre emplacements spécifiques pour les noms de fichier spécifiques et, s'il les trouve, tente de les exécuter chaque fois que l'interpréteur démarre.(La documentation installée avec Windows PowerShell fournit des détails sur les noms de dossier et de fichier utilisés pour les scripts de profil).Le profil est la clé de la faille que je vais m'attacher à décrire.

Modification de la stratégie d'exécution
Applet de commande du mois
Le compagnon de Set-AuthenticodeSignature est Get-AuthenticodeSignature.Cette applet de commande est conçue pour examiner un script signé numériquement et vous donne des informations sur la signature.Il suffit de le pointer sur le fichier en question pour voir non seulement si un fichier a été signé mais si la signature est intacte, quel certificat a été utilisé pour signer le fichier, et ainsi de suite.En plus de fonctionner avec les scripts Windows PowerShell, cette applet de commande fonctionne également avec des exécutables signés, comme ceci :
PS C:\Program Files\Microsoft Office\Office12>
Get-AuthenticodeSignature excel.exe | Format-List *
En exécutant cette commande, je constate que l'exécutable a été signé par Microsoft Corp. à l'aide d'un certificat émis par l'autorité de certification pour la signature de code de Microsoft.
Résultats de la commande
Résultats de la commande

Je dois souligner que dans les conditions par défaut, il est très difficile, voire impossible, d'obtenir que Windows PowerShell exécute du code, sans parler de code malveillant.Les scripts malveillants ne deviennent possibles que si vous modifiez la stratégie d'exécution.Je tiens à préciser que cet article n'est pas une sonnette d'alarme sur les failles de sécurité dans Windows PowerShell, mais est destiné à partager certaines pratiques recommandées pour renforcer vos systèmes.
La stratégie d'exécution la plus basse est Unrestricted, qui permet d'exécuter tous les scripts sans restriction, en offrant essentiellement le même scénario indésirable que vous avez eu avec VBScript et les fichiers de commandes pendant des années.Si vous définissez l'interpréteur sur Unrestricted, vous invitez tout simplement les scripts malveillants à pénétrer dans votre système et à l'endommager.Si vous choisissez le paramètre Unrestricted et qu'un script apparaît et s'impose, assurez-vous que vous pouvez justifier votre choix du paramètre Unrestricted, et soyez prêt à assumer votre décision lorsque vous expliquerez comment un virus a effacé votre environnement !
Pour être honnête, Windows PowerShell essaiera toujours de détecter les scripts téléchargés à partir d'Internet et vous avertira avant de les exécuter, même lorsqu'il est défini sur Unrestricted.Mais le fait est qu'il est fortement déconseillé de définir la stratégie d'exécution sur Unrestricted.

Signature des scripts
La stratégie d'exécution la plus sécurisée pour exécuter les scripts est Allsigned.Ce paramètre, comme son nom le suggère, exécute uniquement des scripts qui portent une signature numérique intacte créée à l'aide d'un certificat approuvé (pas n'importe quelle vieille signature).La signature des scripts nécessite d'acquérir un certificat numérique de Classe III, plus précisément, un certificat de signature de code Authenticode de Microsoft.Ces certificats peuvent être obtenus auprès de l'infrastructure de clé publique (PKI) interne de votre entreprise, si vous en possédez une, ou si vous en avez acheté une auprès des autorités de certification commerciales (CA), telles que CyberTrust, Thawte et VeriSign.
Si vous souhaitez savoir si des certificats sont installés sur votre machine et peuvent être utilisés pour signer des scripts, l'applet de commande suivante vous l'indiquera :
Get-ChildItem CERT: -recurse –codeSigningCert
Après avoir installé le certificat sur votre ordinateur Windows® vous devez utiliser l'applet de commande Set-AuthenticodeSignature pour créer et appliquer une signature numérique, qui s'affiche sous la forme d'une série de lignes de commentaire ressemblant à du charabia à la fin du script.Certains éditeurs de scripts peuvent offrir la possibilité d'appliquer une signature à un fichier de script, notamment la possibilité de signer automatiquement les scripts lorsque vous les enregistrez, ce qui peut être commode.
AllSigned est la meilleure stratégie d'exécution à utiliser dans un environnement de production.Bien qu'il n'empêche pas de scripts malveillants, il s'assure qu'un script malveillant est signé et, donc, vous pourriez dépister l'auteur du script (en supposant que vos ordinateurs Windows sont configurés pour approuver uniquement les autorités de certification dignes de confiance, mais ce sujet n'entre pas dans le cadre de cet article).Il est intéressant de noter que Windows Script Host (WSH) 5.6 et versions ultérieures peut être configuré avec un paramètre TrustPolicy similaire qui nécessite également des signatures numériques, mais j'ai rencontré peu d'administrateurs qui utilisent ce paramètre.
Voici donc un récapitulatif rapide jusqu'à présent.Avec une stratégie d'exécution définie sur Restricted, vous êtes protégé contre les scripts malveillants, mais vous ne pouvez pas non plus exécuter les scripts utiles.Lorsque votre stratégie d'exécution est configurée sur AllSigned, l'interpréteur autorise les scripts signés, ce qui est assez fiable puisque peu d'auteurs de scripts malveillants veulent qu'une identité vérifiée et traçable soit appliquée à leur travail.Le paramètre Unrestricted, en revanche, est extrêmement dangereux et si vous l'utilisez, vous pouvez vous attendre à recevoir des scripts malveillants.(Notez que je ne considère pas le paramètre Unrestricted comme une vulnérabilité particulière parce qu'il ne prétend pas être autre chose qu'un paramètre non fiable et si vous l'utilisez, vous savez vraisemblablement pourquoi vous l'avez choisi).

Entrée furtive par une porte dérobée
Il existe un autre paramètre de stratégie d'exécution :RemoteSigned.Je pense que c'est celui que la plupart des administrateurs utilisent actuellement, simplement parce qu'il est perçu comme plus fiable que Unrestricted et moins embêtant que AllSigned.RemoteSigned ne nécessite pas de signature pour les scripts locaux.Les fichiers PS résidant sur vos lecteurs locaux s'exécuteront sans signature.Les scripts distants, principalement ceux qui sont téléchargés à partir d'Internet à l'aide d'Internet Explorer® ou d'Outlook® (ces applications marquent les fichiers téléchargés avec un indicateur spécial), ne s'exécuteront pas sans signature.
Le paramètre RemoteSigned peut cependant vous donner un faux sentiment de sécurité.Pour commencer, il est facile de télécharger des scripts distants sans qu'un indicateur spécial soit appliqué.Les navigateurs non-Microsoft, par exemple, ainsi que la plupart des clients de messagerie électronique non-Microsoft ne définissent généralement pas cet indicateur.Il est important de noter que sans cet indicateur, Windows PowerShell traite les scripts téléchargés comme des scripts locaux, ce qui signifie qu'une signature ne sera pas requise.Pourtant, je ne considère pas cela comme une vulnérabilité importante.Vous devez télécharger le script, ouvrir Windows PowerShell et exécuter le script manuellement pour qu'il s'exécute.C'est un peu difficile de persuader quelqu'un d'exécuter toutes ces étapes, et les administrateurs, généralement les seuls utilisateurs sur un réseau qui disposent de Windows PowerShell, doivent le savoir.
Cependant, RemoteSigned, offre une « porte dérobée » par laquelle les logiciels malveillants peuvent s'introduire.Vous souvenez-vous de ces scripts de profil Windows PowerShell ?S'ils existent, qu'ils aient été créés par vous ou par un logiciel malveillant, ils s'exécuteront à chaque fois que Windows PowerShell s'exécutera.Sous la stratégie d'exécution RemoteSigned, vos scripts de profil, qui sont locaux, n'ont pas besoin d'être signés.
Voici le scénario :
  1. Un logiciel malveillant s'introduit dans votre système et crée un script de profil d'interpréteur ou insère un code malveillant dans un script de profil existant.Les logiciels malveillants s'exécutent généralement sous votre compte d'utilisateur connecté, qui a généralement l'autorisation de modifier votre script de profil.
  2. Vous ouvrez Windows PowerShell, sans vous rendre compte que votre script de profil a été créé ou modifié pour inclure un code malveillant.Le code s'exécute et le mal est fait.Les dommages sont pires si vous avez l'habitude d'ouvrir Windows PowerShell avec les informations d'identification de l'administrateur, une pratique courante dans la mesure où lorsque vous utilisez l'interpréteur, vous avez besoin des privilèges d'administrateur pour exécuter toutes les tâches pour lesquelles vous utilisez l'interpréteur.
Le profil offre alors un moyen d'exécuter du code arbitraire et malveillant, à votre insu, et la stratégie d'exécution RemoteSigned permet cela.

Protection du profil
Il existe une seule manière correcte de protéger votre profil :utiliser la stratégie d'exécution AllSigned.Sous AllSigned, même vos scripts de profil doivent être signés numériquement, sinon Windows PowerShell ne les exécutera pas au démarrage.Et si vous avez signé vos scripts de profil, les modifications malveillantes de ceux-ci altéreront leurs signatures numériques, en les rendant incapables de s'exécuter. En effet, Windows PowerShell vous alertera du problème au démarrage.AllSigned est vraiment le seul paramètre de stratégie d'exécution fiable pour les environnements de production qui doivent autoriser des scripts pour s'exécuter.
Il existe une autre approche, mais elle est plus compliquée et moins fiable.Vous pouvez créer des fichiers de script de profil vierges pour chacun des quatre fichiers recherchés par Windows PowerShell.Utilisez un nouveau compte utilisateur (je l'appellerai « Éditeur de profils ») pour créer ces fichiers et définir les autorisations NTFS des fichiers afin que seul le compte d'Éditeur de profil puisse les modifier.Les autres comptes peuvent disposer de l'accès en lecture seule.
Maintenant, ne vous connectez jamais à votre ordinateur en utilisant le compte Éditeur de profils sauf pour modifier votre profil.Avec cette approche, votre compte utilisateur normal (ou vos comptes) ne pourra pas modifier vos scripts de profil.Et tout logiciel malveillant qui s'exécute lorsque vous êtes connecté avec un compte normal ne pourra pas non plus modifier les scripts.Que se passe-t-il si le logiciel malveillant arrive à s'exécuter pendant que vous êtes connecté en tant qu'Éditeur de profils ?A priori, dans la mesure où vous êtes connecté en tant qu'Éditeur de profils pour modifier vos scripts de profil, vous devriez remarquer les modifications.
Vous pouvez aussi créer votre propre filet de sécurité, en créant un script de profil unique pour tous utilisateurs qui est contrôlé avec des autorisations de fichier strictes, comme je viens de décrire.Dans ce script, écrivez un code qui utilise l'applet de commande Get-AuthenticodeSignature pour examiner les signatures numériques sur les autre profils recherchés par l'interpréteur.Cela vous permet essentiellement de demander des signatures pour les scripts de profil, sans en demander pour les autres scripts.
La stratégie d'exécution AllSigned est toutefois une façon beaucoup plus efficace de protéger votre profil.Ma recommandation est que tout ordinateur connecté à votre réseau doit avoir la stratégie d'exécution Restricted, de préférence appliquée par la stratégie de groupe.Cela remplace tous les paramètres locaux et garantit que les nouveaux ordinateurs du domaine sont automatiquement configurés pour rejeter les scripts.Les ordinateurs sur lesquels les scripts sont autorisés doivent avoir une autre stratégie de groupe qui détermine la stratégie d'exécution AllSigned.Vous devez signer numériquement tous les scripts, mais vous pouvez dormir sur vos deux oreilles sachant que seuls les scripts de confiance des auteurs identifiables s'exécutent dans votre environnement.

