 TechNet Magazine March 2008

TechNet Magazine March 2008

Numéro spécial : Windows Server 2008: Au cœur des modifications du noyau de Windows Server 2008

Découvrez notre visite guidée détaillée des modifications clés du noyau de Windows Server 2008 qui améliorent la fiabilité, les performances et l'évolutivité. Découvrez comment Windows Server 2008 améliore l'utilisation des pools de threads, simplifie la récupération des défaillances matérielles, améliore la virtualisation avec Hyper-V et bien plus encore.

Mark Russinovich Numéro spécial : Windows Server 2008: Nouveautés des services de domaine Active Directory

Windows Server 2008 introduit certaines améliorations non négligeables aux Services de domaine Active Directory. Examinez de plus près comment les contrôleurs de domaine en lecture seule et Windows Server Core améliorent la sécurité dans votre environnement, comment le nouveau Gestionnaire de serveur et la sauvegarde revisitée simplifient la gestion et comment les nouveaux outils d'audit garantissent la conformité.

Gil Kirkpatrick Numéro spécial : Windows Server 2008: Mise en route d'IIS 7.0

IIS 7.0 contient de nombreuses nouvelles fonctionnalités, trop nombreuses pour être toutes incluses dans un seul article. La nouvelle version s'appuie sur la conception solide et axée sur la sécurité d'IIS 6.0 et propose des améliorations qui renforcent considérablement la gérabilité et l'extensibilité de la plate-forme. Présentation de quelques modifications importantes apportées à IIS 7.0.

Isaac Roybal Numéro spécial : Windows Server 2008: Accès réseau basé sur des stratégies avec Windows Server 2008

Comment autorisez-vous l'accès réseau aux utilisateurs qui en ont besoin sans pour autant sacrifier la sécurité ? Découvrez comment les nouvelles technologies dans Windows Server 2008, comme le Pare-feu Windows avec fonctions avancées de sécurité, vous permettent d'implémenter une approche basée sur les stratégies pour vous aider à atteindre cet objectif. L'une des approches utilisées par Windows Server 2008 pour améliorer la sécurité et la capacité de gestion consiste à simplifier les rôles de serveur de sorte que vous pouvez facilement installer uniquement les outils et les services dont vous avez besoin. Voici une présentation de l'utilisation du Gestionnaire de serveur pour configurer les rôles et simplifier les déploiements.

Ian Hameroff and Amith Krishnan Numéro spécial : Windows Server 2008: Configuration des rôles avec le Gestionnaire de serveur

Un serveur DNS n'a pas besoin d'être un serveur d'impression. Pour accroître la sécurité et la facilité de gestion, Windows Server 2008 simplifie les rôles du serveur de sorte que pouvez aisément n'installer que les outils et services dont vous avez besoin. Voici une introduction à l'utilisation du Gestionnaire de serveur pour configurer les rôles et simplifier les déploiements.

Byron Hynes Numéro spécial : Windows Server 2008: Déploiement de Windows Server 2008 avec System Center

Il fut un temps où les administrateurs de serveurs installaient Windows Server manuellement à l'aide d'un CD ou d'un DVD, puis passaient plusieurs heures à configurer le serveur. Avec la version de System Center Configuration Manager 2007 et la nouvelle boîte à outils de Microsoft Deployment, les administrateurs de serveurs peuvent maintenant exploiter les outils que les administrateurs de bureau utilisent depuis des années pour automatiser les déploiements.

Tim Mintner Numéro spécial : Windows Server 2008: Audit et conformité dans Windows Server 2008

L'audit des modifications est désormais une responsabilité fondamentale des services informatiques. Il s'agit d'un élément essentiel de la compréhension et de la gestion des systèmes et des données dans un environnement distribué. Cet article aborde les problèmes courants, la conformité et la réglementation, certains des principes fondamentaux de l'audit et la création d'une stratégie d'audit complète.

Rob Campbell and Joel Yoker Le mot du rédacteur en chef: Présentation de Windows Server 2008

Joshua Hoffman Lettres: Les lecteurs ont la parole

Boîte à outils: Nouveaux produits pour les professionnels de l’informatique

Greg Steen Coup de projecteur sur les utilitaires: Logo de certification Windows Server

Pour aider les fournisseurs de logiciels indépendants (FLI) et les utilisateurs à évaluer la compatibilité des applications, Microsoft a créé le programme « Works with Windows Server 2008 (Fonctionne avec Windows Server 2008) ». Nous allons examiner ici les outils de test mis gratuitement à disposition tout au long du programme. Ils vous aident à vérifier que les applications fourniront une expérience prévisible.

Venkat Krishnamachari Le petit câbleur: Migrez votre réseau Intranet vers IPv6 avec ISATAP

Vous vous préparez à passer à IPv6 ? Le Petit câbleur explique comment vous pouvez utiliser une technologie de transition IPv6 pour obtenir une connectivité IPv6 et migrer vers un réseau Intranet compatible IPv6.

Joseph Davies Windows PowerShell: Rapports de progression

Pour vos utilisateurs ayant des problèmes de concentration (et même les autres) c'est une bonne idée de fournir de commentaires d'état dans vos scripts. Voici tout ce dont vous avez besoin de savoir pour fournir des informations d'état dans Windows PowerShell.

Don Jones Hé, vous le scripteur !: Nos jeux de shell préférés

Les scripteurs démontrent comment vous pouvez modifier la date de dernière modification d'un fichier avec du script et l'objet Shell.

The Microsoft Scripting Guys Vigilance sécurité: Utilisation de l'Assistant Configuration de la sécurité dans Windows Server 2008

Vous avez entendu parler du nouvel outil Gestionnaire de serveur dans Windows Server 2008. Mais l'Assistant Configuration de la sécurité (SCW) est toujours disponible. Découvrez pourquoi vous aurez encore besoin d'utiliser SCW.

Jesper M. Johansson Histoires de Bureau: Vous ne pouvez être ni trop riche ni trop léger

Les clients légers vont et viennent, mais il semble que l'on puisse toujours en tirer parti. Aujourd'hui, ils sont utilisés dans les bornes et dans les environnements dans lesquels la navigation Web est la seule fonctionnalité requise. Voici un aperçu de la manière dont vous pouvez réutiliser un matériel ancien avec une application client pour économiser un peu d'argent.

Wes Miller Sur le terrain: Préparation pour IT 2.0

Nous allons parler de l'importance de savoir tirer les leçons du passé pour répondre aux défis à venir.

Romi Mahajan La vie secrète de Windows: Comment les versions bêta sont devenues des versions finales

Raymond Chen aborde la modification des conventions de nommage pour les versions non finales. C'est une histoire surprenante ! Il pointe gentiment du doigt les entreprises qui ne prennent pas vraiment les tests des versions bêta au sérieux.

Raymond Chen


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Au cœur des modifications du noyau de Windows Server&#160;2008
Numéro spécial : Windows Server 2008 Mark Russinovich

Au cœur des modifications du noyau de Windows Server 2008
Vue d'ensemble:
  • Gestion de la mémoire et SMB 2.0
  • Réparation spontanée de NTFS, Architecture WHEA (Windows Hardware Error Architecture) et vérificateur de pilote
  • Évolutivité avec les ports de terminaison d'E/S, pools de threads et NUMA
  • Virtualisation Hyper-V

Windows Server 2008 est la dernière version de la plate-forme de serveur de Microsoft. Il inclut des modifications au niveau du système qui couvrent toutes les zones fonctionnelles du système d'exploitation, de la gestion de la mémoire
à la planification des threads en passant par le réseau et la sécurité, pour n'en citer que quelques-unes.
Comme Windows Server® 2008 partage le même noyau que Windows Vista® SP1, il inclut de nombreuses améliorations que j'ai abordées dans mes articles TechNet Magazine précédents : « Dans le noyau de Windows Vista, » parties 1 à 3 (février, mars et avril 2007) et « Au cœur du contrôle de compte d'utilisateur de Windows Vista » (juin 2007). Seule une poignée des fonctionnalités que j'ai décrites dans ces articles est exclusivement orientée client et n'est pas incluse dans Windows Server 2008, comme SuperFetch, ReadyBoost, ReadyDrive, ReadyBoot et le service Planificateur de classes multimédias (MMCSS).
Plutôt que de répéter l'analyse des modifications de noyau importantes introduites présentes dans Windows Vista et Windows Server 2008, telles que les définitions de priorité d'E/S, la nouvelle architecture de démarrage, BitLockerTM, l'intégrité du code et les niveaux d'intégrité obligatoires, je vais me concentrer principalement sur les modifications clés que je n'ai pas couvertes dans ces articles, dont celles liées à la fiabilité, aux performances, à l'évolutivité, ainsi qu'à la nouvelle technologie de virtualisation d'ordinateur hyperviseur de Microsoft, Hyper-VTM.
En outre, comme dans les articles précédents, l'étendue de cet article est limitée au noyau du système d'exploitation, Ntoskrnl.exe, ainsi qu'aux composants système étroitement associés. Il ne couvre par exemple pas les modifications de l'installation (WIM, ou Windows® Imaging Format et les services de composants), l'administration (améliorations de la Stratégie de groupe et d'Active Directory®), les diagnostics généraux et l'analyse (Windows Diagnostic Infrastructure), le noyau réseau (le nouveau pare-feu et l'implémentation de TCP/IP), le noyau du serveur ou les rôles de serveur.
Utilisation de systèmes multiprocesseurs
L'une des modifications de bas niveau du système est que Windows Server 2008 inclut uniquement une version du noyau conçue pour fonctionner sur les systèmes multiprocesseurs. Dans le passé, Windows utilisait une version pour ordinateurs monoprocesseur, car cette version permettait d'obtenir des performances légèrement meilleures en omettant le code de synchronisation requis uniquement dans les environnements multiprocesseurs. Comme le matériel est devenu plus rapide, les avantages en termes de performances des optimisations sont devenus négligeables et la plupart des systèmes serveurs incluent de nos jours plus d'un processeur, ce qui rend la version monoprocesseur inutile.
La figure 1 illustre les variantes du noyau de Windows Server 2008, dans lesquelles la version utilisée sur un système dépend de la version du système d'exploitation, débogage (vérifié) ou commerciale, d'une installation 32 bits ou 64 bits (Itanium, Intel 64 ou AMD64) et, s'il s'agit d'une installation 32 bits, si le système compte plus de 4 Go de mémoire physique ou prend en charge la prévention de l'exécution des données. Windows Server 2008 est également la dernière version du système d'exploitation Windows Server prévue pour proposer une version 32 bits.
Figure 1 Variantes de noyau de Windows Server 2008 (Close Figure 1)

Noyau | 32 bits | 64 bits
Multiprocesseurs | Oui | Oui
Ordinateur multiprocesseurs vérifié | Oui | Oui
Extension d'adresse physique d'ordinateur multiprocesseurs (PAE) | Oui | Non
Ordinateur multiprocesseurs PAE vérifié | Oui | Non
Chaque version de Windows Server a pour objectif d'améliorer les performances des scénarios de serveur clés tels que serveur de fichiers, E/S réseau et gestion de la mémoire. De plus, Windows Server 2008 compte plusieurs modifications et nouvelles fonctionnalités qui permettent à Windows de profiter des nouvelles architectures matérielles, de s'adapter aux réseaux à latence élevée et supprime les goulots d'étranglement qui affectaient les performances dans les versions précédentes de Windows. Cette section passe également en revue les améliorations du gestionnaire de mémoire, du système d'E/S et l'introduction d'un nouveau système de fichiers, SMB 2.0.

Gestion de la mémoire
Expérience : E/S disque importantes
Vous pouvez utiliser un outil d'analyse de système de fichiers tel que Sysinternals Process Monitor de TechNet (technet.microsoft.com/sysinternals/bb896645.aspx) pour rechercher les opérations d'E/S de fichier importantes sur un système Windows Server 2008.
Il existe plusieurs façons de générer d'importantes E/S. Si vous disposez d'un deuxième système exécutant Windows Vista Service Pack 1 ou Windows Server 2008, vous pouvez exécuter le moniteur de processus sur le serveur et analyser les copies de fichiers sur le deuxième système. Vous pouvez généralement produire d'importantes E/S de fichier d'échange en exécutant un programme requérant beaucoup de mémoire et provoquant l'écriture par le gestionnaire de mémoire de pages hors du fichier d'échange.
La figure A montre le moniteur de processus après l'exécution d'un programme demandant beaucoup de mémoire sur un système Windows XP, avec l'option Enable Advanced Output (Activer la sortie avancée) cochée dans le menu Options du moniteur de processus et un filtre défini pour afficher uniquement les écritures dans le fichier d'échange, pagefile.sys. La colonne Détail montre que les écritures ont une taille de 64 Ko.
Figure A
Si vous suivez les mêmes étapes dans Windows Server 2008, vous verrez très probablement quelque chose de similaire à ce qui est affiché dans la figure B, qui montre que la plupart des écritures ont une taille approximative de 1 Mo.
Figure B

Le gestionnaire de mémoire inclut plusieurs améliorations de performances dans Windows Server 2008. Par exemple, il crée, par rapport à Windows Server 2003, un nombre réduit d'E/S disque, celles-ci étant de taille plus importante, lors de l'extraction de données du fichier d'échange ou d'E/S de lecture anticipée sur des fichiers mappés. Les E/S de fichier de taille plus importante sont possibles grâce à des modifications du système d'E/S supprimant la limite de 64 Ko qui était présente depuis la première version de Windows NT®.
En outre, il est important de noter que les lectures de données pour les lectures anticipées (lectures spéculatives) depuis les fichiers mappés par le gestionnaire de cache sont généralement deux fois plus grandes dans Windows Server 2008 qu'elles n'étaient dans Windows Server 2003 et passent directement dans la liste En attente (le code du système et le cache de données). Ce comportement se produit au lieu de demander au gestionnaire de cache de mapper la mémoire virtuelle et de lire les données dans la plage de travail du système (la mémoire affectée au système par le gestionnaire de mémoire), ce qui pourrait autrement provoquer l'éviction d'autres données ou de code en cours d'utilisation de la plage de travail.
Le gestionnaire de mémoire exécute également des E/S de taille plus importante lors de l'écriture de données dans le fichier d'échange. Alors que Windows Server 2003 effectuait souvent des écritures de moins de 64 Ko, dans Windows Server 2008, le gestionnaire de mémoire effectue couramment des écritures de 1 Mo.
Outre l'amélioration des performances grâce à la réduction du nombre d'écritures dans le fichier d'échange, les écritures de taille plus importante réduisent également la fragmentation dans le fichier d'échange. Ceci provoque à son tour une réduction du nombre de lectures et de recherches sur disque nécessaires pour lire plusieurs pages précédentes, car elles sont le plus souvent adjacentes.
Le gestionnaire de mémoire essaie également d'écrire d'autres pages modifiées proches de celle qui est écrite dans l'espace d'adressage du processus propriétaire, et cible la zone du fichier d'échange dans laquelle résident d'autres pages voisines. Ceci réduit également la fragmentation et peut améliorer les performances car les pages qui pourraient être en fin de compte écrites dans le fichier d'échange y ont déjà été écrites. En outre, ceci réduit le nombre de demandes de lectures de fichier d'échange nécessaires pour extraire une plage de pages de processus adjacentes. Examinez l'encadré « Expérience : E/S disque importantes » pour plus d'informations sur l'utilisation d'E/S importantes par le gestionnaire de mémoire.

SMB 2.0
Le protocole de système de fichiers distant SMB (Server Message Block), qui porte également le nom de CIFS (Common Internet File System) a constitué la base du service de fichiers Windows depuis que cette fonctionnalité a été introduite dans Windows. Au cours des dernières années, plusieurs restrictions de conception de SMB ont limité les performances du service de fichiers de Windows et sa capacité à tirer parti des nouvelles fonctionnalités de système de fichiers local. Par exemple, la taille de tampon maximale qui peut être transmise dans un message unique est environ 60 Ko et SMB 1.0 n'était pas conscient des liens symboliques NTFS côté client qui ont été ajoutés dans Windows Vista et Windows Server 2008.
Avec Windows Vista et Windows Server 2008 a été introduit SMB 2.0, un nouveau protocole de système de serveur de fichiers distant que Windows utilise lorsque le client et le serveur le prennent en charge. Outre le traitement approprié des liens symboliques côté client et d'autres améliorations de NTFS, SMB 2.0 utilise le traitement par lots pour réduire le nombre de messages échangés entre un client et un serveur. Le traitement par lots peut améliorer le débit sur les réseaux de latence élevée comme les réseaux étendus (WAN) car il permet à un plus grand nombre de données d'être utilisées simultanément.
Alors que SMB 1.0 émettait des E/S pour un fichier unique de façon séquentielle, SMB 2.0 implémente le traitement en pipeline des E/S, ce qui lui permet d'émettre de multiples E/S simultanées pour le même fichier. Il mesure la quantité de mémoire de serveur utilisée par un client pour les E/S en attente afin de déterminer la profondeur du pipeline.
En raison des modifications du gestionnaire de mémoire d'E/S et du système d'E/S de Windows, du réglage automatique de la fenêtre de réception TCP/IP et des améliorations du moteur de copie de fichier, SMB 2.0 permet d'obtenir des améliorations de débit significatives et une réduction des temps de copie de fichier pour les transferts de taille importante. Puisque les deux systèmes d'exploitation mettent en œuvre SMB 2.0, le déploiement de serveurs de fichiers Windows Server 2008 avec les clients Windows Vista permet d'utiliser SMB 2.0 et de tirer parti de ses avantages en termes de performances.

Fiabilité avec le rétablissement automatique de NTFS
La fiabilité est un attribut de serveur essentiel et Windows Server 2008 apporte diverses améliorations aidant les administrateurs à continuer à exécuter leurs serveurs sans perturbations, notamment grâce à la réparation de cohérence en ligne de NTFS, à une nouvelle infrastructure de signalement d'erreurs de matériel et aux extensions du vérificateur de pilote.
Avec les périphériques de stockage de plusieurs téraoctets d'aujourd'hui, la mise hors connexion d'un volume pour une vérification de cohérence peut avoir pour résultat une interruption de service de plusieurs heures. En reconnaissant que de nombreuses altérations de disque sont localisées dans un seul fichier ou une portion des métadonnées, Windows Server 2008 met en œuvre une nouvelle fonction de rétablissement automatique de NTFS pour réparer les dommages pendant qu'un volume reste en ligne.
Lorsque NTFS détecte l'altération, il empêche l'accès au fichier ou aux fichiers endommagés et crée un thread de travail système qui exécute des corrections similaires à celles de Chkdsk sur les structures de données corrompues, permettant d'accéder aux fichiers réparés une fois l'opération terminée. L'accès aux autres fichiers continue normalement pendant cette opération, diminuant le risque d'interruption de service.

Infrastructure WHEA
L'architecture WHEA incluse dans Windows Server 2008 permet de simplifier la gestion des défaillances matérielles et d'obtenir une réponse dynamique aux erreurs non fatales. Les serveurs possèdent souvent des garanties de fonctionnement strictes. Par conséquent, l'identification des erreurs et la réponse à celles-ci dans un délai opportun sur de tels systèmes sont essentielles.
L'analyse des incidents soumise à Microsoft via le site Web Online Crash Analysis montre qu'à peu près 10 % des incidents de système d'exploitation étaient dus à une défaillance matérielle, mais la détermination de la cause initiale de ces incidents a été difficile ou impossible en raison d'informations sur les erreurs insuffisantes fournies par le matériel pour la capture durant un incident. En outre, avant Windows Server 2008, Windows ne fournissait pas de prise en charge intégrée pour le contrôle de l'état des périphériques, de correction implémentée ou de notification de défaillance imminente. Ceci s'explique par le fait que les périphériques matériels n'utilisent pas de format d'erreur commun et ne fournissent pas de prise en charge pour les logiciels de gestion d'erreurs.
WHEA fournit un mécanisme unifié pour la découverte et le signalement d'erreur-source pour les périphériques de plate-forme, y compris les processeurs, la mémoire, les caches et les bus tels que PCI et PCI Express. Ceci est effectué en mettant en œuvre l'architecture indiquée dans la figure 2, dans laquelle le cœur est une API noyau qu'appellent les sources d'erreur pour signaler des erreurs. L'API nécessite que toutes les erreurs possèdent une mise en forme commune et enregistre les erreurs en utilisant des événements Suivi d’événements pour Windows (ETW) (les erreurs irréparables sont enregistrées après le redémarrage).
Figure 2 Infrastructure de signalement d'erreurs WHEA
Figure 2 Infrastructure de signalement d'erreurs WHEA
ETW a été introduit dans Windows 2000, et l'utilisation de ETW par WHEA facilite le développement par les fabricants de matériel et les fournisseurs de logiciels d'applications de gestion de diagnostic de périphérique qui consomment des événements WHEA. Si un événement est suffisamment grave pour provoquer un arrêt du système, WHEA s'assure que l'enregistrement d'erreur irréparable est enregistré dans le fichier de l'image mémoire des incidents pour que les administrateurs puissent déterminer la cause initiale de l'incident.
Le pilote d’erreurs matérielles spécifiques à une plate-forme (PSHED) est un autre élément clé de WHEA dans %Systemroot%\System32\Pshed.dll. Le noyau est lié à PSHED et s'interface avec le matériel et le microprogramme de la plate-forme, servant essentiellement de couche de traduction entre leurs notifications d'erreur et l'API de signalement d'erreurs de WHEA. Il existe un pilote d’erreurs matérielles fourni par Microsoft pour chaque architecture de plate-forme (x86, x64, Itanium) et le pilote expose un modèle enfichable pour que les fournisseurs et les fabricants de matériel puissent remplacer les comportements par défaut par des comportements spécifiques à leurs plates-formes.
Enfin, les composants du système qui s'interfacent avec d'autres sources d'erreur, y compris les pilotes de périphériques, la couche d'abstraction matérielle (HAL), et le noyau peuvent implémenter des gestionnaires d'erreur de matériel de bas niveau (Low-Level Hardware Error Handlers, LLHEL) qui gèrent initialement une condition d'erreur. La tâche d'un LLHEL est d'extraire les informations d'erreur du périphérique, de notifier le pilote d’erreurs matérielles pour lui permettre de recueillir les informations d'erreur de plate-forme supplémentaires et d'appeler ensuite l'API de signalement d'erreurs WHEA du noyau.

Vérificateur de pilotes
Le vérificateur de pilotes, un outil puissant pour le dépistage des pilotes de périphérique bogués et le matériel défectueux, a été inclus dans chacune des versions de Windows depuis Windows 2000. Les administrateurs configurent habituellement le vérificateur de pilotes (%Systemroot%\System32\Verifier.exe) pour qu'il surveille étroitement le comportement des pilotes présumés à l'origine d'arrêts du système. Le vérificateur de pilotes capture les opérations de pilote illégales afin qu'un fichier de l'image mémoire des incidents pointe directement sur l'élément coupable.
Les implémentations précédentes du vérificateur de pilotes avaient un inconvénient : la plupart des modifications de configuration nécessitaient de redémarrer le système, ce qui n'est évidemment pas souhaitable sur un serveur de production. L'implémentation du vérificateur de pilotes dans Windows Server 2008 améliore ce processus en supprimant la nécessité de redémarrer pour les vérifications les plus utiles, permettant ainsi de dépanner un serveur problématique sans avoir à le redémarrer.
De plus, le vérificateur de pilotes comprend trois nouvelles vérifications, illustrées dans la figure 3. Les vérifications de sécurité permettent de s'assurer que les pilotes de périphériques définissent des autorisations sécurisées sur les objets qu'ils utilisent pour s'interfacer avec les applications. Le forçage des requêtes d'E/S en attente teste la résistance d'un pilote aux opérations d'E/S asynchrones qui s'achèvent immédiatement plutôt qu'après un délai. Les vérifications diverses recherchent les pilotes libérant incorrectement des ressources utilisées, utilisant de manière incorrecte les API d'inscription de WMI (Windows Management Instrumentation) et provoquant des fuites de descripteurs de ressources.
Figure 3 Vérificateur de pilotes avec options pour Windows Server 2008 activées
Figure 3 Vérificateur de pilotes avec options pour Windows Server 2008 activées

Évolutivité
L'évolutivité fait référence à la capacité d'un système d'exploitation ou d'une application à utiliser efficacement des processeurs multiples et de grandes quantités de mémoire. Chaque version de Windows améliore l'évolutivité en réduisant ou en éliminant l'utilisation de verrous qui réduisent le parallélisme sur les systèmes multiprocesseurs et Windows Server 2008 ne fait pas exception.
Une amélioration relativement réduite tout en étant significative a été apportée au code qui exécute l'expiration de minuteur, qui n'acquiert plus le verrou de répartiteur, un verrou de planificateur à l'échelle du système utilisé par toutes les opérations de synchronisation de bas niveau. La réduction qui en résulte en termes de synchronisation d'UC indirecte permet aux systèmes Terminal Services Windows Server 2008 de prendre en charge environ 30 % d'utilisateurs simultanés de plus que Windows Server 2003.
Les autres améliorations d'évolutivité de Windows Server 2008 incluent les améliorations de port de terminaison, une nouvelle implémentation de pool de threads, l'utilisation plus efficace du matériel NUMA (Non-Uniform Memory Access) et le partitionnement dynamique de système.

Gestion améliorée de port de terminaison d'E/S
La plupart des applications serveur Windows évolutives, y compris IIS, SQL Server® et Exchange Server, dépendent d'une API de synchronisation Windows appelée port de terminaison d'E/S pour réduire la commutation entre les threads d'exécution multiples pendant l'exécution d'opérations d'E/S. Elles effectuent ceci en associant premièrement des notifications aux nouvelles arrivées de requêtes, telles que les connexions de serveur Web, avec un port de terminaison et en dédiant un pool de threads à l'attente de notifications. Lorsqu'une requête arrive, Windows planifie un thread, qui exécute alors habituellement d'autres opérations d'E/S telles que la lecture d'une page Web depuis le disque et l'envoi au client pour terminer la requête.
Pour que le même thread puisse revenir en attente d'autres requêtes de client aussi rapidement que possible, le thread émet les E/S de manière asynchrone et associe les terminaisons d'E/S avec le port de terminaison. Le thread retourne alors en attente sur le port de terminaison, qui planifiera le thread lorsqu'une nouvelle requête arrivera ou qu'une des E/S se terminera. Ainsi, le même thread reste actif sur une UC en effectuant le traitement des requêtes du client et ou en étant en attente sur le port de terminaison.
Dans les versions précédentes de Windows, l'inconvénient de l'implémentation du port de terminaison était que, lorsqu'une E/S était terminée, le système d'E/S faisait en sorte que le thread qui avait émis l'E/S effectuait immédiatement un traitement de terminaison, sans tenir compte de ce qu'il était en train de faire. Si d'autres threads étaient actifs, le planificateur forçait souvent un basculement de thread actif et de contexte de l'émetteur.
Windows Server 2008 évite ces basculements de contexte en différant le traitement de terminaison jusqu'au prochain thread en attente sur le port de terminaison auquel l'E/S est associée. Ainsi, même si un thread différent est le prochain à attendre sur le port de terminaison, il exécutera le traitement de terminaison avant d'exécuter un autre code et le planificateur ne nécessitera pas de basculer vers le thread émetteur. Cette réduction du basculement de contexte peut améliorer de façon spectaculaire l'évolutivité des applications serveurs de charge importante.

Pools de threads plus efficaces
L'écriture d'applications qui tirent parti d'UC multiples peut être difficile. Windows XP a donc introduit les pools de thread de travail, une infrastructure et une API associée qui effectue l'abstraction des détails d'exécution de petites unités de travail sur les UC. Une application spécifie les éléments de travail à l'API de pool de threads, qui les exécute alors sur l'un des threads qu'elle crée et gère pour chaque UC dans le système.
L'objectif du pool de threads est de réduire les basculements de contexte en utilisant les mêmes threads pour exécuter successivement des articles de travail multiples. Lorsque cela n'est pas possible car l'un de ses threads est déjà occupé à exécuter un autre travail, il exécute l'article de travail en utilisant un thread différent sur une UC différente.
L'implémentation de pool de thread de Windows Server 2008 utilise mieux les UC de manière indirecte car elle profite des améliorations de port de terminaison et directement en optimisant la gestion de thread afin que les threads de travail se succèdent selon les besoins pour la gestion de la charge d'une application. De plus, le cœur de l'infrastructure est passé en mode noyau, ce qui réduit le nombre d'appels système effectués par les applications qui utilisent l'API. Enfin, la nouvelle API facilite l'exécution de certaines opérations par les applications, telles que l'abandon d'unités de travail mises en file d'attente pendant l'arrêt de l'application.

Optimisations pour NUMA
Windows Server 2003 a introduit des optimisations pour les ordinateurs NUMA dans le planificateur de threads et le gestionnaire de mémoire, mais Windows Server 2008 a ajouté des optimisations pour NUMA dans le gestionnaire d'E/S et étendu les optimisations pour NUMA du gestionnaire de mémoire.
Les systèmes NUMA sont généralement des systèmes multiprocesseurs dont la mémoire possède une latence différente en fonction du processeur qui y accède (voir la figure 4). La mémoire est divisée en nœuds, les latences entre les UC et les nœuds pouvant varier et chaque UC étant considérée comme une partie du nœud pour lequel elle dispose de l'accès le plus rapide.
Figure 4 Exemple de système NUMA
Figure 4 Exemple de système NUMA
Les systèmes NUMA, en particulier ceux disposant de plus de huit UC, sont souvent plus efficaces en termes de coût et de performances que les systèmes à accès mémoire uniforme. Alors qu'un système à accès mémoire uniforme doit rendre la mémoire également disponible pour toutes les UC, un système NUMA peut mettre en œuvre des connexions ultra-rapides pour la mémoire directement connectée à une UC et des connexions moins onéreuses et de latence plus élevée pour les UC et la mémoire qui sont plus distantes.
Pour une évolutivité efficace sur un système NUMA, le système d'exploitation ou l'application doit être conscient de la topologie du nœud afin que le calcul s'exécute près de la mémoire contenant les données et le code du calcul. Par exemple, le planificateur Windows affecte chaque thread à un « processeur idéal », qui est l'UC sur laquelle le planificateur essaie de toujours exécuter le thread. Ceci permet d'augmenter la probabilité que les données que le thread place dans le cache de l'UC seront disponibles pour le thread chaque fois qu'il s'exécute.
Dans Windows Server 2003, le planificateur étend ce concept en considérant le nœud contenant le processeur idéal comme étant le nœud idéal du thread et il essaie de planifier le thread sur une autre UC dans le nœud idéal lorsque le processeur idéal est occupé à exécuter un thread différent. Le gestionnaire de mémoire de Windows Server 2003 est également devenu compatible NUMA et, lorsque c'est possible, il dirige les allocations de mémoire du thread vers la mémoire du nœud sur lequel le thread exécute.
Dans Windows Server 2008, le gestionnaire de mémoire divise les tampons de mémoire non paginée du noyau (la mémoire utilisée par le noyau et les pilotes de périphérique pour enregistrer des données garanties de rester en RAM) entre les nœuds afin que les allocations viennent de la mémoire sur le nœud duquel l'allocation provient. Les entrées de la table de page système (PTE) sont allouées depuis le nœud duquel provient l'allocation, si l'allocation nécessite une nouvelle table de page pour la satisfaire, au lieu de n'importe quel nœud, comme c'est le cas dans Windows Server 2003.
Dans Windows Server 2003, lorsqu'un thread effectue une allocation de mémoire, le gestionnaire de mémoire préfère le nœud sur lequel le thread s'exécute lors de l'allocation. Si le thread était temporairement planifié sur un nœud non idéal, toute allocation exécutée pendant ce temps proviendrait du nœud non idéal. Par conséquent, lorsque le thread s'exécute finalement sur son nœud idéal, il n'est pas aussi près qu'il pourrait l'être des données ou du code enregistré dans la mémoire allouée.
Pour y remédier, le gestionnaire de mémoire Windows Server 2008 préfère le nœud idéal du thread pour toutes les allocations du thread, même lorsque le thread s'exécute près d'un nœud différent. Le gestionnaire de mémoire comprend également automatiquement les latences entre les processeurs et les nœuds et, si le nœud idéal ne dispose pas de mémoire disponible, il vérifie ensuite le nœud le plus proche du nœud idéal. De plus, le gestionnaire de mémoire migre les pages de sa liste En attente vers le nœud idéal du thread lorsqu'un thread fait référence au code ou aux données.
Les applications qui veulent contrôler l'emplacement de leurs allocations peuvent utiliser les nouvelles API de mémoire NUMA qui leur permettent de spécifier un nœud préféré pour les allocations de mémoire, les affichages de mappage de fichier et les objets de mappage de fichier. Pour une allocation liée à un mappage de fichier, le gestionnaire de mémoire vérifie si l'opération de mappage spécifie un nœud, puis vérifie si l'objet de mappage de fichier en spécifie un et a finalement recours au nœud du thread idéal si aucun ne correspond.
Avant Windows Server 2008, l'interruption et l'appel de procédure différé associé (Deferred Procedure Call, DPC) d'une E/S de stockage ou réseau pouvait s'exécuter sur n'importe quelle UC, y compris celles d'un nœud différent de celui sur lequel l'E/S avait été établie, causant potentiellement l'écriture ou la lecture de données de l'opération d'E/S dans la mémoire d'un nœud différent de celui sur lequel l'accès aux données avait lieu.
Pour éviter ceci, le système d'E/S de Windows Server 2008 dirige l'exécution de DPC à une UC dans le nœud qui a établi l'E/S et les systèmes qui possèdent des périphériques qui prennent en charge le bus MSI-X PCI (une extension du standard Message Signaled Interrupt) peuvent localiser davantage l'opération d'E/S en utilisant des pilotes de périphériques qui tirent parti des API de Windows Server 2008 pour diriger une interruption d'E/S vers le processeur qui a établi l'E/S.

Partitionnement dynamique
La prise en charge de l'ajout dynamique de ressources matérielles telles que la mémoire et les UC est l'une des moyens permettant de rendre un système plus évolutif. Cette même prise en charge peut rendre le système plus disponible lorsque ces ressources peuvent être remplacées sans nécessiter un redémarrage du système.
Windows Server 2003 permet l'ajout de mémoire à chaud, ce qui confère aux serveurs une prise en charge de mémoire dynamique afin d'utiliser la RAM lorsque l'administrateur l'ajoute. Windows Server 2008 étend la prise en charge de mémoire dynamique en permettant le remplacement de la mémoire.
La RAM devenant plus dépendante des corrections ECC (Error Correcting Code) est susceptible de tomber totalement en panne. Par conséquent, sur un serveur avec prise en charge de remplacement à chaud, Windows Server 2008 peut migrer de manière transparente des données des banques de mémoire défectueuses sur celles qui les remplacent. Ceci est effectué en migrant tout d'abord les données qui sont sous le contrôle du système d'exploitation, en arrêtant des périphériques matériels en les plaçant dans un état basse puissance, en migrant le reste des données de la mémoire et en remettant sous alimentation les périphériques pour poursuivre les activités normales.
Windows Server 2008 prend également en charge l'ajout à chaud et le remplacement à chaud des processeurs. Pour un remplacement à chaud, le matériel doit prendre en charge le concept d'UC de rechange, qui peut être mise en connexion ou ajoutée de manière dynamique lorsqu'une UC existante produit des indications de défaillance, ce qui est actuellement uniquement disponible sur les systèmes haut de gamme. Le planificateur Windows Server 2008 ralentit l'activité sur l'UC défectueuse et migre le travail sur l'UC de rechange, après quoi l'UC défectueuse peut être enlevée et remplacée par une UC de rechange.
Windows Server 2008 prend en charge l'ajout de processeur à chaud, permettant ainsi à un administrateur de mettre à niveau les capacités de traitement d'un serveur sans temps mort du serveur. Cependant, le planificateur et le système d'E/S rendront uniquement une nouvelle UC disponible aux pilotes de périphériques et aux applications qui demandent la notification d'arrivée d'UC via les nouvelles API car certaines applications incorporent la supposition que le nombre d'UC est fixe pour une session de démarrage. Par exemple, une application pourrait allouer un ensemble de files de travail correspondant à chaque UC, dans laquelle un thread utilise la file associée à l'UC sur laquelle il exécute. Si le planificateur met l'un des threads de l'application sur une nouvelle UC, il essaie de référencer une file inexistante et peut corrompre les données de l'application et provoquer l'arrêt de l'application.
Les applications serveurs de Microsoft telles que SQL Server et Exchange Server prennent en charge l'ajout d'UC, comme plusieurs processus Windows fondamentaux, dont le processus Système, le Gestionnaire de session (%SystemRoot%\System32\Smss.exe,) et les processus d'hébergement de service génériques (%Systemroot%\System32\Svchost.exe). Les autres processus peuvent également demander la notification d'arrivée de nouvelle UC en utilisant une API Windows. Lorsqu'une nouvelle UC arrive, Windows notifie les pilotes de périphériques de l'arrivée imminente, démarre l'UC et notifie alors les pilotes de périphériques et les applications écrites pour tirer parti de nouvelles UC afin qu'ils allouent des structures de données afin de suivre l'activité de la nouvelle UC, si nécessaire.

Virtualisation d'ordinateur
Avant Windows Server 2008, les produits de virtualisation de Microsoft, dont Virtual Server 2005, étaient implémentés en utilisant la virtualisation hébergée, comme indiqué à la figure 5. Dans la virtualisation hébergée, les ordinateurs virtuels sont implémentés par un Moniteur d'ordinateur virtuel (VMM) s'exécutant à côté d'un système d'exploitation d'hôte, généralement comme pilote de périphérique. Le VMM s'appuie sur la gestion des ressources et les pilotes de périphériques du système d'exploitation d'hôte et, lorsque le système d'exploitation hôte le planifie pour l'exécuter, il effectue un découpage temporel de l'UC entre les ordinateurs virtuels actifs.
Figure 5 Virtualisation hébergée d'ordinateur
Figure 5 Virtualisation hébergée d'ordinateur
Hyper-V (anciennement « Viridian ») est implémenté avec la virtualisation hyperviseur. L'hyperviseur possède le contrôle complet de toutes les ressources matérielles et même le système d'exploitation Windows Server 2008, qui démarre le système et au travers duquel vous contrôlez les ordinateurs virtuels, s'exécute essentiellement dans un ordinateur virtuel, comme indiqué à la figure 6.
Figure 6 Architecture Hyper-V
Figure 6 Architecture Hyper-V
L'hyperviseur peut partitionner le système en plusieurs ordinateurs virtuels et traite l'instance démarrant Windows Server 2008 comme maître, racine ou partition, lui conférant l'accès direct aux périphériques matériels tels que le disque, les cartes réseau et les processeurs graphiques. L'hyperviseur s'attend à ce que la racine effectue la gestion de l'alimentation et réponde aux événements plug-and-play du matériel. Il intercepte les E/S de périphérique matériel établies dans une partition enfante et les route dans la racine, qui utilise des pilotes de périphériques Windows Server 2008 pour exécuter l'accès au matériel. Ainsi, les serveurs exécutant Hyper-V peuvent profiter entièrement de la prise en charge de Windows pour les périphériques matériels.
Lorsque vous configurez Windows Server 2008 avec le rôle de serveur Hyper-V, Windows définit le paramètre de base de données de configuration de démarrage (Boot Configuration Database, BCD) hypervisorimagelaunchtypeboot sur auto et configure le pilote de périphérique Hvboot.sys pour qu'il démarre plus tôt dans le processus de démarrage. Si l'option est configurée, Hvboot.sys prépare le système pour la virtualisation et charge ensuite soit %Systemroot%\System32\Hvax64.exe soit %Systemroot%\System32\Hvix64.exe en mémoire, en fonction de l'implémentation des extensions de virtualisation d'UC (AMD-V ou Intel VT, respectivement).
Une fois chargé, l'hyperviseur utilise les extensions de virtualisation pour s'insérer sous Windows Server 2008. Les applications en mode utilisateur utilisent le niveau de privilège Ring 3 du processeur x64 et le code en mode noyau s'exécute en Ring 0, l'hyperviseur fonctionnant donc au niveau de privilège conceptuel Ring -1, puisqu'il peut contrôler l'environnement d'exécution de code s'exécutant au Ring 0.
Lorsque vous utilisez la console d'administration Hyper-V pour créer ou démarrer une partition enfante, elle communique avec l'hyperviseur en utilisant le pilote %Systemroot%\System32\Drivers\Winhv.sys, qui utilise l'API hypercall décrite publiquement pour ordonner à l'hyperviseur de créer une nouvelle partition à la taille de mémoire physique et aux caractéristiques d'exécution spécifiées. Le service VM (%Systemroot%\System32\Vmms.exe) dans la racine est responsable de la création du processus de travail d'ordinateur virtuel (%Systemroot%\System32\Vmwp.exe) pour que chaque partition enfante gère l'état de l'enfant.
L'une des manières dont Windows améliore les performances des systèmes d'exploitation des ordinateurs virtuels est l'implémentation, par Windows Server 2008 comme Windows Vista, des « enlightments », qui sont des séquences de code qui s'activent seulement lorsque le système d'exploitation s'exécute sur un hyperviseur qui implémente l'API hypercall de Microsoft. En demandant directement des services auprès de l'hyperviseur, l'ordinateur virtuel enfant évite le code de virtualisation indirect qui serait utilisé si l'hyperviseur avait à deviner les intentions du système d'exploitation enfant.
Par exemple, un système d'exploitation invité qui n'implémente pas les enlightments pour les verrouillages spinlock, qui exécute une synchronisation multiprocesseur de bas niveau, tournerait dans une boucle étroite en attendant qu'un verrouillage spinlock soit libéré par un autre processeur virtuel. Le verrouillage pourrait monopoliser l'une des UC matérielles jusqu'à ce que l'hyperviseur planifie le deuxième processeur virtuel. Sur les systèmes d'exploitation compatibles avec les enlightments, le code de verrouillage spinlock notifierait l'hyperviseur via un appel hypercall lorsqu'il devrait tourner en boucle, afin que l'hyperviseur puisse immédiatement planifier un autre processeur virtuel et réduire l'utilisation de processeur inutile.
L'accélération de l'accès aux périphériques par les ordinateurs virtuels est une autre avancée de Windows Server 2008 en matière de performances des ordinateurs virtuels. Les performances sont améliorées en installant des composants, appelés « composants d'intégration d'ordinateur virtuel », dans le système d'exploitation enfant.
Si vous exécutez un ordinateur virtuel sans installer les composants d'intégration, le système d'exploitation enfant configure les pilotes de périphériques matériels pour les périphériques émulés que l'hyperviseur lui présente. L'hyperviseur doit intervenir lorsqu'un pilote de périphérique essaie d'accéder à une ressource matérielle afin d'informer la partition racine, qui exécute les E/S de périphérique en utilisant les pilotes de périphérique de Windows standard de la part du système d'exploitation de l'ordinateur virtuel enfant. Puisqu'une simple opération d'E/S de haut niveau, telle que la lecture depuis le disque, peut impliquer de nombreux accès matériels discrets, elle peut provoquer de nombreuses transitions, appelées interceptions, dans l'hyperviseur et la partition racine.
Windows Server 2008 réduit le nombre d'interceptions grâce à trois composants : Le pilote de bus d'ordinateur virtuel (%Systemroot%\System32\Drivers\Vmbus.sys), les clients de services virtuels (VSC) et les fournisseurs de services virtuels (VSP). Lorsque vous installez les composants d'intégration dans un ordinateur virtuel avec un système d'exploitation pris en charge, les VSC prennent le rôle de pilotes de périphériques et utilisent les services du pilote Vmbus.sys dans l'ordinateur virtuel enfant pour envoyer des requêtes d'E/S de haut niveau au pilote de bus d'ordinateur virtuel dans la partition racine, via l'appel hypercall et les services de partage de mémoire de l'hyperviseur. Dans la partition racine, Vmbus.sys transfère la requête au VSP correspondant, qui établit alors des requêtes d'E/S Windows standard via les pilotes de périphériques de la racine.
Comme vous pouvez le constater, Windows Server 2008 joue un rôle essentiel dans la stratégie de virtualisation d'ordinateur de Microsoft avec l'introduction de la virtualisation Hyper-V basée sur hyperviseur. Vous trouverez plus d'informations sur le sujet, comme sur d'autres fonctionnalités, dans la prochaine version de mon livre, Microsoft Windows Internals, qui sera publié dans le courant de cette année.

