 TechNet Magazine May 2007

TechNet Magazine May 2007

Kommunikation: Neue mobile Messagingfunktionen mit Exchange 2007

Mobiles Messaging hat unsere Arbeitsweise verändert. Die Sicherheit mobiler Geräte rückt dabei immer mehr in den Mittelpunkt. Verschaffen Sie sich einen Überblick darüber, wie Exchange Server 2007 die Benutzerfreundlichkeit verbessert und Sie dabei unterstützt, einen zunehmend mobilen Mitarbeiterstamm zu verwalten.

Yee-Chen Tjie Kommunikation: Bessere Einhaltung gesetzlicher Bestimmungen mit Exchange Server 2007

Der Schutz der Unternehmensressourcen und die Einhaltung gesetzlicher Bestimmungen stellen für IT-Abteilungen eine erhebliche Belastung dar. Erfahren Sie, welche neuen Features in Exchange Server 2007 Ihnen bei der Sicherung von Daten und der Einhaltung gesetzlicher Bestimmungen helfen können.

Alan Maddison Identitätsverwaltung: Erstellen eines einstufigen Bereitstellungsworkflows

Suchen Sie ein webbasiertes Bereitstellungssystem? Finden Sie heraus, wie Sie MIISWorkflow zur Erstellung eines automatisierten einstufigen Benutzerbereitstellungssystems verwenden können, das auf Microsoft Identity Lifecycle Manager 2007 basiert.

Aung Oo Windows-Verwaltung: Vereinfachen der Verwaltung von Gruppenrichtlinien mithilfe von Windows PowerShell

Mit Windows PowerShell wird Ihre Arbeit erheblich erleichtert. Erfahren Sie, wie GPMC-APIs, die für Windows Skripthostsprachen geschrieben wurden, direkt von Windows PowerShell genutzt werden können, was die Möglichkeiten zum Verwalten von Gruppenrichtlinien wesentlich vereinfacht.

Thorbjörn Sjövold Windows-Verwaltung: Ein Leitfaden zur Bereitstellung von Terminaldiensten

Die zentrale Ausführung der Anwendungen Ihrer Organisation bietet zahlreiche Vorteile, und die ersten Schritte hierzu sind jetzt überraschend einfach. In diesem Artikel erfahren Sie alles, was Sie zur Aktivierung der Terminaldienste unter Windows Server 2003 und zur unternehmensweiten Implementierung von Terminaldiensten wissen müssen.

James D. Silliman Mitteilung der Redaktion: Sicherheit unterwegs

Joshua Trupin Briefe: Antworten auf Ihre Fragen

Toolbox: Neue Produkte für IT-Profis

Greg Steen SQL – Fragen und Antworten: Best Practices Analyzer, Mehrkernprozessoren und mehr

Edited by Nancy Michell Schwerpunkt Dienstprogramme: Aktualisierungstoolkit für SharePoint-Websites und -Vorlagen

Luis Câmara Manoel and Peter Skjøtt Larsen Führung eines IT-Unternehmens: Erstellen eines Geschäftsplans

Stephen Ibaraki The Cable Guy: EAPHost in Windows

Joseph Davies Windows PowerShell: Die WMI-Verbindung

Don Jones Hey, Scripting Guy!: Die Blumen blühen. Die Dialogfelder sprießen. Der Frühling ist da.

The Microsoft Scripting Guys Exchange Fragen & Antworten: OWA-Timeouts, Cmdlet-Problembehandlung und mehr

KC Lemson and Nino Bilic Sicherheit auf dem Prüfstand: Netzwerkzugriffschutz

John Morello Die Desktopdateien: Windows-Bereitstellungsdienste unter neuen Gesichtspunkten

Wes Miller Berichte aus der Praxis: Immer am Ball bleiben

Joshua Hoffman Windows Confidential: Wie wird die häufige Verwendung von Programmen bestimmt?

Raymond Chen


 Kommunikation: Neue mobile Messagingfunktionen mit Exchange&#160;2007
Kommunikation Yee-Chen Tjie

Neue mobile Messagingfunktionen mit Exchange 2007
Kurz zusammengefasst:
  • Konfiguration mobiler Geräte
  • Richtliniendurchsetzung
  • Erweitertes Messaging
  • Mobiler Dateizugriff

Noch vor wenigen Jahren war es unüblich und kompliziert, von einem anderen Standort als Ihrem Desktopcomputer auf geschäftliche E-Mails zuzugreifen. Heute setzen wir nicht nur den Remotezugriff auf E-Mails als gegeben voraus, es ist sogar
an der Tagesordnung, jemanden im Cafe um die Ecke mit einem mobilen Messaginggerät anzutreffen. Mobiles Messaging hat unsere Arbeitsweise verändert. Es ermöglicht mobilen Mitarbeitern, ihre Arbeit außerhalb des Büros effizienter zu erledigen.
Gleichzeitig wuchs aufgrund der neuesten Errungenschaften im Bereich mobiler Messagingtechnologie die Sorge um die Sicherheit mobiler Geräte. Unternehmen halten Ausschau nach besseren Möglichkeiten, um vertrauliche Geschäftsdaten zu schützen, die jetzt auf mobilen Geräten zuhause sind.
Die Einführung von Exchange Server 2003 und einer Technologie namens Exchange ActiveSync® stellte die Funktionen für ein Windows Mobile®-Gerät (Pocket PC Phone oder Smartphone) bereit, um unter Verwendung von HTTPS eine sichere Verbindung zu Exchange Server 2003 herzustellen. Es mangelte jedoch an der Verwaltung mobiler Geräte. Mit der Veröffentlichung von Exchange Server 2003 Service Pack 2 (SP2) und MSFP (Messaging and Security Feature Pack) auf Windows Mobile 5.0, ist jetzt das Erstellen einer globalen Richtlinie für alle Windows Mobile-Geräte möglich, die eine Verbindung mit Exchange herstellen. Diese Richtlinien ermöglichen obligatorische PIN-Nummern mit einer vorgegebenen Länge, durch Inaktivität ausgelöste Timeouts, die eine erneute PIN-Eingabe veranlassen und die Gerätebereinigung nach einer vorgegebenen Anzahl fehlgeschlagener PIN-Eingaben.
Exchange Server 2003 SP2 bietet dazu mit dem Exchange Mobile-Verwaltungstool eine Möglichkeit für Remotebereinigungen, wie in Abbildung 1 dargestellt. Dieses Tool befähigt Administratoren, einen Bereinigungsbefehl für ein verloren gegangenes Windows Mobile-Gerät auszugeben. Bei der nächsten Verbindungsaufnahme führt das Gerät daraufhin einen Kaltstart durch, bei dem der gesamte Gerätespeicherinhalt gelöscht wird.
Abbildung 1 Exchange Mobile-Verwaltungstool für das Bereinigen von Geräten
Abbildung 1 Exchange Mobile-Verwaltungstool für das Bereinigen von Geräten
Dies war zwar ein guter Start für die mobile Geräteverwaltung und Sicherheit, aber es blieb eine Anzahl von Sicherheitsanforderungen offen. Exchange Server 2007 trägt dazu bei, diese Lücken zu füllen.

