 TechNet Magazine January 2008

TechNet Magazine January 2008

System Center: Controllo efficace con Virtual Machine Manager 2007

La virtualizzazione consente alle organizzazioni di consolidare le risorse e risparmiare denaro.Quando il numero delle macchine virtuali aumenta però, è opportuno implementare un sistema conveniente per gestirle.Di seguito viene riportata una guida all'impostazione di Virtual Machine Manager e al suo utilizzo per eseguire le attività amministrative da un'interfaccia centralizzata.

Edwin Yuen System Center: Backup più efficaci con Data Protection Manager 2007

L'ultima versione di Data Protection Manager offre numerose nuove funzionalità e fornisce una soluzione utile e flessibile per la gestione dei backup.Di seguito viene fornita una panoramica sulla protezione garantita da DPM per sistemi come Exchange e SQL Server fino alle filiali e ai siti SharePoint.

Calvin Keaton System Center: I servizi online semplificano l'inventario del software

La gestione delle risorse software è un'attività essenziale per qualsiasi azienda, indipendentemente dalle dimensioni.Tuttavia, con la quantità di software acquistato e distribuito, è quasi impossibile riuscire a tenere sotto controllo queste risorse.Scopri come semplificare queste operazioni con il nuovo Asset Inventory Service di Microsoft.

Paul Bourgeau Criteri di gruppo: Modelli ADM e ADMX per i Criteri di gruppo

I file ADM sono necessari e, allo stesso tempo, creano spesso confusione.Non lasciare che questo rallenti gli sforzi di Criteri di gruppo.Questa visita guidata ti consentirà di capire meglio il contenuto dei file ADM e il nuovo formato ADMX, quali sono gli strumenti da utilizzare per gestirli e come sfruttarli al meglio.

Jeremy Moskowitz Criteri di gruppo: Ottimizzazione delle prestazioni dei Criteri di gruppo

I Criteri di gruppo non sono tutti uguali ed essere a conoscenza delle differenze consente di ottimizzare le prestazioni dei sistemi.Esplora i Criteri di gruppo monolitici e funzionali, scopri come elaborare i Criteri di gruppo e cosa accade se vengono modificati.

Darren Mar-Elia Criteri di gruppo: Approfondimento su Gestione avanzata Criteri di gruppo

AGPM, o Gestione avanzata Criteri di gruppo, è uno strumento utile che consente di lavorare con gli oggetti Criteri di gruppo (GPO) in modo diverso dagli altri strumenti. Adesso è a disposizione dei membri del programma Microsoft Software Assurance.Scopri come è possibile utilizzare AGPM per modificare i GPO non in linea, delegare attività amministrative, tenere traccia delle modifiche e altro ancora.

Derek Melber Dal redattore: Come convincere uno scettico

Joshua Hoffman Lettere: La parola ai lettori

Casella degli strumenti: Nuovi prodotti per professionisti IT

Greg Steen Exchange Queue & A: Aggiunta di istruzioni vocali, scelta di un PBX e altro ancora

Hai domande sulla messaggistica unificata di Exchange?Noi abbiamo le risposte.In questo articolo della rubrica Exchange Queue & A, l'attenzione è focalizzata sulla messaggistica unificata, in particolare sul modo in cui è possibile implementare le funzionalità telefono e fax, garantire un'elevata disponibilità, impostare le istruzioni vocali e altro ancora.

Seema Rahman Utilità in primo piano: Windows Easy Transfer Companion

Questo strumento gratuito semplifica la migrazione di applicazioni chiave da Windows XP a Windows Vista.

Lance Whitney The Cable Guy: Miglioramenti di DNS in Windows Server 2008

Windows Server 2008 contiene molti miglioramenti del server DNS.Osserviamo come questi aggiornamenti rendono più veloce la risoluzione dei nomi, migliorano il supporto per IPv6 e aggiungono una maggiore flessibilità all'amministrazione di DNS.

Joseph Davies Windows PowerShell: Intercettazione del codice dannoso

Durante la progettazione di Windows PowerShell, è stata dedicata particolare attenzione alla protezione.Ma, così come avviene con tutti gli altri software, Windows PowerShell è comunque esposto al codice dannoso.Di seguito vengono forniti alcuni suggerimenti su come scegliere l'impostazione adeguata di Criteri di esecuzione per rendere più sicuri i sistemi.

Don Jones Hey, Scripting Guy!: Impossibile confondere le espressioni regolari

Cerchi un modo per evitare gli errori?La convalida è un buon inizio.Scopri come utilizzare i caratteri jolly in uno script con espressioni regolari.

The Microsoft Scripting Guys Controllo della protezione: Island hopping:il fascino ingannevole di un bottino facile

I rischi di protezione non provengono solo dalla posta elettronica e da siti Web dannosi.Scopriamo come è possibile utilizzare un'unità USB e l'ingegneria sociale per accedere all'intera retee cosa è possibile fare per proteggere maggiormente la rete da questo tipo di rischi.

Jesper M. Johansson File desktop: Uso del computer condiviso con Windows SteadyState

Il nuovo toolkit di Windows SteadyState consente di aumentare la protezione e semplificare la gestione dei sistemi Windows XP in un ambiente con computer condivisi?Per saperlo, segui la presentazione guidata.

Wes Miller Taccuino: L'attività più importante del giorno

Quando si lavora a un progetto, non si deve sottovalutare l'importanza di riservare un po' di tempo per riflettere, pianificare e stabilire le priorità delle operazioni da svolgere.

Eric N. Bush Windows Confidential: Mai più!

Prima della scoperta dei dispositivi Plug and Play, il rilevamento hardware era un'impresa spaventosa.Scopriamo perché.

Raymond Chen


 System Center: Controllo efficace con Virtual Machine Manager 2007
System Center Edwin Yuen

Controllo efficace con Virtual Machine Manager 2007
Panoramica:
  • Funzionalità principali di System Center Virtual Machine Manager 2007
  • Come installare VMM
  • Conversione di computer fisici o virtuali in macchine virtuali

System Center Virtual Machine Manager 2007 è una nuova soluzione che fornisce un'interfaccia consolidata per la gestione dell'intera infrastruttura virtuale.Virtual Machine Manager (VMM)
è in grado di gestire le installazioni di Microsoft® Virtual Server 2005 esistenti e installare, inoltre, Virtual Server 2005 R2 SP1 su nuovi host di macchine virtuali.Con VMM, le tradizionali attività amministrative di Virtual Server 2005 possono essere eseguite molto più efficacemente tramite un'interfaccia centralizzata, con accesso alla gestione in più installazioni di Virtual Server.
Inoltre, VMM aggiunge nuove funzionalità a Virtual Server, incluse le conversioni da macchina fisica a virtuale (P2V), la conversione da macchina virtuale a macchina virtuale (V2V) di dischi VMDK (Virtual Machine Disk Format) VMware in dischi rigidi virtuali (VHD) di Virtual Server e distribuzioni rapide di VM da modelli e VHD preconfigurati tramite una libreria centralizzata di oggetti dell'infrastruttura virtuale.
Nelle seguenti pagine verrà illustrato VMM e la serie di funzionalità che fornisce agli amministratori IT.Verranno quindi descritti i requisiti e le operazioni necessari alla creazione di un'installazione VMM.Infine, verranno approfondite alcune delle funzionalità più interessanti di VMM e forniti utili suggerimenti su come iniziare a utilizzare questo prodotto.

Introduzione a Virtual Machine Manager 2007
System Center Virtual Machine Manager 2007 è un'applicazione autonoma che fornisce una gestione centralizzata a livello aziendale delle macchine virtuali in esecuzione in Microsoft Virtual Server 2005. Poiché fa parte della famiglia System Center, Virtual Machine Manager è integrato con gli altri prodotti System Center per fornire la gestione dell'infrastruttura fisica e virtuale end-to-end.Nella Figura 1 vengono illustrati i vari componenti di Virtual Machine Manager e il modo in cui VMM è correlato a un host Virtual Server.
Il riquadro a sinistra rappresenta il server VMM e quello a destra un host macchina virtuale.I componenti di VMM, se si desidera, possono anche essere installati su diversi server per migliorare le prestazioni e la scalabilità.Per questo articolo verrà utilizzato il modello rappresentato nella Figura 1, dove tutti i componenti principali di VMM sono installati su un computer.Il fulcro del prodotto VMM è il servizio Virtual Machine Manager, al centro del riquadro a sinistra.Sopra, vengono riportate tre diverse interfacce nel servizio:l'interfaccia Windows PowerShellTM, la Console di amministrazione e il portale self-service con la gestione del provisioning delegato.Il supporto per VMM è un database Microsoft SQL Server® 2005 (è possibile utilizzare un'installazione completa di SQL Server o SQL Server 2005 Express Edition) e la libreria centralizzata, una condivisione file per i componenti dell'infrastruttura virtuale.
Figura 1 Architettura di System Center Virtual Machine Manager 2007
Figura 1 Architettura di System Center Virtual Machine Manager 2007
Nella parte destra della Figura 1 viene raffigurato un host macchina virtuale Virtual Server 2005 R2 gestito da VMM.In basso si trova il sistema operativo host, in questo caso, Windows Server® 2003 R2.VMM installa un agente sull'host macchina virtuale per semplificare la comunicazione tra VMM e Virtual Server 2005 R2.Si tratta di una singola installazione sull'host fisico, senza installazioni nelle macchine virtuali o nel sistema operativo guest.Se Virtual Server non è installato sulla macchina host, VMM può eseguire automaticamente l'installazione quando l'host viene aggiunto all'elenco dei server gestiti.
In quanto parte della famiglia di prodotti System Center, Virtual Machine Manager utilizza la nuova interfaccia System Center (o stile Outlook®) per la Console di amministrazione (invece dello snap-in MMC tradizionale).La Console di amministrazione VMM (vedere la Figura 2) viene creata utilizzando Microsoft .NET Framework 2.0 e basata su Windows PowerShell 1.0.Infatti, qualsiasi azione eseguita nella Console di amministrazione chiama effettivamente il comando Windows PowerShell associato.Di conseguenza, i comando o le funzioni chiamati nella Console di amministrazione possono anche essere chiamati direttamente dalla riga di comando di Windows PowerShell.
Figura 2 Interfaccia utente di amministrazione VMM che visualizza le macchine virtuali gestite
Figura 2 Interfaccia utente di amministrazione VMM che visualizza le macchine virtuali gestite
Ogni procedura guidata nella Console di amministrazione presenta anche un pulsante Visualizza script che mostrerà lo script Windows PowerShell associato per il comando da eseguire, che fornisce un valido punto di partenza per scoprire come Windows PowerShell si relaziona a VMM.Una volta acquisita familiarità con Windows PowerShell con VMM, sarà possibile eseguire lo script di operazioni globali tramite VMM.
Virtual Machine Manager è progettato per offrire tre vantaggi principali agli amministratori IT:consente di ottimizzare l'utilizzo delle risorse, acquisire una maggiore flessibilità e utilizzare al meglio le competenze esistenti.VMM fornisce questi vantaggi attraverso diverse funzionalità e funzioni.Innanzitutto, VMM consente di ottimizzare l'utilizzo delle risorse fornendo una soluzione per convertire i server fisici in macchine virtuali, un processo noto come conversione P2V grazie al quale è possibile consolidare le macchine fisiche esistenti in macchine virtuali senza doverle reinstallare.Questo è particolarmente importante quando si esegue la conversione di macchine il cui hardware è poco utilizzato poiché è possibile raggruppare diverse macchine di questo tipo in un unico hardware fisico.Ciò è utile in particolar modo quando si tratta, ad esempio, di macchine con software precedente che viene utilizzato raramente, ma che non può essere eliminato perché una volta l'anno è necessario (software per la contabilità, ad esempio).Quando utilizzato insieme a System Center Operations Manager 2007, VMM può essere utile per produrre un report sui candidati per il consolidamento dei server per stabilire quali macchine nell'infrastruttura fisica siano potenziali candidati per P2V.
Se già si dispone di macchine virtuali in formato VMDK di VMware, VMM consente di eseguire una conversione V2V per convertire i VMDK esistenti nel formato VHD.Ciò rende rapidamente operativo l'ambiente Virtual Server 2005.
Come in qualsiasi distribuzione, sia nuova che avviata attraverso la conversione, VMM utilizza un processo denominato Posizionamento intelligente per distribuire le macchine virtuali sugli host macchina virtuale.Tramite il processo Posizionamento intelligente, VMM sottopone a query tutti gli host macchina virtuale che gestisce, recupera numerosi parametri sulla disponibilità delle risorse di questi host e quindi restituisce un lungo elenco di host consigliati per la distribuzione della macchina virtuale.Come è possibile vedere nella Figura 3, l'amministratore può quindi scegliere di accettare il suggerimento, modificare l'algoritmo affinché risponda a determinate esigenze o semplicemente distribuire la macchina virtuale al server di sua scelta.Con questa vista consolidata dell'infrastruttura virtuale e i relativi suggerimenti dell'host, il processo Posizionamento intelligente riduce ampiamente gli oneri legati alla distribuzione della macchina virtuale.
Figura 3 Il processo Posizionamento intelligente fornisce suggerimenti per ottimizzare l'host di Virtual Server
Figura 3 Il processo Posizionamento intelligente fornisce suggerimenti per ottimizzare l'host di Virtual Server
Le altre funzionalità di VMM che forniscono grandi vantaggi includono una libreria centralizzata e un portale self-service per il provisioning delegato.La libreria, illustrata nella Figura 4, fornisce un archivio centrale per tutti i componenti necessari alla creazione di un'infrastruttura virtuale, inclusi VHD precedentemente creati e pronti per la distribuzione, modelli con configurazioni hardware e sistema operativo, file ISO, script e profili.È possibile creare e distribuire macchine virtuali da questi componenti e l'utilizzo dei modelli e dei profili può standardizzare configurazioni hardware e software nelle macchine virtuali.VMM supporta anche librerie distribuite, consentendo di archiviare i componenti in postazioni remote e mantenendo il trasferimento di grandi file nelle postazioni remote continuando a gestire i componenti centralmente.
Figura 4 La libreria di VMM contiene tutti gli elementi di base di un'infrastruttura virtuale
Figura 4 La libreria di VMM contiene tutti gli elementi di base di un'infrastruttura virtuale
Il Portale self-service è un sito Web che si integra con il servizio VMM e un'installazione di IIS.Il portale concede agli utenti e ai gruppi autorizzati Active Directory® l'accesso alle macchine virtuali, con le funzionalità disponibili in base al criterio creato per quell'utente o gruppo.Queste funzioni vanno dalla possibilità di visualizzare e accedere alle macchine virtuali, all'esecuzione e all'arresto delle macchine virtuali e alla creazione di nuove macchine virtuali in base a determinate risorse delegate.
L'amministratore crea un criterio self-service che concede determinate funzioni a utenti e gruppi di Active Directory, ad alcuni host macchina virtuale o gruppi di host e a macchine virtuali e modelli specifici.Il portale self-service consente all'amministratore di delegare in modo sicuro le funzioni agli utenti finali.Senza questa funzione, l'amministratore dovrebbe concedere agli utenti finali l'accesso alla Console di amministrazione per gestire le proprie macchine virtuali oppure stabilire che gli utenti eseguano una richiesta per ogni funzione, il che provocherebbe una grande quantità di messaggi di posta elettronica e telefonate per eseguire azioni come l'avvio e la reimpostazione della macchina virtuale.

Installazione di Virtual Machine Manager
VMM gestisce correntemente le installazioni di Virtual Server 2005 (e versioni successive) in Window Server 2003 SP1 (e successive) in un dominio Active Directory (o dominio trusted), così come gli host non di dominio che utilizzano il supporto di rete perimetrale di VMM.Le installazioni di Virtual Server nei sistemi operativi desktop come Windows® XP non sono supportate.Le operazioni P2V sono disponibili solo per le macchine fisiche che si trovano nello stesso dominio (o dominio trusted) del server VMM.
Mentre in precedenza è stato consigliato di installare ogni componente di VMM su server diversi in un ambiente di produzione, le istruzioni qui riportate riguardano un'installazione su server singolo.L'hardware consigliato per un'installazione del server VMM è un server x86 o x64 con velocità di esecuzione pari a 2,8 GHz o superiore e con almeno 2 GB di RAM.Poiché si tratta di un'installazione su server singolo con un database SQL Server locale, sono necessari 7 GB di spazio su disco rigido.Se invece viene utilizzato un database remoto, è necessario solo 1 GB per l'installazione di VMM.Si consiglia di liberare altri 80 GB di spazio su disco per l'installazione della libreria locale.
Inoltre, VMM richiede l'installazione di WinRM 1.1 sul server VMM, su tutti gli host macchina virtuale e su qualsiasi server di libreria che verrà gestito da VMM.WinRM è l'implementazione Microsoft del protocollo WS-Management.WinRM è un protocollo basato su SOAP di facile integrazione con i firewall che consente a hardware e software di diversi fornitori di essere interoperabili e gestibili a vicenda.VMM utilizza WinRM per eseguire operazioni tra server VMM, host macchina virtuale e server di libreria.È possibile scaricare WinRM 1. 1 all'indirizzo go.microsoft.com/fwlink/?LinkId=103610.
Gli altri prerequisiti per l'installazione includono .NET Framework 2.0 e 3.0, Windows PowerShell 1.0 e IIS per il portale self-service.Tutti gli ulteriori requisiti software vengono verificati durante l'installazione del software VMM e vengono forniti collegamenti ai programmi di installazione appropriati.Se uno qualunque di questi requisiti non viene soddisfatto, l'installazione non procede.
All'inizio dell'installazione di VMM, vengono offerte tre possibilità nel menu principale:il server Virtual Machine Manager, la Console di amministrazione e il portale self-service.Verranno installati tutti sulla singola macchina, iniziando dal server.Una volta avviato il processo di installazione, le prime schermate controllano i prerequisiti del sistema; è necessario accertarsi che vengano tutti soddisfatti per consentire che l'installazione proceda.
Dopo aver controllato i prerequisiti, è necessario esaminare le opzioni di installazione, in particolare quelle relative al database di SQL Server.Con VMM, è possibile selezionare un'installazione di SQL Server 2005 Express Edition o utilizzare un database di SQL Server 2005 esistente.Per questo esempio verrà utilizzato SQL Server 2005 Express Edition.
Nella prossima fase dell'installazione guidata di VMM, viene identificata la posizione per la libreria centralizzata.Questa posizione può essere una directory locale sul server VMM (e verrà creata una condivisione per questa directory) oppure può essere utilizzata una condivisione file esistente.La posizione predefinita è C:\Documents and Settings\All Users\Documenti condivisi\Virtual Machine Manager Library Files.
Il passaggio successivo consiste nell'assegnazione delle porte.Qui vengono configurate le porte utilizzate per la connessione della Console di amministrazione al servizio server VMM principale (porta 8100), la porta utilizzata da WinRM per eseguire le funzioni di gestione (porta 80, la porta HTTP standard) e la porta utilizzata dal Servizio trasferimento intelligente in background (BITS) per spostare i file sugli host macchina virtuale (porta 443, la porta HTTPS standard).Una volta raccolte tutte queste informazioni, viene visualizzata una schermata di riepilogo e l'installazione del server può terminare.
Adesso si procede con l'installazione della Console di amministrazione.I prerequisiti del sistema sono simili a quelli del server VMM: .NET Framework 2.0 e 3.0 e Windows PowerShell 1.0.L'unica opzione di configurazione consiste nel confermare la porta di comunicazione utilizzata per collegarsi al servizio server VMM principale.Questa porta deve essere la 8100, come configurato nell'installazione del server VMM.Al termine dell'installazione, viene offerta l'opzione di creare un collegamento sul desktop per la Console di amministrazione e di aprire la console quando viene chiusa l'installazione.Si suggerisce di selezionarle entrambe.Alla prima apertura della Console di amministrazione, vengono richieste informazioni per la connessione del server.Con un'installazione su server singolo, ci si collega a localhost sulla porta 8100 e, per avviare la console, è necessario premere Invio.
Di seguito viene illustrata l'installazione del portale self-service su questo server.I prerequisiti per questa installazione sono IIS, .NET Framework 2.0 e 3.0 e Windows PowerShell 1.0.Durante l'installazione, le uniche opzioni di configurazione sono quelle relative alle porte utilizzate dal portale self-service.La prima è la porta per connettersi al servizio VMM principale, porta 8100, che è la stessa della Console di amministrazione.La seconda è la porta su cui viene eseguito il portale.La porta predefinita è la 80, ma, in molte configurazioni, questa porta può essere già in uso.Se necessario, modificare la porta in un'altra aperta come la 81.
Il programma di installazione crea un sito Web denominato Portale self-service di Microsoft System Center Virtual Machine Manager 2007 e la configurazione può essere modificata in Gestione IIS.Ecco un suggerimento per semplificare l'installazione:andare in Gestione IIS e selezionare le proprietà del Portale self-service di Microsoft System Center Virtual Machine Manager 2007.Esaminare la configurazione di ASP.NET per il sito Web e verificare che la versione di ASP.NET sia impostata su 2.0.Il portale self-service non funziona se ASP.NET è impostato sulla versione 1.1 e, in base all'ordine di installazione di IIS e delle versioni di .NET Framework, queste impostazioni possono variare.
Una volta completata l'installazione di IIS, è possibile aprire il sito Web andando all'indirizzo http://localhost:81 in Internet Explorer®.Se viene richiesta l'autenticazione quando viene aperto il sito Web è dovuto alle impostazioni di protezione di Internet Explorer.Il portale self-service deve essere eseguito nel contesto Intranet in Internet Explorer. Potrebbe essere necessario aggiungere il server VMM all'elenco dei siti Intranet nella configurazione locale.Dopo aver completato le modifiche, è possibile creare e utilizzare i criteri self-service in VMM.

Funzionalità di Virtual Machine Manager
Sebbene ci siano molte funzionalità interessanti in VMM, le due che hanno indiscutibilmente suscitato maggiore interesse sono P2V e V2V.Entrambe le funzioni sono supportate dalla Console di amministrazione.Poiché la Console di amministrazione VMM è basata su Windows PowerShell, tutti i comandi possono essere eseguiti anche da quest'ultimo.Ai fini del presente articolo, verrà illustrato il processo P2V tramite la Console di amministrazione e il processo V2V tramite Windows PowerShell.

Conversione da macchina fisica a virtuale (P2V)
Per eseguire la conversione P2V viene utilizzata la Console di amministrazione VMM.Esistono diversi requisiti per la macchina fisica da convertire.Primo, la macchina deve fare parte del dominio corrente o di un dominio trusted.VMM si collega a tale macchina per installare un agente P2V e trasferire le informazioni necessarie.Secondo, sulla macchina di origine deve essere in esecuzione un sistema operativo supportato.I sistemi operativi supportati per P2V sono Windows Server 2003, Windows 2000 Server e Windows XP Professional.Se su questa macchina di origine è in esecuzione Windows Server 2003 o Windows XP, VMM utilizza il servizio Copia Shadow del volume (VSS) per consolidare i dischi rigidi e trasmettere i dati ai dischi rigidi virtuali.Ciò consente di convertire la macchina senza alcun tempo di inattività in modo che non sia necessario pianificare questo valore per il server per creare l'immagine P2V.Per Windows 2000, viene creato un disco di avvio Windows PE per semplificare la creazione dell'immagine P2V.Per questo esempio viene utilizzata una destinazione Windows Server 2003.
Il processo P2V viene avviato selezionando l'opzione di conversione del server fisico nel menu delle azioni, nella parte superiore destra della Console di amministrazione.In questo modo viene avviata la procedura guidata P2V, illustrata nella Figura 5.La prima pagina consiste nel passaggio Seleziona origine, in cui viene identificata la macchina da convertire.Immettere il nome DNS di questa macchina e le credenziali di dominio appropriate per collegarsi e gestirla.Il passaggio successivo consente di attribuire un nome alla macchina virtuale restituita.
Figura 5 La funzione P2V di VMM è basata sulla procedura guidata ed è incorporata nella interfaccia utente di amministrazione
Figura 5 La funzione P2V di VMM è basata sulla procedura guidata ed è incorporata nella interfaccia utente di amministrazione
La procedura guidata consente quindi di avviare il processo di raccolta delle informazioni dalla macchina di origine.Quando si fa clic su Raccogli informazioni di sistema, VMM installa un agente P2V che recupera le informazioni necessarie sul sistema operativo, il disco rigido e le schede di rete della macchina di origine.Facendo clic su Avanti, viene visualizzata una schermata di convalida per verificare che non ci siano problemi noti che impediscano la conversione.Se ci fossero, verranno presentate le possibili risoluzioni.
Una volta recuperate le informazioni di configurazione, è possibile selezionare le partizioni del disco rigido da convertire.Per impostazione predefinita, viene selezionata la partizione di avvio e tutte le altre partizioni vengono rese disponibili.È possibile selezionare quali partizioni verranno incluse nella conversione.P2V è un processo di copia "intelligente" che consente di prelevare solo i dati della partizione specificata, a differenza di un trasferimento fisso delle dimensioni e dell'immagine effettive di un disco rigido.
Infine, la procedura guidata arriva alle fasi di distribuzione di VMM standard, incluse le configurazioni di avvio di Virtual Server e il processo Posizionamento intelligente precedentemente descritto.Una volta terminata la procedura guidata, verrà visualizzata la finestra Processi in cui è possibile vedere l'intero processo e lo stato di avanzamento della conversione P2V.
Per impostazione predefinita, le macchine virtuali appena convertite non vengono avviate automaticamente (vengono convertite in uno stato di interruzione), né il processo P2V disattiva o modifica lo stato di esecuzione della macchina di origine.Questo è un processo P2V non distruttivo.Dato che la nuova macchina virtuale ha lo stesso nome del computer, indirizzo IP e anche indirizzo MAC del server originale, deve essere disattivata prima che la macchina virtuale possa essere avviata.Se si desidera che venga disattivata la macchina di origine o che venga avviata automaticamente la macchina virtuale appena convertita, è possibile farlo dalla riga di comando di Windows PowerShell.Nell'ambito del processo, è una buona idea eseguire il processo P2V e poi eseguire la risultante macchina virtuale in un ambiente di test, garantendo che tutto venga convertito correttamente.

Conversione da macchina virtuale a macchina virtuale (V2V)
Per eseguire il processo V2V, è necessario disporre sia di una macchina virtuale VMWare (in formato di file VMDK) che di un'installazione di VMM valida con un host macchina virtuale di destinazione designato.Il cmdlet new-v2v di Windows PowerShell per la conversione V2V di VMM supporta i seguenti quattro formati di file VMDK:monolithicSparse, monolithicFlat, twoGbMaxExtentSparse e twoGbMaxExtentFlat.La maggior parte dei file VMDK esistenti rientra in queste categorie.
Il processo V2V funziona solo sui file VMDK non in linea.Tuttavia, può essere utilizzato per convertire le macchine virtuali VMware attualmente in esecuzione.Le macchine virtuali VMware sono costituite da due componenti principali: i file VMDK che rappresentano i dischi rigidi virtuali in cui vengono archiviati i dati e un file VMX che contiene le informazioni di configurazione della macchina virtuale.I file VMDK e il file VMX associato possono essere posizionati in una libreria che consente di accedere e convertire la macchina virtuale VMware senza la necessità di concedere l'accesso al file dal server di origine.
Durante il processo V2V, il file VMDK viene convertito in un file VHD, il sistema operativo guest viene reimpostato per funzionare con Virtual Server e viene creata una nuova macchina virtuale per rispecchiare il più possibile la configurazione originale, rendendo le modifiche necessarie per l'hardware virtuale supportate da Virtual Server.Si noti che tutte le fasi del processo di conversione possono essere gestite separatamente tramite Windows PowerShell, che consente le conversioni del formato globale prima di assegnare gli host per le nuove macchine virtuali.In questo esempio, tuttavia, viene convertito e distribuito il VHD.
Anche se il processo V2V può essere eseguito sia tramite la Console di amministrazione che tramite Windows PowerShell, per questo esempio verrà utilizzato Windows PowerShell.Per avviare il processo V2V, si inizia da una finestra di Windows PowerShell con i cmdlet VMM caricati.Questa operazione può essere effettuata facendo clic su Start | Tutti i programmi | Microsoft System Center | Virtual Machine Manager 2007 | Windows PowerShell-Virtual Machine Manager.
La finestra che verrà visualizzata deve avere il titolo Windows PowerShell-Virtual Machine Manager.Se così non fosse, i cmdlet VMM potrebbero non essere caricati.Una volta aperto Windows PowerShell, è possibile esaminare il comando new-v2v eseguendo quanto segue:
get-help new-v2v –full | more
Vengono restituiti la sintassi e gli esempi per l'esecuzione di un processo V2V.Nell'esempio riportato in questo articolo, il server VMM viene denominato vmmserver.contoso.com, l'host macchina virtuale di destinazione viene denominato vshost1.contoso.com e il file VMDK è disponibile dal server di libreria vmmserver.contoso.com.
Si inizia identificando il contesto per il server VMM che viene utilizzato per eseguire il processo V2V, tramite il comando get-vmmserver.Come con tutti i comandi Windows PowerShell, get-vmmserver presenta il formato verbo-nome e utilizza i trattini per i parametri.La riga seguente mostra il comando utilizzato per identificare il server VMM:
get-vmmserver –computername "vmmserver.contoso.com"
Questo imposta vmmserver.contoso.com come contesto del server VMM per i comandi da seguire.Il risultato del precedente comando è un elenco dettagliato di informazioni su vmmserver.contoso.com. Se il comando non è corretto o la sintassi è sbagliata, un messaggio di errore in rosso descrive il problema.
La fase successiva consiste nell'identificare l'host macchina virtuale di destinazione, l'host Virtual Server a cui viene assegnato il VMDK/VHD convertito.Si procede con l'assegnazione del valore dell'host macchina virtuale alla variabile $vmhost, tramite il seguente comando in Windows PowerShell:
$vmhost = get-vmhost –computername
"vshost1.contoso.com"
Questo comando non genera commenti nella finestra di comando, ma è facilmente possibile verificare che la variabile sia impostata correttamente digitando $vmhost nel prompt di Windows PowerShell e premendo Invio.In questo modo vengono visualizzate le informazioni archiviate in $vmhost (informazioni dettagliate su vshost1.contoso.com, simili alle informazioni visualizzate per il server VMM).
Oltre all'host macchina virtuale, è necessario identificare il server di libreria in cui si trova il file VMDK.Il comando è simile al comando dell'host macchina virtuale utilizzato precedentemente:
$library = get-libraryserver –computername
"vmmserver.contoso.com"
Come con $vmhost, immettendo $library sulla riga di comando, vengono visualizzate le informazioni sul server di libreria.
Infine, viene effettivamente digitato il comando per eseguire la conversione V2V.A tal fine, viene utilizzato il comando new-v2v con la funzione Get-Help.In questo comando, si procede e si identifica il server di libreria per VMX/VMDK, l'host di destinazione, il nome della macchina virtuale restituita e il percorso del file VHD convertito.
Per la riga di comando, la maggior parte dei riferimenti vengono creati partendo dall'host di destinazione, in questo caso, vshost1,contoso.com, con il percorso di installazione fornito come un riferimento locale per VSHOST1.Il percorso di VMX è stabilito patendo dal server di libreria.La riga di comando restituita in Windows PowerShell è la seguente:
new-v2v –LibraryServer $library –vmxpath
"\\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx"
–vmhost $vmhost -name "DemoV2V"
–path "C:\VHDs"
Come è possibile vedere, qui viene convertito VMX/VMDK per \\vmmserver.contoso.com\MSCVMMLibrary\VMDKS\ConvertMe.vmx sul server di libreria $library (VMMSERVER), distribuendolo sull'host nella variabile $vmhost (VSHOST1), con il nome DemoV2V, nel percorso C:\VHDs su VSHOST1.
Una volta eseguito il comando, è opportuno tornare alla finestra Processi della Console di amministrazione VMM per vedere lo stato di avanzamento.VMX/VMDK viene convertito e quindi copiato su VSHOST1, dove viene aggiunto il file VHD risultante all'elenco di macchine virtuali come DemoV2V.Al termine del processo, è possibile utilizzare VMM per avviare la nuova macchina virtuale ed esaminarne i risultati.

Conclusione
Come si è visto, System Center Virtual Machine Manager 2007 aggiunge alcune nuove funzionalità molto utili all'infrastruttura virtuale.Esaminando i processi P2V e V2V, è stato dimostrato quanto sia semplice utilizzare Virtual Machine Manager.
VMM è stato progettato per semplificare il lavoro di un amministratore IT in particolare nelle operazioni di creazione, distribuzione e manutenzione delle macchine virtuali.Con il rilascio di System Center Virtual Machine Manager 2007, si consiglia vivamente agli amministratori di Virtual Server 2005 di prendere in considerazione l'utilizzo di Virtual Machine Manager per gestire gli host macchina virtuale.Per gli utenti della nuova virtualizzazione di Windows Server in Windows Server 2008, Microsoft fornirà supporto per la virtualizzazione di Windows Server nella versione successiva di System Center Virtual Machine Manager, che sarà disponibile dopo il rilascio definitivo della virtualizzazione di Windows Server 2008.
Per ulteriori informazioni su VMM e per scaricare una demo, visitare il sito Web all'indirizzo microsoft.com/SCVMM.Per ulteriori informazioni su tutti i prodotti di virtualizzazione Microsoft, visitare il sito Web all'indirizzo microsoft.com/virtualization.

Edwin Yuen è Technical Product Manager nella divisione Windows Enterprise Management per System Center Virtual Machine Manager.Edwin ha iniziato a lavorare per Microsoft quando è stata acquisita la società Softricity, a luglio 2006.Edwin vanta anche un'esperienza di 13 anni nel settore della consulenza tecnica, sia in campo commerciale che legislativo.È laureato in ingegneria elettronica alla Johns Hopkins University.
© 2007 Microsoft Corporation e CMP Media, LLC. Tutti i diritti riservati. È vietata la riproduzione completa o parziale senza autorizzazione.