Mark Russinovich est technicien dans le service responsable des plates-formes et services chez Microsoft. Il est coauteur de Microsoft Windows Internals (Microsoft Press, 2004) et intervient fréquemment lors de conférences informatiques, y compris Microsoft TechEd et le symposium PDC. Il a rejoint nos équipes lorsque Microsoft a racheté Winternals Software, la société dont il était le cofondateur. Il a également créé Sysinternals, où il a publié de nombreux utilitaires populaires, notamment Process Explorer, Filemon et Regmon.
© 2007 Microsoft Corporation et CMP Media, LLC. Tous droits réservés. Toute reproduction, totale ou partielle, est interdite sans autorisation préalable.


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Nouveaut&#233;s des services de domaine Active&#160;Directory
Numéro spécial : Windows Server 2008 Gil Kirkpatrick

Nouveautés des services de domaine Active Directory
Vue d'ensemble:
  • Utilisation du nouveau Gestionnaire de serveur avec les Services de domaine Active Directory (ADDS)
  • Exécution de services de domaine sur Server Core
  • Contrôleurs de domaine en lecture seule
  • Modifications de mots de passe, sauvegardes et audits

Avec Windows 2000, Microsoft a révélé Active Directory. La version suivante, à savoir Windows Server 2003, contenait des améliorations significatives pour Active Directory, mais aucune
modification bouleversante. Aujourd'hui, Active Directory® est un service d'annuaire robuste et parvenu à maturité. Et pourtant, l'équipe d'Active Directory a fourni plusieurs améliorations non négligeables à la dernière version pour améliorer la sécurité et la gérabilité de ces principaux services réseau.
Début 2000, Active Directory permettait d'authentifier un utilisateur lorsqu'il se connectait, d'appliquer des stratégies de groupe à l'utilisateur et son ordinateur et de l'aider à trouver l'imprimante appropriée. Quelques années plus tard, Microsoft a mis sur le marché une variante autonome appelée Active Directory en mode application (ADAM).
En 2006, tout avait changé. Active Directory n'était plus une technologie spécifique. Active Directory est désormais un nom de marque qui identifie une collection de services de contrôle d'accès et d'identité Windows®. La figure 1 fournit un récapitulatif rapide de la composition d'Active Directory.
Figure 1 Composants Active Directory (Close Figure 1)

Technologie Active Directory actuelle | précédemment appelée | Description
Services de domaine Active Directory | Active Directory | que nous appelions Active Directory. Elle fournit une authentification Kerberos et NTLM pour les ordinateurs et les utilisateurs de domaine, gère les unités organisationnelles, les utilisateurs, les groupes, les stratégies de groupe et plus encore.
Active Directory Lightweight Directory Services (ADLDS) | Active Directory Application Mode (ADAM) | Un serveur LPAD hautes performances basé sur le même code source que ADDS.
Services de certification d'Active Directory (ADCS) | Service de certification | Fournit une authentification puissante à l'aide de certificats X.509.
Services AD RMS (Active Directory Rights Management Services) | Serveur de gestion des droits | Protège les biens numériques, tels que les documents et les messages électroniques, d'une utilisation non autorisée en créant des fichiers et des conteneurs protégés par des droits.
Active Directory Federation Services (ADFS) | Active Directory Federation Services | Fournit des technologies Web d'authentification unique (SSO) et de fédération d'identité pour les services Web conformes à WS-*.
Donc, pour utiliser la terminologie appropriée, cet article est relatif aux Services de domaine. Mais pour clarifier les choses, il s'agit toujours de l'Active Directory que vous avez appris à aimer depuis 2000.

Gestionnaire de serveur dans Windows Server 2008
Les deux premières améliorations d'Active Directory que je vais aborder ne sont pas de réelles modifications dans les Services de domaine Active Directory. Il s'agit plutôt de modifications dans Windows qui modifieront la manière dont vous gérez Active Directory. La première amélioration, le nouveau Gestionnaire de serveur, apparaît dès que vous démarrez le serveur Windows Server® 2008 pour la première fois. (La seconde correspond à l'installation Server Core que j'aborderai ultérieurement.)
Le Gestionnaire de serveur vous sera probablement familier si vous connaissez l'Assistant Configurer votre serveur dans Windows Server 2003, qui apparaît par défaut après l'installation de Windows Server 2003. Cependant, cette version n'est pas très utile pour l'administration quotidienne et toutes les personnes que je connais cochent la case « Ne pas afficher cette page à l'ouverture de session ».
D'un autre côté, le Gestionnaire de serveur dans Windows Server 2008 est très utile (voir l'article de Byron Hynes dans ce numéro de TechNet Magazine pour une présentation du Gestionnaire de serveur). Tout d'abord, comme vous pouvez voir à la figure 2, le Gestionnaire de serveur est désormais un composant logiciel enfichable Microsoft ® Management Console (MMC) au lieu d'être une application HTML de Microsoft (HTA). Ceci signifie qu'il dispose d'une interface utilisateur complète que vous connaissez déjà et qui est facile à personnaliser. Prêt à l'emploi, le Gestionnaire de serveur vous permet de gérer l'installation de rôles de serveur (principaux services tels que DNS, ADDS et IIS) et de fonctionnalités (composants logiciel tels que Microsoft .NET Framework, chiffrement de lecteur BitLockerTM et Windows PowerShellTM). Au-delà de la possibilité d'ajouter et de supprimer des logiciels, le Gestionnaire de serveur fournit également un point de contact unique pour exécuter des outils de diagnostic (tels que l'Observateur d'événements et PerfMon) et des utilitaires de configuration du système (tels que le Gestionnaire de périphériques et le composant logiciel enfichable du Pare-feu Windows). Si vous ajoutez des composants logiciel enfichables MMC pour Active Directory (par exemple, Utilisateurs et ordinateurs, Domaines et approbations et Sites et services), vous aurez une interface conviviale pour exécuter la gestion quotidienne de votre contrôleur de domaine Windows Server 2008.
Figure 2 Gestionnaire de serveur dans Windows Server 2008
Figure 2 Gestionnaire de serveur dans Windows Server 2008

Windows Server 2008 Server Core
Windows Server Core est une nouvelle option d'installation Windows qui offre une version allégée de Windows contenant uniquement les composants nécessaires pour exécuter certains rôles de serveur clé, y compris les Services de domaine Active Directory. (La figure 3 répertorie les rôles pris en charge par Server Core.) Bien qu'une installation Server Core dispose d'une interface utilisateur graphique, elle n'exécute pas le shell de bureau Windows et ne contient quasiment pas d'outils graphiques pour gérer et configurer Windows (voir la figure 4). À leur place, vous obtenez une fenêtre de commande et l'étrange sensation que vous ne savez pas vraiment quoi faire. Comment puis-je modifier le nom de l'ordinateur ? Comment puis-je configurer une adresse IP statique ?
Figure 4 L'interface utilisateur Server Core n'a rien d'exceptionnel
Figure 4 L'interface utilisateur Server Core n'a rien d'exceptionnel
Les premières minutes d'une installation Server Core peuvent être déstabilisantes. Mais après un petit délai de familiarisation avec WMIC, NETSH et NETDOM, vous pourrez effectuer les tâches de configuration et d'installation normales sans aucune difficulté. Et vous avez toujours Regedit et le Bloc-notes pour vos outils graphiques.
Principal avantage de Server Core : une grande partie du code que vous obtenez avec une installation Windows typique, et dont vous n'aurez peut-être pas besoin pour ces rôles serveur de base, est supprimé. La surface d'attaque potentielle est réduite (ce qui est une bonne chose), réduisant ainsi la quantité de corrections et de démarrages à effectuer sur vos contrôleurs de domaine (ce qui est encore mieux). Vous obtenez une réduction de l'encombrement de disque et des exigences de disque dur local. En général, ceci n'est pas un problème mais peut vous aider dans les environnements de serveur virtualisés.
Le manque d'utilitaires graphiques rendra-t-il la gestion de Services de domaine Active Directory difficile ? Pas du tout ! Vous pouvez exécuter presque toutes vos tâches de gestion à distance en exécutant les utilitaires sur votre poste de travail et en vous connectant au contrôleur de domaine sur le réseau. Je pense que la grande majorité des contrôleurs de domaine sera exécutée sur les installations Server Core.

Modifications DCPROMO
La première modification que vous remarquerez dans Services de domaine Active Directory est le nouveau DCPROMO. Il fonctionne comme DCPROMO dans Windows Server 2003 mais il a été complètement réécrit pour une utilisation simplifiée. Par exemple, vous n'avez pas besoin d'entrer vos informations d'identification d'administrateur de domaine. DCPROMO peut utiliser les informations d'identification de votre connexion actuelle pour promouvoir le serveur. Vous n'avez pas non plus à entrer DCPROMO /ADV pour obtenir les options DCPROMO en mode Avancé. Il existe désormais une case à cocher dans la première boîte de dialogue DCPROMO pour activer ces options. Le mode Avancé vous permet également de sélectionner le contrôleur de domaine existant à partir duquel vous pouvez effectuer des réplications. Ceci signifie que vous pouvez garder la charge de réplication de DCPROMO à l'extérieur de vos contrôleurs de domaine de production.
Lorsque vous promouvez un contrôle de domaine dans un nouveau domaine ou une nouvelle forêt, DCPROMO vous offre la possibilité de définir le niveau fonctionnel de la forêt et du domaine, au lieu de devoir le faire ultérieurement. Vous pouvez également spécifier le site Active Directory sur lequel vous souhaitez placer le contrôleur de domaine lors du processus de promotion, ce qui s'avère très utile dans un scénario DCPROMO inattendu. DCPROMO suggérera même le site idéal pour le contrôleur de domaine en fonction de l'adresse IP du contrôleur de domaine.
Le nouveau DCPROMO recueille également toutes les options de configuration dans une page seule, fournissant un emplacement où vous choisissez si le nouveau contrôleur de domaine sera un catalogue global (GC), un serveur DNS ou un contrôleur de domaine en lecture seule. Vous n'avez pas besoin d'atteindre un emplacement obscur dans le composant logiciel enfichable Sites et services d'Active Directory pour marquer le contrôleur de domaine en tant que catalogue global.
Mais peut-être la fonctionnalité la plus agréable dans le nouveau DCPROMO est la capacité à enregistrer tous les paramètres DCPROMO dans un fichier de réponse avant le démarrage du processus de promotion. Cette opération est beaucoup plus simple (et moins sujette aux erreurs) que de bricoler un fichier de réponse manuellement. Vous pouvez ensuite utiliser le fichier de réponse pour exécuter les DCPROMO indépendants sur les autres serveurs. Et pour les mordus de scripts, toutes les options DCPROMO sont désormais accessibles à partir de la ligne de commande.

Contrôleurs de domaine en lecture seule
Au tout début d'Active Directory, les entreprises déployaient souvent des contrôleurs de domaine sur tous les sites où les utilisateurs pouvaient se connecter. Par exemple, pour les banques, en plaçant un contrôleur de domaine dans chaque succursale. La logique voulait que les utilisateurs au sein de la succursale puissent se connecter et accéder aux ressources réseaux locales même si le réseau WAN était en panne.
À l'époque, personne ne comprenait vraiment la nécessité de sécurité physique des contrôleurs de domaine. Dans ma tête, les contrôleurs de domaine étaient cachés sous les bureaux et facilement accessibles par le personnel. Ce n'est que quelques années plus tard que les architectes d'Active Directory ont compris le risque que présentait un contrôleur de domaine non sécurisé. Les organisations informatiques ont commencé à consolider leurs contrôleurs de domaine dans des centres de données plus centralisés. Les utilisateurs des succursales devaient alors s'authentifier sur le réseau WAN, procédure pénible mais très utile pour accroître la sécurité.
Active Directory dans Windows Server 2008 modifie l'équation par rapport aux déploiements de succursales en introduisant des contrôleurs de domaine de lecture seule ou RODC. Ceux-ci représentent la plus grande modification des services de domaine Windows Server 2008.
L'équipe d'Active Directory s'est penchée sur les exigences du scénario des succursales lors de la conception de RODC et a adopté le slogan « ce qui se passe dans la succursale reste dans la succursale. » En d'autres termes, si vous déployez un contrôleur de domaine dans une succursale non sécurisée physiquement, vous ne pouvez pas empêcher le contrôleur de domaine (et les ordinateurs qui font confiance à ce contrôleur de domaine) d'être vulnérable, mais vous pouvez empêcher que ce problème se propage de la succursale au reste du domaine.
Remarque : bien que les RODC constituent une importante modification à l'infrastructure ADDS, ils sont relativement faciles à implémenter. Votre domaine doit être au niveau fonctionnel de la forêt Windows Server 2003. De plus, le domaine doit contenir au moins un contrôleur de domaine Windows Server 2008. Au-delà d'une simple solution pour les succursales, les RODC sont une évidence dans les environnements Internet et les situations où le contrôleur de domaine est placé dans le périmètre du réseau.

Le contrôleur de domaine est parti sans laisser d'adresse
Il existe plusieurs classes de menaces à prendre en considération dans une succursale. La première est le scénario de « contrôleur de domaine volé », où quelqu'un s'en va avec le contrôleur de domaine ou le disque du contrôleur de domaine. Au-delà de l'interruption locale de service, le risque est réel et l'attaquant pourrait accéder à tous les noms d'utilisateur et les mots de passe dans le domaine. Puis, il pourrait élever ses privilèges pour accéder aux ressources protégées ou entraîner un déni de service. Pour se protéger de cette menace, les RODC, par défaut, ne stockent pas les hachages de mot de passe dans l'arborescence d'information d'annuaire (DIT) du RODC. Par conséquent, pour authentifier un utilisateur au domaine, lorsqu'un utilisateur s'authentifie d'abord à un RODC, le RODC envoie la requête à un contrôleur de domaine complet (FDC) dans le domaine. Le FDC traite la requête et, si elle aboutit, le RODC émet une requête de réplication pour le hachage de mot de passe.
Un RODC compromis pourrait demander des hachages de mot de passe pour les comptes sensibles. Pour empêcher ceci, l'administrateur de domaine peut configurer une stratégie de réplication de mot de passe pour chaque RODC. La stratégie de réplication de mot de passe est composée de deux attributs sur l'objet Ordinateur du RODC. L'attribut msDS-RevealOnDemandGroup contient les noms distingués de groupes, d'utilisateurs ou de comptes d'ordinateur dont les mots de passe peuvent être mis en cache sur le RODC (il s'agit généralement des utilisateurs et des ordinateurs dans le même site que le RODC). ms-NeverRevealGroup contient les noms distingués de groupes, d'utilisateurs ou de comptes d'ordinateur dont les mots de passe peuvent ne pas être mis en cache sur le RODC (par exemple, le compte administrateur de domaine ne devrait jamais avoir ses mots de passe hachés mis en cache sur un RODC). Lorsque le RODC demande le hachage de mot de passe pour un compte particulier, le FDC évalue la requête par rapport à la stratégie de réplication de mot de passe pour déterminer si le hachage de mot de passe devrait être répliqué sur le RODC. Lorsqu'un contrôleur de domaine est volé, la vulnérabilité est limitée aux mots de passe qui ont été mis en cache sur le RODC volé au moment où il a été supprimé du réseau. De plus, la possibilité d'un mot de passe critique étant compromis est supprimée.
L'objet Ordinateur RODC contient deux autres attributs pour vous aider à déterminer exactement les comptes qui devraient avoir leurs mots de passe mis en cache. L'attribut msDS-AuthenticatedAtDC répertorie les comptes qui ont été authentifiés au RODC et l'attribut msDS-RevealedList nomme les comptes dont les mots de passe sont actuellement stockés par le RODC.
Les hachages de mots de passe utilisateur et informatique ne sont pas les seuls secrets enregistrés sur un contrôleur de domaine. Le compte KrbTGT contient les clés pour le service de Centre de distribution de clés Kerberos (KDC) s'exécutant sur chaque contrôleur de domaine. Dans un scénario typique, chaque KDC dans le domaine partage le même compte KrbTGT et il est possible qu'un attaquant puisse récupérer ces clés d'un contrôleur de domaine volé et les utilise pour attaquer le reste du domaine. Cependant, chaque RODC dispose de son propre compte et ses propres clés KrbTGT, ce qui élimine cette éventualité.
Il n'est également pas inhabituel pour les applications de stocker les mots de passe ou autres secrets dans la DIT. Si un attaquant venait à voler un contrôleur de domaine, il pourrait probablement voler les mots de passe de ces applications et les utiliser pour accéder aux applications. Pour atténuer ce risque, les services de domaine de Windows Server 2008 permettent aux administrateurs de définir le jeu d'attributs filtré pour contrôleur de domaine en lecture seule (RO-FAS). Les attributs qui font partie du RO-FAS ne sont jamais répliqués dans le RODC, et par conséquent, ne peuvent pas être récupérés depuis un contrôleur de domaine compromis. Attribuez des attributs aux RO-FAS en définissant le bit 9 (0x0200) de l'attribut d'indicateurs de recherche de l'objet attributeSchema correspondant dans le schéma.

Les pirates sont déjà là !
Autre classe de menace pour les contrôleurs de domaine de succursale : cas d'un administrateur de serveur local élevant son privilège en mettant à niveau les privilèges du contrôleur de domaine pour accéder aux autres ressources de domaine ou pour organiser une attaque de déni de service. Là encore, si l'administrateur local dispose de l'accès physique au contrôleur de domaine, rien ne peut être fait pour empêcher le compromis. Mais il est possible d'empêcher l'attaquant d'utiliser le contrôleur de domaine de la succursale pour compromettre les autres contrôleurs de domaine dans le domaine.
Les contrôleurs de domaine complets dans le domaine ne font pas confiance aux RODC en tant que contrôleurs de domaine. Du point de vue de la confiance, les FDC traitent les RODC comme des serveurs membres dans le domaine. Un RODC n'est pas membre des groupes des contrôleurs de domaine d'entreprise ou des contrôleurs de domaine. Le compte RODC dispose d'une capacité très limitée pour mettre à jour quoi que ce soit dans le répertoire. Par conséquent, même si un attaquant compromet le compte RODC, il n'obtiendra quasiment aucun privilège utile.
RODC ne s'affiche même pas dans la topologie de réplication de service d'annuaire normale. Étant donné que RODC ressemble à des serveurs membres normaux au lieu de contrôleurs de domaine, le Vérificateur de cohérence des données (qui correspond au processus sur chaque contrôleur de domaine responsable du calcul de la topologie de réplication de service d'annuaire) ne générera pas d'objet de connexion à partir de RODC. Aucun contrôleur de domaine complet ou RODC n'essaiera de répliquer à partir d'un RODC. D'autre part, le RODC créera un objet de connexion représentant un accord de réplication entrant à partir d'un contrôleur de domaine complet, mais cet objet de connexion existe uniquement dans le réplica de RODC ; aucun autre contrôleur de domaine ne dispose d'une copie de cet objet de connexion. Du point de vue de la réplication, RODC fonctionne comme un parasite pour les objets de répertoire. Les objets se répliquent à l'intérieur mais pas à l'extérieur.

Séparation des rôles administratifs sur RODC
Il est très courant pour un contrôleur de domaine de succursale d'être géré par un administrateur du serveur local qui effectue tout, de l'exécution de sauvegardes sur le contrôleur de domaine au nettoyage des claviers. Mais accorder à un administrateur du site à distance les droits nécessaires pour effectuer la maintenance générale sur un contrôleur de domaine constitue un risque en matière de sécurité. Et l'administration de site peut potentiellement élever ses privilèges dans le domaine. RODC fournit deux genres de séparation des rôles administratifs pour limiter cette menace.
Avec le premier formulaire de séparation des rôles, l'administrateur de domaine peut promouvoir le RODC normalement avec DCPROMO ou il peut utiliser un processus en deux étapes. Dans ce cas, le véritable processus de promotion est délégué de manière sécurisée à l'administrateur du site de succursale, sans accorder de droits d'administrateur du domaine. L'administrateur de domaine crée au préalable le compte d'ordinateur RODC dans le domaine avec le composant logiciel enfichable MMC Active Directory Utilisateurs et ordinateurs, comme indiqué à la figure 5.
Figure 5 Création au préalable du compte d'ordinateur RODC
Figure 5 Création au préalable du compte d'ordinateur RODC
La sélection de l'option « Créer au préalable un compte de contrôleur de domaine en lecture seule » exécute une version abrégée du DCPROMO qui exécute toutes les tâches nécessitant un accès administratif au domaine, y compris la création du compte d'ordinateur, l'attribution du RODC à un site, la spécification de rôles de contrôleur de domaine, la spécification de la stratégie de réplication de mot de passe et la définition de l'utilisateur ou du groupe qui devra terminer l'opération DCPROMO sur le RODC. L'administrateur ou le groupe délégué est enregistré dans l'attribut managedBy de l'objet Ordinateur RODC.
L'administrateur délégué peut ensuite exécuter DCPROMO sur le serveur lui-même. DCPROMO détectera le compte créé au préalable et transformera le serveur en RODC. Exécuter DCPROMO de cette manière ne nécessite pas d'informations d'identification d'administrateur de domaine.
La deuxième manière dont RODC fournit la séparation des rôles administratifs est en créant des rôles administratifs locaux sur le RODC lui-même. Ces rôles ressemblent à des groupes locaux. Ils sont enregistrés dans le registre du RODC et ils peuvent être évalués uniquement sur le RODC. Mais au lieu d'utiliser le composant logiciel enfichable de la console MMC pour les gérer, l'administrateur gère les rôles RODC locaux avec NTDSUTIL. La figure 6 répertorie les rôles administratifs locaux sur un RODC. Ces rôles correspondent exactement aux groupes intégrés à Windows.
Figure 6 Rôles administratifs RODC locaux (Close Figure 6)

Opérateurs de compte
Administrateurs
Opérateurs de sauvegarde
Accès DCOM au service de certification
Opérateurs cryptographiques
Utilisateurs COM distribués
Lecteurs de journaux d'événements
Invités
IIS_IUSRS
Générateurs d'approbations de forêt entrante
Opérateurs de Configuration réseau
Utilisateurs du journal de performances
Utilisateurs de l'analyseur de performances
Accès Compatible antérieur à Windows 2000
Opérateurs d’impression
Utilisateurs du Bureau à distance
Duplicateur
Opérateurs de serveur
Serveurs de licences de serveur Terminal Server
Utilisateurs
Groupe d'accès d'autorisation Windows

Singularités RODC
Étant donné que les RODC sont en lecture seule et qu'aucun autre contrôleur de domaine ne peut effectuer de réplications à partir de ces derniers, les RODC peuvent se comporter de manière imprévisible. Par exemple, les objets sans but (c'est-à-dire les objets qui ont été supprimés partout sauf sur un contrôleur de domaine particulier parce que le contrôleur de domaine était incapable de continuer la réplication plus longtemps que la durée de vie de désactivation de la forêt) sont normalement détectés par les partenaires de réplication sortants du contrôleur de domaine. Mais étant donné que les RODC ne disposent pas de partenaires de réplication entrants, il n'existe pas de détection d'objets sans but pour ces derniers.
Les RODC n'entretiendront pas les opérations de mise à jour LDAP (ajout, modification, suppression, renommage ou déplacement). À la place, les RODC renvoient une erreur avec une référence LDAP à un contrôleur de domaine inscriptible qui peut entretenir l'opération. Si l'application ayant émis la mise à jour LDAP ne traite pas correctement l'opération de référence, l'application pourrait échouer.
Enfin, si un utilisateur d'un autre domaine dans la forêt tente de s'authentifier à un RODC, le RODC doit pouvoir accéder à un contrôleur de domaine complet dans son propre domaine afin d'obtenir le mot de passe de confiance pour transmettre correctement la requête d'authentification au contrôleur de domaine dans le domaine de l'utilisateur. Si la connexion réseau entre le RODC et le contrôleur de domaine complet dans son domaine est indisponible, l'authentification échouera.

Stratégies de mots de passe affinées
La possibilité de définir plus d'une stratégie de mot de passe dans le domaine était probablement la fonctionnalité la plus demandée pour Windows Server 2008 ADDS. Comme vous le savez probablement, dans Windows 2000 et Windows Server 2003 Active Directory, chaque domaine prend en charge une seule stratégie de mot de passe qui est appliquée à toutes les entités de sécurité dans le domaine. Si vous avez besoin d'une stratégie de mot de passe séparée pour un groupe d'utilisateurs spécifique, vous devez créer un domaine séparé. Il existe désormais une nouvelle fonctionnalité dans Windows Server 2008 ADDS, celle de stratégies de mot de passe affinées, qui vous permettent de définir plusieurs stratégies de mot de passe dans un domaine.
La nouvelle stratégie utilise des groupes pour appliquer des stratégies de mot de passe affinées aux utilisateurs. Vous devez d'abord définir une stratégie de mot de passe affinée en créant un nouvel objet msDS-PasswordSettings dans le conteneur CN=Password Settings Container, CN=System, DC=<domain>. L'objet msDS-PasswordSettings (ou PSO) contient des attributs qui correspondent au paramètre de la stratégie de mot de passe dans la Stratégie de groupe (voir la figure 7).
Figure 7 Attributs dans l'objet mSDS-PasswordSettings (Close Figure 7)

Attribut | Description
mSDS-PasswordReversibleEncryptionEnabled | Booléen indiquant si les mots de passe sont chiffrés à l'aide du chiffrement réversible.
mSDS-PasswordHistoryLength | Nombre d'entrées maintenues dans l'historique des mots de passe.
mSDS-PasswordComplexityEnabled | Booléen indiquant si les restrictions de complexité des mots de passe sont activées.
mSDS-MinimumPasswordLength | Entier définissant la longueur minimale du mot de passe.
mSDS-MinimumPasswordAge | INTEGER8 indiquant la durée de vie minimale du mot de passe avant sa possible modification.
mSDS-MaximumPasswordAge | INTEGER8 indiquant la durée de vie maximale du mot de passe avant sa possible modification.
mSDS-LockoutThreshold | Entier indiquant le nombre d'échecs de connexion avant verrouillage.
mSDS-LockoutObservationWindow | INTEGER8 indiquant que le nombre de nanosecondes durant lequel des connexions ratées consécutives doivent se produire pour déclencher le verrouillage.
mSDS-LockoutDuration | INTEGER8 indiquant que le nombre de nanosecondes durant lequel le compte est verrouillé.
Vous devez ensuite attribuer la stratégie de mot de passe aux utilisateurs ou aux groupes en ajoutant les noms d'utilisateur ou de groupe à l'attribut mDS-PSOAppliesTo du PSO ayant plusieurs valeurs. Après avoir accepté l'idée que vous n'appliquez pas les stratégies de mot de passe aux unités organisationnelles, c'est assez simple. Il existe néanmoins une complexité supplémentaire.
Les utilisateurs sont généralement des membres de plusieurs groupes. Que se passe-t-il s'il existe plusieurs stratégies de mot de passe conflictuelles associées à un utilisateur en raison d'une appartenance à plusieurs groupes ? Dans ce cas, ADDS utilise une évaluation de priorité pour déterminer la stratégie de mot de passe à appliquer. Voilà comment ça fonctionne :
  1. Si une stratégie de mot de passe est directement liée à un objet utilisateur (et non via l'appartenance de groupe), cette stratégie de mot de passe sera appliquée.
  2. S'il existe plusieurs stratégies de mot de passe liées directement à l'utilisateur, la stratégie avec la valeur de priorité la plus basse (déterminée par la valeur de l'attribut msDS-PasswordSettingsPrecendence du PSO) sera appliquée.
  3. S'il existe plusieurs objets PSO avec la même priorité, la stratégie avec la valeur objectGUID la plus basse sera appliquée.
  4. Si aucun objet PSO n'est directement lié à l'utilisateur, ADDS évaluera l'objet PSO lié aux groupes de l'utilisateur. S'il existe plus d'un objet PSO, l'objet PSO avec la valeur la plus basse dans l'attribut msDS-PasswordSettingsPrecedence sera appliquée.
  5. S'il existe plus d'un objet PSO avec la même valeur de priorité, la stratégie avec la valeur objectGUID la plus basse sera appliquée.
  6. Si aucun objet PSO n'est associé à l'utilisateur, la stratégie de mot de passe de domaine sera utilisée.
Les objets utilisateur ont un nouvel attribut msDS-ResultantPSO permettant de savoir quel objet PSO s'applique à un utilisateur. Cet attribut contient le nom unique de l'objet PSO qui régit le mot de passe de cet utilisateur.
Les stratégies de mot de passe affinées vous fournissent une flexibilité accrue. Cependant, vous devez gérer ces stratégies avec attention et les garder simples. Il n'existe pas d'utilitaire complet pour définir les stratégies de mot de passe affinées. Vous devez utiliser ADSIEdit ou trouver un utilitaire tiers.

Service Active Directory redémarrable
À chaque fois que vous arrêtez un contrôleur de domaine pour la maintenance DIT, cela entraîne des interruptions dans vos niveaux de service réseau. Les contrôleurs de domaine Windows Server 2008 disposent d'une nouvelle fonctionnalité qui vous permet d'arrêter le service d'annuaire sans arrêter complètement le contrôleur de domaine.
La commande NET STOP NTDS arrête ADDS sur un contrôleur de domaine Windows Server 2008. Lorsque vous faites cela, le processus d'autorité de sécurité locale (LSASS) sur le contrôleur de domaine continue à s'exécuter mais il décharge toutes les DLL associées à ADDS et le service d'annuaire devient indisponible. LSASS se comporte ensuite comme il le ferait sur un serveur membre en transférant les requêtes d'authentification de domaine à un contrôleur de domaine. Étant donné que les DLL qui traitent ADDS sont déchargées, vous pouvez appliquer des correctifs associés à ADDS ou exécuter une défragmentation autonome de la DIT. Démarrer ADDS est aussi simple que NET START NTDS. Cependant, restaurer la DIT à partir d'une sauvegarde d'état du système nécessite toujours le redémarrage en mode de restauration de service d'annuaire.
Vous devez comprendre que le service d'annuaire n'est pas un service Windows réel. Il est toujours un composant intégral de LSASS et vous ne pouvez pas arrêter LSASS sans arrêter l'ordinateur. Mais la possibilité de démarrer et d'arrêter le service d'annuaire dans Windows Server 2008 est une solution pratique.

Sauvegarde et restauration
Le mécanisme de sauvegarde et de restauration a été revisité dans Windows Server 2008. Je ne vais pas entrer dans les détails ici mais la nouvelle sauvegarde Windows Server contient certaines modifications qui concernent ADDS.
La Sauvegarde Windows Server est une solution de sauvegarde basée sur le volume, ce qui signifie qu'elle sauvegarde tous les volumes de disque. Elle sauvegarde également uniquement sur des périphériques disque (ou semblables à des disques). Une prise en charge de bande n'est pas nécessaire.
Il existe une option de sauvegarde d'état du système pour l'utilitaire de sauvegarde de ligne de commande WBADMIN. À l'aide de la commande WBADMIN START SYSTEMSTATEBACKUP, vous pouvez désormais créer une image de sauvegarde qui contient tous les fichiers système critique nécessaires pour restaurer Active Directory sur un contrôleur de domaine. Cependant, il peut y avoir jusqu'à cinq volumes dans le jeu de sauvegarde, mais les volumes dans le jeu de sauvegarde contiendront uniquement les fichiers nécessaires pour une restauration d'état du système. Encore plus gênant et comme pour la version RC0 de Windows Server 2008, vous ne pouvez pas exécuter de sauvegarde d'état du système sur un partage réseau. Vous devez disposer d'un volume de disque local disponible pour stocker les images de sauvegarde d'état du système et ce volume ne doit pas faire partie de l'ensemble du volume de sauvegarde d'état du système. Vous devrez peut-être ajouter un nouveau volume de disque à tous les contrôleurs de domaine sur lesquels vous exécutez les sauvegardes d'état du système.
L'exécution d'une restauration d'état du système est simple. Il vous suffit de démarrer le contrôleur de domaine en mode restauration des services d’annuaire et d'exécuter la commande WBADMIN START SYSTEMSTATERECOVERY. Le résultat est une DIT restaurée ne faisant pas autorité, sur laquelle vous pouvez restaurer des objets spécifiques faisant autorité à l'aide de NTDSUTIL, comme vous le faisiez dans Windows Server 2003.
Un aspect de la Sauvegarde Windows Server mérite une mention spéciale : les images de sauvegarde sont stockées au format VHD (Virtual Hard Disk, disque dur virtuel). Ce format est le même que celui utilisé par Microsoft Virtual Server 2005 pour stocker ses images de disque virtuel. Ceci signifie que vous pouvez prendre une image de sauvegarde créée avec la Sauvegarde Windows Server et la monter en tant que lecteur de disque dans une machine virtuelle qui s'exécute sur Microsoft Virtual Server. Vous pouvez ensuite parcourir les contenus de sauvegarde comme s'il s'agissait un lecteur de disque normal !
Une autre modification concernant la sauvegarde ADDS est la possibilité d'utiliser le service de cliché instantané de volume pour créer des instantanés d'Active Directory. Lorsque vous créez un instantané avec NTDSUTIL, le service de cliché instantané de volume enregistre l'image précédente de chaque bloc de disque de la DIT avant sa mise à jour. En associant les images enregistrées précédemment avec la version actuelle de la DIT, le service de cliché instantané de volume peut construire un instantané complet de la DIT avec une surcharge minime. Créer un instantané typique ne prend qu'une poignée de secondes, et ce, quelle que soit la taille de la DIT.
Cette possibilité est, en elle-même, intéressante mais pas réellement utile. Cependant, dans Windows Server 2008, ADDS comprend un utilitaire de ligne de commande appelé DSAMAIN qui monte l'instantané en mode de lecture seule. Ceci fournit un serveur LDAP autonome, qui ressemble à l'instance ADLDS contenant les contenus de votre répertoire au moment de la capture de l'instantané. Vous pouvez parcourir le répertoire avec l'utilitaire LDP ou les autres outils LDAP et récupérer les versions des objets répertoire à un moment antérieur.

Réplication SYSVOL avec DFS-R
Windows Server 2003 R2 contient un service de fichiers distribués (DFS, Distributed File Service) qui contient désormais un tout nouveau mécanisme de réplication de fichier appelé DFS-R. Il utilise la compression différentielle à distance, qui réduit considérablement le trafic de réplication de fichier en déterminant les blocs d'un fichier cible qui doivent être répliqués pour être synchronisés avec le fichier source. Cependant, Windows Server 2003 R2 utilise toujours le service de réplication de fichiers (et pas DFS-R) pour répliquer SYSVOL entre les contrôleurs de domaine. Pour cette raison, la réplication SYSVOL est encore et toujours une source de problèmes pour les administrateurs d'Active Directory.
Lorsqu'il s'exécute au niveau fonctionnel du domaine Windows Server 2008, Windows Server 2008 peut répliquer SYSVOL avec DFS-R, améliorant la vitesse et la robustesse de réplication SYSVOL. Et ainsi, lui permet de placer des fichiers volumineux dans SYSVOL pour les mettre à disposition sur tous les contrôleurs de domaine. Pour utiliser DFS-R pour SYSVOL, vous devez d'abord migrer les anciennes données de SYSVOL vers DFS-R avec l'utilitaire DFSRMIG. Ce processus se déroule en quatre étapes :
  • Création des objets Active Directory requis par DFS-R.
  • Création de la nouvelle structure de fichiers pour SYSVOL sur chaque contrôleur de domaine.
  • Transfert de tous les contrôleurs de domaine pour qu'ils utilisent le nouveau SYSVOL.
  • Suppression de l'ancien SYSVOL.
En fonction de la taille de votre SYSVOL et du nombre de contrôleurs de domaine dont vous disposez, ce processus peut prendre un certain temps. Cependant, les performances et la fiabilité améliorées que vous en tirerez valent la peine d'effectuer cette opération.

Améliorations d'audit
Le système d'audit dans Active Directory pour Windows Server 2003 est à la fois une bénédiction et une malédiction. D'une part, il fournit une solution assez complète, flexible et sécurisée pour suivre les modifications dans le répertoire. Mais certains diront qu'il contient de sérieux problèmes d'utilisabilité.
L'activation de l'audit de modifications du répertoire sur un contrôleur de domaine Windows Server 2003 n'est pas une mince affaire. C'est tout ou rien ! Et le volume de trafic d'audit sur un contrôleur de domaine d'entreprise occupé peut rendre l'audit inefficace. La configuration du système d'audit pour produire les messages dont vous avez vraiment besoin nécessite de bricoler les descripteurs de sécurité individuels. C'est ennuyeux et enclin aux erreurs. Quant aux messages d'audit, ils sont souvent énigmatiques, et dans la plupart des cas, ne contiennent pas les informations dont vous avez besoin, telles que les valeurs avant et après des attributs modifiés. Et la collecte, la correspondance et l'archivage des messages de plusieurs contrôleurs de domaine ne sont pas réellement réalisables avec les outils Windows natifs.
Le système d'audit du service d'annuaire dans Windows Server 2008 résout quelques-uns de ces problèmes. Tout d'abord, il existe quatre nouvelles sous-catégories d'audit pour l'audit du service d'annuaire : Accès DS, Modifications DS, Réplication de service d'annuaire et Réplication de service d'annuaire détaillée. Si vous souhaitez simplement auditer les modifications d'annuaire, vous n'avez pas à passer en revue tous les événements de réplication et de lecture. Mais, si vous souhaitez inclure les suppressions d'objet dans votre journal d'audit, vous devez activer Accès DS. Ceci génère des messages pour tous les accès d'objets DS, générant beaucoup trop de messages. Et vous devez toujours configurer les descripteurs de sécurité pour générer les messages d'audit que vous souhaitez pour les objets dont vous vous occupez.
Les messages d'audit ont été considérablement nettoyés pour être lisibles et contiennent les données dont vous avez besoin. En particulier, les modifications de l'annuaire génèrent des entrées du journal d'audit qui contiennent les anciennes et nouvelles valeurs d'attributs modifiés. Il s'agit d'une amélioration énorme. Seul inconvénient : les anciennes et nouvelles valeurs s'affichent dans des entrées du journal d'audit séparées. Par conséquent, vous devez les faire correspondre pour comprendre la modification qui a été effectuée. De nombreux produits de collecte de journaux d'audit modules complémentaires, y compris les Services ACS de Microsoft, prennent en charge ce genre de corrélation.