Don Jones est le gourou des scripts chez SAPIEN Technologies et co-auteur de Windows PowerShell:TFM (SAPIEN Press, 2007).Vous pouvez le contacter sur le site www.ScriptingAnswers.com.


 H&#233;, vous le scripteur&#160;!: Pas d'erreur, c'est une expression r&#233;guli&#232;re
Hé, vous le scripteur !
Pas d'erreur, c'est une expression régulière
Les scripteurs Microsoft
Télécharger le code de cet article: HeyScriptingGuy2008_01.exe (150KB)

Tout le monde commet des erreurs.(Vous pensiez vraiment que l'équipe des scripteurs avait été créée exprès ?)Cependant, si l'ont peut dire quelque chose de positif à propos des erreurs, c'est... heu qu'est-ce que c'est ?Vous pensiez que nous dirions que la seule chose positive à propos des erreurs est que vous pouvez toujours apprendre de ces erreurs ?Absolument pas :la seule chose que vous pouvez apprendre d'une erreur est qu'il aurait été préférable de ne l'avoir jamais commise.
Remarque :Désolé, pas de plaisanterie sur Microsoft Bob, pas aujourd'hui.Nous avons commis l'erreur de nous moquer de Microsoft Bob précédemment et, dans ce cas, nous avons appris de notre erreur.Quand il s'agit de Microsoft Bob, nos lèvres sont scellées.
Pour être honnête, les scripteurs ne voient vraiment aucun aspect positif aux erreurs. C'est pourquoi nous avons consacré nos vies à réduire nos erreurs.(Il est vrai que le seul moyen de les réduire était de réduire le nombre de choses que nous faisons. Mais cela est une autre histoire).
Maintenant, c'est bien joli que nous ayons essayé de réduire nos propres erreurs, mais cela n'a aucun intérêt si les personnes avec lesquelles nous travaillons continuent de commettre des erreurs.(Non, nous vous l'avons déjà dit :pas de plaisanterie sur Microsoft Bob !)Si vous avez déjà écrit un élément frontal, par exemple, d'un programme de base de données ou d'Active Directory® (et nous savons que c'est le cas de beaucoup d'entre vous), vous voyez exactement de quoi nous parlons :votre programme frontal de saisie de données n'est efficace qu'à la mesure des personnes qui effectuent la saisie des données.
Supposons que vous vouliez que les prénoms soient entrés comme ceci :Ken, avec une première lettre majuscule et toutes les lettres suivantes en minuscules.Qu'arrive-t-il lorsqu'un utilisateur entre ce nom comme ceci :KEN ?Supposons que les dates sont entrées comme ceci :01/23/2007. Qu'arrive-t-il lorsqu'un utilisateur entre une date comme ceci :23 janvier 2007 ?Supposons..., enfin vous voyez ce que nous voulons dire.Comme nous l'avons dit, votre programme frontal d'entrée de saisie de données n'est efficace qu'à la mesure des personnes qui effectuent la saisie.Et que cela vous plaise ou non, les personnes qui effectuent la saisie des données commettent des erreurs.À moins, bien sûr, que vous preniez des mesures pour vous assurer qu'elles n'en feront pas.

S'assurer que les données sont valides
Attendons la fin des Jeux
Vous êtes vous jamais demandé quel est l'événement que les scripteurs attendent toute l'année ?Si vous êtes allé au Centre de scripts en février au cours de l'une des deux dernières années, vous pourriez penser que cet événement est « Les Jeux de script d'hiver ».Hé bien, vous auriez tort.Les scripteurs attendent la fin des Jeux de script, lorsque, après deux semaines d'amusement et d'agitation incessants, les scripteurs se préparent à savourer la réussite d'une nouvelle édition des Jeux de script et à dormir pendant un mois.
Donc, en préparation de notre événement préféré de l'année, la fin des Jeux de script, il est temps de lancer les Jeux de script d'hiver 2008 !Rejoignez-nous du 15 février au 3 mars 2008 au Centre de scripts pour plus de deux semaines de jeux de script et la meilleure compétition de script au monde.
Les Jeux de script sont un bon moyen de tester et d'améliorer vos compétences.Et comme cette année les Scripteurs veulent dormir quelques jours de plus après la fin de la compétition, nous faisons tout pour que la compétition de cette année soit encore plus grandiose et plus réussie que l'année dernière !Une fois encore, nous aurons deux catégories :Débutant et Avancé.Cela signifie que si vous êtes novice en matière de script, professionnel grisonnant (ou jeune et fringant), ou quelque part au milieu, cette compétition est pour vous.
Alors, quelles sont les nouveautés de cette année ?Nous ajoutons encore un autre langage de script.Vous pouvez participer à la compétition en VBScript, Windows PowerShell ou, voilà la nouveauté, Perl.(Nous savons que Perl n'est pas nouveau, mais c'est nouveau dans cette compétition).Il y aura probablement d'autres nouveautés, mais puisque nous avons dû rédiger cet encadré il y a plusieurs mois, nous ne savons pas ce que ce sera.Il vous faudra visiter le Centre de scripts pour découvrir ce que nous proposons.
Si vous vous posez la question, oui, il y aura des prix !Que seront-ils ?Allez, nous ne gâchons pas la surprise ici, venez au Centre de scripts la découvrir ! Microsoft.com/technet/scriptcenter/funzone/games/default.mspx.

Beaucoup d'entre vous ont probablement déjà effectué une validation d'entrée des données rudimentaire.Pour l'essentiel, cette validation d'entrée de données simple est souvent tout à fait suffisante.Vous voulez vous assurer que la valeur de chaîne strName comporte 20 caractères au maximum ?Ce petit bloc de code fera l'affaire :
If Len(strName) > 20 Then
    Wscript.Echo "Invalid name; a " & _
    "name must have 20 or fewer characters."
End If
Mais supposons que strName est un nouveau numéro de référence et que les numéros de référence doivent respecter un modèle spécifié :quatre chiffres suivis de deux lettres majuscules (par exemple 1234AB).Avec le VBScript nature, pouvez-vous vérifier que strName suit le modèle requis pour les numéros de référence ?Oui, vous pouvez.Mais faites-nous confiance, vous ne voulez pas.Au lieu de cela, il vaut mieux utiliser une expression régulière.

S'assurer que seuls des chiffres apparaissent dans une valeur
Les expressions régulières datent des années 1950, époque à laquelle ils ont d'abord été décrits sous la forme de notation mathématique.Dans les années 1960, ce modèle mathématique a été intégré à l'éditeur de texte QED comme moyen de rechercher des modèles de caractères dans un fichier de texte.Quelque temps après... qu'y a-t-il ?Oh.Apparemment tout le monde ne trouve pas l'historique des expressions régulières aussi fascinant que nous. Pas de problème.Dans ce cas, nous nous contenterons de vous expliquer ce dont nous parlons.
Vous voulez vous assurer qu'une variable (en l'occurrence, la variable strSearchString) contient uniquement des chiffres ?La figure 1 présente une façon de faire cela.
Figure 1 Des chiffres, rien que des chiffres (Close Figure 1)
Set objRegEx = _
  CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\D"

strSearchString = "353627"

Set colMatches = _
  objRegEx.Execute(strSearchString)