 System Center: Backup pi&#249; efficaci con Data Protection Manager 2007
System Center Calvin Keaton

Backup più efficaci con Data Protection Manager 2007
Panoramica:
  • Diminuzione dell'utilizzo dei backup su nastro
  • Protezione dei dati continua
  • Backup basati su disco
  • Controllo più granulare con DPM

Recentemente, il mercato della protezione dei dati è tornato in auge.Dopo anni di soluzioni per backup su nastro e di approcci universali al backup notturno, sono stati introdotti numerosi nuovi
metodi e tecnologie in un intervallo di tempo relativamente ridotto.Queste nuove tecnologie includono il backup basato su disco, la protezione dei dati continua (CDP, Protezione dei dati continua) e persino soluzioni apparentemente semplici come la crittografia dei dati.Alcuni di questi approcci sono diventati possibili o persino necessari a causa della recente diminuzione dei prezzi dei dispositivi per la memorizzazione su disco, dei miglioramenti delle prestazioni di reti e processori e dei nuovi requisiti normativi.
Microsoft ha una grande esperienza nell'offerta di soluzioni basate su applicazioni o piattaforme, come gli strumenti di backup di NTBackup, Exchange Server e SQL ServerTM, solo per citare qualche esempio.
System Center Data Protection Manager (DPM) 2006 è stato il primo software autonomo Microsoft nel mercato della protezione e uno dei primi prodotti a offrire la protezione dei dati basata su disco nonché uno dei pochi progettato sin dall'inizio con funzionalità di backup basato su disco.La maggior parte delle offerte erano e continuano a essere associate ad approcci basati su nastro rielaborati successivamente per i dischi.
DPM fa parte della famiglia di prodotti System Center.I prodotti System Center sono specificatamente progettati per semplificare e rendere meno dispendiosa la gestione quotidiana della complessa infrastruttura IT.Le soluzioni System Center si basano sull'automazione e sulle procedure consigliate derivanti da Microsoft® Operations Framework (MOF) e Information Technology Infrastructure Library (ITIL) e possono essere utilizzate a tutti i livelli di un'organizzazione.
DPM è solo uno dei componenti della famiglia System Center.System Center Configuration Manager offre funzionalità di gestione delle configurazioni e di distribuzione del software.System Center Operations Manager fornisce funzioni proattive di automazione e monitoraggio del sistema.System Center Capacity Planner consente la pianificazione delle capacità e l'analisi dell'impatto ("what-if") delle distribuzioni dell'infrastruttura.Per ulteriori informazioni, vedere microsoft.com/systemcenter.
System Center Data Protection Manager 2006 forniva il backup basato su disco dei server di file e di stampa, nonché il backup su disco basato su WAN per le filiali.È stato progettato per proteggere i file server nel datacenter e per ottenere hardware per il backup su nastro locale dalla filiale.Tuttavia, non disponeva del supporto nativo per le applicazioni Microsoft e si basava sui prodotti di terze parti per l'archiviazione su nastro a lungo termine.
La nuova versione di DPM, System Center Data Protection Manager 2007, è stata sviluppata a partire da questa versione e continua a fornire un'efficace protezione basata su disco dei server di file e di stampa, nonché delle filiali, aggiungendo però il supporto per le applicazioni aziendali Microsoft di importanza critica come Exchange, SQL Server e SharePoint®, oltre al supporto nativo per i backup su nastro.Benché non sia raro vedere una notevole quantità di modifiche in una nuova versione, ciò è particolarmente vero nel caso di DPM.La seconda versione ha aggiunto numerose funzionalità, nonché significativi miglioramenti alle funzionalità esistenti.In questo articolo verranno descritte alcune delle funzionalità nuove e avanzate e verrà fornita una panoramica su cosa aspettarsi da questa nuova, interessante versione.

Supporto per applicazioni e piattaforme
Molti fornitori di software di backup hanno un approccio a "marmellata" per quanto riguarda il supporto delle applicazioni.Infatti, spalmano l'investimento nella progettazione su numerose applicazioni tentando di supportare il maggior numero di origini dati possibili.Il risultato è che viene fornito un supporto assolutamente elementare per le diverse applicazioni.Piuttosto che tentare di fornire un supporto limitato a un gran numero di applicazioni o piattaforme, Microsoft ha scelto di concentrarsi sulla protezione di poche applicazioni specifiche sulla piattaforma Windows®.In questo modo, Microsoft è riuscita a concentrare l'investimento nella progettazione su queste applicazioni, al fine di creare un'esperienza integrata di backup e ripristino che include funzionalità generalmente non disponibili in altri prodotti per il backup.
La prima funzionalità richiesta dagli utenti di DPM 2006 era il supporto per Microsoft Exchange. Per soddisfare questa esigenza, DPM 2007 introduce il supporto per Exchange Server 2003 ed Exchange Server 2007. La protezione viene garantita a livello dei gruppi di archiviazione con i singoli gruppi visualizzati come oggetti nella UI di DPM, che è poi possibile aggiungere ai gruppi di protezione in base alle proprie esigenze, per attivare backup pianificati e basati sui criteri.I gruppi di archiviazione cluster vengono visualizzati come un singolo oggetto, eliminando così la necessità di rilevare singolarmente i membri di un cluster e sincronizzare manualmente la loro protezione.Le operazioni di ripristino possono essere eseguite a livello Gruppo di archiviazione, Database o Cassette postali.Il recupero granulare viene ottenuto tramite l'automazione, grazie alla quale vengono utilizzati gli strumenti standard di Exchange per ripristinare i dati in un gruppo di archiviazione di ripristino e per estrarre gli oggetti più granulari come le cassette postali ancora una volta tramite gli strumenti standard di Exchange (vedere la Figura 1).
Figura 1 Supporto di Exchange in DPM
Figura 1 Supporto di Exchange in DPM
A differenza di altre soluzioni di backup di Exchange, DPM non si basa su strumenti non Exchange o sulla decodificazione del database Exchange quando estrae gli oggetti che vengono ripristinati.I ripristini delle cassette postali basati su DPM sono completamente supportati da Exchange.
DPM 2007 è il primo prodotto in grado di supportare completamente i cluster Replica continua cluster (CCR) e Replica continua locale (LCR) di Exchange 2007.Anche i cluster di Exchange 2003 sono supportati.
SQL Server 2000 e SQL Server 2005 sono supportati da DPM 2007 con i backup e i ripristini eseguiti a livello di database.È anche incluso il supporto per i ripristini reindirizzati e rinominati, nonché il supporto completo per i database cluster, con mirroring o con distribuzione di log.
Come per Exchange, i database cluster vengono visualizzati come oggetto singolo nella UI, eliminando l'esigenza di configurare separatamente la protezione in più server cluster (vedere Figura 2).Il supporto di SQL Server in DPM può essere utilizzato per proteggere alcune applicazioni di terze parti che si basano su database back-end di SQL Server con il supporto dell'applicazione tramite la protezione dei file e la protezione del database SQL Server garantita in modo nativo dal supporto DPM per SQL Server.Il motore di pianificazione flessibile in DPM consente di aggiungere sia il backup dei file che quello di SQL Server allo stesso gruppo di protezione in modo che possano essere eseguiti simultaneamente e condividere una stessa interfaccia di gestione e di pianificazione.
Figura 2 Backup di clustering
Figura 2 Backup di clustering
I carichi di lavoro di collaborazione sono protetti con SharePoint 2007, con il supporto sia di Windows SharePoint Services (WSS) 3.0 che di Microsoft Office SharePoint Server (MOSS) 2007.Il supporto è a livello di farm anche se la farm è presente su più di un server.Ad esempio, una farm contenente tre server Web front-end, due server per la raccolta dei siti e un unico server di database per un totale di sei server, viene visualizzata come un oggetto singolo nella UI di DPM e, sia il backup che il ripristino tramite DPM vengono eseguiti come per un singolo oggetto.
Sebbene i ripristini di farm completi siano supportati, DPM include anche il supporto per il ripristino di siti e raccolte di siti, nonché per documenti, elenchi o elementi singoli.Naturalmente, le versioni precedenti di SharePoint possono essere protette come database di SQL Server tramite le funzionalità di protezione di SQL Server in DPM.
I carichi di lavoro di file e stampa continuano a essere supportati in DPM 2007 con il supporto Open File disponibile gratuitamente.È stato aggiunto il supporto per le esclusioni di file e cartelle, nonché per il backup dello stato di sistema.È importante notare che il supporto di file è stato ulteriormente ampliato per includere Windows Vista ® e Windows XP.Tuttavia, il supporto per questi sistemi operativi client è relativamente limitato, poiché è principalmente destinato ai sistemi utilizzati come file server.Gli utenti di DPM sono in grado di proteggere un piccolo numero di client secondo le proprie esigenze, ma non è possibile scalare facilmente il supporto per numeri elevati di desktop.
Il supporto nativo per i file server e i server Exchange Server, SQL Server, SharePoint consente a DPM di supportare la maggior parte del carico di lavoro degli ambienti Windows.Tuttavia, per i carichi di lavoro meno comuni, DPM 2007 comprende anche il supporto per pre- e post-script che è possibile eseguire automaticamente quando si verifica un backup.Questa funzionalità consente a DPM di supportare una vasta gamma di applicazioni o carichi di lavoro.Questo supporto non è integrato allo stesso modo di quello fornito per Exchange, SQL Server e SharePoint, tuttavia offre una notevole flessibilità nel supporto delle origini dati.I white paper sul supporto di alcuni importanti prodotti non Microsoft come Oracle saranno disponibili in DPM TechCenter all'indirizzo technet.microsoft.com/dpm.
Una delle innovazioni più interessanti di DPM 2007 è il supporto per server virtuali basato su host.La maggior parte dei prodotti per il backup supportano i server virtuali guest come server singoli e solo pochi, o forse nessuno, sono in grado di fornire protezione a livello host tramite una singola installazione di licenza e agente.DPM utilizza i processi di scrittura del servizio Copia Shadow del volume (VSS) ricorsivi per proteggere tutti i guest ospitati in uno specifico host di server virtuali tramite un unico agente distribuito sull'host.Questi processi di scrittura VSS ricorsivi sono in grado di chiamare i processi di scrittura VSS presenti nei guest o persino in applicazioni eseguite sui guest indipendentemente dall'applicazione o dal sistema operativo installato nel guest.Ciò consente a DPM di proteggere qualsiasi piattaforma o applicazione eseguita come guest, indipendentemente dal fornitore.Questi backup di server virtuali basati su host sono coerenti con le applicazioni e forniscono un'unica immagine di disco rigido virtuale (VHD) che può essere ripristinata in un host nuovo o esistente in base alle esigenze.
Queste immagini di backup basate su host non offrono la stessa granularità di ripristino rispetto ai backup eseguiti tramite un agente DPM installato in un server guest o autonomo, tuttavia forniscono altri vantaggi, incluso un semplice ripristino di sistema per gli ambienti virtualizzati.

Velocità, affidabilità ed efficienza
Oltre ai miglioramenti in termini di accuratezza ed estensione del supporto per le applicazioni, in confronto alla versione precedente, DPM 2007 garantisce una maggiore granularità per i backup completi e incrementali.Mentre DPM 2006 consentiva la sincronizzazione ogni ora, la nuova versione di DPM consente di eseguire un backup incrementale ogni 15 minuti e un backup completo ogni ora.Per i clienti con contratti di servizio (SLA) meno aggressivi, i backup completi possono essere eseguiti anche solo una volta alla settimana.Pertanto, i clienti possono ridurre la frequenza dei backup nei server meno critici, consentendo allo stesso tempo pianificazioni più rigide per la protezione dei server di importanza fondamentale.Benché la sincronizzazione con il server DPM venga eseguita ogni 15 minuti, l'agente DPM continua a rilevare attivamente le modifiche sul server protetto durante l'intervallo tra le sincronizzazioni.
Questo nuovo agente DPM rileva continuamente le modifiche a livello di blocco appena queste si verificano nel server protetto.Ciò è possibile grazie a un innovativo filtro del volume sviluppato per DPM 2007 che consiste di una bitmap presente nella memoria del pool di paging e che include un bit per ciascun blocco del volume protetto.
A ogni scrittura di un blocco nel volume, un bit viene girato nella bitmap.L'impatto su processore e memoria associato a questo processo è più lento rispetto a un normale filtro antivirus e non vi sono requisiti di spazio su disco da scalare insieme alla percentuale di modifiche.In realtà, il carico associato a questo filtro non viene affatto scalato con la percentuale di modifiche.Ciò è molto importante poiché gran parte degli schemi di rilevamento delle modifiche a livello di blocco risultano in un overhead elevato del processore e della memoria, nonché in impronte su disco in grado di scalare con la percentuale di modifiche.Pertanto, percentuali più elevate tendono ad avere un effetto maggiore e, in alcuni casi, valori particolarmente alti possono portare all'esaurimento dello spazio su disco del sistema.Con DPM 2007, l'impatto del filtro del volume su processore, memoria e disco resta invariato indipendentemente dalla percentuale di modifiche.La percentuale di modifiche non ha alcun effetto sull'overhead ridotto associato al filtro, indipendentemente dalla percentuale, sia essa l'1% o il 1000%.
Tuttavia, il rilevamento dei dati modificati è solo uno degli aspetti da discutere.DPM 2007 utilizza anche il servizio VSS sul server protetto per creare immagini di backup coerenti con le applicazioni che possano essere ripristinate in modo affidabile.VSS è stato sviluppato da Microsoft per fornire l'infrastruttura di backup per Windows XP e Windows Server® 2003, nonché per offrire un meccanismo di creazione di copie coerenti di dati temporizzate (copie shadow).VSS può produrre copie shadow coerenti coordinando letture e scritture con le applicazioni aziendali, i servizi per file system, le applicazioni di backup, le soluzioni di recupero rapido e l'hardware di archiviazione.Di conseguenza, VSS è probabilmente il meccanismo più adatto e affidabile sul mercato per la produzione di backup coerenti con le applicazioni.Diverse funzionalità in Windows Server 2003 utilizzano VSS, incluso Copie shadow di cartelle condivise.
La maggior parte dei prodotti che utilizza VSS per i backup delle applicazioni crea una replica VSS e la lascia disponibile sul server protetto per rilevare le modifiche e ottenere un'immagine coerente con le applicazioni per il backup.Purtroppo, mantenere sempre disponibile la replica sul server protetto ha effetti significativi sulle prestazioni poiché una copia sulla scrittura viene eseguita per mantenere la replica VSS aggiornata ogni volta che l'applicazione esegue la scrittura su disco.Ciò può creare un overhead sul processore del 25% e ha un notevole impatto sui tempi di scrittura.
Poiché DPM rileva le modifiche tramite il filtro del volume, non è necessario mantenere in tutti i casi una replica VSS.Al contrario, DPM crea una replica VSS quando si esegue un backup completo, quindi sovrappone la bitmap del filtro del volume per identificare solo i dati modificati nella replica.Questi dati modificati vengono spostati sul server DPM che viene utilizzato per creare un punto di ripristino.La replica VSS sul server protetto viene quindi eliminata e il filtro del volume viene reimpostato.Il rilevamento delle modifiche a livello di blocco continua quindi con un overhead ridotto e senza richiedere una replica VSS o l'utilizzo delle risorse ad essa associate.
Con questa soluzione, i punti di ripristino producono un'immagine dell'applicazione ripristinabile e viene ridotta la quantità di dati spostati tra il server protetto e il server DPM.
Con DPM 2007, un backup completo non richiede la copia completa dei dati dal server protetto al server DPM,ma vengono spostati solo i dati modificati.Quindi, un backup giornaliero completo di un gruppo di archiviazione di Exchange di 100 GB con una percentuale di modifiche del 10% al giorno risulterà di soli 10 GB.
La riduzione delle dimensioni dei backup completi si traduce in un'archiviazione più efficace sul server DPM quando viene creato uno snapshot per l'acquisizione di un punto di ripristino.Ciascuno snapshot contiene i dati modificati che formavano l'ultimo backup completo e viene eseguito automaticamente insieme al backup completo.Quando si utilizzano le applicazioni, questi snapshot includono anche gli eventuali backup incrementali.
I backup incrementali sono essenzialmente backup del log in DPM, pertanto ogni volta che si esegue il backup completo di un'applicazione, i dati modificati vengono spostati sul server DPM e vengono associati ai backup del log per creare un singolo snapshot contenente più punti di ripristino.Nel caso descritto in precedenza del gruppo di archiviazione di Exchange da 100 GB con una percentuale di modifiche giornaliere del 10%, se si considera un backup completo giornaliero e incrementi da 15 minuti, lo snapshot comprenderà 10 GB di dati modificati e circa 5-10 GB di registri delle applicazioni.Tuttavia, è importante comprendere che questo snapshot da 15-20 GB contiene fino a 97 punti di ripristino.
I backup completi devono essere eseguiti almeno una volta alla settimana e il numero totale di snapshot è limitato a 512 per i server applicazioni e 64 per i file server.Quindi, l'esecuzione di backup completi settimanali e di backup incrementali ogni 15 minuti produce 673 punti di ripristino per ogni snapshot e più di 340.000 punti di ripristino nel caso in cui vengano utilizzati tutti i 512 snapshot.Sebbene la necessità di utilizzare così tanti punti di ripristino su disco sia un caso molto raro, dimostra la flessibilità e la scalabilità di DPM rispetto alla pianificazione dei processi e al ripristino temporizzato.
L'inclusione dei backup del log nei backup completi consente a DPM di archiviare in modo efficace un alto numero di punti di ripristino in uno spazio su disco estremamente ridotto.Tuttavia, questo processo può produrre un overhead e non rappresenta tecnicamente una compressione, né un'archiviazione istanza singola (SIS), sebbene esistano alcuni componenti di deduplicazione dei dati nel processo, ossia il rilevamento delle modifiche a livello di blocco.Indipendentemente dalle etichette, DPM dà ottimi risultati occupando solo una piccola quantità di memoria per ciascun punto di ripristino creato.Inoltre, poiché DPM non utilizza la compressione tradizionale, l'archiviazione istanza singola o la deduplicazione per eseguire questa attività, esiste la possibilità di aggiungere altre opzioni se viene utilizzata una piattaforma di compressione, SIS o di deduplicazione per fornire funzionalità di archiviazione sul server DPM.

Ripristino senza perdita di dati e protezione dei dati continua (CPD)
Forse una delle modifiche più interessanti in DPM 2007 è la capacità di eseguire ripristini senza perdita di dati delle applicazioni Microsoft.Ciò è possibile grazie al rilevamento delle modifiche a livello di blocco e dall'architettura VSS, nonché alla completa integrazione con i registri delle applicazioni esistenti sul server protetto.
In generale, esistono due approcci alla protezione e al ripristino dei dati attualmente disponibili sul mercato:
Soluzioni basate su replica Queste soluzioni sono tradizionalmente conosciute come Protezione dei dati continua (CDP).La protezione dei dati basata su replica comprende lo spostamento delle modifiche sul server protetto tramite il server di backup man mano che queste vengono rilevate.Si tratta di una soluzione basata su disco che tende a consentire il ripristino in qualsiasi momento senza alcuna perdita di dati.
Benché questo aspetto sia estremamente interessante, la soluzione presenta alcuni aspetti decisamente negativi.In primo luogo, con una soluzione di replica non viene preso in considerazione lo stato dell'applicazione, né si riesce a definire quali parti di un'applicazione vengono spostate.Quindi, non vengono cancellati i buffer e non vengono rilevati i dati che potrebbero essere in memoria o in transito durante l'esecuzione del backup.Ciò significa che i punti di ripristino basati su replica spesso non sono coerenti con le applicazioni.È possibile eseguire un ripristino, ma l'applicazione non torna ad essere effettivamente utilizzabile.Questo problema ha un effetto talmente importante che alcuni fornitori di soluzioni CDP basate su replica hanno inserito delle note nella documentazione, nelle quali si consiglia di provare un altro punto di ripristino per l'applicazione se quello in uso non funziona.
Oltre a questi problemi di coerenza con le applicazioni, le soluzioni CDP basate su replica sono generalmente costose, hanno un significativo overhead su reti e processori e richiedono una notevole quantità di memoria che potrebbe trovarsi in hardware proprietario.Inoltre, le soluzioni di protezione dei dati basate su replica non sono particolarmente adatte all'archiviazione o ai backup su nastro conservati in altro luogo, che sono spesso richiesti dai clienti.
Soluzioni basate su snapshot Questo è il tradizionale approccio alla protezione dei dati basato sul backup su nastro nel quale gli snapshot temporizzati vengono creati in supporti esterni che possono essere utilizzati per i ripristini temporizzati.L'RPO (Recovery Point Objective, perdita dati tollerata) viene determinato dalla frequenza degli snapshot, quindi un backup giornaliero viene calcolato sulla base della perdita dei dati nell'arco delle 24 ore.I vantaggi degli snapshot sono la convenienza, la facilità di gestione, un impatto più limitato sulla rete e una buona adattabilità all'archiviazione su disco o su nastro.Inoltre, tendono a produrre immagini coerenti con le applicazioni poiché offrono il tempo necessario a preparare l'applicazione prima dell'acquisizione dello snapshot. Ciò riduce il rischio di tralasciare parti dell'applicazione durante il backup.
Una tendenza recente relativa agli snapshot è rappresentata dalle soluzioni quasi-CDP.Si tratta di soluzioni basate su snapshot nelle quali la frequenza degli snapshot viene aumentata in modo da ridurre l'RPO.Alcuni prodotti ora misurano l'RPO in minuti e acquisiscono snapshot così frequentemente da eliminare completamente il moniker quasi-CDP, diventando a tutti gli effetti prodotti CDP.Tuttavia, questi prodotti perdono ancora alcuni minuti, e quindi dati, in caso di ripristino.
DPM 2006 si collocava decisamente nel campo degli snapshot quasi-CDP, invece DPM 2007 fornisce un approccio univoco alla protezione CDP.La nuova versione di DPM acquisisce snapshot ogni 15 minuti tramite VSS e la tecnologia di rilevamento delle modifiche a livello di blocco, al solo scopo di spostare i dati modificati dallo snapshot VSS al server protetto.Quindi, i singoli snapshot temporizzati sono di dimensioni molto piccole, poiché sono formati solo da modifiche a livello di blocco.Fondamentalmente, questo è un approccio agli snapshot molto avanzato.L'innovazione in DPM è la completa integrazione delle applicazioni per Exchange, SQL e SharePoint.Questa integrazione è talmente completa che DPM riconosce i registri delle applicazioni ed è in grado di eseguire il rollforward di tali registri in caso di ripristino.Finché i registri delle applicazioni sono disponibili (e dovrebbero esserlo se si seguono le procedure consigliate e si collocano in un'unità separata), DPM sarà in grado di eseguire il rollforward dall'ultimo snapshot temporizzato per un ripristino senza perdita di dati (vedere la Figura 3).
Figura 3 Opzioni di ripristino nella Console amministrazione di Data Protection Manager
Figura 3 Opzioni di ripristino nella Console amministrazione di Data Protection Manager
Per molte ragioni, questo approccio ibrido alla protezione CDP risulta il migliore in entrambi i casi.Garantisce la coerenza con le applicazioni e il supporto di archiviazione a lungo termine di una soluzione basata su snapshot, ma offre anche funzionalità che consentono di non perdere i dati di un prodotto di replica, evitando allo stesso tempo molti degli svantaggi di entrambe le soluzioni.

Supporto per i backup su disco e su nastro
La discussione sulle nuove funzionalità di DPM 2007 non sarebbe completa senza un riferimento all'aggiunta al prodotto del supporto per nastri.DPM 2006 supportava solo i backup da disco a disco (D2D), durante i quali i dati venivano spostati dal disco sul server protetto al disco sul server DPM.DPM 2007 può essere utilizzato con entrambi i supporti, su disco e su nastro.Pertanto, i dati possono essere spostati dal disco sul server protetto al disco sul server DPM (D2D) e al nastro sul server DPM (D2T) oppure i dati protetti possono essere spostati su disco nel server DPM prima di essere passati su nastro per la conservazione a lungo termine (D2D2T).
DPM 2007 supporta un'ampia gamma di librerie nastri e autoloader, nonché diversi tipi di supporti su nastro.
Il supporto su nastro in DPM include diverse funzionalità avanzate, ad esempio la crittografia dei supporti su nastro basata su software senza costi aggiuntivi, la gestione di base della chiave di crittografia, la conservazione dei nastri e il rilevamento della posizione.

Conclusioni
Sono state descritte le nuove funzionalità e i miglioramenti in System Center Data Protection Manager 2007. Queste funzionalità sono progettate per offrire una protezione dei dati coerente, affidabile e facile da gestire e per introdurre un nuovo standard nella protezione dei dati per le piattaforme e le applicazioni Microsoft.
Oltre alle funzionalità descritte in questo articolo, esistono altri miglioramenti al prodotto come il ripristino gestito dall'utente integrato in Windows, la limitazione della larghezza di banda flessibile e un'interfaccia dalla riga di comando avanzata.Si consiglia di scaricare la versione Beta 2 di Data Protection Manager 2007 per vedere il funzionamento di queste e altre funzionalità.Per ottenere ulteriori informazioni e una panoramica su tutti i prodotti della famiglia System Center, visitare il sito all'indirizzo microsoft.com/systemcenter.Da questa pagina è possibile esplorare tutte le soluzioni della famiglia System Center, incluso Data Protection Manager.

Calvin Keaton è attualmente Product Planner per DPM.In precedenza, ha gestito il servizio Microsoft IT Data Protection.Calvin ha lavorato per sei anni nel settore dei datacenter e dell'hardware prima di passare a Microsoft, durante i quali ha gestito i team Data Center Site Operations per Compaq e, successivamente HP Services.


 System Center: I servizi online semplificano l'inventario del software
System Center Paul Bourgeau

I servizi online semplificano l'inventario del software
Panoramica:
  • Nozioni fondamentali sui servizi online
  • Impostazione dell'agente di inventario
  • Creazione dei report di inventario

Il CFO ti ha appena inviato un messaggio di posta elettronica per chiederti un "piccolo favore":ha bisogno di un inventario completo di tutti i computer dell'organizzazione, vuole sapere dove si trovano esattamente e quale software è installato su ciascuna
macchina.Entro la fine della settimana.Gli occorre perché (scegli una o più opzioni):
  • Deve pianificare il budget per il prossimo anno e vuole sapere quanto allocare per le licenze software.
  • Ha ricevuto l'avviso di un controllo sul software e deve dimostrare che l'organizzazione dispone di un numero sufficiente di licenze per garantire la conformità di un particolare prodotto.
  • Il CEO gli ha chiesto di ridurre i costi legati alle attività IT e ritiene che la standardizzazione delle applicazioni possa rappresentare una soluzione al problema.
Che cosa fai?
La gestione delle risorse IT si è evoluta nell'ultimo decennio e ora le organizzazioni si concentrano su un'efficace gestione delle risorse software.Questo cambiamento è dovuto principalmente a un maggiore investimento nel software rispetto al passato, ma anche a problemi in costante crescita legati a normative, protezione e criteri che richiedono particolare attenzione.La possibilità di trovarsi in una situazione di non conformità e di dover pagare ingenti multe o tariffe di adeguamento (True-up) ha amplificato l'esigenza di un'efficace gestione delle risorse software.
Le organizzazioni più grandi dispongono, generalmente, di risorse e strumenti per la gestione del software.Questi strumenti sono, di solito, soluzioni multifunzione su larga scala in grado non solo di registrare gli inventari hardware e software, ma anche, tra le altre funzioni operative, di gestire la distribuzione del software ai desktop e monitorarne le prestazioni.Che cosa accade alle organizzazioni nelle quali non è possibile utilizzare queste soluzioni oppure dove le risorse e le competenze necessarie a implementare e gestire queste soluzioni complesse non sono disponibili?
Soddisfare le esigenze di tutte le aziende, indipendentemente dalle dimensioni, è uno dei fattori determinanti nella definizione del concetto di "Software come servizio" (SaaS, Software as a Service).La strategia Microsoft "Software plus Services" comprende lo sviluppo di soluzioni basate sui servizi che garantiscono ai clienti una gestione più efficace delle risorse software.Uno di questi servizi, Microsoft® Asset Inventory Service, sarà rilasciato quest'anno per i clienti di Software Assurance come parte di Desktop Optimization Pack per Software Assurance.
Asset Inventory Service (AIS), illustrato nella Figura 1, fornisce un servizio host facile da distribuire e da utilizzare per la raccolta di informazioni relative ai software installati nei computer dell'organizzazione.È possibile accedere a queste informazioni tramite report basati su browser e, in una futura versione di questo servizio, si pensa di introdurre anche l'analisi della distribuzione dei contratti multilicenza Microsoft.
Figura 1 Microsoft Asset Inventory Service
Figura 1 Microsoft Asset Inventory Service

La natura dei servizi online
Perché adottare una soluzione online?I motivi sono numerosi e tutti validi, come la disponibilità immediata di aggiornamenti e nuove versioni, la facilità di adozione e la riduzione dei costi di distribuzione e di gestione.
I servizi online sono dinamici:come in una pagina Web, i contenuti e le funzionalità possono essere costantemente aggiornati dal provider dei servizi per migliorare l'esperienza dell'utente e fornire risposte tempestive ai cambiamenti nel panorama tecnologico.In questo modo, si raggiunge un livello di flessibilità senza precedenti e si consente ai fornitori di software di offrire funzionalità, soluzioni e informazioni aggiornate che favoriscono una maggiore proattività degli amministratori nella gestione dei propri desktop.
I servizi online hanno anche il vantaggio di essere universali.Negli ambienti IT di oggi si trovano diverse situazioni, da PC in rete collegati direttamente alle risorse di rete a utenti remoti e filiali che accedono alle risorse via Internet dalle più disparate postazioni.Se si aggiungono anche gli utenti mobili che si collegano raramente alla rete non mediante programmi di posta basati su Web, diventa molto difficile creare un inventario completo delle risorse IT.Questo è sempre stato uno dei problemi principali per gli strumenti di inventario, in particolare le soluzioni locali che non forniscono supporto per gli scenari remoti o non in rete.
Tuttavia, gran parte se non tutti i PC dispongono della connettività Internet, pertanto è possibile utilizzare un servizio online per gestirli senza implementare misure speciali per garantire la connettività alle soluzioni interne client e server.L'accesso al servizio per utilizzare le funzionalità di gestione può anche essere eseguito tramite una connessione a Internet protetta, in modo da poter gestire qualsiasi PC sull'account gestito da qualsiasi postazione con accesso a Internet.
La distribuzione è semplice e, per iniziare, è sufficiente creare il proprio account.Non è necessario introdurre nuovi server nell'ambiente, né investire in nuove infrastrutture di rete o piattaforme software. Questo si traduce in meno investimenti amministrativi e finanziari.Anche il supporto costante è più semplice, visto che l'organizzazione non deve preoccuparsi di mantenere un percorso di aggiornamento poiché il servizio include spesso le versioni più recenti nel contratto di servizio.

Uso del servizio
Supporto di una community online
Asset Inventory Service e il servizio System Center Online promuovono lo sviluppo di una forte community di utenti in grado di influenzare l'evoluzione dei servizi online.Il catalogo di software è un esempio eccellente del tipo di input che la community di utenti è in grado di fornire (in vero stile wiki). Inoltre, gli utenti del servizio possono offrire suggerimenti, correzioni e indicazioni.
In futuro, lo stesso catalogo potrebbe rappresentare un'importante fonte di informazioni per gli utenti finali durante la ricerca di potenziali software da acquistare.È possibile raccogliere statistiche anonime aggregate dall'intero servizio per determinare le quote di adozione dei prodotti software e hardware, che forniscono dati utili agli utenti finali coinvolti in queste attività.
La community rappresenta anche una guida per stabilire la direzione generale del servizio grazie ai suggerimenti sulle aree alle quali dare priorità per soddisfare specifiche esigenze aziendali.

Per fornire servizi di gestione dei desktop online, Microsoft System Center Online sta creando una piattaforma che consentirà non solo il supporto di Asset Inventory Service nel breve periodo, ma anche dei futuri servizi.I capisaldi durante la progettazione del servizio sono stati protezione, scalabilità e affidabilità.AIS è una soluzione completamente host, i cui server sono posizionati nei datacenter Microsoft.Per distribuire la soluzione, i clienti devono installare un software di piccole dimensioni in ciascun PC client da includere nell'inventario gestito.
Asset Inventory Service viene gestito dalle stesse persone che si occupano di Microsoft.com. Si tratta di un'applicazione Web multi-tenant che utilizza i servizi Web per garantire la protezione e la riservatezza dei dati per ciascun cliente e che si basa su una combinazione di applicazioni client e Web per archiviare i dati dei clienti.Gli agenti del sito del cliente caricano l'inventario software nel servizio Web di Microsoft IIS.L'SSL autenticato in modo reciproco protegge i dati del cliente, la comunicazione tra client e il servizio e il sito Web AIS, mentre il sito utilizza SQL Server™ per l'archiviazione.
Tramite gli account di Windows Live™ ID per l'autenticazione, i clienti possono accedere al servizio per gestire i propri account e visualizzare i report.Anche il sito Web del cliente utilizza SSL per proteggere i dati dei clienti, mentre SQL Server Reporting Services genera i report.I database di SQL Server vengono sottoposti a mirroring, mentre i siti forniscono il bilanciamento del carico per garantire una maggiore disponibilità.Inoltre, i dati dell'inventario vengono partizionati in unità per una maggiore scalabilità.
Per sottoscrivere il servizio Asset Inventory Service, è sufficiente acquistare le licenze Microsoft Desktop Optimization Pack con il contratto multilicenza Microsoft.È quindi possibile attivare la sottoscrizione a Asset Inventory Service dal sito dei servizi relativi ai contratti multilicenza Microsoft all'indirizzo licensing.microsoft.com. Per autenticare correttamente e accedere al servizio AIS, è necessario disporre di un Windows Live ID valido.
Durante l'attivazione, l'amministratore del contratto designa un amministratore della sottoscrizione Asset Inventory Service specificandone il Windows Live ID. L'amministratore della sottoscrizione accede a AIS con il proprio Windows Live ID e completa il processo di attivazione di AIS.In seguito, sarà possibile aggiungere altri utenti al servizio specificandone i Windows Live ID.

Agente di inventario
Il client installato in ciascun PC è un agente di piccole dimensioni e facile da distribuire che viene fornito come un programma Windows® Installer (MSI).È possibile scaricare il programma di installazione dell'agente e gestire la distribuzione client dal servizio online.Nella Figura 2 viene visualizzata l'interfaccia per la gestione e il supporto.L'agente funziona in modo analogo all'agente di Windows Update poiché comunica a intervalli regolari con i server di System Center Online.Questa comunicazione è necessaria per l'aggiornamento del profilo dell'inventario basato su una frequenza predefinita, nonché per l'aggiornamento autonomo se è disponibile una versione più recente dell'agente.
Figura 2 Gestione degli account e distribuzione client
Figura 2 Gestione degli account e distribuzione client
L'inventario viene pianificato per essere eseguito automaticamente, senza alcun intervento dell'utente.È anche possibile avviare manualmente l'inventario, se necessario.Al primo contatto tra l'agente e il servizio, vengono utilizzate le credenziali del certificato PKI (infrastruttura a chiave pubblica, Public Key Infrastructure) per presentare l'identità del cliente al servizio e generare un'identità univoca per il computer nel quale è in esecuzione l'agente.L'agente stesso, che viene eseguito solo a intervalli pianificati, è progettato in modo da non risultare importuno per l'utente, infatti richiede poche risorse e viene eseguito in background.I file di dati caricati sono di piccole dimensioni in modo da non causare picchi nel traffico di rete.
Lo stesso processo di inventario è leggero ed efficiente.L'agente analizza le voci del Registro di sistema, il database MSI e altre fonti per ottenere informazioni relative all'installazione, a differenza degli altri sistemi di gestione tradizionali che ostacolano la produttività degli utenti analizzando e risolvendo tutti i file eseguibili presenti nel computer.Questo processo restituisce i dati sull'inventario del software utilizzando nomi descrittivi con metadati che supportano l'identificazione e la classificazione degli elementi in modo da poter essere utilizzati in una vasta gamma di attività legate alla gestione delle risorse software.