Améliorations de l'interface utilisateur
Les composants logiciel enfichables MMC pour Active Directory (par exemple, Utilisateurs et ordinateurs, Domaines et approbations et Sites et services) ont toujours été appropriés à la gestion d'Active Directory. Dans Windows Server 2008, les outils administratifs fondamentaux ont été nettoyés et nous avons introduit deux nouvelles fonctionnalités agréables. Si vous activez Fonctionnalités avancées, la boîte de dialogue Propriétés pour chaque objet affiche un onglet supplémentaire appelé Éditeur d'attributs. Il s'agit du même onglet d'éditeur d'attribut utilisé par ADSIEdit, qui vous permet d'inspecter et de modifier tous les attributs de l'objet. L'onglet lui-même offre désormais un meilleur décodage des attributs codés, tels que l'attribut userAccountControl. La figure 8 affiche la manière dont l'éditeur d'attributs est intégré.
Figure 8 Éditeur d'attributs dans Utilisateurs et ordinateurs d'Active Directory
Figure 8 Éditeur d'attributs dans Utilisateurs et ordinateurs d'Active Directory

Conclusion
Mis à part les points clés que j'ai abordés dans cet article, vous trouverez d'autres améliorations dans ADDS dans Windows Server 2008. Par exemple, KDC utilise AES (Advanced Encryption Standard) 256 bits (AES-256) si le domaine se trouve au niveau fonctionnel du domaine Windows Server 2008. Vous pouvez activer la prévention de suppression accidentelle des objets en cochant la case appropriée sur l'onglet Objet pour tout objet DS. Le moteur ESE (Extensible Storage Engine) qui fournit le service de gestion des données a été amélioré pour utiliser la correction d'erreur de bit unique, réduisant la probabilité de corruption de la DIT due à une erreur matérielle ou logicielle dans le sous-système de disque. Le service DNS démarre les requêtes de traitement avant d'avoir complètement chargé la base de données DNS. Le module du localisateur de contrôleurs de domaine a été amélioré. Ainsi, s'il ne trouve pas un contrôleur de domaine dans le site souhaité, il tente de localiser un contrôleur de domaine dans le site suivant le plus proche au lieu de simplement utiliser n'importe quel contrôleur de domaine dans le domaine. Et NTDSUTIL prend désormais en charge les instantanés RODC et le service de cliché instantané de volume.
Il est clair que Windows Server 2008 fournit un nombre important d'améliorations dans les Services de domaine Active Directory. Toutes ensemble, ces modifications améliorent de manière significative la sécurité et la gérabilité d'ADDS. Cependant, l'amélioration la plus significative est sans aucun doute l'intégration de Windows Server 2008 dans votre environnement Active Directory, ce qui n'implique pas une migration importante. C'est un processus facile et incrémentiel.

Gil Kirkpatrick est directeur technique chez NetPro et développe des logiciels pour Active Directory depuis 1996. Avec Guido Grillenmeier, qui travaille chez HP, il anime des ateliers consacrés à la récupération après incident Active Directory, qui connaissent un grand succès. Gil est également le fondateur de Directory Experts Conference (www.dec2008.com).


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Mise en route d'IIS&#160;7.0
Numéro spécial : Windows Server 2008 Isaac Roybal

Mise en route d'IIS 7.0
Vue d'ensemble:
  • Changements dans l'architecture IIS 7.0
  • Gestion d'IIS 7.0
  • Compatibilité descendante
  • Dépannage d'IIS 7.0

Les services informatiques ne sont pas tous les mêmes : chaque service a des besoins et des objectifs qui lui sont propres, surtout quand il s'agit d'héberger des sites Web ou des services. Les serveurs Web ont souvent besoin d'une mise au point par ci ou d'une mise à jour par là, tout en
nécessitant une maintenance efficace et continue. L'objectif de certaines des modifications importantes apportées à IIS 7.0 est d'aider les services informatiques à effectuer ce travail lorsqu'ils créent des serveurs ou des batteries de serveurs Web.
Après avoir parcouru la liste de toutes les remarquables fonctionnalités d'IIS 7.0, j'étais impatient de partager mes sentiments avec vous à ce sujet. Toutefois, lorsque je me suis rendu compte que je ne pourrai pas toutes les mentionner dans cet article, j'ai décidé de me concentrer sur les fonctionnalités et les modifications les plus importantes d'IIS 7.0. Pour plus d'informations, consultez le site Web de la communauté IIS à IIS.net.

Nouvelle architecture
Les principales modifications d'IIS 7.0 concernent l'architecture, le traitement des requêtes, la prise en charge de l'infrastructure des applications PHP et le magasin de configuration. Dans IIS 6.0, les fonctionnalités étaient proposées comme un tout. Il fallait installer toutes les fonctionnalités et vous ne pouviez personnaliser IIS qu'avec ISAPI.
IIS a été créé en partant du principe qu'en tant qu'administrateur Web, vous devez commencer avec une série de fonctionnalités de base puis ajouter uniquement les fonctionnalités désirées à votre environnement. Vous connaissez votre environnement mieux que quiconque et IIS 7.0 vous propose donc les blocs de construction dont vous avez besoin pour créer votre propre serveur Web personnalisé. Ce faisant, il réduit vos frais administratifs en réduisant la surface d'attaque de votre serveur et en éliminant le besoin de mettre à jour les composants que vous n'utilisez pas. L'élément clé de cette nouvelle approche est l'architecture modulaire d'IIS 7.0.
IIS 7.0 est doté d'une nouvelle conception qui vous permet de choisir les fonctionnalités (appelées également modules) qui doivent être installées sur le serveur. Ces modules s'intègrent directement au pipeline de requêtes intégré. Cette nouvelle conception modulaire comporte plusieurs avantages, notamment la réduction de la surface d'attaque et de l'encombrement de votre serveur Web.
IIS possède actuellement 40 modules par défaut ; par exemple, les authentifications de base, les authentifications anonymes et les authentifications Windows® sont désormais des modules individuels qui peuvent être ajoutés au pipeline de requêtes d'une manière indépendante. Pour simplifier la classification, les modules ont été groupés en huit sous-catégories (voir la figure 1).
Figure 1 Les modules IIS 7.0 sont divisés en huit zones fonctionnelles
Figure 1 Les modules IIS 7.0 sont divisés en huit zones fonctionnelles
Cela signifie que vous pouvez désormais créer un serveur Web personnalisé, adapté à votre environnement. Mais qu'en est-il si vous avez besoin de fonctionnalités qui ne sont pas proposées par les 40 modules par défaut, par exemple des fonctionnalités d'authentification personnalisée ou de modification de contenu ? Aucun problème. Vous pouvez écrire un module en code natif ou géré à cet effet et le brancher sur le pipeline approprié. Ceci permet également à Microsoft d'écrire et publier de nouveaux modules individuels afin que vous n'ayez pas à attendre le Service Pack suivant ou la prochaine version d'un produit. IIS 7.0 vous permet également de remplacer n'importe quel module par défaut (parmi les 40 disponibles) par vos propres modules personnalisés. Pour plus d'informations sur la manière de créer votre propre module, consultez IIS.net.

Pipeline de requêtes intégré
Imaginez le pipeline de requêtes intégré comme la série essentielle d'étapes linéaires qui doivent être suivies à chaque fois qu'une page est proposée (comme illustré par la figure 2). Généralement, une authentification doit avoir lieu, suivie par l'autorisation de récupérer le contenu, la détermination et l'exécution du gestionnaire nécessaire pour ce contenu, l'exécution de toute opération de journalisation nécessaire et enfin l'envoi d'une réponse. Le pipeline de requêtes intégré permet à IIS 7.0 d'exécuter différentes infrastructures d'application en même temps. Par exemple, vous pouvez exécuter une authentification de formulaires sur du contenu PHP et un module de journalisation personnalisé, le tout dans le même pipeline.
Figure 2 Pipeline et modules intégrés IIS 7.0
Figure 2 Pipeline et modules intégrés IIS 7.0
Chaque site Web du serveur est doté d'un pipeline de requêtes intégré et peut être exécuté en mode Intégré ou Classique. Le mode Intégré ou mode par défaut permet de connecter des éléments de fonctionnalités particuliers au pipeline, ce qui vous donne un contrôle précis du processus de requête. Concernant la compatibilité, le mode Classique reproduit les fonctionnalités d'IIS 6.0/ISAPI par le biais d'un module ISAPI dans le pipeline. Ceci est très utile lorsque vous migrez vos applications vers IIS 7.0.

Installation par défaut
Passons, à présent, à la configuration de votre nouveau serveur Web modulaire. Si vous jetez un coup d'œil sur une installation par défaut d'IIS 7.0, vous remarquerez que seuls 10 modules (si vous comptez le service d'activation de processus Windows) sont inclus. Le programme d'installation d'IIS 7.0 fournit les fonctionnalités de base d'IIS lorsque vous installez le rôle Serveur Web, et plus précisément, uniquement les modules requis pour proposer du contenu statique tel que le contenu HTML simple ou le contenu ASP classique. Il vous appartient d'installer ce que vous voulez sur le serveur. Voici les fonctionnalités incluses dans une installation par défaut :
  • Les fonctionnalités HTTP courantes, notamment Contenu statique, Document par défaut, Exploration de répertoire et erreurs HTTP
  • Les fonctionnalités État de santé et Diagnostics telles que Journalisation HTTP et Observateur de demandes
  • Les fonctionnalités liées à la sécurité telles que Filtrage des demandes
  • Les fonctionnalités liées aux performances telles que Compression de contenu statique
  • Les outils de gestion dont la Console de gestion IIS
  • Le service d'activation de processus Windows
Comme vous le voyez, il s'agit d'un serveur minimal qui n'inclut pas de fonctionnalités ASP.NET ou de nouvelles fonctionnalité IIS 7.0 telles que les fonctionnalités de diagnostic et dépannage. Vous pouvez aisément activer d'autres fonctionnalités sur le serveur, telles que la capacité à proposer du contenu dynamique comme ASP.NET et FastCGI (PHP). Sélectionnez la série de modules que vous souhaitez installer depuis le rôle de serveur Web « Ajouter des services de rôle », dans Windows Server® 2008 Server Manager.

Nouveau magasin de configuration
Une autre modification clé qui a été apportée à IIS 7.0 et qui vous facilitera beaucoup les choses est le nouveau magasin de configuration. La métabase, composant désormais installé en option pour des raisons de compatibilité descendante, a été remplacée par un système de configuration XML. Mais, diriez-vous... « La métabase était en XML » ! Oui, en effet ! Mais elle n'était pas conviviale et elle n'était pas facile à lire (du moins pour les humains). Elle a été remplacée par un système XML plus flexible. Tout comme ASP.NET, IIS 7.0 utilise des fichiers .config, c'es-à-dire des fichiers propres, simples, portables et faciles à lire.
L'adoption de ce format fait du système de configuration un système indépendant de l'ordinateur, contrairement à la métabase qui était associée à un ordinateur individuel. Par conséquent, vous pouvez désormais transposer aisément le système de configuration aux autres serveurs avec un simple glisser-déplacer ou xcopy et c'est parti !
Ce nouveau système de configuration convient parfaitement aussi aux batteries de serveurs Web grâce à une nouvelle fonctionnalité d'IIS 7.0 appelée Configuration partagée. Puisque ce nouveau système de configuration est portable, vous pouvez partager un fichier de configuration principal avec tous les nœuds de la batterie. La Configuration partagée vous permet d'exporter la configuration d'un bon serveur de préproduction et de la partager dans votre environnement de production ou votre environnement « réel ».
Lorsque vous exportez le fichier .config, vous devez lui donner un mot de passe de clé de chiffrement. Ce mot de passe sert à protéger le fichier .config de votre serveur contre un serveur Web non autorisé qui tenterait d'imiter sa configuration.
L'activation de la Configuration partagée est simple. Dans le nœud de serveur du Gestionnaire des services Internet, sélectionnez l'option Configuration partagée, située sous la section Gestion du volet des tâches. Ensuite, cochez la case « Activer la configuration partagée », indiquez le chemin physique de la configuration que vous allez partager (en général, un partage UNC), entrez les informations d'identification requises pour accéder au chemin physique et cliquez sur Appliquer. Une fois le fichier .config trouvé, vous serez invité à fournir son mot de passe de chiffrement. À la fin de ce processus, redémarrez le Gestionnaire des services Internet afin qu'il reconnaisse le nouveau fichier .config.
La structure du nouveau système de configuration est différente de celle à laquelle vous êtes habitué. Jetons-y donc un coup d'œil. Comme l'indique la figure 3, la configuration d'IIS 7.0 est divisée en deux catégories : les paramètres liés à la totalité du serveur et les paramètres spécifiques aux sites. Tous les paramètres serveur sont enregistrés dans applicationhost.config qui est situé dans %systemroot%\windows\system32\inetsrv\config. Ils incluent tous les modules installés, les sites sur le serveur et ainsi de suite. Les paramètres spécifiques aux sites sont enregistrés dans les fichiers web.config individuels.
Figure 3 Il existe un fichier .config pour les paramètres serveur et des paramètres individuels séparés pour chaque site Web de ce serveur
Figure 3 Il existe un fichier .config pour les paramètres serveur et des paramètres individuels séparés pour chaque site Web de ce serveur
Si vous êtes familier avec ASP.NET, vous devez être aussi familier avec les fichiers web.config. IIS 7.0 utilise les fichiers web.config pour enregistrer des paramètres spécifiques aux sites Web individuels tels que les paramètres par défaut des documents et applications d'un site, ainsi que les paramètres ASP.NET. Cela signifie que vous aurez un fichier web.config pour chaque site se trouvant sur votre serveur.
Le fichier web.config d'un site est situé dans le chemin physique du site, par exemple %systemroot%\inetpub\wwwroot. Cette conception offre les mêmes avantages de portabilité que ceux qui ont été décrits auparavant mais au niveau du site. Vous pouvez facilement développer un site sur un serveur de test, par exemple, puis simplement glisser-déplacer ou utiliser xcopy pour copier les fichiers web.config et les fichiers des applications du site sur un serveur de production.
Que vous transposiez ou partagiez des fichiers .config, faites bien attention aux informations liées à l'ordinateur telles que les adresses IP et les lettres de lecteur. En cas d'erreur, IIS 7.0 propose une solution en prenant en charge les variables des environnements des systèmes d'exploitation (telles que %systemroot%). Veillez également à ce que la même série de modules soit installée sur tous les serveurs de test et de production. Vous évitez ainsi les erreurs d'application inattendues. Les erreurs peuvent également survenir si le web.config référence un module qui n'est pas installé ou si un module par défaut entre en conflit avec un module personnalisé.

Gestion de votre serveur Web
Vous disposez donc d'un superbe serveur Web, tout neuf, personnalisable, flexible et portable. Mais comment allez-vous le gérer ? La gestion était un élément très important dans la planification et la construction d'IIS 7.0. Il existe plusieurs façons de traiter les tâches administratives.
Les préférences de gestion appartiennent généralement à au moins une catégorie parmi les trois catégories suivantes : administration de type pointer-cliquer depuis l'interface utilisateur, entrée de commandes à la ligne de commande et écriture de scripts pour automatiser autant que possible. Commençons par l'interface utilisateur.
Dans IIS 6.0, le composant enfichable MMC (Microsoft® Management Console) de l'interface utilisateur avait deux vues principales et familières : la vue Arborescence et la vue Onglet. Pour atteindre un paramètre, vous deviez cliquer avec le bouton droit et sélectionner Propriétés. Vous obteniez alors un groupe d'onglets ainsi que des cases d'option et des cases à cocher.
Dans IIS 7.0, l'interface utilisateur a fort heureusement été complètement repensée. Cette interface utilisateur, appelée Gestionnaire des services Internet, a été conçue pour permettre une approche orientée vers les tâches, comme l'indique la figure 4. Il existe également un gestionnaire à distance pour les clients de bas niveau tels que Windows XP et Windows Server 2003. Vous pouvez le télécharger sur IIS.net/downloads.
Figure 4 Nouvelle interface utilisateur dans IIS 7.0
Figure 4 Nouvelle interface utilisateur dans IIS 7.0
La nouvelle interface utilisateur comprend le volet Connexions sur la gauche, le volet Actions sur la droite et le volet des tâches ou espace de travail au milieu. L'arborescence du gestionnaire de connexions sur la gauche est identique à l'arborescence d'IIS 6.0 avec des nœuds parents et enfants. La vue arborescence permet désormais de créer de nouvelles connexions, d'enregistrer les connexions actuelles ou de supprimer les connexions existantes. Le volet des tâches représente la meilleure amélioration qui ait été apportée à l'interface utilisateur. Il comprend deux vues. La vue principale prend toutes les propriétés configurables d'IIS de l'ancienne vue « onglets » et les groupe par zones administratives telles que services Internet, gestion et sécurité.
Les propriétés d'ASP.NET ont été également intégrées au Gestionnaire des services Internet, ce qui évite d'avoir à utiliser un composant logiciel enfichable MMC supplémentaire. Chaque propriété configurable possède sa propre icône et peut ainsi être localisée aisément. En outre, étant donné que le Gestionnaire des services Internet a été conçu comme une application Windows Forms, vous pouvez facilement ajouter des icônes de plug-in pour tout module ou fonctionnalité personnalisé que vous écrivez.
Le deuxième vue du volet des tâches est la vue de contenu qui est identique à IIS 6.0 en ce sens qu'elle vous permet de voir ce qui se trouve dans le répertoire de contenu d'un site et d'effectuer des actions par rapport à ce contenu. Elle innove, cependant, par sa capacité à sélectionner un contenu particulier, disons une page Web spécifique, puis à passer à une vue principale pour invoquer des paramètres sur le contenu sélectionné, ce qui vous permet de tout contrôler précisément, jusqu'au niveau de la page.

Autres méthodes de gestion
Pour ceux qui préfèrent la ligne de commande, il existe un nouvel outil puissant appelé APPCMD.exe qui vous permet d'effectuer des tâches simples comme par exemple arrêter un site ou sauvegarder le fichier .config courant et des tâches plus complexes telles que la recherche du schéma de la configuration. La syntaxe est très simple :
APPCMD (command) (object-type) <identifier> </parameter1:value1 ...>.
Pour afficher tous les objets disponibles pour APPCMD, tapez :
APPCMD /?
Ou, si vous voulez voir les commandes disponibles pour un certain type d'objet, entrez :
APPCMD (object-type) /?
Une remarque à l'intention de tous les codeurs : une API de code géré appelée Microsoft.Web.Administration et un nouveau fournisseur WMI (Windows Management Instrumentation) ont été ajoutés à IIS 7.0. Ces deux méthodes proposent de nombreuses options permettant de scripter, automatiser et écrire des outils pour la gestion d'IIS 7.0. Elles peuvent toutes deux être utilisées avec Windows PowerShell®, et le fournisseur WMI peut être également utilisé avec VBScript et JScript®. Pour plus d'informations, voir blogs.msdn.com/carlosag/archive/2006/04/17/MicrosoftWebAdministration.aspx.

Gestion à distance et administration déléguée
IIS 7.0 offrent de nouvelles manières de gérer à distance votre serveur, vos sites, vos applications Web et les droits d'administration délégués de façon sécurisée pour les non-administrateurs. Considérons, tout d'abord, les nouvelles fonctionnalités de gestion à distance et voyons comment elles peuvent vous faciliter la vie.
Par le passé, il y avait deux façons de gérer à distance un serveur IIS : à l'aide d'un site Web de gestion à distance ou en utilisant les services Bureau à distance ou les services Terminal Server pour accéder à l'interface utilisateur. Mais si vous étiez hors de votre pare-feu ou pas sur place, ces options n'étaient pas très utiles. IIS 7.0 comble cette lacune en intégrant des fonctions de gestion à distance directement à l'interface utilisateur. Ces fonctions utilisent un HTTPS compatibles avec les pare-feu.
La gestion à distance d'IIS 7.0 vous facilite la vie de plusieurs façons. Tout d'abord, vous obtenez une expérience d'interface utilisateur comme si vous aviez ouvert une session localement. Ensuite, vous n'avez pas besoin d'ouvrir des ports sur votre pare-feu puisque la communication se fait à travers HTTPS. Enfin, vous pouvez désormais gérer plusieurs serveurs d'une seule interface utilisateur. Plus besoin d'ouvrir plusieurs fenêtres de Bureau à distance ou de site Web distant en même temps.
Le service de gestion à distance d'IIS 7.0 est une petite application Web qui s'exécute en tant que service séparé sous un compte de service local Windows NT® appelé NT Service\WMSVC. Cette conception maintient les fonctionnalités de gestion à distance même si le serveur IIS lui-même est peu réactif.
Comme la plupart des fonctionnalités d'IIS 7.0, la gestion à distance n'est pas installée par défaut pour des raisons de sécurité. Pour installer la fonctionnalité de gestion à distance, ajoutez des services de rôles au rôle de serveur Web dans le Gestionnaire de serveur de Windows Server 2008 qui se trouve sous Outils de gestion. Une fois cette fonctionnalité installée, vous devez activer les connexions à distance et démarrer le service WMSVC puisqu'il est arrêté par défaut.
Le paramètre de démarrage par défaut du service WMSVC est manuel. Si vous voulez que le service soit lancé automatiquement après un redémarrage, vous devez modifier le paramètre et le régler sur Automatique. Pour ce faire, utilisez la ligne de commande et tapez :
sc config WMSVC start=auto
Lorsque vous activerez les connexions à distance via le service de gestion, vous verrez une liste de paramètres tels que les informations d'identification, les connexions et les restrictions d'adresses IPV4. La seule décision qui sera critique à ce moment est celle qui consiste à déterminer la série d'informations d'identification à laquelle vous devez accorder l'autorisation de se connecter à IIS 7.0 : les informations d'identification Windows uniquement ou les informations d'identification Windows et Gestionnaire des services Internet.
La première option vous permet d'autoriser uniquement les comptes utilisateur de Windows, qu'ils s'agissent de comptes locaux ou de domaine. La deuxième option concerne à la fois les utilisateurs de Windows et un type de compte qui est complètement nouveau dans IIS 7.0 et qui n'est pas associé aux comptes utilisateur de Windows : les Utilisateurs du Gestionnaire des services Internet. Avec les Utilisateurs du Gestionnaire des services Internet, les administrateurs peuvent créer des comptes utilisateur qui ne sont connus que dans le contexte d'IIS 7.0 et qui n'ont pas accès au système d'exploitation. Par défaut, enfin, le Gestionnaire des services Internet fournit un certificat autosigné au départ, mais il est recommandé d'ajouter un certificat SSL signé valide. À présent, appliquez votre paramètre et lancez le service.
Pour plus de contrôle et de sécurité, les administrateurs informatiques peuvent déléguer les tâches d'administration de sites individuels ou d'applications Web aux utilisateurs non administrateurs.
L'administration déléguée est essentiellement une administration à distance, mais elle limite l'accès aux sites individuels ou aux applications Web. La fonctionnalité Utilisateurs du Gestionnaire des services Internet est très utile dans ce cas de figure. Vous pouvez créer des utilisateurs IIS pour les propriétaires d'un site unique et déléguer l'autorisation d'administrer leur propre site ou application. Ils n'ont pas accès aux paramètres à l'échelle du serveur et sont limités aux paramètres qui sont uniquement liés à leur site ou application Web spécifique.
Vous pouvez également spécifier les fonctionnalités et paramètres que les utilisateurs peuvent modifier et même les fonctionnalités et paramètres qui sont affichés dans l'interface utilisateur. Par exemple, si vous ne voulez pas que quelqu'un modifie le type d'authentification utilisée pour son site, vous pouvez faire de cette authentification une fonctionnalité à lecture seule ou non héritée. Lorsqu'une fonctionnalité est en lecture seule, les utilisateurs peuvent y accéder et en déterminer le paramètre mais ils ne peuvent pas la modifier ; avec le paramètre non hérité, l'icône de la fonctionnalité ne s'affichera pas dans la vue du Gestionnaire des services Internet de l'utilisateur délégué. Ce genre de délégation de fonctionnalité vous permet de fournir un accès strictement contrôlé aux autres utilisateurs sans leur donner le contrôle administratif du serveur Web.

Passage à IIS 7.0
Lors de la conception d'IIS 7.0, l'équipe a voulu s'assurer que la transition vers ce produit soit aussi fluide que possible en autorisant l'utilisation de certains de vos investissements existants dans les outils de gestion et les scripts d'IIS 6.0. L'équipe a consacré beaucoup de temps à la compatibilité descendante d'IIS 7.0 afin que ce dernier accepte vos scripts d'IIS 6.0. Il existe toute une série d'outils, allant de la compatibilité de la métabase d'IIS 6.0 à la console de gestion même d'IIS 6.0, que vous pouvez installer sous le nœud de compatibilité de gestion d'IIS 6.0, dans le programme d'installation.
L'infrastructure de compatibilité de la métabase d'IIS 6.0 utilise un composant appelé ADOMapper. Il vous permet d'exécuter vos scripts de métabase ABO (Admin Base Object) et ADSI (Active Directory Entretient l'Interface) d'IIS 6.0 par rapport au nouveau système de configuration, le limitant uniquement aux tâches qu'IIS 6.0 pouvait effectuer. Ainsi, il ne peut pas lire ou écrire de nouvelles propriétés IIS 7.0 , accéder aux nouvelles données du service d'exécution ou lire ou écrire des propriétés ASP.NET ou des fichiers web.config.

Dépannage et diagnostics
Le dépannage et les diagnostics ont toujours été des tâches laborieuses. Examiner tous les journaux et essayer de reproduire un problème dans une grande batterie de serveurs Web ou même dans un seul serveur n'est pas une tâche de tout repos. IIS 7.0 dispose également de l'outil appelé Suivi des demandes ayant échoué qui aide à accomplir cette tâche un peu plus rapidement. Il peut être utile dans plusieurs situations, y compris lorsqu'une requête se bloque ou produit des erreurs et lorsqu'il s'agit d'examiner les problèmes d'authentification et d'autorisation.
L'outil Suivi des demandes ayant échoué utilise des règles de suivi pour la recherche d'erreurs. Vous pouvez créer des règles de suivi pour rechercher des types de comportement ou des erreurs en spécifiant le type de contenu que vous aimeriez suivre (par exemple tout le contenu du serveur, uniquement le contenu ASP.NET ou le contenu personnalisé tel que PHP) et les conditions auxquelles le suivi doit commencer (par exemple si un certain code d'état est renvoyé, si le temps mis pour servir la page n'est pas normal, en cas de gravité d'un événement ou toutes ces conditions).
Supposons, par exemple, que des utilisateurs signalent qu'un site met beaucoup de temps à se charger. Dans tous les cas, ce scénario est dur à reproduire, en particulier si vous avez des milliers d'accès par heure. Avec l'outil Suivi des demandes ayant échoué, vous ajoutez tout simplement une règle de suivi pour démarrer la journalisation lorsqu'une page prend plus de temps qu'il n'en faut à se charger (dans ce cas de figure, disons deux secondes) et vous attendez que le serveur reproduise le problème lui-même (voir la figure 5).
Figure 5 Utilisation de l'outil Suivi des demandes ayant échoué pour le dépannage
Figure 5 Utilisation de l'outil Suivi des demandes ayant échoué pour le dépannage
La différence entre l'outil Suivi des demandes ayant échoué et la journalisation traditionnelle est que le premier n'enregistre que s'il détecte un critère de requête qui a échoué. Le fichier journal lui-même est un fichier XML sur lequel est superposée une feuille de style XML, ce qui en fait un fichier propre et facile à lire. Comme la plupart des autres fonctionnalités IIS 7.0, cette fonctionnalité n'est pas installée par défaut. Elle se trouve sous la section réservée à l'état de santé et aux diagnostics du programme d'installation. En outre, vous devez l'activer dans le Gestionnaire des services Internet.
IIS 7.0 représente un grand pas en avant pour tous les administrateurs. Sa nouvelle architecture et ses nouvelles capacités vous offrent toute l'agilité et la flexibilité dont vous avez besoin pour vous adapter à un environnement en constante mutation. Avec ses fonctionnalités d'administration, ses outils de compatibilité descendante et ses capacités de dépannage, il est prêt à être déployé dès aujourd'hui et à commencer à travailler avec votre environnement existant.

Isaac Roybal est responsable de produit Windows Server chez Microsoft. Ses responsabilités incluent tout ce qui concerne le Web dans Windows Server. Isaac travaille avec Windows Server depuis Windows NT 3.51 et IIS 4.0. Auparavant, il était responsable de programme dans le groupe Office Internet Platform and Operations. Il possède une certification MCSE pour Windows NT 4.0, Windows 2000 et Windows Server 2003.


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Acc&#232;s r&#233;seau bas&#233; sur des strat&#233;gies avec Windows&#160;Server&#160;2008
Numéro spécial : Windows Server 2008 Ian Hameroff and Amith Krishnan

Accès réseau basé sur des stratégies avec Windows Server 2008
Vue d'ensemble:
  • Équilibre entre l'accès réseau et la sécurité
  • Une approche basée sur les stratégies de l'accès réseau
  • Les nouvelles technologies de sécurité dans Windows Server 2008

Beaucoup de choses ont été écrites à propos de la disparition des périmètres de réseau traditionnels provoquée par la mobilité toujours croissante des utilisateurs et la diversification continuelle des utilisateurs et des périphériques nécessitant
un accès aux ressources informatiques d'une entreprise. Pour augmenter la productivité, les utilisateurs comme les propriétaires de solutions métier génèrent une demande pour une expérience connectée à la fois fluide et exempte de procédures ennuyeuses. Ajoutez à cette situation déjà complexe un durcissement du cadre réglementaire, le paysage des menaces en évolution et les risques associés à la décentralisation de données.
Ceci a tendance à laisser les administrateurs Windows® embourbés au milieu de la difficile tâche de trouver un juste équilibre pour la sécurité : comment offrir un accès facile aux ressources tout en répondant aux besoins sans cesse en hausse en matière d'informations et de sécurité réseau.
Même s'il n'existe pas de solution unique à tous ces défis, vous disposez, en tant qu'administrateurs Windows, de plusieurs outils visant à améliorer les contrôles de sécurité, comme les pare-feu de périmètre, que vous avez déjà en place. Une méthode formidable pour approcher l'équilibre parfait entre l'accès et la sécurité consiste à passer des modèles de connectivité traditionnels à un modèle qui cherche à définir l'accès réseau de manière plus logique et stratégique.

Une approche de l'accès réseau basée sur les stratégies
Ressources réseau
  • IPSec
  • Pare-feu Windows avec sécurité avancée
  • Isolation du serveur et du domaine
  • Protection d'accès réseau (NAP) pour Windows Server 2008

L'accès réseau basé sur des stratégies vise à supprimer les restrictions existantes que vous rencontrez quand vous essayez de baser la confiance principalement sur les périmètres de topologie réseau. Par exemple, pouvez-vous vraiment déterminer si un périphérique est approuvé et autorisé à se connecter aux serveurs exécutant l'application de gestion des relations client, juste parce qu'il est connecté à l'un de vos ports commutés Ethernet derrière le pare-feu d'entreprise ?
Le nouveau modèle base plutôt ses décisions d'accès en authentifiant à la fois la posture de sécurité du périphérique et l'identité de l'utilisateur demandant l'accès, quel que soit l'emplacement depuis lequel il se connecte. Une fois authentifiée, cette même infrastructure peut alors être utilisée pour autoriser l'accès à certaines informations et ressources.
Passer d'une posture défensive à une plus focalisée sur l'accès implique différents éléments importants, notamment la mise en place de mécanismes capables de valider l'identité et la conformité à la stratégie des hôtes qui se connectent, de générer une identité utilisateur approuvée et de contrôler dynamiquement l'accès réseau en se basant sur ces attributs. Pour simplifier la gestion de ces divers éléments en mouvance, un magasin de stratégies centralisé est également un composant important.
Adopter une approche basée sur des stratégies peut vous aider à imbriquer un certain nombre de contrôles d'accès réseau potentiellement disparates et de contrôles de sécurité d'hôte dans une solution plus complète. Par la suite, ceci vous permet de déterminer les grands principes d'accès réseau au niveau d'une couche logique au-dessus du tissu de connectivité, ce qui fait ainsi évoluer les méthodes recommandées au niveau de la défense.
Par exemple, lorsqu’un utilisateur connecte son portable au réseau sans fil de l'organisation, le périphérique peut être vérifié au niveau de sa conformité avec les dernières exigences de configuration de sécurité. Une fois qu'il a été déterminé que le portable possède toutes les mises à jour d'antivirus actuelles et les correctifs de sécurité critiques et que tous ses contrôles de sécurité de point de terminaison sont activés (comme un pare-feu d'hôte), l'accès au réseau de l'entreprise peut lui être accordé. Alors, lorsque l'utilisateur tente d'accéder à une application professionnelle, la combinaison de l'état d'intégrité du portable et l'identité réseau de l'utilisateur permet de déterminer s'il est autorisé à se connecter aux ressources qui hébergent l'application. En opérant au niveau de cette couche logique sur l'infrastructure du réseau physique, il est possible d'appliquer continuellement des stratégies, même si l'utilisateur passe d'une connexion sans fil à une connexion câblée ou même une connexion d'accès à distance.
Lorsqu'il est mis en œuvre, l'accès réseau basé sur des stratégies peut délivrer une expérience de connexion plus lisse pour les utilisateurs, sans sacrifier la sécurité dans le processus. Pour les administrateurs, le renforcement des contrôles d'accès réseau de configurations de ports commutés ou de passerelles d'accès à distance peut simplifier la gestion. Dans les deux cas, le résultat final est une hausse de la productivité et une amélioration générale de l'intégrité du réseau de l'organisation, même lorsque les réseaux peuvent jouer le rôle d'hôte pour des parties ayant différents droits d'accès, telles que les invités (conviés ou autres), les fournisseurs, les partenaires et les employés.
Comme avec n'importe quel projet de sécurité, la première étape dans l'implémentation de moyens d'accès réseau basés sur des stratégies consiste à développer une série de stratégies opérationnelles holistiques. Ceci inclut normalement des indications pour :
  • la conformité des périphériques en matière de sécurité : que signifie l'intégrité pour un périphérique ?
  • le zonage logique du réseau : comment allez-vous différencier les périphériques malsains de ceux autorisés ?
  • la gestion des risques pour les informations : comment les données sensibles sont-elles classifiées et protégées de toute compromission ?
Heureusement, une grande variété de ressources de développement de stratégies est disponible dans le Centre de Sécurité Microsoft® TechNet (microsoft.com/technet/security).
Une fois que vous avez développé les stratégies d'accès, vous aurez besoin de sélectionner des technologies capables à la fois de les distribuer facilement et de les appliquer efficacement. À cette fin, inutile de chercher plus loin que Windows Server® 2008. Car Windows Server 2008 est non seulement la version la plus sûre de Windows Server à ce jour ; il offre également aux administrateurs une plate-forme de sécurité renforcée pouvant former la pierre angulaire d'une solution d'accès réseau basée sur des stratégies. Parmi sa longue liste de fonctionnalités nouvelles et améliorées, Windows Server 2008 fournit bon nombre des ingrédients nécessaires pour implémenter un accès sécurisé et basé sur les stratégies dans votre réseau, ce qui permet d'assurer la protection des informations sensibles contre la compromission.

Réseaux nouvelle génération
Au centre des avancements sur la sécurité réseau dans Windows Server 2008 se trouve la pile TCP/IP nouvelle génération, une mise à jour majeure à la fonctionnalité de mise en réseau de la plate-forme et aux services apparentés. Outre le fait d'offrir de meilleures performances réseau et une meilleure évolutivité, Windows Server 2008 renforce la sécurité par un ensemble de fonctionnalités de réseau intégrées qui constituent une base solide pour une solution d'accès réseau basée sur les stratégies.
IPSec (Internet Protocol security) est l'une des fonctionnalités qui a fait l'objet d'une mise à niveau significative dans Windows Server 2008, il pourrait jouer un rôle clé dans une approche d'accès réseau basée sur les stratégies. Maintenant, il ne s'agit pas d'utiliser IPSec comme un protocole de tunneling et de chiffrement, mais plutôt d'exploiter au mieux ses capacités d'authentification de réseau d'hôte à hôte. De plus, dans la mesure où IPSec fonctionne au niveau de la couche 3, il peut être utilisé pour appliquer des stratégies d'accès réseau à travers différents types de réseau.
Pour faciliter l'implémentation de contrôles d'accès réseau basés sur IPSec, Windows Server 2008 introduit une longue liste d'améliorations et de nouvelles fonctionnalités visant à simplifier la création, l'exécution et la maintenance de stratégies. Par exemple, le nombre et les types de méthodes d'authentification d'IPSec disponibles ont été augmentés. Ceci a été rendu possible par l'introduction de AuthIP (Authenticated IP), une extension du protocole IKE (Internet Key Exchange). AuthIP vous donne la capacité de rédiger des règles de sécurité de connexion (un autre nom pour les stratégies IPSec dans Windows Server 2008) qui exigent que des utilisateurs en communication s'authentifient avec succès pour ce qui est des informations d'identification de l'ordinateur, voire les informations d'identification d'utilisateur ou les données d'intégrité. Cette flexibilité supplémentaire permet de concevoir des réseaux logiques très sophistiqués sans nécessiter la mise à niveau de votre infrastructure de commutation et de routage.

Pare-feu Windows avec sécurité avancée
Le nouveau Pare-feu Windows avec sécurité avancée se base sur les fonctionnalités d'IPSec que nous venons de décrire. En combinant les règles de sécurité de connexion IPSec avec les filtres de pare-feu dans une seule stratégie, le nouveau Pare-feu Windows ajoute une autre dimension d'accès réseau basée sur des stratégies : des actions de pare-feu d'authentification plus intelligentes.
Selon la figure 1, vous avez maintenant trois options au choix quand vous définissez l'action spécifique qu'un filtre de pare-feu entrant ou sortant doit effectuer : autoriser, bloquer ou autoriser seulement si sécurisé. Lorsque « Autoriser la connexion si elle est sécurisée » est sélectionnée, le Pare-feu Windows exploite les capacités d'authentification réseau d'hôte à hôte d'IPSec pour déterminer si un hôte ou un utilisateur demandant une connexion doit être approuvé en fonction de la stratégie que vous avez définie. La règle de pare-feu vous permet de stipuler quels utilisateurs, quels ordinateurs et quels groupes ont le droit d'établir la connexion. Il est intéressant de noter que ceci ajoute une couche supplémentaire de protection, complétant ainsi les contrôles d'accès existants au niveau de l'application et du système d'exploitation.
Figure 1 Définition des règles d'authentification du pare-feu
Figure 1 Définition des règles d'authentification du pare-feu
Maintenant, vous devez commencer à voir comment imbriquer ces différents contrôles de sécurité réseau par le biais d'une stratégie centralisée pour obtenir une méthode plus efficace et évolutive de gérer l'accès réseau.
Revenons à l'exemple de l'application CRM : L'administrateur peut créer une règle de trafic entrant pour les serveurs exécutant l'application CRM de l'entreprise (via le fichier exécutable du programme ou les ports de service) avec l'option « Autoriser la connexion si elle est sécurisée » sélectionnée. Dans la même stratégie de pare-feu, l'administrateur peut spécifier que seuls les membres du groupe d'utilisateurs de l'application CRM peuvent se connecter à cette application réseau, comme illustré à la figure 2. Si vous prenez ce même concept et que vous l'appliquez à toutes les communications réseau parmi tous les ordinateurs gérés sur votre réseau, vous avez maintenant ajouté une couche d'isolation de serveur et de domaine à votre stratégie d'accès réseau basée sur des stratégies.
Figure 2 Les administrateurs peuvent spécifier qui se peut connecter en fonction de cette stratégie
Figure 2 Les administrateurs peuvent spécifier qui se peut connecter en fonction de cette stratégie

Isolation du serveur et du domaine
Dans la mesure où la plupart des organisations connaissent une augmentation du nombre d'invités et autres périphériques non gérés qui se connectent à leurs réseaux, avoir les moyens de séparer et de protéger vos hôtes approuvés est devenu plus que jamais une question critique. La bonne nouvelle est qu'il existe de nombreuses façons pour isoler les ordinateurs de confiance et gérés des autres sur le réseau. Cependant, vous devez savoir que beaucoup de ces options s'avèrent coûteuses (elles utilisent des systèmes de câblage physique séparés, par exemple) et difficiles à maintenir (comme les VLAN commutés) au fur et à mesure que les réseaux grandissent.
L'isolation de serveur et de domaine peut fournir une méthode plus rentable et gérable pour segmenter votre environnement en réseaux sécurisés et isolés logiquement. Comme l'indique la figure 3, vous utilisez essentiellement les mêmes règles de sécurité de connexion (c'est-à-dire, les stratégies IPSec) que celles décrites précédemment, mais vous les mappez à tous vos ordinateurs gérés via la Stratégie de groupe Active Directory®. Ceci a pour résultat une stratégie d'accès réseau qui exige que tous les utilisateurs s'authentifient entre eux avec succès avant le démarrage de toutes communications. Puisque cette isolation s'opère à la couche 3, l'exécution de ces contrôles d'accès touche les concentrateurs, les commutateurs et les routeurs au-delà des limites physiques et géographiques.
Figure 3 Définition des exigences d'authentification en accord avec vos besoins d'accès réseau
Figure 3 Définition des exigences d'authentification en accord avec vos besoins d'accès réseau
Pour créer un réseau isolé, les divers ordinateurs sur le réseau doivent être séparés en fonction du type d'accès désiré. Les stratégies peuvent être définies de sorte que les ordinateurs sur un réseau isolé puissent établir des communications avec tous les ordinateurs sur le réseau, y compris ceux qui ne sont pas situés sur le réseau isolé. À l'inverse, les ordinateurs qui ne sont pas sur le réseau isolé ne peuvent pas établir de communication avec les ordinateurs qui le sont. En fait, les ordinateurs sur le réseau isolé ignoreront toutes les requêtes de communication provenant des ordinateurs en dehors du réseau isolé.
Un domaine Active Directory et une appartenance de domaine sont utilisés pour appliquer la stratégie réseau. Les ordinateurs membres du domaine acceptent uniquement les communications authentifiées et sécurisées provenant des autres ordinateurs membres du domaine. Facultativement, vous pouvez imposer le chiffrement de toute communication à l'intérieur du domaine isolé.
L'isolation de serveur et de domaine fournit des avantages significatifs en matière de coûts puisqu'aucune modification majeure n'est apportée à l'infrastructure réseau ou aux applications existantes. Cette solution crée un voile de protection activé par stratégie qui non seulement permet de se défendre contre les coûteuses attaques du réseau et l'accès non autorisé aux ressources du réseau de confiance mais elle ne nécessite pas non plus de maintenance continue en fonction des modifications dans la topologie du réseau.