If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Comme vous pouvez le voir, le script démarre en créant une instance de l'objet VBScript.RegExp, l'objet qui... absolument, vous avez tout à fait raison, l'objet qui nous permet d'utiliser des expressions régulières dans notre script.(Oh, nous voulions expliquer cela nous-mêmes).Ensuite, nous attribuons des valeurs à deux propriétés clés de l'objet des expressions régulières :Global et Pattern.
La propriété Global détermine si le script doit correspondre à toutes les occurrences d'un modèle ou doit simplement rechercher la première occurrence puis s'arrêter.En général, il est préférable de définir cette valeur sur True, ce qui signifie que vous voulez rechercher toutes les occurrences d'un modèle.(La valeur par défaut est False.)La plupart du temps, vous voudrez rechercher toutes les occurrences d'un modèle.Même si vous ne le faites pas, le seul avantage de rechercher uniquement la première occurrence d'un modèle réside dans le fait que le script s'exécutera plus rapidement s'il s'arrête au milieu de la chaîne au lieu d'effectuer la recherche d'un bout à l'autre de celle-ci.En théorie, cela paraît bien.Dans la pratique, cependant, la recherche se termine généralement si rapidement que vous ne remarquerez pas beaucoup de différence.
Voici la partie intéressante :le Pattern est l'endroit où nous spécifions les caractères (et le modèle de caractère) qui nous intéressent. Dans notre exemple de script, nous cherchons tous les caractères qui ne sont pas des chiffres de 0 à 9. Si nous trouvons un de ces caractères (une lettre, un signe de ponctuation, etc.), nous savons que la valeur attribuée à strSearchString n'est pas valide.Avec les expressions régulières, la syntaxe \D est utilisée pour rechercher un caractère non-chiffre. Ainsi nous attribuons la valeur \D à la propriété Pattern.
Remarque :Comment savions nous que \D correspond à un caractère non-chiffre ?Eh bien, un long historique se cache derrière cela.Voyez-vous, il y plusieurs années... bon d'accord.Nous avons recherché cela sur MSDN® dans la référence sur le langage VBScript, à l'adresse msdn2.microsoft.com/1400241x.
Après avoir attribué des valeurs aux propriétés Global et Pattern, l'étape suivante consiste à attribuer une valeur à la variable strSearchString :
strSearchString = "353627"
Comment savons-nous si cette chaîne contient des caractères non-chiffre ?C’est simple :il suffit d'appeler la méthode Execute qui recherche notre variable pour les caractères non-chiffre :
Set colMatches = _
objRegEx.Execute(strSearchString)
Lorsque vous appelez la méthode Execute, toutes les correspondances, c'est à dire toutes les instances de Pattern trouvées sont automatiquement enregistrées dans la collection Matches.(Dans notre exemple de script, nous avons nommé cette collection colMatches).Si nous voulons savoir si notre variable contient des caractères non-chiffre (et nous le voulons), il nous suffit maintenant de vérifier la valeur de la propriété Count de la collection, qui nous indique combien d'articles se trouvent dans la collection :
If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Si Count est supérieur à 0, cela ne peut signifier qu'une seule chose :Un caractère non-chiffre a été trouvé quelque part dans la valeur variable.(Si tous les caractères de la valeur étaient des chiffres, la collection serait vide et Count aurait la valeur 0.)Dans notre exemple de script, nous renvoyons ensuite le fait qu'un caractère non numérique a été découvert.Dans une base de données frontale ou un script frontal opérationnel, vous auriez probablement renvoyé un message similaire et effectué une boucle pour que l'utilisateur essaie à nouveau.Mais nous vous laissons vous occuper de cela. En tant que Scripteurs, nous avons beaucoup d'autres sujets de préoccupations.
Comme quoi ?Comme la pensée qu'un jour, les gens de Technet Magazine pourraient commencer à vraiment lire les articles que nous leur envoyons tous les mois.Nous préférerions qu'ils n'apprennent pas de leurs erreurs.
Ah, bonne question :ne pourrions-nous pas simplement utiliser la fonction IsNumeric pour déterminer si strSearchString contient un chiffre ?Bien sûr, à condition que strSearchString puisse être n'importe quel nombre.Mais qu'en est-il si strSearchString doit être un nombre entier positif ?Cela pourrait être un problème. car IsNumeric identifie ces deux valeurs comme des nombres valides :
-45
672.69
Pourquoi ces valeurs sont-elles identifiées comme des nombres valides ?Parce que ce sont des nombres valides. Simplement, il ne s'agit pas de nombres entiers.Toutefois, notre expression régulière marquera ces valeurs comme des entrées non valides car l'expression régulière intercepte les caractères non-chiffre signe moins (–) et point (.).Si vous avez lu cet article en pensant, « Mais pourquoi suis-je en train de lire cet article ? » hé bien, voilà une très bonne raison.
Qu'avez-vous dit ?Cela n'est pas suffisant ?Vous êtes bien exigeants ce mois-ci.Examinons quelques autres types de validation d'entrée de données que l'on peut effectuer à l'aide d'expressions régulières.

S'assurer qu'aucun chiffre n'apparaît dans une valeur
Nous venons de vous expliquer comment vous assurer que seuls des chiffres apparaissent dans une valeur.Qu'en est-il si nous voulons faire le contraire, si nous voulons nous assurer qu'aucun chiffre n'apparaît dans notre valeur ?Hé bien, voici un modèle de recherche que nous pouvons utiliser :
objRegEx.Pattern = "[0-9]"
Que se passe-t-il ici ?Dans le monde farfelu des expressions régulières, les caractères crochet ([ et ]) vous permettent de spécifier une série de caractères ou, comme nous l'avons fait ici, une plage de caractères.Que signifie Pattern [0-9] ?Cela signifie que nous recherchons les caractères de la plage 0 à 9, autrement dit, n'importe quelle valeur numérique.Si nous voulions uniquement les chiffres pairs (c'est à dire, si nous voulions nous assurer que notre valeur n'inclut pas de 1, 3, 5, 7 ou 9), nous utiliserions ce modèle :
objRegEx.Pattern = "[13579]"
Notez que puisque nous n'avons pas utilisé de trait d'union, nous ne recherchons pas une plage de caractères.En fait, nous recherchons les caractères 1, 3, 5, 7 et 9, spécifiquement.
Bien sûr, le modèle [0-9] recherche uniquement les chiffres. Il ne trouvera pas les signes de ponctuation ou d'autres caractères qui ne sont pas des lettres mais ne sont pas des chiffres non plus.Pensez-vous que nous pouvons créer un modèle qui recherche des caractères non-lettre ?Bien sûr que nous pouvons.Vous pouvez faire pratiquement tout ce que vous voulez avec les expressions régulières :
objRegEx.Pattern = "[^A-Z][^a-z]"
Dans ce cas-ci, nous combinons deux critères dans notre modèle :Nous recherchons [^A-Z] et [^a-z].Comme vous l'avez sans doute compris, A-Z représente la plage de caractères de A majuscule à Z majuscule. Que signifie le caractère ^ ?Lorsqu'il est placé entre crochets, le ^ signifie, « Rechercher les caractères qui n'appartiennent pas à ce jeu de caractères ».Ainsi, [^A-Z] signifie, « Rechercher les caractères non majuscules ».Alors que [^a-z] signifie, « Rechercher les caractères non minuscules ».Le résultat ?Ce modèle signifie que nous recherchons des caractères qui ne sont ni des lettres majuscules, ni des lettres minuscules.Cela inclut les chiffres, les signes de ponctuation et d'autres caractères bizarres qui se trouvent sur votre clavier.
Nous aurions également pu définir la propriété IgnoreCase sur True :
objRegEx.IgnoreCase = True
En faisant cela, notre recherche ignorerait la casse des lettres.Nous pourrions utiliser ce Pattern, qui, combiné avec la propriété IgnoreCase, rechercherait les caractères qui ne sont ni des lettres majuscules ni des lettres minuscules :
objRegEx.Pattern = "[^A-Z]"

S'assurer qu'un numéro de référence est valide
Allons maintenant un peu plus loin.(Faites-nous confiance, vous pouvez vraiment aller plus loin avec les expressions régulières. Consultez le site Web regexlib.com pour certains exemples).Plus haut dans cet article, nous avons dit quelque chose comme ceci :Supposons que strName est un nouveau numéro de référence et que les numéros de référence doivent respecter un modèle spécifié :quatre chiffres suivis de deux lettres majuscules (par exemple 1234AB).Comment pouvez-vous vérifier qu'une variable correspond à ce modèle ?Mais enfin, comme ceci, bien sûr :
objRegEx.Pattern = "^\d{4}[A-Z]{2}"
Que signifie ce modèle ?Quelle coïncidence :nous étions sur le point d'expliquer ce que ce modèle signifie.Dans ce cas-ci, nous recherchons trois critères :
^\d{4}
Le \d signifie que nous recherchons des chiffres (un caractère dans la plage 0 à 9).Que signifie {4} ?Cela signifie que nous voulons trouver exactement quatre caractères (c'est à dire, exactement quatre chiffres).Ainsi nous recherchons quatre chiffres consécutifs.
Qu'en est-il du caractère^ ?Hors des crochets, le ^ indique que la valeur doit commencer par le modèle suivant. Cela signifie qu’AA1234AB ne serait pas marqué comme une correspondance.(Pourquoi ?Parce que cette valeur commence par AA, pas par quatre chiffres consécutifs).Si nous le voulions, nous pourrions utiliser le caractère $ pour indiquer que la correspondance doit survenir à la fin de la chaîne.Mais nous ne le voulons pas.(Du moins pas avec cet exemple).
[A-Z]{2}
Vous savez déjà ce que signifie le composant [A-Z], il s'agit de n'importe quelle lettre majuscule.Et le {2} ?Vous l'avez deviné :les quatre chiffres doivent être suivis par exactement deux caractères majuscules.
Assez facile, non ?À propos, dans le cas qui nous occupe, si Count a la valeur 0, nous avons une valeur non valide.Pourquoi ?Parce que cette fois, nous ne recherchons pas un caractère unique qui invaliderait la chaîne, mais nous recherchons une correspondance exacte du modèle.Si nous n'obtenons pas cette correspondance, cela signifie que nous avons une valeur non valide.Cela signifie également que la propriété Count de la collection sera 0.
Remarque :Les deux constructions suivantes sont des constructions utiles :{3,} et {3,7}.Le {3,} signifie qu'il doit y avoir au moins 3 caractères consécutifs (ou expressions), mais bien qu'il y ait un minimum de 3, il n'y a pas de maximum.Ce \d{3,} correspond à 123, il correspond à 1234, et il correspond également à 123456789. Le {3,7} signifie qu'il doit y avoir au moins 3 caractères consécutifs (ou expressions) mais pas plus de 7. Ainsi, 123456 est une correspondance, mais 123456789 (qui a plus de 7 chiffres consécutifs) n'est pas une correspondance.
Voici un autre modèle utile.Supposons que votre numéro de référence commence par 4 chiffres suivis des lettres US suivies de deux caractères finaux (qui peuvent être des lettres, des chiffres ou quoi que ce soit).Voici un moyen d'obtenir une correspondance :
objRegEx.Pattern = "^\d{4}US.."
Comme vous pouvez le voir, ce motif commence par quatre chiffres (\d), qui doivent être suivis des caractères US (et seulement des caractères US, aucune autre correspondance ne sera possible).Après les caractères US, nous avons ensuite besoin de deux autres caractères.Comment faut-il indiquer un caractère quelconque dans une expression régulière ?Attendez une seconde, nous le savons ça... ha oui voilà :un caractère quelconque seul est indiqué par un point (.).Assez logiquement, cela signifie que deux caractères peuvent être indiqués par deux points :
..
Bon d'accord, c'était facile.Essayons quelque chose de plus difficile.Supposons que ces deux caractères internes indiquent le pays où la pièce a été fabriquée.Si vous avez des usines de fabrication aux États-Unis, au Royaume-Uni et en Espagne, cela signifie que tous ces codes à deux caractères sont valides :US, UK, ES.Comment diable pouvons-nous faire des choix multiples dans une expression régulière ?
Que pensez-vous de ceci :
objRegEx.Pattern = "^\d{4}(US|UK|ES).."
La clé ici est cette petite construction :(US|UK|ES).Nous avons placé les trois valeurs acceptables (US, UK et ES) entre parenthèses, en séparant chaque valeur par le caractère de barre verticale (|).C'est comme cela que les choix multiples sont indiqués dans une expression régulière.
Mais attendez :n'avions nous pas dit que vous pourriez placer plusieurs options entre crochets ?L'exemple [13579] ne servait-il pas à cela ?Si, absolument.Cependant, cette notation fonctionne seulement pour les caractères uniques ; [13579] sera toujours interprété comme 1, 3, 5, 7 et 9. Pour utiliser 135 et 79 comme choix, vous devez utiliser cette syntaxe :(135|79). Vous pouvez également utiliser des parenthèses pour définir un mot unique à rechercher :
objRegEx.Pattern = "(scripting)"
Ou ne pas mettre de parenthèses :
objRegEx.Pattern = "scripting"
Remarque :D'accord, c'est bon à savoir mais qu'en est-il si les parenthèses doivent faire partie du terme de recherche, c'est-à-dire, qu'en est-il si je veux rechercher (écrire le script) ?Hé bien, comme les parenthèses d'ouverture et de fermeture sont des caractères réservés dans les expressions régulières, vous devez faire précéder chaque caractère d'un \.En d'autres termes :
objRegEx.Pattern = "\(scripting\)"