Reporting Services
Una volta caricati i dati di inventario, viene avviato un processo di identificazione e catalogazione che prepara tali dati per la visualizzazione in report.I dati di inventario vengono confrontati con un catalogo software centrale, nel quale vengono classificati.Questa è una delle più importanti funzionalità del servizio:ogni singolo dato di inventario software dei clienti aggiunge firme univoche al catalogo software centrale.Un team di ricercatori di Microsoft esamina le firme software non private e non classificate e, con una tassonomia strutturata di famiglie e categorie di software, classifica le applicazioni rappresentate in base alla natura delle applicazioni e alle relative funzionalità. Queste categorie consentono di fornire un maggior livello di intelligence nella creazione di report e permettono agli utenti di individuare rapidamente gli specifici software a cui sono interessati, ad esempio, solo le applicazioni antivirus.
Le firme software consentono anche di consolidare i dati visualizzati nei report.Ad esempio, il nome di un server di pubblicazione potrebbe avere più varianti, un'applicazione potrebbe riportarlo come Contoso Software, un'altra come Contoso, e questo risulterebbe in due voci separate all'interno del report.Con il consolidamento del server di pubblicazione e dei nomi delle applicazioni, si migliora la capacità di riportare accuratamente questi criteri e di presentare i dati in modo significativo.
Una volta individuato il set di dati desiderato grazie all'applicazione di filtri e raggruppamenti, i contenuti del report possono essere esportati in diversi formati utilizzando SQL Server Reporting Services, tra cui file CSV, documenti Microsoft Word, fogli di calcolo Microsoft Excel® e file PDF (vedere la Figura 3).Ciò consente di eseguire ulteriori analisi e modifiche esternamente oppure di utilizzare questo materiale come input in altri sistemi di gestione aziendale.
Figura 3 Report dei risultati dell'inventario
Figura 3 Report dei risultati dell'inventario
Una prossima funzionalità del servizio consentirà di migliorare la gestione delle licenze Microsoft, semplificando il processo per gli utenti.Gli utenti potranno caricare la propria combinazione di contratti multilicenza, che verrà poi utilizzata per recuperare le informazioni relative alla posizione della licenza da Microsoft Customer License Position Repository.Questi dati sulle licenze serviranno quindi a popolare un documento che riepiloga tutti i software soggetti a licenza Microsoft installati e la relativa quantità di licenze.
Con l'Identificatore del prodotto, anch'esso raccolto durante l'inventario, è possibile suddividere ulteriormente il software installato in base al canale:contratto multilicenza, Retail e OEM.Questa funzionalità verrà resa disponibile nella prossima versione di Asset Inventory Service.

Sviluppi futuri
Asset Inventory Service rappresenta l'offerta iniziale di System Center Online, ma non sarà sicuramente l'ultima.Come già menzionato, l'obiettivo a lungo termine di System Center Online è fornire servizi completi per la gestione dei desktop rendendoli totalmente disponibili come servizio online.
Alcune delle potenziali offerte attualmente in fase di valutazione comprendono la gestione delle risorse IT per l'inventario e il rilevamento di hardware e software, l'aggiornamento e la distribuzione di software forniti tramite funzionalità analoghe a Windows Software Update Services da Internet e servizi ibridi online/locali.Si stanno analizzando anche numerosi altri servizi di gestione dei desktop per valutarne l'efficacia in questo tipo di scenario.
Per ulteriori informazioni su Microsoft Asset Inventory Service, andare all'indirizzo microsoft.com/windows/products/windowsvista/enterprise/ais.mspx.

Paul BourgeauProgram Manager del team System Center Online, si è unito a Microsoft dopo l'acquisizione di Assetmetrix.


 Criteri di gruppo: Modelli ADM e ADMX per i Criteri di gruppo
Criteri di gruppo Jeremy Moskowitz

Modelli ADM e ADMX per i Criteri di gruppo
Panoramica:
  • Tipi di modelli di Criteri di gruppo
  • Chiavi di criterio corrette e non corrette
  • Visualizzazione dei modelli ADM
  • Conversione da ADM ad ADMX

File ADM.O li ami o li odi.O forse entrambi.Ciò avviene proprio perché sono necessari e, al tempo stesso, creano confusione.Per di più ora ci sono i file ADMX, un nuovo formato che apparentemente può confondere ulteriormente.Bene, credo sia giunta l'ora di diradare le nuvole che oscurano questo argomento.

Perché abbiamo bisogno dei file ADM?
Criteri di gruppo copre un'ampia gamma di aree.Se ci si tuffa nel mondo dell'Editor oggetti Criteri di gruppo (GPOE), sarà possibile scoprire tutto ciò che è possibile fare con Criteri di gruppo.Si scopriranno, ad esempio, i criteri di restrizione software, i criteri di gruppo Installazione software, Reindirizzamento cartelle, nonché il più utilizzato:Modelli amministrativi.Il nodo Modelli amministrativi viene visualizzato sia sul lato utente sia sul lato computer.Come prevedibile, gli utenti possono adottare solo le impostazioni criterio lato utente, mentre i computer possono adottare solo le impostazioni criterio lato computer.
Ma da dove derivano tutte queste impostazioni magiche presenti in Modelli amministrativi?Quando vengono create nuove applicazioni, è potenzialmente possibile manipolare alcune impostazioni.Ed è proprio qui che entrano in gioco i file ADM.Questi file descrivono le aree dell'applicazione che sono pronte ad accettare le impostazioni definite da un amministratore.Sfortunatamente, i file ADM vengono subito limitati, perché possono soddisfare solo le impostazioni del Registro di sistema all'interno di un'applicazione.Ma un'applicazione potrebbe salvare le impostazioni in altre aree, ad esempio in file ini, js, xml e in database.

File ADM integrati
Quindi, in che modo è possibile recuperare tali impostazioni criterio per Configurazione computer | Modelli amministrativi e Configurazione utente | Modelli amministrativi?Facendo clic con il pulsante destro del mouse su Modelli amministrativi nel GPOE e selezionando Aggiunta/Rimozione modelli sia sul lato utente sia sul lato computer, vengono visualizzati i modelli predefiniti che formano la configurazione standard nella Figura 1.
Figura 1 Modelli amministrativi predefiniti
Figura 1 Modelli amministrativi predefiniti
La suddivisione di questi file è la seguente:
  • Conf.adm: impostazioni di NetMeeting®.
  • Inetres.adm: impostazioni di Internet Explorer®, che comprendono connessioni, barre degli strumenti e impostazioni della barra degli strumenti.Queste impostazioni equivalgono alle opzioni disponibili se si seleziona il menu Opzioni Internet di Internet Explorer.
  • System.adm: modifiche e impostazioni del sistema operativo.La maggior parte delle impostazioni dei modelli amministrativi utente e computer si trova in questo modello ADM.
  • Wmplayer.adm: impostazioni di Windows Media® Player 9.
  • Wuau.adm: controlla l'accesso dei client ai server Windows® Update e/o Windows Server® Update Services.

Aggiunta di un nuovo file del modello ADM
Superamento dei limiti con strumenti di Microsoft e terze parti
I file ADM e ADMX sono estremamente utili.È possibile utilizzarli per riunire alcune informazioni nel file di definizione e per controllare l'applicazione di destinazione.Ma i file ADM e ADMX presentano delle limitazioni.In particolare, i file non possono eseguire quanto indicato di seguito:
  • Non possono estendersi negli hive del Registro di sistema diversi da HKEY_LOCAL_MACHINE e HKEY_Current_User.Se determinate attività aziendali devono essere eseguite in altri hive del Registro di sistema, non è possibile farlo con i file ADM o ADMX.
  • Questi file non possono essere ampliati con i valori REG_Binary.
  • Non possono essere impostati in modo specifico per eseguire l'operazione una sola volta.
  • Non possono essere impostati in modo specifico per essere riapplicati durante l'aggiornamento di Criteri di gruppo.
  • La scrittura dei file ADM e ADMX su chiavi non corrette consente di copiare in modo permanente il Registro di sistema.Quindi, anche se l'utente va al di là dell'ambito di gestione (SOM) o se si elimina il GPO, il valore rimane invariato.
Per superare tali limiti, Microsoft e alcuni produttori propongono alcune soluzioni.Microsoft ha acquisito recentemente DesktopStandard e ha rilasciato una versione ridenominata dell'estensione del Registro di sistema DesktopStandard.Con questo strumento, è possibile imporre quali valori specifici del Registro di sistema si intende gestire sui computer di destinazione mediante un'interfaccia della procedura guidata all'interno del GPOE.
Le tecnologie DesktopStandard PolicyMaker (che comprendono lo strumento per l'estensione del Registro di sistema) vengono definite Preferenze di Criteri di gruppo e vengono fornite con Windows Server 2008. Le Preferenze di Criteri di gruppo consentono all'amministratore di configurare le applicazioni o i componenti Windows, di solito non configurabili con Criteri di gruppo, come pure applicare determinati utenti o computer in base a una serie di regole di assegnazione molto ricca.Le Preferenze di Criteri di gruppo sono completamente integrate con la console Gestione Criteri di gruppo e Gestione avanzata Criteri di gruppo di Windows Server 2008.
Ulteriori informazioni sulle Preferenze di Criteri di gruppo sono disponibili nell'articolo di Derek Melber, "Approfondimento su Gestione avanzata Criteri di gruppo" in questo numero di TechNet Magazine.

Questo quesito è semplice.Innanzitutto scaricare il modello ADM che si intende utilizzare.È possibile utilizzarne uno scaricato da GPanswers.com (ve ne sono circa una dozzina di interessanti) oppure è possibile utilizzare i file ADM per Office 2003 o Office 2007 che si trovano nel sito Web Microsoft.
Selezionare con il pulsante destro del mouse i termini Modelli amministrativi e fare clic su Aggiungi, come illustrato nella Figura 1, per aggiungere il modello.Per impostazione predefinita, Windows ricerca i modelli nella directory \Windows\inf, ma non c'è alcun motivo per non memorizzarli altrove.Ecco alcune informazioni che potrebbero essere sconosciute:una volta aggiunto il modello ADM dal punto di archiviazione di origine, tale modello ADM viene aggiunto anche ai contenuti dell'oggetto Criteri di gruppo (GPO).
Ad esempio, per questo articolo sono andato su GPanswers.com e ho scaricato nopassport.adm. Inizialmente, ho introdotto questo file del modello nella directory c:\temp.Questo modello ADM consente di eliminare il messaggio che chiede se si desidera aggiungere il proprio passport, visualizzato la prima volta che un utente accede a un computer su cui è in esecuzione Windows XP.
Ho scaricato anche i modelli ADM di Office 2003 e li ho archiviati in c:\temp.Ma non dovrebbero stare in quella directory.Nella Figura 2, è possibile vedere che ho aggiunto nopassport.adm e Word11.adm. Questi sono stati aggiunti all'elenco di modelli predefiniti nella finestra Aggiunta/Rimozione modelli.
Figura 2 Ulteriori file ADM nel GPO
Figura 2 Ulteriori file ADM nel GPO
A questo punto, se si analizza la parte basata sullo stesso GPO (in particolare, nella directory \\domaincontroller\SYSVOL\domainname\Policies\GUID\ADM), è possibile scoprire che i file nopassport.adm e Word11.adm fanno parte ora del GPO, come illustrato nella Figura 2.
Perché questi modelli vengono aggiunti al GPO?Perché se si tenta di modificare questo GPO in un'altra stazione di gestione, sarà possibile visualizzare le impostazioni contenute nei file ADM.

Perché non posso visualizzare quello che ho appena caricato?
A volte è possibile visualizzare le aggiunte ai file ADM, altre volte invece no, causando non poca confusione a molti amministratori.Infatti, si tratta di una domanda molto comune in GPanswers.com, quindi cerchiamo di dare subito una risposta.
A questo punto dovrebbe essere possibile visualizzare i risultati dell'operazione di aggiunta dei due modelli (vedere la Figura 3).Vengono visualizzati due nuovi nodi:Configurazione computer | Difficoltà (a causa di nopassport.adm) e Configurazione utente | Microsoft Office Word 2003 (a causa di Word11.adm).Se si analizzano più a fondo le impostazioni di Microsoft® Word 2003, è possibile scoprire una vasta gamma di configurabili, come indicato nella Figura 3.
Figura 3 Impostazioni configurabili di Criteri di gruppo
Figura 3 Impostazioni configurabili di Criteri di gruppo
Perché non è possibile visualizzare le impostazioni nel nuovo nodo Difficoltà?Per scoprirlo, è necessario innanzitutto comprendere il concetto di chiavi di criteri corrette e non corrette influenzabili da un modello ADM.

Chiavi di criteri corrette e non corrette
La documentazione Microsoft stabilisce che esistono quattro aree del Registro di sistema considerate luoghi ideali per creare i criteri al di fuori del Registro di sistema:
  • HKLM\Software\Policies (impostazioni del computer, la posizione preferita)
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Policies (impostazioni del computer, una posizione alternativa)
  • HKCU\Software\Policies (impostazioni del computer, la posizione preferita)
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Policies (impostazioni del computer, una posizione alternativa)
Le impostazioni contenute nel file ADM di Word 2003 vengono scritte in queste posizioni corrette, ma non il file nopassport.adm, che viene scritto in HKLM\Software\Microsoft\MessengerService\PassportBalloon.
GPOE innalza un piccolo cancello di protezione prima di consentire la visualizzazione di tali impostazioni perché le impostazioni che non vengono scritte in queste quattro chiavi di criteri corrette verranno copiate in modo permanente nel Registro di sistema.Così, anche se il GPO viene compromesso, non è possibile ripristinare l'impostazione.Ad esempio, si supponga di aver aggiunto il file nopassport.adm e di aver scelto di eliminare l'icona a fumetto che chiede se si desidera aggiungere il proprio passport per tutti i computer del dominio.Successivamente, il capo ha ammesso di essersi divertito con l'iconcina a fumetto.In tal caso, la strada da percorrere è lunga perché tutti i computer presentano la stessa impostazione, in genere definitiva, fino a quando quest'ultima non viene riportata al valore precedente.Certo, è possibile creare un nuovo ADM personalizzato per questo scopo, ma comunque la strada da percorrere è molto lunga.
Al contrario, le impostazioni regolari dei criteri hanno un valore predefinito.E se il GPO viene compromesso, tali impostazioni vengono riportate al valore predefinito.Ad esempio, se si sceglie di proibire l'accesso al Pannello di controllo mediante i modelli ADM integrati, l'unica cosa da fare è alterare il GPO e accedere al Pannello di controllo nuovamente disponibile.Ciò vale per quasi tutte le impostazioni fornite con gli ADM predefiniti (con alcune eccezioni).
Ancora una volta, con l'ADM per l'eliminazione del passport personalizzato, il sito dove viene posizionata l'impostazione dei criteri non consente il ripristino del modulo Criteri di gruppo.Microsoft ti protegge (inizialmente) non mostrando affatto le impostazioni dei criteri copiate in modo permanente, così che non possa darti la zappa sui piedi!

Modelli ADM
La visualizzazione dei modelli ADM non è così difficile.Per impostazione predefinita, l'editor non illustra le impostazioni, ma si tratta di un problema che può essere risolto abbastanza facilmente.Fare clic su "Modelli amministrativi" (nell'area utente o nell'area computer), quindi selezionare Visualizza | Filtro.Infine, deselezionare "Visualizza solo le impostazioni di criteri completamente gestibili" (che è possibile visualizzare nella Figura 4).Una volta eseguita questa operazione, viene visualizzata l'impostazione dei criteri "Richiesta passport" nella colonna Impostazioni, anch'essa visualizzata nella Figura 4.
Figura 4 Filtro GPO
Figura 4 Filtro GPO

Windows XP e Windows Vista nell'Editor
Non hai notato una sottile differenza nell'impostazione criterio appena visualizzata?Diamo uno sguardo alle impostazioni criterio fornite con i file ADM standard nella Figura 5.Prendiamo, ad esempio, l'icona dell'impostazione criterio di un modello ADM dove le impostazioni non vengono scritte nelle chiavi corrette del Registro di sistema dei criteri, come illustrato nella Figura 6.
Figura 5 File ADM con icone
Figura 5 File ADM con icone
Figura 6 Icone per l'uso della chiave non corretta
Figura 6 Icone per l'uso della chiave non corretta
Il differenziale con icona rossa o con icona blu consente di individuare quali sono le impostazioni che verranno copiate in modo permanente e quali invece no. Ma, ancora una volta, dipende tutto da dove viene eseguita di fatto l'impostazione.
In Windows Vista®, la situazione è leggermente diversa se si utilizzano i file ADM nella propria stazione di gestione di Windows Vista.I file ADM vengono visualizzati nel relativo nodo definito "Modelli amministrativi classici (ADM)", come illustrato nella Figura 7.Le impostazioni che venivano indicate da un puntino rosso vengono visualizzate ora come icone di scorrimento con una freccia rivolta verso il basso (pur modificando l'impostazione stessa, questa presenta un piccolo contrassegno "Nessun invio").
Figura 7 Nodo Modelli amministrativi classici
Figura 7 Nodo Modelli amministrativi classici
Le impostazioni indicate da un puntino blu (quelle scritte nelle chiavi corrette dei criteri) vengono visualizzate come piccole icone di scorrimento, come illustrato nella Figura 8.
Figura 8 Icone di scorrimento che illustrano le chiavi corrette
Figura 8 Icone di scorrimento che illustrano le chiavi corrette

Qual è la ragione di tanto baccano su ADMX?
Windows Vista e Windows Server 2003 vengono forniti entrambi con una nuova console Gestione Criteri di gruppo (GPMC) integrata.Tale console offre una nuova funzionalità che consente, se si desidera, di disfarsi dei vecchi file ADM per dare spazio ai più nuovi file ADMX.Perché dovremmo disfarci del formato ADM?
Tenere presente che il file ADM viene posizionato in alto nel modello Criteri di gruppo (GPT), parte del GPO (la parte che si trova in SYSVOL).A questo punto, ogni volta che si crea un GPO si occupano circa 4 MB di ogni controller di dominio (DC).Inoltre, il file ADM si trova nel GPT del GPO perché è necessario quando si intende modificare nuovamente il GPO in un'altra stazione di gestione.Senza quel file ADM, non è possibile modificare alcuna impostazione personalizzata contenuta nel GPO.
Il formato ADMX consente di superare tali limiti.Non è più necessario memorizzare tutto direttamente nel GPO, evitando il cosiddetto "SYSVOL bloat", ossia, un SYSVOL di grandi dimensioni che deve memorizzare i GPO, completi di file ADM, e che ha il compito di replicarli in ogni DC.Per risolvere questo problema, il nuovo standard ADMX consente di sfruttare le opportunità offerte dall'archivio centrale.L'archivio centrale rappresenta una posizione univoca dove inserire i nuovi file ADMX in modo da evitare di doverli copiare in ogni GPO.Addio SYSVOL bloat.Un altro aspetto eccezionale dell'archivio centrale è rappresentato dal fatto che se un file ADMX contiene una definizione aggiornata, tutte le postazioni di gestione di Windows Vista possono usufruire subito di quel file ADMX aggiornato.
Per ulteriori informazioni sul formato dei file ADMX, in particolare sulla creazione e l'uso dell'archivio centrale, sono disponibili due risorse.Nel numero di febbraio del 2007 di Technet Magazine, Darren Mar-Elia ha scritto un articolo informativo sui contenuti del formato file ADMX e una breve descrizione dell'archivio centrale (technetmagazine.com/issues/2007/02/Templates).È disponibile anche un intero capitolo scaricabile del mio ultimo libro, Group Policy:Management, Troubleshooting, and Security, nella sezione "Book Resources" di GPanswers.com.
Come illustrato in precedenza, i modelli ADM sono ancora supportati se si utilizza una stazione di gestione Windows Vista, ma i file ADM non sono supportati nell'archivio centrale.Questo può creare un po' di confusione, quindi cerchiamo di capirne di più attraverso un esempio.
Supponiamo che io abbia appena creato un GPO da una stazione di gestione Windows Vista e che poi abbia modificato alcune impostazioni integrate (come proibire l'accesso al Pannello di controllo).Ora, supponiamo anche che io desideri aggiungere un modello ADM personalizzato.Dopo averlo fatto, diamo un'occhiata al GPT del GPO e vediamo cosa è successo.
Per aggiungere il modello ADM, è possibile ripetere alcuni passaggi già eseguiti in precedenza.Aprire GPOE, fare clic con il pulsante destro del mouse su Modelli amministrativi, che si trova nel nodo Utenti o Computer, quindi selezionare "Aggiunta/Rimozione modelli".È possibile visualizzare il modello aggiunto nella Figura 9.
Figura 9 Visualizzazione del modello aggiunto
Figura 9 Visualizzazione del modello aggiunto
Per visualizzare effettivamente le impostazioni contenute in questo modello ADM, eseguire le operazioni descritte nella Figura 4.Ossia, fare clic su Visualizza | Filtro.Infine, deselezionare "Visualizza solo le impostazioni di criteri completamente gestibili."Quindi, chiudere GPOE e ritornare a GPMC.Nella Figura 10 viene illustrata la scheda Dettagli del GPO appena creata dalla stazione di gestione Windows Vista.Da notare il nome accattivante del GPO.Esaminando la scheda Dettagli, è possibile determinare il GUID per il GPO, che lo renderà più semplice quando si effettueranno ricerche nel SYSVOL per trovare un GPO particolare.
Figura 10 Modelli amministrativi predefiniti
Figura 10 Modelli amministrativi predefiniti
Una volta individuato il GPT del GPO (utilizzando il GUID del GPO), è possibile entrare nella directory ADM di tale GPO e scoprire che esiste un solo modello ADM, l'unico importato manualmente, illustrato nella Figura 11.Il motivo è che Windows Vista non si basa più sui modelli ADM.Poiché non vengono più utilizzati in modalità nativa, nel GPO non viene messo più nulla a disposizione.Tuttavia, se si importa manualmente un ADM (come abbiamo appena fatto), tale ADM viene utilizzato nello stesso modo in cui avveniva nelle versioni precedenti di Windows.
Figura 11 File ADM importati manualmente
Figura 11 File ADM importati manualmente
Al contrario di quanto detto, il GPO nella Figura 12, è stato creato su un computer che esegue Windows XP o Windows Server 2003. Quando i GPO vengono creati utilizzando stazioni di gestione precedenti a Windows Vista, i file ADM originali vengono inseriti nel GPO, come descritto in precedenza.Questo GPO è stato creato in una stazione di gestione Windows XP.È chiaro perché è pieno di file ADM non richiesti o non utilizzati da Windows Vista.
Figura 12 GPO creato in Windows XP
Figura 12 GPO creato in Windows XP

Conversione da ADM a ADMX mediante lo strumento di migrazione ADMX
Windows XP utilizza i file ADM, mentre Windows Vista utilizza i file ADMX, sebbene Windows Vista continui a supportare i file ADM se sono gli unici disponibili.Tuttavia, non è possibile inserire un file ADM nell'archivio centrale e aspettarsi che le stazioni di gestione Windows Vista siano in grado di utilizzarlo.
Per utilizzare le impostazioni contenute nel file ADM nell'archivio centrale, occorre convertire il file ADM in ADMX o ricreare manualmente i file ADM come file ADMX.Fortunatamente, entrambe le funzioni possono essere eseguite mediante un unico download.È possibile scaricare lo strumento di migrazione ADMX (composto di fatto da uno strumento di conversione da ADM a ADMX e uno strumento per la creazione di ADMX) all'indirizzo go.microsoft.com/fwlink/?LinkId=103774.
Il file MSI dello strumento di migrazione ADMX può essere installato in Windows Server 2003, Windows XP o Windows Vista.Una volta installato, è possibile trovare le applicazioni nella directory C:\Program Files\FullArmor\ADMX Migrator.L'applicazione della riga di comando in esecuzione viene definita faAdmxConv.exe. Ma poiché la directory non si trova nel percorso, per eseguire l'applicazione è necessario trovarsi in quella directory.Pertanto, durante l'utilizzo dello strumento, aggiungere questa directory al percorso di Windows.Nell'articolo all'indirizzo www.computerhope.com/issues/ch000549.htm viene spiegato come impostare il percorso in Windows.
Di solito, creo una directory temporanea come C:\ADMtemp e vi copio i file ADM di origine.Sono disponibili diversi parametri per faAdmxConv.exe, ma il modo più semplice per convertire un file ADM è specificare il nome del file ADM e la directory di output.Se il file ADM di origine è già stato inserito in ADMtemp e se faAdmxConv.exe è già stato aggiunto al percorso, è possibile eseguire semplicemente "faAdmxConv nopassport.adm."con il punto alla fine ad indicare la directory attuale come output.Se non viene specificato alcun puntino (per questa directory) o un altro percorso esplicito, l'output va nella directory temporanea all'interno del profilo dell'account.Nella Figura 13, è possibile visualizzare tre comandi:
Figura 13 Strumento di migrazione ADMX
Figura 13 Strumento di migrazione ADMX
  • Un comando "dir" per visualizzare il file ADM
  • Il comando "faAdmxConv" con il nome del modello ADM e il .(puntino) per rappresentare la directory corrente
  • Un comando "dir" per visualizzare i file di output:nopassport.admx e nopassport.adml
Prima di inserire i file risultanti direttamente nell'archivio centrale, è possibile decidere di eseguire un test su un computer in esecuzione fuori rete.Dopo aver scollegato il computer, copiare il file ADMX nella directory C:\Windows\PolicyDefinitions e il file ADML nella directory specifica per le lingue.Negli Stati Uniti la directory è C:\Windows\PolicyDefinitions\en-us.È possibile visualizzare un esempio della procedura di copia nella Figura 14.
Figura 14 Copia dei file ADMX nell'archivio centrale
Figura 14 Copia dei file ADMX nell'archivio centrale
Lo strumento di conversione da ADM ad ADMX è stato aggiornato di recente alla versione 1.2.In questo modo vengono corretti gli errori di conversione e, durante la conversione, vengono aggiunti messaggi di avvertimento.Se in passato l'utente ha utilizzato lo strumento di conversione da ADM a ADMX, ma lo ha poi tralasciato a causa dei messaggi di errori impossibili da correggere, è consigliabile tentare nuovamente con la versione 1.2 ora disponibile per il download.
Infine, il file ADM convertito è stato suddiviso in due file:un file ADMX (indipendente dalla lingua) e un file ADML (specifico per la lingua).A questo punto, è possibile inserire i file risultanti nell'archivio centrale o testarli in un computer locale.Tuttavia, ancora una volta, per visualizzare effettivamente le impostazioni criterio contenute in questo modello ADMX, è necessario eseguire le operazioni descritte nella Figura 4.Vale a dire, è ancora necessario fare clic su Visualizza | Filtro, quindi deselezionare "Visualizza solo le impostazioni di criteri completamente gestibili".Ciò avviene perché le impostazioni contenute in questo file ADMX non vengono scritte in una delle chiavi dei criteri corrette di cui si è parlato in precedenza.

Liberare spazio
La condizione ideale è, ovviamente, utilizzare soltanto i file ADMX e l'archivio centrale.A tal fine, tuttavia, è necessario convertire tutti i file ADM in ADMX, convertire tutte le stazioni di gestione in Windows Vista (o Windows Server 2008) e interrompere la modifica dei GPO nei computer con sistemi operativi precedenti a Windows Vista.
Se queste tre operazioni sono state completate, sono stati banditi quasi tutti i file ADM.A questo punto, i file ADM nei GPO occupano molto spazio nel SYSVOL del controller di dominio.Una volta ottenuto il file ADMX, è possibile, se si desidera, eliminare gli ADM contenuti nel GPT del GPO in SYSVOL.Proprio così:come l'appendice, rappresentano qualcosa di superfluo.Sono utili solo per un determinato scopo.Questa operazione può essere eseguita manualmente o con uno script.Ma prima di proseguire, tenere presente che sarebbe un grave errore non completare questi passaggi.Quindi, procedere in questo senso solo se si è certi di poter tralasciare i file ADM.
Per ulteriori informazioni sui file ADM, ADMX e ADML, vedere la Guida dettagliata alla gestione dei file ADMX per i Criteri di gruppo all'indirizzo go.microsoft.com/fwlink/?LinkId=105019 e Revisione della tecnologia ADMX all'indirizzo go.microsoft.com/fwlink/?LinkId=105032.Inoltre, verificare di essere registrati alla newsletter GPanswers.com, all'indirizzo GPanswers.com/newsletter e di ricevere informazioni intermediarie tramite blog all'indirizzo GPanswers.com/blog.

Jeremy MoskowitzMCSE e MVP per Criteri di gruppo, gestisce GPanswers.com, il forum della community su Criteri di gruppo.Tiene anche una serie di corsi di formazione intensiva su Criteri di gruppo.Il suo ultimo libro è Group Policy:Management, Troubleshooting, and Security (Sybex, 2007).È possibile contattare Jeremy all'indirizzo www.GPanswers.com.


 Criteri di gruppo: Ottimizzazione delle prestazioni dei Criteri di gruppo
Criteri di gruppo Darren Mar-Elia

Ottimizzazione delle prestazioni dei Criteri di gruppo
Panoramica:
  • Oggetti Criteri di gruppo monolitici e funzionali
  • Come elaborare le voci relative ai Criteri di gruppo
  • Cosa succede quando si apportano modifiche ai Criteri di gruppo

Spesso mi viene posta la domanda: "Dal punto di vista delle prestazioni, è preferibile utilizzare pochi oggetti Criteri di gruppo più grandi o tanti più piccoli?".Questa domanda è il tema di questo articolo, insieme alle altre sul progetto e sulle prestazioni dei Criteri di gruppo.E, come avviene per la maggior parte delle domande generiche,
posso rispondere anticipatamente:"Dipende".Sebbene riconosca che questa risposta possa sembrare evasiva, il mio obiettivo è indicare i meccanismi che stanno alla base dell'elaborazione dei Criteri di gruppo, al fine di consentire agli utenti di prendere decisioni consapevoli sul progetto dei Criteri di gruppo, a prescindere se si è all'inizio o se si cerca di ottimizzare un ambiente con centinaia di oggetti Criteri di gruppo esistenti.

Oggetti Criteri di gruppo monolitici e funzionali
Partiamo, innanzitutto, dalla descrizione dei diversi metodi a disposizione per implementare gli oggetti Criteri di gruppo.I termini "monolitico" e "funzionale" fanno riferimento a come questi vengono progettati.Gli oggetti Criteri di gruppo (GPO) monolitici contengono impostazioni provenienti da molte aree differenti.Ad esempio, un GPO monolitico potrebbe contenere impostazioni provenienti dai criteri Modelli amministrativi, Manutenzione di Internet Explorer e Installazione software, in un unico oggetto Criteri di gruppo.Al contrario, i GPO funzionali eseguono una sola operazione,ad esempio, eseguono l'installazione software oppure applicano le impostazioni di protezione.Ho anche visto GPO funzionali che contengono una sola impostazione criterio.Ma probabilmente si tratta di una situazione estrema.Nella Figura 1 vengono illustrati alcuni dei vantaggi e degli svantaggi di ciascun approccio.
Figure 1 Confronto tra GPO monolitici e funzionali (Close Figure 1)

Problema | GPO monolitici | GPO funzionali
Delega/Isolamento | Difficile, poiché ogni GPO può contenere le impostazioni di diverse aree ed è possibile delegare solo al livello di GPO, non al livello di impostazioni. | Facile, poiché ogni GPO contiene un'unica area di criteri. È possibile delegare, ad esempio, il GPO di installazione software all'amministratore di distribuzione, il GPO di protezione al responsabile della sicurezza e così via.
Gestibilità & Complessità | Potenzialmente più semplice e più facile da gestire, perché ogni GPO contiene tutte le impostazioni in un'unica posizione. | Potenzialmente più difficile perché la presenza di più GPO implica la ricerca in più posizioni per tenere traccia dei problemi e delle complessità riscontrate nella determinazione del gruppo criteri risultante per un determinato utente o computer.
Prestazioni | Potenzialmente più lente perché, per una determinata estensione lato client, se un GPO viene modificato, è necessario eseguire tutte le estensioni su tutti i GPO interessati. | Dipende dal numero di GPO utilizzati e dalla frequenza con cui tali GPO vengono modificati.Le prestazioni risultano migliori in ambienti dinamici rispetto ai GPO monolitici.
Come si può vedere, non è possibile rispondere a priori su quale approccio, monolitico o funzionale, sia il più adatto per tutti i casi.È probabile che nel in un ambiente, siano necessari entrambi.Ad esempio, l'approccio funzionale potrebbe sembrare più adatto durante la creazione di criteri di protezione per l'intero dominio.Utilizzare un unico GPO che contiene solo le impostazioni di protezione rende più facile delegare il controllo di tale oggetto agli amministratori della protezione.Con lo stesso token, se l'amministrazione dei Criteri di gruppo viene delegata agli amministratori dell'unità organizzativa, stabilendo un oggetto Criteri di gruppo monolitico per ogni unità organizzativa, tali amministratori potrebbero usufruire di un'unica posizione dalla quale gestire tutte le impostazioni dei criteri.In questo modo il loro lavoro risulterebbe più semplice e sarebbe possibile ridurre il numero di GPO creati per gli utenti e i computer di una determinata unità organizzativa.
In che modo tali decisioni di alto livello possono influire sulle prestazioni dell'elaborazione dei Criteri di gruppo? Inoltre, come è possibile prendere decisioni appropriate sulla progettazione dei Criteri di gruppo in grado di ridurre l'impatto sulle prestazioni?Il primo passaggio verso l'ottimizzazione delle prestazioni dell'infrastruttura esistente dei Criteri di gruppo è scoprire come avviene l'elaborazione dei Criteri di gruppo.