Protection d’accès réseau
Comme décrit précédemment, la solution d'isolation de serveur et de domaine assure la séparation logique des divers ordinateurs et serveurs sur le réseau. Même si cette solution empêche l'accès non autorisé au réseau, il n'y a pas de garantie qu'un ordinateur autorisé ne sera pas la cause d'une menace pour la sécurité.
La Protection de l'accès réseau (NAP) est une plate-forme intégrée à Windows Server 2008 qui permet d'assurer que les ordinateurs se connectant à un réseau ou communiquant sur un réseau répondent aux critères d'intégrité d'un système (c'est-à-dire, la conformité à la sécurité et la stratégie) que vous avez définis.
Même les utilisateurs autorisés sont souvent responsables de la propagation de virus et de logiciels espions sur le réseau. Par exemple, lorsqu'un utilisateur prend des vacances, son ordinateur peut cesser d'être conforme aux exigences en matière de sécurité déterminées par l'administrateur. Ceci peut avoir des répercussions sérieuses si un correctif ou une signature imposé publié en l'absence de l'utilisateur n'est pas installé sur l'ordinateur.
Cela va bien au-delà des capacités dont dispose un administrateur pour suivre chaque utilisateur qui se connecte au réseau. Il faut donc un outil automatisé capable de vérifier la conformité de l'intégrité de chaque ordinateur connecté au réseau et de corriger tout ce qui est détecté non conforme, le tout basé sur une stratégie centrale. C'est ce que fait NAP, en ajoutant toutefois une autre couche à votre solution d'accès réseau basée sur des stratégies.
L'agent NAP, intégré dans le système d'exploitation de l'ordinateur client (tel que dans Windows Vista®) ou installé séparément (pour les versions antérieures de Windows de même que les autres systèmes d'exploitation), signale tous les problèmes de conformité au Serveur de stratégie réseau (NPS), qui est le moteur de stratégie intégré à Windows Server 2008. C'est dans le NPS que vous définissez les stratégies de conformité que chaque périphérique doit respecter.
Il est nécessaire de limiter les périphériques qui échouent aux vérifications de conformité, mais il est aussi important d'assurer une option de mise en quarantaine et de correction. La Protection d'accès réseau fournit l'option permettant soit de corriger automatiquement le périphérique dans le cas où la solution de pare-feu ou d'antivirus est activée, soit de manuellement corriger le périphérique en le repoussant dans une zone de quarantaine. Ici, le périphérique a accès à un serveur de mise à jour avec les derniers correctifs, les dernières mises à jour et les dernières signatures. Une fois que l'utilisateur a mis à jour le périphérique manuellement, l'accès au réseau lui est autorisé s'il réussit la vérification de la conformité.
Grâce à l'ubiquité, l'accès réseau est devenu beaucoup plus simple. Cependant, ceci a créé une charge de travail supplémentaire pour garantir que les périphériques sont intègres et conformes quel que soit le mécanisme d'accès. Les ordinateurs peuvent accéder au réseau via un commutateur compatible 802.1X normal ou un point d'accès sans fil, ou ils peuvent se connecter à distance depuis le domicile de l'utilisateur en utilisant une connexion VPN ou une connexion à distance basée sur Terminal Services. La Protection d'accès réseau assure non seulement la conformité pour les ordinateurs qui se connectent via ces mécanismes différents mais elle fournit également l'application des stratégies d'accès au niveau du serveur DHCP, du commutateur 802.1X, de la passerelle VPN, de la passerelle Terminal Services ou du point d'accès sans fil compatible 802.1X.
Dans la figure 4, le réseau a déjà été isolé en utilisant la solution d'isolation de serveur et de domaine. L'utilisation de la Protection d'accès réseau (NAP) avec tel un réseau isolé offre des avantages supplémentaires pour garantir la conformité de l'intégrité des ordinateurs qui se connectent au réseau. Le client, au démarrage, envoie sa déclaration d'intégrité (SoH) à l'Autorité d’inscription d’intégrité (HRA), en d'autres termes un serveur de certificats. L'Autorité d’inscription d’intégrité transmet la déclaration d'intégrité au serveur NPS pour la validation de stratégie. Si la déclaration d'intégrité est valide, l'autorité HRA envoie au client NAP un certificat d'intégrité et le client peut alors établir la communication sécurisée basée sur IPSec avec les ressources sécurisées. Si la déclaration d'intégrité n'est pas valide, l'autorité HRA indique au client NAP comment corriger son état d'intégrité et n'émet pas de certificat d'intégrité. Le client NAP ne peut pas établir la communication avec les autres ordinateurs qui exigent un certificat d'intégrité pour l'authentification IPSec. Cependant, le client NAP peut communiquer avec le serveur de mise à jour pour rétablir sa conformité.
Figure 4 Protection de l'accès réseau avec mise en application d'IPsec
Figure 4 Protection de l'accès réseau avec mise en application d'IPsec

Assemblage
Bien que nous ayons juste effleuré la surface des nouvelles fonctionnalités et fonctions dans Windows Server 2008, il est important de reconnaître comment chaque composant se base sur le précédent. La différence avec l'approche traditionnelle de défense est l'infrastructure de stratégie sous-jacente qu'offre Windows Server 2008, telle que la Stratégie de groupe Active Directory.
Grâce à cette expérience intégrée, vous bénéficierez d'une solide base de travail pour définir et déployer une solution d'accès réseau basée sur des stratégies sans devoir supprimer des investissements existants. En plaçant la décision d'accès à un niveau plus logique et centré sur les stratégies, vous avez l'opportunité de faire pencher en votre faveur l'équilibre entre facilité d'accès et renforcement de la sécurité.
Microsoft a publié un bon nombre d'instructions qui détaillent les domaines technologiques mentionnés dans cet article. Nous vous recommandons dans un premier temps de consulter ces articles et ces guides détaillés pour vous familiariser avec le fonctionnement des diverses fonctionnalités. (Les liens dans l'encadré « Ressources réseau » peuvent vous offrir un point de départ pour cela.) Ensuite, envisagez de réaliser chaque étape de manière à fournir une base solide pour l'étape suivante.
Par exemple, créez un ensemble de règles de pare-feu d'authentification pour vos applications critiques, comme présenté dans la section Pare-feu Windows avec sécurité avancée. Une fois que vous êtes à l'aise avec cela, vous pouvez développer les règles de sécurité de connexion afin d'isoler votre domaine de réseau, puis d'ajouter là-dessus la protection de l'accès réseau. Les avantages de l'implémentation d'une stratégie d'accès réseau basée sur des stratégies peuvent être très importants, notamment parce qu'elle vous aide à suivre le rythme du monde sans cesse en évolution que nous appelons nos réseaux d'entreprise.

Ian Hameroff est responsable produit senior dans le groupe Security and Access Product Marketing chez Microsoft. Il est responsable de la gestion de produits et de la commercialisation des technologies de mise en réseau de la plate-forme Windows Server. Ian dirige la stratégie de mise sur le marché des réseaux et des solutions Windows Server orientées vers des initiatives clés en matière de réseau et de sécurité, telles que l'isolation de serveur et de domaine, les réseaux évolutifs et l'adoption d'IPv6.
Amith Krishnan est responsable de produit senior dans le groupe Security and Access Product Marketing chez Microsoft et il a pour responsabilités la gestion et la commercialisation de produits pour les réseaux Windows Server et les initiatives de sécurité telles que la protection de l'accès réseau et les liaisons sans fil sécurisées. Il développe également la stratégie commercialisation et assure la promotion de ces solutions.


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Configuration des r&#244;les avec le Gestionnaire de serveur
Numéro spécial : Windows Server 2008 Byron Hynes

Configuration des rôles avec le Gestionnaire de serveur
Vue d'ensemble:
  • La différence entre les rôles et les fonctionnalités
  • Ce que vous pouvez faire avec le Gestionnaire de serveur
  • Utilisation des assistants
  • Gestion des rôles et des fonctionnalités à partir de la ligne de commande

Un thème qui semble correspondre à Windows Server 2008 est que « moins il y en a, mieux c'est ». Je ne veux pas suggérer l'idée de supprimer inutilement des fonctionnalités. Mais plutôt que la stratégie consiste à simplifier et à clarifier les rôles et les outils de sorte que vous puissiez installer exactement ce dont vous avez besoin et rien de plus. Le Gestionnaire de serveur
est un élément essentiel de ce concept dans Windows Server® 2008
et ce, de deux manières. Premièrement, l'importance cruciale des rôles et fonctionnalités de serveur qui sont les composants essentiels de Windows Server 2008. Deuxièmement l'outil Gestionnaire de serveur lui-même. Cet outil non seulement remplace plusieurs outils utilisés dans Windows Server 2003, mais regroupe également un plus grand nombre de fonctionnalités en un seul point, ce qui permet aux administrateurs débordés, comme vous, de gagner en efficacité, rapidité et simplicité.

Rôles et fonctionnalités
Si vous avez lu la documentation de Windows Server 2008, vous avez probablement trouvé certains termes que vous n'aviez jamais entendu précédemment dans le contexte Windows®, tels que « charges de travail » et « rôles ». Je commencerai en expliquant ce que ces termes signifient pour les informaticiens.
Au début du cycle de développement de Windows Server 2008, nous avons passé beaucoup de temps à rechercher la manière exacte dont nos utilisateurs utilisaient nos produits serveurs. (D'ailleurs, nous continuons cette recherche). Nous avons découvert que, de manière générale, les utilisateurs déployaient nos serveurs pour réaliser des actions spécifiques. Cela peut vous paraître peu scientifique mais cela nous a fait comprendre que les clients n'achetaient pas nos serveurs pour le simple désir d'avoir un serveur. Plus important encore, ils ne déploient pas les serveurs pour accomplir une foule de tâches. Ils veulent plutôt un serveur pour accomplir une tâche spécifique. Il y a bien sûr des exceptions, mais dans la plupart des cas, un serveur est configuré pour exécuter une fonction particulière.
Suite à ces révélations, nous avons regroupé le « les choses particulières » dans de larges classifications que nous avons appelé des charges de travail. Par exemple, il existe une charge de travail de base de données et une charge de travail de serveur d'applications. Puisque les charges de travail sont vastes et parfois un peu floues, nous avons créé dans les charges de travail des sous-catégories appelées rôles. Un rôle est une action simple, très spécifique qui doit être exécutée par un serveur. Pensez à la manière dont vous (et les utilisateurs de votre entreprise) faites référence aux serveurs sur votre réseau. Si vous êtes comme la plupart des utilisateurs, vous les voyez probablement comme le serveur de fichiers, le contrôleur de domaine, le serveur d'impression, le serveur Web, etc. Puisque c'est ainsi que les utilisateurs ont tendance à cataloguer les serveurs, Windows Server 2008 adopte la même approche pour traiter les rôles.
Globalement, il existe trois catégories principales de rôles dans Windows Server 2008 : Gestion de l'identité et de l'accès (ces rôles sont intégrés dans Active Directory®), l'infrastructure (ceci inclut les serveurs de fichiers, les serveurs d'impression, DNS, etc.) et l'application (tel que le rôle du serveur Web et des services Terminal Server).
Windows Server 2008 sera livré avec environ 17 rôles de serveur (ceux-ci incluent des rôles tels que les services de certification d'Active Directory, la stratégie de réseau et les services d'accès et la virtualisation de Windows Server). Il est probable que des rôles supplémentaires, tels que le rôle des services de diffusion multimédia, pourront, par ailleurs, être téléchargés.
Chaque rôle mériterait vraiment qu'on lui consacre un article spécial. Certains d'entre eux sont abordés de manière plus approfondie dans ce numéro de TechNet magazine, d'autres ont déjà été traités et d'autres encore le seront prochainement. Vous devez explorer chacun d'eux, en commençant par les informations disponibles sur technet2.microsoft.com/windowsserver2008/en/servermanager/default.mspx.
Au commencement du déploiement de Windows Server 2008, vous devez choisir les rôles qui seront installés sur chaque serveur. Ce déploiement basé sur les rôles est un concept important pour l'utilisation efficace de Windows Server 2008 et pour l'agilité de déploiement de vos ressources.
La liste de rôles n'inclut pas des éléments tels que le chiffrement de lecteur BitLockerTM et l'équilibrage de la charge réseau (NLB). En effet, bien que ces fonctionnalités soient utiles, les utilisateurs n'achètent pas un système spécifique pour en bénéficier. En revanche, les rôles correspondent à des tâches qui suscitent l'achat de systèmes particuliers pour les exécuter. Par exemple, les utilisateurs n'achètent pas de serveur pour implémenter l'équilibrage de la charge. Mais ils en achètent un pour alimenter un site Web. En effet, si le NLB peut être un aspect essentiel d'un serveur Web, par exemple, ce n'est pas l'essence même de l'existence du serveur.
Au lieu d'installer et d'activer toutes les fonctionnalités du serveur, l'administrateur choisit les fonctionnalités qu'il veut installer. (Les fonctionnalités incluses dans Windows Server 2008 sont répertoriées à la figure 1.) L'intégration exclusive des rôles et des fonctionnalités qui sont nécessaires améliore la stabilité et la sécurité. Vous n'avez pas à vous soucier de l'utilisation des ressources par les fonctionnalités ou les rôles qui ne sont pas installés. Vous n'avez pas à vous soucier des fonctionnalités de dépannage ou de la sécurisation des rôles qui ne sont pas installés.
Figure 1 Fonctionnalités de Windows Server 2008 (Close Figure 1)

Fonctionnalités Microsoft .NET Framework 3.0
Chiffrement de lecteur BitLocker
Extensions serveur BITS
Kit d'administration de Connection Manager
Expérience Bureau
Gestion des stratégies de groupe
Client d'impression Internet
Internet Storage Name Server (iSNS)
Moniteur de port LPR
Message Queuing
Entrées/sorties réparties sur plusieurs chemins
Protocole PNRP
Service qWave (Quality Windows Audio Video Experience)
Assistance à distance
Outils d’administration de serveur distant
Gestionnaire de stockage amovible
Proxy RPC sur HTTP
Services pour NFS
Serveur SMTP
Gestionnaire de stockage pour réseau SAN
Services TCP/IP simplifiés
Services SNMP
Sous-système pour applications UNIX
Client Telnet
Serveur Telnet
Client TFTP (Trivial File Transfer Protocol)
Clusters de basculement
Équilibrage de la charge réseau
Sauvegarde Windows Server
Gestionnaire de ressources système Windows
Serveur WINS (Windows Internet Naming Service).
Service de réseau local sans fil
Base de données interne Windows
Windows PowerShell
Service d'activation des processus Windows
L'exemple même de ce concept est l'option d'installation de Server Core. Server Core dépasse le cadre de cet article, mais cet exemple vous aidera à comprendre l'extension logique de prendre les rôles et les fonctionnalités inutilisées et de ne même pas les copier sur le disque dur ou les rendre disponibles. Une différence essentielle entre une installation normale et une installation Server Core est que la première inclut les ressources nécessaires pour installer des rôles supplémentaires à tout moment et prend en charge tous les rôles. Server Core ne possède même pas une interface utilisateur graphique pour son shell et prend seulement en charge un nombre limité de rôles.

Gestionnaire de serveur
La nouvelle console Gestionnaire de serveur de Windows Server 2008 simplifie la gestion et la sécurisation de plusieurs rôles de serveur au sein d'une entreprise. Pour l'essentiel, un Gestionnaire de serveur Microsoft® Management Console (MMC) étendu vous permet d'afficher et de gérer pratiquement toutes les informations et outils ayant une incidence sur la productivité de votre serveur. Le Gestionnaire de serveur offre une source unique pour la gestion de l'identité et des informations système d'un serveur, l'affichage de l'état du serveur, l'identification des problèmes de configuration des rôles serveur, ainsi que la gestion de tous les rôles installés sur le serveur. (Notez qu'il remplace également plusieurs fonctionnalités incluses dans Windows Server 2003, telles que Gérer votre serveur, Configurer votre serveur et Ajouter ou Supprimer des composants Windows).
Dans certains cas, le Gestionnaire de serveur peut également réduire la nécessité d'exécuter l'Assistant Configuration de la sécurité (SCW) avant de déployer des serveurs. Le Gestionnaire de serveur configure votre serveur pour que les rôles installés soient fonctionnels, par exemple, en configurant automatiquement le pare-feu Windows. Cependant, dans le cas d'ajout de rôles puis de suppression ou si vous voulez avoir plus de contrôle sur les paramètres de sécurité exacts, SCW reste un outil utile. Pour plus d'informations, reportez-vous à la rubrique Vigilance sécurité de Jesper Johansson « Utilisation de l'Assistant Configuration de la sécurité dans Windows Server 2008 » dans ce numéro (microsoft.com/technet/technetmag/issues/2008/03).
Lorsque nous développions Windows Server 2008, nous avons pris le temps d'examiner la manière dont nous avions prévu que les administrateurs exécuteraient les tâches. Nous avons recherché des façons d'optimiser les outils et les assistants pour vous faciliter le travail et nous avons trouvé certains cas dans lesquels il fallait passer trop souvent d'un outil à un autre. Nous nous sommes fixé un objectif de conception essentiel pour Windows Server 2008 en général, et pour le Gestionnaire de serveur en particulier : rendre l'administration des serveurs plus efficace en permettant aux administrateurs d'exécuter un maximum de types de tâches à partir d'un emplacement unique. C'est la raison pour laquelle, avec le Gestionnaire de serveur, vous pouvez :
  • Afficher et apporter des modifications aux rôles et fonctionnalités serveur installés sur le serveur.
  • Exécuter les tâches de gestion qui se rapportent au serveur, telles que le démarrage ou l'arrêt des services et la gestion des comptes utilisateur locaux.
  • Exécuter les tâches de gestion qui se rapportent aux rôles installés sur le serveur.
  • Vérifier l'état du serveur, identifier les événements critiques et analyser les problèmes de configuration.
  • Installer ou supprimer des rôles, des services de rôle et des fonctionnalités à l'aide d'une interface utilisateur graphique ou d'une ligne de commande.
La console Gestionnaire de serveur présente un grand nombre d'informations et de fonctionnalités regroupées dans un petit espace. La figure 2 affiche la console Gestionnaire de serveur sur le nœud de rôle des services de fichiers. La fenêtre principale de la console contient quatre sections réductibles : Résumé serveur, Résumé des rôles, Résumé des fonctionnalités et Ressources et support.
Figure 2 Console Gestionnaire de serveur affichant le rôle des services de fichiers
Figure 2 Console Gestionnaire de serveur affichant le rôle des services de fichiers
La section Résumé serveur inclut deux sous-sections, Informations sur l'ordinateur et Informations sur la sécurité. La sous-section Informations sur l'ordinateur affiche le nom de l'ordinateur, le domaine, le nom du compte administrateur local, les connexions réseau et la référence produit du système d'exploitation. Vous pouvez utiliser également des commandes pour modifier ces informations. La sous-section Informations sur la sécurité indique si la mise à jour automatique de Windows et le pare-feu Windows sont activés et si la configuration de sécurité renforcée d’Internet Explorer® est activée (pour les administrateurs ou les autres utilisateurs). De même, des commandes sont disponibles pour modifier ces paramètres et afficher toutes les options avancées.
La section Résumé de rôles contient un tableau qui indique les rôles installés sur le serveur. Les commandes de cette section vous permettent d'ajouter ou de supprimer des rôles ou d'accéder à une console plus détaillée dans laquelle vous pouvez gérer un rôle spécifique.
La section Résumé de fonctionnalités contient un tableau répertoriant les fonctionnalités installées sur le serveur. Ici, évidemment, vous pouvez ajouter et supprimer des fonctionnalités.
Finalement, la section Ressources et support indique si le serveur participe au Programme d'amélioration des services (CEIP) et aux Rapports d'erreurs Windows et vous permet de configurer la participation du serveur dans les programmes d'analyse des commentaires. Par ailleurs, vous pouvez localiser rapidement les rubriques d'aide et de recherche apparentées supplémentaires, disponibles dans les TechCenters et les bibliothèques techniques de Windows Server.

Informations sur les rôles
Chaque rôle installé possède sa propre page d'accueil dans le Gestionnaire de serveur. Pour chacune des pages d'accueil de rôle, la section Ressources et support offre un menu des configurations ou des scénarios recommandés dans lesquels le rôle entre en jeu même partiellement. Chaque configuration recommandée est liée à une liste de vérification d'aide qui vous guide dans les tâches que vous avez besoin d'exécuter pour créer la meilleure expérience pour le rôle attribué.
Une chose particulièrement agréable avec le Gestionnaire de serveur est qu'il fait remonter des informations et des commandes importantes et qu'il les place exactement là où vous en avez besoin. Lorsque, par exemple, vous regardez la page d'accueil du rôle Services de fichiers, vous voyez tout de suite tous les événements apparentés à ce rôle, sans avoir à lancer l'Observateur d'événements et à créer un filtre.
Mais comme certains rôles peuvent générer des centaines d'événements, vous pouvez également créer des filtres personnalisés directement à partir de la page d'accueil du rôle. Vous pouvez choisir Filtrer les événements dans le menu latéral et filtrer les événements affichés. Cette boîte de dialogue ne fournit pas toutes les options de filtrage disponibles dans la visionneuse du journal des événements, mais elle vous permet rapidement de concentrer votre attention exclusivement sur les événements apparentés à ce rôle particulier et de ne pas vous soucier du filtrage des autres.
De la même manière, vous pouvez voir l'état de services système (services requis par ce rôle, mais appartenant au système général) et les services de rôle (services spécifiques à ce rôle). Pour certains rôles, vous pouvez choisir quelles parties d'un rôle sont disponibles ainsi que les différents ensembles de services de rôle à installer. Directement à partir de la page d'accueil du rôle, vous pouvez démarrer et arrêter des services, ainsi que spécifier les services qui doivent être contrôlés comme services système pour le rôle.

Utilisation des assistants
Un assistant bien conçu peut vous faire gagner du temps et vous aider à empêcher des erreurs, notamment lors de la gestion de tâches qui ne sont exécutées qu'occasionnellement. Les versions précédentes de Windows Server exigeaient que vous utilisiez Configurer votre serveur, Gérer votre serveur et Ajouter ou Supprimer des composants Windows pour modifier des composants installés sur votre serveur. Les vérifications de dépendance étaient limitées et l'ajout ou la suppression de composants Windows nécessitaient l'installation complète d'un rôle avant de pouvoir en ajouter un autre.
Maintenant, à l'aide des Assistants Gestionnaire de serveur, vous pouvez installer ou supprimer plusieurs rôles, services de rôle et fonctionnalités dans une seule session. Mieux encore, les vérifications de dépendance sont exécutées à mesure de votre progression dans les Assistants Gestionnaire de serveur, apportant ainsi la garantie que tous les rôles nécessaires et services de rôle sont installés. Les rôles sont configurés avec les paramètres de sécurité par défaut recommandés. Vous pouvez, cependant, utiliser l'Assistant Configuration de la sécurité pour modifier les paramètres de sécurité. Votre serveur peut être totalement prêt pour le déploiement après une seule session dans l'un des Assistants Gestionnaire de serveur.
Le Gestionnaire de serveur contient plusieurs assistants, parmi lesquels l'Assistant d'ajout de rôles, l'Assistant d'ajout de services de rôle, l'Assistant d'ajout de fonctionnalités, l'Assistant de suppression de rôles, l'Assistant de suppression de services de rôle et l'Assistant de suppression de fonctionnalités.
L'Assistant d'ajout de rôles, comme vous pouvez le deviner, est utilisé pour ajouter des rôles au serveur. Il vérifie automatiquement les dépendances entre les rôles et s'assure que tous les rôles et services de rôle requis sont installés pour chaque rôle sélectionné. Pour certains rôles, tels que les services Terminal Server et les services de certificats Active Directory, l'Assistant d'ajout de rôles fournit également des pages de configuration qui permettent à l'utilisateur de spécifier le mode de configuration du rôle comme partie intégrante du processus d'installation. La figure 3 montre la page de sélection des rôles de serveur de l'Assistant d'ajout de rôles.
Figure 3 Utilisation de l'Assistant d'ajout de rôles pour sélectionner des rôles de serveur
Figure 3 Utilisation de l'Assistant d'ajout de rôles pour sélectionner des rôles de serveur
La plupart des rôles sont composés de plusieurs sous-éléments auxquels le Gestionnaire de serveur fait référence sous le nom de services de rôle. Une fois un rôle complexe installé, vous pouvez utiliser l'Assistant d'ajout de services de rôle pour ajouter des services de rôle au rôle.
Comme l'Assistant d'ajout de rôles, l'Assistant d'ajout de fonctionnalités vous permet d'installer des fonctionnalités. Vous pouvez ajouter une ou plusieurs fonctionnalités au système en une seule session.
L'Assistant de suppression des rôles, comme son nom l'indique, vous permet de supprimer des rôles de serveur. Il vérifie automatiquement les dépendances pour s'assurer que tous les rôles ou services de rôles nécessaires pour les rôles conservés restent installés. Vous pouvez supprimer également les services de rôle d'un rôle installé, à l'aide de l'Assistant de suppression de services de rôle. L'Assistant de suppression des fonctionnalités vous permet de supprimer des fonctionnalités du système.

La ligne de commande
Je rencontre parfois des professionnels de l'informatique qui détestent les assistants. Ils ne sont pas tous aussi véhéments, mais la plupart d'entre eux aiment avoir la possibilité d'utiliser une ligne de commande. Cette solution peut être plus commode car elle simplifie la répétabilité et l'écriture de scripts. Le Gestionnaire de serveur intègre un outil de ligne de commande, ServerManagerCmd.exe, beaucoup plus simple que les outils ocsetup et pkgmgr précédents. Vous pouvez utiliser ServerManagerCmd.exe pour installer et supprimer des rôles, des services de rôle et des fonctionnalités. Vous utilisez des paramètres simples pour afficher une liste de tous les rôles, services de rôle et fonctionnalités, en indiquant ceux qui sont installés et ceux disponibles pour l'installation.
Cette ligne de commande vous permet de procéder sans assistance à l'installation et à la désinstallation des rôles, services de rôle et fonctionnalités. Vous pouvez également utiliser la ligne de commande pour installer ou supprimer un seul rôle, service de rôle ou fonctionnalité dans une instance de commande, ou utiliser un fichier de réponse XML avec la commande du Gestionnaire de serveur pour ajouter ou supprimer plusieurs rôles, services de rôle et fonctionnalités dans une seule instance de commande. Vous pouvez afficher des enregistrements d'opérations et exécuter des requêtes pour afficher les listes de rôles, les services de rôle et les fonctionnalités qui ont été installés et ceux disponibles pour l'installation.
Un point fort de cet outil de ligne de commande est le paramètre whatif, qui vous permet de voir exactement les modifications qui résulteraient de l'installation du rôle spécifié. Par exemple, la figure 4 affiche les résultats de l'exécution de la commande suivante :
ServerManagerCmd -install Web-Server
-allsubfeatures -whatif
Vous pouvez, bien sûr, enregistrer cette sortie dans un fichier pour l'analyser de manière plus approfondie.
Figure 4 Utilisation du paramètre whatif pour afficher les modifications apportées au serveur
Figure 4 Utilisation du paramètre whatif pour afficher les modifications apportées au serveur
Pour une description plus approfondie des détails et de la syntaxe de ServerManagerCmd.exe, reportez-vous à « Server Manager Technical Overview Appendix » (Annexe de la présentation technique du Gestionnaire de serveur) disponible sur go.microsoft.com/fwlink/?LinkId=107113.
Je remercie vivement Gaby Kaplan pour sa contribution à cet article.

Byron Hynes est stratégiste en technologie d'entreprise dans le Groupe Entreprises et Partenaires chez Microsoft. Il a travaillé dans la division Windows Server, comme consultant et formateur. Vous pouvez le contacter à l’adresse suivante : bhynes@microsoft.com.


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: D&#233;ploiement de Windows&#160;Server&#160;2008 avec System Center
Numéro spécial : Windows Server 2008 Tim Mintner

Déploiement de Windows Server 2008 avec System Center
Vue d'ensemble:
  • Fonctionnalités de déploiement du Gestionnaire de configuration Configuration Manager
  • Création et personnalisation d'une séquence de tâches du serveur
  • Ajout de rôles de serveur
  • Configuration des variables spécifiques à l'ordinateur

Avec System Center Configuration Manager 2007, les administrateurs du serveur peuvent exploiter maintenant les outils de déploiement des systèmes d'exploitation que les administrateurs clients utilisent
depuis plusieurs années. Autrefois, les administrateurs de serveurs installaient souvent manuellement Windows Server® à l'aide du CD ou du DVD, puis passaient des heures à configurer le serveur. Certains administrateurs sont allés plus loin et ont développé des routines d'installation sans assistance en créant un fichier unattend.txt et en utilisant parfois les Services d'installation à distance (RIS) pour automatiser le processus d'installation afin d'éviter de devoir être physiquement présent devant la console du serveur. Les administrateurs plus avancés ont profité des Services de déploiement automatisé (ADS) pour Windows Server 2003 pour automatiser totalement le processus complet de génération du serveur. Aujourd'hui, avec Windows Server 2008, le processus d'installation pour les serveurs s'est considérablement modifié pour la première fois depuis Windows NT® 4.0.
Le déploiement Windows Server 2008 utilise les mêmes outils et technologies de déploiement sous-jacents que Windows Vista®. À cause de cette modification, les outils que les administrateurs de serveurs utilisaient par le passé doivent être mis à jour ou remplacés. RIS a été remplacé par les Services de déploiement Windows® (WDS) et ADS ne prend pas en charge le déploiement Windows Server 2008. Pour plus d'informations sur les technologies et les outils qui ont été modifiés avec le déploiement serveur et client, consultez « 10 points à connaître sur le déploiement de Windows Vista » à l'adresse technetmagazine.com/ issues/2006/11/Deployment.
Puisque les technologies sous-jacentes pour le déploiement de Windows Server 2008 et Windows Vista sont les mêmes, ne serait-ce pas vraiment génial si vous pouviez utiliser les mêmes outils et tirer profit des mêmes connaissances pour déployer les deux ? System Center Configuration Manager et Microsoft® Deployment offrent désormais cet outil intégré. Cet article décrit comment vous pouvez utiliser Configuration Manager avec Microsoft Deployment pour lancer le déploiement de Windows Server 2008.

Déploiement de système d'exploitation avec Configuration Manager
Avant de commencer à déployer Windows Server 2008, examinons les fonctionnalités de déploiement de système d'exploitation de Configuration Manager. Lorsque vous lancez la console Configuration Manager et que vous accédez à Gestion de l'ordinateur, vous remarquez une nouvelle page pour le déploiement de système d'exploitation, comme illustré à la figure 1.
Figure 1 Page de déploiement de système d'exploitation
Figure 1 Page de déploiement de système d'exploitation
Sur cette page, vous pouvez afficher un résumé rapide des déploiements de système d'exploitation survenus dans votre environnement et vous pouvez naviguer vers les autres nœuds de déploiement de système d'exploitation, tels que Manage Task Sequences (Gérer des séquences de tâche) et Manage Boot Images (Gérer des images de démarrage). Vous trouverez une liste des rapports Web à afficher pour connaître le statut des déploiements et la santé de votre environnement de déploiement. Il existe également une référence d'aide rapide sous Ressources vous permettant d'accéder à la documentation d'aide pour le déploiement de système d'exploitation.
Si vous regardez sous les nœuds dans le volet de navigation, vous pouvez voir tous les éléments qui doivent être configurés pour déployer un système d'exploitation. Voici un résumé de ces éléments :
Images de démarrage Contient une liste d'images de démarrage basées sur Windows PE 2.0 qui sont utilisées pendant le processus de déploiement.
Associations d'ordinateurs Principalement utilisés pour les déploiements clients afin de mapper un ordinateur existant sur une nouvelle machine de manière à gérer l'état des utilisateurs en toute sécurité. Il contient également un assistant permettant d'importer des comptes d'ordinateur inconnus dans la base de données Configuration Manager de manière à pouvoir déployer des serveurs vierges (sans système d'exploitation).
Images du système d'exploitation Contient une liste de packages qui contiennent des images Windows Imaging Format (WIM) personnalisées pour le déploiement serveur et client.
Le système d'exploitation installe des packages Les packages contiennent la série complète des fichiers source nécessaires au déploiement de système d'exploitation, tels que les fichiers sources pour Windows Server 2008.
Séquences de tâches Contient plusieurs étapes dont chacune définit les actions de ligne de commande qui s'exécuteront sans l'interaction de l'utilisateur. Les séquences de tâches sont le moteur du processus de déploiement de système d'exploitation. Elles peuvent fournir toutes les étapes nécessaires pour déployer et configurer un système d'exploitation.
Pilotes Un référentiel central permettant de gérer tous les pilotes est nécessaire pour les divers modèles de serveurs et les ordinateurs clients.
Packages de pilotes Contient un ou plusieurs ensembles de pilotes qui peuvent être distribués sur les points de distribution de Configuration Manager et qui sont utilisés pendant le déploiement des ordinateurs serveurs ou clients.
Maintenant que nous avons expliqué les bases des fonctionnalités de déploiement de système d'exploitation de Configuration Manager, rassemblons toutes les connaissances dont nous avons besoin pour exécuter un déploiement Windows Server 2008.

Préparation du déploiement de Windows Server 2008
Présentation de Microsoft Deployment
Microsoft Deployment est la nouvelle version de Business Desktop Deployment (BDD) 2007. Elle réunit les outils et les processus requis pour le déploiement des ordinateurs de bureau et des serveurs en une console de déploiement et un ensemble de conseils communs. Le produit ajoute de nouvelles fonctionnalités de déploiement et de séquencement des tâches pour les ordinateurs de bureau et les serveurs à l'aide de System Center Configuration Manager 2007.
Microsoft Deployment est disponible sur les centres de téléchargement Microsoft et le matériel d'aide peut être lu en ligne dans les TechCenters Déploiement d'ordinateurs de bureau et Déploiement de serveurs de Microsoft TechNet. Pour plus d'informations et de liens vers ces destinations et vers d'autres contenus apparentés, consultez microsoft.com/deployment.

Pour déployer Windows Server 2008 avec Configuration Manager, vous avez besoin des éléments suivants :
Boîte à outils de Microsoft Deployment (MDT) Fournit des outils et documentation sur les méthodes recommandées de déploiement de systèmes d'exploitation clients et serveurs. Elle s'intègre directement à la console Configuration Manager pour rationaliser le processus de déploiement. Vous pouvez télécharger la boîte à outils de Microsoft Deployment à partir de microsoft.com/deployment.
Image de démarrage personnalisée Configuration Manager fournit des images de démarrage 32 et 64 bits basées sur Windows PE 2.0 et inclut la prise en charge des applications VBScript, Windows Management Instrumentation (WMI) et HTML (HTA). Cependant, si vous voulez que votre processus de déploiement demande des informations à une base de données SQL Server® séparée, vous avez besoin d'une image de démarrage personnalisée intégrant la prise en charge ADO.
Package d'installation du système d'exploitation Contient les fichiers sources du DVD Windows Server 2008.
Package MDT Contient tous les scripts et fichiers d'accompagnement nécessaires à la boîte à outils de Microsoft Deployment.
Package du client Configuration Manager Contient les fichiers d'installation pour le client Configuration Manager.
Package de paramètres Contient le fichier unattend.xml utilisé pour automatiser l'installation de Windows Server 2008 de même que le fichier customsettings.ini utilisé avec la boîte à outils de Microsoft Deployment.
Package Sysprep Utilisé seulement lors du déploiement de Windows Server 2003 ou Windows XP. Il contient les fichiers sysprep nécessaires pour préparer un ordinateur à la capture d'une image du système d'exploitation.
Pilotes Contient tous les pilotes nécessaires pour des modèles spécifiques de serveurs.
Partages réseau pour les sources des packages et les WIM capturés Les emplacements d'UNC (Universal Naming Convention) où les packages indiqués ci-dessus, avec l'image WIM personnalisée, seront enregistrés.
La création de ces packages peut sembler longue et fastidieuse. Mais la bonne nouvelle c'est qu'avec la boîte à outils de Microsoft Deployment, un assistant les crée tous pour vous.
Afin d'utiliser la boîte à outils de Microsoft Deployment avec Configuration Manager, vous devez l'installer sur le même ordinateur que la console de gestion Configuration Manager. Une fois l'installation terminée, accédez à Démarrer | Tous les programmes | Boîte à outils de Microsoft Deployment et choisissez Configure ConfigMgr Integration (Configurer l'intégration de ConfigMgr), puis indiquez le nom de votre serveur de site Configuration Manager et le code du site code et cliquez sur Suivant. Vous ajoutez ainsi des extensions à la console Configuration Manager fournie par la boîte à outils de Microsoft Deployment. Maintenant lorsque vous lancez la console Configuration Manager et cliquez avec le bouton droit sur les Séquences de tâches, vous voyez s'afficher une nouvelle option, comme illustré à la figure 2.
Figure 2 Importation de la séquence de tâches Microsoft Deployment
Figure 2 Importation de la séquence de tâches Microsoft Deployment
Choisissez Import Microsoft Deployment Task Sequence (Importer la séquence de tâches Microsoft Deployment) et suivez les étapes ci-dessous pour créer les packages et la séquence de tâches Windows Server 2008 nécessaires :
  1. Dans l'écran Choisir un modèle, sélectionnez la séquence de tâches du serveur, puis cliquez sur Suivant.
  2. Indiquez un nom et des commentaires décrivant la séquence de tâches, puis cliquez sur Suivant.
  3. Entrez les informations nécessaires pour joindre un domaine ou un groupe de travail, y compris les informations d'authentification du compte utilisateur pour joindre le serveur au domaine. Indiquez vos informations organisationnelles et votre clé de produit, puis un chemin UNC et un nom de fichier pour l'image WIM personnalisée qui sera capturée. Fournissez les informations d'authentification de l'utilisateur pour la connexion au partage réseau qui stockera le fichier WIM, puis cliquez sur Suivant.
  4. Dans l'écran Image de démarrage, choisissez de créer un nouveau package d'image de démarrage et indiquez un emplacement réseau à utiliser comme répertoire de source de package pour le package d'image de démarrage, puis cliquez sur Suivant.
  5. Indiquez un nom de package, les informations de version et les commentaires sur le package d'image de démarrage, puis cliquez sur Suivant.
  6. Choisissez une plate-forme (x86 ou x64), la prise en charge ADO, les polices facultatives dont vous avez besoin, un arrière-plan personnalisé pour l'image de démarrage si nécessaire et des dossiers supplémentaires à inclure dans l'image Windows PE, puis cliquez sur Suivant.
  7. Sur l'écran Package MDT, choisissez de créer un nouveau package de fichiers pour la boîte à outils de Microsoft Deployment, indiquez un chemin UNC à utiliser comme source de package, puis cliquez sur Suivant.
  8. Indiquez un nom, une version, un langage, un fabricant et des commentaires pour le package MDT, puis cliquez sur Suivant.
  9. Pour l'image du système d'exploitation, choisissez de créer un nouveau package d'installation du système d'exploitation, indiquez le chemin des fichiers source de Windows Server 2008 et un emplacement UNC à utiliser comme répertoire de source de package, puis cliquez sur Suivant.
  10. Pour le package client, choisissez de créer un nouveau package client Configuration Manager, puis cliquez sur Suivant.
  11. Pour le package des paramètres, choisissez de créer un nouveau package de paramètres et indiquez un emplacement UNC à utiliser comme source de package pour le package de paramètres, puis cliquez sur Suivant.
  12. Pour le Package Sysprep, choisissez No Sysprep Files required (Aucun fichier Sysprep requis), puis cliquez sur Suivant.
L'assistant crée l'image de démarrage et tous les packages. Si vous développez Packages, Images de Démarrage, Packages d'installation du système d'exploitation et Séquences de tâches, vous pouvez voir tous les packages et la séquence de tâches qui ont été créées. Une fois tous ces packages créés, ils doivent être déployés dans les points de distribution.
En complément de ces packages, il est souvent nécessaire d'ajouter des pilotes correspondant au matériel de serveur spécifique. Pour ce faire, ajoutez des pilotes au magasin de pilotes de Configuration Manager et créez un package de pilotes qui sera utilisé pendant le déploiement.
Pour importer des pilotes dans le Catalogue des pilotes et créer un package de pilotes, accédez à la console Configuration Manager, cliquez avec le bouton droit sur Pilotes et sélectionnez Importer. Choisissez d'importer tous les pilotes dans le chemin UNC spécifié, puis entrez un chemin UNC qui contient tous les pilotes que vous avez rassemblés pour vos modèles de serveur spécifiques. Une fois cette opération terminée, cliquez sur Suivant.
Dans la page Détails des pilotes, choisissez les fichiers INF à importer et en option, affectez les pilotes à une catégorie. (Une catégorie peut être basée sur un type de modèle de serveur spécifique). Cliquez sur Suivant, puis dans la page Ajouter des pilotes aux packages, cliquez sur Nouveau package. Indiquez un nom, un commentaire et un chemin UNC qui sera utilisé comme source de package pour le package de pilotes et cliquez sur OK. Choisissez de mettre à jour les points de distribution lorsque vous avez terminé, puis cliquez sur Suivant.
Dans la page Add Driver to Boot Images (Ajouter un pilote aux images de démarrage), choisissez l'image de démarrage que vous avez préalablement créée et cochez la case pour mettre à jour les points de distribution lorsque vous avez terminé. Cliquez sur Suivant sur la page de résumé, puis à nouveau sur Suivant pour fermer l'Assistant, importer les pilotes et créer le package de pilotes.