Liberté d'expression
Nous n'avons pas le temps d'en dire plus ce mois-ci.Si vous souhaitez en apprendre plus sur les expressions régulières, vous pouvez jeter un coup d'œil au webcast Théorie de chaînes pour les administrateurs système :Introduction aux expressions régulières (microsoft.com/technet/scriptcenter/webcasts/archive.mspx).Et lorsque vous commencerez à apprendre, et à utiliser, les expressions régulières, n'oubliez pas les paroles immortelles de Sophia Loren :« Les erreurs font partie du tribut à payer pour une vie bien remplie ».
Remarquable !Les Scripteurs ont eu des vies bien plus remplies que nous ne pensons !

Les scripts embrouillés du Dr. Scripto
Le défi mensuel qui teste non seulement vos compétences à résoudre les énigmes, mais également vos compétences à écrire des scripts.

Janvier 2008 :Noms cachés
Ce mois-ci, Dr. Scripto a décidé de travailler avec Windows PowerShell.Bien sûr, vous ne pouvez pas travailler avec Windows PowerShell, si vous l'utilisez bien du moins (et Dr. Scripto fait toujours tout bien), sans utiliser les applets de commande.Pour cette énigme, Dr. Scripto a placé des applets de commande sur une grille et vous devez les découvrir.
Bon, nous devons admettre que cette énigme serait un peu plus compliquée si nous devions utiliser toute l'applet de commande.Du fait la construction verbe-substantif des applets de commande, il y en a des dizaines qui commencent par Get-, Set-, etc.Donc nous avons enlevé la partie verbe de l'applet de commande (et le trait d'union), en laissant seulement les noms.(Mais nous pouvons vous dire que tous les verbes étaient « Get- ».)
Votre tâche du mois est de découvrir les noms d'applet de commande.Nous vous avons fourni la liste des noms masqués dans l'énigme.(Nous sommes généreux, n'est-ce pas ?)Chaque mot peut être lu verticalement et horizontalement, en avant et en arrière, mais jamais en diagonale.Nous vous avons donné le premier mot (Location) comme exemple.Bonne chance !

Liste des mots
Alias
ChildItem
Credential
Date
EventLog
ExecutionPolicy
Location
Member
PSSnapin
TraceSource
Unique
Variable
WMIObject

Les scripts embrouillés du Dr. Scripto
Réponse :Noms cachés, janvier 2008

Les scripteurs Microsofttravaillent pour (enfin, sont employés par) Microsoft.Lorsqu’ils ne sont pas en train de jouer au base-ball, d’entraîner une équipe ou de regarder un match (ou de se livrer à de multiples autres activités), ils dirigent le Script Center TechNet.Vous pouvez le vérifier vous-même sur www.scriptingguys.com.


 Vigilance s&#233;curit&#233;: Attaque de type Island Hopping&#160;:l'attrait contagieux des gadgets publicitaires
Vigilance sécurité
Attaque de type Island Hopping :l'attrait contagieux des gadgets publicitaires
Jesper M. Johansson

La technique de « island hopping », qui consiste à pénétrer un réseau via un maillon faible puis à passer d'un système à l'autre de ce réseau, existe depuis des années.Mais elle continue à prendre de l'ampleur.Dans les environnements informatiques actuels soucieux de la sécurité, l'élément humain est souvent le maillon faible et les utilisateurs malveillants
trouvent des manières d'utiliser cela à leur avantage (telles que le hameçonnage et d'autres formes d'ingénierie sociale).Cette combinaison de carbone et de silicium peut se révéler fatale à votre réseau.
Une de mes implémentations préférées pour exploiter l'élément humain a été réalisée par Steve Stasiukonis de Secure Network Technologies lors d'un test de pénétration pour un client.Il a disséminé dans le parc de stationnement du client des lecteurs flash USB comportant chacun un cheval de Troie.Lorsque les employés sont arrivés au travail le matin, ils étaient ravis de trouver des gadgets gratuits répartis dans le parc de stationnement.Les employés ont recueilli avec empressement ces lecteurs USB et les ont connectés aux premiers ordinateurs à leur portée :leurs propres postes de travail.
Peut-être que certains employés ont été assez sages pour ignorer ces lecteurs USB et peut-être que certains lecteurs USB ont été jetés, mais il suffisait d'un utilisateur et d'un lecteur pour infecter son propre système et fournir une passerelle au réseau.Stasiukonis a réalisé cet exercice comme un test, bien sûr, mais cette technique a été utilisée par de vrais criminels pour infiltrer les grands réseaux d'entreprise.
Les lecteurs flash USB sont partout actuellement.Presque à chaque conférence, certains fournisseurs les distribuent comme des bonbons.Ces lecteurs peuvent ne pas avoir beaucoup de capacité, mais il n'est pas nécessaire d'avoir beaucoup d'espace de stockage pour prendre le contrôle de l'ensemble d'un réseau.Dans cette série en deux parties, j'examinerai ce type d'attaque et expliquerai les moyens d'atténuer le risque.Dans l'article de ce mois-ci, je présenterai ce que les lecteurs flash USB peuvent faire exactement et ce que vous pouvez faire pour les contrôler.Dans le numéro du mois prochain de Technet Magazine, je vous expliquerai comment contenir une attaque contre un seul ou un petit groupe de systèmes du réseau.
Les détails techniques de l'attaque sont en réalité très simples.Cela commence par un lecteur flash USB infecté que l'on insère dans un seul ordinateur.Ce qui arrive ensuite dépend de la charge du lecteur et, bien sûr, de la crédulité de l'utilisateur.

Au début
Sur l'estrade se trouvait un ordinateur portable sans surveillance.L'intervenant, était occupé à essayer de gagner les faveurs de l'auditoire avant de commencer sa présentation.L'ordinateur portable était verrouillé, mais cela avait peu d'importance.L'attaquant est monté sur l'estrade et a traîné un peu, en ayant l'air d'attendre le retour de l'intervenant.Ces estrades étant conçues pour masquer des objets peu esthétiques comme les ordinateurs, les ports USB et les mains de l'attaquant ont été cachées à la vue.Une fois le lecteur flash USB inséré dans l'ordinateur, quelques secondes ont suffi pour terminer l'attaque.
Il existe des variations évidentes sur ce thème particulier.Par exemple, lorsque je voyageais à travers le monde pour faire des présentations hebdomadaires, presque à chaque fois à la fin de celles-ci, quelques personnes demandaient une copie de mes diapositives.Ma réponse était toujours de leur remettre une carte de visite et leur demander de m'envoyer un message électronique.Pourquoi faisais-je cela puisque chacun d'eux conservait avidement un lecteur flash USB ?Parce que je connais des outils comme USB Hacksaw et Switchblade.(Si vous n'êtes pas familiers de ceux-ci, recherchez-les sur le site wiki.hak5.org.)
En fait, ces outils permettent pratiquement à n'importe qui d'exploiter des utilisateurs qui ne protègent pas leurs ports USB.Par exemple, Switchblade peut supprimer les éléments suivants :
  • les informations système
  • tous les services réseau
  • une liste des ports qui écoutent
  • toutes les clés de produit pour les produits Microsoft sur l'ordinateur
  • la base de données locale des mots de passe
  • le mot de passe des réseaux sans fil utilisés par l'ordinateur
  • tous les mots de passe de réseau enregistrés sur l'ordinateur par l'utilisateur connecté
  • les mots de passe Internet Explorer®, Messenger, Firefox et de la messagerie électronique
  • les secrets de l'autorité de sécurité locale (LSA, Local Security Authority), qui contiennent tous les mots de passe des comptes de service en texte clair
  • une liste des correctifs installés
  • un historique de la navigation récente
Tout cela est consigné dans un fichier journal sur le lecteur flash et prend environ 45 secondes.
Hacksaw est une version légèrement modifiée ; il installe un cheval de Troie sur l'ordinateur, qui contrôle tous les événements d'insertion du lecteur flash USB.Il envoie ensuite à l'attaquant par courrier électronique les documents de tous les lecteurs flash insérés par la suite dans l'ordinateur.
Les outils que j'ai abordés jusqu'à présent utilisent U3 (u3.com), une technologie conçue pour permettre aux utilisateurs d'emporter des programmes sur un lecteur flash.Pour résumer, un lecteur flash U3 ment sur lui-même.Il indique au système d'exploitation qu'il est un concentrateur USB connecté à un lecteur flash et à un CD.Les versions Windows® antérieures à Windows Vista® exécuteront automatiquement, par défaut, des programmes indiqués dans le fichier autorun.inf sur les CD, mais pas sur lecteurs USB.En mentant sur lui-même, le lecteur flash USB U3 force le système d'exploitation à exécuter automatiquement ce qu'on appelle le lanceur U3.Le lanceur U3, à son tour, peut démarrer des programmes, vous donner un menu, ou faire à peu près tout ce que vous pourriez faire avec l'ordinateur vous-même.
Tout ce que font les outils d'exploitation c'est de remplacer le lanceur avec le code d'exploitation.Dès que le lecteur flash est connecté à un système Windows XP, l'outil d'exploitation s'exécute automatiquement.Sur Windows Vista, le flux de décision d'exécution automatique fonctionne différemment.L'exécution automatique est activée sur des périphériques amovibles, tout comme sur les CD.Cela signifie qu'une action se produira lorsque le périphérique sera inséré.Par défaut, la boîte de dialogue d'exécution automatique s'affichera, comme illustré à la figure 1.
Figure 1 La boîte de dialogue d'exécution automatique par défaut s'affiche lorsqu'un utilisateur insère un lecteur amovible avec des images.
Figure 1 La boîte de dialogue d'exécution automatique par défaut s'affiche lorsqu'un utilisateur insère un lecteur amovible avec des images.
Notez que la boîte de dialogue de la figure 1 dispose d'une option « Toujours faire ceci pour les images ».C'est une option d'exécution automatique qui peut être configurée dans le Panneau de configuration, illustré à la figure 2.
Figure 2 Configuration d'exécution automatique sur Windows Vista
Figure 2 Configuration d'exécution automatique sur Windows Vista
La configuration d'exécution automatique est particulièrement intéressante pour les logiciels et les jeux.Par définition, cela signifie que le lecteur amovible dispose d'un fichier autorun.inf qui spécifie certains programmes à exécuter.Les paramètres de la figure 2 relatifs aux « logiciels et jeux » sont enregistrés dans la clé de registre suivante :
Hive:    HKEY_CURRENT_USER
Key:    \Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\
UserChosenExecuteHandlers\AutorunINFLegacyArrival
Value: (Default)
Data:
MSAutoRun – automatically executes the program specified in the autorun.inf file