Gerätekonfiguration und Durchsetzen von Richtlinien
Exchange ActiveSync ist standardmäßig für alle Postfachbenutzer in Exchange Server 2007 aktiviert. Wenn Sie dieses Feature für nur einen Teil der Benutzer aktivieren möchten, deaktivieren Sie es zunächst für alle Benutzer. Die Exchange-Verwaltungskonsole lässt es zwar nicht zu, dass Sie eine Gruppe von Benutzern für ActiveSync deaktivieren, doch dies kann anhand eines Exchange-Verwaltungsshellbefehls leicht durchgeführt werden, wie z. B. mit dem folgenden Befehl:
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Dieser Befehl ruft alle Postfächer auf einem Exchange 2007-Server ab und leitet die Informationen zu einem Set-CASMailbox-Befehl weiter, der ActiveSync für alle vorhandenen Postfächer deaktiviert.
Der nächste Schritt betrifft das Erstellen der Exchange ActiveSync-Postfachrichtlinien für Ihre Organisation. Die Anzahl der Richtlinien hängt dabei von den unterschiedlichen Sicherheitsprofilen Ihrer Benutzer ab. Zum Beispiel benötigt ein Finanzanalytiker, der vertrauliche Finanzinformationen per E-Mail empfängt, möglicherweise eine strengere Gerätesicherheitsrichtlinie als ein allgemeiner Benutzer.
Wählen Sie in der Navigationsstruktur der Exchange-Verwaltungskonsole unter dem Container für die Unternehmenskonfiguration den Clientzugriff aus, um die ActiveSync-Richtlinie zu konfigurieren. Wählen Sie im Aktionsbereich die Option „Neue Exchange ActiveSync-Postfachrichtlinie“ aus.
Im Dialogfeld „Neue Exchange ActiveSync-Postfachrichtlinie“ können flexible Richtlinien für Einstellungen erstellt werden, die steuern, ob Anlagen auf ein Gerät heruntergeladen werden oder ob nicht-bereitstellbare Geräte zugelassen werden (siehe Abbildung 2). Bereitstellbare Geräte sind Windows Mobile-Geräte, die die Fähigkeit haben, vorgegebene Richtlinien anzuwenden und durchzusetzen. Nicht-bereitstellbare Geräte sind Geräte, die die Richtlinie nur teilweise (oder gar nicht) anwenden können.
Abbildung 2 Exchange Server 2007 Activesync-Postfachrichtlinien
Abbildung 2 Exchange Server 2007 Activesync-Postfachrichtlinien
Andere Features umfassen die Möglichkeit, die Einstellungen für Verschlüsselung und Kennwortwiederherstellung zu konfigurieren. Wenn die Option „Require encryption on the device“ (Verschlüsselung auf dem Gerät erforderlich) aktiviert ist, werden alle Dateien auf den Speicherkarten des Geräts verschlüsselt. Die Option „Kennwortwiederherstellung aktivieren“ ermöglicht einem Benutzer, die Geräte-PIN-Nummer über Outlook® Web Access 2007 abzurufen.
Sie sollten die Kennwortrichtlinien für Geräte vor der Anwendung äußerst sorgfältig erwägen. Lange komplizierte PIN-Nummern bieten mehr Sicherheit, können jedoch die Verwendung der Geräte erschweren. Ein gutes Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit ist das Wichtigste beim Bestimmen sowohl der Kennwortstärke als auch der Dauer der Zeitbeschränkung, bevor eine PIN erforderlich wird. Das Aktivieren der Optionen „Kennwortablauf“ und „Kennwortverlauf erzwingen“ kann zu erhöhter Sicherheit beitragen, doch es kann frustrierend für den Benutzer sein, wenn das Verwalten von Kennwörtern und PIN-Nummern zu komplex wird.
Exchange Server 2007 ActiveSync-Postfachrichtlinien unterstützen eine verbesserte Gerätesicherheit, doch einige der Features erfordern Windows Mobile 6.0, ein Produkt, das erst seit kurzem auf Geräten bereitgestellt wird. Die in Abbildung 2 dargestellten Features – „Verschlüsselung auf dem Gerät anfordern“, „Kennwortverlauf erzwingen“ und „Kennwortablauf (Tage)“ – erfordern alle die neue Version. Sie können sich aber trotzdem mithilfe der neuen flexiblen Exchange Server 2007-Richtlinien auf diejenigen Benutzer konzentrieren, die Geräte mit Windows Mobile 5.0 verwenden.
Wenn alle Richtlinien definiert sind, können sie auf die Benutzer angewendet werden. Gehen Sie in der Exchange-Verwaltungskonsole zu „Empfängerkonfiguration“, und wählen Sie die Option „Postfach“ aus. Wählen Sie den Postfachbenutzer aus, den Sie für eine ActiveSync-Richtlinie aktivieren wollen, und wählen Sie im Aktionsbereich die Option „Eigenschaften“ aus. Wechseln Sie zur Registerkarte „Postfachfeatures“, und doppelklicken Sie auf „Exchange ActiveSync“. Klicken Sie im Feld „Exchange ActiveSync-Eigenschaften“ auf die Schaltfläche „Durchsuchen“, und wählen Sie die ActiveSync-Richtlinie, die auf den Benutzer angewendet werden soll (siehe Abbildung 3). Sie können die gleichen Schritte wiederholen, um verschiedene Richtlinien auf verschiedene Benutzer anzuwenden, oder Sie können den folgenden Exchange-Verwaltungsshellbefehl verwenden, um eine Richtlinie auf eine Gruppe von Benutzern anzuwenden:
Abbildung 3 Anwenden der ActiveSync-Postfachrichtlinie
Abbildung 3 Anwenden der ActiveSync-Postfachrichtlinie
Set-CASMailbox –Activesyncmailpolicy
Der letzte Schritt besteht darin, die Endbenutzer und den Helpdesk zu schulen. Teilen Sie den Endbenutzern mit, dass eine PIN-Nummer mit vorgegebener Länge auf ihren Geräten erforderlich wird, wenn sie eine Verbindung mit Exchange Server 2007 herstellen (siehe Abbildung 4). Informieren Sie die Benutzer über die Sicherheitsrichtlinien, die auf sie angewendet werden, damit sie diese Änderungen nicht als ein Hindernis bei ihrer täglichen Arbeit ansehen.
Abbildung 4 Activesync-Postfachrichtlinie erfordert eine PIN-Nummer
Abbildung 4 Activesync-Postfachrichtlinie erfordert eine PIN-Nummer
Vielleicht werden Sie die Benutzer auch auf eine neue Funktion in Exchange Server 2007 hinweisen wollen: die benutzerverantwortliche Remotebereinigung mithilfe von Outlook Web Access 2007. Wenn ein Benutzer sein Gerät verliert, kann er eine Gerätebereinigung über den Link „Optionen“ in Outlook Web Access initiieren, ohne sich an den Helpdesk wenden zu müssen (siehe Abbildung 5). Dies kann sehr nützlich sein, wenn ein Gerät außerhalb der normalen Arbeitszeiten verloren geht.
Abbildung 5 Verwalten eines Geräts über Outlook Web Access
Abbildung 5 Verwalten eines Geräts über Outlook Web Access
Abschließend müssen Sie Ihrem Helpdesk nur noch die Remotebereinigung von Geräten erläutern. Dies erfolgt mühelos durch Öffnen der Exchange-Verwaltungskonsole, das Navigieren zu „Empfängerkonfiguration“ und Auswählen der Option „Postfach“. Hier wählen Sie die Benutzer aus, für die Sie die Bereinigung initiieren wollen, und wählen im Aktionsbereich die Option „Mobiles Gerät verwalten“ aus. Die Benutzeroberfläche „Mobiles Gerät verwalten“ wird in Abbildung 6 dargestellt. Ein Benutzer könnte natürlich mehr als nur ein Windows Mobile-Gerät mit einer Verbindung zu Exchange 2007 haben. Gehen Sie bei der Geräteauswahl für die Bereinigung daher sorgfältig vor.
Abbildung 6 Bereinigen eines Benutzergeräts von einem Remotestandort aus
Abbildung 6 Bereinigen eines Benutzergeräts von einem Remotestandort aus