Modification de la séquence de tâches
Maintenant que vous avez terminé la création de tous les packages et de la séquence de tâches nécessaires pour installer Windows Server 2008, vous voudrez probablement personnaliser plusieurs actions de la séquence de tâches par défaut. Pour modifier la séquence de tâches, cliquez avec le bouton droit et choisissez Édition. Le modèle de séquence de tâches du serveur Microsoft Deployment s'affiche alors, comme illustré à la figure 3.
Figure 3 Vous pouvez personnaliser la séquence de tâches par défaut
Figure 3 Vous pouvez personnaliser la séquence de tâches par défaut
À un niveau supérieur, une séquence de tâches est une série d'éléments de ligne de commande connus comme sous le nom de tâches. Chacune d'elle exécute des opérations spécifiques. Chaque tâche peut avoir des propriétés spécifiques qui peuvent être configurées et des conditions définies dans l'onglet Options qui évaluent si des tâches spécifiques doivent être exécutées. Par exemple, les conditions de la première tâche dans la séquence de tâches sont définies comme illustré à la figure 4.
Figure 4 Vous pouvez désactiver une tâche ou des conditions définies pour cette tâche dans l'onglet Options
Figure 4 Vous pouvez désactiver une tâche ou des conditions définies pour cette tâche dans l'onglet Options
Dans cet exemple, la tâche est désactivée par défaut parce que la case « Disable this step (Désactiver cette étape) » a été cochée. Si la tâche est activée, elle ne s'exécute que sur la base des conditions qui sont actuellement spécifiées.
Parmi les quelques tâches communes que vous pouvez avoir besoin de modifier avant de déployer Windows Server 2008, il faut citer le formatage et le partionnement du disque, la validation, l'application du système d'exploitation et l'application des paramètres de réseau.
La tâche de formatage et de partionnement du disque vous permet de définir la manière dont vous voulez créer la structure de partition de disque pour vos déploiements de serveurs. Le paramètre par défaut crée une seule partition qui utilise tout l'espace sur le premier disque. Il se peut que vous ne vouliez pas déployer vos serveurs avec cette configuration. Vous pouvez donc modifier ce paramètre pour spécifier la disposition de disque que vous voulez utiliser.
La tâche de validation vous permet de vérifier certaines exigences de base telles que la vitesse de la mémoire et du processeur. Si, par exemple, votre norme d'entreprise pour les déploiements de serveurs est 2 Go de mémoire, vous pourriez déterminer ce chiffre comme condition requise et l'installation ne continuera pas si le serveur ne remplit pas cette condition.
La tâche d'Image d'application du système d'exploitation vous permet de configurer l'image spécifique à déployer. Par exemple, lorsque vous utilisez des fichiers sources pour Windows Server 2008, vous avez la possibilité de déployer Server Standard, Server Enterprise, Server Datacenter, Server Standard Core, Server Enterprise Core et Server Datacenter Core. Vous devez choisir l'image appropriée à utiliser, selon la version de Windows Server 2008 que vous voulez déployer.
La tâche d'application des paramètres de Réseau vous permet de configurer des adresses IP statiques pour vos cartes de réseau, ainsi que de modifier les paramètres pour joindre un domaine ou un groupe de travail. Il est possible de définir une adresse IP statique à l'aide de cette tâche, mais dans ce cas, cette séquence de tâches n'est fonctionnelle que pour un seul serveur. Plus tard, vous verrez comment définir des adresses IP statiques avec les variables, de manière à pouvoir utiliser une seule séquence de tâches pour plusieurs serveurs.

Installation et configuration des rôles de serveur
Jusqu'ici vous avez vu comment vous pouviez modifier la séquence de tâches pour configurer des éléments associés à l'installation du système d'exploitation. Avec la boîte à outils de Microsoft Deployment, cependant, vous avez également la possibilité d'installer et de configurer des rôles de serveur. Par exemple, vous pouvez configurer une séquence de tâches pour déployer Windows Server 2008 sur un serveur de succursale qui exécutera un contrôleur de domaine en lecture seule et un serveur de fichiers.
Pour réussir ce déploiement, dans l'éditeur de séquence de tâches, naviguez jusqu'à la tâche Installer le logiciel et choisissez Ajouter | MDT | Install Roles and Features (Installer des rôles et des fonctionnalités). Puis, dans la tâche Installer des rôles et des fonctionnalités nouvellement créée, cochez Contrôleur de domaine Active Directory et Serveur de fichiers, comme illustré à la figure 5.
Figure 5 Installation des rôles et des fonctionnalités
Figure 5 Installation des rôles et des fonctionnalités
Vous devez maintenant configurer les paramètres pour le contrôleur de domaine en lecture seule. Dans l'éditeur de séquence de tâches, choisissez Ajouter | MDT | Configurer ADDS. Dans la tâche Configurer ADDS nouvellement créée, choisissez de créer un nouveau réplica du contrôleur de domaine en lecture seule et spécifiez des valeurs pour les propriétés suivantes :
  • Nom de domaine DNS existant
  • Contrôleur de domaine de source de réplication
  • Compte
  • Mot de passe de récupération (mode Sans échec)

Utilisation des variables
Il est important de comprendre que l'une des fonctionnalités les plus puissantes que les séquences de tâches offrent aux utilisateurs est la capacité de définir presque n'importe quelle propriété en dynamique dans la séquence de tâches comme une variable pendant le déploiement. Configuration Manager et Microsoft Deployment fournissent tous deux plusieurs mécanismes pour définir et utiliser des variables.
Configuration Manager vous permet de définir les variables comme variable Computer, variable Collection ou directement à l'intérieur de la séquence de tâches. Microsoft Deployment vous permet de définir des variables via le fichier customsettings ini, une base de données principale ou un service Web. Vous trouverez une liste de variables qui peuvent être définies à l'adresse technet.microsoft.com/bb632442.aspx.
Prenons l'exemple de la configuration d'une adresse IP statique sur un serveur particulier. Nous avons vu précédemment dans cet article que vous pouviez définir l'adresse IP statique directement à l'intérieur de la séquence de tâches dans la tâche d'application des paramètres de réseau. Cette pratique n'est pas la meilleure, cependant, car cette séquence de tâches n'est utile que pour un serveur spécifique.
Il est préférable d'ignorer la séquence de tâches et de définir l'adresse IP par une variable. Voici le processus détaillé de la définition de l'adresse IP statique comme variable Computer :
  1. Dans la console Configuration Manager, naviguez jusqu'à System Center Configuration Manager |Base de données du site| Gestion de l'ordinateur | Collections.
  2. Pour affecter une variable par ordinateur à un ordinateur, localisez et développez la collection à laquelle appartient l'ordinateur, cliquez avec le bouton droit sur l'ordinateur, cliquez sur Propriétés, puis cliquez sur l'onglet Variables.
  3. Pour spécifier des variables personnalisées et leurs valeurs associées, cliquez sur l'icône Nouveau afin d'ouvrir la boîte de dialogue <Nouvelle> Variable.
  4. Dans la boîte de dialogue <Nouvelle> Variable, il est nécessaire d'indiquer un nom pour la variable et de préciser si elle est visible dans la console Configuration Manager 2007. Pour une adresse IP statique, vous devez ajouter les variables suivantes :
  • OSDAdapter0IPAddressList
  • OSDAdapter0SubnetMask
  • OSDAdapter0Gateways
  • OSDAdapter0DNSServerList
Les variables configurées doivent ressembler à celles décrites à la figure 6.
Figure 6 Utilisation des variables Computer pour définir une adresse IP statique
Figure 6 Utilisation des variables Computer pour définir une adresse IP statique

Déploiement de la séquence de tâches
Maintenant que la séquence de tâches est entièrement configurée et que vous avez défini vos variables, vous êtes prêt à déployer Windows Server 2008. Configuration Manager offre plusieurs mécanismes de déploiement d'un système d'exploitation, tels que Pre-Boot eXecution Environment (PXE), le support amorçable de la séquence de tâches, le support autonome et via une publication standard pour les machines existantes.
Pour simplifier, je vais vous expliquer comment créer une séquence de tâches pour support amorçable. Dans la console Configuration Manager, naviguez jusqu'à Séquences de tâches, puis choisissez Create Task Sequence Media (Créer le média de séquence de tâches) dans le menu Actions. Sur la page de sélection du type de support, choisissez Support amorçable et cliquez sur Suivant. Sur la page du type de support, indiquez un CD comme type de support et un nom pour le fichier de support. À la page Sécurité, vous pouvez indiquer un mot de passe pour protéger le support ou le certificat autosigné. Spécifiez ensuite l'image de démarrage. Dès que vous avez terminé, vous accédez à la page de confirmation dans laquelle vous cliquez sur Terminer. Pour des instructions détaillées sur le déploiement à l'aide de ce mécanisme et d'autres mécanismes, reportez-vous à documentation disponible sur technet.microsoft.com/bb681029.aspx.

Conclusion
Dans cet article, vous avez vu comment utiliser System Center Configuration Manager et Microsoft Deployment pour déployer Windows Server 2008, ajouter des rôles tels qu'un serveur de fichiers et un contrôleur de domaine, définir des variables Computer spécifiques et déployer le système d'exploitation à l'aide du support amorçable de séquence de tâches. S'il est vrai que les déploiements de serveurs réels peuvent être beaucoup plus complexes, cet article peut vous aider à démarrer en unifiant vos outils de déploiement serveur et client.

Tim Mintner est un ingénieur de développement logiciel senior dans l'équipe Microsoft Solutions Accelerator, spécialisé dans la boîte à outils de Microsoft Deployment. Il a plus de 14 années d'expérience dans le déploiement de systèmes d'exploitation Microsoft avec les clients. Vous pouvez contacter Tim à l'adresse suivante tmintner@microsoft.com.


 Num&#233;ro sp&#233;cial&#160;: Windows&#160;Server&#160;2008: Audit et conformit&#233; dans Windows&#160;Server&#160;2008
Numéro spécial : Windows Server 2008 Rob Campbell et Joel Yoker

Audit et conformité dans Windows Server 2008
Vue d'ensemble:
  • Accroître l'importance de la conformité
  • Comprendre les modifications de votre environnement
  • Défis de l'audit des événements de sécurité
  • Aspects techniques de l'audit

Dans le monde de l'informatique, les modifications sont constantes. Comme la plupart des entreprises, vous êtes constamment poussé à comprendre les modifications qui surviennent dans votre environnement. La complexité et l'étendue des environnements informatiques augmentent et il en va de même pour les
erreurs d'administration et les divulgations de données accidentelles. La société actuelle exige de déterminer les responsabilités dans de telles circonstances et les entreprises sont maintenant considérées légalement responsables de la protection des informations qui leur sont confiées.
Par conséquent, l'audit des modifications dans votre environnement a pris de l'importance. Pourquoi ? L'audit fournit les moyens de comprendre et de gérer les modifications dans les grands environnements informatiques hautement distribués d'aujourd'hui. Dans cet article, nous couvrirons les problèmes courants que rencontrent la plupart des organisations, la conformité et la réglementation, certains des principes fondamentaux de l'audit dans un environnement Windows® et la manière dont les composants de Windows Server® 2008 et Microsoft® System Center Operations Manager 2007 Audit Collection Services (ACS) peuvent compléter une stratégie d'audit.

Défis de l'audit
Un coup d'œil rapide aux gros titres des actualités montre que la divulgation des données devient un problème de tous les jours. Beaucoup de ces incidents impliquent des actions légales, des pertes financières et des problèmes de relations publiques pour les entreprises responsables. La capacité d'expliquer les modifications survenues ou d'identifier les problèmes rapidement est essentielle à la réduction de l'impact des incidents de divulgation de données.
Imaginons par exemple que votre entreprise soit responsable de la gestion des informations d’identification personnelles des membres d'une clientèle donnée. Bien qu'il existe plusieurs manières de protéger les informations contenues sur les systèmes que vous gérez, une compromission peut toujours se produire. Un audit approprié pourrait permettre à l'entreprise de déterminer avec précision les systèmes qui ont été compromis et peut-être les données qui ont été perdues. Sans audit, les conséquences de la perte de données pourraient être beaucoup plus graves, principalement parce qu'il n'y aurait aucune manière d'estimer l'étendue de la compromission.
Pourquoi les sociétés informatiques n'effectuent-elles pas déjà ceci ? Il faut savoir que la plupart des entreprises ne comprennent pas totalement les aspects techniques de l'audit. Bien que la direction comprenne généralement les concepts tels que la sauvegarde et la restauration, la complexité inhérente à l'audit des modifications dans l'environnement est un message difficile à faire passer. Par conséquent, les questions concernant les audits ne sont souvent posées qu'après la survenue d'un incident majeur. Par exemple, un audit de base peut être mis en place mais, si le système n'est pas configuré pour l'audit d'une modification particulière, en l'absence de planification, ces informations ne seront pas recueillies.
De plus, les événements de sécurité audités ont certains problèmes inhérents dont doivent se charger les informaticiens. L'une de ces difficultés est la distribution de systèmes dans les grands environnements informatiques d'aujourd'hui, qui présente des défis de collection et d'agrégation significatifs puisque les modifications peuvent survenir sur tout système ou ensemble de systèmes, et ce, à tout moment. Ceci nous mène à un autre défi : la corrélation. La traduction des relations entre les événements sur des systèmes simples ou multiples est souvent nécessaire pour donner un véritable sens à ce qui survient.
Le fait que l'audit traverse généralement les limites traditionnelles de l'entreprise constitue un autre problème. Des différences de structures entre les entreprises et les équipes existent et peuvent ne pas être faciles à réconcilier. De nombreuses entreprises possèdent une équipe de services d'annuaire, une équipe d'infrastructure de messagerie et une équipe de poste de travail, mais il existe probablement une seule équipe de sécurité responsable de tous ces domaines. Qui plus est, les personnes affectées à la sécurité de votre entreprise peuvent ne pas être physiquement présentes à tous ces emplacements. Par exemple, les succursales s'appuient souvent sur une seule personne ou une petite équipe pour toutes les tâches, y compris la gestion du journal des événements de sécurité.
Enfin, la quantité d'événements pose à elle seule un défi. Les événements de sécurité audités surviennent avec un volume beaucoup plus élevé que les autres types d'enregistrements d'événements. Le nombre d'événements recueillis rend difficiles la rétention et la consultation des enregistrements. De plus, en stipulant des exigences de rétention pour ces informations, les réglementations actuelles et proposées ne contribuent pas à réduire ce fardeau dans les infrastructures informatiques d'aujourd'hui.
Par le passé, l'audit de l'accès aux informations pouvait se résumer à la volonté de savoir et à la tentative d'assurer la sécurité. Maintenant, alors que les entreprises et leurs responsables sont tenus légalement responsables de la perte d'informations ou du manque de protections appropriées, il est essentiel que les administrateurs informatiques se familiarisent avec les règlementations qui peuvent s'appliquer à leurs environnements. Pour les entreprises internationales, les défis sont encore plus complexes puisque chaque pays possède ses propres règlementations concernant les informations et leur protection. Certains exemples de législations concernant la conformité aux réglementations existantes sont répertoriés dans la figure 1, avec les attentes associées placées sur les entreprises.
Figure 1 Réglementations et leur signification pour les professionnels de l'informatique (Close Figure 1)

Réglementation | Attentes
Sarbanes-Oxley Act of 2002 (SOX) | La section 404 reconnaît le rôle des systèmes d'information et exige des entreprises cotées en bourse qu'elles fournissent un compte-rendu annuel de leurs contrôles internes des rapports financiers.
Health Insurance Portability and Accountability Act (HIPPA) | Répond aux exigences de sécurité et de confidentialité des données de santé. La « règle de sécurité » couvre les garanties administratives, physiques et techniques de ces données.
Découverte électronique (eDiscovery) | Définit des normes pour l'accès aux documents et leur rétention, y compris la responsabilité et la méthode d'accès aux documents.
Federal Information Security Management Act of 2002 (FISMA) | Mandat fédéral pour la création d'une infrastructure de sécurité des informations complète (Information Security, INFOSEC) pour les systèmes gouvernementaux américains, la coordination avec les divers organismes judiciaires, l'établissement de contrôles, la reconnaissance des produits commerciaux et les capacités des logiciels. La section 3544 couvre les responsabilités des agences, y compris les contrôles informatiques.
Federal Information Processing Standards (FIPS) Publication 200 | Spécifie les exigences minimales en matière de sécurité pour les informations et systèmes d'informations fédéraux et détaille l'utilisation des recommandations du document NIST Special Publication (SP) 800-53. Dans le document NIST SP800-53, section AU-2 (Événements auditables), il est stipulé que les systèmes d'informations doivent fournir la capacité de compiler des enregistrements d'audit à partir de composants multiples dans un suivi d'audit à l'échelle du système avec corrélation horaire et de veiller à ce que l'organisation examine périodiquement les événements auditables.
Compte tenu de toute la pression légale, que doivent faire les professionnels de l'informatique ? Les gestionnaires et les techniciens informatiques doivent établir un historique clair et concis à présenter au sein de l'entreprise comme à l'extérieur. Ceci inclut le développement d'une stratégie d'audit appropriée, nécessitant des mesures et des investissements proactifs. Le concept clé ici est que l'audit ne peut pas constituer une réflexion après-coup dans la conception, comme c'est souvent le cas.
Les défis informatiques tels que celui-ci peuvent généralement être résolus par une combinaison de personnel, de processus et de technologie. Avec l'audit, c'est le processus qui est important. Par conséquent, la première étape doit être la maîtrise des principes fondamentaux afin de pouvoir répondre aux besoins et exigences de votre entreprise concernant la conformité aux réglementations. Nous couvrirons certains principes de base de l'audit dans Windows, puis nous nous plongerons dans les modifications de Windows Server 2008 et Windows Vista®.

Audit des événements de sécurité
Tous les événements audités sont enregistrés dans le journal des événements de sécurité de Windows. Ces événements ne mènent habituellement pas à une intervention immédiate et sont de nature informationnelle. Chaque événement enregistre un Succès de l'audit ou Échec de l'audit pour un type spécifique d'accès survenu. Ceci est différent des journaux des événements système ou d'applications, dans lesquels les problèmes peuvent être identifiés grâce à un codage par couleurs (astuce : recherchez les événements rouges pour arriver au problème).
Le journal des événements de sécurité est différent parce que les événements audités sont souvent masqués par leur volume et, comme indiqué précédemment, la corrélation des données de sécurité peut présenter un défi important. Même une simple infraction des données sur un système unique est source de problèmes. Le journal des événements de sécurité doit être analysé pour identifier le compte qui a été utilisé pour accéder aux données, ce qui nécessite qu'un administrateur parcoure le journal pour essayer de trouver le compte. Malheureusement, les attaques sophistiquées d'aujourd'hui sont souvent coordonnées et distribuées, rendant ce type d'analyse très difficile pour la personne qui en est victime.
Ceci dit, il est important de comprendre les éléments essentiels qui permettent aux informations d'être enregistrées dans le journal des événements de sécurité dans Windows : Stratégie d'audit et listes de contrôle d'accès système (SACL). Les stratégies d'audit sont des paramètres configurables pour un ordinateur local au travers de la Stratégie de groupe ou la Stratégie de sécurité locale, qui définissent la collecte d'événements de réussite et d'échec pour des types d'accès spécifiques. Les catégories de stratégie d'audit principales suivantes sont présentes dans Windows depuis plusieurs années (nous en dirons davantage sur la nouvelle Stratégie d'audit granulaire de Windows Server 2008 plus tard) :
  • Auditer les événements de connexion aux comptes
  • Auditer la gestion des comptes
  • Auditer l'accès au service d'annuaire
  • Auditer les événements de connexion
  • Auditer l'accès aux objets
  • Auditer les modifications de stratégie
  • Auditer l'utilisation des privilèges
  • Auditer le suivi des processus
  • Auditer les événements système
La nécessité de définir la stratégie d'audit et ces catégories associées est généralement bien comprise par la plupart des sociétés d'informatique, mais la stratégie d'audit représente seulement une partie de la solution. Les SACL jouent également un rôle significatif dans la mise en œuvre d'une planification d'audit holistique. Deux catégories spécifiques de stratégie d'audit, l'audit des accès au service d'annuaire et l'audit des accès aux objets, dépendent totalement des SACL pour renvoyer les informations dans le journal des événements de sécurité. Mais que sont exactement les SACL ?
Chaque objet, qu'il s'agisse d'un fichier, du Registre ou du service d'annuaire, possède une liste de contrôle d'accès (ACL) avec une ou plusieurs entrées de contrôle d'accès (ACE) divisée en deux types : une liste de contrôle d'accès discrétionnaire (DACL) et une SACL (cette dernière définit des paramètres qui consignent dans des journaux les tentatives d'accès aux objets sécurisés). Chaque ACE d'une SACL spécifie les types de tentatives d'accès par un utilisateur approuvé qui doivent être consignées dans le journal des événements de sécurité. Les ACE définissent la journalisation des tentatives d'accès ayant réussi ou échoué pour des objets spécifiés. La figure 2 illustre l'utilisation d'une SACL sur un objet pour générer des événements pour des types d'accès spécifiques.
Figure 2 Utilisation d'une SACL sur un objet
Figure 2 Utilisation d'une SACL sur un objet
La compréhension de la relation entre la stratégie d'audit et les SACL est essentielle car la configuration est nécessaire pour capturer les événements audités « corrects » lorsqu'elle a trait aux modifications de l'environnement. Comme mentionné précédemment, les stratégies d'audit d'accès au service d'annuaire et d'audit d'accès aux objets permettent seulement la génération d'audits dans le journal des événements de sécurité pour ces catégories spécifiques, mais les événements sont seulement générés si une ACE est configurée pour un objet dans sa SACL. Une fois ces éléments en place, les événements de sécurité sont produits par l'autorité de sécurité locale de Windows (LSA) et sont écrits dans le journal des événements de sécurité.
Les événements se composent de deux zones distinctes : l'en-tête, qui est statique et prédéfini pour chaque identificateur d'événement (ID d'événement), et le corps, qui est dynamique et contient des détails différents pour chaque événement. La figure 3 illustre ces deux éléments dans un exemple d'événement de sécurité Windows Server. La compréhension de ces composants d'événement est importante pour la phase d'analyse de tout projet d'audit et revêt un intérêt particulier pour la manière dont les informations sont renvoyées aux outils tels que les ACS.
Figure 3 En-tête et corps d'un événement audité
Figure 3 En-tête et corps d'un événement audité

Windows Eventing 6.0
Maintenant que nous comprenons le problème, comment Windows Server 2008 aide-t-il les entreprises à faire face à ces défis ? Windows Server 2008 est la première version de serveur contenant le sous-système d'événements Windows Eventing 6.0, qui améliore grandement l'administration des événements de sécurité. Notez que bien que nous nous concentrions ici sur Windows Server 2008, 95 pourcents du nouvel ensemble de fonctionnalités existent également dans Windows Vista.
L'une des premières choses que de nombreuses personnes remarqueront dans Windows Eventing 6.0 est la nouvelle interface utilisateur. La nouveau composant logiciel enfichable MMC (Microsoft Management Console) Observateur d'événements propose une page détaillée Présentation et synthèse, une page Vues personnalisées flexible et une page Texte d'explication grandement améliorée. Ces interfaces peuvent contribuer à aider l'utilisateur final ou l'administrateur système à trouver les informations d'événements et à configurer les options importantes de journal des événements directement depuis l'Observateur d'événements.
La rétention des données était un problème essentiel influant sur les données de sécurité du journal des événements. Jusqu'ici, le sous-système Journal des événements (y compris tous les journaux) avait une évolutivité limitée. Si ces limites étaient dépassées, le sous-système entier arrêtait la consignation des événements. Ce n'est cependant pas le cas avec Windows Eventing 6.0 et les entreprises sont maintenant uniquement limitées par la quantité d'espace disque disponible. Mais notez que les journaux des événements de taille très importante peuvent être difficiles à analyser puisque chaque entrée de journal doit être évaluée lors du filtrage. Donc il est souhaitable de conserver un journal dont la taille peut être facilement gérée.
Bien entendu, il est de la responsabilité de l'administrateur informatique de développer une planification d'archivage pour les journaux des événements sur de nombreux systèmes. Pour faciliter ceci au niveau du serveur local, l'option « Archiver le journal lorsqu’il est plein, ne pas effacer d’événements » est maintenant disponible dans Windows Eventing 6.0. Dans les versions précédentes de Windows, cette option pouvait uniquement être définie directement par une modification de la valeur de Registre AutoBackupLogFiles. Bien qu'offrant un mécanisme pour l'archivage local des journaux, ceci n'offre pas une solution pour la gestion de ces fichiers et ne répond pas non plus aux problèmes d'agrégation qui se produisent sur les systèmes. Les services ACS fournissent une solution complète pour ceci, ce que nous examinerons dans un instant.
La nouvelle interface n'est que le début. La véritable force de Windows Eventing 6.0 réside dans le nouveau service Journal des événements de Windows et le moteur sous-jacent basé sur XML. Ce sont ces composants qui permettent d'obtenir une évolutivité, une accessibilité et des options d'administration accrues. Les événements sont maintenant enregistrés sous un format XML flexible qui permet aux solutions personnalisées de puiser dans ces informations en mode natif.
Windows Eventing 6.0 offre également la possibilité d'associer des actions administratives à des événements spécifiques. Ceci est effectué en intégrant le service Collecteur d'événements de Windows au Planificateur de tâches afin d'obtenir une gestion des événements basée sur les tâches. C'est un nouveau paradigme pour le Planificateur de tâches, qui était jusqu'ici limité au déclenchement d'événements en fonction de l'horloge. L'Assistant « Joindre une tâche à cet événement » (disponible dans le menu contextuel de tout événement de l'Observateur d'événements de Windows Server 2008) offre un moyen facile de démarrer un programme, envoyer un message électronique ou afficher un message chaque fois qu'un événement spécifique est consigné. Ceci peut être très utile pour tenter d'identifier des actions spécifiques survenant dans votre environnement et pouvant être isolées à un événement de sécurité spécifique. Par exemple, si vous effectuez un audit des modifications de la clé de Registre de mise à jour de schéma autorisée sur vos contrôleurs de domaine, vous pouvez créer une tâche qui envoie un message électronique à des administrateurs de sécurité spécifiques pour les avertir lorsque cette clé de Registre est modifiée.
Outre la nouvelle capacité de collecter et d'enregistrer un grand nombre d'entrées d'événements, vous pouvez maintenant également mieux contrôler les événements enregistrés dans le journal des événements. Ceci est accompli par une nouvelle fonctionnalité appelée Stratégie d'audit granulaire (Granular Audit Policy). Dans les versions précédentes de Windows, les neuf catégories d'audit principales avaient souvent pour résultat une surcharge d'événements. Ces catégories de plus haut niveau peuvent maintenant être contrôlées au travers de 50 sous-catégories granulaires, chacune représentant un sous-ensemble apparenté d'événements.
Ceci vous donne la possibilité de filtrer les informations non critiques du journal des événements sans perdre la visibilité au niveau de la catégorie. Par exemple, si vous souhaitiez uniquement surveiller les modifications du Registre sur un système particulier, et non du système de fichiers, vous auriez auparavant choisi de signaler uniquement les réussites ou les échecs de la catégorie Accès à l'objet. Avec GAP, vous pouvez maintenant éliminer des sous-catégories telles que Système de fichiers, Services de certification et Partage de fichiers, pour uniquement faire état des événements de la sous-catégorie Registre. Pour explorer les sous-catégories GAP sur un système Windows Server 2008, vous devez exécuter la commande Auditpol depuis une invite de commande élevée. Pour obtenir la liste des sous-catégories GAP disponibles, saisissez ceci :
auditpol /list /subcategory:*
Pour obtenir une liste des sous-catégories GAP configurées sur votre système, saisissez ceci :
auditpol /get /category:*
Notez que GAP n'est pas configurable via l'interface utilisateur de Stratégie de groupe standard et doit être géré avec auditpol.exe. L'article de la base de connaissances à l'adresse support.microsoft.com/kb/921469 contient des informations sur le déploiement des paramètres GAP via la Stratégie de groupe pour les systèmes Windows Server 2008 et Windows Vista.
Windows Server 2008 peut également capturer les anciennes et nouvelles valeurs de types spécifiques dans le journal des événements de sécurité. Dans les versions précédentes de Windows, le sous-système consignait uniquement le nom de l'attribut d'objet Active Directory® ou la valeur de Registre qui était modifiée. Il ne consignait pas les valeurs précédentes et actuelles de l'attribut. Cette nouvelle possibilité s'applique aux Services de domaine Active Directory, à Active Directory Lightweight Directory Services et au Registre Windows. En activant Succès de l'audit ou Échec de l'audit dans les sous-catégories « Registre » ou « Modification du service d’annuaire » et en définissant les SACL associées, les événements détaillés seront déclenchés dans le journal des événements pour des actions sur ces objets. Ceci peut être effectué en utilisant les commandes auditpol suivantes :
auditpol /set /subcategory:"Registry" /success:enable
auditpol /set /subcategory:"Directory Service
    Changes" /success:enable
Pour les modifications du Registre, ceux-ci apparaissent comme la référence d'événement 4657, comme indiqué sur la figure 4.
Figure 4 Avant et après une modification du Registre
Figure 4 Avant et après une modification du Registre
Cette fonctionnalité est particulièrement utile pour effectuer le suivi des modifications des objets Active Directory. Pour les modifications du service d'annuaire, ces modifications s'affichent dans deux ID d'événement 5136, comme indiqué à la figure 5. Chaque événement comporte dans son corps l'objet, l'attribut et l'opération. Pour les modifications des attributs avec des données existantes, deux opérations sont visibles : Valeur supprimée et Valeur ajoutée. Pour les attributs qui n'ont pas été remplis, nous verrions seulement l'opération Valeur ajoutée lorsque des données sont écrites dans ces attributs. Par exemple, lorsqu'une opération de modification réussie est effectuée sur un attribut d'un objet utilisateur, tel que telephoneNumber, Active Directory enregistre la valeur précédente et actuelle de l'attribut dans des entrées de journal des événements détaillées.
Figure 5 Avant et après un événement de modification de service d'annuaire
Figure 5 Avant et après un événement de modification de service d'annuaire
Si un nouvel objet est créé, les valeurs des attributs qui étaient renseignées au moment de la création d'objet sont enregistrées. Si un objet est déplacé dans un domaine, l'emplacement précédent et le nouvel emplacement (sous la forme du nom unique) sont enregistrés. Cette fonctionnalité « ancien et nouveau » est activée par défaut lorsque les paramètres de stratégie d'audit appropriés sont en place. S'il existe un attribut que vous voulez garder privé, comme les modifications de numéro d'identification d'employé, vous pouvez exclure explicitement des attributs en effectuant une modification de schéma simple. En modifiant dans le schéma la propriété searchFlags de l'attribut pour lui donner la valeur 0x100 (valeur 256, NEVER_AUDIT_VALUE), comme indiqué à la figure 6, l'événement de modification de service d'annuaire ne sera pas déclenché lorsque des modifications de l'attribut surviennent.
Figure 6 Exclure un attribut des modifications de service d'annuaire
Figure 6 Exclure un attribut des modifications de service d'annuaire
Pour terminer, les abonnements d'événements constituent l'une des excellentes nouvelles fonctionnalités de Windows Eventing 6.0. Comme mentionné précédemment, l'accès au journal d'événements et son examen constituent une tâche d'administration système essentielle. La nouvelle fonctionnalité Abonnements d'événements offre une méthode pour le transfert direct d'événements entre systèmes. Les abonnements d'événements consistent en un Collecteur d'événements rassemblant des événements et des sources d'événements configurées pour transférer des événements à des hôtes spécifiés. La capacité de consommer des événements est fournie par le service Collecteur d'événements de Windows (nouveauté de Windows Eventing 6.0), et la fonctionnalité d'abonné est intégrée au service Journal des événements de Windows. Un collecteur peut être configuré pour rassembler des événements de plusieurs sources d'événements, qui peuvent être des systèmes Windows Server 2008 ou Windows Vista.
Toutes les données recueillies dans des sources d'événements résident dans un Journal des événements, nommé Événements transmis (ForwardedEvents.evtx) et géré par le service Journal des événements sur le collecteur. Une configuration sur les deux points de terminaison (le collecteur et la source) est nécessaire et peut être automatisée (winrm quickconfig –q sur la source, wecutil qc/q sur le collecteur). Il est important de noter que cette capacité d'abonnement d'événements n'a pas été conçue pour les entreprises ou pour remplacer les systèmes qui remettent les événements à une base de données externe.
Une petite batterie de serveurs Web constitue un exemple pouvant tirer parti de cette capacité. Supposez que vous disposez d'un petit ensemble de systèmes associés à un site Web particulier (serveurs Web et SQL Server compris). Ces systèmes peuvent consolider les informations de journal des événements de sécurité sur un système unique en utilisant la nouvelle fonctionnalité Abonnement d'événement. Les environnements de taille plus importante nécessiteront généralement une boîte à outils de consolidation de journal des événements plus avancée.

Services ACS
Compte tenu de toutes les nouvelles capacités de Windows Server 2008, la véritable solution pour la gestion à long terme et l'archivage des informations du journal des événements de sécurité consiste à recourir à une base de données centralisée des informations d'audit. Les services ACS sont une fonctionnalité fondamentale de System Center Operations Manager 2007. Les services ACS fournissent un mécanisme pour le transfert, la collecte, le stockage et l'analyse de données d'événements de sécurité. Les événements de sécurité sont recueillis en quasi-temps réel et enregistrés dans un référentiel SQL central. Les services ACS offrent également aux entreprises une méthode d'attribution d'accès de moindre privilège aux informations d'audit puisqu'aucun accès physique aux systèmes audités n'est en fait nécessaire. Examinons le fonctionnement des services ACS.
Les services ACS possèdent quatre composants principaux : Premièrement, le redirecteur, qui est la partie de l'agent Operations Manager qui transmet les données de journal des événements du client vers l'infrastructure des services ACS. Les redirecteurs transmettent des données au deuxième composant, le collecteur, qui est l'auditeur côté serveur. Les redirecteurs des services ACS se connectent sur le port TCP 51909 pour communiquer avec le collecteur qui leur est affecté, de manière sécurisée. Avant la transmission, les données de journal des événements sont normalisées en XML, ce qui signifie que les informations excédentaires sont éliminées et les informations d'événements sont résumées en champs mappés basés sur les informations spécifiques du corps et de l'en-tête spécifiques à l'événement. Une fois que les informations atteignent le collecteur, elles sont envoyées au troisième et dernier composant, la base de données ACS. Ceci devient le référentiel pour le stockage à long terme d'informations d'événements de sécurité. Une fois enregistrées, les informations peuvent être interrogées directement avec des requêtes SQL ou représentées avec des rapports HTML à l'aide des services SQL Server® Reporting Services. Les ACS fournissent trois affichages par défaut, comme illustré à la figure 7.
Figure 7 Affichages ACS (Close Figure 7)

Nom de l'affichage ACS | Objectif
AdtServer.dvHeader | Informations d'en-tête des événements collectés.
AdtServer.dvAll | En-tête et informations complètes des événements collectés.
AdtServer.dvAll5 | En-tête et cinq premières chaînes des informations du corps des événements collectés.
Du point de vue des performances, un collecteur ACS unique peut contrôler un nombre maximum ponctuel d'événements de l'ordre de 100 000, avec un nombre maximum continu égal à 2 500 événements par seconde. Pour la planification, un collecteur ACS unique peut prendre en charge jusqu'à 150 contrôleurs de domaine, 3 000 serveurs membres ou 20 000 postes de travail, sur la base des paramètres de stratégie d'audit par défaut. Dans un scénario réel testé, près de 150 contrôleurs de domaine ont démontré un maximum approximatif de 140 événements par seconde, avec une moyenne maximale de 500 000 événements par heure. En 14 jours seulement (la configuration de rétention par défaut pour les services ACS), plus de 150 Go de données d'événements de sécurité ont été enregistrés dans la base de données SQL Server. Une stratégie d'audit plus agressive et sa configuration SACL associée produiront évidemment encore plus de données (par heure, par jour et globalement).
Le point important à réaliser ici est qu'avec ce volume de données aucun humain ne pourrait de manière réaliste consulter chaque événement dans un environnement de grande entreprise typique. Réciproquement, les entreprises ne devraient pas s'alarmer des quantités représentées ici. La compréhension des modifications qui surviennent dans votre environnement nécessite l'analyse d'une quantité importante de données.
C'est dans ce domaine que les services ACS revêtent tout leur intérêt. Avec SQL Server Reporting Services et les services ACS, vous pouvez transformer des problèmes habituellement dissimulés dans le journal des événements de sécurité en un élément aussi facilement identifiable que les événements à codage par couleurs du journal des événements d'applications. Bien que les services ACS incluent un ensemble de rapports par défaut, l'extension de ceux-ci aux besoins spécifiques de votre environnement est simple.
Prenez le scénario suivant : en raison de la sensibilité des relations de confiance externes dans l'environnement, la direction nous a demandé de développer un rapport détaillant la création de relations de confiance Active Directory. Après avoir effectué quelques recherches, nous savons qu'un objet trustedDomain est créé dans le conteneur cn = System du contexte de dénomination spécifique d'Active Directory lorsqu'une relation de confiance est créée. Après avoir modifié le SACL de ce conteneur pour vérifier la réussite de la création de tout objet Domaine de confiance, nous avons alors la possibilité de capturer les événements de sécurité chaque fois qu'un objet de ce type est créé. Ceci est intégré à l'événement 566 du journal des événements de sécurité sur le contrôleur de domaine sur lequel la création de relation de confiance a été exécutée. Nous pouvons alors écrire une requête SQL simple pour récupérer cette information depuis ACS :
select * from AdtServer.dvAll
where EventID = '566' and
String05 like '%trustedDomain%'
order by CreationTime desc
Pour obtenir ceci dans un rapport, utilisez la version de Visual Studio® 2005 incluse avec SQL Server 2005 Reporting Services car elle est faite tout spécialement pour le développement de rapports. À la fin de l'Assistant, des rapports très similaires à celui de la figure 8 seront faciles à créer. Qui plus est, toute modification dans l'environnement pouvant être représentée dans le journal des événements de sécurité peut être résumée dans un rapport d'aspect équivalent.
Figure 8 Rapport d'exemple ACS
Figure 8 Rapport d'exemple ACS

Planification d'un audit
Maintenant que nous comprenons les défis comme les aspects légaux et techniques de l'audit, comment les administrateurs informatiques doivent-ils planifier un audit pour leur entreprise ? Le développement d'une stratégie d'audit complète est un processus à plusieurs étapes. La première étape consiste à déterminer ce qui devrait être audité. Ceci inclut l'analyse de votre environnement et la détermination des types d'événements et de modifications devant produire des audits. Ceci pourrait inclure des éléments simples tels que les verrouillages de comptes, les modifications de groupes sensibles, la création de relations de confiance ou les modifications complexes telles que les modifications d'éléments de configuration dans les applications de votre environnement. L'élément clé ici est que la direction de l'entreprise doit être impliquée dans la détermination du « quoi » de la planification d'audit. Cette tâche doit être effectuée sur papier et doit être répétée à intervalles réguliers, et non uniquement après des incidents significatifs.
La deuxième étape implique l'identification de la manière dont les informations concernant des modifications spécifiques sont renvoyées sous la forme d'événements de sécurité. Les informations d'audit sont parfois énigmatiques et difficilement lisibles. Avant la mise en œuvre, des corrélations doivent être établies entre les événements de sécurité et les diverses actions pour comprendre que ce que signifient vraiment les événements de sécurité. Après un incident, il est trop tard pour déchiffrer les relations entre événements et actions.
La troisième étape est la mise en œuvre de votre stratégie d'audit et de vos SACL. Comme indiqué précédemment, vous devrez définir les paramètres de stratégie d'audit (pour permettre la génération d'événements de sécurité) et les SACL (pour produire des suivis d'audit pour les actions associées) dans l'annuaire, le système de fichiers et le Registre, afin d'obtenir un aperçu complet des modifications dans ces éléments.
Tout ceci nous amène à la quatrième et dernière étape, la collecte, les déclencheurs et l'analyse. En fonction de la taille et des besoins de votre entreprise, ces éléments peuvent être couverts avec les capacités natives de Windows Server 2008 ou avec les solutions avancées telles que la fonctionnalité Services ACS de System Center Operations Manager. La définition de la stratégie d'audit sans définition des SACL constitue une erreur courante commise par la plupart des entreprises. La dernière étape a entièrement trait à l'implémentation d'une solution technologique pour la création de rapports et le partage des données avec les parties prenantes de votre organisation. Comme mentionné précédemment, la plupart des organisations disposent d'une entité établie responsable de la sécurité et, pour être efficace, une planification d'audit doit être structurée autour des éléments organisationnels existants. L'élément clé de cette étape finale est la collecte et la présentation des informations de manière pertinente à toutes les personnes en charge de la compréhension des modifications dans l'environnement.
La plupart des entreprises ont besoin d'un incident significatif pour réaliser qu'elles nécessitent un plan d'audit. Windows Server 2008 fournit des mécanismes améliorés pour la collecte et l'analyse de données d'événements de sécurité par rapport aux plates-formes précédentes. Les technologies de collecte et de création de rapports avancées telles que les services ACS exposent des problèmes autrefois masqués par le volume et la distribution des événements, en rendant ces modifications instantanément évidentes.
Comme la plupart des problèmes informatiques, la mise en place d'un processus constitue le défi principal. Une configuration et une analyse supplémentaires sont toujours requises pour capturer ce que recherchent les responsables informatiques et le développement d'une compréhension poussée des exigences de votre environnement et des capacités de la plate-forme Windows vous permettra de répondre directement à ces défis. Bonne recherche !