MSPromptEachTime – prompts the user, using strings specified in the autorun.inf file, if available
Comme il n'est pas nécessaire d'être administrateur pour modifier ces paramètres, les utilisateurs peuvent les définir à leur convenance, y compris en exécutant automatiquement un logiciel malveillant présent sur le lecteur qu'ils ont trouvé dans le parc de stationnement.Ils peuvent le faire en cochant la case appropriée dans la boîte de dialogue d'exécution automatique.

Gestion de l'exécution automatique dans votre réseau
En tant qu'administrateur, vous disposez de plusieurs façons de gérer l'exécution automatique à travers votre réseau.Premièrement, vous pouvez empêcher un utilisateur d'activer l'exécution automatique sur les supports amovibles et les CD en modifiant le paramètre NoDriveTypeAutoRun qui contrôle les types de lecteur pour lesquels l'exécution automatique est activée.Windows XP est livré avec NoDriveTypeAutoRun défini sur 0x95, qui désactive l'exécution automatique sur les types de lecteur, les périphériques réseaux et les périphériques amovibles inconnus.À partir de Windows XP SP2, le paramètre NoDriveTypeAutoRun est configuré sur 0x91 par défaut.Cela active l'exécution automatique sur les périphériques de stockage amovibles.En utilisant la stratégie de groupe, il existe un paramètre sous Configuration utilisateur\Modèles d'administration\Composants Windows\Stratégies de lecture automatique qui vous permet de gérer le paramètre NoDriveTypeAutoRun.La sélection de l'option « Désactiver l'exécution automatique et sélectionner les lecteurs de CD-ROM et lecteurs amovibles » désactive l'exécution automatique sur les deux types de lecteurs.
Cependant, l'utilisateur n'obtient pas la boîte de dialogue d'exécution automatique de la figure 1.En fait, rien n'arrive lorsque l'utilisateur insère le lecteur.Cela ne peut pas être une solution idéale, cependant, comme cela peut entraîner une confusion pour l'utilisateur qui ne sait pas comment accéder à des informations nécessaires sur le lecteur.
Vous voulez probablement contrôler les types de contenu qui peuvent être lus automatiquement.Vous pouvez y parvenir dans une certaine mesure, sur Windows Vista, car ce système d'exploitation comporte deux niveaux de contrôles sur l'exécution automatique des logiciels.Un autre contrôle dans la stratégie de groupe, illustré à la figure 3, vous permet de désactiver la lecture automatique des logiciels à l'aide des fichiers autorun.inf, tout en conservant les autres comportements de lecture automatique de Windows Vista.
Figure 3 Désactivation des fichiers autorun.inf avec la stratégie de groupe
Figure 3 Désactivation des fichiers autorun.inf avec la stratégie de groupe
Le flux de décision est un peu compliqué quand il s'agit de l'exécution automatique et peut-être que c'est plus facile à présenter avec un organigramme.La figure 4 décrit le flux de décision utilisé pour déterminer s'il faut exécuter automatiquement un fichier sur les supports amovibles.
Figure 4 Le flux de décision d'exécution automatique
Figure 4 Le flux de décision d'exécution automatique

Autres débuts
Il s'agit là de quelques outils qui peuvent être utilisés pour compromettre un ordinateur avec un lecteur flash USB.Toutes sortes d'outils peuvent être ajoutés à ce scénario, tels qu'un outil qui supprime le hachage du mot passe Windows NT® de l'utilisateur connecté actuellement (consultez la page microsoft.com/technet/community/columns/secmgmt/sm1005.mspx).
Beaucoup de contrôleurs USB sont les périphériques d'accès direct à la mémoire (DMA).Cela signifie qu'ils peuvent contourner le système d'exploitation et lire et écrire la mémoire directement sur l'ordinateur.Contournez le système d'exploitation et vous contournez les contrôles de sécurité qu'il fournit, maintenant vous disposez de l'accès complet et sans limites au matériel.Cela rend complètement inefficace le contrôle de périphérique implémenté par le système d'exploitation.Je ne connais pas d'outils de piratage qui utilisent actuellement cette technique, mais je suis persuadé que cela a déjà été fait.
Une autre façon d'exploiter la combinaison de périphériques amovibles/utilisateur est simplement de présenter une option attrayante.Par exemple, combien d'utilisateurs cliqueraient sur la boîte de dialogue de la figure 5 ?Pas tous, mais probablement beaucoup d'entre eux.En fait, c'est une tâche assez facile de créer une boîte de dialogue assez attrayante pour que les utilisateurs ne l'ignorent pas.
Figure 5 Combien d'utilisateurs sont victimes de cela ?
Figure 5 Combien d'utilisateurs sont victimes de cela ?

Blocage de périphérique
Nouveau dans Windows Vista, la stratégie de groupe possède maintenant une série de stratégies pour gérer l'installation de périphériques (voir la figure 6).Comme indiqué, l'administrateur peut empêcher l'installation de tous les nouveaux périphériques amovibles si le pilote spécifie qu'ils sont amovibles.Si le pilote indique qu'ils ne le sont pas, cependant, la stratégie ne prend pas effet.Ainsi, cette stratégie peut être contournée à l'aide de pilotes personnalisés.
Figure 6 Stratégies d'installation de périphériques Windows Vista
Figure 6 Stratégies d'installation de périphériques Windows Vista
Pour un contrôle plus granulaire, l'administrateur peut utiliser les stratégies pour agir sur les classes d'installation de périphériques spécifiques.Cependant, celles-ci nécessitent que vous connaissiez le GUID pour la classe de périphériques spécifiques que vous souhaitez bloquer (ou autoriser), en rendant cette approche beaucoup plus difficile à gérer.

Le privilège minimal est vraiment important
En ignorant le scénario d'accès direct à la mémoire (DMA) pendant un moment, le succès des attaques que j'ai abordé, ainsi que le succès des contre-mesures, dépendront des privilèges de l'utilisateur de l'ordinateur.S'il s'agit d'un utilisateur standard, la quantité de dommages causés par l'attaque est limitée.Elle peut toujours dérober les données de l'utilisateur et tous les éléments auxquels l'utilisateur a accès.Cependant, l'attaque n'aura probablement pas d'impact sur l'ensemble du réseau.
Cependant, si l'utilisateur exploité est administrateur, les conséquences peuvent être bien pires.Dans le scénario le plus catastrophique, l'utilisateur est administrateur de domaine et une attaque de l'ensemble du réseau est facile.Par exemple, l'attaquant peut extraire de la mémoire le hachage du mot de passe de l'utilisateur.Le système met en cache le hachage dans l'espace de processus de LSA à l'ouverture de session pour qu'il puisse être utilisé pour accéder de manière transparente aux ressources réseaux au nom de l'utilisateur.Un attaquant avec des privilèges d'administrateur peut extraire ce hachage et accéder avec celui-ci à toutes les ressources réseaux.En d'autres termes, si l'utilisateur est administrateur de domaine, l'ensemble du domaine est compromis.
Cela me conduit au sujet des dépendances.Jusqu'ici, j'ai présenté une attaque spécifique sur les postes de travail.Cependant, je n'ai pas exploré les conséquences de l'attaque à l'échelle d'un réseau.Dans la chronique du mois prochain, j'explorerai le concept de dépendances, en vous expliquant ce qu'elles signifient pour l'environnement dans l'ensemble et, surtout, ce que vous pouvez faire pour renforcer ces dépendances.

Jesper M. Johansson est ingénieur en sécurité, chargé des problèmes de sécurité logicielle et contribue à l’élaboration de TechNet Magazine.Il est titulaire d’un doctorat en systèmes d’information de gestion et possède plus de 20 ans d’expérience dans le domaine de la sécurité.