Verarbeiten und Suchen von E-Mails
Mit Windows Mobile 6.0 können Sie E-Mails im HTML-Format lesen, Abwesenheitsbenachrichtigungen einrichten (siehe Abbildung 7) und E-Mail-Nachrichten kennzeichnen. Wenn E-Mail-Nachrichten auf einem Windows Mobile 6.0-Gerät gekennzeichnet sind, werden sie so behandelt wie gekennzeichnete E-Mails in Outlook. Statt E-Mail-Nachrichten als ungelesen zu markieren, damit sie später weiterverfolgt werden können, können sie jetzt sofort gekennzeichnet werden. Mithilfe der erweiterten Funktionen von Outlook werden die E-Mails dann später bearbeitet, wenn Sie wieder an Ihrem Schreibtisch sind. Das Lesen einer E-Mail in HTML bietet nicht nur dem Benutzer des mobilen Geräts einen Vorteil, sondern auch anderen Empfängern des E-Mail-Threads. Wenn Sie auf eine E-Mail unter Verwendung von Windows Mobile 6.0 antworten, wird die E-Mail nicht in Standardtext umgewandelt, d. h. die Erfahrung der anderen E-Mail-Empfänger, die ebenfalls Outlook verwenden, wird verbessert.
Abbildung 7 Abwesenheitsnachrichten
Abbildung 7 Abwesenheitsnachrichten
An den Kalenderfeatures von Windows Mobile 6.0 wurden deutliche Verbesserungen vorgenommen. Sie können jetzt innerhalb eines Kalendereintrags weiterleiten, antworten oder allen antworten und den Annahmestatus aller Gäste anzeigen.
Windows Mobile 6.0 in Kombination mit Exchange Server 2007 stellt zwei neue Funktionen bereit, was die Suche von Dokumenten und den mobilen Zugriff auf Dokumente angeht. Eine der Herausforderungen beim Verwenden mobiler Geräte ist der begrenzte Speicherplatz. Deshalb bewahren viele Benutzer E-Mails nur ein bis drei Tage lang auf ihren Geräten auf. Häufig werden E-Mail-Nachrichten in nur einem Ordner des Posteingangs geöffnet. Solch ein minimalistischer Ansatz kann problematisch sein, wenn Sie auf ältere Nachrichten zugreifen wollen oder auf Nachrichten, die in verschiedenen Ordnern im Postfach gespeichert sind.
Mit Windows Mobile 6.0 kann ein Benutzer eine drahtlose Suche des gesamten Postfachs über das Suche-und-Index-Modul von Exchange Server 2007 ausführen. Eine E-Mail-Suche kann auf der Basis von Schlüsselwörtern über mehrere Ordner initiiert werden (siehe Abbildung 8). Die E-Mail-Nachrichten können dann aus den Ergebnissen der Suche in Echtzeit abgerufen werden.
Abbildung 8 Drahtlose E-Mail-Suche
Abbildung 8 Drahtlose E-Mail-Suche

Mobiler Dokumentzugriff
Aufgrund der wachsenden Anzahl von Softwareprogrammen für die gemeinsame Nutzung von Dokumenten, z. B. SharePoint®, und der Beschränkung der maximal für den Transport zulässigen E-Mail-Größen versenden Endbenutzer immer weniger Anlagen per E-Mail, sondern eher Links zu Dateifreigaben und SharePoint-Sites. Falls Sie nicht gerade über eine Verbindung zu Ihrem Unternehmensnetzwerk in einem virtuellen privaten Netzwerk (VPN) verfügen, kann der Zugriff auf diese Dokumente über ein mobiles Gerät unmöglich erscheinen. Die Aufgaben mobiler Mitarbeiter könnten dadurch erschwert werden.
Windows Mobile 6.0 und Exchange Server 2007 ermöglichen Benutzern, über UNC-Dateifreigaben und SharePoint-Sites auf ihre Daten zuzugreifen, die im schreibgeschützten Modus zugänglich gemacht werden können. Exchange Server 2007 kann Proxyanforderungen für diese Dokumente im Auftrag des Windows Mobile-Geräts senden (siehe Abbildung 9). Auch ohne eine VPN-Verbindung zum Unternehmensnetzwerk ist der Benutzerzugriff nicht auf Dokumente beschränkt, die E-Mail-Nachrichten angefügt sind. Stattdessen können die Benutzer auf ein beliebiges Dokument zugreifen, das sich in Dateifreigaben oder SharePoint-Sites befindet.
Abbildung 9 Dokumentzugriff über UNC-Links
Abbildung 9 Dokumentzugriff über UNC-Links
Öffnen Sie zum Verwalten des mobilen Dokumentzugriffs die Exchange-Verwaltungskonsole, und wählen Sie in der Navigationsstruktur die Serverkonfiguration aus. Wechseln Sie dann zur ActiveSync-Registerkarte, wählen Sie das Microsoft Server-Activesync-Objekt aus, und klicken Sie im Aktionsbereich auf „Eigenschaften“. In der Registerkarte „Remotedateiserver“ können Sie die Zulassungs- und Sperrliste für Hostnamen von SharePoint-Sites und Dateiservern konfigurieren.
Wechseln Sie anschließend zurück zur Exchange Activesync-Postfachrichtlinie, und stellen Sie sicher, dass die Kontrollkästchen für die Windows®-Dateifreigaben und Windows SharePoint Services aktiviert sind (Abbildung 10).
Abbildung 10 Aktivieren des Dokumentzugriffs
Abbildung 10 Aktivieren des Dokumentzugriffs
Jetzt sind Sie auf dem besten Weg, einen verbesserten Dokumentzugriff für all Ihre Windows Mobile-Gerätebenutzer bereitzustellen.

Zusammenfassung
Angesichts des heutigen Phänomens der Fernmitarbeiter bieten Windows Mobile-Geräte leistungsfähige Möglichkeiten, um überall und zu jeder Zeit auf Informationen zuzugreifen. Die Sicherheit und Verwaltung mobiler Geräte sind zu wichtigen Tagesordnungspunkten der IT-Abteilungen geworden. Exchange Server 2007 erleichtert zusammen mit Windows Mobile 6.0 das Erstellen und zielgerichtete Anwenden von Richtlinien für Windows Mobile-Geräte, die zur Problemverringerung beitragen und Fernmitarbeitern die Grundlage für viele neue Funktionen bereitstellen.
Ressourcen für Windows Mobile
Es gibt eine Reihe von Ressourcen, die weitere Informationen zur Exchange Server 2007-Bereitstellung und zu Windows Mobile Messaging bieten.
  • Exchange Server TechCenter
  • Die Grundlagen des mobilen Zugriffs auf Exchange 2007
  • Verwalten von Exchange ActiveSync
  • Virtuelle Windows Mobile-Labs
  • Windows Mobile 6.0-SDK

Yee-Chen Tjie ist Technologiespezialist für Microsoft in der Region Neuengland. Er konzentriert sich auf Mobilität und vereinheitlichte Kommunikationslösungen.
© 2007 Microsoft Corporation und CMP Media, LLC. Alle Rechte vorbehalten. Die nicht genehmigte teilweise oder vollständige Vervielfältigung ist nicht zulässig.