Rob Campbell et Joel Yoker Rob Campbell est spécialiste technique senior et Joel Yoker est consultant senior dans l’équipe Microsoft Federal. Joel et Rob s'emploient tous deux à développer et à déployer des solutions de sécurité destinées aux agences gouvernementales américaines.


 Le mot du r&#233;dacteur en chef: Pr&#233;sentation de Windows&#160;Server&#160;2008
Le mot du rédacteur en chef
Présentation de Windows Server 2008

De nouveaux produits sont lancés chaque jour. Et lorsque vous avez un portefeuille de centaines de produits (des milliers, en fait, lorsque vous prenez en compte le Web), un lancement peut devenir plutôt banal. Ce n'est pas le cas cette fois-ci.
En février, Microsoft lancera Windows Server 2008 et notre excitation est à son comble. Il ne fait aucun doute que cette version a mis longtemps à arriver, mais je pense que vous trouverez que l'attente en valait la peine. Le nombre d'améliorations majeures, comme la quantité de nouvelles fonctions sont étourdissants. Nous pourrions certainement parler d'IIS 7.0 (et nous le ferons) ou de la Protection d’accès réseau (nous en parlerons également). Nous pourrions couvrir le Gestionnaire de serveur, les nouvelles techniques de déploiement ou encore les nouvelles fonctionnalités de conformité (coché, coché, coché). Cette liste est plutôt longue, mais pour vous dire la vérité, ce qui me frappe le plus en ce qui concerne cette nouvelle version est l'effort qui a été accordé à l'amélioration de la convivialité de Windows Server.
Nous passons beaucoup de temps ici à déterminer ce que nous pouvons faire pour faciliter la vie des professionnels de l'informatique. Par conséquent, il est vraiment agréable de voir un produit veillant autant à aider les informaticiens à mieux accomplir leur travail. Par exemple, prenez la nouvelle infrastructure d'événements de Windows Server 2008, présentée par Rob Campbell et Joel Yoker dans le numéro de ce mois-ci. Il est difficile, même pour les plus passionnés d'entre nous, de nous émouvoir en parlant de la gestion des événements, mais croyez-moi, je suis épaté par la différence qu'elle apporte à cette version. Les données XML, les affichages personnalisés, les descriptions plus détaillées, les rapports plus faciles... C'est presque trop.
Blague à part, les améliorations majeures apportées à cette version constituent une bonne raison d'être enthousiaste. Les améliorations d'Active Directory, d'IIS, mais aussi les améliorations en matière de réseau, de sécurité et de virtualisation font de ce lancement l'un des lancements les plus significatifs de notre histoire. C'est pourquoi nous avons consacré ce numéro à tout ce que vous devez savoir sur Windows Server 2008.
Qui plus est, nous sommes très heureux de fêter le retour de Mark Russinovich, collègue de l'équipe Platforms and Services, et créateur des très populaires outils Sysinternals. Mark a rédigé certains articles parmi les plus demandés de l'histoire de TechNet Magazine, et plus particulièrement sa rubrique « Dans le noyau de Windows Vista » (de nos numéros de février, mars et avril 2007). Mark reprend cette rubrique ce mois-ci avec une étude technique poussée des modifications que vous trouverez dans le noyau de Windows Server 2008. Amusez-vous bien !
—Joshua Hoffman

Merci aux experts techniques Microsoft suivants : Brandon Baker, Mai-lan Tomsen Bukovec, Bryce Cogswell, Nils Dussart, Gregoire Guetat, Brett Hill, Gaby Kaplan, Jason Leznek, Paul Mayfield, Nathan Muggli, Meg Muran, Michael Murgolo, Michael Niehaus, Raja Perumal, David Solomon, Eric Traut, Jim Truher et Landy Wang.


 Lettres: Les lecteurs ont la parole
Lettres
Les lecteurs ont la parole

Sauvegarde de l'ordinateur pour Windows Vista
Merci pour votre excellent article du numéro de septembre 2007 sur la sauvegarde complète de l'ordinateur Windows Vista® PC (« Guide des technologies de sauvegarde de Windows Vista » technetmagazine.com/issues/2007/09/Backup). Je ne peux en fait pas l'essayer moi-même, cependant, car lorsque je suis invité à placer l'image de sauvegarde, il est indiqué que l'image sera placée sur mon disque dur externe (ce qui est ce que j'aimerais faire). Je n'ai toutefois pas la possibilité de placer le fichier dans un dossier spécifique de mon disque dur externe, ce qui m'inquiète car il remplacera tous mes autres fichiers déjà présents sur ce lecteur. Devrais-je m'inquiéter ?
—Ben B.

Nous avons transmis votre question au rédacteur de l'article, Christine Fok, qui nous a informé que Sauvegarde de l'ordinateur créera en fait un dossier sur la cible pour enregistrer l'image et il est donc inutile de s'inquiéter, aucune donnée ne sera remplacée.

Erreur de référence de clé du Registre
L'article de décembre 2007 intitulé « Dépistage des problèmes réseau insaisissables » (technetmagazine.com/issues/2007/12/Network) contient une erreur mineure dans une référence à une clé du Registre pour ajuster la pile TCP/IP dans Windows®. À la page 70, l'auteur, Christopher Stoneff, mentionne qu'il est possible d'ajuster des valeurs dans la clé HKLM\System\CurrentControlSet\Services\TCPIP alors que la clé correcte est en fait HKLM\System\CurrentControlSet\Services\TCPIP\Parameters (il doit avoir oublié d'ajouter « Parameters »).
—Ingmar K.

Christophe Stoneff a confirmé que vous avez en effet raison. La clé comprend bien Parameters à la fin. Toutes nos excuses pour l'oubli de la portion requise du chemin du Registre. Nous l'avons corrigé dans la version en ligne de l'article.

Chiffrement de fichier
Je souhaite vraiment en apprendre plus sur le système de fichier EFS (Encrypting File System) et ai lu votre rubrique Vigilance sécurité de mars 2007 « Déploiement d’EFS : partie 2" (technetmagazine.com/issues/2007/03/SecurityWatch). Je suis dans un environnement de domaine et certains utilisateurs chiffrent déjà certains fichiers. J'ai par conséquent introduit une autorité de certification (CA) et des modèles d'EFS. Ma question est la suivante : Si les utilisateurs qui avaient déjà chiffré des fichiers en utilisant leurs propres certificats auto-signés doivent chiffrer de nouveaux fichiers, doivent-ils les chiffrer en utilisant l'ancien certificat auto-signé ou doivent-ils obtenir un nouveau certificat auprès de mon autorité de certification ? En outre, si tous mes utilisateurs possèdent des profils itinérants, où seront enregistrées les clés privées ?
—Ammar H.

John Morello, qui a écrit la rubrique sur le déploiement d'EFS, a envoyé une réponse à votre question :
Une fois que les utilisateurs ont obtenu le nouveau certificat EFS, ils peuvent commencer à l'utiliser pour leurs nouvelles opérations. Cependant, tout fichier chiffré existant continuera à être chiffré avec l'ancienne paire de clés, jusqu'à ce qu'il soit mis à jour. Par conséquent, une fois que les utilisateurs ont obtenu le certificat, vous pouvez exécuter cipher /u, ce qui mettra à jour tous ces fichiers avec la nouvelle paire de clés.
Si vous utilisez des profils itinérants, les paires de clés seront rendues itinérantes dans les profils. Je recommande d'utiliser à la place l’itinérance avec authentification, qui est plus légère que les profils itinérants. Consultez ceci pour plus d'informations : go.microsoft.com/fwlink/?LinkId=107469.

Erreur d'expression régulière
Dans l'article de janvier 2008 de la rubrique Hé, vous le scripteur, « Pas d'erreur, c'est une expression régulière » (technetmagazine.com/issues/2008/01/HeyScriptingGuy), l'exemple utilisant
objRegEx.Pattern = "[^A-Z][^a-z]"
n'est peut-être pas ce qu'il devait être. Il a été conçu pour rechercher tout caractère qui n'est pas une minuscule ou une majuscule. Ce motif, cependant, correspond à une majuscule suivie d'une lettre minuscule. Il ne fonctionne pas avec une chaîne telle que « aBcde ». Il devrait peut-être plutôt être ceci :
objRegEx.Pattern = "[^A-Z^a-z]"
—Roger R.

Nous avons transmis votre question aux Scripteurs et voici ce qu'ils en disent :
Salut, Roger. Merci d'avoir remarqué ça. On dirait que nous avons changé l'article à un certain stade et que cela nous a échappé. Dans le brouillon original (que j'ai toujours quelque part sur mon ordinateur), nous avons indiqué que ceci servait à rechercher une majuscule suivie d'une lettre minuscule. Nous devons avoir décidé par la suite que cela n'était pas aussi utile que de trouver des caractères qui n'étaient pas des lettres, et bien que nous ayons modifié le texte, nous avons oublié de modifier également l'exemple de code. Nous y remédierons dans la version en ligne. Désolé !


 Bo&#238;te &#224; outils: Nouveaux produits pour les professionnels de l’informatique
Boîte à outils
Nouveaux produits pour les professionnels de l’informatique
Greg Steen

Gestion des bases de données SQL
SQL Sentry Event Manager
sqlsentry.net/event-manager/standard-sql-server.asp
Plus votre infrastructure est grande et complexe, plus vous avez besoin de vous consacrer aux tâches de maintenance et d'exploitation. Ceci peut sérieusement dégrader les flux de processus de vos utilisateurs finaux. Heureusement, il existe certains outils pour la base de données et l'administrateur système qui permettent de coordonner les calendriers des tâches liées à un environnement complexe.
Un outil qui conviendrait à votre environnement multiserveurs de base de données est SQL Sentry Event Manager, une application serveur Microsoft® .NET Framework qui utilise une instance SQL Server® 2000 ou SQL Server 2005 en back-end. Vous vous connectez à l'application de serveur via l'interface utilisateur de la console SQL Sentry, qui vous offre une vue unifiée des serveurs gérés dans votre environnement. L'application de serveur n'a pas d'agent mais, comme d'habitude, cela implique qu'elle devra s'exécuter dans un contexte utilisateur dont l'utilisateur dispose des droits nécessaires pour se connecter aux ordinateurs et services que vous voulez gérer.
L'une des principales fonctionnalités prisées de l'application est le fait que l'interface utilisateur de la console vous permet de replanifier vos tâches de serveur par une opération de glisser-déplacer afin de vous aider à synchroniser les activités de maintenance et d'exploitation et ainsi d'éviter les conflits et les temps morts. Même que l'interface utilisateur puisse paraître un peu compliquée au début, elle vous permet de percevoir rapidement les problèmes potentiels et de trouver un créneau horaire pour déplacer une tâche conflictuelle. Elle offre même une vue de type Microsoft Outlook® de vos tâches d'agent SQL et des tâches planifiées Windows® pour les serveurs que vous avez choisis de contrôler. La vue calendrier signale les tâches longues et problématiques pour vous aider à dépister et à corriger les problèmes au fur et à mesure.
Outre cette fonctionnalité de planification, SQL Sentry possède également un système de notification robuste qui évite le recours à SQL Mail, MAPI, xp_sendmail ou sp_send_dbmail. Il route également toutes vos notifications d'événement à partir des serveurs gérés via son sous-système, vous conférant ainsi un contrôle centralisé sur les types, la fréquence et la distribution de ces notifications.
Les notifications peuvent être configurées au niveau global, serveur, tâche ou travail. Elles offrent ainsi la granularité que la plupart des administrateurs attendent pour ce type d'événement. Vous pouvez définir différents types de conditions d'événement pour déclencher une notification, par exemple quand la durée d'exécution d'une tâche est trop longue ou trop courte, quand un indicateur de performances tel que l'utilisation de l'UC atteint un certain seuil, ou lorsqu'une tâche d'agent SQL est bloquée pour une raison quelconque. Vous pouvez configurer également SQL Sentry de manière à vous informer des modifications de la configuration, ce qui vous permet de savoir quand quelqu'un ajuste un calendrier, arrête un moniteur, etc.
Mais SQL Sentry fait plus que contrôler les tâches d'agent SQL et les événements du planificateur de tâches Windows. L'application prend également en charge les événements des plans de maintenance, les packages DTS, les tâches SSIS et le journal de l'agent SQL.
Elle vous offre les capacités habituelles, comme voir si les systèmes fonctionnement correctement, et si vous avez un taux de durée de fonctionnement dont vous pouvez être fier, vous pourrez probablement l'afficher également. SQL Sentry compte plusieurs options de rapport intégrées pour notamment les tâches, ce qui vous permet de produire et d'imprimer des graphiques statistiques pour le service d'exécution et les performances. Vous pouvez exporter également les données de rapport vers un fichier XML, CSV ou HTML pour les inclure dans vos propres rapports et outils de création de rapports.
Notez que l'édition professionnelle offre également la capacité de gérer les serveurs Oracle de même que des fonctionnalités telles que l'analyse des services de rapport, la mise en file d'attente de tâches d'agent SQL, l'enchaînement d'événements non SQL Server et la planification des ressources partagées.

Prix : Standard Edition à partir de 395 $.
Planification de la maintenance avec SQL Sentry
Planification de la maintenance avec SQL Sentry

Gestion des systèmes à distance
Mobile Admin
rovemobile.com/products/ma/features
Puisque vous ne pouvez pas être à plusieurs endroits en même temps, un outil d'administration de serveur à distance mobile est une bonne idée pour les professionnels de l'informatique surchargés. Celui auquel vous devriez vous intéresser de près est Mobile Admin de Rove Mobile (précédemment Idokorro Mobile).
Mobile Admin est une installation client-serveur dans laquelle un serveur de communication (qui a accès aux serveurs que vous voulez gérer) interagit avec un ensemble de périphériques portables sans fil. La portion de serveur de l'application est sans agent, ce qui signifie que vous n'avez pas besoin d'installer quoi que ce soit sur les serveurs à gérer. Toutefois vous devez attribuer à ce contexte ordinateur et application les droits d'administration à distance appropriés pour pouvoir administrer les ordinateurs dans votre infrastructure.
Le serveur est accessible à partir de la plupart des principales plates-formes mobiles, y compris les Pocket PC Windows Mobile® et les Smartphones, de même que les BlackBerry. De plus, n'importe quel ordinateur connecté à Internet possédant un navigateur compatible peut se connecter à Mobile Admin (à condition que votre stratégie de sécurité soit déterminée pour l'autoriser).
L'une des premières préoccupations de tout professionnel système ou réseau avec l'administration mobile est la sécurité. Pour ceux d'entre vous qui ont déployé BlackBerry Enterprise Server, vous pouvez choisir de chiffrer toutes les communications avec TDES (Triple Data Encryption Standard) ou AES (Advanced Encryption Standard), qui sont tous les deux conformes à la norme fédérale américaine de traitement de l'information (FIPS, Federal Information Processing Standard).
En outre, Mobile Admin étend la fonctionnalité d'« élimination » d'un périphérique BlackBerry perdu en supprimant à distance le logiciel et les données du téléphone. Pour les autres portables, vous pouvez implémenter un VPN pour sécuriser vos communications et/ou configurer Mobile Admin de manière à utiliser une connexion Windows, LDAP, RSA SecurID, une authentification RADIUS ou une connexion spécifique à Mobile Admin.
Une fois connecté, vous pouvez exécuter des tâches d'administration Windows, telles que l'affichage et l'effacement des journaux d'événements, le redémarrage des ordinateurs, la gestion des fichiers et des répertoires et l'affichage et la modification des tâches planifiées.
Sur le plan de l'intégration avec Active Directory®, vous pouvez afficher, créer, modifier, désactiver ou supprimer des utilisateurs, des groupes et des ordinateurs. Dans le même temps, pour l'administration Exchange, vous pouvez modifier les paramètres de boîte aux lettres et geler et dégeler les files d'attente de messages et bien plus encore.
Avec IIS, vous pouvez redémarrer des pools d'applications ou des sites Web et modifier les paramètres de répertoire virtuel. Pour vos serveurs SQL, vous pouvez par exemple exécuter des requêtes T-SQL, modifier des identifiants de connexion et démarrer et arrêter des tâches d'agent SQL. Et si vous exécutez des services de cluster, vous pouvez déplacer des groupes, déconnecter des ressources et basculer vers les autres tâches administratives communes.
Enfin, Mobile Admin possède également une prise en charge pour gérer certains aspects d'Oracle, de Novell LDAP, de Lotus Domino, de Citrix, de HP iLO, Backup Exec, etc.

Prix : À partir de 245 $ par serveur.

Critique
Mastering Windows Network Forensics and Investigation
sybex.com
Vous possédez peut-être le matériel et les procédures nécessaires pour détecter et atténuer les menaces pesant sur vos réseaux. Mais connaissez-vous les procédures ou avez-vous mis en place les protocoles dont vous avez besoin pour examiner et même peut-être poursuivre les attaquants après qu'un événement lié à la sécurité ait eu lieu ?
C'est là que le livre Mastering Windows Network Forensics and Investigation, Sybex, 2007) entre en jeu. Il est conçu pour vous apporter les compétences nécessaires pour analyser entièrement les intrusions des réseaux Windows, des incidents à petite échelle concernant un seul ordinateur (par exemple un usage inapproprié des services de l'entreprise) à des attaques plus vastes et plus répandues contre les systèmes sensibles.
Le livre vous guide dans le processus de collecte de preuves, il couvre tout ce qui va des entretiens au suivi des événements et journaux faisant l'objet d'audit. Il explique où et comment recueillir des preuves sur les ordinateurs Windows et les réseaux à l'aide d'outils tels que WireShark, LogParser, EnCase et SysInternals.
De plus, le livre explore les informations que vous pouvez obtenir du Registre, la structure et le contenu du système de fichiers, les journaux texte, les journaux d'événements et les processus sur les ordinateurs en question. Vous découvrirez également comment créer un CD-ROM Live-Analysis, qui contient les outils qu'il vous faut pour rassembler les preuves dont vous avez besoin. Finalement, le livre décrit comment présenter les résultats de votre investigation, en détaillant les procédures pour témoigner au tribunal.

Prix : $59.99.

Collection de données système
MetaLAN
hammer-software.com/metalan.shtml
Une administration centralisée est un élément clé d'une administration système réussie. Elle élimine beaucoup de déplacements et libère une partie de votre précieux temps, réduisant ainsi le stress que vous subissez au travail.
MetaLAN de Hammer Software est un outil qui vous aide à gérer et à prendre en charge les utilisateurs et les serveurs sur votre réseau Windows. Cette application sans agent vous permet de rapidement rassembler des informations, de modifier la configuration et plus généralement de gérer vos ordinateurs Windows. Ceci, bien sûr, exige le contexte utilisateur nécessaire et les droits correspondants.
MetaLAN possède deux modes de fonctionnement. Vous pouvez choisir de l'exécuter directement en mode Administrateur (qui touche les ordinateurs que vous souhaitez analyser ou dont vous souhaitez modifier les propriétés) ou vous pouvez utiliser l'agent/le service supplémentaire gratuit, appelé ProbeServer, sur l'ordinateur distant tout en exécutant MetaLAN en mode de serveur pour contrôler vos postes de travail en continu.
Lancer l'application vous amène à l'interface utilisateur MetaLAN Control Panel, qui vous permet alors de sonder votre réseau actuel pour les domaines à gérer. Ici, vous pouvez lancer également les divers outils, tels que Help Desk Tool, Report Tool, Software Tool et RegCast Tool.
L'outil Help Desk Tool vous offre une vue de recherche et de navigation sur les ordinateurs du domaine que vous gérez. La sélection d'un ordinateur fait apparaître des informations utiles relatives à l'ordinateur, notamment le fabricant, les adresses IP, les processeurs, les lecteurs, les adresses MAC et les rôles de serveur. D'ici, vous pouvez exécuter des requêtes WMI (Windows Management Instrumentation), vous connecter à des analyseurs de performances en temps réel, afficher les logiciels installés et exécuter d'autres tâches administratives utiles.
L'outil Report Tool vous offre des vues rapides, exportables et graphiques de vos nœuds gérés. Par exemple, vous pouvez créer un graphique à secteurs sur les vitesses d'UC de tous les ordinateurs de votre réseau ou vérifier quels ordinateurs sont dotés de Windows XP Service Pack 2.
L'outil Software Tool vous permet de rapidement afficher et exporter des listes des logiciels installés sur un groupe de un à N machines dans votre réseau, un outil génial pour les audits.
Et l'outil RegCast Tool vous permet de visualiser (et de modifier si vous êtes un administrateur de domaine ou d'entreprise) les informations du Registre sur les ordinateurs distants d'un groupe d'ordinateurs.
MetaLAN inclut également un outil pour déployer et installer à distance les packages MSI (s'ils prennent en charge l'installation silencieuse), une présentation du stockage qui vous présente chaque lecteur sur vos ordinateurs et le volume d'espace libre disponible et un outil Service Admin qui vous permet de démarrer, d'arrêter et même de supprimer des services. Il existe même un formidable outil de contrôle à distance qui enverra un petit exécutable VNC qui, lorsque vous l'exécutez, vous confère un contrôle à distance sur l'ordinateur (un peu comme l'Assistance à distance).

Prix : À partir de 75 $ pour un pack de licences de 20 nœuds.
L'outil Help Desk Tool vous donne une vue de recherche et de navigation
L'outil Help Desk Tool vous donne une vue de recherche et de navigation

Automatisation des tâches
AutoHotkey
autohotkey.com
L'automatisation peut être le meilleur ami d'un informaticien professionnel en l'aidant à éviter les tâches longues et répétitives. Parmi les nombreux outils qui nous aident dans cette fonction, il y a l'utilitaire AutoHotkey. Cet outil gratuit open source permet de simplifier les routines informatiques en automatisant presque n'importe quelle tâche qui nécessite une entrée par le clavier, la souris ou même une manette. C'est un outil de macros et de raccourcis clavier basé sur script et gonflé aux stéroïdes.
AutoHotkey s'exécute dans votre barre d'état système et, au démarrage, il exécute la définition de script vous avez créée. Le programme exécute les commandes de script individuelles au fur et à mesure de leur apparition dans le fichier script. C'est formidable pour lancer votre ensemble préféré d'applications au démarrage, par exemple. Mais attendez, ce n'est pas tout ! Vous pouvez également définir des raccourcis clavier et des chaînes de raccourci.
Les raccourcis clavier ou les touches de raccourci sont une combinaison quelconque de touches que vous définissez pour déclencher une action, telle que lancer une application, amener des fenêtres au premier plan ou même simuler l'action de défilement de la souris.
Les chaînes de raccourci, elles, sont des abréviations de texte pour les commandes ou les phrases que vous tapez souvent. De plus, ces chaînes de raccourci peuvent être utilisées pour lancer une action scriptée similaire à un raccourci clavier. Par exemple, vous pourriez créer une chaîne de raccourci avec la séquence de touche simple « td » qui ouvre Microsoft Word et écrit la date d'aujourd'hui au format que vous désirez. Ou, si vous envoyez à vos utilisateurs un paragraphe particulier de réponse, vous pourriez créer une chaîne de raccourci simple pour automatiquement charger ce paragraphe dans un nouveau message Outlook.
Le langage de script lui-même prend en charge les variables, les expressions pour les opérations de mathématiques et de chaînes, les variables globales intégrées, les fonctions, les boucles et les instructions conditionnelles. Vous devriez donc pouvoir construire un script adapté à vos besoins d'administration de système. Au total, il y a facilement plus de 100 constructions de commandes et de langages pour vous aider. Par exemple, vous pouvez simuler le déplacement d'une souris, afficher des boîtes de message, exécuter des opérations asynchrones, envoyer des messages électroniques, modifier le Registre, déterminer des minuteurs dans les boucles pour exécuter des vérifications récurrentes, ouvrir des applications, fermer des fenêtres et arrêter des processus, etc.
Une autre fonctionnalité sympathique d'AutoHotkey est la capacité de compiler vos scripts pour les réutiliser et les distribuer une fois que vous les avez adaptés à vos besoins. De cette façon, les utilisateurs qui n'ont pas installé AutoHotkey peuvent toujours bénéficier de vos raccourcis et de vos scripts. Et, grâce à la licence du projet Open Source, vous pouvez les distribuer ou les vendre sans aucune restriction.
Vous pourriez facilement distribuer à vos utilisateurs finaux un script exécutable qui effectue une série de personnalisations que vous devriez autrement exécuter manuellement directement sur leur bureau. De plus, si vous avez besoin d'adapter ces scripts pour chaque utilisateur, AutoHotkey accepte également les commutateurs de ligne de commande et les paramètres. Le résultat est donc vraiment utile et réutilisable dans l'ensemble de votre domaine.
Contrairement à beaucoup de projets Open Source, qui manquent souvent de profondeur dans leur documentation, la documentation d'AutoHotkey est détaillée et bien organisée, elle vous explique ce que vous devez savoir pour scripter vos tâches d'automatisation grâce à de nombreux exemples judicieux et utiles. De plus, sur le site Web du projet, vous trouverez un forum actif d'utilisateurs pour vous aider dans toutes les questions et un wiki contenant des scripts, des didacticiels et une référence de commandes. Le site comprend également une page de présentation de script, qui offre de bons exemples proposés par les utilisateurs.

Prix : Gratuit.
AutoHotKey peut compiler des scripts pour faciliter leur réutilisation et leur distribution
AutoHotKey peut compiler des scripts pour faciliter leur réutilisation et leur distribution

Greg Steen est un professionnel de l’informatique, dynamique et enthousiaste. Il est constamment à la recherche d’outils innovants destinés à faciliter les opérations, l'assurance qualité et le développement pour les professionnels de l’informatique.


 Coup de projecteur sur les utilitaires: Logo de certification Windows&#160;Server
Coup de projecteur sur les utilitaires
Logo de certification Windows Server
Venkat Krishnamachari
Télécharger le code de cet article: Fonctionne avec Windows Server 2008 (KB)

Avec la certification logicielle Windows Server® 2008, Microsoft aide les développeurs à utiliser les méthodes recommandées et permet aux professionnels de l'informatique d'évaluer les applications avant l'achat, afin de gagner du temps et d'éviter les problèmes inutiles. Pour aider des utilisateurs à évaluer la compatibilité des applications, Microsoft a créé le programme « Works with Windows Server 2008 » (Fonctionne avec Windows Server 2008) qui inclut des outils de test gratuits afin de garantir qu'une application délivre une expérience prévisible.
L'outil « Works with » collecte des données sur l'impact de l'application sur le système d'exploitation pendant son cycle de vie en contrôlant l'état du système de fichiers, du registre, des services et des pilotes. L'outil analyse ensuite ces données et génère un rapport sur les succès et les échecs des scripts de tests spécifiques. Le document des cadres de tests « Works with », ainsi que des outils supplémentaires, sont disponibles à l'adresse windowsservercatalog.com/ready qui fournit de plus amples détails. Ces outils doivent aider le fournisseur de logiciels indépendant à intégrer la compatibilité des applications tout en permettant aux professionnels de l'informatique d'évaluer la préparation de l'application pour un déploiement sur Windows Server 2008.
Pour utiliser ces outils, installez d'abord la dernière version de Windows Server 2008 sur un ordinateur de test, téléchargez l'outil « Works with » via windowsservercatalog. com/ready et vérifiez que vous incluez l'outil Application Verifier. L'interface utilisateur graphique de l'outil comprend quatre fonctions simples : Créer un test ; Reprendre un test existant ; Afficher les résultats du test ; et Créer un package de soumission (pour les FIL recherchant la validation « Works with » d'un fournisseur de test autorisé).
Rapport texte affichant les résultats
Rapport texte affichant les résultats
Vous créez un test en accompagnant une application tout au long de son cycle de vie : installation, configuration, exécution et désinstallation. L'outil « Works with » s'exécute principalement en arrière-plan, en contrôlant la stabilité du système d'exploitation et la compatibilité du programme d'installation. Il vérifie si les fonctionnalités s'exécutent convenablement étant donné les nouvelles exigences en matière de sécurité de la plate-forme et les autres fonctionnalités configurables. En général, il est préférable de terminer le test et de générer le rapport complet qui prend d'habitude deux à quatre heures. Cependant, vous pouvez arrêter un test, générer un rapport rapide et reprendre le test plus tard.
Lorsque vous avez terminé, vous disposez de rapports d'état clairs en rouge ou en vert sur chaque script de test avec des résultats détaillés, comme le montre la capture d'écran. Les tests signalés en vert indiquent la compatibilité. Pour les résultats rouges, vous pouvez consulter un fichier journal afin de comprendre la condition d'erreur. N'oubliez pas d'enregistrer les journaux générés localement sur une autre machine pour pouvoir les consulter ultérieurement lorsque vous aurez effacé les données de votre ordinateur de test. L'outil « Works with » tourne sur n'importe quelle application serveur. Il peut évaluer également des composants clients et des outils de gestion conçus pour Windows Vista®.
Si vous utilisez des logiciels commerciaux, l'outil « Works with » peut vous aider à planifier la migration autour d'applications compatibles connues. Vous pouvez utiliser les résultats de test pour interroger des fournisseurs sur leurs programmes de support tout en faisant gagner du temps aux développeurs en découvrant les problèmes de compatibilité et la hiérarchisation des correctifs. Pour les applications personnalisées, vous pouvez fournir des commentaires extrêmement spécifiques à vos équipes de développement. Vous pouvez également confirmer la compatibilité continue à mesure que les nouveaux correctifs sont disponibles et documenter les données de configuration d'application pour votre département informatique. Certains utilisateurs ont utilisé les outils pour documenter des fichiers que les applications système affectent.
Nous sommes intéressés par vos commentaires sur la manière dont nous pouvons améliorer les scripts de test ou les outils afin d'optimiser l'utilisabilité de votre environnement. Merci de nous écrire à wslogofb@microsoft.com.

Venkat Krishnamacharioccupe la fonction de responsable technique pour la certification logicielle de Windows Server depuis 2005. Auparavant, il travaillait avec l'équipe qui a livré SQL Server 2005.


 Le petit c&#226;bleur: Migrez votre r&#233;seau Intranet vers IPv6 avec ISATAP
Le petit câbleur
Migrez votre réseau Intranet vers IPv6 avec ISATAP
Joseph Davies
Cet article se base sur une version préliminaire de Windows Server 2008. Toutes les informations contenues dans cet article sont susceptibles d’être modifiées.

Une idée fausse au sujet d'IPv6 (Internet Protocol version 6) est que pour l'utiliser, vous devez déployer l'adressage et le routage IPv6 natifs, ce qui nécessite une analyse détaillée des modèles d'adressage IPv6, des mises à jour et la configuration de routeurs et une planification du déploiement. Même si ceci doit être fait au final pour la
connectivité IPv6 native, vous pouvez déployer facilement la connectivité IPv6 en tunnel en utilisant ISATAP (Intra-Site Automatic Tunnel Addressing Protocol). Avec la connectivité en tunnel IPv6, les hôtes qui prennent en charge ISATAP peuvent communiquer en utilisant le trafic IPv6 encapsulé avec un en-tête IPv4 (le champ Protocole IPv4 est déterminé sur la valeur 41). Le trafic ISATAP peut parcourir un intranet utilisant uniquement IPv4, donc vous pouvez commencer à tester les applications IPv6 tout de suite, sans attendre une infrastructure IPv6 native.
ISATAP est une technologie attribution d'adresses et de tunneling automatique définie dans RFC 4214 qui fournit la connectivité IPv6 monodiffusion entre des hôtes IPv6/IPv4 sur un intranet IPv4 uniquement. Les hôtes ISATAP utilisent une interface de tunneling logique à laquelle sont attribuées des adresses ISATAP, à la forme UnicastPrefix:0:5EFE:w.x.y.z (lorsque w x.y.z est une adresse IPv4 privée attribuée à l'hôte ISATAP) ou UnicastPrefix:200:5EFE:w.x.y.z (lorsque w x.y.z est une adresse IPv4 publique attribuée à l'hôte ISATAP). UnicastPrefix est n'importe quel préfixe d'adresse monodiffusion de 64 bits, y compris les préfixes locaux au lien, globaux et uniques locaux. Des adresses ISATAP sont par exemple 2001:DB8::98CA:200:131.107.28.9 et 2001:DB8::98CA:0:10.91.211.17.

Migration d'intranet vers IPv6 avec ISATAP
Un déploiement ISATAP consiste en un sous-réseau ISATAP logiques ou plus, qui sont des réseaux IPv4 uniquement auxquels est attribué un préfixe de sous-réseau IPv6 de 64 bits. Sur un sous-réseau ISATAP logique se trouvent des hôtes ISATAP et des routeurs ISATAP. Un hôte ISATAP utilise une interface de tunneling ISATAP pour encapsuler le trafic IPv6. Ce trafic peut être directement envoyé à d'autres hôtes ISATAP sur le même sous-réseau ISATAP logique. Pour atteindre des destinations situées sur d'autres sous-réseaux ISATAP ou sur des sous-réseaux IPv6 natifs, le trafic est envoyé à un routeur ISATAP. Un routeur ISATAP est un routeur IPv6 qui publie les préfixes de sous-réseau aux hôtes ISATAP et qui transfère le trafic IPv6 entre les hôtes ISATAP et les hôtes sur les autres sous-réseaux IPv6. La figure 1 représente les composants ISATAP sur un intranet simplifié.
Figure 1 Les portions à capacité IPv4 uniquement et IPv6 de votre intranet
Figure 1 Les portions à capacité IPv4 uniquement et IPv6 de votre intranet
ISATAP vous permet de déployer des capacités d'adressage IPv6 natif et de routage sur votre intranet en suivant trois phases.
Phase 1 : Intranet IPv4 uniquement Dans cette phase, l'ensemble de votre intranet peut être un seul sous-réseau ISATAP logique. La figure 2 montre un exemple avec un intranet IPv4 avec routeur ISATAP qui publie seulement un préfixe d'adresse global ou unique local à des hôtes ISATAP.
Figure 2 Un Intranet IPv4 uniquement
Figure 2 Un Intranet IPv4 uniquement
Phase 2 : Portions à capacité IPv4 uniquement et IPv6 de votre intranet Dans cette phase, votre intranet a une portion IPv4 uniquement (le sous-réseau ISATAP logique) et une portion compatible IPv6. La portion compatible IPv6 de votre intranet prend en charge IPv4 et a été mise à jour pour prendre en charge l'adressage IPv6 natif et le routage. Vous avez vu cette configuration dans la figure 1.
Phase 3 : Intranet compatible IPv6 Dans cette phase finale, l'ensemble de votre intranet prend en charge l'adressage IPv4 et IPv6 natif et le routage. Notez que ISATAP n'est plus nécessaire. La figure 3 en montre un exemple.
Figure 3 Intranet compatible IPv6
Figure 3 Intranet compatible IPv6
Avec ISATAP, vous pouvez bénéficier de la connectivité IPv6 entre les hôtes et les applications pendant les deux premières phases de la transition d'un intranet IPv4 uniquement à un intranet compatible IPv6.

Windows Server 2008 et Windows Vista
Le protocole IPv6 pour Windows Server® 2008 et Windows Vista® prend en charge ISATAP en tant qu'hôte ISATAP et routeur ISATAP. Il y a une interface de tunneling ISATAP séparée pour chaque interface LAN installée dans l'ordinateur possédant un suffixe DNS différent. Par exemple, si un ordinateur Windows Vista possède deux interfaces LAN et qu'elles sont toutes deux liées au même intranet et qu'elles ont le même suffixe DNS, il y a seulement une interface de tunneling ISATAP. Si ces deux interfaces LAN sont attachées à deux réseaux différents avec des suffixes DNS différents, il y a deux interfaces de tunneling ISATAP. Pour les ordinateurs Windows Server 2008 ou Windows Vista SP1, les interfaces de tunnel ISATAP sont placées dans un état de déconnexion de média, à moins que le nom « ISATAP » puisse être résolu.
Par défaut, le protocole IPv6 pour Windows Vista sans Service Pack installé configure automatiquement les adresses ISATAP locales au lien (FE80::5EFE: w.x.y.z ou FE80::200:5EFE:w.x.y.z) sur les interfaces de tunnel ISATAP pour les adresses IPv4 qui sont attribuées aux interfaces LAN correspondantes.
Le protocole IPv6 pour Windows Server 2008 et Windows Vista SP1 configure les adresses ISATAP locales au lien sur les interfaces de tunnel ISATAP seulement si le nom « ISATAP » peut être résolu.
Pour recevoir un message de publication de routeur de la part du routeur ISATAP, l'hôte ISATAP doit envoyer au routeur ISATAP un message de sollicitation de routeur. Sur un sous-réseau Ethernet, un hôte IPv6 natif envoie un message de sollicitation de routeur en multidiffusion, puis les routeurs sur le sous-réseau répondent par un message de publication de routeur. Parce que ISATAP n'utilise pas le trafic de multidiffusion IPv4 ou nécessite une infrastructure multidiffusion compatible IPv4, l'hôte ISATAP doit monodiffuser le message de sollicitation de routeur au routeur ISATAP.
Pour monodiffuser le message de sollicitation de routeur au routeur ISATAP, l'hôte ISATAP doit d'abord déterminer l'adresse IPv4 de monodiffusion à partir de l'interface du routeur ISATAP sur le sous-réseau ISATAP logique. Pour le protocole IPv6 pour Windows Server 2008 et Windows Vista, un hôte ISATAP obtient l'adresse IPv4 de monodiffusion du routeur ISATAP par le biais de la résolution correcte du nom d'hôte « ISATAP » sur une adresse IPv4 ou avec la commande netsh interface isatap set router.