 Histoires de Bureau: Informatique partag&#233;e avec Windows SteadyState
Histoires de Bureau
Informatique partagée avec Windows SteadyState
Wes Miller

Je sais que si vous vous êtes trouvé près d'un laboratoire informatique au cours de la dernière décennie, ce problème ne vous est pas étranger.C'est un problème auquel j'ai été confronté pour la première fois quand j'étais à l'université.En ce temps là, les laboratoires étaient ouverts à toute heure du jour (avec votre carte d'étudiant) et étaient pour ainsi dire sans surveillance une fois que vous étiez dans la bibliothèque.Les étudiants accros des jeux de l'époque
entraient et modifiaient les fichiers Windows® et MS-DOS® clés pour exécuter leurs jeux.Ces modifications se traduisaient par un ordinateur qui pouvait faire fonctionner leur jeu correctement, mais qui n'exécutait pas bien Windows, voire pas du tout.Nous avons tous connu cette situation à un moment donné : un ordinateur en usage partagé qui a été maltraité au point qu'essayer de l'utiliser n'est plus qu'une perte de temps.
Récemment, je suis allé en vacances à South Padre Island, ici au Texas.L'hôtel où j'ai séjourné disposait de trois ordinateurs Windows XP dans une salle informatique réservée aux clients.Quiconque utilisait ces systèmes Windows était administrateur et l'hôtel n'avait aucune stratégie en place, ce qui signifie que chacun de ces pauvres ordinateurs avait été assez violemment maltraités par les visiteurs qui y installaient des logiciels frauduleux et supprimaient ou modifiaient des applications de base. Il va sans dire que ce n'est probablement pas ce que l'hôtel avait prévu.Que vous soyez dans un laboratoire ou un hôtel, la vérité est que les ordinateurs en usage partagé dans un environnement public en voient de toutes les couleurs, souvent même plus que certains ordinateurs privés.

Les solutions au problème
Se procurer et utiliser SteadyState
Windows SteadyState est disponible sous forme de téléchargement gratuit à l'adresse go.microsoft.com/fwlink/?LinkId=104721.Vous trouverez plus d'informations sur SteadyState à l'adresse microsoft.com/windows/products/winfamily/sharedaccess.
Windows SteadyState s'exécute sur n'importe quel système capable d'exécuter Windows XP.L'amélioration la plus importante par rapport à SCT réside dans le fait que SteadyState n'a pas besoin d'une deuxième partition pour fonctionner, à la différence de SCT pour la Protection des disques Windows.
Le tableau suivant fournit une présentation de la configuration requise pour SteadyState.Notez que SteadyState nécessite un système de fichiers au format NTFS, même si n'importe quelle version de Windows XP est prise en charge.SteadyState ne fonctionne actuellement pas avec Windows Vista®.

Composant | Configuration requise
Processeur | 300 MHz ou plus (233 MHz minimum).
Mémoire | 128 Mo de RAM ou plus (64 Mo minimum ; peut limiter les performances et certaines fonctionnalités).
Disque dur | Espace libre de 1,5 Go minimum sans la Protection de disque Windows, ou au moins 4 Go avec la Protection de disque Windows.
Système d’exploitation | Windows XP Édition familiale, Windows XP Professionnel ou Windows XP Tablet PC Edition.Windows XP SP2 doit être installé.
Langues localisées prises en charge | anglais, chinois simplifié, espagnol, français, italien, japonais néerlandais et portugais (Brésil).
Système de fichiers | Format NTFS.
Accès | Accès de niveau Administrateur.

Si vous avez lu mes articles de l'année dernière, ou si vous connaissez le déploiement de Windows en général, vous pourriez penser, « La belle affaire, je vais juste ré-imager les systèmes ».Mais ceux d'entre vous qui ont de la bouteille savent que ce n'est pas toujours aussi simple.Cliquer sur le gros bouton rouge de création d'une nouvelle image tous les jours ou toutes les semaines n'est pas vraiment efficace.
Il y a quelques années, un ami et moi avons envisagé de lancer un café Internet.C'était en 1995, lorsque c'était encore une idée originale.Ma plus grande inquiétude était en fait de garantir la fiabilité et la disponibilité du système.Malheureusement, à l'époque, les options disponibles étaient pour ainsi dure toutes des solutions de création d'une nouvelle image ou des solutions légèrement plus robustes ; il y n'avait rien de rapide et pratique pour résoudre le problème.
Pour décomposer le problème, quand vous sécurisez les ordinateurs en usage partagé, vous devez pouvoir faire trois choses :
  • Garantir que les utilisateurs n'ont jamais le statut d'administrateur.Ceci toujours doit être le cas sur les ordinateurs partagés.
  • Mettre en place une stratégie pour sécuriser les systèmes autant que possible.Ainsi, un faible nombre d'utilisateurs potentiels sera en mesure de manipuler des secteurs du système auxquels ils ne devraient pas avoir accès.
  • Pouvoir annuler les modifications aléatoires opérées par les utilisateurs.Même si les utilisateurs ne sont pas connectés en tant qu'administrateurs, ils peuvent toujours apporter des modifications non autorisées aux menus, aux favoris, etc.
Heureusement, Microsoft a travaillé plusieurs années sur une boîte à outils conçue pour vous aider dans ce cas précis.

Historique de SteadyState
Il y a un peu plus d'un an, Microsoft distribuait la boîte à outils Windows Shared Computing Toolkit (SCT).Téléchargeable gratuitement pour les systèmes certifiés Windows Genuine Advantage, la boîte à outils avait été spécifiquement conçue en pensant aux bibliothèques, aux cafés Internet, aux laboratoires et autres environnements informatiques partagés.SCT a été traitée dans l'édition de Technet Magazine de juillet 2006 (technetmagazine.com/issues/2006/07/UtilitySpotlight).
Une nouvelle version, désormais appelée Windows SteadyStateTM (microsoft.com/windows/products/winfamily/sharedaccess), a été publiée en juin 2007. La nouvelle version a été renommée en partie parce que la boîte à outils avait considérablement évolué d'une version à l'autre.Elle effectue toujours les mêmes tâches, que j'expliquerai dans un moment, mais l'équipe s'est attachée à rendre la nouvelle version plus facile à utiliser d'une manière générale.Par conséquent, SteadyState est étroitement intégré dans une nouvelle console et plus facile à installer et à gérer.Il est plus puissant et flexible, et il prend en charge l'intégration Active Directory® en tant que composant clé, d'où une augmentation de la flexibilité dans plusieurs scénarios d'entreprise entièrement nouveaux.Il prend désormais également en charge l'intégration de Windows Update, si bien que SteadyState est à même de savoir quand désactiver la Protection de disque Windows pour appliquer lui-même des mises à jour.Ceci réduit les frais de gestion que vous devez consacrer à vos systèmes gérés par SteadyState.

Fonctionnalités de SteadyState
Windows SteadyState possède quatre composants clés :La fonction Restrictions ordinateur verrouille les options de sécurité et de configuration par ordinateur ; la Protection des disques Windows met en cache (et annule) les modifications de la partition système de Windows ; le gestionnaire de compte utilisateur crée, modifie, importe ou exporte un utilisateur ; et enfin, la fonction Paramètres et restrictions utilisateur verrouille les options de sécurité et de configuration par utilisateur.
L'une des améliorations que vous remarquerez tout de suite par rapport à la boîte à outils SCT réside dans l'aide de l'utilisateur.Un guide de démarrage vous aide à devenir opérationnel avec SteadyState.SteadyState propose ensuite quatre tâches clés pour aller plus loin (qui reflètent les fonctionnalités clés mentionnées auparavant) :
  • Configurer les restrictions de l'ordinateur (Restrictions ordinateur).
  • Planifier les mises à jour des logiciels.(Vous permet de spécifier si SteadyState applique automatiquement les mises à jour Windows Update.Ceci est recommandé, car il contrôle la Protection de disque de Windows pour vous et met également à jour les signatures de plusieurs antivirus courants.)
  • Protection du disque dur (Protection des disques Windows).
  • Ajout d'utilisateur (Gestionnaire de Compte utilisateur).
Sous Ajouter un utilisateur, vous trouverez les paramètres et restrictions utilisateur, qui vous offrent une option de configuration par utilisateur.

Paramètres et restrictions des ordinateurs et des utilisateurs
Si vous connaissez la stratégie de groupe Windows, vous connaissez déjà l'option Configurer les restrictions de l'ordinateur et les paramètres et restrictions d'utilisateur de SteadyState.Au lieu d'obliger les administrateurs SteadyState à utiliser l'Éditeur d'objets de stratégie de groupe (GPEdit.msc), qui n'est pas une fonctionnalité disponible dans Windows XP Édition familiale (bien qu'elle prenne en charge SteadyState), SteadyState présente plusieurs options de configuration et de sécurité clés communes dans le scénario d'ordinateur partagé.
La figure 1 illustre l'écran de configuration pour Configurer les restrictions de l'ordinateur.Notez qu'il s'agit de paramètres génériques qui s'appliqueront à tout l'ordinateur.Ces paramètres sont principalement sélectionnés pour réduire les risques de sécurité auquel le système est exposé, et dans le cas de l'accès d'un lecteur USB, la possibilité de supprimer des éléments du système.(Lorsque vous regarderez les paramètres par utilisateur, vous verrez également une méthode permettant bloquer l'accès en lecture à certains ou à tous les lecteurs.)
Figure 1 Restrictions de l'ordinateur dans SteadyState
Figure 1 Restrictions de l'ordinateur dans SteadyState
Il est important de noter que le paramètre USB n'est actif que sous l'installation Windows où SteadyState est configuré.Pour garantir la sécurité contre les attaques hors connexion, vous devez configurer correctement le BIOS pour empêcher le démarrage à partir de périphériques USB ou de CD et protéger le BIOS lui-même par un mot de passe.
Cette mesure n'est bien sûr pas infaillible.Rappelez-vous la troisième loi des « 10 lois immuables de sécurité » (microsoft.com/technet/archive/community/columns/security/essays/10imlaws.mspx) :« Si la mauvaise personne possède un accès physique non restreint à votre ordinateur, ce n'est plus votre ordinateur. ».Un individu motivé disposant d'assez de temps et des bons outils peut souvent contourner un mot de passe de BIOS.