 Kommunikation: Bessere Einhaltung gesetzlicher Bestimmungen mit Exchange&#160;Server&#160;2007
Kommunikation Alan Maddison

Bessere Einhaltung gesetzlicher Bestimmungen mit Exchange Server 2007
Kurz zusammengefasst:
  • Verwaltete Ordner
  • Transportregeln
  • Nachrichtenklassifizierung
  • Journale

Analysten schätzen, dass 75 Prozent der Unternehmensdokumentation per E-Mail erstellt und weitergegeben wird. Ein großer Teil des geistigen Eigentums Ihrer Organisation ist folglich auf den Messagingservern gespeichert. Dadurch wird den Administratoren
bei der Verwaltung dieser Messagingserver, die viele wichtige Unternehmensdaten enthalten, eine große Verantwortung auferlegt. Aufgrund der wachsenden Anzahl bundesstaatlicher und regionaler Vorschriften (in den USA und anderen Ländern) zu Archivierungs- und Datenschutzauflagen für Unternehmensdaten wird die Aufgabe des Administrators immer komplexer und wichtiger.
Der Schutz der Unternehmensressourcen und die Einhaltung gesetzlicher Bestimmungen stellt eine erhebliche Belastung dar. In Exchange Server 2007 wurde eine Anzahl von Änderungen und neuen Features implementiert, mit denen die Einhaltung von Bestimmungen sowie die Verwaltung in Exchange erheblich vereinfacht wird. In diesem Artikel werden die wichtigsten Änderungen in Exchange Server 2007 behandelt, die Sie bei der Einhaltung von Vorschriften unterstützen.

Erläuterung zu den gesetzlichen Bestimmungen
Bevor die Besonderheiten von Exchange Server 2007 besprochen werden, möchte ich zunächst auf die gesetzlichen Bestimmungen eingehen. Die Bestimmungen können allgemein in drei grobe Bereiche aufgeteilt werden: Datenaufbewahrung, Zugriffssteuerung und Datenintegrität. In den Vereinigten Staaten enthält beispielsweise die SEC Rule 17A-4 Richtlinien zur Datenaufbewahrung für bestimmte Börsenmitglieder, Broker oder Händler. Finanzunternehmen wird darin vorgeschrieben, dass sie die E-Mails ihres Unternehmens erfassen, indizieren, archivieren, durchsuchen und abrufen können müssen. Die Steuerung des Zugriffs auf Daten wird durch eine Anzahl bekannter Gesetze geregelt. Dazu gehören der Health Insurance Portability and Accountability Act (HIPAA), der Gramm-Leach-Bliley Act (oder GLB Act) und das Gesetz Nr. 1386 des Senats von Kalifornien (oder SB 1386). Der HIPAA und der GLB Act regeln die Sicherheit und Vertraulichkeit persönlicher Daten, während das SB 1386 vorschreibt, dass Computersicherheitsverletzungen, bei denen vertrauliche Daten betroffen sind, öffentlich bekannt gemacht werden müssen.
Darüber hinaus enthalten weitere wichtige Gesetze Anforderungen an die Datenintegrität, wie z. B. Sarbanes-Oxley (SOX), der PATRIOT Act und Basel II. Diese bekannten Bestimmungen stellen aber nur die Spitze des Eisbergs dar. Schätzungen zufolge gibt es weltweit mehr als 35.000 geltende gesetzliche Bestimmungen. Es besteht bei Unternehmen folglich großes Interesse, das mit der Datenaufbewahrung und der Datenzugriffssteuerung verknüpfte Risiko herabzusetzen und die Datenintegrität sicherzustellen. Die Frage stellt sich, wie Sie als Administrator dieses Risiko verwalten und was Sie unternehmen können, um diese gesetzlichen Verpflichtungen einzuhalten.
Im ersten Schritt werden die Bestimmungen und Aufbewahrungsrichtlinien dokumentiert. Im nächsten Schritt werden diese Richtlinien implementiert und kontinuierlich verwaltet. Exchange Server 2007 kann Sie bei der Umsetzung dieser Richtlinien durch die Verwendung verwalteter Ordner, den Transportregel-Agent, die Nachrichtenklassifizierung und den Journal-Agent unterstützen.

Verwaltete Ordner
Die Datenaufbewahrung (oder die Datensatzverwaltung) ist ein wichtiges Element Ihres Frameworks zur Einhaltung gesetzlicher Bestimmungen. Exchange Server 2007 bietet große Fortschritte im Bereich der Datenverwaltung durch Administratoren. Die Datensatzverwaltung basiert in Exchange Server 2007 auf drei Grundsätzen: Veraltete Nachrichten werden entfernt, benötigte Nachrichten werden aufbewahrt, und die Benutzer müssen ihre eigenen Nachrichten klassifizieren.
Die meisten Exchange-Administratoren kennen die Postfach-Manager-Richtlinien von Exchange Server 2003, die auf Postfächer angewendet werden können. In Exchange Server 2007 bieten verwaltete Ordner Administratoren eine zentrale Methode zum Erstellen und Bereitstellen neuer Standardordner oder benutzerdefinierter Ordner, die nicht verschoben, umbenannt, oder, in den meisten Fällen, gelöscht werden können. Durch Verwendung des SDK können auch webbasierte benutzerverantwortliche Anwendungen erstellt werden, mit denen Benutzer auswählen können, welche Ordner zu ihren Postfächern hinzugefügt werden sollen.
Wie Abbildung 1 zeigt, bietet die Exchange-Verwaltungskonsole eine assistentengeführte Methode zum Erstellen von Ordnern. (Diese Funktion wird ebenso über das New-ManagedFolder-Cmdlet der Exchange-Verwaltungsshell zur Verfügung gestellt.)
Abbildung 1 Erstellen eines neuen Ordners mithilfe der Exchange-Verwaltungskonsole
Abbildung 1 Erstellen eines neuen Ordners mithilfe der Exchange-Verwaltungskonsole
So wird der Assistent gestartet (siehe Abbildung 2). Sie können Ordner ganz einfach erstellen. Geben Sie nur den Namen und die Beschreibung des Ordners ein, und klicken Sie auf die Schaltfläche „Neu“. Wenn der Ordner erstellt ist, erhalten Sie eine Bestätigung.
Abbildung 2 Ein intuitiver Assistent bietet eine unkomplizierte Methode zum Erstellen eines neuen verwalteten Ordners.
Abbildung 2 Ein intuitiver Assistent bietet eine unkomplizierte Methode zum Erstellen eines neuen verwalteten Ordners.
Wenn es in Ihrer Organisation eine Datenaufbewahrungsrichtlinie gibt, müssen Sie den Benutzern eine übersichtliche Möglichkeit zum Sortieren und Speichern ihrer Nachrichten zur Verfügung stellen. Stellen Sie dabei sicher, dass die Daten in Übereinstimmung mit den Anforderungen Ihrer Organisation aufbewahrt werden. Angenommen, Sie müssen für Ihre Benutzer drei benutzerdefinierte Ordner bereitstellen, damit sie Mail identifizieren können, die drei, fünf oder sieben Jahre aufbewahrt werden muss. Nach Erstellen der verwalteten Ordner werden im nächsten Schritt Inhaltseinstellungen auf jeden Ordner angewendet. Verwenden Sie hierfür den Assistenten für neue Einstellungen für verwaltete Inhalte.
Der Messagingadministrator ist dafür verantwortlich, das Ablaufdatum für den Inhalt (in Tagen) und die Aktion festzulegen, die beim Ablaufdatum ausgeführt werden soll. Es stehen fünf Aktionen zur Auswahl:
  • Löschen und Wiederherstellung zulassen
  • Als nach dem Aufbewahrungslimit liegend markieren
  • In einen verwalteten benutzerdefinierten Ordner verschieben
  • In den Ordner für gelöschte Elemente verschieben
  • Permanent löschen
Sie sollten beim Konfigurieren dieser Einstellungen drei Parametern besondere Aufmerksamkeit schenken. Beim ersten Parameter handelt es sich um den Wert für das Nachrichtenablaufdatum. Da er in Tagen berechnet wird, müssen Schaltjahre berücksichtigt werden. Das Unternehmensmanagement (ganz abgesehen vom Gesetzgeber) wird nicht erfreut sein, wenn Inhalt früher als erlaubt gelöscht wird, selbst wenn es sich nur um einen Tag handelt. Der zweite Parameter beschreibt den Beginn der Ablauffrist. In der Regel ist dies der Tag, an dem die Nachricht an das Postfach geliefert wurde, es sei denn, Ihr Rechtsteam hat andere Vorschriften erlassen. Der dritte Parameter bezeichnet die Aktion, die nach Ablauf des Inhalts durchgeführt wird. Es gilt als empfohlene Vorgehensweise, abgelaufene Elemente dauerhaft zu löschen. Die Inhaltseinstellungen ermöglichen Ihnen, Nachrichten in das Journal aufzunehmen, indem Sie sie an eine SMTP-Adresse weiterleiten.
Verwaltete Ordner werden mithilfe der Postfachrichtlinien für verwaltete Ordner auf Postfächer angewendet. Die Exchange-Verwaltungskonsole stellt einen weiteren Assistenten zum Erstellen dieser Richtlinien bereit. Die Richtlinien ermöglichen die Auswahl und Gruppierung mehrerer Ordner. Auf diese Weise können mehrere Ordner mit einer einzelnen Richtlinie verknüpft werden.
Normalerweise wird die Postfachrichtlinie für verwaltete Ordner während der Erstellung des Postfachs angewendet. Alternativ können Sie die Exchange-Verwaltungsshell verwenden, um mithilfe des Set-Mailbox-Cmdlet eine Richtlinie auf ein vorhandenes Postfach anzuwenden. Sie möchten beispielsweise eine Postfachrichtlinie für verwaltete Ordner mit der Bezeichnung „retention“ auf ein E-Mail-Konto mit dem Alias USER1 anwenden. Verwenden Sie hierfür den folgenden Befehl:
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
Verwaltete Ordner und die entsprechenden Inhaltseinstellungen stellen einen leistungsfähigen Mechanismus zum Verwalten des Einhaltungs- und Aufbewahrungsprozesses bereit. Benutzer können nicht nur wichtige E-Mail sortieren und Daten in zentral verwalteten Ordnern speichern, sondern sie können diese Elemente auch in ein Journal aufnehmen, um im Falle einer Ermittlungsanfrage oder einer Speicheranordnung den rechtlichen Anforderungen nachkommen zu können.