Migrez votre Intranet : Phase 1
Afin de déployer ISATAP sur votre intranet pour la phase 1 de votre migration vers IPv6, vous devez effectuer les étapes suivantes.
Déterminer le préfixe de sous-réseau ISATAP Vous devez déterminer le préfixe de sous-réseau 64 bits à attribuer au sous-réseau ISATAP logique qui correspond à votre intranet. Vous pouvez obtenir un préfixe de 48 bits auprès d'un registre ISP ou Internet, ou vous pouvez dériver votre propre préfixe de 48 bits local unique (voir le RFC 4193 en ligne à l'adresse tools.ietf.org/html/rfc4193).
À partir du préfixe de 48 bits, choisissez un ID de sous-réseau de 16 bits pour le sous-réseau ISATAP logique. La combinaison du préfixe de 48 bits et de l'ID de sous-réseau de 16 bits est le préfixe de sous-réseau ISATAP de 64 bits. Par exemple, le préfixe de 48 bits local, unique FD8A:219C:052A::/48 et l'ID de sous-réseau 1 forment le préfixe de sous-réseau de 64 bits FD8A:219C:052A:1::/64.
Désignation d'un ordinateur comme routeur ISATAP Déterminez quel ordinateur sera le routeur ISATAP. Même si beaucoup de routeurs commerciaux prennent en charge la fonctionnalité de routeur ISATAP, l'information que je fournis ici est spécifique aux ordinateurs exécutant Windows Server 2008.
L'ordinateur routeur ISATAP n'a pas besoin de plusieurs interfaces LAN, ni d'être connecté à une portion compatible IPv6 de votre intranet pour la phase 1. Cependant, il doit être choisi de manière à pouvoir plus tard être mis à jour avec une interface LAN supplémentaire qui sera connectée à la portion compatible IPv6 de votre intranet.
Configuration de l'ordinateur routeur ISATAP Sur l'ordinateur routeur ISATAP, l'émission de la commande suivante place les interfaces de tunneling ISATAP sur l'ordinateur routeur ISATAP dans un état de média connecté :
netsh interface isatap set router IPv4Address
IPv4Address est l'adresse IPv4 attribuée à l'interface LAN de l'ordinateur routeur ISATAP qui est attaché au sous-réseau ISATAP logique.
Ensuite, déterminez le nom ou l'index d'interface de l'interface de tunneling ISATAP qui correspond à l'interface LAN de l'ordinateur routeur ISATAP lié au sous-réseau ISATAP logique, le tout à partir de la sortie de cette commande :
netsh interface ipv6 show interfaces
Ensuite, utilisez cette commande pour activer la publication sur l'interface ISATAP :
netsh interface ipv6 set interface ISATAPInterfaceNameOrIndex advertise=enabled
ISATAPInterfaceNameOrIndex est le nom ou l'index d'interface de l'interface de tunneling ISATAP.
Ensuite, utilisez cette commande pour configurer l'ordinateur routeur ISATAP pour publier le préfixe de sous-réseau ISATAP aux hôtes ISATAP :
netsh interface ipv6 add route ISATAPSubnetPrefix ISATAPInterfaceNameOrIndex publish=yes
ISATAPSubnetPrefix est le préfixe de sous-réseau ISATAP résolu
Configuration du DNS Dans votre DNS, ajoutez un enregistrement d'adresse (A) pour le nom ISATAP sur les domaines appropriés pour que les hôtes ISATAP de votre intranet puissent résoudre avec succès le nom « ISATAP ». Par exemple, si vos hôtes intranet utilisent le suffixe DNS contoso.com, vous devez maintenant ajouter un enregistrement A au domaine contoso.com pour le nom isatap.contoso.com avec l'adresse IPv4 qui est attribuée à l'interface LAN du routeur ISATAP sur l'intranet IPv4 uniquement.
Si le serveur DNS exécute Windows Server 2008, utilisez l'éditeur du Registre (regedit.exe) sur le serveur DNS pour supprimer l'entrée ISATAP de la valeur de Registre HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DNS\Parameters\GlobalQueryBlockList.
Test des hôtes ISATAP À partir d'un hôte ISATAP sur votre intranet, utilisez l'outil Ipconfig pour afficher les adresses attribuées. Les hôtes ISATAP doivent avoir une adresse de la forme suivante ISATAPSubnetPrefix:: 5EFE:w.x.y.z ou ISATAPSubnetPrefix:: 200:5EFE:w.x.y.z. Par exemple, si votre préfixe de sous-réseau ISATAP est FD8A:219C: 052A:1::/64 et qu'un hôte ISATAP a l'adresse IPv4 10.1.31.97, l'hôte ISATAP doit avoir l'adresse FD8A: 219C:052A:1::5FE:10.1.31.97 attribuée à son interface de tunneling ISATAP.
Si un hôte ISATAP n'a pas d'adresse ISATAP basée sur le préfixe de sous-réseau ISATAP, vérifiez que l'hôte est capable de résoudre le nom « ISATAP ». Dans la négative, vérifiez que les enregistrements A ont été créés dans les domaines appropriés et, pour les serveurs DNS exécutant Windows Server 2008, vérifiez que la valeur de Registre GlobalQueryBlockList a été modifiée en supprimant l'entrée ISATAP. Si le nom peut être résolu, vérifiez que l'ordinateur routeur ISATAP a été correctement configuré. Si c'est le cas, vérifiez que les routeurs sur votre intranet autorisent le transfert du trafic IPv4 de protocole 41.
Lorsque les hôtes ISATAP peuvent se configurer avec succès avec les adresses basées sur le préfixe de sous-réseau ISATAP, ils enregistrent ces adresses ISATAP en tant qu'enregistrements AAAA dans le DNS et commencent à les utiliser pour la connectivité IPv6.

Migrez votre Intranet : Phase 2 :
Dans la phase 2 de votre migration vers IPv6, il vous faut modifier votre configuration de routeur ISATAP pour exécuter le transfert entre les portions IPv4 uniquement et les portions compatibles IPv6 de votre intranet.
Sur l'ordinateur routeur ISATAP, exécutez la commande suivante :
netsh interface ipv6 show interfaces
À partir de la sortie de la commande ci-dessus, déterminez le nom ou l'index d'interface de l'interface LAN liée à la portion compatible IPv6 de l'intranet et à l'interface de tunneling ISATAP.
Utilisez cette commande pour activer le transfert sur l'interface ISATAP :
netsh interface ipv6 set interface ISATAPInterfaceNameOrIndex forwarding=enabled
Utilisez cette commande pour activer le transfert sur l'interface LAN :
netsh interface ipv6 set interface LANInterfaceNameOrIndex forwarding=enabled
LANInterfaceNameOrIndex est le nom ou l'index d'interface de l'interface LAN.
Utilisez la commande suivante pour ajouter un itinéraire par défaut au routeur ISATAP :
netsh interface ipv6 add route ::/0 LANInterfaceNameOrIndex NextHopAddress publish=yes
NextHopAddress est l'adresse IPV6 d'un routeur IPv6 natif voisin sur la portion compatible IPv6 de l'intranet.
Pour rendre le sous-réseau logique ISATAP accessible à partir de la portion compatible IPv6 de l'intranet, il est important que vous configuriez les routeurs IPv6 natifs avec un routage pour le préfixe de sous-réseau ISATAP qui pointe en retour vers l'ordinateur routeur ISATAP.
Pour désactiver de manière sélective ISATAP pour les ordinateurs sur la portion compatible IPv6 de l'intranet, manipulez les enregistrements A pour le nom ISATAP dans votre DNS de manière à ce qu'il soit impossible pour les ordinateurs sur la portion compatible IPv6 de l'intranet de résoudre le nom ISATAP.
Autre option vous pouvez créer et déterminer la valeur de Registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\tcpip6\Parameters\DisabledComponents sur 0x4 (type DWORD).

Migrez votre Intranet : Phase 3 :
Pour la phase 3, lorsque tout votre intranet est compatible IPv6, vous aurez besoin de supprimer le déploiement ISATAP par le biais du DNS et de reconfigurer l'ordinateur routeur ISATAP. Pour le DNS, supprimez tous les enregistrements A pour le nom ISATAP. Ceci empêchera tout hôte de déterminer l'adresse IPv4 du routeur ISATAP.
Pour l'ordinateur routeur ISATAP, exécutez la commande suivante :
netsh interface isatap set router default
Cette commande réinitialise le composant ISATAP à son état par défaut.
Déterminez le nom ou l'index d'interface de l'interface de tunneling ISATAP à partir du résultat de cette commande :
netsh interface ipv6 show interfaces
Utilisez cette commande pour désactiver le transfert et la publication sur l'interface ISATAP :
netsh interface ipv6 set interface ISATAPInterfaceNameOrIndex forwarding=disabled advertise=disabled
Utilisez cette commande pour supprimer le routage de préfixe de sous-réseau ISATAP de l'ordinateur routeur ISATAP :
netsh interface ipv6 delete route ISATAPSubnetPrefix ISATAPInterfaceNameOrIndex
ISATAPSubnetPrefix est le préfixe de sous-réseau ISATAP
Pour plus d'informations sur le déploiement ISATAP, y compris des détails sur les routeurs ISATAP redondants et les considérations de pare-feu, reportez-vous au « Guide de déploiement ISATAP » à l'adresse go.microsoft.com/fwlink/?LinkId=106926.

Joseph Davies est rédacteur technique chez Microsoft. Il enseigne et rédige des articles sur les réseaux Windows depuis 1992. Il a écrit cinq livres pour Microsoft Press et est l'auteur de la chronique en ligne mensuelle Le petit câbleur de TechNet. Plus d'informations sur Le petit câbleur à l'adresse microsoft.com/technet/community/columns/cableguy/about.mspx.


 Windows&#160;PowerShell: Rapports de progression
Windows PowerShell
Rapports de progression
Don Jones

J'ai récemment écrit un script Windows PowerShell assez long et compliqué qui, à mesure de son exécution, ne renvoyait pas de réponse. Je l'avais écrit pour qu'il soit exécuté comme tâche planifiée, donc il n'avait pas réellement à produire une sortie très visible. Lorsque je l'ai exécuté pour son premier grand test, j'ai néanmoins commencé à me demander si je n'avais pas
écrit accidentellement une boucle infinie ou un autre problème de script.
Et comme le shell faisait clignoter de façon pathétique son petit curseur, je me suis demandé, « Que se passe-t-il ? L'ai-je raté » ? De toute évidence je manquais de confiance en moi car j'ai vite appuyé sur Ctrl+ C pour arrêter le script. Le temps d'ajouter un rapport de progression

Blablabla
Applet de commande du mois Tee-Object
Ce mois-ci, je veux examiner l'une de mes applets de commande favorites pour le dépannage. Regardez ce code, par exemple :
Get-WMIObject Win32_Service | Where { $_.State -ne "Running"
-and $_.StartMode -eq "Automatic" } | ForEach-Object { $_.Start() }
En surface, on dirait qu'il démarre tous les services qui sont configurés pour démarrer automatiquement mais qui n'ont pas encore démarré pour une raison quelconque. En fait, cela ne fonctionne pas et trouver la raison de ce dysfonctionnement peut être difficile puisque vous ne pouvez pas regarder dans le milieu du pipeline. Pour regarder dans le pipeline, vous pouvez utiliser Tee-Object.
Tee-Object redirige les objets vers un fichier (ou dans une variable) et les transmet dans le pipeline. Par exemple :
Get-WMIObject Win32_Service | Tee-Object AllServices.csv | Where
{ $_.State -ne "Running" -and $_.StartMode -eq "Automatic" } |
Tee-Object FilteredServices.csv | ForEach-Object { $_.Start() }
Cette modification me permet de voir ce qui se passe après chaque commande pipeline, et je découvre rapidement que mon fichier FilteredServices.csv ne contient rien ! Pas étonnant que ce script ne fonctionnait pas ! Une recherche un peu plus approfondie me révèle la cause initiale du problème : StartMode est « Auto » et non « Automatic » et Tee-Object me permet de repérer exactement l'endroit où le problème est survenu.

La première chose j'ai voulu faire a été d'ajouter plusieurs messages d'état, pour me permettre de savoir exactement ce que le script faisait. Le shell vous permet de faire cela assez facilement avec l'applet de commande Write-Verbose. Allez-y, essayez-la dans le shell :
Write-Verbose "Test Message"
Si vous venez d'essayer, vous aurez remarqué que rien ne s'est passé. C'est parce que Write-Verbose envoie des objets dans le pipeline Verbose spécial, qui, par défaut, n'affiche pas sa sortie. Une variable shell intégrée, $VerbosePreference, contrôle ce pipeline. La valeur par défaut de cette variable est SilentlyContinue qui supprime la sortie détaillée. Configurez-la sur Continue, cependant, pour ouvrir le pipeline :
$VerbosePreference = "Continue"
Maintenant je peux ajouter plusieurs instructions Write-Verbose à mon script et obtenir un aperçu détaillé de ce qui se passe lorsqu'il s'exécute. Et voilà la beauté de cette technique : lorsque j'ai terminé le test et le dépannage, je peux éteindre tout ce blabla supplémentaire en configurant $Write-Verbose à nouveau sur SilentlyContinue au début de mon script.
Il n'est pas nécessaire de supprimer toutes les instructions Write-Verbose. En fait, puisqu'elles restent dans le script, chaque fois que j'ai besoin d'exécuter le script manuellement, je peux réactiver facilement le pipeline Verbose si nécessaire.

Mais j'ai besoin d'une réelle progression
Une fois que j'ai vérifié que le script n'était pas coincé dans une boucle infinie et qu'en fait, il fonctionnait parfaitement, j'ai désactivé le pipeline Verbose et je l'ai exécuté à nouveau, juste pour vérifier.
Maintenant j'ai un nouveau problème : même si je sais pertinemment que le script fonctionne bien, je ne peux pas supporter de regarder le curseur qui clignote. (J'ai des problèmes de concentration. J'ai cherché désespérément de la peinture de manière à pouvoir m'asseoir pour la regarder sécher au lieu de fixer le curseur).
Ce dont j'avais besoin, c'était d'une indication générale sur la progression du script et d'avoir une idée du moment auquel il serait terminé. En résumé, je cherchais une sorte de barre de progression.
Heureusement, Windows PowerShellTM intègre l'applet de commande Write-Progress. Cette applet de commande ne fournit pas une barre de progression graphique comme celle de Windows®, mais elle génère néanmoins une barre de progression utile, comme illustré à la figure 1. Elle ressemble un peu à la barre de progression de copie de fichier utilisée par la portion texte de l'installation dans Windows Server® 2003 ou même Windows XP.
Figure 1 Quelle est la progression de votre script ?
Figure 1 Quelle est la progression de votre script ?
L'utilisation de Write-Progress exige quelques explications. En fait, je pense qu'il serait même préférable que je donne un exemple. Examinez ce script :
for ($a=1; $a -lt 100; $a++) {
  Write-Progress -Activity "Working..." `
   -PercentComplete $a -CurrentOperation
   "$a% complete" `
   -Status "Please wait."
  Start-Sleep 1
}
Il utilise Write-Progress pour afficher une barre de progression. J'ai utilisé Start-Sleep pour que le script s'interrompe une seconde chaque fois qu'il passe dans la boucle, afin qu'il exécute suffisamment lentement pour que nous puissions voir réellement la progression. Sans pause, la boucle compte de 0 à 100 si rapidement que la barre de progression clignote trop brièvement à l'écran.
Comme vous pouvez le voir, Activity (que j'ai défini sur Working) s'affiche en haut de la barre de progression. Status apparaît à droite juste en dessous et CurrentOperation s'affiche en bas. Le shell ne prend en charge qu'une seule barre de progression à la fois. Toute utilisation de Write-Progress crée une nouvelle barre de progression si aucune n'est affichée ou met à jour la barre en cours d'affichage.
Je n'ai pas encore indiqué ici à la barre de disparaître lorsque le script était terminé. Je peux le faire en ajoutant simplement ceci à la fin de mon script :
Write-Progress -Activity "Working..." `
 -Completed -Status "All done."
De manière générale, la barre de progression disparaît d'elle-même dès que votre script est terminé, mais si ce dernier a d'autres actions à accomplir, vous voudrez certainement masquer la barre de progression lorsque vous avez terminé. Le paramètre Completed supprime tout simplement la barre de l'écran.

Tic-tac, tic-tac, tic-tac
L'autre utilisation courante de Write-Progress est de créer un affichage des « secondes restantes » plutôt qu'une véritable barre de progression. Voici un exemple :
for ($a=100; $a -gt 1; $a--) {
  Write-Progress -Activity "Working..." `
   -SecondsRemaining $a -CurrentOperation
   "$a% complete" `
   -Status "Please wait."
  Start-Sleep 1
}
Tout ce que j'ai fait ici est de modifier la boucle pour compter de 100 à 1, et j'ai utilisé le paramètre SecondsRemaining de Write-Progress, au lieu de PercentComplete. Le résultat est illustré à la figure 2. Comme vous pouvez le voir, le compteur de progression a disparu, remplacé par une horloge de compte à rebours. Le shell convertit automatiquement le nombre total de secondes restantes en heures, minutes et secondes pour fournir une information plus facile à utiliser. En fait, le pourcentage terminé affiché ici compte à rebours à partir de 100, puisque je n'ai utilisé que le paramètre CurrentOperation. Il n'y a pas de véritable calcul de pourcentage terminé ; Windows PowerShell affiche seulement la valeur actuelle de $a suivie de la chaîne «%complete ».
Figure 2 Dans combien de temps votre script sera-t-il terminé ?
Figure 2 Dans combien de temps votre script sera-t-il terminé ?

Des scripts qui communiquent
J'adore écrire des scripts qui vous informent de leur progression. Cela peut prendre la forme d'une sortie détaillée ou simplement d'une barre de progression. Cette information a pour but de compenser mon propre déficit d'attention ou de servir à quiconque devra exécuter mon script dans les mois à venir. Sans aucun doute, tout type d'affichage des informations d'état et de progression offre un réel avantage.

Don Jonescontribue à l'élaboration de TechNet Magazine et est le coauteur de Windows PowerShell : TFM (SAPIEN Press, 2007). Il enseigne Windows PowerShell (voir www.ScriptingTraining.com) et peut être contacté par le biais du site Web ScriptingAnswers.com.


 H&#233;, vous le scripteur&#160;!: Nos jeux de shell pr&#233;f&#233;r&#233;s
Hé, vous le scripteur !
Nos jeux de shell préférés
Les scripteurs Microsoft
Télécharger le code de cet article: HeyScriptingGuy2008_03.exe (150KB)

D'après la Bible, il n'y a pas un moineau qui tombe à terre sans la volonté de Dieu. Attention, les scripteurs ne suggèrent que nous devons abattre tous les moineaux qui passent. (Mais si quelqu'un veut bien s'occuper de ces stupides corbeaux qui crient sur le toit à 7h00 le samedi matin, ça, c'est une autre histoire. [le rédacteur de cet article aime les corbeaux. C'est pourquoi, lorsque nous disons « veut bien s'occuper » nous voulons dire qu'il faut « s'assurer qu'il reste en bonne santé ». -Ed.]). Cependant, il est réconfortant de savoir que si vous tombez à terre, quelqu'un s'en inquiètera et que bien que vous pensiez être petit et insignifiant, quelqu'un quelque part vous observe. [même s'il ne s'agit que d'un rédacteur. -Ed.]
Ce qui est vrai pour les moineaux l'est également pour les scripts d'administration de système. Nous pouvons donc affirmer que dans le monde des scripts, l'attention se porte sur les outils de scripts les plus importants : Windows PowerShellTM, VBScript, WMI, ADSI et même FileSystemObject. Vous comprendrez donc que ces technologies soient sur le devant de la scène. Après tout, elles vous permettent de réaliser de multiples opérations impressionnantes et utiles. Mais cela ne signifie pas qu'elles sont les seules technologies disponibles pour les scripteurs. Loin de là.
Prenez l'objet Shell, par exemple. L'objet Shell peut ne pas être aussi connu et réputé que Windows PowerShell mais il est néanmoins important et très utile.
Il est fort possible que, tôt ou tard, quelqu'un vous demande d'écrire un script d'administration de système qui utilise l'objet Shell. Il se pose alors une question évidente : que peut-on faire exactement avec l'objet Shell ? Ses possibilités sont multiples et vous pouvez réaliser de nombreuses opérations pratiques. Certaines d'entre elles (telles que la gestion des quotas de disque ou l'affichage d'une barre de progression lors de la copie ou le déplacement de fichiers) ont été couvertes dans le Guide du script Microsoft® Windows® 2000 (microsoft.com/technet/scriptcenter/guide). Dans l'article de ce mois-ci, nous allons vous montrer quelques petits trucs et astuces utiles que vous pouvez faire avec l'objet Shell. Des trucs et astuces que vous ne pensiez pas faisables, sans parler de l'utilisation de l'objet Shell.

Changement de la date de dernière modification d'un fichier
Beaucoup d'entre vont probablement lire ce qui précède et se dire « Hé, attendez une seconde ! Vous ne pouvez pas modifier la date de dernière modification d'un fichier à l'aide d'un script ; en tout cas pas à l'aide de VBScript ». Ce à quoi nous ne pouvons répondre qu'une seule chose : quelle drôle d'idée !
Bon, d'accord, nous, les scripteurs, nous vous l'avons probablement dit par le passé, n'est-ce pas ? Eh bien, il s'avère que nous avions tort. Vous êtes sous le choc, n'est-ce pas ? Vous pouvez modifier la date de dernière modification d'un fichier à l'aide de VBScript. Et pour cela, il vous suffit simplement d'utiliser l'objet Shell.
Remarque : Ne me demandez pas comment les scripteurs ont pu faire une telle erreur. Après toutes ces années, cela devrait être assez évident. Ce qui est beaucoup plus intéressant, c'est la question suivante : Comment avons-nous réussi à faire fonctionner quoi que ce soit ?
Disons que vous souhaitez modifier la date de dernière modification d'un fichier. Il vous suffit d'ajouter ce script :
Set objShell = _
  CreateObject("Shell.Application")

Set objFolder = _
  objShell.NameSpace("C:\Scripts")
Set objFolderItem = _
  objFolder.ParseName("Dr_Scripto.jpg")

objFolderItem.ModifyDate = _
  "01/01/2008 8:00:00 AM"
Comme vous pouvez le voir, ce n'est pas vraiment compliqué. Nous commençons par créer une instance de l'objet Shell.Application. (Au fait, ne confondez pas Shell.Application avec Wscript.Shell, l'objet Shell de l'environnement d'exécution de scripts WSH (Windows Script Host). L'objet Shell avec lequel nous travaillons aujourd'hui est l'objet Shell Windows). Une fois que notre instance de l'objet Shell s'exécute, nous utilisons la méthode d'espace de noms pour le lier au dossier C:\Scripts, puis utilisons la méthode appelée ParseName pour le lier à un fichier spécifié dans ce dossier. Dans ce cas, nous le lions à une image JPEG portant le nom de fichier Dr_Scripto. jpg :
Set objFolderItem = _
  objFolder.ParseName("Dr_Scripto.jpg")
Que devons-nous faire après avoir lié le fichier ? C'est très simple : il nous suffit d'attribuer une nouvelle date et une nouvelle heure à la propriété ModifyDate :
objFolderItem.ModifyDate = _
  "01/01/2008 8:00:00 AM"
C'est tout ce que nous avons à faire.
Vous savez, vous avez raison. C'est cool, non ? Une fois que nous exécutons le script, la date de dernière modification sera définie sur le 1 janvier 2008 à 8h00. (Si vous le souhaitez, vous pouvez vérifier par vous-même en ouvrant le dossier C:\Scripts dans l'Explorateur Windows.)
Bien sûr, certains d'entre vous vont s'écrier « Génial ! Je peux modifier la date de dernière modification d'un fichier. Mais au fait, pourquoi voudrais-je modifier la date de dernière modification d'un fichier ? » Très souvent, les gens utilisent la date de dernière modification d'un fichier comme système de contrôle de version ; lorsque vous disposez de plusieurs copies d'un même script par exemple. Un des moyens de suivre la version officielle consiste à vérifier la date de dernière modification. En vérifiant la date de dernière modification, vous savez si une copie particulière de ce script est une version non modifiée par rapport au script original.
Remarque : Bien sûr, quelqu'un peut exécuter le script que nous venons de vous montrer et changer la date de dernière modification date. À moins d'apposer une signature de code sur tout ce que vous faites, quelqu'un peut toujours trouver un moyen d'être plus malin que le système. Supposons que vous avez des collègues de confiance avec qui vous partagez des scripts, cette approche est raisonnable.
À un moment donné, vous décidez de mettre à jour (et standardiser) la date de dernière modification de tous vos scripts. Comment faire ? En supposant que tous vos scripts se trouvent dans le dossier C:\Scripts, il vous suffit simplement d'exécuter le code suivant :
Set objShell = _
  CreateObject("Shell.Application")

Set objFolder = _
  objShell.NameSpace("C:\Scripts")
Set colItems = objFolder.Items

For Each objItem In colItems
    objItem.ModifyDate  = _
      "01/01/2008 8:00:00 AM"
Next
Comme vous pouvez le voir, le début de ce script ressemble beaucoup au premier script que nous vous avons montré. Cependant, dans ce cas, après l'avoir lié au dossier C:\Scripts, nous n'utilisons pas la méthode ParseName pour le lier à un fichier individuel dans ce dossier. Nous utilisons à la place la ligne de code suivante afin de renvoyer une collection de tous les fichiers trouvés dans ce dossier :
Set colItems = objFolder.Items
Une fois que nous avons notre collection, nous définissons une boucle For Each qui parcourra tous les éléments de cette collection. Dans la boucle For Each, nous utilisons cette ligne de code pratique pour modifier la valeur de la propriété ModifyDate du premier fichier dans la collection en 1 janvier 2008 à 8h00 :
objItem.ModifyDate  = _
  "01/01/2008 8:00:00 AM"
Ensuite, il nous suffit d'utiliser la boucle et de répéter le processus avec le fichier suivant dans la collection. Lorsque tout est terminé, tous les fichiers du dossier C:\Scripts (à l'exception de tous les fichiers masqués) auront la même date de dernière modification. C'est pas beau, ça ? Maintenant, qui a dit qu'il était impossible de modifier la date de dernière modification d'un fichier à l'aide de VBScript ?
D'accord.

En parlant d'erreurs...
Il y a de cela très longtemps, lorsque les scripteurs ont commencé à travailler sur les scripts d'administration de système, il était impossible d'accéder à toutes les informations de fichiers étendus liés à un fichier dans le système de fichiers NTFS. Par exemple, si vous cliquez avec le bouton droit de la souris sur un fichier .wav, puis cliquez sur Propriétés, vous verrez des informations similaires à celles de la figure 1.
Figure 1 Récapitulatif des propriétés du fichier
Figure 1 Récapitulatif des propriétés du fichier
Comment récupérer des valeurs telles que le taux de transmission ou la taille de l'échantillon audio à l'aide d'un script ? Vous ne pouvez pas, à moins d'utiliser l'objet Shell. (Ou Windows Desktop Search 3.0 en supposant que vous avez téléchargé et installé ce logiciel.) En cours de route, la capacité à récupérer toutes les informations de propriété étendues pour un fichier a été ajoutée à l'objet Shell, mais les scripteurs l'ont négligée. Par conséquent, nous avons dit aux gens « Vous ne pouvez pas utiliser un script pour déterminer la vitesse de transmission d'un fichier .wav. » bien que ce soit possible, comme l'indique le code à la figure 2.
Figure 2 Utilisez un script pour rechercher la vitesse de transmission d'un fichier .wav (Close Figure 2)
Set objShell = CreateObject("Shell.Application")

Set objFolder = objShell.NameSpace("C:\Scripts")
Set objFolderItem = objFolder.ParseName("J0388563.wav")

For i = 0 to 33
    strHeader = objFolder.GetDetailsOf(objFolder.Items, i)
    strValue = objFolder.GetDetailsOf(objFolderItem, i)
    If strValue <> "" Then
        Wscript.Echo strHeader & vbTab & strValue
    End If
Next
Comment ce script fonctionne-t-il ? Ce script commence exactement comme le premier script que nous vous avons montré : Nous créons une instance de l'objet Shell.Application et nous le lions au dossier C:\Scripts. Nous utilisons ensuite la méthode ParseName pour lier le fichier en question (dans ce cas, J0388563.wav).
À ce stade, le processus se complique un peu. Pour commencer, nous définissons une boucle For Next qui s'exécute entre 0 et 33 parce que les fichiers prennent en charge jusqu'à 31 propriétés étendues différentes ayant reçues les numéros d'index 0 à 33. (Notez qu'il y a quelques numéros, tels que 27 et 28, qui correspondent à des numéros d'index valides mais ne contiennent pas de valeurs de propriété.) En fait, les fichiers prennent en charge les propriétés affichées à la figure 3.
Figure 3 Propriétés du fichier (Close Figure 3)

Index | Propriété
0 | Nom
1 | Taille
2 | Type
3 | Date de modification
4 | Date de création
5 | Date d'accès
6 | Attributs
7 | État
8 | Propriétaire
9 | Auteur
10 | Titre
11 | Sujet
12 | Catégorie
13 | Pages
14 | Commentaires
15 | Copyright
16 | Artiste
17 | Titre d'album
18 | Année
19 | Numéro de piste
20 | Genre
21 | Durée
22 | Vitesse de transmission
23 | Protégé
24 | Modèle d'appareil photo
25 | Date de capture de l'image
26 | Dimensions
29 | Nom de l'épisode
30 | Description du programme
32 | Taille de l'échantillon audio
33 | Taux de l'échantillon audio
Par conséquent, quelle est la procédure à suivre dans la boucle For Next ? Tout d'abord, nous devons exécuter la ligne de code suivante :
strHeader = _
  objFolder.GetDetailsOf(objFolder.Items, i)
Nous récupérons ici le nom de la propriété 0 à l'aide de la méthode GetDetailsOf (gardez à l'esprit que notre boucle s'exécute de 0 à 33). Nous enregistrons ensuite ce nom dans une variable appelée strHeader et nous utilisons cette ligne de code pour récupérer la valeur de propriété de l'élément 0, en enregistrant les informations renvoyées dans une variable appelée strValue :
strValue = _
  objFolder.GetDetailsOf(objFolderItem, i)
Vous souhaitez voir comme cela fonctionne ? L'élément 0 correspond en fait à la propriété Name. Par conséquent, lors de son premier passage dans la boucle, strHeader équivaudra à Name. Simultanément, le véritable nom (c'est-à-dire la valeur de la propriété Name) pour le premier fichier est J0388563.wav. Par conséquent, lors de son premier passage dans la boucle, strValue équivaudra à J0388563.wav. Lorsque nous l'expliquons ainsi, la procédure n'a pas l'air si compliqué que cela, n'est-ce pas ?
Comme vous le savez probablement, tous les types de fichiers ne prennent pas en charge toutes les propriétés étendues. (Par exemple, un fichier .jpg ne disposera pas d'un titre d'album ou d'un taux de l'échantillon audio). Par conséquent, dans la ligne de code suivante, nous allons vérifier si la valeur renvoyée correspond à une chaîne vide :
If strValue <> "" Then
Si la valeur est une chaîne vide, il nous suffit alors de revenir en haut de la boucle et de répéter le processus avec la propriété étendue suivante. Si la valeur n'est pas une chaîne vide, nous renvoyons le nom de propriété et la valeur :
Wscript.Echo strHeader & vbTab & strValue
Le résultat ? Quelque chose qui ressemble à ce qui suit :
Name    j0388563.wav
Size    169 KB
Type    Wave Sound
Date Modified   1/19/2004 8:56 AM
Date Created    3/6/2006 2:02 PM
Date Accessed   12/3/2007 10:41 AM
Attributes      A
Status  Online
Owner   FABRIKAM\kenmyer
Bit Rate        90kbps
Audio Sample Size       4 bit
Audio Sample Rate       11 kHz
Cool, non ?
Nous manquons de temps (et d'espace) ici, mais si vous cherchez une façon plus facile pour renvoyer les valeurs de propriété les plus pertinentes, essayez plutôt le script à la Figure 4.
Figure 4 Une manière facile de renvoyer les valeurs de propriété (Close Figure 4)
Const colInfoTip = -1

Set objShell = CreateObject("Shell.Application")

Set objFolder = objShell.NameSpace("C:\Scripts")
Set objFolderItem = _
  objFolder.ParseName("01. Out On The Weekend (Album Version).wma)")

Wscript.Echo objFolder.GetDetailsOf(objFolderItem, colInfoTip)
Que fait ce script ? Si vous êtes dans l'Explorateur Windows et que vous maintenez le pointeur de la souris sur un fichier, une info-bulle apparaîtra et vous fournira quelques informations utiles sur le fichier, telles que les informations affichées à la figure 5. Comment pouvez-vous obtenir les informations de l'info-bulle à l'aide d'un script ? C'est exact ! Utilisez le script que nous venons de vous montrer :
Figure 5 Propriétés affichées dans une info-bulle
Figure 5 Propriétés affichées dans une info-bulle
Artist: Neil Young
Album Title: Harvest
Year: 1972
Track Number: 1
Duration: 0:04:35
Type: Windows Media Audio file
Bit Rate: 256kbps
Protected: Yes
Size: 5.31 MB
Voilà tout ce que nous avons le temps de vous montrer ce mois-ci. Encore une petite remarque concernant les moineaux. Une des raisons pour laquelle vous souhaiteriez être attentif aux moineaux : Dans certaines parties du monde, l'entrée d'un moineau dans votre maison est un signe de mauvaise augure. Pourquoi ? Parce que cela signifie qu'un habitant de cette maison va mourir. (Dans certains cas, ceci n'est vrai que si le moineau atterrit sur un piano. Mais là, il ne s'agit plus d'une superstition, mais uniquement d'une bizarrerie.) Par contre, ce qui suit risque de vous intéresser : Dans d'autres parties du monde, l'entrée d'un moineau dans votre maison signifie qu'un habitant de cette maison va se marier. Vous avez donc le choix entre un choc et un coup de marteau !

Les scripts embrouillés du Dr. Scripto
Le défi mensuel qui teste non seulement vos compétences en matière d'énigmes, mais également vos compétences en matière de scripts.

Mars 2008 : Script énigmatique
L'énigme de ce mois-ci est un cryptogramme, signifiant que chaque lettre a été remplacée par une lettre différente. (Nous avons laissé tous les symboles et les numéros intacts). La même lettre représente toujours la même lettre remplacée. Par exemple, tous les événements de la lettre A auront peut-être été remplacés par la lettre B, tous les événements de la lettre B auront peut-être été remplacés la lettre Z, et ainsi de suite. Voici un exemple simple :
tdsjqu dfoufs
Décodage :
script center
Dans ce cas, pour décoder l'énigme, il suffit de remplacer chaque lettre par la lettre de l'alphabet qui la précède. Ainsi, la lettre T a été remplacée par S, la lettre D a été remplacée par C, et ainsi de suite.
L'énigme est un peu plus aléatoire que cela. Décodez ce script et vous aurez un script qui ouvre une instance de Microsoft Excel®, ajoute une nouvelle feuille de calcul, attribue quatre valeurs à la première colonne dans la feuille de calcul et trie les données de cette colonne en ordre croissant.
Amusez-vous bien !

Énigme
kqyjs edfjkzyrlyg = 1
kqyjs edyq = 2
kqyjs edjqtstqmj = 2

jzs quwzekzd = ktzfszquwzks("zekzd.faadlkfslqy")
quwzekzd.iljludz = stcz

jzs quwmqtxuqqx = quwzekzd.mqtxuqqxj.frr
jzs quwmqtxjozzs = quwmqtxuqqx.mqtxjozzsj(1)

quwmqtxjozzs.kzddj(1, 1) = "kfs"
quwmqtxjozzs.kzddj(1, 2) = "rqg"
quwmqtxjozzs.kzddj(1, 3) = "ufs"
quwmqtxjozzs.kzddj(1, 4) = "faz"

jzs quwtfygz = quwzekzd.fkslizkzdd.zysltztqm
quwtfygz.jqts quwtfygz, edfjkzyrlyg, , , , , , edyq, , , edjqtstqmj

Les scripts embrouillés du Dr. Scripto
Réponse : Script cryptique, mars 2008
Voici comment décoder le script :
Actual Letter	a	b	c	d	e	f	g	h	i	j	k
Coded Letter	f	u	k	r	z	b	g	o	l	w	x

Actual Letter	l	m	n	o	p	q	r	s	t	u	v	w	x	y	z
Coded Letter	d	n	y	q	a	h	t	j	s	c	i	m	e	v	p
Et voici le script décodé :
Const xlAscending = 1
Const xlNo = 2
Const xlSortRows = 2

Set objExcel = CreateObject("Excel.Application")
objExcel.Visible = True

Set objWorkbook = objExcel.Workbooks.Add
Set objWorksheet = objWorkbook.Worksheets(1)

objWorksheet.Cells(1, 1) = "Cat"
objWorksheet.Cells(1, 2) = "Dog"
objWorksheet.Cells(1, 3) = "Bat"
objWorksheet.Cells(1, 4) = "Ape"

Set objRange = objExcel.ActiveCell.EntireRow
objRange.Sort objRange, xlAscending, , , , , , xlNo, , , xlSortRows

Les scripteurs Microsoft Les scripteurs travaillent pour (disons plutôt sont employés par) Microsoft. Lorsqu’ils ne sont pas en train de jouer au base-ball, d’entraîner une équipe ou de regarder un match (ou de se livrer à de multiples autres activités), ils dirigent le Script Center TechNet. Vous pouvez le vérifier vous-même sur www.scriptingguys.com.


 Vigilance s&#233;curit&#233;: Utilisation de l'Assistant Configuration de la s&#233;curit&#233; dans Windows&#160;Server&#160;2008
Vigilance sécurité
Utilisation de l'Assistant Configuration de la sécurité dans Windows Server 2008
Jesper M. Johansson
Cet article se base sur une version préliminaire de Windows Server 2008. Toutes les informations contenues dans cet article sont susceptibles d’être modifiées.

En 2005, Microsoft a publié Windows Server 2003 SP1. Ce Service Pack a introduit le premier outil de gestion de la sécurité basé sur les rôles pour Windows : l'Assistant Configuration de la sécurité (SCW). Microsoft a conçu l'Assistant Configuration de la sécurité comme étant avant tout un outil de réduction de la surface d'attaque. Son but était d'analyser ce que vous faisiez
effectivement avec votre ordinateur et de le configurer automatiquement pour prendre en charge les rôles dont vous aviez besoin, tout en désactivant les rôles et les services qui n'étaient pas utilisés.
Windows Server® 2008 conserve l'Assistant Configuration de la sécurité, qui a été mis à jour avec de nouveaux rôles et une nouvelle intégration avec le nouveau Pare-feu Windows®. Cependant, il reste un outil d'administration aussi sophistiqué qu'il l'a toujours été.
Windows Server 2008 inclut également le nouvel outil Gestionnaire de serveur basé sur les rôles et ses comparses, les Assistants Ajout de rôles et Ajout de fonctionnalités. Dans Windows Server 2008, au lieu d'ajouter des composants individuels par le biais de l'ancien panneau de configuration Ajouter ou supprimer des composants Windows, vous utilisez maintenant les outils de gestion de rôles pour configurer votre serveur. Byron Hynes décrit ces outils dans l'article « Configuration des rôles avec le Gestionnaire de serveur », qui fait également partie de cette édition de TechNet Magazine.
Les Assistants Ajout de rôles et Ajout de fonctionnalités sont conçus pour configurer votre serveur avec les composants voulus pour prendre en charge les rôles que vous avez choisis. Ils configurent également le pare-feu incorporé pour assurer le bon fonctionnement de ces rôles. Cela étant dit, vous pouvez vous demander si vous avez encore besoin de l'Assistant Configuration de la sécurité. D'accord, bon nombre d'administrateurs n'auront plus besoin de l'Assistant Configuration de la sécurité. Cependant, pour deux types de personnes l'Assistant Configuration de la sécurité peut être un outil très appréciable. Le premier groupe est composé des paranoïaques de la sécurité. Ces personnes apprécient les améliorations de la sécurité fournies par l'Assistant Configuration de la sécurité.
Vous pouvez envisager les Assistants Ajout de rôles et Ajout de fonctionnalités comme des outils qui prennent un serveur par défaut et le configurent de manière sécurisée afin de prendre en charge les rôles et les fonctionnalités que vous voulez. L'Assistant Configuration de la sécurité, d'autre part, est l'outil qui configure votre serveur pour ne prendre en charge que les rôles et les fonctionnalités que vous voulez. Il a également un effet pédagogique dans la mesure où il vous aide à mieux comprendre comment le serveur est configuré. Donc, je vous recommande fortement d'exécuter l'Assistant Configuration de la sécurité une fois le serveur configuré avec son complément de rôles et de fonctionnalités.
Le deuxième groupe est constitué des utilisateurs qui veulent comprendre les relations entre les divers composants. L'Assistant Configuration de la sécurité est fourni avec une série de fichiers XML qui décrivent les relations entre les rôles et les fonctionnalités, les services et les ports réseau. Si vous vous intéressez aux besoins des divers composants, l'Assistant Configuration de la sécurité est un outil très appréciable.
Dans cet article, je décrirai comment fonctionne l'Assistant Configuration de la sécurité et comment vous pouvez l'utiliser pour protéger votre serveur. Et je fournirai une comparaison entre l'Assistant Configuration de la sécurité et les outils du Gestionnaire de serveur. Notez que cet article est adapté de mon livre, Windows Server 2008 Security Resource Kit (Microsoft Press® 2008).