Informazioni sull'elaborazione dei Criteri di gruppo
L'elaborazione dei Criteri di gruppo è un insieme complesso di interazioni che interessano molte parti dell'infrastruttura Windows® e Active Directory®.A livello superiore, l'elaborazione dei Criteri di gruppo è suddivisa in due parti.La prima viene definita elaborazione principale o dell'infrastruttura Criteri di gruppo.In questa fase, un client dei Criteri di gruppo di Windows richiede al controller di dominio più vicino di stabilire la velocità di collegamento del controller di dominio, dove si trova nella gerarchia di Active Directory (ossia, a quale sito, dominio e unità organizzativa appartiene il client) e quali GPO vengono applicati al computer o all'utente attualmente connesso.È importante notare che, in questo contesto, un client potrebbe essere un server o una workstation appartenente a un dominio di Active Directory.Dopo aver creato l'elenco di GPO, inizia la fase successiva: l'elaborazione dell'estensione lato client (CSE).Durante la fase CSE, ciascuna estensione CSE registrata elabora l'elenco di GPO che ha implementato le impostazioni nella relativa area.Ad esempio, l'estensione CSE Registro di sistema o Modello amministrativo viene eseguita sempre per prima ed elabora tutti i GPO che si applicano a un determinato computer o utente e che hanno implementato i criteri del Registro di sistema.
L'elenco riportato di seguito descrive in dettaglio i passaggi del ciclo di elaborazione dei Criteri di gruppo, comprese le interazioni di rete tra il client e il controller di dominio.È importante ricordare che i Criteri di gruppo si applicano sia ai computer che agli utenti.Pertanto, ogni volta che viene elaborato un criterio, ad esempio durante un aggiornamento in background dei Criteri di gruppo, il ciclo indicato più avanti viene ripetuto sia per il computer che per l'account utente attualmente connesso a un determinato sistema, poiché a entrambi è possibile applicare diversi gruppi di criteri.In questo caso, Windows esegue contemporaneamente il ciclo di elaborazione per il computer e per l'utente e ciascun ciclo viene eseguito su un thread differente all'interno del processo del modulo Criteri di gruppo(il processo Winlogon per Windows 2000, Windows XP e Windows Server® 2003 e il servizio client dei Criteri di gruppo in Windows Vista® e Windows Server 2008).
Elaborazione dei Criteri di gruppo in una procedura che prevede sei passaggi:
  1. Il client esegue il rilevamento di un collegamento lento ICMP (Internet Control Message Protocol) in un controller di dominio del proprio sito per determinare la velocità di collegamento.In Windows Vista, l'uso di ICMP per il rilevamento di un collegamento lento viene sostituito dal servizio Riconoscimento presenza in rete (NLA).
  2. Il client legge le informazioni sullo stato della CSE dal relativo Registro di sistema locale per stabilire gli ultimi GPO elaborati.
  3. Il client si avvale di LDAP per cercare l'attributo gpLink di Active Directory in ciascun oggetto contenitore nella relativa posizione nella gerarchia di Active Directory: prima al livello dell'unità organizzativa (comprese tutte le unità organizzative nidificate), poi al livello del dominio e, infine, al livello del sito di Active Directory.Dai risultati di questa ricerca, crea un elenco di GPO da prendere in considerazione per l'elaborazione.
  4. Ogni oggetto Criteri di gruppo viene poi cercato in Active Directory per determinare se il client (l'utente o il computer) dispone delle autorizzazioni necessarie per elaborarlo.Vengono presi in considerazione anche il numero di versione, il percorso al modello Criteri di gruppo (GPT) del GPO in SYSVOL e le CSE implementate nei GPO.
  5. Il client utilizza poi il protocollo SMB (Server Message Block) per leggere il contenuto del modello Criteri di gruppo e richiamare il numero di versione del GPO dal file gpt.ini.I numeri di versione del contenitore Criteri di gruppo (GPC) e del modello Criteri di gruppo (GPT) vengono utilizzati per stabilire se un GPO è stato modificato dall'ultimo ciclo di elaborazione.
  6. Ogni CSE viene eseguita nell'ordine in cui è stata registrata in HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions. Inoltre, se dopo l'ultimo ciclo di elaborazione il GPO risulta modificato, ogni CSE elabora gli oggetti Criteri di gruppo che implementano tale CSE (come stabilito durante l'elaborazione principale).Ciascuna CSE registra anche i dati del gruppo di criteri risultante (RSOP) in Windows Management Instrumentation (WMI) durante ogni aggiornamento, se disponibile.
Esaminiamo questo processo e come le prestazioni vengono influenzate.La prima cosa da tenere presente è che esiste una differenza tra l'elaborazione in background e quella in primo piano.L'elaborazione in primo piano si verifica per i computer durante il riavvio di un sistema e per gli utenti al momento dell'accesso.Per impostazione predefinita, gli aggiornamenti in background sulle workstation e sui server membri si verificano ogni 90 minuti, più altri trenta minuti in un valore generato casualmente.Sempre per impostazione predefinita, gli aggiornamenti in background nei controller di dominio avvengono ogni 5 minuti.In Windows Vista, è anche possibile che si verifichino aggiornamenti basati su NLA. Si tratta fondamentalmente di eventi di aggiornamento in background attivati da un precedente errore di elaborazione dei Criteri di gruppo causato dall'assenza di un controller di dominio (ad esempio, se durante un intervallo di background il client non è in linea).Perché è importante fare queste distinzioni?Principalmente perché alcune CSE (ad esempio, le CSE Installazione software e Reindirizzamento cartelle) non vengono eseguite durante un aggiornamento in background.Durante un aggiornamento in background anche gli script di accesso e disconnessione o di avvio e arresto non vengono eseguiti.
Allo stesso modo, nel passaggio 1 di questo processo, ho parlato di processo di rilevamento di un collegamento lento.Nei sistemi precedenti a Windows Vista, questo processo si basa sui client che utilizzano ICMP per eseguire il ping del controller di dominio al fine di stabilire la disponibilità e la velocità di collegamento.Se il valore calcolato che indica la velocità del collegamento scende al di sotto di una determinata soglia (il valore predefinito è 500 Kb/s), il collegamento è considerato lento e, pertanto, alcune CSE, come Installazione software, Reindirizzamento cartelle e Manutenzione di Internet Explorer, non vengono eseguite.Tutte queste condizioni possono influire sulle prestazioni così come sulla distribuzione prevista dei criteri.
Probabilmente, l'aspetto del ciclo di elaborazione dei criteri che influisce maggiormente sulle prestazioni è la logica secondo la quale si determina se gli oggetti Criteri di gruppo che si applicano a un computer o a un utente sono stati modificati.Il modulo Criteri di gruppo presenta un'ottimizzazione integrata che stabilisce che se dopo l'ultima elaborazione dei Criteri di gruppo non è cambiato nulla per un computer o un utente, non avviene alcuna elaborazione.Ciò potrebbe avere ovviamente un impatto negativo sul tempo impiegato dai client per elaborare i criteri, soprattutto se l'ambiente Criteri di gruppo è abbastanza statico.Esaminiamo più approfonditamente in cosa consiste una modifica.

Quando si verifica una modifica dei Criteri di gruppo
In cosa consiste una modifica in termini di elaborazione dei Criteri di gruppo?Esistono diversi fattori, ma il più ovvio è che se si apporta una modifica a un oggetto Criteri di gruppo, i client che elaborano tale oggetto rilevano la modifica e rielaborano il GPO.In che modo un client può sapere se un oggetto Criteri di gruppo è stato modificato?In base ai numeri di versione sull'oggetto Criteri di gruppo e all'interno del client.
Un GPO è composto da due parti: il contenitore Criteri di gruppo (GPC) memorizzato in Active Directory in CN=Policies, il contenitore CN=System all'interno di ciascun dominio, e il modello Criteri di gruppo (GPT) memorizzato in SYSVOL nella cartella Criteri.Ognuna delle due parti dell'oggetto Criteri di gruppo contiene un numero di versione.Per il GPC, questo numero di versione è memorizzato nell'attributo versionNumber sull'oggetto GPC.Per il GPT, tale numero è memorizzato nel file gpt.ini alla radice di un determinato GPT.Anche il client conserva un record dei numeri di versione dei GPO elaborati (sia per il computer che per l'utente) nel Registro di sistema.Queste informazioni sulla versione vengono conservate in HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\History per il computer e in HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\<SID of User> per l'utente su ciascun client.
Durante l'elaborazione dei Criteri di gruppo, una delle parti deve esaminare i numeri di versione di tutti gli oggetti Criteri di gruppo a cui sono soggetti il computer o l'utente e deve metterli a confronto con quanto elaborato durante l'ultimo ciclo, come rilevato nel Registro di sistema.Se uno qualsiasi dei numeri di versione degli attuali oggetti Criteri di gruppo risulta diverso (si noti che tali numeri devono solo essere differenti, ossia maggiori o minori), tali GPO vengono elaborati durante il ciclo di elaborazione in corso.In caso contrario, non vengono elaborati a meno che non venga riscontrata una delle altre condizioni di modifica.Le altre condizioni di modifica a cui ci si riferisce sono:
  • Una modifica dell'elenco dei GPO applicati a un utente o a un computer (è stato aggiunto o rimosso un GPO)
  • Una modifica dell'appartenenza al gruppo di protezione di un utente o un computer
  • Una modifica di un filtro WMI collegato a un GPO (un filtro WMI è stato aggiunto o rimosso)
Se si riscontra una di queste modifiche delle condizioni, il client rielabora i criteri durante il ciclo.Ma questo processo presenta alcuni aspetti secondari di cui bisogna tener conto, poiché possono avere un impatto significativo sulle prestazioni.Se, per una determinata CSE, 1 GPO su 10 presenta eventuali modifiche, è necessario che vengano elaborati tutti i GPO per questa CSE.Tenere presente che tale elaborazione si verifica per ciascuna CSE.Tuttavia, le CSE devono elaborare i criteri nell'ordine di precedenza con cui vengono elaborati i controlli (prima i GPO locali, in seguito i GPO collegati al sito, i GPO collegati al dominio e infine i GPO collegati all'unità organizzativa).Tenendo presente questo requisito, supponiamo che un utente disponga di 10 GPO, ciascuno collegato a un livello differente della gerarchia di Active Directory.E supponiamo che ciascuno di tali 10 GPO implementi alcune impostazioni dei criteri dei Modelli amministrativi.A questo punto, subentra un amministratore che modifica un GPO collegato al dominio aggiungendo una nuova impostazione dei criteri dei Modelli amministrativi.Nel momento in cui il computer o l'utente inizia l'elaborazione dei criteri, nota subito che il numero di versione del GPO modificato è maggiore rispetto a quello individuato durante l'ultima elaborazione, pertanto è necessario rielaborare il GPO.Ma per rispettare l'ordine di precedenza dell'elaborazione dei Criteri di gruppo, il computer o l'utente deve elaborare tutte le impostazioni dei Modelli amministrativi che si applicano a tutti i GPO.Dunque, una semplice modifica a un GPO può avere un impatto potenzialmente importante sulle prestazioni del client.

Confronto tra le prestazioni dei GPO monolitici e funzionali
Dopo aver preso in esame il ciclo di elaborazione e la modalità con cui le modifiche all'ambiente dei Criteri di gruppo influiscono sull'elaborazione, torniamo alla ai GPO monolitici e funzionali e proviamo a capire in che modo ciascun approccio influisce sulle prestazioni.
Le prestazioni dei GPO monolitici possono essere penalizzate a causa del funzionamento del controllo delle versioni dei Criteri di gruppo.I motivi non sono del tutto ovvi, ma hanno a che vedere con l'assenza del concetto di controllo delle versioni per ciascuna CSE nell'elaborazione dei Criteri di gruppo.Supponiamo che a un utente vengano applicati tre GPO.Ogni GPO è monolitico, nel senso che implementa diverse aree di criteri.Ad esempio, supponiamo che ogni GPO implementi i criteri Modelli amministrativi, Installazione software e Reindirizzamento cartelle.Ora, supponiamo che un amministratore apporti una modifica al criterio Modelli amministrativi in uno di questi GPO.In seguito alla modifica, il numero di versione aumenta.A questo punto, subentra l'utente che elabora i Criteri di gruppo.L'estensione CSE Modelli amministrativi viene avviata e rileva che uno dei GPO è stato modificato, quindi elabora nuovamente gli altri tre.
Durante l'esecuzione delle CSE Installazione software e Reindirizzamento cartelle, vengono presi in considerazione i numeri di versione del GPO e viene subito rilevato il nuovo numero di versione in uno dei GPO.Ma, poiché tale numero di versione non indica l'area dei criteri che è stata modificata, si passa alla rielaborazione di tutti e tre i GPO.Ne risulta che, durante l'implementazione di un GPO monolitico, le modifiche a un'area dei criteri possono causare l'elaborazione in un'altra area.
In realtà, nel caso dei criteri Installazione software o Reindirizzamento cartelle, tali estensioni CSE potrebbero non eseguire effettivamente alcuna elaborazione perché, ad esempio, se un'applicazione è già stata installata non verrà installata nuovamente.Ma il punto è che questo comportamento può verificarsi con qualunque CSE e questo va tenuto in considerazione durante la progettazione dei GPO monolitici.Se nell'area dei criteri si verificano spesso delle modifiche, si potrebbe pensare all'uso di GPO che implementano tale area dei criteri separatamente dalle altre.
Dal punto di vista di un GPO funzionale, le considerazioni sulle prestazioni sono più ovvie.Se si dispone di più GPO per utente o computer (perché l'approccio funzionale interessa in genere più GPO per una determinata serie di impostazioni di criteri), significa che il modulo Criteri di gruppo deve impiegare più tempo per enumerare quei GPO durante la fase principale di elaborazione dei Criteri di gruppo.Tuttavia, come vedremo nella prossima sezione, ciò non implica necessariamente un impatto negativo sulle prestazioni.

Misurazione delle prestazioni dei Criteri di gruppo
Infine, per poter prendere la decisione giusta sulle prestazioni dell'infrastruttura Criteri di gruppo, è necessario essere in grado di misurare le prestazioni dei Criteri di gruppo nell'ambiente reale.Modellare o prevedere le prestazioni dei Criteri di gruppo è quasi impossibile, considerato l'ampio numero di fattori che possono influire su un determinato ciclo di elaborazione.Per questo motivo, la misurazione empirica rappresenta la soluzione migliore per scoprire se le prestazioni dell'elaborazione dei Criteri di gruppo rappresentano un problema.Cosa si intende per peggioramento delle prestazioni?Il peggioramento delle prestazioni si verifica quando l'elaborazione dei Criteri di gruppo influisce negativamente sull'esperienza degli utenti all'interno dei propri sistemi.Questa situazione varia a seconda dell'organizzazione, ma il punto chiave è essere a conoscenza del problema.
Quindi, come misurare la durata di un determinato ciclo di elaborazione dei Criteri di gruppo?Ancora una volta la risposta non è semplice.Se si esegue Windows Vista o Windows Server 2008, è possibile sfruttare i nuovi registri operativi del Visualizzatore eventi.Il registro operativo dei Criteri di gruppo all'interno del Visualizzatore eventi, che si trova in Registri applicazioni e servizi\Microsoft\Windows\Criteri di gruppo\Operativo, fornisce un'eccellente strumentazione di ciascun passaggio del ciclo di elaborazione dei Criteri di gruppo, compreso il tempo impiegato in ogni fase di elaborazione (vedere la Figura 2).
Figura 2 Evento del registro operativo dei Criteri di gruppo che illustra il tempo di elaborazione
Figura 2 Evento del registro operativo dei Criteri di gruppo che illustra il tempo di elaborazione
Tuttavia, se non si lavora in un ambiente Windows Vista o Windows Server 2008, i meccanismi per calcolare i tempi di elaborazione dei criteri sono meno diretti.In tal caso, è possibile attivare la registrazione dettagliata di userenv (vedere l'articolo del sito Supporto tecnico Microsoft all'indirizzo support.microsoft.com/kb/221833) e visualizzare i timestamp all'interno di questo file relativi a un determinato ciclo di elaborazione o utilizzare i valori presenti nel Registro di sistema sul client che indicano le ore di avvio e di arresto dell'elaborazione dei criteri.Per il computer tali valori sono memorizzati in:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\Machine\Extension-List\
{00000000-0000-0000-0000-000000000000}
mentre per l'utente sono memorizzati in:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Group Policy\State\<SID of User>\Extension-List\
{00000000-0000-0000-0000-000000000000}
I valori vengono memorizzati in formato FILETIME e devono essere convertiti in una data e ora di formato normali.Per ottenere le stesse informazioni, è anche possibile utilizzare l'utilità gratuita GPTime.exe (disponibile all'indirizzo gpoguy.com/tools.htm#GP_Time_Utility).
Se non si dispone di un ambiente Windows Vista o Windows Server 2008, ma si ha accesso a un registro userenv, è ancora possibile ottenere informazioni importanti sul tempo impiegato da ogni ciclo di elaborazione dei criteri.Ad esempio, nella Figura 3 viene illustrato un frammento del registro userenv che illustra parte della fase principale dell'elaborazione dei Criteri di gruppo.
Figura 3 Una parte del registro userenv
Figura 3 Una parte del registro userenv
Tenere presente che ogni riga del file di registro contiene un timestamp.La parte principale del ciclo di elaborazione dei Criteri di gruppo comincia quando viene visualizzato un evento del tipo ProcessGPOs che indical'inizio dell'elaborazione (in background) dei Criteri di gruppo per un utente.La parte CSE del ciclo di elaborazione inizia quando viene visualizzata la riga ProcessGPOs che indical'elaborazione del Registro di sistema delle estensioni.È possibile utilizzare questo registro e il timestamp per determinare la durata di ciascuna parte di un ciclo di criteri.

Osservazioni generali sulle prestazioni
Se si impiega troppo tempo per esaminare i file di registro userenv, vengono visualizzati i primi modelli e sebbene non sia possibile prevedere la durata dell'elaborazione dei criteri, è possibile fare delle osservazioni di carattere generale su come viene impiegato il tempo in un determinato ciclo di elaborazione.Ad esempio, durante un evento di elaborazione dei criteri, quando vengono apportate modifiche ai criteri e, a causa di tali modifiche, le estensioni CSE devono eseguire altre operazioni, il tempo impiegato nella parte principale di elaborazione dei Criteri di gruppo è in genere molto inferiore rispetto al tempo impiegato per la parte dell'estensione CSE.
Ciò vale per quasi tutte le aree dei criteri perché la maggior parte delle estensioni CSE deve eseguire attività che richiedono più tempo rispetto all'elaborazione della parte principale, le cui attività più dispendiose risultano le query ad Active Directory e SYSVOL.Ad esempio, non c'è paragone tra il tempo impiegato per l'elaborazione principale rispetto al tempo impiegato per un'estensione CSE Installazione software che esegue un'installazione di Microsoft® Office.Tuttavia, per un aggiornamento in background dei criteri dove nulla è stato modificato dall'ultimo ciclo di elaborazione, il tempo impiegato dalla parte principale del ciclo di elaborazione è quasi lo stesso rispetto al tempo impiegato per la parte dell'estensione CSE.L'unica eccezione è rappresentata dall'elaborazione dei criteri del Registro di sistema. Tale operazione è piuttosto rapida, a meno che non siano presenti decine o centinaia di impostazioni dei criteri del Registro di sistema per un determinato utente o computer.
Inoltre, disattivando la parte del computer o dell'utente di un GPO a causa del mancato utilizzo, non vi sono effetti evidenti sulle prestazioni dell'elaborazione dei criteri.Se non si utilizza una parte del criterio, l'unico overhead è rappresentato dall'esecuzione di query in Active Directory. La stessa query deve essere eseguita per visualizzare l'opzione di disattivazione, come quella utilizzata per stabilire se sono state implementate estensioni CSE per quella parte di GPO.L'effetto della disattivazione di una parte è irrilevante.

Consigli sulla progettazione per ottimizzare le prestazioni dei Criteri di gruppo
Dopo aver preso in esame diversi aspetti delle prestazioni dell'elaborazione dei Criteri di gruppo, di seguito vengono riportati alcuni consigli per la progettazione che possono influire direttamente sulle prestazioni.Tali consigli sono raggruppati in quattro punti principali.
  1. Se si apportano modifiche frequenti ai GPO, non ci si deve dimenticare degli effetti descritti in precedenza, laddove una modifica a un'estensione CSE può influire sull'elaborazione di tutte le estensioni CSE.A tal fine, se si pianificano modifiche frequenti ai criteri del Registro di sistema, ad esempio, è più opportuno inserire i criteri del Registro di sistema in GPO funzionali (GPO che eseguono solo i criteri del Registro di sistema) in quanto, nel momento in cui viene apportata una modifica, tali GPO impediscono l'elaborazione delle altre estensioni CSE.
  2. Per calcolare quando il numero di GPO è da considerarsi eccessivo, tenere presente che l'elaborazione dei criteri si verifica soltanto durante le modifiche, pertanto le estensioni CSE "costose" come Installazione software e Reindirizzamento cartelle, la gestione di diversi criteri del Registro di sistema o l'impostazione delle autorizzazioni su file o Registri di sistema di grandi dimensioni impiegano gran parte del tempo.Il tempo impiegato per sottoporre a query Active Directory, in modo da ottenere l'elenco di GPO durante l'elaborazione principale, rappresenta spesso la parte minore del ciclo di elaborazione.Pertanto, il tempo per elaborare 30 GPO che si applicano a un determinato utente, ma che eseguono modifiche minime ai criteri del Registro di sistema e che non cambiano frequentemente, dovrebbe essere inferiore rispetto all'elaborazione di 5 GPO che eseguono regolarmente estensioni CSE costose, perché tali GPO cambiano frequentemente.
  3. Evitare i comportamenti che causano rallentamenti ovvi nelle prestazioni dell'elaborazione dei criteri.Ad esempio, è possibile stabilire che un criterio forzi l'elaborazione delle estensioni CSE anche se non è stato modificato alcun GPO (in Configurazione computer\Modelli amministrativi\Sistema\Criteri di gruppo).Tuttavia, se si esegue questa operazione, l'elaborazione dei criteri dura più a lungo durante ogni ciclo.
  4. Tenere presente le conseguenze derivanti dalla disattivazione dell'opzione di ottimizzazione rapida dell'accesso in Windows XP e Windows Vista (viene effettuata attivando i criteri in Configurazione computer\Modelli amministrativi\Sistema\Accesso\Attendi sempre disponibilità rete all'avvio e all'accesso).Una volta attivati tali criteri, l'elaborazione in primo piano da asincrona diventa sincrona.Ciò significa che i criteri del computer e dell'utente devono essere completati prima che l'utente assuma il controllo del computer e del desktop.Tuttavia, tutto ciò potrebbe risultare vantaggioso perché viene risolto il problema di eseguire due o più riavvii o accessi per i criteri Installazione software e Reindirizzamento cartelle.

Conclusioni
Nonostante le prestazioni di elaborazione dei Criteri di gruppo non rappresentino una scienza esatta, esistono alcune informazioni sul processo di progettazione che consentono di attenuare i problemi relativi alle prestazioni.
Per capire come funziona il ciclo di elaborazione e come viene impiegato il tempo la strada è lunga ed è necessario tenere traccia dei problemi relativi alle prestazioni.Utilizzare i registri operativi di Windows Vista o Windows Server 2008 (o i registri userenv delle prime versioni di Windows) per ottenere informazioni instrumentate sul ciclo di elaborazione.Non trascurare gli aspetti bizzarri dell'elaborazione dell'estensione CSE e cosa si intende per modifica dei criteri dal punto di vista delle CSE.E ricordare che, negli ambienti dinamici in cui vengono eseguite molte modifiche, i GPO funzionali potrebbero essere più adatti rispetto a quelli monolitici.In conclusione, i Criteri di gruppo rappresentano una tecnologia progettata per consentire una migliore gestione dell'ambiente Windows.È molto importante che la progettazione dei Criteri di gruppo dipenda dalle esigenze aziendali e non il contrario.Ricordarsi, inoltre, che i comportamenti delle prestazioni analizzati nel presente articolo consentono di soddisfare tale obiettivo.

Darren Mar-Eliaè un MVP per i Criteri di gruppo Microsoft, creatore del famoso sito Criteri di gruppo (www.gpoguy.com) e coautore di Microsoft Windows Group Policy Guide (Microsoft Press, 2005).È anche direttore tecnico e fondatore di SDM Software, Inc. Può essere contattato all'indirizzo Darren@gpoguy.com.


 Criteri di gruppo: Approfondimento su Gestione avanzata Criteri di gruppo
Criteri di gruppo Derek Melber

Approfondimento su Gestione avanzata Criteri di gruppo
Panoramica:
  • Architettura e installazione di Gestione avanzata Criteri di gruppo
  • Modifica non in linea degli oggetti Criteri di gruppo
  • Gestione delle modifiche con Gestione avanzata Criteri di gruppo
  • Ripristino di emergenza

Microsoft ha recentemente acquisito DesktopStandard, una società che ha creato un prodotto che consente la gestione completa degli oggetti Criteri di gruppo.Secondo il mio parere, ogni azienda che utilizza Active Directory dovrebbe eseguire questo strumento, Gestione avanzata Criteri di gruppo.
AGPM consente la modifica non in linea degli oggetti Criteri di gruppo, la gestione delle modifiche, il flusso di lavoro per l'aggiornamento dei criteri, la delega e molto altro ancora.Nel presente articolo, viene approfondito il funzionamento interno e viene fornita una panoramica dettagliata su questo divertente e utilissimo strumento.
Iniziamo con una breve introduzione.AGPM era precedentemente noto come GPOVault.Dopo aver acquisito DesktopStandard, Microsoft l'ha ridenominato AGPM e l'ha inserito in Microsoft® Desktop Optimization Pack (MDOP).Al momento, è possibile ottenere MDOP solo se si dispone di licenze desktop per Windows Vista® coperte da Microsoft Software Assurance.
In base alla mia esperienza con gli strumenti inclusi, ritengo che MDOP sia una delle offerte più strabilianti fatte da Microsoft finora.MDOP viene rilasciato con cinque diversi strumenti che presi singolarmente sono già molto utili, ma che insieme costituiscono un set di strumenti tra i più notevoli e preziosi.Per ulteriori informazioni su MDOP, consultare il sito Web di MDOP all'indirizzo:windowsvista.com/optimizeddesktop.

Architettura e installazione di Gestione avanzata Criteri di gruppo
L'installazione di AGPM è stata progettata in modo da essere molto rapida e semplice: consiste in un componente server e un componente client (amministrativo).Il componente server deve essere installato su un server membro all'interno del dominio, non altera Active Directory®, lo schema o qualsiasi altro servizio directory.AGPM può essere installato su un controller di dominio, se necessario.
L'installazione del server esegue l'installazione di un servizio che richiede un account di servizio basato sul dominio da cui AGPM accede alla produzione diretta degli oggetti Criteri di gruppo per conto degli utenti.L'installazione richiede anche la presenza di un amministratore AGPM che controlli tutte le impostazioni all'interno di AGPM, tra cui la delega e la gestione del GPO iniziale.
Il client deve essere installato su un computer con Windows Vista che esegue già le normali funzioni amministrative, presumibilmente sul computer desktop degli amministratori di rete e di Active Directory.Il client deve ora indicare le impostazioni di AGPM sul server AGPM e la connessione all'archivio sarà eseguita.Il client AGPM utilizza l'interfaccia di Console Gestione Criteri di gruppo (GPMC) e viene indicato come il nodo di controllo modifiche, come illustrato nella Figura 1.
Figura 1 AGPM è completamente integrata nella GPMC per facilità di utilizzo
Figura 1 AGPM è completamente integrata nella GPMC per facilità di utilizzo
I file a cui accede AGPM sono archiviati in formato file di base sul server AGPM.Questo è il metodo più semplice per archiviare tali file e per semplificare l'esecuzione del backup dell'intero archivio AGPM.La maggior parte delle funzionalità di AGPM utilizza le API GPMC integrate, il che consente un'integrazione e un utilizzo ottimali del prodotto.AGPM non utilizza un database, ma archivia i GPO in un'unica cartella mentre un manifesto controlla la correlazione di tutti gli oggetti Criteri di gruppo con il GPO padre all'interno dell'archivio.Ciò garantisce che tutti i GPO dispongano di un unico GUID; tuttavia, durante la fase di produzione, il GUID corretto viene associato al GPO in distribuzione.

Modifica non in linea di AGPM
La funzionalità fondamentale di AGPM consiste nella possibilità di effettuare la modifica dei GPO non in linea, fuori dall'ambiente di produzione.È noto che la modifica dei GPO effettuata tramite la GPMC predefinita può provocare l'immediato inserimento di impostazioni non corrette nell'ambiente di produzione, causando potenzialmente risultati disastrosi.
APGM gestisce la modifica dei GPO non in linea "controllando" i GPO.Un GPO controllato, come mostrato nella Figura 2, può essere modificato non in linea senza provocare alcuna intrusione nell'ambiente di produzione.
Figura 2 I GPO controllati si trovano nell'archivio AGPM e possono essere modificati non in linea
Figura 2 I GPO controllati si trovano nell'archivio AGPM e possono essere modificati non in linea
Il controllo di un GPO è molto semplice.I GPO non controllati, come mostrato nella Figura 3, sono i GPO non ancora associati all'archivio AGPM.Facendo clic con il pulsante destro del mouse su uno di questi GPO, viene visualizzato un menu che contiene l'opzione per il controllo.Selezionando l'opzione di menu per il controllo, il GPO viene copiato dalla posizione di produzione (il volume di sistema o SYSVOL, condivisione sul controller di dominio) e posizionato nell'archivio AGPM.È possibile controllare diversi GPO; è sufficiente tenere premuto il tasto MAIUSC o CTRL durante la selezione dei GPO per ottenere l'elenco corretto di GPO che si desidera controllare e quindi fare clic con il pulsante destro del mouse per accedere all'opzione di menu per il controllo.I GPO controllati vengono modificati tramite l'Editor oggetti Criteri di gruppo (GPOE).Questo è solo un altro modo in cui AGPM è stata completamente integrata nella console GPMC.
Figura 3 I GPO non controllati vengono posizionati nell'archivio selezionando l'opzione di menu per il controllo
Figura 3 I GPO non controllati vengono posizionati nell'archivio selezionando l'opzione di menu per il controllo

Delega della gestione di AGPM
Vediamo come AGPM gestisce la delega esaminando innanzitutto come è possibile delegare la gestione di GPO tramite la console GPMC.Nella console GPMC, esistono cinque diverse attività di delega che è possibile concedere a un utente:la creazione, il collegamento, la gestione e la lettura degli oggetti Criteri di gruppo.
Tutte le deleghe vengono completate all'interno dell'interfaccia GPMC.Sono tutte controllate dagli utenti e dai gruppi elencati nelle schede relative alla delega associate ai diversi nodi nella console GPMC.Le deleghe in questione sono quelle che consentono la creazione di nuovi GPO, come pure la modifica e la gestione dei GPO esistenti.
La creazione dei GPO nella console GPMC è gestita dalla scheda relativa alle deleghe associata al nodo oggetti Criteri di gruppo, come mostrato nella Figura 4.Una volta installata AGPM, sarà possibile rimuovere tutti gli utenti e i gruppi dall'elenco di coloro che hanno accesso alla creazione dei GPO.Per creare GPO, non è necessario rimuovere il sistema, i computer o i gruppi di computer dalla scheda relativa alle deleghe.La creazione di GPO a questo punto viene gestita dall'account di servizio che controlla il servizio di AGPM.A questo account viene concessa la delega per creare GPO per conto di tutti gli utenti e gruppi che dispongono delle deleghe per la creazione e la distribuzione di GPO da AGPM.
Figura 4 La creazione di GPO è controllata dall'elenco di account nella scheda relativa alle deleghe sul nodo oggetti Criteri di gruppo, nella console GPMC
Figura 4 La creazione di GPO è controllata dall'elenco di account nella scheda relativa alle deleghe sul nodo oggetti Criteri di gruppo, nella console GPMC
Questa nuova capacità di creare GPO consente la divisione del lavoro e protegge la rete di produzione.In teoria, i GPO vengono creati, configurati e verificati prima che siano distribuiti dall'ambiente AGPM alla produzione.Ciò riduce la possibilità che si verifichino configurazioni non corrette come succede oggi senza AGPM.
Per la delega relativa alla modifica o alla gestione di GPO, la questione è analoga.Nella console GPMC, queste deleghe sono configurate sulla scheda relativa alle deleghe associata a ogni GPO, come mostrato nella Figura 5.
Figura 5 La modifica e la gestione di GPO sono associate individualmente ai GPO
Figura 5 La modifica e la gestione di GPO sono associate individualmente ai GPO
Una volta installata AGPM, queste deleghe devono essere rimosse da ogni GPO elencato nel nodo oggetti Criteri di gruppo.Questo impedirà a tutti gli amministratori di modificare i GPO dall'esterno di AGPM.In sostanza, questo incanala tutta la gestione dei GPO in AGPM, dove sono possibili attività quali la modifica non in linea, la gestione delle modifiche e il ripristino di emergenza.
La rimozione degli utenti e dei gruppi dalla modifica di GPO dall'esterno di AGPM è un processo manuale.L'installazione e la configurazione di AGPM non rimuove alcun utente o gruppo dalla modifica dei GPO nell'ambiente di produzione.Poiché l'account di servizio che controlla il servizio di AGPM esegue le azioni per conto degli utenti che modificano i GPO di produzione da AGPM, non è necessario che utenti o gruppi di utenti siano elencati nella scheda delle deleghe per ogni GPO.Computer e gruppi di computer non devono essere rimossi dalle schede delle deleghe.
Dopo aver rimosso tutte le deleghe per la modifica di un GPO nella console GPMC, a nessun amministratore sarà consentito modificare un GPO dalla console GPMC, come mostrato nella Figura 6.
Figura 6 Gli amministratori non possono modificare i GPO dalla console GPMC una volta che viene loro negata la delega per questa azione
Figura 6 Gli amministratori non possono modificare i GPO dalla console GPMC una volta che viene loro negata la delega per questa azione
Per finalizzare la configurazione, tutti gli amministratori che devono modificare i GPO devono essere aggiunti agli elenchi di controllo di accesso (ACL) appropriati in AGPM.Se un amministratore deve poter modificare tutti i GPO che si trovano nell'archivio, è necessario aggiungerne l'account utente a un gruppo a cui siano state concesse capacità di modifica a livello di dominio in AGPM, come mostrato nella Figura 7.Se un amministratore deve avere delle restrizioni relative alla modifica di alcuni GPO nell'archivio di AGPM, questa configurazione deve essere uguale per tutti i GPO (vedere la Figura 8).
Figura 7 La scheda delle deleghe di dominio consente la configurazione della modifica di tutti i GPO nell'archivio
Figura 7 La scheda delle deleghe di dominio consente la configurazione della modifica di tutti i GPO nell'archivio
Figura 8 La modifica dei singoli GPO deve essere configurata sugli elenchi ACL del GPO
Figura 8 La modifica dei singoli GPO deve essere configurata sugli elenchi ACL del GPO

Gestione delle modifiche di GPO di AGPM
Uno dei maggiori vantaggi di AGPM consiste nella possibilità di registrare tutte le modifiche effettuate sui GPO nell'archivio.Poiché questo è un processo automatizzato, non è necessario impostarlo, configurarlo o gestirlo.La registrazione di tutte le modifiche avviene in background, quando i GPO vengono gestiti tramite l'interfaccia client AGPM.
Questo costituisce un miglioramento significativo in relazione al modo in cui la console GPMC predefinita gestisce l'amministrazione dei GPO.Nella console GPMC predefinita, non esistono funzionalità automatizzate o incorporate per la registrazione delle modifiche sui GPO.Questo è stato uno dei principali problemi della maggior parte degli amministratori di Criteri di gruppo negli anni passati e adesso è stato eliminato.
La funzionalità di gestione delle modifiche di AGPM registra tutte le modifiche fondamentali che si verificano su un GPO.Oltre alle modifiche effettuate sul GPO, il sistema di gestione delle modifiche è utile anche in una situazione di registrazione di amministrazione completa o di controllo.Il sistema di gestione delle modifiche monitora, registra e documenta i seguenti valori per ogni modifica del GPO:la data e l'ora della modifica del GPO, l'utente che ha effettuato la modifica, le impostazioni originali del GPO e le modifiche apportate alle impostazioni del GPO.
Poiché la registrazione di tutte le modifiche è automatica, è importante sapere quali azioni hanno avviato la registrazione automatizzata.Nell'interfaccia client AGPM, è possibile fare clic con il pulsante destro del mouse su un GPO nella scheda relativa ai GPO controllati e selezionare l'opzione di menu per l'estrazione, come mostrato nella Figura 9.
Figura 9 L'estrazione di un GPO attiva il processo automatizzato di registrazione delle modifiche
Figura 9 L'estrazione di un GPO attiva il processo automatizzato di registrazione delle modifiche
Per modificare il GPO, è necessario seguire questa procedura, che verrà illustrata nella sezione successiva.Anche se un GPO viene estratto e immediatamente riarchiviato senza alcuna modifica, verrà creato un archivio di questa azione.Dato che i GPO sono parte integrante dell'azienda, lo strumento registra anche la possibilità che venga effettuata una modifica.
La procedura di estrazione è obbligatoria all'interno di AGPM poiché è necessario un meccanismo che segnali le modifiche dei GPO all'amministratore che ha effettuato la modifica.Due amministratori non possono estrarre contemporaneamente lo stesso GPO.Se un amministratore estrae il GPO senza riuscire poi a riarchiviarlo correttamente, esiste un meccanismo integrato che consente all'amministratore AGPM di riportarlo in archivio.