Protection des disques Windows
Si vous avez déjà utilisé Windows XP Embedded à partir d'un CD, ou Windows PE 2.0, ce que je suis sur le point de décrire vous semblera familier, pour la bonne raison qu'ils ont une histoire commune.La Protection des disques Windows fournit une fonction d'annulation complète pour la partition système de Windows en enregistrant toutes les modifications apportées à la partition système dans un cache sur la même partition.Cet aspect de SteadyState est essentiel, puisque c'est le composant qui vous permet d'annuler les modifications apportées progressivement par les utilisateurs du système.
La Protection des disques Windows est surtout utile si vous voulez vous assurer que, au fil du temps, vous resterez capable de revenir rapidement (après un redémarrage imprévu ou à un intervalle planifié) à l'état déployé initial du système.Elle compte quatre modes que vous pouvez configurer dans la boîte de dialogue illustré à la figure 2 :
Figure 2 Configuration de la Protection des disques Windows
Figure 2 Configuration de la Protection des disques Windows
Inactive La Protection des disques Windows est complètement désactivée, et toutes les modifications sont écrites sur le disque normalement.
Active – Rejeter les modifications au redémarrage La Protection des disques Windows est activée, et chaque fois que vous redémarrez l'ordinateur, toutes les modifications sont rejetées.Pour l'essentiel, cela signifie que le système reviendra exactement où il était lorsque vous avez coché et enregistré cette option.
Active – Rejeter les modifications à un intervalle défini Presque identique aux options précédentes sauf que les modifications sont rejetées à un moment défini, pas au redémarrage suivant.Ce serait un choix logique si vous souhaitez rejeter les modifications chaque jour ou chaque semaine.
Active – Conserver les modifications indéfiniment Facile à confondre dans son concept avec la désactivation, mais la différence ici est qu'il s'agit d'un mode temporaire.Par exemple, vous pouvez utiliser ce mode si vous voulez appliquer des mises à jour d'application, installer de nouvelles applications ou configurer le système.Ce n'est pas un mode que vous utiliseriez généralement sur une longue période.
Notez que la Protection des disques Windows nécessite un redémarrage pour passer d'un de ces modes à un autre.

Planifier les mises à jour des logiciels
Le paramètre Planifier les mises à jour des logiciels est pratique en ce sens que SteadyState a désormais la capacité d'activer ou de désactiver la Protection des disques Windows automatiquement pour vous.Si vous laissez SteadyState contrôler vos mises à jour, il configure la Protection des disques Windows pour conserver les modifications pendant la mise à jour et restaurer ensuite la Protection des disques Windows à l'état défini précédemment.Je recommande chaudement ce paramètre car il élimine une corvée de votre liste des tâches de gestion.
Les logiciels de sécurité suivants sont pris en charge via la fonctionnalité de mise à jour dans les Mises à jour des logiciels :Computer Associates eTrust 7.0, McAfee VirusScan, Windows Defender et TrendMicro 7.0.

Gestionnaire de compte utilisateur
L'option Ajouter un utilisateur vous permet de configurer de nouveaux utilisateurs pour le système.La figure 3 illustre les options disponibles pour votre nouvel utilisateur :nom, mot de passe, une image pour représenter l'utilisateur et l'emplacement du profil utilisateur.Une fois que vous avez créé des utilisateurs, vous pouvez définir les paramètres et les restrictions d'utilisateur pour chacun de ces comptes locaux.Ce qui est agréable, c'est qu'une fois que vous avez ajouté et configuré un compte sur votre système, vous pouvez l'exporter et l'importer ensuite sur un autre système selon vos besoins (ou l'archiver).
Figure 3 Ajout de comptes d'utilisateurs
Figure 3 Ajout de comptes d'utilisateurs
Un aspect pratique du Gestionnaire de compte utilisateur est que les profils utilisateur peuvent être créés sur une partition secondaire à l'aide du menu Emplacement de l'utilisateur illustré à la figure 3.En général, les profils doivent être créés sur la partition Windows, à moins que vous ayez spécifié manuellement un emplacement Documents and Settings différent lors de l'installation à l'aide d'un fichier unattend.txt.Cette approche est particulièrement utile avec SteadyState puisqu'il rejette les modifications apportées à la partition système de Windows lorsque la Protection des disques Windows est activée.Si vous voulez qu'un profil d'utilisateur reste cohérent au fil des purges de cache de la Protection des disques Windows, vous pouvez simplement spécifier que le profil de l'utilisateur est enregistré sur une autre partition locale en créant l'utilisateur à l'aide du Gestionnaire de compte utilisateur.
Ce processus fonctionne en redémarrant pour désactiver le cache de la Protection des disques Windows, en appliquant les mises à jour et en redémarrant ensuite encore une fois pour redémarrer la Protection des disques Windows.Outre Windows Update, SteadyState mettra à jour les fichiers de signatures pour plusieurs applications antivirus courantes prises en charge (voir l'encadré « Se procurer et utiliser SteadyState »).Si votre application n'est pas prise en charge ou si vous avez besoin d'exécuter le programme de mise à niveau, vous pouvez procéder à la mise à jour manuellement. Vous devez toutefois vérifier que la Protection des disques Windows est désactivée à ce moment-là, ou la mise à jour des signatures sera perdue.

Paramètres et restrictions d'utilisateur
Une fois que vous avez sélectionné un utilisateur, SteadyState répartit les restrictions d'utilisateur en quatre catégories.Celles-ci sont dérivées des paramètres de Stratégie de groupe et vous paraîtront probablement familières.
Les paramètres Général contrôlent les profils utilisateur et les configurations de déconnexion forcée.Ceci inclut des paramètres pour verrouiller le profil et définir des intervalles d'expiration pour la fermeture d'une session après une durée d'utilisation ou une durée d'inactivité configurée.
Les paramètres Restrictions dans Windows, illustrés à la Figure 4, contrôlent des éléments de configuration spécifiques à Windows.Il peut par exemple s'agir de la suppression de l'accès aux éléments d'interface utilisateur de Windows tels que les composants du menu Démarrer et la fonctionnalité Explorateur Windows.La possibilité de bloquer l'accès à des lecteurs spécifiques par lettre de lecteur est également disponible, tout comme la possibilité de désactiver la gravure sur CD.
Figure 4 Restrictions utilisateurs spécifiques à Windows
Figure 4 Restrictions utilisateurs spécifiques à Windows
L'onglet Restrictions des fonctionnalités, illustré à la figure 5, contrôle l'accès granulaire à la plupart des fonctionnalités d'Internet Explorer®, vous permet de définir la page d'accueil d'Internet Explorer et de contrôler les fonctionnalités Microsoft® Office dans une certaine mesure (principalement axées sur le contrôle de la capacité d'exécuter des scripts Visual Basic® for Applications (VBA).
Figure 5 Restrictions des fonctionnalités
Figure 5 Restrictions des fonctionnalités
Les paramètres Bloquer les programmes (voir la figure 6) contrôle la possibilité d'exécuter des applications spécifiques, en d'autres termes vous créez une liste noire.Celle-ci est peuplée avec plusieurs applications courantes et vous pouvez en ajouter d'autres.Notez que ces éléments sont bloqués en fonction d'une définition de leur chemin.Si un utilisateur est autorisé à déplacer une application ailleurs sur le système, la règle de chemin d'accès ne s'appliquera plus.Des ACL de fichiers et de répertoires correctement appliquées et d'autres restrictions d'accès au système empêcheront toutefois d'utiliser facilement cette possibilité.
Figure 6 Blocage de l'exécution des programmes
Figure 6 Blocage de l'exécution des programmes
Une autre nouvelle fonctionnalité importante de SteadyState est basée sur les modèles préconfigurés qui spécifient des niveaux de restriction liés aux restrictions dans Windows et aux restrictions des fonctionnalités.Les modèles permettent d'obtenir plus facilement une configuration de base opérationnelle en fonction du niveau désiré de verrouillage de fonctionnalité/fonction.Vous avez bien entendu aussi la possibilité de générer des modèles personnalisés.

Limites de SteadyState
SteadyState aide considérablement les organisations à stabiliser leurs systèmes informatiques partagés.Pour un outil commercial, ce serait déjà bien.Pour un outil gratuit, c'est tout à fait admirable.Mais, n'oubliez pas, il ne fait pas tout.
Les systèmes informatiques partagés sont des cibles faciles pour les attaques ou les abus, même non intentionnels.Vous devez vous assurer que ces systèmes sont isolés des informations auxquelles les utilisateurs n'ont pas besoin de pouvoir accéder.Bien que SteadyState ait également la possibilité de bloquer l'accès aux applications, ces mesures sont contrôlées à l'aide des stratégies de restriction logicielle.Et comme Marquer Russinovich le disait il y a quelques années, il y existe des techniques permettant à un utilisateur un peu expérimenté de créer une application paraissant anodine, mais qui même en tant qu'utilisateur limité lui permettra toujours de contourner ces stratégies (blogs.technet.com/markrussinovich/archive/2005/12/12/circumventing-group-policy-as-a-limited-user.aspx).Dans la mesure où vous ne pouvez pas bloquer tout l'accès de périphérique et l'accès Internet, c'est une vulnérabilité dont vous devrez tenir compte.N'oubliez jamais la loi n° 3...
Évidemment, SteadyState n'est qu'un élément d'un système informatique partagé bien configuré.L'application régulière des mises à jour à l'aide de Windows Update et la configuration adéquate du Pare-feu Windows (ou un autre pare-feu) sont essentielles.De plus, veillez à installer et à configurer un antivirus, un programme anti-logiciels espions et d'autres contre-mesures de sécurité nécessaires quand vous analysez les risques potentiels pour l'ordinateur.De même, contrôlez l'accès à l'ordinateur ; si vous ne pouvez pas contrôler cela, contrôlez ce que l'ordinateur peut voir.Et ne stockez pas de données confidentielles en local.
Enfin, quand vous qualifiez votre plate-forme, assurez-vous que vos tests incluent l'utilisation de SteadyState (avec la Protection des disques Windows activée, à moins que ne vous prévoyiez pas de l'utiliser) et tout logiciel supplémentaire que vous avez l'intention d'exécuter sur le système.Vous devrez vous assurer que le logiciel et SteadyState fonctionnent ensemble de manière optimale.

Prise en charge de SteadyState
Les commentaires d'utilisateurs que j'ai vus pour SteadyState sont très positifs.J'ai entendu parler de quelques problèmes mineurs jusqu'à maintenant, certains relatifs à l'ordre dans lequel vous devez ajouter les utilisateurs.Un grand nombre de ces problèmes (ainsi que d'autres conseils et astuces) sont traités au sein de la très active communauté Windows SteadyState (reliée pour plus de commodité à plusieurs endroits dans l'application et la documentation SteadyState) à l'adresse forums.microsoft.com/windowstoolsandutilities.
Avant de commencer, je vous recommanderais également de consulter le manuel de SteadyState, disponible à l'adresse go.microsoft.com/fwlink/?LinkId=104722.Il fournit plusieurs conseils et astuces pour utiliser SteadyState avec succès.