Transportregeln
Es gibt zwei Transportregel-Agents in Exchange Server 2007. In Bezug auf die Einhaltung der gesetzlichen Bestimmungen ist jedoch nur der Agent von Interesse, der auf den Hubtransportservern ausgeführt wird. Dieser Agent unterstützt Sie beim Anwenden richtlinienbasierter Einhaltungsregeln auf Nachrichten, die durch Ihre Exchange-Organisation geleitet werden. (Dagegen dient der Assistent für die Edge-Transport-Serverfunktion dazu, die Organisation vor Spam und Viren zu schützen).
Administratoren sind in der Regel für die Einhaltung der folgenden allgemeinen gesetzlichen Bestimmungen verantwortlich:
  • Einschränken der Interaktion zwischen verschiedenen Absender- und Empfängergruppen
  • Verhindern, dass unerwünschter Inhalt in das Unternehmen eindringt oder es verlässt
  • Filtern vertraulicher Informationen
  • Überwachen oder Archivieren von Nachrichten, die an bestimmte Benutzer und Gruppen gesendet bzw. von ihnen empfangen werden
  • Umleiten eingehender und ausgehender Nachrichten zur Untersuchung vor der Weiterleitung
  • Anwenden von Haftungsausschlüssen
Der Hubtransportserver wurde für diesen Agent aufgrund der von ihm ausgeführten Funktion in der Exchange 2007-Topologie ausgewählt. An der Topologie in Exchange 2007 wurden wichtige Änderungen vorgenommen. Als Resultat ist Exchange jetzt viel enger in die Active Directory®-Topologie integriert. Der gesamte E-Mail-Verkehr innerhalb einer Organisation wird nach einer gewissen Zeit über einen Hubtransportserver verarbeitet. Dieser Hubtransportserver fragt die aktuelle Transportregelkonfiguration in Active Directory ab, und wendet die Regeln auf alle verarbeiteten Nachrichten an.
Jede auf einem Hubtransportserver konfigurierte Transportregel wird auf allen anderen Hubtransportservern über den Active Directory-Dienst repliziert. Sie müssen wissen, welche Auswirkungen Ihr Standort und Ihre Topologie auf die Replikation haben, um zu bestimmen, wie schnell Sie eine Regel für die gesamte Organisation bereitstellen können.
Darüber hinaus müssen Sie beachten, dass ein Hubtransportserver einen Empfängercache für die Suche in Empfänger- und Verteilerlisten verwaltet. Das Aktualisierungsintervall von standardmäßig vier Stunden wirkt sich auf den Zeitplan der Regeln aus, die auf Ihre Nachrichten angewendet werden.
Transportregeln auf Hubtransportservern analysieren alle Besprechungsanfragen, regelmäßigen Nachrichten, verschlüsselten Nachrichten und durch Rechte geschützten Nachrichten, die zwischen authentifizierten Benutzern gesendet werden. Alle anonym gesendeten E-Mail-Nachrichten werden unabhängig vom Nachrichtentyp, Absender und Empfänger analysiert.
Jede Transportregel besteht aus den folgenden Komponenten: Bedingungen, Ausnahmen und Aktionen. Mithilfe von Bedingungen wird angezeigt, welche Nachrichtenattribute, z. B. Kopfzeilen, Empfänger oder Absender, im Nachrichtenidentifizierungsprozess verwendet werden. Wenn eine Nachricht alle Bedingungen für eine bestimmte Regel erfüllt, werden Aktionen angewendet, es sei denn, die Nachricht entspricht einer konfigurierten Ausnahme. Ausnahmen sind optional. Eine konfigurierte Ausnahme verhindert, dass eine Nachricht, die eines der Ausnahmekriterien erfüllt, durch die Transportregel verarbeitet wird. Aktionen sind eine erforderliche Komponente für jede Transportregel und geben an, wie eine Nachricht zu verarbeiten ist. Abbildung 3 führt die verfügbaren Aktionen auf, die auf der Grundlage von Transportregeln, die auf einem Hubtransportserver konfiguriert sind, angewendet werden können.
Figure 3 Verfügbare Aktionen für Transportregeln auf einem Hubserver (Close Figure 3)