Modifica dei GPO di AGPM
Quando il client AGPM è installato, è possibile accedere all'archivio di AGPM.Una volta concessa la delega per la modifica o il controllo completo nello strumento AGPM, sarà possibile modificare i GPO archiviati.Dopo aver estratto un GPO, è possibile modificarlo facendo clic su di esso con il pulsante destro del mouse e selezionando l'opzione di menu per la modifica.Nota:se è possibile modificare solo alcuni GPO nell'archivio di AGPM, è possibile che siano state concesse funzionalità di delega solo per alcuni GPO, ma non per tutti i GPO nell'archivio.
Con l'acquisizione di DesktopStandard, Microsoft ha acquisito anche PolicyMaker, adesso ridenominato Preferenze di Criteri di gruppo.Questa serie di funzionalità di Criteri di gruppo è inclusa nella console GPMC, fornita con Windows Server® 2008. Le Preferenze di Criteri di gruppo consentono all'amministratore di configurare le applicazioni o i componenti di Windows, non configurabili normalmente tramite Criteri di gruppo, così come applicarli a determinati utenti o computer, in base a numerose regole di assegnazione.Le Preferenze di Criteri di gruppo sono completamente integrate in GPMC e AGPM in Windows Server 2008.

Distribuzione di GPO di AGPM
AGPM è stato progettato considerando l'efficienza e il flusso di lavoro.Poiché la gestione dei GPO adesso è più stabile e controllata tramite AGPM, è sensato che gli amministratori dispongano solo della capacità di modificare un GPO, ma non di distribuirlo in produzione.In AGPM, questa operazione viene controllata senza problemi attraverso l'interfaccia, le finestre di dialogo e le procedure di lavoro.Se, ad esempio, un amministratore che dispone esclusivamente di diritti di modifica tenta di distribuire un GPO, il sistema lo blocca.All'amministratore viene quindi mostrata una finestra di dialogo che consente di comunicare con un amministratore a cui sia stata delegata l'autorizzazione per la distribuzione.Questa funzionalità del flusso di lavoro consente di inviare un messaggio di posta elettronica ai destinatari specificati nei campi A:e Cc:e di impostare il GPO su uno stato univoco.Questo stato si trova nella scheda degli elementi in sospeso dell'interfaccia di AGPM.Qui il GPO viene indicato come distribuzione in sospeso, il che consente agli amministratori di visualizzare rapidamente lo stato di tutti i GPO su cui sono state eseguite azioni.
Per distribuire un GPO in sospeso, un amministratore di AGPM che dispone della delega per la distribuzione può semplicemente fare clic con il pulsante destro del mouse sul GPO e selezionare l'opzione di menu per l'approvazione.Se il GPO che deve essere distribuito si trova nella scheda dei GPO controllati invece che dei GPO in sospeso, è sufficiente che lo stesso amministratore faccia clic con il pulsante destro del mouse sul GPO e selezioni l'opzione per la distribuzione.Poiché questa autorizzazione delegata è già stata concessa, il GPO verrà immediatamente distribuito in produzione.

Confronti e report delle impostazioni di GPO di AGPM
L'interfaccia della console GPMC dispone di una finestra di dialogo delle impostazioni a cui è possibile accedere tramite una scheda con lo stesso nome.La finestra di dialogo delle impostazioni fornisce una visuale approfondita di tutte le impostazioni configurate nel GPO, che consente di comprendere quali delle quasi 3000 impostazioni dei criteri di gruppo siano state configurate.
Poiché AGPM fornisce un archivio dei GPO modificati, la scheda delle impostazioni della console GPMC non consente di visualizzare le impostazioni configurate nei GPO modificati.Invece, l'interfaccia di AGPM fornisce una soluzione alternativa a questa funzionalità.
Per visualizzare le impostazioni nei GPO, è opportuno vedere prima l'elenco cronologico di tutte le modifiche.Per farlo, fare doppio clic su un qualsiasi GPO nella scheda dei GPO controllati in AGPM.Da questa interfaccia, è possibile fare clic con il pulsante destro del mouse su qualsiasi versione di GPO e selezionare l'opzione del report delle impostazioni.Questo crea un report di tutte le impostazioni configurate in quella versione del GPO.Il report è un file HTML descrittivo, ma può essere creato anche in formato XML.
Sebbene questo sia utile, è ancora più pratico poter confrontare due versioni dello stesso GPO.Con questa funzionalità, è possibile vedere cosa è cambiato da una versione all'altra o confrontare due versioni completamente diverse dello stesso GPO.Questo è molto utile anche nel caso della distribuzione in sospeso di un GPO perché consente di vedere le differenze tra il GPO in sospeso e il GPO in distribuzione.Per visualizzare questo report, evidenziare due diversi GPO nella visualizzazione della cronologia, quindi fare clic con il pulsante destro del mouse su uno dei due.
La codifica con colori nel report delle differenze è molto utile, specialmente quando si desidera verificare cosa è stato modificato in un GPO in sospeso, prima di distribuirlo.Le impostazioni evidenziate in rosso sono state eliminate dal GPO in produzione e non sono più disponibili nel GPO in sospeso.Le impostazioni di colore blu sono state modificate e quelle di colore verde sono nuove modifiche effettuate nel GPO in sospeso, ma non nel GPO in produzione.
Questa funzionalità di AGPM consente di risparmiare molte ore di lavoro necessarie per i confronti manuali delle impostazioni del GPO.È anche un ottimo metodo per documentare il GPO nel tempo; è possibile stampare e creare report di tutte le versioni.

Ripristino di emergenza dei GPO di AGPM
Una singola modifica apportata a un GPO può creare problemi a uno o più computer della rete.Con la console GPMC predefinita, questo tipo di configurazione può essere corretta, a condizione che vengano prese le appropriate misure manuali per eseguire i backup dei GPO sia prima che dopo che le modifiche vengano apportate al GPO in produzione.Se non vengono eseguiti backup, il ripristino da questo tipo di emergenza non è così semplice come si pensa.
AGPM gestisce la questione in modo semplice.Poiché esistono backup completi di tutti i GPO nella cronologia dei GPO, è possibile aprire semplicemente tale cronologia e selezionare quale versione del GPO si desidera ridistribuire.
Con AGPM, la gestione di Criteri di gruppo diventa quasi perfetta.Per anni, gli amministratori hanno desiderato di poter controllare e gestire i GPO non in linea.AGPM fornisce questa funzionalità con grazia ed eleganza.AGPM offre anche una soluzione di gestione delle modifiche molto valida che non solo registra le aree principali di un GPO modificato, ma fornisce anche confronti tra GPO e ripristino di emergenza.Il modello di delega incorporato in AGPM consente di incanalare tutte le attività amministrative in AGPM per tutte le modifiche apportate ai GPO, fornendo l'esecuzione automatizzata dei backup delle modifiche dei GPO ed eliminando tutti i problemi del GPO in produzione.Questo servizio offre così tante funzionalità che sarebbe impossibile illustrarle tutte adesso, ma il manuale di AGMP fornisce molte informazioni su modelli, ripristino del collegamento dei nodi, configurazione SMTP e molto altro ancora.

Derek Melber è un consulente indipendente, istruttore e autore.La funzione di Derek consiste nel promuovere e fornire una formazione adeguata nell'ambito della tecnologia Microsoft, con particolare attenzione ad Active Directory, a Criteri di gruppo, alla protezione e alla gestione dei desktop.Derek partecipa regolarmente alla stesura di pubblicazioni cartacee e in linea ed è autore di oltre 10 manuali sulla tecnologia, tra cui Microsoft Windows Group Policy Guide (Microsoft Press, 2005).È possibile contattare Derek all'indirizzo derekm@braincore.net.


 Dal redattore: Come convincere uno scettico
Dal redattore
Come convincere uno scettico
Joshua Hoffman

Sono uno scettico. Sì, è vero.Noi newyorkesi siamo famosi per la nostra buona fede e ingenuità, ma ogni tanto, un'anima stanca finisce nel Lincoln Tunnel e infanga la nostra immagine.Di natura, ho la tendenza a mettere tutto in discussione.Può essere difficile avere la meglio quando si parla con me.
Ai miei colleghi di Redmond non farà piacere sentirlo, ma ero abbastanza scettico quando Microsoft ha introdotto il marchio System Center qualche anno fa.Non voglio essere frainteso, sono sempre e comunque un affezionato di SMS.In un'altra vita sarò stato un esperto di distribuzione e gestione e Systems Management Server (le versioni successive alla 2.0) era uno strumento essenziale del mio arsenale.Tuttavia, man mano che il marchio System Center si diffondeva e la linea di prodotti cresceva, la mia tendenza a mettere sempre tutto in discussione fece di nuovo capolino.
Era veramente necessario questo prodotto?Avrebbe aiutato i clienti?La diversificazione della linea di prodotti non avrebbe avuto un impatto negativo sui prodotti di gestione principali che tutti abbiamo imparato a conoscere e amare?
Devo ammettere, tuttavia, che, malgrado il mio presentimento iniziale, System Center mi ha convinto.SMS e MOM (noto come Configuration Manager e Operations Manager) sono diventati prodotti di gestione utilizzati in tutto il mondo, aggiungendo funzionalità utili (addirittura sorprendenti) ad ogni rilascio.E il loro valore non solo non è stato intaccato dai nuovi prodotti, ma è persino aumentato.
Negli ultimi mesi, abbiamo esplorato i nuovi prodotti di Configuration Manager e Operations Manager, nonché alcuni degli altri componenti aggiuntivi di System Center (ad esempio Capacity Planner, Desired Configuration Monitor ed Essentials).Come è possibile vedere, questo mese approfondiremo alcune novità molto interessanti.
Edwin Yuen inizia illustrando il modo in cui Virtual Machine Manager 2007 consente non solo di centralizzare la gestione di un'infrastruttura virtualizzata ma anche di abbattere alcune delle fastidiose barriere della migrazione, offrendo la possibilità di consolidare l'hardware legacy in nuove macchine virtuali.Calvin Keaton descrive la nuova versione di Data Protection Manager, che fornisce soluzioni di backup basato su disco non solo per i dati utente standard, ad esempio i documenti, ma anche per i dati aziendali, ad esempio le informazioni critiche archiviate in Exchange Server.Infine, Paul Bourgeau introduce la prima soluzione host System Center: Asset Inventory Service.
Invia i tuoi commenti sulle novità di System Centerscrivendo un messaggio di posta elettronica all'indirizzo tnmag@microsoft.com. -Joshua Hoffman

Si ringraziano i seguenti esperti tecnici di Microsoft: Karandeep Anand, Joseph Dadzie, Ray Hayes, KC Lemson, Bill Scheidel, Jeffrey Snover, Mike Stephens, Kevin Sullivan, Jim Truher e Winni Verhoef.


 Lettere: La parola ai lettori
Lettere
La parola ai lettori

Problemi di VMRCplus
Ho scaricato VMRCplus come descritto nella rubrica Utilità in primo piano del numero di ottobre 2007 (technetmagazine.com/issues/2007/10/UtilitySpotlight),ma se tento di collegarmi a un computer remoto, ricevo una serie di errori RPC.Poiché l'interfaccia di amministrazione di Virtual Server è basata sul Web, ho immaginato che anche questa applicazione avrebbe utilizzato l'interfaccia Web, aggiungendo semplicemente un'esperienza utente più completa alla tecnologia Web esistente.Invece, ho scoperto che utilizza l'API COM.
-Da blogs.technet.com/tnmag.

VMRCPlus utilizza lo stesso percorso di rete del client di controllo remoto VMRC fornito con Virtual Server (un'applicazione client e non un'interfaccia Web).Ciò significa che è necessario avere accesso alle seguenti porte:
  • Porta 5900, la porta predefinita per il server VMRC
  • Porta 1024, la porta predefinita per il sito Web di amministrazione
  • Porta 137 e porta 138, le porte TCP e UDP per l'autorità di concessione ticket Kerberos V5
  • Porta 135, la porta utilizzata per l'agente mapping endpoint RPC
Ulteriori informazioni sono disponibili all'indirizzo microsoft.com/technet/prodtechnol/virtualserver/2005/proddocs/vs_operate_using_VMRC_manageVMs.mspx.

Utilizzo di Windows PE
Ho letto l'articolo "Introduzione a Windows PE" (settembre 2006, technetmagazine.com/issues/2006/09/WindowsPE).Sto cercando di far funzionare Windows® PE in un ambiente VMWare con supporto di rete, ma non riesco a consentire l'accesso di questo sistema alla rete utilizzando il driver NIC.Inizio da VMWare con il file di immagine ISO di Windows PE.Il programma si avvia e viene visualizzata una console dei comandi, ma quando digito ipconfig, non viene visualizzato un indirizzo IP.Inoltre, non riesco a risolvere un indirizzo dal server DHCP.
-John C.

Il problema in questo caso è che la scheda NIC installata da VMware per impostazione predefinita non è supportata da Windows Vista® (su cui si basa Windows PE 2.0).È necessario specificare un altro tipo di NIC nel file di configurazione della macchina virtuale (file VMX), come riportato di seguito:
ethernet0.virtualDev = "e1000"
Questa operazione deve essere eseguita manualmente modificando il file VMX in un editor di testo, ad esempio Blocco Note, e non tramite una GUI.Con questa modifica la NIC virtualizzata integrata esistente viene sostituita con la NIC Intel di 1 GB supportata da Windows Vista.Ancora più importante, la sostituzione di questo valore fa sì che non sia necessario aggiungere driver di rete.

Ottimizzazione delle prestazioni delle query in SQL Server
Nell'articolo "Ottimizzazione delle prestazioni delle query in SQL Server" (novembre 2007, technetmagazine.com/issues/2007/11/SQLQuery), l'autore ha fornito un esempio di SQL Server™ 2005 per trovare le 20 query più dispendiose in esecuzione.Tuttavia, non si occupa di SQL Server 2000. Posso avere un esempio adatto a questa versione?
-Arun N.

Purtroppo, non esiste un modo per ottenere queste informazioni su SQL Server 2000: SQL Server 2000 non raccoglie ed espone tali informazioni per le query nella propria cache delle procedure.Queste informazioni diventano disponibili solo con il nuovo gruppo di viste di gestione dinamiche introdotto in SQL Server 2005.

L'applicazione MIISWorkflow non funzionerà
Ho letto l'articolo "Creazione di un flusso di lavoro di provisioning in un unico passaggio" (maggio 2007, technetmagazine.com/issues/2007/05/Workflow) e vorrei alcuni chiarimenti.L'applicazione MIISWorkflow è supportata?È compatibile con .NET Framework 2.0?Ricevo un messaggio di errore "Servizio non disponibile" quando cerco di aprire l'applicazione all'esterno di Visual Studio®.Riesco a eseguire l'applicazione in modalità di debug, ma se chiudo Visual Studio e tento di aprirla direttamente, viene visualizzato l'errore.Perché l'applicazione interrompe il pool di applicazioni e/o cosa causa l'errore Servizio non disponibile?
-Cliff C.

L'applicazione MIISWorkflow non è un prodotto Microsoft ufficialmente supportato.Viene fornito come codice di esempio solo a scopi didattici.
Il sito Identity Management tra i forum di TechNet, all'indirizzo forums.microsoft.com/TechNet/ShowForum.aspx?ForumID=540&SiteID=17, consente di discutere dei problemi relativi alla gestione delle identità. Questi forum sono monitorati dai membri dei gruppi di sviluppo dei prodotti Microsoft, nonché da esperti, e rappresentano le fonti migliori per ricevere assistenza diretta per problemi di questo tipo.


 Casella degli strumenti: Nuovi prodotti per professionisti IT
Casella degli strumenti
Nuovi prodotti per professionisti IT
Greg Steen

Assumere il controllo di Windows PowerShell
PowerGUI
powergui.org
Se ancora non si utilizza Windows PowerShellTM, è opportuno farlo.Windows PowerShell sta diventando uno strumento di gestione principale nel mondo di Windows Server®.Per i principianti, rappresenta il punto di partenza per la gestione basata su script di Exchange Server 2007.
Per sfruttare appieno le potenzialità di Windows PowerShell nel relativo formato nativo, è necessario memorizzare una quantità notevole di sintassi, cmdlet e strutture generali.Certo, si potrebbe non avere tempo a disposizione (o energie mentali) da dedicare a questa operazione,ma cosa accadrebbe se si disponesse di una console di gestione grafica centralizzata per la gestione degli script?Un'interfaccia utente che fornisce modelli personalizzabili, funzionalità di modifica di tipo IntelliSense® e una base per la community per la condivisione script?Con questo tipo di ambiente, è possibile eseguire rapidamente lo script delle attività necessarie ed essere sempre a conoscenza delle relative posizioni per eventuale uso e riferimento futuro.
Non ti preoccupare, non ti sto prendendo in giro.Questo ambiente basato sulla GUI per Windows PowerShell è il risultato che si ottiene con PowerGUI, un prodotto freeware supportato da Quest Software.Nonostante al momento della scrittura di questo articolo fosse ancora in versione Beta, quest'applicazione offre una GUI estensibile e di facile utilizzo simile allo snap-in Microsoft® Management Console (MMC) su steroidi.
All'interno della GUI, è possibile fare doppio clic su qualsiasi script fornito o su uno degli script personalizzati per eseguire e fornire una visualizzazione tabulare del set di dati restituito.È possibile applicare i filtri della colonna e del valore a questi dati per visualizzare le informazioni di cui si necessita.Inoltre, è possibile aggiungere colonne personalizzate per fornire valori calcolati o risultati personalizzati in grado di soddisfare esigenze specifiche.
Dalla GUI, è possibile avviare un prompt di Windows PowerShell o l'editor di script integrato dell'applicazione.L'editor di script rappresenta il punto in cui è possibile ottenere un ambiente di tipo IntelliSense di base che illustra la sintassi dei cmdlet disponibili, nonché il file standard e le funzionalità di modifica, come la ricerca e la sostituzione, la stampa e le operazioni taglia/copia/incolla.È anche possibile individuare dei passaggi per la creazione di segnalibri.
Inoltre, PowerGUI fornisce diverse azioni personalizzabili ed estensibili da applicare al set di dati.Ad esempio, lo script dei servizi del sistema locale consente di avviare, arrestare, sospendere e impostare le proprietà sul servizio designato.Un'altra funzionalità molto efficace consente di aggiungere i collegamenti tra gli script, permettendo di fatto di concatenare gli script mediante elementi comuni per ottenere le informazioni necessarie.Ad esempio, è possibile ottenere un elenco di utenti da un determinato Gruppo per poi collegare tale gruppo a uno script che illustra la quantità di dati presenti nella home directory.Oltre a tali funzionalità, PowerGUI dispone di alcuni script azione comuni integrati per la creazione di report e l'esame che consentono di eseguire il dump dei dati per XML, CSV, HTML e Appunti.
È possibile estendere le singole azioni di script e le azioni comuni aggiungendo script o personalizzando uno dei modelli forniti.Se si richiama la finestra delle proprietà in uno script è possibile modificare lo script esistente o verificare semplicemente il relativo funzionamento.
Un'altra preziosa funzionalità è rappresentata dalla raccolta di documentazione tecnica per la community del sito Web di PowerGUI, che offre una posizione in cui gli utenti possono condividere e scaricare gli script di supporto per le attività di gestione del sistema.In questo sito è possibile trovare script e azioni per la gestione di Active Directory®, la gestione di Exchange Server, le attività di Microsoft Operations Manager, le attività generali di Windows Server e molto altro.PowerGUI rappresenta un punto di partenza solido per fornire uno strumento di gestione estensibile e basato sulla GUI per interagire con Windows PowerShell.

Prezzo: gratuito.
Semplificazione di Windows PowerShell con un'interfaccia utente grafica
Semplificazione di Windows PowerShell con un'interfaccia utente grafica

Quando si acquistano dei prodotti non trascurare il relativo impatto ambientale
Strumento per la valutazione ambientale dei prodotti elettronici
epeat.net
Se hai una propensione verso la tutela dell'ambiente, è importante che tu prenda in considerazione il costo globale di un computer per tutta la sua durata.Ciò significa non trascurare l'aspetto relativo all'energia utilizzata per fabbricare, utilizzare ed eliminare i computer (senza dimenticare altri fattori, come i materiali utilizzati e i rifiuti generati).Il costo globale, inteso in questi termini, è alquanto sorprendente.Per una panoramica dei costi in termini ambientali e finanziari, vedere l'articolo scritto da Dave Ohara nel numero di ottobre 2007 di TechNet Magazine, disponibile all'indirizzo technetmagazine.com/issues/2007/10/Green.
Fortunatamente, sempre più individui e aziende sono consapevoli dell'impatto, finanziario e ambientale, causato dalla propria infrastruttura.E, di conseguenza, iniziano a cercare prodotti in grado di ridurre il consumo di energia.Uno strumento per i professionisti IT che cerca di supportare le aziende nella risoluzione di questo problema è fornito dal Green Electronics Council (greenelectronicscouncil.org).
Lo strumento dell'organizzazione, battezzato EPEAT (abbreviazione di Electronic Product Environmental Assessment Tool), valuta i prodotti elettronici in base a 51 criteri ambientali differenti, 23 dei quali sono obbligatori, mentre gli altri 28 sono facoltativi.La classificazione avviene nel modo seguente:Bronzo (indica che il prodotto soddisfa i criteri considerati obbligatori come valore di riferimento), Argento (soddisfa i criteri obbligatori più il 50% di quelli facoltativi) e Oro (soddisfa i criteri obbligatori più il 75% minimo degli elementi facoltativi).
I criteri si riferiscono all'intero ciclo di vita del prodotto, dai materiali scelti per la produzione al consumo di energia durante l'uso, fino ad arrivare al termine del ciclo di vita.I criteri obbligatori dello standard si riferiscono prevalentemente alle dichiarazioni relative all'impatto di un prodotto; ad esempio, la dichiarazione relativa alla percentuale di prodotto per il quale è stata utilizzata plastica riciclata, l'identificazione dei materiali contenuti nel prodotto che richiedono una gestione speciale, infine la dichiarazione relativa alla percentuale di prodotto composto da materiale riciclato.Attualmente, tutti i prodotti registrati con EPEAT soddisfano gli standard ENERGYSTAR 3.0; inoltre, entro la fine di gennaio 2008, tutti i prodotti saranno conformi al nuovo standard ENERGYSTAR 4.0.
Inoltre, i prodotti certificati devono disporre di un servizio di restituzione del prodotto e delle relative batterie ricaricabili (se applicabile).Un altro requisito interessante è rappresentato dalla presenza di una garanzia di tre anni o un contratto di servizio, che dovrebbe, in teoria, aiutare a prolungare la vita di un dispositivo, riducendo al tempo stesso l'impatto globale dovuto a un elevato tasso di ricambio.
Alcuni degli standard facoltativi si riferiscono all'eliminazione di determinati metalli pesanti (come il cadmio), alla progettazione modulare, ai certificati emessi da terzi relativi alle pratiche e alle procedure ambientali dell'azienda, nonché alle varie percentuali di riciclabilità.
Attualmente, sono disponibili quattro categorie di prodotti:i desktop, i sistemi integrati, i monitor e i computer notebook.Tali categorie di prodotti sono in continua espansione, con l'introduzione di standard server nel 2009.
La maggior parte dei produttori iniziano ad esserne consapevoli.L'Executive Order 13423 di gennaio 2007 stabilisce che qualsiasi agenzia federale che acquista prodotti elettronici deve rispettare almeno il 95% di tali requisiti con un prodotto elettronico registrato con Electronic Product Environmental Assessment Tool (EPEAT) (whitehouse.gov/news/releases/2007/01/20070124-2.html).
Quindi, se ancora non è stato affrontato il problema dell'impatto ambientale causato dai propri acquisti, è arrivato il momento di dedicare del tempo alla ricerca dello strumento di valutazione EPEAT e iniziare a porsi obiettivi ambientali (e finanziari) da perseguire al momento del prossimo acquisto.

Prezzo: gratuito.
Utilizzare EPEAT per valutare l'impatto ambientale degli hardware acquistati
Utilizzare EPEAT per valutare l'impatto ambientale degli hardware acquistati

Recensione
Windows Vista Administrator's Pocket Consultant
microsoft.com/MSPress/books/9588.aspx
Per implementare Windows Vista® all'interno della propria organizzazione, Windows Vista Administrator's Pocket Consultant (Microsoft Press, 2006) di William Stanek consente di accelerare l'utilizzo delle nuove funzioni e funzionalità.Coloro che hanno già letto altri libri della serie Administrator's Pocket Consultant avranno maggiore dimestichezza con il formato e con i contenuti di questo libro simili ad altri della stessa serie.Pur non affrontando tutti gli aspetti più complessi, il libro fornisce una panoramica esauriente delle funzioni e funzionalità, dell'esecuzione di attività specifiche, nonché della descrizione del funzionamento delle attività.Il contenuto è destinato principalmente agli amministratori di sistema, piuttosto che agli utenti finali generali.
Il libro inizia con una presentazione di Windows Preinstallation Environment 2.0, insieme a una breve panoramica delle utilità a disposizione durante l'installazione automatizzata o interattiva.Prosegue poi con l'analisi della gestione dei sistemi Windows Vista, illustrando come utilizzare strumenti come msconfig per risolvere i problemi o per realizzare l'installazione, come pure illustrando nuove funzionalità come Versioni precedenti, che consente di riportare una cartella o un file a uno stato precedente.Inoltre, offre un'introduzione agli strumenti che consentono di gestire l'hardware e i dispositivi sui sistemi di destinazione.
In questo libro viene descritto come adattare l'esperienza di Windows® agli utenti finali personalizzando l'interfaccia e il desktop.Ad esempio, illustra come ridurre l'uso della risorsa screen saver, come adattare i programmi del menu di avvio e del menu Start, quindi come configurare Windows Sidebar.Nel libro si spiega come creare barre degli strumenti personali per consentire all'utente finale facile accesso alle cartelle e ai file condivisi dalla barra delle applicazioni.
La sezione dedicata all'installazione e alla gestione dei programmi e delle funzionalità di Windows Vista prende in esame strumenti come Software Explorer, che consente di visualizzare velocemente i programmi di avvio di un sistema, i provider di servizi Winsock e i programmi connessi alla rete.Segue la sezione relativa alla gestione degli utenti, dei profili, dei problemi relativi ai dispositivi mobili e criteri del computer e dell'utente, nonché la gestione dei dischi, la protezione dei file e la condivisione delle risorse.In modo più specifico, il libro spiega come creare gli utenti, come gestire l'accesso a Windows tramite i criteri di gruppo e come creare voci di Gestione chiavi che semplificano l'accesso degli utenti alle risorse protette da password.
Nella sezione relativa alla mobilità viene descritto in che modo la nuova configurazione di rete alternativa consente di specificare una configurazione per l'ufficio e una configurazione per chi lavora in viaggio.Gli utenti possono passare facilmente da una modalità all'altra.
Nel capitolo "Managing File Security and Resource Sharing" vengono forniti gli elementi di base su come configurare le autorizzazioni in cartelle e file NTFS, nonché su come funziona Autorizzazioni speciali di Windows Vista (e come controllarli).Nello stesso capitolo viene illustrato come creare, collegarsi e mantenere la connessione alle risorse condivise.
Per quanto concerne la gestione dei dischi, il libro contiene un'introduzione alla configurazione della quota disco, che spiega non solo come creare, visualizzare ed eliminare le quote disco, ma anche come importare ed esportare tali impostazioni per poterle riutilizzare.
Viene fornita una descrizione piuttosto dettagliata su come funziona lo stack di rete doppio IPv4/IPv6 in Windows Vista.Nella stessa sezione sono disponibili informazioni su come configurare gli adattatori di rete per il proprio ambiente.
Il libro termina con una sezione che spiega come ottimizzare Windows Vista per garantire agli utenti un'esperienza migliore, seguita da un breve capitolo sulle tecniche generali di risoluzione dei problemi.In questa sezione, è possibile scoprire come impostare Assistenza remota, come gestire un sistema integro tramite la deframmentazione e i controlli del disco pianificati e come creare dei backup.In breve, si tratta di un libro di facile consultazione, con passaggi semplici per la gestione di Windows Vista.

Prezzo:29,99 dollari.

Monitorare il sito Web
Pingdom.com
pingdom.com
Come ho già affermato in precedenza e non finirò mai di sottolinearlo:un approccio proattivo alla gestione dei sistemi provoca meno stress e consente di evitare momenti di imbarazzo, come quando si riceve un messaggio di posta elettronica dal capo del tipo: "Lo sapevi che il sito non è disponibile?"
Per questo approccio è fondamentale poter usufruire di un ottimo strumento per il monitoraggio della rete.Probabilmente, la maggior parte degli utenti, se non tutti, utilizza già un tipo di server per il monitoraggio della rete interna.Ma che dire di coloro che si occupano della presenza globale dove è necessario garantire la disponibilità dei servizi che utilizzano Internet?
Pingdom.com, un Application Service Provider (ASP), fornisce un servizio di monitoraggio automatizzato semplice ma efficace.I server di ASP sono distribuiti in diverse posizioni in tutto il mondo, fornendo un'idea tangibile dell'esperienza dell'utente, piuttosto che affidarsi a un unico monitor di servizio esterno.
Per cominciare, iscriversi per ottenere un account e impostare la propria località, indicando il fuso orario, il paese, il formato data e il formato dei numeri.Quindi, impostare i contatti indicando i nomi, i numeri telefonici SMS e gli indirizzi di posta elettronica dove ricevere le notifiche.Dopo di che, creare un controllo di monitoraggio definendo un nome, una risoluzione del controllo, il tipo di controllo di monitoraggio da eseguire, nonché il tipo, i contatti e gli intervalli periodici di notifica per il controllo.
Il pacchetto di account predefinito fornisce risoluzioni di controllo che vanno da un minuto a 60 minuti, che consentono di adattare le richieste al servizio che si sta monitorando.È possibile inviare una notifica ai contatti tramite posta elettronica o SMS.È anche possibile definire quante volte deve verificarsi un errore di esecuzione del ping prima di inviare una notifica, nonché il numero di cicli di errore che devono verificarsi prima di ricevere una nuova notifica (fino a un massimo di quattro messaggi che fungono da promemoria).Inoltre, pingdom informa l'utente quando il servizio diventa nuovamente attivo, particolarmente utile per il controllo della finestra di gestione del servizio o del sito Web.Parlando di gestione, è anche possibile sospendere o arrestare i controlli per evitare falsi positivi durante le attività di pianificazione.
Il servizio offre agli utenti quattro tipi principali di controlli:un sensore HTTP, un sensore per la porta TCP, un sensore per il ping e un sensore UDP.Il sensore HTTP consente di impostare l'URL e l'indirizzo IP, se la richiesta avviene mediante SSL, la porta, una combinazione di nome utente e password per l'autenticazione di base o una stringa per il controllo dei contenuti interni ed esterni.Il sensore per la porta TCP consente di definire la porta del servizio e l'IP/dominio da verificare.Il sensore per il ping consente di impostare l'IP o il dominio per il controllo tramite ICMP.Infine, il sensore UDP è determinato dall'IP/dominio, una porta, la stringa da inviare a tale combinazione e la stringa di risposta prevista.In effetti, è possibile verificare la disponibilità del sito Web, del server FTP, del server SMTP e molto altro da diverse posizioni in ogni parte del mondo.
Il servizio fornisce anche diversi report che consentono di visualizzare i dati cronologici.Con questi report, è possibile vedere la percentuale del tempo di attività nell'arco di un mese specifico e il tempo di risposta medio per quel periodo.È anche possibile ottenere una panoramica dettagliata su ogni istanza di controllo, visualizzando il timestamp, lo stato, il tempo di risposta e il server da cui è stato eseguito il controllo.Inoltre, è possibile ottenere una panoramica delle notifiche che indichi il momento, la quantità, i destinatari e le modalità di invio delle stesse in un determinato periodo di tempo.Questi report possono essere resi disponibili pubblicamente, in modo che altri membri dell'organizzazione possano visualizzare le statistiche del servizio.Se si dispone di un NOC personalizzato, pingdom.com fornisce anche un'API del servizio Web a cui poter richiedere informazioni, che consente di integrare il servizio alle attuali visualizzazioni dashboard.

Prezzo:9,95 dollari al mese.
Pingdom.com monitora i servizi Web con una prospettiva globale
Pingdom.com monitora i servizi Web con una prospettiva globale

Greg Steen è un professionista IT oltre ad essere un appassionato imprenditore.È sempre alla ricerca di nuovi strumenti che aiutino a rendere più semplici le operazioni e lo sviluppo per i professionisti IT.