Conclusion
SteadyState fournit un formidable package de fonctionnalités pour n'importe quel système Windows XP pour lequel vous avez besoin de contrôler l'accès, et est gratuit !La fonctionnalité de Protection des disques Windows, améliorée de façon spectaculaire ainsi que les améliorations de l'interface utilisateur simplifient le déploiement et la gestion généraux de vos systèmes à accès partagé.
Si vos besoins concernent des systèmes de laboratoire informatique, des bornes d'accès partagé pour visiteurs ou employés, des salles de formation ou d'autres besoins de partage d'ordinateurs, SteadyState peut vous aider à obtenir, et à maintenir, plus facilement les systèmes opérationnels.Et vous n'aurez pas besoin de créer de nouvelles images chaque semaine juste pour redémarrer un nouveau système.Et cela, d'après moi, constitue amélioration considérable.

Wes Millerest responsable technique de produit chez Initiate Systems (InitiateSystems.com) à Austin, Texas.Il a auparavant travaillé chez Winternals Software et comme responsable de programme pour Microsoft.Vous pouvez lui écrire à l'adresse technet@getwired.com.


 Sur le terrain: La t&#226;che la plus importante de la journ&#233;e
Sur le terrain
La tâche la plus importante de la journée
Eric N. Bush

Bill Gates quitte son bureau deux fois par an pour aller passer ce qu'il appelle une « semaine de réflexion ».Il s'isole des gens, des appels téléphoniques et des messages électroniques et se consacre entièrement à la lecture.Il médite sur l'état de la technologie chez Microsoft et dans le monde.Il essaie de comprendre ce que Microsoft et les autres entreprises font et comment elles peuvent progresser de façon plus stratégique.Bill Gates est conscient de l'importance de la réflexion et de la planification.
Nous gagnerions tous à consacrer chaque jour un peu de temps à la réflexion et à la planification, à la formulation des idées, à la résolution des problèmes, à la hiérarchisation des tâches, à l'établissement d'objectifs et à la rêverie.Essayez de faire cet exercice à la même heure et au même endroit tous les jours et évitez toute interaction avec les autres à ce moment-là.La tâche la plus importante consiste à planifier et hiérarchiser ce que vous ferez de votre journée.Si vous êtes cadre, il est possible que vous passiez une grande partie de votre temps à planifier et hiérarchiser le travail des autres.
Que vous gériez le réseau de l'entreprise, administriez une base de données stratégique ou conceviez et gériez les systèmes d'informations de l'entreprise, des problèmes quotidiens peuvent détourner votre attention du travail qui importe vraiment,tant et si bien qu'à la fin de la journée, vous ne savez plus si vous avez avancé ou si vous avez pris du retard !
Votre objectif doit être de mieux prévoir, d'être mieux organisé et mieux préparé à réagir en cas d’urgence.En planifiant, vous pouvez cesser d'être réactif et devenir proactif.Pour atteindre cet objectif, cependant, vous devez méditer, planifier, et hiérarchiser.Il est utile d'avoir une liste des tâches et de la consulter tous les jours en début de journée. Divisez-la en trois parties :En cours, Dès que possible et Souhaits.À l'aide de cette liste, vous pouvez prendre le temps de créer des solutions capable de prévenir les crises.
Les tâches de la catégorie En cours sont celles auxquelles vous devez faire le plus attentionet sur lesquelles vous devez travailler tous les jours.Essayez d'atteindre d'abord les principaux objectifs de votre entreprise et de votre groupe.Les tâches qui ne concernent pas directement cette priorité peuvent être renvoyées au bas de la liste.Si vous occupez un poste de direction, mettez en place un processus qui aidera tous les employés à se concentrer sur les priorités absolues.
Les catégories Dès que possible et Souhaits concernent généralement les plans stratégiques qui permettront à votre entreprise d'économiser du temps et de l'argent et l'aideront à être plus compétitive.Identifiez ces tâches et accomplissez-les lentement et méthodiquement, puis transférez-les dans la catégorie En cours lorsqu'elles deviennent des tâches prioritaires.
N'oubliez toutefois pas quele fait d'avoir hiérarchisé ces tâches ne signifie pas nécessairement qu'elles seront accomplies.Voici quelques conseils qui vous aideront dans votre travail :
  • Commencez par les tâches les plus simples et les plus rapides.
  • Ensuite, consacrez-vous aux tâches qui ne vous emballent pas trop.
  • Enfin, concentrez-vous sur les tâches passionnantes.
  • Évitez les changements de contexte.Sérialisez votre travail si possible.
  • Toutefois, si vous êtes bloqué sur une tâche, passez à la tâche suivante puis revenez-y plus tard.
  • Déléguez ou refusez les tâches qui devraient logiquement être effectuées par d'autres personnes ou suggérez des alternatives.
  • Profitez des moments où vous êtes le plus productif.Consacrez-les aux tâches les plus importantes.
Utilisez votre emploi du temps à bon escient pour bien faire votre travail.Les gens qui ne suivent pas d'itinéraire ne sont jamais contents lorsqu'ils arrivent à destination parce qu'ils ne connaissaient pas réellement leur destination au départ.

Eric N. Bush est développeur de logiciels principal au sein du groupe Engineering Excellence de Microsoft.Il travaille comme consultant interne et instructeur en classe et aide à améliorer les compétences, processus et technologies au sein des entreprises.Vous pouvez le contacter à ericbush@microsoft.com.


 La vie secr&#232;te de Windows: On ne m'y reprendra plus&#160;!
La vie secrète de Windows
On ne m'y reprendra plus !
Raymond Chen

Il existe un vieil outil pour la série de systèmes d'exploitation Windows® 95 qui s'appelait ASD (Automatic Skip Driver).Votre première réaction face cet à outil concernait peut-être son nom plutôt maladroit, et vous soupçonniez peut-être que les lettres ASD signifiaient autre chose au départ.Et vous aviez raison !
Windows 95 a dû gérer de nombreux périphériques qui n'étaient pas du type Plug and Play, car la vaste majorité des systèmes qui existaient à l'époque étaient antérieurs à la spécification Plug-and-play.La détection de matériel sans périphérique Plug-and-play n'était pas simple.
Par exemple, la détection d'un modem était réalisée par émission de requêtes sur les valeurs de plusieurs dizaines de registres de modem.Malgré l'existence d'une série de commandes de base pour modem assez bien établie, il y avait des variations importantes dans l'implémentation du langage des commandes.Cette incohérence était souvent frustrante en raison des problèmes qu'elle créait au niveau des programmes de communications, car il fallait ajouter des cas spéciaux à divers modèles de modems pour tenir compte de leurs particularités individuelles. Cette incohérence, toutefois, a été une aubaine imprévue pour Windows :puisque chaque modem se comportait d'une manière légèrement différente, Windows pouvait examiner ces différences et comparer le comportement des modems par rapport à un tableau de modems connus et à leurs réactions.
Il y avait une personne au sein de l'équipe Windows 95 dont la tâche consistait à installer une quantité de modems qui semblait infinie et à exécuter un petit programme qui mettait ces modems à l'essai, explorait leurs coins et leurs recoins et recueillait les résultats de chacun d'entre eux, ce qui a permis de créer une base de données de modems exhaustive.Si vous avez toujours accès à un ordinateur exécutant Windows 95, vous pouvez jeter un coup d'œil sur le répertoire Windows\Inf et sur tous les fichiers dont les noms commencent par MDM.Il existe plus d'un mégaoctet de fichiers contenant des informations de périphériques sur les modems.Cela représente plusieurs années de la vie d'une personne, réduites en un mégaoctet de nombres hexadécimaux illisibles.
La détection de modem était assez fiable puisque presque tous les modems se comportaient à peu près de la même manière à un haut niveau ; les problèmes résidaient dans les détails.En revanche, les périphériques qui utilisaient les ports E/S étaient beaucoup plus effrayants.Par exemple, pour détecter si une carte vidéo spécifique était installée, le module de détection de carte vidéo du Configuration Manager de Windows 95 envoyait des valeurs soigneusement sélectionnées de ports E/S spécifiques puis surveillait les réponses du périphérique.Si le périphérique répondait correctement, cela signifiait qu'il avait trouvé ce qu'il recherchait.Dans le cas contraire, le détecteur passait au modèle de carte vidéo suivant.
Bien sûr, si le périphérique installé sur ce port E/S n'était pas la carte vidéo testée par Configuration Manager, il prenait souvent mal le fait que quelqu'un lui ait envoyé des valeurs ridicules.Si le périphérique avait un sale caractère, il risquait de cesser de fonctionner ou de redémarrer la machine.Cela n'arrangeait pas les choses pour Configuration Manager.C'est pourquoi le module ASD a été créé.
Avant d'exécuter ces tests de matériel potentiellement catastrophiques, Configuration Manager créait un fichier qui transmettait un message du genre « Attention, je m'apprête à effectuerl'opération dangereuse X ! »C'était la version informatique de la célèbre enveloppe « Ouvrir après ma mort » que le héros d'un film d'action laissait à sa petite amie avant d'effectuer une mission quasi suicidaire contre les méchants.
Si l'opération dangereuse X avait effectivement provoqué l'arrêt, la panne ou le redémarrage de l'ordinateur, au démarrage suivant du système, ce dernier voyait ce fichier magique et « ouvrait l'enveloppe » pour voir que c'était l'opération dangereuse X avait effectivement provoqué l'arrêt du système.Le système concluait alors que la tentative de détection du périphérique X était catastrophique et qu'on ne l'y reprendrait jamais !
Le module qui exécutait cette tâche s'appelait ASD.Les lettres ASD signifiaient « Attempting Something Dangerous » (Tentative d'opération dangereuse).

Raymond Chen, The Old New Thing, et son livre du même titre (Addison-Wesley, 2007) traitent de l’historique de Windows et de la programmation Win32.Il fait attention parce que l'assiette est très chaude.