Aktion | Aktionsname | Beschreibung
Protokollieren eines Ereignisses mit einer Nachricht | LogEvent | Fügt ein Ereignis ins Anwendungsprotokoll des lokalen Computers ein.
Voranstellen einer Zeichenfolge vor den Betreff | PrependSubject | Stellt eine Zeichenfolge an den Anfang des Betrefffelds einer Nachricht.
Anwenden einer Nachrichtenklassifizierung | ApplyClassification | Wendet eine Nachrichtenklassifizierung auf die Nachricht an.
Anfügen eines Haftungsausschlusses | ApplyDisclaimer | Wendet einen Haftungsausschluss auf die Nachricht an.
Setzen des SCL (Spam Confidence Level) auf einen Wert | SetScl | Legt den SCL (Spam Confidence Level) für eine Nachricht fest.
Festlegen der Kopfzeile mit Wert | SetHeader | Erstellt ein neues oder ändert ein vorhandenes Nachrichtenkopffeld.
Entfernen der Kopfzeile | RemoveHeader | Entfernt das angegebene Nachrichtenkopffeld aus einer Nachricht.
Hinzufügen eines Empfängers in das Adressfeld „An“ | AddToRecipient | Fügt der „An“-Adressliste der Nachricht einen oder mehrere Empfänger hinzu. Die ursprünglichen Empfänger können die zusätzliche Adresse sehen.
Kopieren einer Nachricht zu Adressen | CopyTo | Fügt dem Cc-Feld der Nachricht einen oder mehrere Empfänger hinzu. Die ursprünglichen Empfänger können die ursprüngliche Adresse sehen.
Senden einer Blindkopie der Nachricht an Adressen | BlindCopyTo | Fügt der Blindkopie-Adressliste (Bcc) der E-Mail-Nachricht einen oder mehrere Empfänger hinzu.
Umleiten der Nachricht an Adressen | RedirectMessage | Leitet die Nachricht an einen oder mehrere Empfänger um, die vom Administrator angegeben werden. Die Nachricht wird nicht an den ursprünglichen Empfänger geliefert, und es wird keine Benachrichtigung an die Empfänger oder den Absender gesendet.
Senden einer Unzustellbarkeitsnachricht an den Absender mit erhöhtem Statuscode | RejectMessage | Löscht die Nachricht und sendet dem Absender eine Unzustellbarkeitsnachricht. Der Empfänger empfängt weder die Nachricht noch die Benachrichtigung.
Automatisches Löschen der Nachricht | DeleteMessage | Löscht die Nachricht. Es wird keine Benachrichtigung an den Empfänger oder den Absender gesendet.
Sie können eine Transportregel mithilfe der Exchange-Verwaltungskonsole und des Transportregel-Assistenten erstellen (siehe Abbildung 4). Alternativ können Sie die Exchange-Verwaltungsshell für die Skriptregelerstellung verwenden.
Abbildung 4 Starten des Transportregel-Assistenten zum Konfigurieren einer Transportregel auf einem Hubtransportserver
Abbildung 4 Starten des Transportregel-Assistenten zum Konfigurieren einer Transportregel auf einem Hubtransportserver
Beachten Sie, dass Sie auch mit dem SDK benutzerdefinierte Transport-Agents schreiben können, die Nachrichten auf der Grundlage von SMTP-Ereignissen innerhalb von Exchange verarbeiten. Dafür benötigen Sie jedoch starke Nerven.

Nachrichtenklassifizierung
Das neue Nachrichtenklassifizierungstool verwendet Metadaten, um die beabsichtigte Verwendung oder die Zielgruppe einer bestimmten Nachricht zu beschreiben. Clientseitig können diese Metadaten von Outlook® Web Access (OWA) oder Outlook 2007 verwendet werden, um eine vom Benutzer lesbare Beschreibung der Klassifizierung anzuzeigen. Serverseitig können die Transportregel-Agents je nach Klassifizierung auf die Nachricht reagieren.
Die in Exchange Server 2007 enthaltenen Standardnachrichtenklassifizierungen sind „A/C (Attorney/Client) Privileged“, „Anlage entfernt“, „Firma (vertraulich)“ und „Organisationsintern“. Viele Organisationen möchten jedoch ihre eigenen Klassifizierungen erstellen. Sie können mithilfe des new-MessageClassification-Cmdlets neue Klassifizierungen in der Exchange-Verwaltungsshell erstellen. Wenn Sie zum Beispiel den Zugriff auf Finanzdaten einschränken müssen, können Sie eine Nachrichtenklassifizierung mit der Bezeichnung „Finanziell – Vertraulich“ erstellen:
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Beachten Sie, dass nur drei Parameter erforderlich sind: Name, DisplayName und SenderDescription. Sie sollten jedoch mindestens RecipientDescription hinzufügen, um grundlegende Funktionen zu erzielen. Abbildung 5 zeigt, wie diese neue Klassifizierung nun auf der OWA-Oberfläche aufgeführt ist.
Abbildung 5 Die Liste der Nachrichtenklassifizierungen enthält die neu erstellte Klassifizierung „Finanziell – Vertraulich“.
Abbildung 5 Die Liste der Nachrichtenklassifizierungen enthält die neu erstellte Klassifizierung „Finanziell – Vertraulich“.
Dieser Befehl verwendet den Gebietsschemaparameter nicht und kann daher auf alle Gebietsschemas innerhalb Ihrer Exchange-Organisation angewendet werden. Wenn Sie globale Vorgänge unterstützen, möchten Sie die benutzerdefinierten Nachrichtenklassifizierungen sicherlich auf ein bestimmtes Gebietsschema abstimmen.
Außerdem müssen die Berechtigungen für die Klassifizierungen korrekt eingestellt werden. Standardmäßig werden alle neuen Nachrichtenklassifizierungen mit Leseberechtigungen für authentifizierte Benutzer erstellt. Sie sollten die Nachrichtenklassifizierungen jedoch aufteilen, damit Benutzer nur Zugriff auf die Klassifizierungen haben, die ihren Rollen entsprechen. Beachten Sie auch, dass jede Klassifizierung eine relative Priorität zu anderen Nachrichtenklassifizierungen haben kann. Diese Priorität bestimmt die Reihenfolge der Beschreibungen und stellt fest, welche Klassifizierungen mit einer weitergeleiteten oder beantworteten Nachricht verbunden sind.
Nach Erstellen der erforderlichen Klassifizierungen erstellen Sie im nächsten Schritt die Transportregeln, die von den Klassifizierungen verwendet werden. (Diese Nachrichtenklassifizierungen müssen natürlich nicht an Aktionen gebunden sein, sie können lediglich informativ sein.) Wie Abbildung 6 zeigt, haben Sie beim Kombinieren von Nachrichtenklassifizierungen mit Transportregeln viele Möglichkeiten. Hier wurde eine Transportregel zur Überwachung von Nachrichten erstellt, die als „Finanziell“ klassifiziert wurden. Wenn eine Nachricht derart markiert ist, untersucht der Transportregel-Agent die Empfänger. Wenn einer der Empfänger nicht Mitglied der Verteilergruppe „Finanzabteilung“ ist, wird die Nachricht mit einer benutzerdefinierten Unzustellbarkeitsnachricht an den Absender zurückgesendet.
Abbildung 6 Erstellen einer Transportregel für Nachrichten, die als „Finanziell“ klassifiziert sind
Abbildung 6 Erstellen einer Transportregel für Nachrichten, die als „Finanziell“ klassifiziert sind
Die Nachrichtenklassifizierung kann auch verwendet werden, um „ethische Wände“ in Ihre Organisation einzubauen. Zum Beispiel ist es manchmal notwendig, die Kommunikation zwischen bestimmten Individuen und Abteilungen einzuschränken. Die Nachrichtenklassifizierung kann zu diesem Zweck verwendet werden.