 Exchange Queue &amp; A: Aggiunta di istruzioni vocali, scelta di un PBX e altro ancora
Exchange Queue & A
Aggiunta di istruzioni vocali, scelta di un PBX e altro ancora
Seema Rahman

D Ho sentito dire che la messaggistica unificata di Exchange non garantisce un'elevata disponibilità né servizi cluster.È vero?
R Sebbene la messaggistica unificata non sia supportata in un cluster o in una configurazione del bilanciamento del carico di rete, con determinati gateway è possibile ottenere una soluzione di elevata disponibilità.La chiave sta nel designare più server di messaggistica unificata per il round robin del traffico.È inoltre possibile organizzare parte del traffico in modo che venga indirizzato a un server di messaggistica unificata a condizione che il gateway disponga delle necessarie funzionalità di routing avanzate.Ad esempio, è possibile designare un server di messaggistica unificata per l'accesso degli abbonati e uno per tutte le chiamate degli operatori automatici.In questo modo è possibile bilanciare il traffico di messaggistica unificata in base alla propria infrastruttura e alle esigenze del proprio ambiente.

D È possibile impostare le istruzioni vocali per i numeri telefonici pubblici della propria azienda con la messaggistica unificata di Exchange?
R Sì, è possibile ed è anche possibile impostare un operatore automatico.L'articolo "Gestione delle istruzioni audio personalizzate" all'indirizzo technet.microsoft.com/aa998818 contiene una procedura dettagliata su come configurare questa funzionalità.

D Come posso verificare se il PBX (Private Branch eXchange) è compatibile con la messaggistica unificata di Exchange?
R Alcuni gateway sono testati da Microsoft e consigliati per l'uso con la messaggistica unificata di Exchange.I produttori di questi gateway forniscono un elenco di PBX che funzionano con il relativo gateway.Se il PBX in uso è presente negli elenchi di uno dei produttori, è compatibile con la messaggistica unificata di Exchange.
L'articolo "Preparazione della telefonia per Exchange Server 2007", disponibile all'indirizzo microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx, fornisce un elenco di gateway supportati e molte altre informazioni correlate.

D È necessario aggiungere un hardware speciale al sistema telefonico per utilizzare la messaggistica unificata di Exchange?
R Il server di messaggistica unificata di Exchange agisce come un provider di posta vocale.Per funzionare con il sistema telefonico in uso, potrebbe essere necessario un hardware non disponibile.
Se si utilizza un IP-PBX supportato, non è necessario nessun hardware aggiuntivo; tuttavia, potrebbe essere necessario configurare alcune impostazioni specifiche sull'IP-PBX per farlo funzionare con la messaggistica unificata.
Se non si utilizza un IP-PBX supportato, è necessario prima determinare se l'hardware è compatibile con uno dei gateway supportati.È inoltre necessario un gateway VoIP supportato.
Le informazioni disponibili all'indirizzo microsoft.com/technet/prodtechnol/exchange/telephony-advisor.mspx comprendono un elenco di hardware supportati, in particolare IP-PBX e gateway.È necessario consultare spesso questa pagina perché l'elenco viene aggiornato frequentemente quando Microsoft certifica nuovi hardware.È inoltre possibile contattare l'esperto di messaggistica unificata locale per determinare i requisiti hardware per il proprio ambiente.

D In che modo la messaggistica unificata fornisce il supporto fax?
R Attualmente la messaggistica unificata fornisce una funzionalità di fax in arrivo la quale fa sì che un fax inviato al numero di un utente abilitato per la messaggistica unificata venga recapitato nella Posta in arrivo dell'utente in forma di messaggio di posta elettronica con il messaggio fax allegato in formato TIFF.È disponibile una panoramica dettagliata all'indirizzo technet.microsoft.com/ bb232022.

D Ho Nortel CS1000 IP/PBX e desidero utilizzare la messaggistica unificata di Exchange Server 2007. Come è possibile farlo?Posso utilizzare Nortel CS1000 IP/PBX come gateway o sono supportati come gateway solo Intel e AudioCodes?Desidero anche che il sistema Exchange esegua l'autenticazione per il server CS1000.
R Nortel CS1000 è un IP/PBX supportato sempre che sia in esecuzione la versione 5.0 del firmware per l'IP/PBX.Non è necessario aggiungere altri hardware per un corretto funzionamento.Nel sito di Nortel sono disponibili le note per configurare l'IP-PBX all'indirizzo support.nortel.com/go/main.jsp?cscat=docdetail&id=626197&poid=14261.È possibile trovare i gateway, i PBX e le versioni di firmware supportate all'indirizzo microsoft.com/technet/prodtechnol/exchange/pbx-partners.mspx.

Seema Rahman lavora in Microsoft da sei anni.In qualità di Support Escalation Engineer, aiuta i clienti a risolvere problemi complessi con Exchange Server.Seema ricorda con piacere il tempo trascorso lavorando con il team di Exchange 2007 Beta, dove si è occupata in particolare di messaggistica unificata.


 Utilit&#224; in primo piano: Windows Easy Transfer Companion
Utilità in primo piano
Windows Easy Transfer Companion
Lance Whitney
Questo articolo si basa su una versione non definitiva di Windows Easy Transfer Companion.Le informazioni riportate sono soggette a modifiche.

È arrivato il momento di migrare gli utenti da Windows® XP a Windows Vista®.L'attività più impegnativa durante una migrazione è reinstallare le applicazioni degli utenti sui nuovi PC e garantire che queste funzionino.Ora è disponibile uno strumento gratuito di Microsoft in grado di evitare queste innumerevoli reinstallazioni.Windows Easy Transfer Companion (WETC) è in grado di copiare i programmi software principali da Windows XP a Windows Vista.
Attualmente in fase Beta, WETC è diverso dalla procedura guidata Trasferimento dati Windows di Windows Vista.Mentre questa procedura guidata consente di copiare i file di dati, le impostazioni dei programmi e i profili utente, WETC copia le applicazioni intere, sebbene solo da Windows XP SP2 a Windows Vista.Inoltre, il trasferimento deve essere eseguito utilizzando un account con privilegi di amministratore.
È necessario installare WETC sia sul computer di origine che sul computer di destinazione.I computer possono comunicare tramite una rete o un cavo USB per Trasferimento dati Windows.Il driver per il cavo per Trasferimento dati Windows è compreso in Windows Vista; in Windows XP è necessario installare il driver dal CD del prodotto.
WETC fornisce un elenco categorizzato delle applicazioni trasferibili
WETC fornisce un elenco categorizzato delle applicazioni trasferibili
Una volta collegato il cavo, è possibile avviare WETC sul computer con Windows XP.L'utilità esamina il disco rigido, raccoglie le informazioni di base sul sistema e analizza tutto il software installato.Al termine delle operazioni, eseguire WETC sul computer con Windows Vista.L'utilità comunica con il computer con Windows XP per visualizzare un elenco di tutte le applicazioni rilevate, divise in tre categorie (vedere l'immagine precedente):
  1. Programmi che verranno trasferiti completamente: software trasferiti senza problemi ed eseguiti sul PC con Windows Vista.
  2. Programmi che verranno trasferiti con qualche possibile limitazione: software trasferibili ma che potrebbero non essere eseguiti correttamente.
  3. Programmi che non verranno trasferiti: software non eseguiti in Windows Vista e che saranno esclusi dal trasferimento.
Per ogni programma che non può essere trasferito, WETC fornisce una breve spiegazione.Generalmente, le applicazioni non vengono copiate perché non dispongono delle informazioni sul programma di installazione o altri dati importanti, sono incompatibili con Windows Vista o sono già presenti sul computer con Windows Vista.Inoltre, WETC non copia tipi specifici di applicazioni, ad esempio programmi antivirus e utilità di sistema.Allo stesso modo, non trasferisce framework del sistema operativo, ad esempio Microsoft .NET, che devono essere installati in Windows Vista prima di copiare qualsiasi applicazione che li richiede.
Dall'elenco di programmi, è possibile decidere cosa copiare.Una schermata della Guida aiuta l'utente a prendere questa decisione e fornisce soluzioni a molti problemi.È possibile inoltre salvare un report della situazione precedente al trasferimento in cui vengono elencati tutti i programmi che verranno trasferiti e quelli che non verranno trasferiti.
A questo punto, ha luogo il trasferimento e vengono copiati i dati relativi a ciascun programma.Al termine dell'operazione, un messaggio di stato comunica quali programmi sono stati copiati e se si sono verificati errori.È possibile salvare un report dettagliato della situazione successiva al trasferimento.Dopo aver chiuso WETC, riavviare il PC con Windows Vista, accedere ed eseguire i programmi trasferiti per accertarsi che funzionino.
Eventuali problemiLa cartella WETC Programs in Windows Vista contiene un collegamento allo strumento Resource che presenta la funzionalità Undo per la rimozione di tutte le applicazioni copiate nel computer Windows Vista; tuttavia queste informazioni scadono dopo tre giorni.Per ulteriori informazioni su Windows Easy Transfer Companion e per scaricare l'ultima versione andare all'indirizzo support.microsoft.com/kb/931696.

Lance Whitney è un consulente IT, docente e technical writer.Ha dedicato molto tempo alle modifiche di workstation e server di Windows.In origine era un giornalista, ma circa 15 anni fa ha fatto un salto nel buio lanciandosi nel mondo dell'IT.


 The Cable Guy: Miglioramenti di DNS in Windows Server 2008
The Cable Guy
Miglioramenti di DNS in Windows Server 2008
Joseph Davies
Questo articolo si basa su una versione non definitiva di Windows Server 2008. Tutte le informazioni riportate sono soggette a modifica.

Microsoft ha inserito un servizio Server DNS (Domain Name System) nelle versioni di Windows Server a partire da Windows NT 4.0.DNS è un database gerarchico distribuito che contiene mapping di nomi di dominio DNS a diversi tipi di dati, ad esempio gli indirizzi IP.Con Windows Server 2008, il servizio Server DNS offre il nuovo
caricamento delle zone in background, alcuni miglioramenti del supporto IPv6, il supporto per i controller di dominio di sola lettura (RODC) e la possibilità di ospitare nomi globali con etichetta singola.

Caricamento delle zone in background
Il servizio Server DNS in Windows Server® 2008 velocizza l'operazione di recupero dei dati implementando il caricamento delle zone in background.In passato, le aziende con zone contenenti un elevato numero di record in Active Directory® si trovavano a dover affrontare ritardi di oltre un'ora quando il servizio Server DNS in Windows Server 2003 cercava di recuperare i dati DNS da Active Directory al riavvio.Nel periodo di tempo impiegato per questa operazione, il Server DNS non era in grado di rispondere alle richieste del client DNS per le zone che ospitava.
Per risolvere questo problema, il servizio Server DNS di Windows Server 2008 recupera i dati delle zone da Active Directory in background dopo essere stato avviato, in modo da poter rispondere alle richieste di dati provenienti da altre zone.Una volta avviato, il servizio crea uno o più thread di esecuzione per caricare le zone che si trovano in Active Directory.Poiché esistono thread separati per il caricamento delle zone basate su Active Directory, il servizio Server DNS può rispondere alle richieste durante il caricamento delle zone.Se un client DNS richiede dati che si trovano in una zona già caricata, il Server DNS risponde in modo appropriato.Se la richiesta riguarda dati che si trovano in una zona che non è stata ancora del tutto recuperata, il Server DNS recupera i dati specificati da Active Directory.
Questa capacità di recuperare determinati dati da Active Directory durante il caricamento delle zone costituisce un ulteriore vantaggio rispetto all'archiviazione delle informazioni sulle zone in file, vale a dire che il servizio Server DNS è in grado di rispondere immediatamente alle richieste.Quando la zona è archiviata in file, il servizio deve leggere i file in sequenza fino a trovare i dati.

Supporto migliorato per IPv6
IPv6, trattato nelle precedenti edizioni di questa rubrica, è una nuova suite di protocolli Internet standard.IPv6 è progettato per risolvere molti dei problemi riscontrati nella versione corrente, IPv4, come la mancanza di indirizzi, la protezione, l'autoconfigurazione e la necessità di estendibilità.
Una differenza rispetto alla versione precedente consiste negli indirizzi che in IPv6 hanno una dimensione di 128 bit, mentre in IPv4 sono solo di 32 bit.Gli indirizzi IPv6 sono espressi in notazioni esadecimali con due punti.Ogni cifra esadecimale rappresenta 4 bit dell'indirizzo IPv6.Un indirizzo IPv6 completo è composto da 32 cifre esadecimali in 8 blocchi, separati da due punti.Un esempio di indirizzo IPv6 completo è FD91:2ADD:715A:2111:DD48:AB34:D07C:3914.
La risoluzione dei nomi diretta per gli indirizzi IPv6 utilizza il record DNS dell'host IPv6, noto come record AAAA (pronunciato "quad-A").Per la risoluzione dei nomi inversa, IPv6 utilizza il dominio IP6.ARPA e ogni cifra esadecimale nell'indirizzo IPv6 a 32 cifre diventa un livello separato nella gerarchia di dominio inversa in ordine inverso.Ad esempio, il nome di dominio di ricerca inversa per l'indirizzo FD91:2ADD:715A:2111:DD48:AB34:D07C:3914 è 4.1.9.3.C.7.0.D.4.3.B.A.8.4.D.D.1.1.1.2.A.5.1.7.D.D.A.2.1.9.D.F.IP6.ARPA.
Il servizio Server DNS di Windows Server 2003 supporta la risoluzione dei nomi diretta e inversa per IPv6, tuttavia, il supporto non è completamente integrato.Ad esempio, per creare un record di indirizzi IPv6 (il record AAAA citato precedentemente) nello snap-in Gestore DNS di Windows Server 2003, è necessario fare clic con il pulsante destro del mouse sulla zona, scegliere Altri nuovi record e fare doppio clic su Host IPv6 (AAAA) come tipo di record delle risorse.Per aggiungere un record AAAA nello snap-in Gestore DNS per Windows Server 2008, fare clic con il pulsante destro del mouse sul nome della zona e quindi selezionare Nuovo host (A o AAAA).Nella finestra di dialogo Nuovo host, è possibile digitare un indirizzo IPv4 o IPv6.Nella Figura 1 viene riportato un esempio.
Figura 1 Finestra di dialogo Nuovo host
Figura 1 Finestra di dialogo Nuovo host
Un altro esempio di supporto migliore per IPv6 riguarda le zone inverse IPv6.Per creare una zona di ricerca inversa nello snap-in Gestore DNS per Windows Server 2003, è necessario digitare manualmente il nome della zona inversa nella pagina Nome della zona di ricerca inversa della Creazione guidata nuova zona.Un esempio di nome di zona inversa DNS è 1.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa (per il prefisso di subnet IPv6 2001:db8:0:1::/64, completamente espresso come 2001:0db8:0000:0001::/64).
Le zone inverse IPv6 nello snap-in Gestore DNS per Windows Server 2008 adesso sono completamente integrate nella Creazione guidata nuova zona.Esiste una nuova pagina della creazione guidata che richiede di selezionare una zona di ricerca inversa IPv4 o IPv6.Per una zona di ricerca inversa IPv6, è sufficiente digitare il prefisso di subnet IPv6 perché la creazione guidata crei automaticamente la zona.Nella Figura 2 viene riportato un esempio.
Figura 2 Denominazione di una zona di ricerca inversa IPv6
Figura 2 Denominazione di una zona di ricerca inversa IPv6
Un altro miglioramento per le zone inverse consiste nel modo in cui lo snap-in Gestore DNS visualizza i record PTR (pointer) IPv6.Nella Figura 3 viene illustrato il modo in cui lo snap-in Gestore DNS per Windows Server 2003 visualizza un record PTR.
Figura 3 Record PTR per IPv6 in Windows Server 2003
Figura 3 Record PTR per IPv6 in Windows Server 2003
Sebbene questa visualizzazione rifletta accuratamente la struttura dello spazio dei nomi DNS per i nomi di dominio inverso IPv6, complica la gestione dei record PTR per gli indirizzi IPv6.Nella Figura 4 viene illustrato il modo in cui lo snap-in Gestore DNS per Windows Server 2008 visualizza un record PTR.
Figura 4 Record PTR per IPv6 in Windows Server 2008
Figura 4 Record PTR per IPv6 in Windows Server 2008
Il servizio Server DNS in Windows Server 2003 supporta l'operazione su IPv6, ma deve essere attivata manualmente con il comando dnscmd /config /EnableIPv6 1.Windows Server 2008, al contrario, supporta l'operazione su IPv6 per impostazione predefinita.Lo strumento della riga di comando Dnscmd.exe è stato aggiornato affinché accetti gli indirizzi IPv6 nelle opzioni della riga di comando.Inoltre, il servizio Server DNS adesso può inviare query ricorsive solo ai server IPv6 e l'elenco di server di inoltro può contenere sia indirizzi IPv4 che IPv6.
Per ulteriori informazioni su IPv6 e sul modo in cui viene supportato in Windows®, vedere microsoft.com/ipv6.

Supporto dei controller di dominio di sola lettura
Windows Server 2008 introduce anche RODC, un nuovo tipo di controller di dominio che contiene una copia di sola lettura delle informazioni su Active Directory e può eseguire le funzionalità di Active Directory sebbene non possa essere configurato direttamente.I RODC sono meno vulnerabili agli attacchi e possono essere posizionati dove la protezione fisica del controller di dominio non è garantita o dove la rete contiene host potenzialmente dannosi.
Per i RODC, il servizio Server DNS in Windows Server 2008 supporta il nuovo tipo di zona di sola lettura principale.Quando un computer diventa un RODC, replica una copia completa di sola lettura di tutte le partizioni delle directory di applicazioni utilizzate da DNS, incluse la partizione del dominio, ForestDNSZones e DomainDNSZones.Ciò garantisce che il servizio Server DNS in esecuzione sul RODC disponga di una copia completa di sola lettura di qualsiasi zona DNS archiviata nelle partizioni di directory di un controller di dominio che non sia un RODC.È possibile visualizzare il contenuto di una zona principale di sola lettura su un RODC, ma non è possibile modificarlose non su un controller di dominio che non sia un RODC.

Zona GlobalNames
Risoluzione dei nomi con la zona GlobalNames
Dopo aver distribuito la zona GlobalNames, quando un client DNS basato su Windows Vista tenta di risolvere un nome con etichetta singola, viene aggiunto il suffisso DNS principale al nome con etichetta singola e viene inoltrata la richiesta di query del nome al Server DNS.
Se il nome non viene trovato, il client DNS invia ulteriori richieste di query del nome per la combinazione del nome con etichetta singola con i suffissi nell'elenco di ricerca del suffisso DNS (se configurato).Se non viene risolto nessuno di questi nomi, il client richiede la risoluzione tramite il nome con etichetta singola.
Il Server DNS cerca il nome con etichetta singola nella zona GlobalNames.Se lo trova, il Server DNS invia l'indirizzo IPv4 risolto o il nome FQDN al client DNS.In caso contrario, il computer client DNS converte il nome in un nome NetBIOS e utilizza le tecniche di risoluzione dei nome NetBIOS, incluso WINS.Non è necessario apportare modifiche al servizio Client DNS per attivare la risoluzione dei nomi con etichetta singola nella zona GlobalNames.

Windows Server 2008 e Windows Vista® supportano NetBIOS su protocollo TCP/IP (NetBT).NetBT utilizza i nomi NetBIOS per identificare le applicazioni NetBIOS a livello di sessione.Sebbene la risoluzione dei nomi NetBIOS con WINS non sia necessaria per le versioni correnti di Windows che utilizzano applicazioni di rete basate su Windows Sockets e DNS per la risoluzione dei nomi, molti clienti di Microsoft distribuiscono WINS nelle proprie reti per supportare le precedenti applicazioni NetBT e per fornire la risoluzione dei nomi per i nomi con etichetta singola all'interno delle organizzazioni.I nomi con etichetta singola in genere fanno riferimento a server importanti, noti e ampiamente utilizzati per un'organizzazione, ad esempio i server di posta elettronica, i server Web centrali o i server per le applicazioni line-of-business.
Per consentire la risoluzione di questi nomi con etichetta singola all'interno di un'organizzazione che utilizza esclusivamente DNS, potrebbe essere necessario aggiungere record A ai vari domini DNS dell'organizzazione affinché un client DNS basato su Windows possa risolvere i nomi indipendentemente dall'elenco di ricerca del suffisso o dal suffisso del dominio DNS assegnato.
Supponiamo, ad esempio, che l'organizzazione contoso.com disponga di un server Web centrale denominato CWEB che sia membro del dominio central.contoso.com.Per implementare un nome con etichetta singola per il server CWEB quando i client DNS possono essere assegnati al suffisso del dominio DNS wcoast.contoso.com, central.contoso.com o ecoast.contoso.com, l'amministratore di rete deve creare due record A aggiuntivi sia per cweb.wcoast.contoso.com che per cweb.ecoast.contoso.com. Tuttavia, non bisogna dimenticare che i record A creati manualmente per i nomi con etichetta singola devono essere mantenuti per apportare eventuali modifiche nell'assegnazione degli indirizzi IPv4 o per i nuovi nomi.
Se contoso.com utilizza già WINS per le precedenti applicazioni NetBT, un amministratore di rete può implementare la risoluzione dei nomi per il nome con etichetta singola CWEB aggiungendo un unico record WINS statico all'infrastruttura WINS.Se l'indirizzo IPv4 viene modificato, è necessario modificare l'unico record WINS statico.Poiché i nomi con etichetta singola sono più semplici da gestire su WINS, molte reti basate su Windows utilizzano i record WINS statici per i nomi con etichetta singola.
Per fornire una soluzione di nomi con etichetta singola su DNS che sia semplice da gestire quanto i record WINS statici, il servizio Server DNS in Windows Server 2008 supporta una nuova zona denominata GlobalNames per archiviare i nomi con etichetta singola.L'ambito di replica di questa zona in genere è una foresta, che fornisce la risoluzione dei nomi con etichetta singola all'interno di un'intera foresta di Active Directory.Inoltre, la zona GlobalNames può supportare la risoluzione dei nomi con etichetta singola all'interno di un'organizzazione che contiene diverse foreste quando si utilizzano i record delle risorse Posizione servizio (SRV) per pubblicare la posizione della zona GlobalNames.
A differenza di WINS, la zona GlobalNames deve fornire la risoluzione dei nomi con etichetta singola per un numero limitato di nomi host, in genere i server centrali e critici di un'organizzazione gestiti dal reparto IT.La zona GlobalNames non può essere utilizzata per archiviare i nomi di computer desktop o altri server i cui indirizzi IPv4 possono cambiare e in nessuna circostanza supporta gli aggiornamenti dinamici DNS.Viene generalmente utilizzata per contenere record di risorse alias (CNAME) per associare un nome con etichetta singola a un nome dominio completo (FQDN).Per le reti che attualmente utilizzano WINS, la zona GlobalNames solitamente contiene record di risorse per i nomi gestiti dal reparto IT già configurati staticamente in WINS.
La zona GlobalNames fornisce la risoluzione dei nomi con etichetta singola solo quando su tutti i server DNS autorevoli è in esecuzione Windows Server 2008. Tuttavia, sugli altri server DNS che non sono autorevoli per alcuna zona possono essere in esecuzione le precedenti versioni di Windows o altri sistemi operativi.La zona GlobalNames deve essere unica nella foresta.
Per ottimizzare le prestazioni e la scalabilità, la zona GlobalNames deve essere integrata con Active Directory e ogni server DNS autorevole deve essere configurato con una relativa copia locale.Questa operazione è necessaria per supportare la distribuzione della zona GlobalNames in più foreste.
Per ulteriori informazioni sul supporto DNS in Windows e sulla distribuzione della zona GlobalNames, vedere la pagina Web di Microsoft DNS all'indirizzo microsoft.com/dns.

Joseph Davies è un autore tecnico che collabora con Microsoft. Dal 1992 tiene corsi e scrive su argomenti legati alle reti Microsoft. Ha scritto cinque libri per Microsoft Press ed è autore della rubrica mensile The Cable Guy di TechNet.


 Windows PowerShell: Intercettazione del codice dannoso
Windows PowerShell
Intercettazione del codice dannoso
Don Jones

Ricordi quando Windows Vista era ancora una versione Beta e c'era un grande entusiasmo per la prima versione di un nuovo codice shell della riga di comando definito "Monad"?Si trattava, ovviamente, dell'attuale Windows PowerShell.A quel tempo, fu scritto molto sul "primo virus di Windows Vista".In
realtà, il "virus" era solo uno script malware, un modello di prova denominato "Monad".Per eseguire lo script, sarebbe stato necessario configurare "Monad" in modo specifico, perché con le impostazioni predefinite non avrebbe funzionato.Inoltre, dal momento in cui si sono iniziate a diffondere queste informazioni, Microsoft aveva già annunciato che "Monad" non sarebbe stato fornito con Windows Vista®.In breve, la situazione poteva essere riassunta con il proverbio "tanto rumore per nulla" (o, forse, per poco).
Man mano che Windows PowerShellTM si diffonde (è già stato scaricato oltre un milione di volte), aumenta la probabilità che qualcuno lo utilizzi per creare uno script dannoso.La possibilità di scrivere uno script potenzialmente dannoso in Windows PowerShell è un dato di fatto. È possibile utilizzare qualsiasi strumento di amministrazione a tal fine, compresi Windows PowerShell, cmd.exe e VBSCRIPT.Quindi non si può dare per scontato che un determinato file PS1 sia innocuo.
Fortunatamente, Windows PowerShell è configurato per impostazione predefinita in modo tale da non eseguire tutti gli script, così che qualunque script dannoso richieda sempre l'approvazione dell'utente per essere eseguito.Questo mese, mi piacerebbe immaginare come potrebbe accadere tutto ciò.Con questo non intendo dire che Windows PowerShell non sia un software valido. Penso che Microsoft abbia fatto un buon lavoro progettando una shell di script che evita molti rischi.Tuttavia, vale la pena affrontare questa discussione per far sì che gli utenti siano preparati e pronti a individuare un potenziale attacco.

Protetto per impostazione predefinita
È giusto sottolineare che Windows PowerShell è stato il primo linguaggio progettato da Microsoft dopo la famosa iniziativa Trustworthy Computing.Michael Howard, considerato un guru in materia di tecnologie di protezione (autore del libro Writing Secure Code) era un "amico della protezione" del team di Windows PowerShell.Ha contribuito a rendere più sicura la scrittura del codice e, ancora più importante, a proteggere maggiormente la configurazione della shell.
Per prima cosa, riesaminiamo rapidamente le impostazioni di protezione iniziali di Windows PowerShell.Per impostazione predefinita, la shell non esegue i file con estensione PS1 quando si fa doppio clic su questi ultimi.Tale estensione è associata al Blocco Note.Infatti, per impostazione predefinita, la shell non esegue nessuno script a causa di una funzionalità incorporata, Criteri di esecuzione, che descrive le condizioni in cui viene eseguito uno script.Tale funzionalità è impostata su Con restrizioni per impedire l'esecuzione di tutti gli script e attivare la shell solo per uso interattivo.Le impostazioni di Criteri di esecuzione possono essere modificate utilizzando il cmdlet Set-ExecutionPolicy o tramite un modello amministrativo (file ADM) di Criteri di gruppo fornito da Microsoft.Il file ADM è disponibile all'indirizzo go.microsoft.com/fwlink/?LinkId=102940.Nella Figura 1 viene illustrata la funzionalità Criteri di esecuzione che è possibile impostare.
Figura 1 Impostazioni sicure di Criteri di esecuzione
Figura 1 Impostazioni sicure di Criteri di esecuzione
Criteri di esecuzione presenta solo alcune eccezioni.In particolare, anche se è impostata su Con restrizioni, questa funzionalità consente alla shell di importare alcuni file di configurazione XML forniti da Microsoft e installati insieme alla shell.Questi file vengono utilizzati per fornire una funzionalità specifica, come le estensioni ai tipi di Microsoft® .NET Framework e i layout con formattazione predefinita della maggior parte dei tipi di oggetti .NET.Indubbiamente, si tratta dei file che la shell deve caricare all'avvio.
Sebbene questi file possano contenere il codice eseguibile, presentano una firma digitale di Microsoft.La manomissione di tali file rende inutile la firma e, in tal caso, la shell non importa i file all'avvio.Questo progetto rende i file sufficientemente protetti da malware che potrebbero tentare di inserire codice dannoso.
Ovviamente, Criteri di esecuzione, se impostata su Con restrizioni, fa in modo che gli script del profilo di Windows PowerShell non vengano eseguiti all'avvio.Per impostazione predefinita, Windows PowerShell non crea uno script del profilo, ma cerca quattro posizioni specifiche per i nomi di file specifici e, se li trova, tenta di eseguirli a ogni avvio della shell.La documentazione installata con Windows PowerShell fornisce dettagli sui nomi di cartelle e file utilizzati per gli script del profilo.Il profilo è la soluzione agli attacchi di cui parlerò a breve.

Modifica di Criteri di esecuzione
Cmdlet del mese
Set-AuthenticodeSignature è associato a Get-AuthenticodeSignature.Questo cmdlet è stato progettato per esaminare uno script con firma digitale e per fornire dettagli sulla firma.Basta indirizzarlo al file in questione per vedere non solo se il file è stato firmato ma anche se la firma è intatta, quale certificato è stato utilizzato per firmare il file e così via.Oltre a funzionare con gli script di Windows PowerShell, questo cmdlet funziona anche con gli eseguibili firmati, come indicato di seguito:
PS C:\Program Files\Microsoft Office\Office12>
Get-AuthenticodeSignature excel.exe | Format-List *
Grazie a questo comando, è possibile vedere che l'eseguibile è stato firmato da Microsoft Corp. utilizzando un certificato emesso dall'autorità di certificazione per la firma codice di Microsoft.
Risultati del comando
Risultati del comando

Mi si consenta di sottolineare che in condizioni predefinite è molto difficile, se non impossibile, che Windows PowerShell possa eseguire qualsiasi tipo di codice, tanto meno un codice dannoso.Fino a quando non viene modificata la funzionalità Criteri di esecuzione, è praticamente impossibile che vengano eseguiti script dannosi.È bene chiarire che questo articolo non vuol essere un campanello d'allarme sulle vulnerabilità della protezione di Windows PowerShell; al contrario, contiene alcune procedure consigliate da condividere per mantenere i sistemi protetti.
L'impostazione più permissiva della funzionalità Criteri di esecuzione è Senza restrizioni, che consente l'esecuzione di tutti gli script offrendo fondamentalmente lo stesso scenario inadeguato associato per anni ai file batch e VBScript.Se si imposta la shell su Senza restrizioni, è come se si richiedesse l'esecuzione di uno script dannoso.Se si sceglie l'impostazione Senza restrizioni e viene eseguito uno script che provoca danni, accertarsi di riuscire a giustificare il motivo per cui è stata scelta tale impostazione e prepararsi a confessare la decisione presa quando si dovrà spiegare in che modo un virus è riuscito a demolire l'ambiente in questione.
In realtà, Windows PowerShell cerca comunque di individuare gli script scaricati da Internet e avvisa l'utente prima che vengano eseguiti, anche se è stata scelta l'impostazione Senza restrizioni.Ma il punto è che impostare Criteri di esecuzione su Senza restrizioni non è una buona idea.

Firma degli script
L'impostazione più sicura di Criteri di esecuzione che consente l'esecuzione degli script è AllSigned.Questa impostazione, come suggerisce il nome stesso, esegue solamente gli script che presentano una firma digitale intatta creata mediante un certificato attendibile (solo le firme recenti lo sono).La firma degli script richiede un certificato digitale Class III, in particolare, un certificato di firma codice di Microsoft Authenticode.È possibile ottenere tali certificati dall'infrastruttura a chiave pubblica (PKI) interna dell'azienda, se disponibile, oppure acquistarli da autorità di certificazione (CA) commerciali, come CyberTrust, Thawte e VeriSign.
Se si desidera sapere se sul proprio computer sono installati certificati da utilizzare per firmare gli script, il seguente cmdlet visualizza quanto segue:
Get-ChildItem CERT: -recurse –codeSigningCert
Dopo aver installato il certificato sul computer Windows®, utilizzare il cmdlet Set-AuthenticodeSignature per creare e applicare una firma digitale, che illustra una serie di righe di commenti apparentemente incomprensibili alla fine dello script.Alcuni editor di script possono consentire di applicare una firma a un file di script e di firmare automaticamente gli script man mano che vengono salvati, il che potrebbe risultare utile.
AllSigned è la migliore impostazione di Criteri di esecuzione da utilizzare in un ambiente di produzione.Sebbene non impedisca direttamente la ricezione di script dannosi, garantisce che uno script dannoso venga firmato e che, quindi, venga individuato l'autore (supponendo che i computer Windows siano configurati in modo da convalidare solo le autorità di certificazione attendibili, ma questo argomento non rientra nell'intento di questo articolo).È possibile configurare Windows Script Host (WSH) 5.6 e le versioni successive con un'impostazione simile a TrustPolicy che richiede allo stesso modo le firme digitali, ma ho conosciuto alcuni amministratori che utilizzano questa impostazione.
Di seguito viene fornito un rapido riepilogo di quanto detto finora.Se Criteri di esecuzione è impostata su Con restrizioni, il computer è protetto da script dannosi, ma viene bloccata anche l'esecuzione di script corretti.Se Criteri di protezione è impostata su AllSigned, la shell accetta script firmati, il che garantisce una protezione sufficiente poiché sono pochi gli autori di script dannosi che desiderano far scoprire la propria identità.L'impostazione Senza restrizioni, d'altra parte, è estremamente pericolosa e se la si utilizza è molto facile essere infettati da script dannosi.Si noti che non considero l'impostazione Senza restrizioni una vulnerabilità particolare, ma semplicemente non sicura e, se la si utilizza, quasi sicuramente si sa quello che si sta facendo.

Come intrufolarsi dall'entrata secondaria
Esiste un'altra impostazione di Criteri di esecuzione:RemoteSigned.Penso che questa sia l'impostazione attualmente utilizzata dalla maggior parte degli amministratori, semplicemente perché viene considerata più sicura rispetto a Senza restrizioni e meno problematica di AllSigned.RemoteSigned non richiede una firma per gli script locali.I file PS1 che si trovano nelle unità locali vengono eseguiti senza essere firmati.Gli script remoti, fondamentalmente quelli scaricati da Internet tramite Internet Explorer® o Outlook® (queste applicazioni contrassegnano i file scaricati con un flag speciale), non vengono eseguiti se non sono firmati.
L'impostazione RemoteSigned può fornire, tuttavia, un senso di protezione fasullo.Per cominciare, è facile scaricare script remoti senza applicare flag speciali.I browser non Microsoft, ad esempio, non impostano in genere questo flag, così come la maggior parte dei client di posta elettronica non Microsoft.È importante notare che senza tale flag, Windows PowerShell considera gli script scaricati come se fossero script locali, il che significa che non viene richiesta una firma.Tuttavia, non credo che questo rappresenti una vulnerabilità significativa.Occorre in realtà scaricare lo script, aprire Windows PowerShell ed eseguirlo manualmente.È un abbastanza difficile indurre qualcuno a eseguire tutte queste operazioni, e gli amministratori, che sono in genere gli unici utenti in una rete che dispongono di Windows PowerShell, dovrebbero riconoscere l'inganno.
RemoteSigned offre, tuttavia, una "entrata secondaria" attraverso la quale possono intrufolarsi i malware.Ti ricordi gli script del profilo di Windows PowerShell?Se esistono, a prescindere se siano stati creati dall'utente o da un malware, vengono eseguiti ogni volta che si esegue Windows PowerShell.E con la funzionalità Criteri di esecuzione impostata su RemoteSigned, gli script del profilo, che sono locali, non devono essere firmati.
Di seguito viene riportato questo scenario:
  1. Alcuni malware agiscono sul sistema e creano uno script del profilo della shell o inseriscono il codice dannoso in uno script del profilo esistente.Il malware viene eseguito solitamente nell'account dell'utente collegato, che solitamente dispone dell'autorizzazione per modificare lo script del profilo.
  2. L'utente apre Windows PowerShell, senza rendersi conto che lo script del profilo è stato creato o modificato per contenere codice dannoso.Il codice viene eseguito e il danno è fatto.Il danno è ancora maggiore se si ha l'abitudine di aprire Windows PowerShell con le credenziali di amministratore, una pratica comune quando si utilizza la shell, perché per eseguire qualsiasi attività con la shell sono necessari i privilegi amministrativi.
Mediante il profilo, quindi, è possibile eseguire il codice arbitrario e dannoso senza che l'utente ne sia a conoscenza e l'impostazione di Criteri di esecuzione su RemoteSigned lo consente.