Présentation de l'Assistant Configuration de la sécurité
Voici quelques chiffres sur Windows Server 2008. Avant que vous ne configuriez un serveur en ajoutant votre sélection personnelle de rôles et de fonctionnalités, il compte déjà un nombre relativement lourd de services. Par défaut, Windows Server 2008 inclut 105 services, dont 42 sont définis pour démarrer automatiquement, 55 sont manuels et 8 sont désactivés. Comparez cela à une installation propre de Windows Server 2003 R2 SP2, qui compte 86 services installés par défaut : 34 sont définis pour démarrer automatiquement, 32 sont définis pour exiger un démarrage et 20 sont désactivés.
Malgré la métaphore de rôles et la réduction des rôles par défaut pris en charge, Windows Server 2008 présente toujours un plus grand encombrement et nécessite un soin supplémentaire pour le renforcement de vos serveurs. L'Assistant Configuration de la sécurité vous guidera dans la création d'une configuration de sécurité personnalisée pour vos différents serveurs.
Il suit une approche complètement différente pour le renforcement de serveur par rapport aux outils existants. Il utilise une métaphore de rôles pour configurer le système afin de prendre en charge ces rôles et peu d'autres choses, voire rien d'autre. Tandis que l'Assistant Configuration de la sécurité vous aide à configurer le pare-feu, tout comme les Assistants Ajout de rôles et Ajout de fonctionnalités, il désactive également les services inutiles et configure quelques paramètres de sécurité supplémentaires. Enfin, alors que les Assistants Ajout de rôles et Ajout de fonctionnalités sont seulement capables d'installer et de configurer des rôles qui sont intégrés dans Windows, l'Assistant Configuration de la sécurité est extensible. Un développeur ou un administrateur peut écrire un rôle personnalisé ou un fichier de configuration de fonctionnalité et utiliser l'Assistant Configuration de la sécurité pour configurer n'importe quel produit.
L'Assistant Configuration de la sécurité est conçu pour être utilisé après avoir installé tous les rôles et les fonctionnalités que le serveur est supposé avoir. Si vous avez également des applications tierces sur votre serveur, vous devez aussi les installer avant d'exécuter l'Assistant Configuration de la sécurité.
Pour démontrer le fonctionnement de tout ceci, j'ai configuré un serveur avec trois rôles (le serveur d'applications, le serveur DNS et le serveur Web) et deux fonctionnalités (fonctionnalités Microsoft® .NET Framework 3.0 et service d'activation des processus Windows). Il ne s'agit pas d'un ensemble particulièrement logique de rôles et de fonctionnalités, mais il constitue un bon exemple.
Pour démarrer l'Assistant Configuration de la sécurité, exécutez-le à partir du menu Outils d'administration. Vous verrez la boîte de dialogue affichée dans la figure 1.
Figure 1 L'Assistant Configuration de la sécurité commence par vous demander ce que vous voulez faire
Figure 1 L'Assistant Configuration de la sécurité commence par vous demander ce que vous voulez faire
La première étape consiste à choisir si vous voulez créer une nouvelle stratégie de sécurité, modifier ou appliquer une stratégie existante ou restaurer une stratégie pour que le système rétablisse les paramètres originaux. Les choix sont relativement explicites.
Lorsque vous choisissez de créer une nouvelle stratégie de sécurité, l'Assistant Configuration de la sécurité crée une nouvelle stratégie en utilisant un ordinateur comme modèle de ce que la stratégie doit prendre en charge. Il analyse l'ordinateur et détermine quelles fonctionnalités et quels rôles sont pris en charge, en s'assurant qu'ils fonctionnent mais également que beaucoup de fonctionnalités inutiles ne sont pas activées.
L'Assistant Configuration de la sécurité utilise un modèle prototype. Il utilise des fichiers XML pour spécifier à quoi ressemblent les rôles et les fonctionnalités en termes de fichiers installés, de services configurés et ainsi de suite. C'est pourquoi tout doit être installé sur l'ordinateur pour lequel vous développez la stratégie. Si vous avez des programmes tiers qui installent des définitions SCW à l'installation, ceux-là s'intégreront de façon transparente. Cependant, si vos programmes tiers n'installent pas de définitions SCW, vous devrez les configurer manuellement.
Comme vous pouvez le voir, vous pouvez créer une stratégie sur un système et l'appliquer à un grand nombre d'autres. Si vous créez un réseau avec beaucoup de systèmes, vous devez d'abord définir des classes d'hôte qui sont toutes configurées séparément. Vous pouvez alors créer une stratégie en utilisant l'une d'elles comme prototype et l'appliquer facilement à toutes les autres classes en effectuant peu ou pas de modifications.
Lorsque vous cliquez sur Suivant (dans la boîte de dialogue illustrée à la figure 1), l'assistant demande quel ordinateur vous voulez utiliser comme base, ou prototype, pour cette nouvelle stratégie. Vous choisissez généralement l'ordinateur local, mais vous avez également la possibilité d'utiliser un ordinateur distant comme prototype.
Après avoir spécifié le système à utiliser, vous entrez dans la phase d'analyse. Ici, l'Assistant Configuration de la sécurité énumère les rôles et les fonctionnalités que vous avez installés et il les compare avec la base de données de rôles et de fonctionnalités. La base de données contient des informations sur les services qui sont utilisés par chaque rôle et fonctionnalité, les ports réseau dont ils ont besoin et d'autres informations de configuration importantes. Une fois l'analyse terminée, vous pouvez afficher la base de données de configuration pour voir ce que l'Assistant Configuration de la sécurité a trouvé. Notez qu'il s'agit d'un affichage en lecture seule qui présente des informations complètes sur la configuration de l'ordinateur. En fait, si vous souhaitez vraiment comprendre ce qui se trouve sur votre ordinateur, vous pouvez passer de longues heures à étudier ces informations.

Configuration de votre serveur avec l'Assistant Configuration de la sécurité
Lorsque vous cliquez sur Suivant, vous accédez à la première des quatre sections de l'Assistant Configuration de la sécurité : configuration de services basés sur les rôles. Vous aurez peut-être remarqué que les rôles inclus dans l'Assistant Configuration de la sécurité, comme illustré à la figure 2, ne sont pas les mêmes que ceux de l'Assistant Ajout de rôles. La plupart des rôles disponibles dans l'Assistant Ajout de rôles sont également présents ici, et l'Assistant Configuration de la sécurité en offre également qui ne sont pas inclus dans l'Assistant Ajout de rôles. Par exemple, le rôle de serveur d'applications que j'ai sélectionné n'est pas présent. La raison en est que l'Assistant Configuration de la sécurité utilise une métaphore légèrement différente pour les rôles. J'aborderai ce sujet plus en détails bientôt.
Figure 2 Utilisation de l'Assistant Configuration de la sécurité pour sélectionner les rôles que votre serveur doit prendre en charge
Figure 2 Utilisation de l'Assistant Configuration de la sécurité pour sélectionner les rôles que votre serveur doit prendre en charge
L'ensemble correct de rôles sera souvent déjà sélectionné dans cette boîte de dialogue. Il vous suffit de vérifier que l'analyse a bien détecté ce que vous pensez qu'elle aurait dû trouver. En cas de problème, vérifiez si le rôle a été installé et installez-le (s'il manque) avant de réexécuter l'Assistant Configuration de la sécurité. Si vous commettez une erreur, ce n'est pas la fin du monde. La fonctionnalité de restauration dans l'Assistant Configuration de la sécurité vous ramènera là où vous avez commencé en annulant toutes les modifications que la stratégie a opérées.
Les réponses que vous donnez dans cette section sont très importantes parce qu'elles déterminent ce que vous verrez plus tard dans la section relative au réseau. Heureusement, la logique de détection fonctionne bien. L'ensemble correct de rôles est généralement sélectionné.
Notez également que, par défaut, vous voyez les Rôles installés, c'est-à-dire les rôles que le serveur est capable de prendre en charge avec les informations stockées sur le disque. Les rôles sélectionnés sont ceux qu'il prend actuellement en charge. Vous pouvez également choisir de voir tous les rôles dans la base de données. Pour ce faire, sélectionnez Tous les rôles dans la liste déroulante. Ceci est utile principalement lorsque vous devez générer une stratégie en utilisant un serveur prototype où ne sont pas encore installés tous les rôles dont il a besoin.
Après la configuration des rôles, vous sélectionnez les fonctionnalités clientes que vous voulez prendre en charge. L'ensemble des fonctionnalités est similaire mais pas identique à celui de l'Assistant Ajout de fonctionnalités et il contient moins de fonctionnalités. Une fois encore, les métaphores ne sont pas exactement les mêmes, l'Assistant Configuration de la sécurité peut être étendu, donc ce que vous verrez sera différent de l'Assistant Ajout de fonctionnalités.
Lorsque vous cliquez sur Suivant sur la page des fonctionnalités clientes dans l'Assistant Configuration de la sécurité, vous accédez à la boîte de dialogue de sélection des options d'administration et d'autres options, illustrées à la figure 3. Les options de l'Assistant Configuration ne correspondent pas exactement à un rôle ou une fonctionnalité. Elle peut fournir une prise en charge administrative ou être seulement un service individuel, comme la Détection de services interactifs. Une fois encore, la plupart des options dont vous avez besoin doivent être sélectionnées ici. Il est judicieux également d'utiliser le menu déroulant. Il est rempli avec les options relatives aux rôles et aux fonctionnalités que vous avez sélectionnés précédemment et il sera différent en fonction des ordinateurs.
Figure 3 Sélection d'autres services et fonctionnalités dans l'Assistant Configuration de la sécurité
Figure 3 Sélection d'autres services et fonctionnalités dans l'Assistant Configuration de la sécurité
Ensuite vient la boîte de dialogue Sélectionnez des services supplémentaires. Bien que l'Assistant Configuration de la sécurité possède une très grande base de données de services, tout n'est pas décrit ici. Les services que l'Assistant Configuration de la sécurité détecte sur un ordinateur et qui ne sont pas présents dans la base de données figurent sur la page Services supplémentaires. Tous les services intégrés doivent être décrits et vous ne devriez pas voir cette boîte de dialogue si vous n'avez pas installé de services tiers.
L'Assistant vous dit quoi faire avec les services que vous ne configurez pas. Cette option a été conçue pour appliquer la stratégie que vous avez créée à un ordinateur différent. Si cet ordinateur possède des services différents de ceux sur lesquels vous avez basé la stratégie, l'Assistant Configuration de la sécurité a besoin de savoir quoi en faire. Vous pouvez les laisser tels quels, ce qui est le paramètre par défaut. L'autre option consiste à les désactiver, ce qui est plus sûr mais peut causer des problèmes de fonctionnement. Mais si vous suivez le conseil d'appliquer seulement les stratégies à des serveurs qui sont identiques à celui sur lequel vous les avez créées, votre choix sur cette page n'aura aucun impact.
Vous avez maintenant terminé la portion de configuration des rôles de l'Assistant Configuration de la sécurité et l'assistant récapitule ce que vous avez fait. Comme vous pouvez le voir à la figure 4, même si vous avez juste cliqué sur Suivant tout le long, vous avez modifié de manière significative la surface d'attaque de l'ordinateur. Par exemple, parce que cet ordinateur n'est pas un serveur d'impression et qu'il n'a pas d'imprimantes installées, vous n'avez pas de raison d'exécuter le service Spouleur d'impressions. L'Assistant Configuration de la sécurité désactive tous les services qui ne sont pas nécessaires. Sur notre serveur test, l'Assistant Configuration de la sécurité désactive 17 services qui ont été définis pour un démarrage automatique et désactive 42 services de démarrage manuel. Vos résultats, bien sûr, varieront en fonction de la configuration de votre serveur mais vous pouvez voir que l'Assistant Configuration de la sécurité vous permet d'adapter facilement une stratégie spécifique à vos serveurs uniques, ce qui réduit radicalement leur surface d'attaque.
Figure 4 L'Assistant Configuration de la sécurité résume les modifications que vous avez apportées
Figure 4 L'Assistant Configuration de la sécurité résume les modifications que vous avez apportées
Vous passez maintenant à ce qui est sans doute la section la plus importante de l'Assistant Configuration de la sécurité : le réseau. Après la page d'accueil initiale, vous voyez la boîte de dialogue Règles de sécurité réseau, illustrée à la figure 5. Elle contient une liste de toutes les règles de pare-feu proposées par l'Assistant Configuration de la sécurité, qui sont basées sur la prise en charge des rôles que vous avez sélectionnés dans les sections précédentes.
Figure 5 L'Assistant Configuration de la sécurité liste toutes les règles dont il estime que vous avez besoin
Figure 5 L'Assistant Configuration de la sécurité liste toutes les règles dont il estime que vous avez besoin
Si vous ne modifiez pas la configuration de la section de mise en réseau, l'Assistant Configuration de la sécurité crée les règles de pare-feu qui verrouillent les interfaces de réseau de manière à ce que seuls les rôles et les fonctionnalités soient pris en charge mais que tous les clients puissent y accéder. Mais pour vraiment optimiser la sécurité de vos serveurs, vous devez utiliser l'Assistant Configuration de la sécurité comme un élément à part entière dans la création d'une stratégie d'isolation de serveur. Pour en savoir plus sur l'isolation de serveur (et l'isolation de domaine), consultez l'article technet.microsoft.com/network/bb545651.
Windows Server 2008 Security Resource Kit contient un chapitre sur la sécurisation du réseau avec l'isolation de serveur et de domaine. Il explique également comment vous pouvez utiliser la modélisation des menaces réseau pour analyser votre réseau et faciliter le déploiement de l'isolation de serveur. L'Assistant Configuration de la sécurité est un outil précieux dans ce processus.
Vous pouvez configurer des restrictions sur les règles proposées en sélectionnant la règle et en cliquant sur Modifier. Vous voyez alors apparaître la boîte de dialogue illustrée à la figure 6. Il s'agit de l'une des quatre pages qui vous permettent d'ajouter des restrictions aux règles de mise en réseau. Par exemple, vous pouvez exiger l'authentification IPSec. Si vous choisissez cette option, vous pouvez lier également le port à seulement certains points de terminaison. Par exemple, vous pouvez le configurer de manière à autoriser l'administration à distance seulement à partir de certains hôtes. Comme vous pouvez le voir, ceci est un avantage important sur les assistants Ajout de rôles et Ajout de fonctionnalités.
Figure 6 L'Assistant Configuration de la sécurité vous permet de générer des règles de pare-feu et IPSec
Figure 6 L'Assistant Configuration de la sécurité vous permet de générer des règles de pare-feu et IPSec
Cette capacité à générer des règles de sécurité de connexion basées sur les rôles que vous avez sélectionnés dessert deux buts importants. D'abord, elle offre une formidable opportunité de comprendre les activités de vos serveurs. Vous n'avez pas même besoin de générer un serveur. Il vous suffit d'exécuter l'assistant, d'effectuer différentes sélections et de voir comment elles affectent les options sur les pages suivantes. Ensuite, elle vous permet de relier le concept très abstrait d'un port à un concept beaucoup plus logique d'un service et de configurer des restrictions réseau basées exactement sur les opérations réelles du système.
Si vous vous y prenez bien, ceci vous permet de développer une configuration très précise pour vos serveurs. La section Mise en réseau de l'Assistant Configuration de la sécurité est sans aucun doute l'endroit où vous devez passer la majorité de votre temps pendant la création de la stratégie de sécurité pour vos serveurs.
Le reste de l'Assistant Configuration de la sécurité vous permet de configurer l'audit et quelques paramètres de Registre. Les valeurs par défaut de ces paramètres sont suffisantes pour la plupart des organisations et, à moins d'avoir des exigences spéciales, vous ne devriez pas avoir besoin de faire grand-chose ici.
Une fois que vous avez créé votre stratégie, vous pouvez l'enregistrer et l'appliquer à l'ordinateur sur lequel vous travaillez. Ou vous pouvez l'appliquer à d'autres ordinateurs. Vous pouvez également convertir votre stratégie en Objet de stratégie de groupe (GPO) en utilisant la commande scwcmd.exe/transform.
Cependant, si votre stratégie contient des paramètres spécifiques à l'ordinateur, cette opération peut échouer ou donner des résultats très étranges. Par exemple, si vous créez des restrictions de point de terminaison incluant des adaptateurs locaux dans la section de mise en réseau, la stratégie est estimée spécifique à l'ordinateur et la transformation ne s'opèrera pas correctement. Ceci est dû au fait que ces adaptateurs doivent être spécifiés par le biais de GUID. Le GUID pour un adaptateur sur un ordinateur n'a aucune signification sur un autre ordinateur.
Donc, il est préférable d'utiliser l'Assistant Configuration de la sécurité serveur-par-serveur et comme un outil d'apprentissage. Pour les grandes batteries de serveurs, vous pouvez utiliser l'Assistant Configuration de la sécurité comme un moyen d'obtenir des informations sur les ordinateurs et de développer une stratégie fondamentale. Vous pouvez alors prendre cette stratégie et la recréer pour la distribuer à l'aide de n'importe quel outil que vous utilisez pour configurer les serveurs, notamment la Stratégie de groupe ou un système de gestion d'entreprise (tel que Microsoft Systems Center).

Comparaison entre l'Assistant Configuration de la sécurité et le Gestionnaire de serveur
Vous avez sûrement remarqué jusqu'ici que la métaphore utilisée pour les rôles et les fonctionnalités est différente. Une « fonctionnalité » dans l'Assistant Configuration de la sécurité est quelque chose que l'ordinateur fait pour agir en tant que client. Un « rôle », par contre, est quelque chose qu'il fait pour agir en tant que serveur.
Ceci diffère de la métaphore utilisée dans les outils Gestionnaire de serveur, où un rôle est une collection de services et de fonctionnalités qui peut être assimilée à une unité ; une fonctionnalité est quelque chose qui prend en charge des rôles. Pour l'essentiel, le Gestionnaire de Serveur considère un rôle comme étant l'activité pour laquelle vous avez acheté le serveur. Les fonctionnalités sont importantes, mais elles ne sont pas la raison pour laquelle vous avez acheté le serveur. Les deux métaphores et les deux usages différents de mêmes termes vont obligatoirement provoquer une confusion. Vous aurez besoin de bien y réfléchir avant de changer d'outil.
De plus, les outils Gestionnaire de serveur ne sont pas extensibles. Ils sont conçus pour gérer seulement les composants livrés avec Windows. À l'inverse, les programmes tiers que vous installez peuvent ajouter des rôles et des fonctionnalités à l'Assistant Configuration de la sécurité. Vous pouvez même écrire vos propres rôles et vos propres fonctionnalités. Le livre blanc « Extending the Security Configuration Wizard » (Extension de l'Assistant Configuration de la sécurité), disponible à l'adresse go.microsoft.com/fwlink/?LinkId=107397, explique comment faire.
L'Assistant Configuration de la sécurité désactive également les composants dont vous n'avez pas besoin. Les outils du Gestionnaire de serveur, d'un autre côté, déploient simplement les composants que vous demandez, ils ne touchent à rien d'autre sur l'ordinateur. Si vous avez besoin d'aide pour déterminer les composants qui ne sont peut-être pas nécessaires, l'Assistant Configuration de la sécurité est l'outil idéal.
De plus, même si les outils Gestionnaire de serveur et l'Assistant Configuration de la sécurité peuvent configurer votre réseau, l'Assistant Configuration de la sécurité est plus puissant dans ce domaine. Si vous générez une stratégie d'isolation de serveur, l'Assistant Configuration de la sécurité peut être une véritable mine d'informations et votre meilleur allié pour le déploiement. Ceci est évidemment un sujet avancé d'administration de la sécurité, mais l'Assistant Configuration de la sécurité est lui-même un outil de sécurité avancée.
Enfin, l'Assistant Configuration de la sécurité configurera également certains paramètres de sécurité supplémentaires que les outils de Gestionnaire de serveur ne définissent pas. Cependant, ceux-ci sont largement supplantés par des contrôles plus efficaces ou déjà définis par défaut dans Windows Server 2008.

Jesper M. Johansson est ingénieur de sécurité, chargé des problèmes de sécurité de logiciel et contribue à l’élaboration de TechNet Magazine. Il possède un doctorat MIS et compte plus de 20 ans d'expérience dans la sécurité.


 Histoires de Bureau: Vous ne pouvez &#234;tre ni trop riche ni trop l&#233;ger
Histoires de Bureau
Vous ne pouvez être ni trop riche ni trop léger
Wes Miller

Si vous êtes déjà allé sur un campus Microsoft, vous avez probablement vu des systèmes de borne à usage partagé dans les halls de la plupart des bâtiments. Ces systèmes ont été construits avec un frontal Web connecté aux services Terminal Server Windows de manière à ce que les employés passant d'un bâtiment à l'autre puisse lire leurs messages électroniques et accéder à d'autres
connexions. Au début, ils étaient configurés à l'aide d'anciens PC qui avaient été mis hors service et recyclés. Le matériel, trop lent, ne possédant pas suffisamment de mémoire et avec des disques durs inadéquats, était parfait pour les applications clients légères. Si vous disposez encore de matériel ancien pour quelque raison que ce soit, vous pouvez aussi en faire bon usage en le recyclant en postes de travail dans les salles de conférence, comme ordinateurs de formation, etc. Plutôt que de saturer les décharges, soyez respectueux de l'environnement et tirez un meilleur parti de votre argent.
Si votre organisation envisage une mise à niveau Windows Vista®, vous découvrirez peut-être que certaines de vos unités matérielles sont plus vieilles que vous ne le pensiez. Cela peut vouloir dire aucun Service de module de plateforme sécurisée (TPM) ou support Aero®, mais si tout ce dont vos systèmes ont besoin est d'un disque dur de plus grande capacité ou de plus de RAM, alors mettez le matériel à niveau. Toutefois, certains de vos systèmes ne pourront tout simplement pas exécuter Windows Vista parce que trop peu puissants ou dépourvus de fonctionnalités essentielles. Ce matériel est le candidat idéal pour devenir un client léger Windows®. La figure 1 répertorie la configuration matérielle de Windows Vista, vous saurez ainsi comment évaluer votre matériel actuel.
Figure 1 Configuration matérielle pour Windows Vista (Close Figure 1)

Matériel | nécessaire
Processeur | 1 GHz+ recommandé. La vitesse du processeur peut déterminer l'utilisabilité de Windows Vista. Un processeur monocœur lent ne suffira pas, mais peut faire un client léger de qualité. Notez que si vous envisagez le x64, c'est le moment de penser à une actualisation du matériel Windows Vista pour migrer vers le x64 en actualisant tout votre matériel.
Mémoire | 1 Go+ recommandé. Il est souvent possible d'ajouter de la mémoire, mais c'est à vous de décider s'il est efficace et économique d'installer de la mémoire sur des douzaines, des centaines, voire des milliers de systèmes.
Processeur graphique | 128 Mo+ de mémoire graphique, compatible Direct® 9.0 avec un pilote WDDM et le support Pixel Shader 2.0. Ce n'est pas peut-être pas très important puisque cela limite surtout la prise en charge d'Aero.
Disque dur | 40 Go+ de disque dur. Probablement plus un problème sur les systèmes mobiles que sur les ordinateurs de bureau.
Problème de pilotes | Les pilotes Windows Vista sont-ils compatibles avec tous les matériels de vos systèmes ?
TPM | Pour bénéficier de la prise en charge de BitLocker sans vous doter d'un lecteur flash USB, vous devez installer le matériel TPM 1.2.

Alors, que pouvez-vous faire avec un client léger ?
En utilisant l'ancien matériel et des systèmes d'exploitation moins performants, vous pouvez créer des bornes de zone/réception communes pour permettre aux utilisateurs de lire leurs messages électroniques, tout comme dans les bureaux de Microsoft. Vous pouvez configurer les systèmes pour qu'ils exécutent le Bureau à distance ou une instance soigneusement gérée d'Internet Explorer®. Vous pouvez installer des systèmes de lecture de présentations dans les salles de conférence en lançant Microsoft PowerPoint® et le Bureau à distance. Vous pouvez utiliser également des combinaisons ancien matériel/client léger pour des systèmes points de vente ou des bornes de recherche d'emploi. Mais quel client léger devez-vous utilisez ?

Windows XP Embedded
J'ai expliqué dans mes articles précédents comment Windows XP Embedded avait été développé comme version malléable et composante de Windows XP. Comme l'expliquait Don Jones dans un article du numéro d'avril 2007 (voir technetmagazine.com/issues/2007/04/XPe), vous devez utiliser plusieurs outils pour créer des images Windows XP Embedded, le principal étant Target Designer (voir Figure 2). Target Designer vous permet de créer votre propre image Windows XP Embedded personnalisée.
Figure 2 Image Windows XP Embedded Target Designer
Figure 2 Image Windows XP Embedded Target Designer
Notez que Target Designer est livré avec plusieurs modèles de conception pour faciliter votre mise en route. Bien sûr, vous pouvez vous passer des modèles, mais leur utilisation vous simplifiera considérablement la tâche. Dans la figure 2 vous pouvez voir les modèles de borne/console de jeu et de terminal Windows qui sont un bon choix pour démarrer. Windows XP Embedded vous fournit également la prise en charge complète des périphériques et la gestion de l'alimentation native, comme vous pourriez l'obtenir avec l'image de système d'exploitation complet (il vous suffit de créer leur prise en charge dans votre image). Bien sûr, plus vous ajoutez de fonctionnalités, plus vous avez besoin de matériel. Il est donc important de choisir avec discernement. Beaucoup d'informations concernant Windows XP Embedded sont disponibles sur le site Web de Microsoft : microsoft.com/windows/embedded/eval/xpe/default.mspx.

Windows Embedded for Point of Service
Windows Embedded for Point of Service (WEPOS) fournit un modèle entièrement standardisé pour les systèmes point de service (POS) construits sur Windows XP Embedded. WEPOS, qui assure la prise en charge intégrée de nombreux périphériques POS, est principalement utilisé dans les secteurs de la vente au détail et de l'hôtellerie, de la restauration et des cafés. Contrairement à Windows XP Embedded, il offre un ensemble totalement fixe de fonctionnalités conçues exclusivement pour ce rôle et ne peut être personnalisé au même niveau que Windows XP Embedded.
La plate-forme WEPOS est conçue pour un système très minimal, nécessitant seulement un processeur Pentium II 233 MHz ou supérieur, 64 Mo de RAM et 280 Mo pour son image de système d'exploitation centrale. Des informations détaillées sur WEPOS et des liens pour commander une évaluation sont disponibles sur microsoft.com/windows/embedded/wepos.

Windows Fundamentals for Legacy PCs
Contrairement à Windows XP Embedded et à WEPOS, qui sont principalement conçus pour être intégrés dans un périphérique par un fabricant, Windows Fundamentals for Legacy PCs (FLP) est exploité sous licence comme composant de Software Assurance, conçu principalement pour être utilisé dans ce scénario précis. La figure 3 illustre l'écran d'installation pour Windows FLP, qui offre aux utilisateurs quatre options de configuration parmi lesquelles : Minimum, Type, Complète et Personnalisée.
Figure 3 Installation de Windows FLP
Figure 3 Installation de Windows FLP
Windows FLP nécessite 64 Mo de RAM, 500 Mo minimum d'espace de disque dur et une résolution d'affichage de 800 x 600 ou supérieure. La configuration système réelle requise pour l'espace de disque dur peut varier selon les composants du système d'exploitation que vous choisissez d'installer.
Si vous voulez un système d'exploitation relativement flexible et minimal pour l'utiliser sur du matériel hérité et que vous possédez déjà Software Assurance, Windows FLP est un bon choix. Reportez-vous à microsoft.com/licensing/sa/benefits/fundamentals.mspx pour plus d'informations sur la manière dont Windows FLP peut vous offrir une migration progressive vers le tout dernier matériel et système d'exploitation.

Windows XP simplifié
Outre ces versions de plus petite taille, Windows XP lui-même peut être parfait à utiliser tel quel. Si vous n'avez pas beaucoup de RAM, la désactivation de services tels que les thèmes Windows et autres peut économiser du temps et permettre une exécution satisfaisante du système. Assurez-vous, cependant, que vous savez ce que vous désactivez et que vous ne compromettez pas la sécurité (en désactivant le Pare-feu Windows, par exemple).

Ce qui ne fonctionnera pas
Malheureusement, les utilisateurs essaient souvent d'utiliser d'autres options de Windows pour systèmes légers. Voici les choix les plus évidents et les raisons pour lesquelles ils ne fonctionneront pas comme vous le voudriez.
Windows XP Starter Edition est simplifié pour être utilisé sur des systèmes limités. Mais cette version a été principalement conçue pour être utilisée dans les marchés technologiques en voie de développement. Elle est uniquement disponible sous forme de copie sous licence de Windows auprès d'un OEM et incluse dans un nouveau PC sur ces marchés. Donc, en principe, elle ne vous est pas accessible. Mais si vous voulez en savoir plus, consultez : microsoft.com/presspass/newsroom/winxp/WinXPStarterFS.mspx.
Windows PE n'est pas non plus une option viable. Il est intéressant de savoir qu'au cours du développement de Windows PE, Microsoft avait initialement pensé à l'utiliser comme système d'exploitation léger. Finalement cette version n'a tout simplement pas été conçue pour être utilisée comme système d'exploitation léger mais comme un environnement de préinstallation minimal axé sur le déploiement. Par exemple, Windows PE n'a pas de shell hormis l'invite de commande (et vous ne pouvez pas en ajouter facilement un très fonctionnel), ne dispose d'aucun ensemble d'API défini, d'aucune gestion de l'alimentation et d'aucune prise en charge audio.
Une version dépouillée de Windows XP n'est pas non plus une bonne solution. J'ai entendu des rumeurs selon lesquelles une option viable consistait à supprimer des fonctionnalités Windows. Je ne veux pas seulement parler de désactivation des services, mais bien de suppression d'applications de manière à alléger l'installation de Windows. Je vous déconseille fortement cette solution. Si vous supprimez les binaires de Windows pour l'alléger, vous risquez de mettre en péril la stabilité ou la sécurité du système. Si vous avez besoin d'une version réduite de Windows, utilisez Windows XP Embedded. Certes, cela implique un certain apprentissage et prend du temps pour perfectionner votre image, mais c'est une solution très puissante et optimale, prise en charge par Microsoft.
À l'instar d'une version réduite de Windows XP, l'utilisation d'une version antérieure de Windows peut sembler intéressante, mais l'absence de support, de mises à jour et de sécurité devrait vous en dissuader. Tenez-vous en aux solutions déjà prises en charge par Microsoft pour répondre à vos besoins d'informatique plus légère et tirez le meilleur parti de votre ancien matériel sans compromettre les fonctionnalités ou la sécurité indispensables.

Wes Miller est responsable de produit technique pour CoreTrace (www.CoreTrace.com) à Austin au Texas. Il a travaillé chez Winternals Software et comme responsable de programme chez Microsoft. Vous pouvez contacter Wes à l’adresse suivante : technet@getwired.com.


 Sur le terrain: Pr&#233;paration pour IT&#160;2.0
Sur le terrain
Préparation pour IT 2.0
Romi Mahajan

Dans La Vie de Raison, le grand philosophe et essayiste George Santayana a écrit que « Ceux qui ne peuvent se rappeler le passé sont condamnés à le répéter », pour souligner l'importance fondamentale de tirer les leçons des erreurs commises pour construire activement un avenir meilleur. L'application de cette pensée est évidente dans les mondes de la politique, de la culture, de l'histoire et même des sciences. En fait, l'idée d'« apprendre de ses erreurs » est si commune qu'elle semble être un cliché. Mais combien d'entre nous, dans le monde de l'informatique, réfléchissent réellement au passé afin d'en tirer des leçons ? Si nous ne le faisons pas, serons-nous parés pour le monde informatique du futur ? Par ailleurs, à quoi ce monde futur ressemblera-t-il ?
Essayons de le deviner, en utilisant toutes les possibilités de notre mémoire. Durant ces 30 dernières années, les modifications ont été profondes. L'informatique a évolué depuis les macroordinateurs à l'informatique basée sur navigateur, depuis la concentration de périphériques à leur prolifération, depuis la nouveauté et la rareté à la spécialisation et la vulgarisation, depuis la simplicité relative à la grande complexité. En extrapolant, nous pouvons donc nous attendre à ce que l'informatique devienne plus complexe, plus spécialisée et plus démocratisée. L'informatique devra également prendre en charge un nombre et une variété encore plus grands de périphériques ainsi qu'un nombre et une variété croissants de plates-formes. Tout ceci nécessitera une planification plus détaillée que jamais.
Ces notions sont-elles généralement admises ? Pas du tout.
Prenez, par exemple, les discussions d'une table ronde que j'ai récemment menée sur le thème de la « Consumérisation de l'informatique » au cours d'une conférence technologique en novembre 2007. Les prémisses de la table ronde étaient simples : les frontières entre les technologies d'entreprise et les technologies grand public sont devenues floues, les applications et périphériques grand public guident le développement de l'informatique et les services informatiques doivent se préparer aux phénomènes que sont notamment tous les Facebooks, iTunes et BlackBerry. Idée simple ? Évidente ? Resservie ?
À en juger par la réaction des personnes présentes dans la salle, pas du tout. Sur environ 100 personnes, 4 seulement ont dit être « sur Facebook ». « C'est pour les jeunes », a déclaré un participant. « Très bien. Les employés pour lesquels votre service informatique assure le support ne sont-ils pas jeunes et sur Facebook ? » a demandé l'un de nos invités. Confusion et démentis ont suivi. Pas plus d'une poignée d'administrateurs informatiques de la salle n'a estimé nécessaire de renforcer son entreprise en embauchant un personnel sachant créer et assurer le support d'applications et périphériques sur les nouvelles plates-formes qui occupent la majeure partie du temps accordé à la technologie.
Interrogée sur la manière de créer des stratégies informatiques efficaces régissant l'utilisation et la sécurité des technologies telles que les téléphones et ordinateurs portables, qui sont des périphériques double usage, d'entreprise comme domestiques, l'assemblée a été véhémente quoique peu productive. Le sentiment général était bien représenté par une personne qui a déclaré, dans un style draconien typique de IT 1.0, « Si quelqu'un de mon travail branchait un lecteur MP3 sur un portable professionnel ou laissait accidentellement un téléphone portable appartenant à l'entreprise dans un bar, je le mettrais immédiatement à la porte ».
Aïe. Vous pouvez toujours essayer.
Un autre domaine dans lequel il est possible de détecter cette pauvreté de raisonnement est l'environnement aride des conférences s'adressant aux décisionnaires informatiques. Je crois que si je vois un autre thème de conférence consacré aux notions vagues de « l'alignement métier informatique » ou des « pointages courants », j'arrêterai les conférences. Pourquoi n'y a-t-il pas plus de personnes qui se demandent à quoi ressemblera IT 2.0 et ce que nous devons faire pour anticiper ? Pourquoi ne nous demandons-nous pas ce que la nouvelle génération d'informaticiens professionnels devra posséder en matière de compétences et d'attitude afin de créer un futur dynamique ? Pourquoi ne déplorons-nous pas le fait qu'aucune entreprise ne considère son département informatique sous le même angle que leur département de Recherche et développement ? Au lieu de débattre de la centralisation par opposition à la décentralisation, pourquoi ne pas s'attaquer aux véritables problèmes du totalitarisme informatique face à la démocratisation informatique ?
Nous devons nous aimer davantage en montrant que nous nous soucions de notre avenir. Nous avons tous entendu parler de Web 2.0. Il est temps de commencer à penser à IT 2.0 si nous souhaitons réaliser quelque chose qui ressemblera ne serait-ce qu'un peu au potentiel de la technologie.

Romi Mahajan est directeur de l'équipe Technical Audience and Platform Marketing chez Microsoft. Romi a publié plusieurs ouvrages dans de nombreux domaines, notamment le domaine de la politique, de l'environnement, de la technologie et de la sociologie.


 La vie secr&#232;te de Windows: Comment les versions b&#234;ta sont devenues des versions finales
La vie secrète de Windows
Comment les versions bêta sont devenues des versions finales
Raymond Chen

Au début de Windows®, les versions préliminaires du produit suivaient une progression assez standard. Au début, il y avait les versions alpha, qui étaient utilisées en interne et probablement partagées avec les partenaires du développement des logiciels en dehors de l'équipe de produit Windows.
Après les versions alpha venaient naturellement les versions bêta, envoyées à un public un peu plus large. Une différence majeure entre les utilisateurs des versions alpha et bêta : les versions bêta sont pour des personnes n'étant pas des développeurs de logiciels, tels que des utilisateurs finaux qui aiment tester les versions préliminaires de logiciels, ainsi que pour des entreprises qui souhaitent avoir un avantage sur l'évaluation d'un nouveau système d'exploitation pour déterminer la compatibilité du nouveau produit non seulement avec leurs applications internes critiques mais également avec leur réseau d'entreprise, leurs configurations matérielles standard et leurs outils de gestion de système.
Enfin, il y avait les versions finales candidates. Celles-ci étaient, comme leur nom le suggère, les versions du code qui étaient candidates à la version finale. En d'autres termes, « Si tout se passe bien, nous expédierons ce petit. ». Mais si des bogues atroces étaient trouvés et contrecarraient cette attente, alors dès que le bogue était réparé, une nouvelle version d'évaluation était renvoyée et le cycle de test redémarrait. Windows 95 a expédié sa sixième version finale candidate.
J'ai entendu dire que le personnel de Windows NT® a suivi le même modèle de nommage de version mais a rencontré un problème : Les sociétés commerciales n'ont pas pris la peine de tester leurs applications critiques avec les versions bêta de Windows NT. Leur logique était la suivante : « Pourquoi se donner de la peine ? Il s'agit d'une version bêta. Les versions bêta, elles, sont pour les fans. De toute façon, tout sera différent dans la version finale. N'importe quel essai sera une simple perte de temps. »
De même, les entreprises de logiciels n'ont pas fait attention aux problèmes rencontrés lors des tests des versions bêta de Windows NT. Elles rétorquaient « Nous ne prenons pas en charge les versions bêta des systèmes d'exploitation ».
Ces entreprises commençaient les tests une fois que la version finale candidate réelle était mise sur le marché et inévitablement, rencontraient toute une série de problèmes. Certains de ces problèmes pouvaient être résolus par les entreprises, mais d'autres étaient plus complexes et se rapportaient à Windows NT n'étant pas « assez compatible » avec la version précédente du système d'exploitation. Il y avait également des problèmes mineurs dans la manière dont une fonctionnalité de projet particulière fonctionnait. Certains de ces problèmes pouvaient être réparés très rapidement. Mais d'autres étaient si sérieux que la sortie sur le marché de la version du produit était retardée pour que l'équipe puisse les résoudre.
Ces versions finales candidates généraient également de nombreuses suggestions. Nous avons reçu des commentaires du type « Nous pensons que l'interface utilisateur serait plus conviviale si les boutons étaient disposés ainsi. » et « la reformulation de ce message le rendrait plus compréhensible pour nos employés. » Ces commentaires auraient été très utiles si nous les avions reçu pendant la phase bêta, mais au moment où ils sont arrivés, la version finale candidate était déjà partie et il était beaucoup trop tard pour modifier la conception de l'interface. La documentation et les fichiers d'aide sont déjà rédigés, le produit traduit dans une douzaine de langues et les captures d'écran pour le manuel et l'emballage du produit déjà mises en page, ajustées, séparées par des couleurs et imprimées. Tout ce travail ne va pas être annulé et refait pour le simple déplacement d'un bouton.
Je me souviens d'une réunion pendant l'ère Windows XP où une de ces modifications de dernière minute avait été débattue. La modification proposée aurait nécessité la modification d'un fichier d'aide de 20 Ko pour que les instructions correspondent à la nouvelle interface utilisateur. Le représentant de l'entreprise de localisation et de traduction nous a informé que la re-traduction du fichier d'aide modifié avec des contraintes de délai extrêmement serrées entraînerait des coûts approchant des centaines de milliers de dollars.
Pour contrecarrer l'attitude selon laquelle les versions bêta ne comptent pas, l'équipe de Windows NT a décidé de recourir au changement de nom. Il existe toujours des versions bêta, mais les dernières versions bêta (lorsqu'il est encore temps de faire quelques modifications) sont devenus des versions finales candidates et les versions qui étaient des versions finales candidates sont désormais des versions légales. Le terme « légale » véhicule bien l'état réel de la version : à savoir, « la version est terminée et nous n'allons plus rien toucher à moins qu'il s'agisse d'une véritable urgence. »

Raymond Chen, The Old New Thing, et son livre du même titre (Addison-Wesley, 2007) traitent de l’historique de Windows et de la programmation Win32.