Journal-Agent
Wenn es darum geht, die Einhaltung von gesetzlichen Bestimmungen zu gewährleisten, kann die Aufnahme in ein Journal eine leistungsfähige Methode sein, die aber auch gewisse Herausforderungen darstellt. Glücklicherweise bietet Exchange Server 2007 noch flexiblere Journalfunktionen. Ab sofort werden sowohl Standardjournale (auf Postfachdatenbankebene) als auch neue Premium-Journale (pro Empfänger) unterstützt, die Journale für einzelne Benutzer und Verteilergruppen ermöglichen. Dadurch können Anforderungen wie Sperren oder gerichtliche Speicheranordnungen viel leichter erfüllt werden. Darüber hinaus haben Sie eine stärkere Kontrolle über die Auswirkungen von Journalen auf den Speicher und die Leistung.
Beispielsweise besteht eine der flexibelsten neuen Optionen in der Journalunterstützung auf Grundlage dynamischer Verteilergruppen. Ihre Organisation möchte beispielsweise die E-Mail-Nachrichten bestimmter Individuen dauerhaft sperren. Der Grund hierfür liegt möglicherweise in einer Untersuchung eines Mitarbeiters oder einem Gerichtsverfahren. Über eine dynamische Verteilergruppe kann der Administrator Benutzer zu einer eingerichteten und bereits erfassten Gruppe hinzufügen und aus ihr entfernen. Mithilfe dieser Methode können Ad-hoc-Journale schnell und unkompliziert bereitgestellt werden.
Wenn Sie die Exchange-Verwaltungskonsole und den Assistenten für dynamische Verteilergruppen verwenden, haben Sie die Möglichkeit, den Benutzercontainer auszuwählen und, wie in Abbildung 7 gezeigt, die enthaltenen Postfächer auf der Grundlage des Werts bestimmter Active Directory-Attribute zu filtern. Durch Auswählen eines benutzerdefinierten Attributs (siehe Abbildung 7) kann der Administrator die Journalerfassung von Benutzern steuern, indem er bestimmte Werte hinzufügt oder entfernt.
Abbildung 7 Verwenden des Assistenten für dynamische Verteilergruppen zum Konfigurieren von Journalregeln
Abbildung 7 Verwenden des Assistenten für dynamische Verteilergruppen zum Konfigurieren von Journalregeln
Einen detaillierteren Einblick in Journale in Exchange 2007 enthält David Stromes Artikel vom Dezember 2006 mit dem Titel „Leistungsstarkes Journaling in Exchange 2007“. Weitere Informationen finden Sie unter Übersicht über Journale.

Alan Maddison ist Senior Consultant in der Microsoft Technology Practice der MTI Technology Corporation. Im Mittelpunkt seiner Tätigkeit stehen Active Directory, Exchange Server und die Virtualisierung.


 Identit&#228;tsverwaltung: Erstellen eines einstufigen Bereitstellungsworkflows
Identitätsverwaltung Aung Oo

Erstellen eines einstufigen Bereitstellungsworkflows
Kurz zusammengefasst:
  • Verwenden von MIISWorkflow
  • Implementierung und Konfiguration
  • Erweitern von MIISWorkflow

Wenn Sie eine webbasierte Schnittstelle zum Anfordern und Genehmigen von Konten suchen, und wenn Ihre Organisation Microsoft Identity Lifecycle Manager 2007 verwendet (ILM 2007, früher Microsoft Identity Integration Server 2003),
dann stellt die MIISWorkflow-Anwendung möglicherweise eine einfache und effektive Lösung bereit. MIISWorkflow gehört zum MIIS 2003 Resource Tool Kit 2.0 und ist seit Dezember 2004 verfügbar. Obwohl es sich hierbei nicht unbedingt um eine vollständige Lösung für jede Umgebung handelt, ist dies ein guter Ausgangspunkt für das Erstellen einer benutzerdefinierten Anwendung gemäß den Anforderungen Ihrer Organisation.
MIISWorkflow versieht ILM 2007 durch Integration einer Webanwendung mit Bereitstellungsfunktionen auf Grundlage von Genehmigungen. Es handelt sich um ein einstufiges workflowgesteuertes Bereitstellungssystem, das Anforderungen von Benutzern annimmt und sie an Genehmiger (in der Regel Manager) weiterleitet, die über ausreichende Befugnisse verfügen, um Entscheidungen über die Anforderungen zu treffen. Je nach Entscheidung des Genehmigers stellt ILM unter Anwendung der in ILM definierten Geschäftsregeln Benutzerkonten in verbundenen Verzeichnissen bereit.
Diese Anwendung ermöglicht nur einen einstufigen Workflow. Sie kann keine komplexen Workflowfunktionen wie einen mehrstufigen Genehmigungsprozess mit parallelen Pfaden oder einen Workflowprozess mit grafischer Benutzeroberfläche erstellen. Wenn Ihre Organisation keine solchen komplexen Workflowfunktionen benötigt, können Sie das vom MIIS Resource Tool Kit bereitgestellte MIISWorkflow-Beispiel zum Implementieren einer Lösung verwenden.
Dieser Artikel konzentriert sich auf die Personalabteilung eines fiktiven Unternehmens. Im Allgemeinen sind Personalverwaltungssysteme die autorisierende Quelle für alle Mitarbeiterinformationen innerhalb einer Organisation. Diese Systeme haben zwar gewöhnlich genaue Daten über ständige Mitarbeiter zur Verfügung, doch es fehlen oft Information über Zeitarbeitskräfte, z. B. Auftragnehmer und Studenten im Praktikum. Die Daten in einem Personalverwaltungssystem verfolgen möglicherweise nicht, auf welche Systeme einschließlich der Benutzerkontoinformationen Benutzer zugreifen können. Nachfolgend erfahren Sie, wie sich ein einfaches Verfolgungssystem für Zeitarbeitskräfte innerhalb einer Organisation erstellen lässt.