Protezione del profilo
Esiste un solo modo per proteggere il profilo:impostare Criteri di esecuzione su AllSigned.Con l'impostazione AllSigned, è necessario che anche gli script del profilo abbiano una firma digitale, altrimenti, Windows PowerShell non li eseguirà all'avvio.Se gli script del profilo sono stati firmati, una qualsiasi modifica danneggia la relativa firma digitale impedendo l'esecuzione dello script. In tal caso, Windows PowerShell avvisa l'utente del problema all'avvio.AllSigned è di fatto l'unica impostazione sicura di Criteri di esecuzione per gli ambienti di produzione che hanno la necessità di consentire l'esecuzione degli script.
Esiste anche un altro approccio, ma è più complicato e meno affidabile.È possibile creare file di script vuoti per tutti e quattro i file ricercati da Windows PowerShell.Utilizzare un nuovo account utente (che chiamerò "Editor del profilo") per creare questi file e impostare le autorizzazioni NTFS dei file in modo che solo tale account possa modificarli.Gli altri account possono avere accesso in sola lettura.
A questo punto, non accedere mai al computer utilizzando l'account Editor del profilo, se non per modificare il profilo.Con questo approccio, gli account utente normali non possono modificare gli script del profilo.Pertanto, qualunque malware eseguito mentre l'utente è connesso con un account normale non potrà modificare gli script.Cosa accade nell'eventualità che il malware venga eseguito mentre l'utente è collegato come Editor del profilo?Considerando che per modificare gli script del profilo è necessario comunque collegarsi come Editor del profilo, tali modifiche vengono subito rilevate.
È anche possibile estendere la rete di protezione, creando uno script del profilo per tutti gli utenti che viene controllato con autorizzazioni file limitate, come appena descritto.In tale script, scrivere il codice che utilizza il cmdlet Get-AuthenticodeSignature per esaminare le firme digitali sugli altri profili ricercati dalla shell.Fondamentalmente, ciò consente di richiedere le firme sugli script del profilo, senza richiederle per altri script.
Grazie all'impostazione AllSigned di Criteri di esecuzione, tuttavia, è possibile proteggere meglio il profilo.Il mio consiglio è che il computer connesso alla rete abbia la funzionalità Criteri di esecuzione impostata su Con restrizioni, applicata preferibilmente da Criteri di gruppo.In questo modo viene sovrascritta qualsiasi impostazione locale e si garantisce che i nuovi computer del dominio vengano impostati automaticamente per impedire l'esecuzione degli script.I computer sui quali devono essere autorizzati gli script devono disporre di Criteri di gruppo alternativi che impostano Criteri di esecuzione su AllSigned.È necessario applicare una firma digitale a tutti gli script, ma è possibile dormire sereni sapendo che nel proprio ambiente vengono eseguiti solo script attendibili provenienti da autori identificabili.

Don Jones è il guru degli script, lavora presso SAPIEN Technologies ed è coautore di Windows PowerShell:TFM (SAPIEN Press, 2007).È possibile contattarlo all'indirizzo www.ScriptingAnswers.com.


 Hey, Scripting Guy!: Impossibile confondere le espressioni regolari
Hey, Scripting Guy!
Impossibile confondere le espressioni regolari
Microsoft Scripting Guys
Scarica il codice per questo articolo: HeyScriptingGuy2008_01.exe (150KB)

Tutti fanno errori.Pensavi che il team degli Scripting Guys fosse stato creato apposta?Tuttavia, se esiste un aspetto positivo degli errori, questo è... che cos'è?Pensavi che avremmo detto che l'aspetto positivo è che si può imparare dagli errori commessi?Cielo, no:l'unica cosa che si impara da un errore è che sarebbe stato meglio non averlo mai fatto.
Nota:ci dispiace, ma non ci saranno battute su Microsoft Bob, non oggi.Abbiamo commesso l'errore di prenderci gioco di Microsoft Bob una volta e, in quel caso, abbiamo imparato dal nostro errore.Se si tratta di Microsoft Bob, le nostre labbra sono serrate.
A essere onesti, non riusciamo davvero a trovare niente di buono negli errori, ecco perché abbiamo dedicato le nostre vite a ridurre gli sbagli che commettiamo(diciamolo pure, l'unico modo per ridurre gli errori sarebbe diminuire il numero di cose che facciamo... ma questa è un'altra storia).
Ora, va benissimo tentare di ridurre i nostri errori, tuttavia non risolve molto se le persone con cui lavoriamo continuano a farne(no, l'abbiamo già detto:nessuna battuta su Microsoft Bob!).Se hai mai scritto un front-end su, mettiamo, un programma di database o Active Directory® (e sappiamo che la gran parte dei nostri lettori l'hanno fatto), allora sai perfettamente di cosa parliamo:il programma di immissione dei dati front-end è efficace solo nella misura in cui lo sono coloro che immettono questi dati.
Immagina di voler inserire in questo modo i nomi propri:Ken, con la prima lettera in maiuscolo e le altre in minuscolo.Cosa succede se un utente immette il nome così:KEN?Immagina di voler inserire in questo modo le date:01/23/2007. Cosa succede se un utente immette una data così:23 gennaio 2007?Immagina... beh, il concetto dovrebbe essere chiaro.Come abbiamo detto, il programma di immissione dei dati front-end è efficace solo nella misura in cui lo sono coloro che immettono questi dati.E, piaccia o no, le persone addette all'immissione dei dati commettono degli errori.A meno che, ovviamente, non si prendano delle misure per assicurarsi che non si verifichino.

Verifica che i dati siano validi
Che i Giochi abbiano fine
Ti sei mai chiesto quale evento gli Scripting Guys attendono con trepidazione tutto l'anno?Se hai visitato lo Script Center nel mese di febbraio negli scorsi due anni, potresti pensare che parliamo dei Giochi invernali di scripting.Beh, avresti torto.Gli Scripting Guys aspettano la fine dei Giochi invernali di scripting quando, dopo due settimane di divertimento ininterrotto, possono crogiolarsi dopo l'ennesima vittoria e dormire per tutto il mese successivo.
Quindi, in attesa del nostro evento annuale preferito, la fine dei Giochi di scripting, è ora di iniziare i Giochi invernali di scripting 2008!Unisciti a noi dal 15 febbraio al 3 marzo 2008 allo Script Center per partecipare a più di due settimane di divertimento e alla competizione di scripting più emozionante in circolazione.
I Giochi di scripting sono un'ottima occasione per verificare, e migliorare, le tue capacità di scripting.Inoltre, visto che quest'anno vogliamo dormire qualche altro giorno dopo la fine dei Giochi, stiamo rendendo la competizione del 2008 ancora più grande e ricca dell'anno scorso.Anche quest'anno, sono previste due suddivisioni:Principianti e Avanzati.Sei un novellino dello scripting, un vecchio (o giovane) professionista o qualcosa nel mezzo? Questa è comunque la competizione perfetta per te.
Quali sono le novità di quest'anno?Stiamo aggiungendo un nuovo linguaggio di script.Puoi partecipare alla competizione per VBScript, Windows PowerShell o, ecco la novità, Perl(sappiamo che Perl non è un linguaggio nuovo, ma è una novità per i Giochi).Probabilmente questo aumenterà il divertimento, ma, visto che abbiamo dovuto inserire questa intestazione laterale mesi fa, non abbiamo idea di come sarà.Dovrai venire allo Script Center per scoprire cosa ci siamo inventati.
Se te lo stai chiedendo, sì, ci saranno anche i premi.Quali?Hey, non vogliamo rovinare la sorpresa! Vieni allo Script Center e scoprilo. microsoft.com/technet/scriptcenter/funzone/games/default.mspx.

Molti lettori probabilmente stanno già eseguendo qualche tipo rudimentale di convalida dell'immissione dei dati.E, sotto molti aspetti, questo tipo elementare di convalida dell'immissione dei dati è assolutamente adeguato.Devi assicurarti che il valore della stringa strName contenga un numero pari o inferiore a 20 caratteri?Puoi utilizzare questo piccolo blocco di codice:
If Len(strName) > 20 Then
    Wscript.Echo "Invalid name; a " & _
    "name must have 20 or fewer characters."
End If
Supponi, però, che strName sia un nuovo numero di parte. I numeri di parte devono rispettare un modello specifico:quattro cifre seguite da due lettere maiuscole (ad esempio, 1234AB).Utilizzando semplicemente VBScript, si può verificare se strName rispetta il modello necessario per i numeri di parte?Sì, certo.Ma, fidati, è meglio non usarlo.Piuttosto, puoi utilizzare un'espressione regolare.

Verifica che in un valore vengano visualizzati solo numeri
Le espressioni regolari risalgono agli anni '50, quando furono descritte per la prima volta come una forma di notazione matematica.Negli anni Sessanta, questo modello matematico fu incorporato nell'editor di testo QED come soluzione per la ricerca di modelli di caratteri in un file di testo.In seguito... che c'è?Oh.Sembra che la storia delle espressioni regolari non sia tanto appassionante per i lettori come lo è per noi. Va bene.In questo caso, ci limiteremo a mostrare di cosa stiamo parlando.
Vuoi verificare che una variabile (in questo caso, la variabile strSearchString) contenga solo numeri?Nella Figura 1 viene mostrata una delle soluzioni per eseguire la verifica.
Figure 1 Solo numeri, per favore (Close Figure 1)
Set objRegEx = _
  CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\D"

strSearchString = "353627"

Set colMatches = _
  objRegEx.Execute(strSearchString)

If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Come si può vedere, lo script inizia dalla creazione di un'istanza dell'oggetto VBScript.RegExp, l'oggetto che... sì, hai ragione... l'oggetto che consente di utilizzare le espressioni regolari nello script(volevamo essere noi a spiegarlo).Quindi, assegniamo i valori a due proprietà principali dell'oggetto delle espressioni regolari:Global e Pattern.
La proprietà Global determina se lo script debba corrispondere a tutte le occorrenze di un modello o debba solo individuare la prima di tali occorrenze e quindi arrestarsi.In generale, si consiglia di impostare questo valore su True per consentire la ricerca di tutte le occorrenze di un modello(l'impostazione predefinita è False).Spesso, potrebbe essere necessario trovare tutte le occorrenze di un modello.Anche in caso contrario, l'unico vantaggio legato alla ricerca della sola prima occorrenza di un modello consiste nella maggiore velocità di esecuzione dello script poiché si arresta prima di completare l'intera ricerca.In teoria, sembra un vantaggio significativo.In pratica, tuttavia, la ricerca viene completata così rapidamente che non si è in grado di rilevare la differenza.
Ecco l'aspetto positivo:la proprietà Pattern indica dove si specificano i caratteri (e il modello di carattere) desiderati. Nello script di esempio, la ricerca viene eseguita per qualsiasi carattere che non sia una cifra compresa tra 0 a 9. Se si individua questo carattere (una lettera, un segno di punteggiatura o altro), il valore assegnato a strSearchString non è valido.Con le espressioni regolari, la sintassi \D viene utilizzata per la ricerca di caratteri non numerici; quindi, viene assegnato il valore \D alla proprietà Pattern.
Nota:come sappiamo che \D corrisponde a caratteri non numerici?Beh, è una lunga storia.Tanti anni fa... oh, ok.Lo abbiamo trovato nei riferimenti relativi al linguaggio VBScript in MSDN® all'indirizzo msdn2.microsoft.com/1400241x.
Dopo aver assegnato i valori alle proprietà Global e Pattern, il passaggio successivo consiste nell'assegnazione di un valore alla variabile strSearchString:
strSearchString = "353627"
Come verifichiamo l'assenza di caratteri non numerici in questa stringa?La risposta è semplice.Basta chiamare il metodo Execute che esegue una ricerca della variabile per qualsiasi carattere non numerico:
Set colMatches = _
objRegEx.Execute(strSearchString)
Quando si chiama il metodo Execute, tutte le corrispondenze trovate, ossia tutte le istanze di Pattern, vengono archiviate automaticamente nella raccolta Matches(nello script di esempio, il nome della raccolta è colMatches).Per sapere se la variabile contiene caratteri non numerici (e noi lo sappiamo), è sufficiente controllare il valore della proprietà Count della raccolta che segnala quanti elementi sono nella raccolta:
If colMatches.Count > 0 Then
    Wscript.Echo "Invalid: a " & _
      "non-numeric character was found."
Else
    Wscript.Echo "This is a valid entry."
End If
Se il valore di Count è maggiore di 0 significache è stato rilevato un carattere non numerico nel valore della variabile.Se tutti i caratteri nel valore fossero cifre, la raccolta sarebbe vuota e avrebbe un valore Count pari a 0.Nello script di esempio, viene illustrato il rilevamento di caratteri non numerici.In un front-end reale di script o database, viene probabilmente visualizzato un messaggio analogo e l'operazione viene riportata indietro per consentire all'utente di riprovare.Ma c'è tempo per preoccuparsi di questo: come Scripting Guys, abbiamo molte altre cose di cui preoccuparci.
Ad esempio?Ad esempio, il pensiero che un giorno le persone di TechNet Magazine possano realmente iniziare a leggere gli articoli che gli mandiamo ogni mese.Vorremmo piuttosto che non imparassero dai loro errori.
Ah, buona domanda:non è possibile utilizzare semplicemente la funzione IsNumeric per determinare se strSearchString contiene un numero?Certo, sempre che il valore strSearchString possa corrispondere a qualsiasi numero.Ma che succede se il valore strSearchString deve essere un numero intero positivo?Questo potrebbe essere un problema: IsNumeric identifica entrambi i valori come numeri validi:
-45
672.69
Perché questi valori sono identificati come numeri validi?Perché sono effettivamente numeri validi, anche se non interi positivi.L'espressione regolare contrassegna invece questi numeri come voci non valide poiché è in grado di distinguere il segno meno (–) e il punto (.) dei caratteri non numerici.Se stai leggendo questo articolo e ti chiedi perché, ecco, questa è una buona ragione.
Che hai detto?Non è abbastanza interessante?Wow, lettori esigenti questo mese!OK, passiamo a qualche altro tipo di convalida dell'immissione dei dati ottenuta utilizzando le espressioni regolari.

Verifica che in un valore non vengano visualizzati numeri
Ti abbiamo appena spiegato come verificare che in un valore vengano visualizzati solo numeri.In che modo si potrebbe fare il contrario, ossia verificare che non vengano visualizzati numeri nel valore?Bene, ecco qui un modello di ricerca che è possibile utilizzare:
objRegEx.Pattern = "[0-9]"
Che succede?Nel mondo folle e selvaggio delle espressioni regolari, i caratteri parentesi ([ e ]) consentono di specificare un insieme di caratteri oppure, come in questo caso, un intervallo di caratteri.Che cosa significa il valore Pattern [0-9]?Significa che la ricerca viene eseguita su qualsiasi carattere nell'intervallo da 0 a 9, in altre parole su qualsiasi valore numerico.Per ottenere solo numeri pari (ossia, per verificare che il valore non includa numeri con 1, 3, 5, 7 o 9), si utilizza questo modello:
objRegEx.Pattern = "[13579]"
Tieni presente che, poiché non abbiamo utilizzato il trattino, non stiamo cercando un intervallo di caratteri.In realtà, cerchiamo esattamente i caratteri 1, 3, 5, 7 e 9.
Naturalmente, il modello [0-9] cerca solo i numeri; non individua segni di punteggiatura o altri caratteri diversi sia dalle lettere che dai numeri.Pensi sia possibile creare un modello per cercare qualsiasi carattere diverso dalle lettere?Ovviamente sì.Con le espressioni regolari, puoi fare praticamente tutto:
objRegEx.Pattern = "[^A-Z][^a-z]"
In questo caso, stiamo integrando due criteri nel modello:la ricerca viene eseguita per [^A-Z] e [^a-z].Come probabilmente immagini, A-Z indica l'intervallo di caratteri dalla A maiuscola alla Z maiuscola. Che cosa significa il carattere ^?Se all'interno delle parentesi quadre, il segno ^ indica la ricerca per qualsiasi carattere non compreso nell'intervallo di caratteri specificato.Quindi [^A-Z] indica di cercare tutti i caratteri non maiuscoli.Allo stesso tempo, [^a-z] indica di cercare tutti i caratteri non minuscoli.Il risultato finale:questo modello indica una ricerca di qualsiasi elemento che non sia una lettera maiuscola o minuscola.Ciò include numeri, segni di punteggiatura e qualsiasi altro tipo di strano carattere che si trova sulla tastiera.
In alternativa, si può impostare la proprietà IgnoreCase su True:
objRegEx.IgnoreCase = True
In questo modo, la ricerca ignora le maiuscole e le minuscole.Inoltre, potremmo utilizzare questo modello che, combinato con la proprietà IgnoreCase, consente di cercare qualsiasi elemento che non sia una lettera in maiuscolo o minuscolo:
objRegEx.Pattern = "[^A-Z]"

Verifica che un numero di parte sia valido
E adesso, un po' di fantasia.E, credici, puoi davvero scatenarti con le espressioni regolari; per qualche esempio, dai un'occhiata al sito Web regexlib.com.Prima, in questo articolo, abbiamo scritto:Supponi che strName sia un nuovo numero di parte. I numeri di parte devono rispettare un modello specifico:quattro cifre seguite da due lettere maiuscole (ad esempio, 1234AB).In che modo puoi verificare che la variabile rispetti questo modello?Un modello come questo, ovviamente:
objRegEx.Pattern = "^\d{4}[A-Z]{2}"
Che cosa indica questo modello?Che coincidenza:stavamo appunto per spiegarlo.In questo caso, la ricerca viene eseguita su tre criteri:
^\d{4}
Con \d si indica la ricerca di cifre (un carattere compreso nell'intervallo tra 0 a 9).Che cosa indica {4}?Indica che la ricerca deve produrre una corrispondenza esatta di quattro caratteri (ossia, esattamente quattro cifre).Quindi, stiamo cercando quattro cifre consecutive.
Infine, che significa il carattere ^?Fuori dalle parentesi quadre, il segno ^ indica che il valore deve iniziare con il modello successivo; ciò significa che AA1234AB non sarà contrassegnato come corrispondenza.Perché?Perché il valore inizia con AA, non con quattro cifre consecutive.Volendo, è possibile utilizzare il carattere $ per indicare che la corrispondenza deve trovarsi alla fine della stringa.Ma non vogliamo(almeno, non in questo esempio).
[A-Z]{2}
Sai già cosa indica il componente [A-Z], ossia qualsiasi lettera maiuscola.E {2}?Esatto:le quattro cifre devono essere seguite esattamente da due caratteri maiuscoli.
Facile, eh?A proposito, in questo caso se Count è 0, il valore non è valido.Perché?Dunque, in questo caso non cerchiamo un singolo carattere che invalidi la stringa, ma piuttosto una corrispondenza esatta al modello.Se non la otteniamo, significa che il valore non è validoe che la proprietà Count della raccolta sarà 0.
Nota:Due altre costruzioni utili sono:{3,} e {3,7}.{3,} segnala la presenza di almeno tre caratteri (o espressioni) consecutivi; tuttavia, mentre il numero minimo di caratteri è fissato a tre, non esiste un limite massimo.Questo \d{3,} corrisponde a 123, a 1234 e anche a 123456789. {3,7} richiede, invece, un numero di caratteri (o espressioni) consecutivi compreso tra 3 e 7. Quindi, 123456 è una corrispondenza, ma 123456789 (che contiene più di sette cifre) non lo è.
Ecco un altro modello utile.Immagina che il numero di parte inizi con quattro cifre seguite dalle lettere US, seguite da due caratteri finali (lettere, numeri o altro).Esiste una sola corrispondenza:
objRegEx.Pattern = "^\d{4}US.."
Come si può vedere, questo modello inizia con quattro cifre (\d), che devono essere seguite dai caratteri US (esclusivamente da queste due lettere; qualsiasi altro carattere non verrebbe considerato una corrispondenza).Dopo i caratteri US, occorrono altri due caratteri non specificati.In che modo si indicano caratteri non specifici in un'espressione regolare?Aspetta un attimo, lo sappiamo... ecco, ce l'abbiamo:ogni singolo carattere viene indicato da un punto (.).Logicamente, ciò significa che due caratteri possono essere indicati da due punti distinti:
..
OK, questo era facile.Proviamone uno più difficile.Immagina che i due caratteri interni indichino il paese dove è stata prodotta la parte.Se hai impianti di produzione negli Stati Uniti (US), nel Regno Unito (UK) e in Spagna (ES), significa che tutti questi codici a due caratteri sono validi:US, UK, ES.Come si può eseguire una scelta multipla in un'espressione regolare?
Beh, più o meno così:
objRegEx.Pattern = "^\d{4}(US|UK|ES).."
La chiave è questa piccola costruzione:(US|UK|ES).Abbiamo posizionato i tre valori accettabili (US, UK ed ES) all'interno dell'insieme di parentesi, separando ciascun valore con il carattere (|).Ecco come eseguire una scelta multipla con un'espressione regolare.
Ma, aspetta!Non abbiamo detto che si potevano inserire più opzioni nelle parentesi quadre?Tutto il discorso su [13579] non era per questo?Ovviamente sì.Tuttavia, questo si applica solo ai singoli caratteri; [13579] dovrà essere sempre interpretato come 1, 3, 5, 7 e 9. Per utilizzare 135 e 79 come scelte multiple, è necessario utilizzare questa sintassi:(135|79). Si possono utilizzare anche le parentesi per delineare una singola parola da cercare:
objRegEx.Pattern = "(scripting)"
Oppure, lasciar perdere le parentesi:
objRegEx.Pattern = "scripting"
Nota:OK, utile a sapersi, ma che succede se le parentesi devono essere incluse come parte di un termine da cercare; ad esempio, se si cerca "(script)"?Poiché le parentesi aperte e chiuse sono caratteri riservati nelle espressioni regolari, è necessario far precedere ogni carattere da \.In altre parole:
objRegEx.Pattern = "\(scripting\)"

Libertà di espressione
Questo è tutto per questo mese.Per ulteriori informazioni sulle espressioni regolari, puoi partecipare al webcast Teoria delle stringhe per gli amministratori di sistema:un'introduzione alle espressioni regolari (microsoft.com/technet/scriptcenter/webcasts/archive.mspx).Man mano che inizi a imparare, e a utilizzare, le espressioni regolari, ricorda sempre le immortali parole di Sofia Loren:"Gli errori sono parte del tributo che si paga per una vita vissuta in pieno".
Wow.Allora, gli Scripting Guys hanno vissuto vite davvero più piene!

Il rompicapo di script del Dottor Scripto
La sfida mensile che verifica non solo le tue capacità di risoluzione dei puzzle, ma anche le tue competenze di scripting.

Gennaio 2008:Sostantivi serpeggianti
Questo mese, il Dr. Scripto ha deciso di lavorare con Windows PowerShell.Ovviamente, non puoi lavorare con Windows PowerShell, o almeno non se lo usi correttamente (e Dr. Scripto fa sempre tutto per bene), senza i cmdlet.Per questo puzzle, Dr. Scripto nascosto alcuni cmdlet in una griglia. Il tuo compito è individuarli.
Ora, dobbiamo ammettere che questo puzzle sarebbe più complicato se dovessimo utilizzare l'intero cmdlet.A causa del costrutto verbo-sostantivo dei cmdlet, ne esistono a decine che iniziano con Get-, Set- e così via.Quindi, abbiamo tralasciato la parte verbale del cmdlet (e il trattino), lasciando solo i sostantivi(ma possiamo dirti che tutti i verbi iniziavano con "Get-").
L'attività di questo mese consiste nello scoprire dove sono i sostantivi dei cmdlet.Ti abbiamo fornito l'elenco di sostantivi nascosti nel puzzle(siamo davvero magnanimi, vero?).Ciascuna parola può essere scritta in senso orizzontale e verticale, in avanti o indietro, ma mai in diagonale.Ti forniamo la prima parola (Location) come esempio.Buona fortuna!

Elenco di parole
Alias
ChildItem
Credential
Date
EventLog
ExecutionPolicy
Location
Member
PSSnapin
TraceSource
Unique
Variable
WMIObject

Il rompicapo di script del Dottor Scripto
Risposta:Sostantivi serpeggianti, gennaio 2008

Microsoft Scripting GuysGli Scripting Guys lavorano per Microsoft, o meglio... sono dipendenti Microsoft.Quando non si dedicano al baseball (o a varie altre attività) da giocatori, allenatori o semplici spettatori, gestiscono il TechNet Script Center.Consultare il documento su www.scriptingguys.com.


 Controllo della protezione: Island hopping:il fascino ingannevole di un bottino facile
Controllo della protezione
Island hopping:il fascino ingannevole di un bottino facile
Jesper M. Johansson

Per anni è stata utilizzata una tecnica denominata "island hopping", che consente di entrare in una rete tramite un collegamento debole e passare da un sistema all'altro.Nel tempo, questo tipo di tecnica sta assumendo sempre nuove dimensioni.Negli attuali ambienti IT, dove tutti sono consapevoli dell'importanza della protezione, gli utenti rappresentano spesso il collegamento più debole che gli utenti malintenzionati
cercano di sfruttare a loro vantaggio (basti pensare al phishing e alle altre forme di ingegneria sociale).Questa combinazione può diventare fatale per la tua rete.
Uno dei tentativi che preferisco per esaminare il comportamento umano è stato organizzato da Steve Stasiukonis della Secure Network Technologies durante un test di penetrazione per un cliente.Questi ha disseminato nel parcheggio del cliente diverse unità memoria flash USB, tutte contenenti un trojan horse.Quando i dipendenti arrivarono al lavoro la mattina, rimasero felicemente sorpresi nel trovare questi regali sparpagliati nel parcheggio.Raccolsero con entusiasmo le unità USB e le inserirono nei primi computer che si trovarono davanti:le proprie workstation.
Probabilmente alcuni di essi furono abbastanza saggi da non raccogliere le unità USB e forse altri le buttarono via, ma bastò un solo utente che infettò il proprio sistema per fornire così un gateway nella rete.Ovviamente, Stasiukonis eseguì questo esperimento come un test, ma la stessa tecnica è stata utilizzata da veri criminali per infiltrarsi in reti aziendali di grandi dimensioni.
Attualmente, le unità memoria flash USB si trovano ovunque.In quasi tutte le conferenze, si trovano fornitori che le regalano come fossero caramelle.Queste unità, spesso, hanno una capacità limitata, ma non è necessario molto spazio per assumere il controllo di un'intera rete.In questa serie di due parti, analizzerò questo tipo di attacchi e illustrerò alcune soluzioni utili per ridurre eventuali rischi.Nel numero di questo mese, spiegherò in dettaglio cosa si può fare con un'unità memoria flash USB e come è possibile controllarla.Nel numero del mese prossimo di TechNet Magazine, illustrerò come contenere un attacco a un unico sistema o a un piccolo gruppo di sistemi della rete.
I dettagli tecnici dell'attacco sono effettivamente abbastanza semplici.Tutto ha inizio con un un'unità memoria flash USB infetta inserita in un solo computer.Quanto avviene dopo dipende dal payload di tale unità e, ovviamente, da quanto l'utente è credulone.

Scenario iniziale
Sul palco era stato lasciato un computer portatile incustodito.Il relatore era sceso tra il pubblico per cercare di accattivarsene la simpatia prima di cominciare con la sua presentazione.Il computer portatile era bloccato, ma questo non rappresentò un ostacolo.L'utente malintenzionato salì sul palco e si soffermò per un po', come se stesse aspettando che il relatore tornasse.Poiché questi palchi sono generalmente progettati per nascondere quanto di sgradevole alla vista, ad esempio i computer, era praticamente impossibile riuscire a vedere le porte USB e le mani dell'utente malintenzionato.Una volta inserita l'unità memoria flash USB nel computer, bastarono pochi secondi per portare a termine l'attacco.
Su questo tema esistono alcune variazioni.Ad esempio, quando giravo il mondo per le mie presentazioni, al termine di ogni presentazione c'era sempre qualcuno che mi chiedeva una copia delle mie diapositive.Solitamente, tiravo fuori il mio biglietto da visita e chiedevo di inviarmi un messaggio di posta elettronica.Perché lo facevo se queste persone mi porgevano un'unità memoria flash USB?Perché conosco bene strumenti del tipo USB Hacksaw e USB Switchblade.Per informazioni su questi strumenti, visitare il sito all'indirizzo wiki.hak5.org.
Fondamentalmente, questi strumenti consentono di individuare con estrema facilità le persone che lasciano non protette le proprie porte USB.Ad esempio, Switchblade è in grado di scaricare:
  • Informazioni di sistema
  • Tutti i servizi di rete
  • Un elenco delle porte in ascolto
  • Tutti i codici "Product Key" per i prodotti Microsoft presenti sul computer
  • Il database di password locale
  • La password di tutte le reti wireless utilizzate dal computer
  • Tutte le password di rete archiviate nel computer dall'utente attualmente connesso
  • Internet Explorer®, Messenger, Firefox e le password di posta elettronica
  • I documenti segreti dell'autorità di protezione locale (Local Security Authority, LSA), che contengono tutte le password dell'account di servizio in testo non crittografato
  • Un elenco delle patch installate
  • Una cronologia recente delle esplorazioni
Bastano circa 45 secondi per raccogliere tutti questi dati in un file di registro sull'unità memoria flash.
Hacksaw è una versione leggermente modificata che installa un trojan horse sul computer che controlla quando viene inserita un'unità memoria flash USB.Successivamente, invia all'utente malintenzionato, tramite posta elettronica, tutti i documenti contenuti nelle unità memoria flash inserite nel computer.
Gli strumenti finora descritti utilizzano U3 (u3.com), una tecnologia progettata per consentire agli utenti di portare con sé i programmi su un'unità memoria flash.In breve, un'unità memoria flash dotata di U3 mente sulla propria identità.Comunica al sistema operativo di essere un hub USB contenente un'unità memoria flash e un CD inserito.Per impostazione predefinita, le versioni di Windows® precedenti a Windows Vista® eseguono automaticamente i programmi indicati nel file autorun.inf dei CD, ma non delle unità USB.Nascondendo questo aspetto, l'unità memoria flash USB dotata di U3 aggira il sistema operativo ed esegue automaticamente un programma definito utilità di avvio U3.L'utilità di avvio U3, a sua volta, è in grado di avviare i programmi, fornire un menu o eseguire qualsiasi operazione dal computer.
Questi strumenti si limitano a sostituire l'utilità di avvio con il codice che consente di sfruttare le vulnerabilità.Non appena l'unità memoria flash viene inserita in un sistema Windows XP, lo strumento si avvia automaticamente.In Windows Vista, AutoPlay funziona in maniera differente.Esecuzione automatica è attualmente attivo sui dispositivi rimovibili, come i CD.Ciò significa che quando il dispositivo viene inserito nel sistema, succede qualcosa.Per impostazione predefinita, viene visualizzata la finestra di dialogo AutoPlay, come illustrato nella Figura 1.
Figura 1 La finestra di dialogo AutoPlay predefinita viene visualizzata quando un utente inserisce un'unità rimovibile contenente immagini
Figura 1 La finestra di dialogo AutoPlay predefinita viene visualizzata quando un utente inserisce un'unità rimovibile contenente immagini
Si noti che la finestra di dialogo illustrata nella Figura 1 presenta l'opzione "Esegui sempre questa operazione per le immagini".In questo modo viene impostata un'opzione di AutoPlay, che può essere configurata nel Pannello di controllo, illustrato nella Figura 2.
Figura 2 Configurazione di AutoPlay in Windows Vista
Figura 2 Configurazione di AutoPlay in Windows Vista
La configurazione di AutoPlay è particolarmente interessante per l'opzione "Software e giochi".Per definizione, questa opzione indica che l'unità rimovibile contiene un file autorun.inf che avvia l'esecuzione di alcuni programmi.Le impostazioni presenti nella Figura 2 correlate a "Software e giochi" vengono memorizzate nella seguente chiave del Registro di sistema:
Hive:    HKEY_CURRENT_USER
Key:    \Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\
UserChosenExecuteHandlers\AutorunINFLegacyArrival
Value: (Default)
Data:
MSAutoRun – automatically executes the program specified in the autorun.inf file

MSPromptEachTime – prompts the user, using strings specified in the autorun.inf file, if available
Poiché non è necessario essere un amministratore per modificare tali impostazioni, gli utenti possono impostarle come desiderano, ad esempio eseguendo automaticamente qualsiasi malware presente sull'unità trovata nel parcheggio.Infatti, possono farlo selezionando la casella appropriata nella finestra di dialogo AutoPlay.

Gestione di AutoPlay nella rete
Gli amministratori possono gestire AutoPlay in due modi all'interno della rete.Innanzitutto, è possibile impedire a un utente di attivare AutoPlay su supporti rimovibili e CD modificando l'impostazione NoDriveTypeAutoRun che controlla i tipi di unità per cui AutoPlay è abilitato.In Windows XP, NoDriveTypeAutoRun è impostato su 0x95. Questo valore fa sì che AutoPlay sia disattivato sui tipi di unità sconosciute, sulle unità di rete e sui dispositivi rimovibili.A partire da Windows XP SP2, l'impostazione NoDriveTypeAutoRun viene configurata, per impostazione predefinita, su 0x91,consentendo quindi l'attivazione di AutoPlay sui dispositivi di archiviazione rimovibili.Se si utilizza Criteri di gruppo, in Configurazione utente\Modelli amministrativi\Componenti di Windows\Criteri AutoPlay è disponibile un'opzione che consente di gestire l'impostazione di NoDriveTypeAutoRun.Disattivando l'impostazione AutoPlay e selezionando le unità CD-ROM e quelle rimovibili, AutoPlay viene disattivato su entrambi i tipi di unità.
Di conseguenza, l'utente non visualizza la finestra di dialogo AutoPlay dalla Figura 1.Infatti, quando l'utente inserisce l'unità non accade nulla.Probabilmente questa non è la soluzione ideale in quanto l'utente che non sa come accedere alle informazioni necessarie presenti sull'unità può entrare in confusione.
Forse si potrebbe controllare quali sono i contenuti che possono essere riprodotti automaticamente.Per certi versi è possibile eseguire questa operazione in Windows Vista, in quanto questo sistema operativo presenta due livelli di controlli sull'esecuzione automatica del software.Un altro controllo in Criteri di gruppo, illustrato nella Figura 3, consente di disattivare la funzionalità AutoPlay del software che utilizza i file autorun.inf, lasciando inalterate al tempo stesso le altre funzionalità di AutoPlay in Windows Vista.
Figura 3 Disattivare i file autorun.inf con Criteri di gruppo
Figura 3 Disattivare i file autorun.inf con Criteri di gruppo
Il flusso decisionale risulta più complesso se si tratta di AutoPlay e, forse, è più semplice illustrarlo con un diagramma di flusso.Nella Figura 4 viene illustrato il flusso decisionale utilizzato per stabilire se eseguire automaticamente un file su supporti rimovibili.
Figura 4 Flusso decisionale di AutoPlay
Figura 4 Flusso decisionale di AutoPlay

Altri scenari
Naturalmente, gli strumenti appena descritti sono solo alcuni di quelli esistenti utilizzati per compromettere un computer con un'unità memoria flash USB.A questi può essere aggiunto qualsiasi altro tipo di strumento, ad esempio che consente di eseguire il dump dell'hash password di Windows NT® dell'utente attualmente connesso (vedere microsoft.com/technet/community/columns/secmgmt/sm1005.mspx).
Molti controller USB sono in realtà dispositivi DMA (Direct Memory Access, Accesso Diretto alla Memoria).Ciò significa che possono ignorare il sistema operativo e leggere e scrivere direttamente sulla memoria del computer.Ignorando il sistema operativo, vengono ignorati i controlli di protezione, quindi l'accesso all'hardware è libero.Ciò può rendere completamente inefficace il controllo del dispositivo implementato dal sistema operativo.Non conosco quali sono attualmente gli strumenti di attacco che la utilizzano, ma dubito fortemente che questa tecnica non sia già stata utilizzata.
Un altro modo per sfruttare la combinazione di utenti creduloni e dispositivi rimovibili vulnerabili consiste nel presentare un'opzione allettante.Ad esempio, quanti utenti vorrebbero fare clic sulla finestra di dialogo illustrata nella Figura 5?Non tutti, ma probabilmente molti.Il punto è che basta veramente poco per escogitare una finestra di dialogo troppo accattivante per essere ignorata dagli utenti.
Figura 5 Quanti utenti cadrebbero nella trappola?
Figura 5 Quanti utenti cadrebbero nella trappola?

Blocco del dispositivo
Criteri di gruppo, una novità di Windows Vista, dispone ora di una serie di criteri per gestire l'installazione del dispositivo (vedere la Figura 6).Come illustrato, l'amministratore può bloccare l'installazione di tutti i nuovi dispositivi rimovibili se il driver specifica che sono rimovibili.Se, invece, il driver indica che non lo sono, il criterio non ha alcun effetto sulla loro installazione.Quindi, per aggirare questo criterio, è possibile utilizzare driver personalizzati.
Figura 6 Criteri di installazione del dispositivo di Windows Vista
Figura 6 Criteri di installazione del dispositivo di Windows Vista
Per un controllo più dettagliato, l'amministratore può utilizzare i criteri che consentono di agire sulle classi di installazione di un dispositivo specifico.Tuttavia, tali criteri richiedono che l'utente conosca il GUID della classe di un dispositivo specifico che si desidera bloccare (o consentire), rendendo la gestione di questo approccio decisamente più difficile.

L'importanza del privilegio minimo
Mettiamo da parte per un momento lo scenario DMA. Il successo degli attacchi descritti in precedenza, così come il successo delle contromisure scelte, dipenderà dai privilegi di cui dispone l'utente che utilizza il computer.Se l'utente è standard, i danni che un attacco può causare sono limitati.Mediante un attacco è comunque possibile rubare i dati dell'utente e tutto ciò a cui quest'ultimo ha accesso.È molto probabile, comunque, che l'attacco non avrà alcun impatto sulla rete in generale.
Tuttavia, se l'utente che subisce l'attacco è un amministratore, le conseguenze potrebbero essere gravi.Nella peggiore delle ipotesi, l'utente è un amministratore di dominio e assumere il controllo dell'intera rete è piuttosto semplice.Ad esempio, l'utente malintenzionato potrebbe estrarre dalla memoria l'hash password dell'utente.Al momento dell'accesso il sistema, memorizza nella cache l'hash presente all'interno dello spazio del processo LSA. In questo modo l'hash può essere utilizzato per accedere in maniera trasparente alle risorse di rete per conto dell'utente.Un utente malintenzionato con privilegi amministrativi può estrarre questo hash e accedere a qualunque risorsa di rete.In altre parole, se l'utente è un amministratore di dominio, è possibile compromettere l'intero dominio.
Questo mi fa pensare alle dipendenze.Fino ad ora, ho delineato un attacco specifico alle workstation.Non ho, tuttavia, analizzato le conseguenze che un attacco può avere sulla scalabilità di rete.Nell'articolo del prossimo mese, analizzerò le dipendenze, illustrando cosa rappresentano per l'ambiente nel suo insieme e, ancora più importante, come è possibile rafforzarle.

Jesper M. Johansson, Principal Security Engineer, si occupa dei problemi di protezione software e collabora con TechNet Magazine in qualità di redattore.Ha conseguito il titolo di PhD in MIS e ha oltre 20 anni di esperienza nel settore della protezione.


 File desktop: Uso del computer condiviso con Windows SteadyState
File desktop
Uso del computer condiviso con Windows SteadyState
Wes Miller

Se negli ultimi dieci anni hai avuto a che fare con un laboratorio informatico, conosci già questo problema.Si tratta di qualcosa che ho scoperto la prima volta quando frequentavo l'università.Allora, i laboratori erano aperti tutto il giorno (per accedervi, era necessario fornire l'ID studente) e, non essendo sorvegliati, era possibile entrarci dalla biblioteca.Gli studenti appassionati di giochi elettronici di quell'epoca
potevano entrare e modificare i file principali di Windows® e MS-DOS® per eseguire i loro giochi.Il risultato finale era un computer sul quale era possibile giocare, ma sul quale non era più possibile eseguire Windows correttamente.Tutti abbiamo avuto lo stesso problema: un computer sul quale talmente tante persone avevano messo le mani, da renderlo inutilizzabile.
Recentemente, sono stato in vacanza a South Padre Island, in Texas.L'hotel in cui ho pernottato aveva una sala con tre computer su cui era in esecuzione Windows XP.Poiché non era impostato alcun criterio di protezione, chiunque poteva utilizzare questi sistemi Windows come amministratore. Ciò significava che gli ospiti potevano utilizzare come desideravano questi poveri computer, installando software dannosi e rimuovendo o modificando le applicazioni principali, ma sicuramente non era questo lo scopo del direttore.Sia che si tratti di un laboratorio o di un hotel, la verità è che i computer condivisi in un ambiente pubblico hanno una vita difficile a differenza dei computer utilizzati in ambienti privati.

Possibili soluzioni al problema
Download e utilizzo di SteadyState
È possibile scaricare gratuitamente Windows SteadyState all'indirizzo go.microsoft.com/fwlink/?LinkId=104721.È possibile trovare ulteriori informazioni su SteadyState all'indirizzo microsoft.com/windows/products/winfamily/sharedaccess.
Windows SteadyState può essere eseguito su qualsiasi sistema sul quale può essere eseguito Windows XP.Il miglioramento più significativo rispetto a SCT è che SteadyState non richiede una seconda partizione per funzionare come fa SCT per la Protezione disco di Windows.
Nella seguente tabella viene fornita una panoramica dei requisiti di sistema per SteadyState.Si noti che SteadyState non richiede un file system in formato NTFS poiché sono supportate tutte le versioni di Windows XP.SteadyState al momento non funziona con Windows Vista®.

Componente | Requisito
Processore | 300 MHz o superiore (minimo 233 MHz).
Memoria | Almeno 128 MB di RAM (il valore minimo è 64 MB, ma potrebbe influire negativamente sulle prestazioni e su alcune funzionalità).
Disco rigido | Almeno 1,5 GB di spazio disponibile su disco rigido senza Protezione disco di Windows o almeno 4 GB di spazio disponibile su disco rigido con Protezione disco di Windows.
Sistema operativo | Windows XP Home Edition, Windows XP Professional o Windows XP Tablet PC Edition.Deve essere installato Windows XP SP2.
Lingue localizzate supportate | Inglese, olandese, francese, italiano, giapponese, brasiliano portoghese, cinese semplificato e spagnolo.
File system | File system in formato NTFS.
Accesso | Accesso a livello di amministratore.

Se hai letto i miei articoli dell'anno scorso o se conosci la distribuzione di Windows in generale, potresti pensare: "Semplice, sarà sufficiente creare una nuova immagine dei sistemi".Chi ha provato questa esperienza però, sa che non è sempre così semplice.Il grande pulsante rosso per la nuova creazione di immagini, anche se premuto tutti i giorni o una volta alla settimana, non risolve il problema.
Anni fa, volevo aprire un cybercafé insieme a un mio amico.Questo accadeva nel 1995, quando era ancora un'idea originale.La mia preoccupazione più grande era effettivamente come garantire affidabilità e disponibilità del sistema.Sfortunatamente, le possibilità a quel tempo implicavano generalmente la creazione di una nuova immagine o soluzioni leggermente più stabili, ma non esisteva alcuna operazione plug-and-play.
Una volta eliminato il problema, per la protezione dei computer condivisi, è necessario poter effettuare le seguenti operazioni:
  • Garantire che gli utenti utilizzino i PC non come amministratori.Questo dovrebbe valere sempre per tutti i computer condivisi.
  • Applicare criteri affinché i sistemi siano più protetti possibile.In questo modo, è meno probabile che gli utenti possano manipolare aree del sistema a cui non dovrebbero accedere.
  • Poter revocare le modifiche effettuate dagli utenti.Anche se gli utenti operano come non amministratori, possono effettuare modifiche anomale a menu, preferiti e altro ancora.
Fortunatamente, Microsoft lavora da anni su un set di strumenti progettato per affrontare queste situazioni.

Storia di SteadyState
Poco più di un anno fa, Microsoft ha rilasciato Windows Shared Computing Toolkit (SCT).Scaricabile gratuitamente per i sistemi verificati Windows Genuine Advantage, il toolkit è stato progettato considerando in particolare biblioteche, cybercafé, laboratori e altri ambienti informatici condivisi.È possibile che alcuni abbiano letto l'articolo su SCT nell'edizione di luglio 2006 di TechNet Magazine (technetmagazine.com/issues/2006/07/UtilitySpotlight).
Una nuova versione, adesso denominata Windows SteadyStateTM (microsoft.com/windows/products/winfamily/sharedaccess), è stata pubblicata nel mese di giugno 2007. La nuova versione è stata ridenominata in parte perché il set di strumenti ha subito modifiche significative tra una versione e l'altra.Esegue tuttora le stesse attività che verranno illustrate di seguito, ma il team si è concentrato sulla facilità di utilizzo globale nella versione più recente.Di conseguenza, SteadyState è strettamente integrato in una nuova console ed è più semplice da installare e gestire.È più potente e flessibile e supporta l'integrazione con Active Directory® per uno dei componenti principali, il che significa maggiore flessibilità in diversi scenari aziendali completamente nuovi.Adesso supporta anche l'integrazione con Windows Update che consente a SteadyState di sapere quando disattivare la Protezione disco di Windows per applicare indipendentemente gli aggiornamenti.Ciò riduce il sovraccarico di operazioni amministrative necessarie per i sistemi gestiti tramite SteadyState.

Funzionalità di SteadyState
Windows SteadyState è formato da quattro componenti principali:Le restrizioni per il computer che proteggono le opzioni di protezione e configurazione per i singoli computer, Protezione disco di Windows che memorizza nella cache (e annulla) le modifiche apportate alla partizione di sistema Windows, la gestione dell'account utente che crea, modifica, importa o esporta un utente e, infine, le impostazioni e restrizioni utente che proteggono le opzioni di configurazione e protezione dei singoli utenti.
Un miglioramento che è possibile notare immediatamente in Shared Computing Toolkit è la guida per l'utente.Una guida all'avvio che semplifica l'impostazione e l'avvio di SteadyState.SteadyState fornisce inoltre quattro attività principali che è opportuno approfondire (che rispecchiano le funzionalità principali illustrate in precedenza):
  • Imposta restrizioni per il computer (restrizioni per il computer).
  • Pianifica aggiornamenti software.Consente di specificare se SteadyState applica automaticamente gli aggiornamenti di Windows.Questa opzione è consigliata poiché gestisce la funzionalità Protezione disco di Windows e aggiorna anche le firme di diversi programmi Antivirus più diffusi.
  • Proteggi il disco rigido (Protezione disco di Windows).
  • Aggiungi utente (gestione dell'account utente).
In Aggiungi utente si trovano le restrizioni utente e le impostazioni che forniscono un'opzione di configurazione per i singoli utenti.

Computer, restrizioni utente e impostazioni
Se si ha una buona conoscenza di Criteri di gruppo di Windows, si conoscono già gli aspetti Imposta restrizioni per il computer e le impostazioni e restrizioni utente di SteadyState.Invece di costringere gli amministratori di SteadyState ad utilizzare Editor oggetti Criteri di gruppo (GPEdit.msc), che non è una funzionalità disponibile in Windows XP Home Edition (sebbene SteadyState sia supportato), SteadyState rileva diverse opzioni di protezione e configurazione principali comuni negli ambienti informatici condivisi.
Nella Figura 1 è riportata la schermata di configurazione per Imposta restrizioni per il computer.Si noti che queste sono tutte impostazioni generiche che vengono applicate all'intero computer.Tali impostazioni vengono selezionate principalmente per ridurre i rischi di protezione del sistema e, nel caso di accesso di un'unità USB, per ridurre la possibilità di rimuovere elementi dal sistema.Nelle impostazioni per i singoli utenti, è possibile trovare anche un metodo per bloccare l'accesso in lettura ad alcune o a tutte le unità.
Figura 1 Restrizioni per il computer in SteadyState
Figura 1 Restrizioni per il computer in SteadyState
È importante notare che l'impostazione relativa all'USB è attiva solo durante l'esecuzione del sistema Windows in cui è configurato SteadyState.Per ottenere una protezione contro gli attacchi non in linea, è necessario configurare correttamente il BIOS affinché blocchi l'avvio da dispositivi USB o CD e protegga tramite password lo stesso BIOS.
Ovviamente, questo metodo non è infallibile.Ricordare la terza legge delle "10 leggi immutabili della protezione" (microsoft.com/technet/archive/community/columns/security/essays/10imlaws.mspx):"Se un utente malintenzionato ha accesso fisico illimitato al tuo computer, non devi considerarlo più il tuo computer."Un individuo scrupoloso con sufficiente tempo e gli strumenti giusti a disposizione, spesso è in grado di oltrepassare la password di un BIOS.

Protezione disco di Windows
Se è già stato utilizzato Windows XP Embedded da un CD o Windows PE 2.0, quello che sto per descrivere suonerà familiare e a ragione poiché questi due sistemi hanno una storia in comune.Protezione disco di Windows consente di effettuare l'annullamento completo delle operazioni effettuate nella partizione di sistema di Windows salvando tutte le modifiche effettuate sulla partizione di sistema nella cache che si trova sulla stessa partizione.Questo è un aspetto importante di SteadyState poiché è il componente che consente di annullare le modifiche effettuate nel tempo dagli utenti del sistema.
Protezione disco di Windows è utile principalmente se si desidera garantire la possibilità di tornare rapidamente (dopo un riavvio non pianificato o a intervalli programmati) allo stato di distribuzione iniziale del sistema.Dispone di quattro modalità che è possibile impostare nella finestra di dialogo mostrata nella Figura 2:
Figura 2 Configurazione di Protezione disco di Windows
Figura 2 Configurazione di Protezione disco di Windows
Disattivo Protezione disco di Windows è completamente disattivata e tutte le modifiche vengono scritte normalmente su disco.
Attivo - Eliminazione delle modifiche al riavvio Protezione disco di Windows è attivata e, ogni volta che il computer viene riavviato, vengono eliminate tutte le modifiche.In sostanza, ciò significa che il sistema torna esattamente allo stato in cui era quando è stata selezionata e salvata questa opzione.
Attivo - Eliminazione delle modifiche quando stabilito Quasi identica alle opzioni precedenti eccetto per il fatto che le modifiche vengono eliminate quando stabilito piuttosto che al successivo riavvio.Questa è una scelta logica se si desidera eliminare le modifiche quotidianamente o settimanalmente.
Attivo - Conservare le modifiche definitivamente Teoricamente simile alla modalità Disattivo, con la differenza che questa è una modalità temporanea.Ad esempio, è possibile utilizzare questa modalità se si desidera aggiornare le applicazioni, installare nuove applicazioni o configurare il sistema.Questa non è una modalità che è possibile impostare per lunghi periodi.
Si noti che Protezione disco di Windows richiede il riavvio per passare da una modalità all'altra.

Pianifica aggiornamenti software
L'impostazione Pianifica aggiornamenti software è utile in quanto SteadyState adesso è in grado di attivare o disattivare automaticamente Protezione disco di Windows.Se si consente a SteadyState di gestire gli aggiornamenti, Protezione disco di Windows viene impostata in modo da conservare le modifiche durante l'aggiornamento e quindi viene riportata all'impostazione precedente.Si consiglia questa impostazione poiché consente di eliminare un'attività dall'elenco delle attività di gestione.
Sono supportati i software di protezione seguenti tramite la funzionalità di aggiornamento in Aggiornamenti software:Computer Associates eTrust 7.0, McAfee VirusScan, Windows Defender e TrendMicro 7.0.

Gestione dell'account utente
L'opzione Aggiungi utente consente di configurare nuovi utenti per il sistema.Nella Figura 3 vengono mostrate le opzioni disponibili per il nuovo utente:nome, password, un'immagine che rappresenti l'utente e la posizione del profilo utente.Una volta creati gli utenti, è possibile impostare le restrizioni utente e le impostazioni per tutti gli account locali.L'aspetto interessante è che una volta aggiunto e configurato un account sul sistema, è possibile esportarlo e quindi importarlo in un altro sistema, se necessario (oppure archiviarlo).
Figura 3 Aggiunta di account utente
Figura 3 Aggiunta di account utente
Una funzionalità utile della gestione dell'account utente consiste nel fatto che i profili utente possono essere creati su una partizione secondaria tramite il menu Percorso utente mostrato nella Figura 3.In genere, i profili devono essere creati sulla partizione Windows, a meno che non venga manualmente specificato un percorso Documents and Settings diverso durante l'impostazione, tramite un file unattend.txt.Questo approccio è particolarmente utile con SteadyState poiché annulla le modifiche effettuate alla partizione di sistema Windows quando Protezione disco di Windows è attivata.Se si desidera che un profilo utente rimanga coerente quando Protezione disco di Windows elimina i dati dalla cache, è possibile specificare semplicemente il profilo utente da archiviare su un'altra partizione locale durante la creazione dell'utente effettuata tramite la gestione dell'account utente.
Questo processo funziona riavviando per eliminare i dati dalla cache di Protezione disco di Windows, applicando gli aggiornamenti e quindi riavviando di nuovo per ripristinare Protezione disco di Windows.Oltre a Windows Update, SteadyState aggiorna i file delle firme per alcune delle applicazioni antivirus supportate più diffuse (vedere l'intestazione laterale "Acquisire e utilizzare SteadyState").Se l'applicazione non è supportata o è necessario eseguire un altro programma di aggiornamento, è possibile occuparsi manualmente degli aggiornamenti; assicurarsi che Protezione disco di Windows sia disattivata, altrimenti l'aggiornamento delle firme andrà perso.

Restrizioni utente e impostazioni
Dopo aver selezionato un utente, SteadyState divide le restrizioni per l'utente in quattro categorie.Queste categorie derivano dalle impostazioni di Criteri di gruppo e probabilmente risulteranno familiari.
Le impostazioni generali controllano i profili utente e impongono le configurazioni di disconnessione.Ciò include le impostazioni per il blocco del profilo e l'impostazione degli intervalli di timeout per la disconnessione dopo un determinato periodo di utilizzo o tempo di inattività.
Le impostazioni delle restrizioni per Windows, mostrate nella Figura 4, controllano gli elementi di configurazione specifici di Windows.Gli esempi includono la rimozione dell'accesso agli elementi dell'interfaccia utente Windows come i componenti del menu Start e la funzionalità di Esplora risorse.Esiste anche la possibilità di bloccare l'accesso a determinate unità in base alla lettera di unità, come pure la possibilità di disattivare la masterizzazione dei CD.
Figura 4 Restrizioni utente specifiche di Windows
Figura 4 Restrizioni utente specifiche di Windows
La scheda Restrizioni per le funzionalità, mostrata nella Figura 5, controlla l'accesso granulare alla maggior parte delle funzionalità di Internet Explorer®, consente di impostare l'home page di Internet Explorer e di controllare le funzionalità di Microsoft® Office ad un certo livello, che consiste solitamente nel controllare la possibilità di esecuzione degli script di Visual Basic®, Applications Edition (VBA).
Figura 5 Restrizioni per la funzionalità
Figura 5 Restrizioni per la funzionalità
Le impostazioni relative ai programmi bloccati (vedere la Figura 6) controllano la possibilità di eseguire determinate applicazioni; fondamentalmente, viene creato un elenco di applicazioni da bloccare.Nell'elenco vengono inserite diverse applicazioni comuni ed è possibile aggiungerne altre.Si noti che questi elementi vengono bloccati in base alla definizione del loro percorso.Se a un utente è consentito spostare un'applicazione da qualche altra parte all'interno del sistema, la regola relativa al percorso non viene più applicata.Tuttavia, tale operazione può essere evitata se si applicano correttamente al sistema file e ACL di directory e restrizioni di accesso adeguate.
Figura 6 Blocco dell'esecuzione dei programmi
Figura 6 Blocco dell'esecuzione dei programmi
Un'altra funzionalità importante di SteadyState si basa sui modelli preconfigurati che specificano i livelli delle restrizioni per Windows e per la funzionalità.I modelli semplificano l'acquisizione di una configurazione di base applicata in base al livello desiderato di blocco di funzioni e funzionalità.Naturalmente, è anche possibile creare modelli personalizzati.

Restrizioni di SteadyState
SteadyState è molto utile per un'organizzazione che desidera stabilizzare i sistemi informatici condivisi.Potrebbe essere uno strumento commerciale adeguato.Come strumento gratuito, è eccellente.Ricordarsi, comunque, che non è in grado di fare qualsiasi cosa.
I sistemi informatici condivisi sono bersagli facili di attacchi o abusi non intenzionali.È necessario garantire che questi sistemi siano isolati da informazioni a cui non è necessario accedere.Mentre SteadyState ha anche la capacità di bloccare l'accesso alle applicazioni, queste imposizioni sono gestite tramite i criteri restrizione software.Come notò Mark Russinovich qualche anno fa, esistono tecniche in base alle quali un utente dotato di buon senso può creare un'applicazione che sembri priva di pericoli, ma che può consentire di ignorare tali criteri anche quando l'utente accede con limitazioni (blogs.technet.com/markrussinovich/archive/2005/12/12/circumventing-group-policy-as-a-limited-user.aspx).Oltre a bloccare l'accesso a tutti i dispositivi e l'accesso Internet, questa è una vulnerabilità che è necessario tenere presente.Ricordare sempre la legge numero 3...
Ovviamente, SteadyState è solo un componente di un sistema informatico condiviso ben configurato.La regolare applicazione degli aggiornamenti tramite Windows Update e la configurazione appropriata di Windows Firewall (o un altro firewall) sono importanti.Inoltre, accertarsi di installare e configurare un antivirus, un antispyware e altre contromisure di protezione rese necessarie dall'analisi dei potenziali rischi per il computer.Analogamente, controllare l'accesso al computer; se non fosse possibile, controllare almeno ciò che il computer può vedere.Non archiviare localmente informazioni riservate.
Infine, durante la qualifica della piattaforma, assicurarsi che i test includano l'utilizzo di SteadyState (con Protezione disco di Windows abilitato, a meno che non sia stato stabilito di non utilizzarlo) e di tutti gli ulteriori software che è stato pianificato di eseguire sul sistema.Sarà necessario garantire che i software e SteadyState funzionino bene insieme.

Supporto per SteadyState
I commenti degli utenti su SteadyState sono molto positivi.Finora è stato segnalato un numero ridotto di problemi minori, alcuni legati all'ordine in cui è necessario aggiungere gli utenti.Molti di questi problemi (insieme ad altri suggerimenti e idee) vengono trattati nella community di Windows SteadyState (a cui viene fornito il collegamento in diverse parti dell'applicazione e della documentazione di SteadyState) all'indirizzo forums.microsoft.com/windowstoolsandutilities.
Prima di iniziare, si consiglia di esaminare il manuale di SteadyState, disponibile all'indirizzo go.microsoft.com/fwlink/?LinkId=104722.Questo manuale fornisce suggerimenti e idee per il corretto utilizzo di SteadyState.

Conclusione
SteadyState fornisce un'ampia gamma di funzionalità per tutti i sistemi Windows XP per cui è necessario controllare l'accesso ed è gratuito.La funzionalità Protezione disco di Windows, ampiamente migliorata, e i miglioramenti apportati all'interfaccia utente semplificano la distribuzione e la gestione globale dei sistemi ad accesso condiviso.
SteadyState consente di mantenere i sistemi attivi e in esecuzione, sia che si tratti di sistemi di laboratori di computer, chioschi ad accesso condiviso di collaboratori o visitatori, classi per la formazione o qualsiasi altro ambiente informatico condiviso.Non sarà più necessario intervenire settimanalmente per rendere di nuovo operativo un sistema.Questo costituisce un enorme miglioramento di tale documento.

Wes Millerè Technical Product Manager di Initiate Systems (InitiateSystems.com) ad Austin, Texas.In passato ha lavorato per Winternals Software e per Microsoft in qualità di Program Manager.È possibile contattare Wes all'indirizzo technet@getwired.com.


 Taccuino: L'attivit&#224; pi&#249; importante del giorno
Taccuino
L'attività più importante del giorno
Eric N. Bush

Bill Gates si prende un periodo di pausa dall'ufficio due volte l'anno per quella che definisce la "settimana di riflessione".Sta lontano dalle persone, dal telefono e dalla posta elettronica e si dedica alla lettura.Riflette sullo stato della tecnologia in Microsoft e nel mondo.Tenta di capire su cosa stanno lavorando la sua azienda e gli altri e di scoprire la strategia più adatta da seguire.Gates conosce il valore della riflessione e della pianificazione.
A ciascuno di noi farebbe bene dedicare un po' di tempo ogni giorno alla riflessione e alla pianificazione, un po' di tempo per formulare idee, risolvere problemi, stabilire le priorità, fissare gli obiettivi e sognare a occhi aperti.Bisogna provare a fare questo esercizio ogni giorno alla stessa ora e nello stesso posto, evitando qualsiasi tipo di interruzione.L'impegno principale consiste nel pianificare e stabilire le priorità delle attività da svolgere in giornata.Chi riveste un ruolo gestionale, passa la maggior parte del tempo pianificando e stabilendo le priorità del lavoro degli altri.
Chi si occupa della gestione della rete aziendale, dell'amministrazione di un database mission-critical oppure della progettazione e della gestione di sistemi di informazioni aziendali, si trova ad affrontare quotidianamente problemi che distolgono l'attenzione dalle attività veramente importanti.A fine giornata è difficile dire se sono stati fatti effettivamente dei progressi o dei passi indietro.
L'obiettivo è riuscire a prevenire, organizzare al meglio ed essere pronti a fronteggiare le emergenze IT.La progettazione aiuta a essere proattivi piuttosto che reattivi.Per fare questo passo in avanti, tuttavia, è necessario riflettere, pianificare e stabilire le priorità.Può essere di aiuto avere un elenco di attività, divise in tre categorie, e iniziare ogni giorno consultandolo:In corso, URGENTE e Extra.Utilizzando questi elenchi, è possibile trovare il tempo per creare soluzioni che possano prevenire eventuali crisi.
L'elenco In corso è fondamentale per una corretta gestione.È essenziale progredire in queste attività critiche ogni giorno.Bisogna concentrarsi prima di tutto sugli obiettivi principali della propria azienda e del proprio gruppo.Le attività che non influiscono direttamente su questa priorità possono andare in coda all'elenco.Chi si trova in una posizione gestionale deve attuare un processo che aiuti i dipendenti a non perdere mai di vista le priorità.
In genere gli elenchi URGENTE e Extra sono dedicati ai piani strategici che consentono di risparmiare tempo e denaro all'azienda rendendola più competitiva.Bisogna identificare queste attività e seguirle lentamente e metodicamente, spostandole nell'elenco In corso man mano che il livello di priorità aumenta.
Non bisogna tuttavia dimenticare che:solo perché si utilizzano questi elenchi con priorità, non vuol dire che verrà fatto tutto.Di seguito sono riportati alcuni suggerimenti per gestire le proprie attività:
  • Dedicarsi prima alle attività veloci e semplici.
  • Quindi, passare alle operazioni per cui non si è molto motivati.
  • Infine, occuparsi delle attività interessanti.
  • Evitare di passare da un'attività all'altra.Se possibile, serializzare il lavoro.
  • Tuttavia, se si rimane bloccati su un'attività, passare a quella successiva per poi tornare a quella in sospeso.
  • Delegare o rifiutare le attività che si ritengono inutili oppure suggerire un'alternativa.
  • Riconoscere in cosa si riesce meglio o si è più produttivi.Riservare tempo per concentrarsi sulle attività importanti.
Pianificare il proprio tempo con consapevolezza aiuterà a migliorare la qualità del lavoro svolto.Le persone che si lasciano trasportare dagli eventi senza pianificare le proprie attività non sono mai veramente soddisfatte dei risultati ottenuti perché non sanno mai veramente quale obiettivo si sono posti all'inizio.

Eric N. Bush è Software Development Lead nel gruppo Microsoft Engineering Excellence.Lavora come consulente interno e istruttore di corsi volti a migliorare l'organizzazione e la progettazione delle competenze personali, dei processi e delle tecnologie.È possibile contattarlo all'indirizzo ericbush@microsoft.com.


 Windows Confidential: Mai pi&#249;!
Windows Confidential
Mai più!
Raymond Chen

Esiste un vecchio strumento per le serie di sistemi operativi Windows® 95 noto come Automatic Skip Driver.La prima reazione dell'utente allo strumento sarà stata sicuramente suscitata dal nome stravagante. In seguito, probabilmente, avrà sospettato che l'acronimo ASD volesse dire qualcos'altro.E avrebbe avuto ragione.
Windows 95 disponeva di numerosi dispositivi non Plug and Play perché la maggioranza dei sistemi a quei tempi era precedente a questa tecnologia.Il rilevamento hardware in assenza dei dispositivi Plug and Play era un'impresa molto ardua.
Ad esempio, il rilevamento dei modem veniva eseguito emettendo query alla ricerca di valori associati a decine di registri di modem.Sebbene fosse disponibile un gruppo di comandi modem di base abbastanza noto, esisteva una notevole differenza nell'implementazione degli aspetti più nascosti del linguaggio dei comandi.Ovviamente, questa discordanza causava non pochi problemi ai programmi di comunicazione, poiché richiedeva l'aggiunta di casi speciali a seconda dei diversi modelli di modem per soddisfarne le singole esigenze. Tuttavia, queste differenze rappresentavano un vantaggio per Windows:poiché ogni modem funzionava in maniera diversa, Windows era in grado di esaminarne gli aspetti meno evidenti e confrontare il funzionamento dei modem in base a una tabella di modem noti e delle relative risposte.
Una persona del team Windows 95 aveva il compito di installare qualsiasi tipo di modem esistente in commercio ed eseguire un piccolo programma che metteva alla prova il modem, ne esplorava gli aspetti più nascosti e raccoglieva tutti i risultati in modo da creare un database di modem completo.Se si ha ancora accesso a un computer con Windows 95 e si dà un'occhiata alla directory Windows\Inf, si possono trovare tutti i file i cui nomi iniziano con MDM.Oltre 1 MB di file di informazioni sui dispositivi è dedicato ai modem.1 MB di numeri esadecimali illeggibili: ecco il risultato di anni di lavoro.
Il rilevamento dei modem era un'operazione alquanto semplice, poiché quasi tutti i modem funzionavano più o meno allo stesso modo. Erano i dettagli a fare la differenza.La vera sfida era rappresentata dai dispositivi che utilizzavano le porte I/O.Ad esempio, per rilevare se una determinata scheda video fosse installata, il modulo di rilevamento delle schede video di Windows 95 avrebbe inviato i valori selezionati alle specifiche porte I/O e sarebbe rimasto in attesa delle risposte dal dispositivo.Se il dispositivo rispondeva correttamente, si presumeva che avesse trovato quanto cercava.Altrimenti, passava al modello di scheda video successivo.
Naturalmente, se il dispositivo installato sulla porta I/O non era la scheda video cercata da Gestione configurazione per il test, l'invio di valori senza alcun senso era una vera e propria delusione.A seconda del grado di suscettibilità del dispositivo, il computer poteva essere bloccato o riavviato.Tutto ciò non deponeva a favore di Gestione configurazione.Così fu creato il modulo ASD.
Prima di eseguire queste analisi dell'hardware potenzialmente catastrofiche, Gestione configurazione creava un file che, in pratica, avvertiva l'utente: "Oh no!Sto per fare la pericolosissima cosa X!".Si trattava della versione informatica della classica busta con su scritto "Da aprire solo in caso di morte", che l'eroe di un film di azione lascia alla sua fidanzata prima di partire per una missione suicida contro il nemico.
Se la pericolosissima cosa X davvero causava il blocco, l'arresto anomalo o il riavvio del computer, al successivo riavvio veniva visualizzato il file magico e "aperta la busta" per verificare la causa del problema.A questo punto, il sistema capiva che il tentativo di rilevare il dispositivo X non era riuscito e traeva la conclusione che non doveva farlo mai più!
Il modulo responsabile di tutto questo si chiamava ASD.L'acronimo ADS stava per "Attempting Something Dangerous", cioè "Tentare qualcosa di pericoloso".

Raymond Chen, The Old New Thing, così come nell'omonimo libro (Addison-Wesley, 2007), vengono illustrate la storia di Windows e la programmazione in Win32.L'argomento è scottante e va trattato con prudenza.