Aufbauen auf MIISWorkflow
Ein Beispiel dafür, wie Organisationen MIISWorkflow nutzen können, besteht in der Erstellung einer Anwendung, die in Verbindung mit vorhandenen Personalverwaltungssystemen funktioniert. Bei Einstellung eines neuen Mitarbeiters werden die Benutzerinformationen dem Personalverwaltungssystem hinzugefügt. Sie können ILM-Abläufe entwerfen, die die Informationen an die MIISWorkflow-Datenbank senden und dann die Workflowanwendung verwenden, um Benutzerinformationen zu Genehmigern weiterzuleiten, bevor ILM das Konto in verbundenen Verzeichnissen bereitstellt.
Wenn Ihre Organisation zur Verfolgung von Zeitarbeitskräften keine Personalverwaltungssysteme verwendet, kann die MIISWorkflow-Anwendung als autorisierende Datenquelle eingesetzt werden, um deren Konten in Unternehmensverzeichnissen zu verwalten. Da die Workflowanwendung die papiergebundene Verwaltungsarbeit bei der Einholung von Genehmigungen verringert, brauchen Benutzer nicht tagelang zu warten, um auf Konten in Verzeichnissen und Anwendungen zuzugreifen. Darüber hinaus können Sie über MIISWorkflow eine unmittelbare Zugriffssperre einrichten, was die Sicherheit in der Organisation erhöht.
MIISWorkflow kann auch als Überwachungstool verwendet werden, um die Anzahl der Systeme nachzuverfolgen, auf die ein Benutzer zugreifen kann, die Kalenderdaten der Anforderung und Schließung von Konten sowie die jeweiligen Anforderer und Genehmiger. Die Möglichkeit, Berichte mit ausführlichem Kontoverlauf zu generieren, kann es einer Organisation erleichtern, gesetzliche Bestimmungen wie Sarbanes-Oxley und HIPAA einzuhalten.
Die MIISWorkflow-Anwendung wird auf IIS ausgeführt und verwendet Verzeichnisintegrations- und Bereitstellungsfeatures von ILM 2007, um Konten in verbundenen Verzeichnissen bereitzustellen bzw. die Bereitstellung aufzuheben. Zu den Komponenten der Workflowanwendung gehören eine Sammlung von ASP.NET-Webseiten, eine SQL Server™-Datenbank, ein Verwaltungsagent und ein Autorisierungsrichtlinienspeicher (siehe Abbildung 1). Die Anwendung verwendet SQL Server zur Datenspeicherung, Active Directory® zur Authentifizierung und einen Richtlinienspeicher mit Windows® Authorization Manager (bekannt als AzMan) zur Autorisierung.
Abbildung 1 Anwendungsarchitektur von MIISWorkflow
Abbildung 1 Anwendungsarchitektur von MIISWorkflow
Die Anwendung kann mithilfe von C# und ASP.NET erweitert und angepasst werden. MIISWorkflow besteht aus folgenden fünf .aspx-Seiten: Auftragnehmergenehmigung (ContractorApproval), Auftragnehmerverlauf (ContractorHistory), Auftragnehmeranforderung (ContractorRequest), Auftragnehmerstatus (ContractorStatus) und Auftragnehmeraktualisierung (ContractorUpdate). Diese Seiten ermöglichen es Administratoren, den Status jedes Benutzerkontos im System anzufordern, zu aktualisieren, zu genehmigen und nachzuverfolgen. Beachten Sie, dass die MIISWorkflow-Anwendung standardmäßig so eingestellt ist, dass sie die integrierte Windows-Authentifizierung in IIS verwendet, um Kerberos zu nutzen.
Die Workflowanwendung löst aufgrund der Aktion des Genehmigers ILM aus, und ILM stellt in verbundenen Verzeichnissen mithilfe festgelegter Regeln Benutzerkonten bereit oder hebt die Bereitstellung auf. Unmittelbar nachdem auf die Anforderung hin eine Aktion erfolgt ist, löst die Anwendung ILM aus. Anforderungen müssen dann nicht bis zur nächsten ILM-Synchronisierung warten, damit das Bereitstellen bzw. Aufheben der Bereitstellung in verbundenen Verzeichnissen stattfinden kann.
Für die Workflowanwendung ist es erforderlich, dass die MIISWorkflow-Datenbank die Kontoinformationen der Benutzer speichert. Die Speicherung erfolgt außerhalb der Datenbank, in der ILM die Metaverseinformationen speichert, sie wird aber auf der gleichen SQL Server-Instanz konfiguriert. Wenn autorisierte Benutzer über die Workflowanwendung ein Konto anfordern, werden die Informationen durch MIISWorkflow gespeichert. Die Informationen werden dann durch eine ASP.NET-Webseite gerendert, wenn ein Genehmiger auf die Seite zugreift. MIISWorkflow speichert auch Verläufe von Aktionen und andere Informationen über das Konto in der Datenbank. ILM importiert mithilfe eines SQL Server-Verwaltungsagents, der in die Anwendung integriert ist, die Informationen aus der MIISWorkflow-Datenbank und stellt je nach Bedarf das Konto bereit oder hebt die Bereitstellung auf.
MIISWorkflow verwendet AzMan zur Autorisierung. Hierdurch wird eine rollenbasierte Zugriffssteuerung (role-based access control, RBAC) zur Verwaltung von Aufgaben bereitgestellt, zu deren Durchführung die Benutzer in der Anwendung je nach den ihnen zugewiesenen Rollen berechtigt sind. (Weitere Informationen zu RBAC finden Sie unter go.microsoft.com/fwlink/?LinkId=85825.) Nach Authentifizierung eines Benutzers in Active Directory wird der Zugriff erlaubt, und die Workflowanwendung prüft die im AzMan-Autorisierungsspeicher definierten Rollen, um die Vorgänge zu autorisieren, die ein Benutzer durchführen darf. Es gibt zwei für die Anwendung vordefinierte Rollen: Auftragnehmeranforderer und Auftragnehmergenehmiger. Benutzer oder Gruppen mit der Rolle des Auftragnehmeranforderers können über die Anwendung lediglich eine Anforderung eingeben. Benutzer oder Gruppen mit der Rolle des Auftragnehmergenehmigers haben die Möglichkeit, Anforderungen zu erstellen, zu genehmigen oder zu verweigern.
Die MIISWorkflow-Anwendungsautorisierungsrichtlinie ist in einer XML-Datei gespeichert. Sowohl Windows-Benutzer als auch Gruppen oder Anwendungsgruppen können definierten Rollen zugewiesen werden. Anwendungsgruppen ermöglichen eine LDAP-Abfrage, um anhand des Attributwerts nach der Laufzeit des Active Directory-Kontoobjekts oder des Active Directory Application Mode (ADAM)-Kontoobjekts eines Benutzers zu suchen. Der Benutzer befindet sich in derjenigen Gruppe, bei der zum Beispiel (department=‘marketing’) als wahr angegeben wird.

Exemplarische Vorgehensweise für die Anwendung
Anwendungsadministratoren steuern den Zugriff auf die Anwendung mithilfe von AzMan. Je nachdem, wie die Anwendung in Ihrer Organisation verwendet wird, können Sie die Rolle des Auftragnehmeranforderers allen Domänenbenutzern oder nur ausgewählten Gruppen gewähren. Die Rolle des Auftragnehmergenehmigers darf nur Benutzern und Gruppen gewährt werden, die befugt sind, Anforderungen zu genehmigen oder zu verweigern. Normalerweise verfügen ausgewählte Personaladministratoren sowie System- und Gruppenadministratoren über diese Rolle. Standardmäßig verwendet die MIISWorkflow-Anwendung die IIS Integrierte Windows-Authentifizierung als Authentifizierungsmethode. Deshalb authentifiziert die Anwendung Benutzer durch ihre Windows-Desktopanmeldeinformationen. Der Benutzer wird demzufolge nicht erneut nach Anmeldeinformationen gefragt, um die Authentifizierung mit der Anwendung vorzunehmen.
Ein Benutzer in der Rolle des Auftragnehmeranforderers kann über den Browser zur Auftragnehmeranforderungsseite in der Anwendung wechseln und Informationen über den Auftragnehmer angeben, um für diesen Auftragnehmer ein Konto anzufordern. Abbildung 2 zeigt die Auftragnehmeranforderungsseite.
Abbildung 2 Neue Auftragnehmeranforderungsseite
Abbildung 2 Neue Auftragnehmeranforderungsseite
Die Person in der Anfordererrolle fügt die entsprechenden Auftragnehmerinformationen hinzu und reicht die Anforderung ein. Es gibt einen Link zum Genehmigen von Anforderungen und einen Link zur Überprüfung des Status auf der Seite. Anforderer können allerdings nicht auf die Genehmigerseite zugreifen, wenn sie nicht auch die Rolle des Auftragnehmergenehmigers besitzen. Ein Anforderer kann auf den Auftragnehmerstatuslink klicken, um seine eigenen Anforderungen anzuzeigen, aber er kann nicht den Status von Anforderungen anzeigen, die von anderen eingereicht wurden.
Nur ein Auftragnehmergenehmiger hat Zugriff auf die Auftragnehmergenehmigungsseite in der Anwendung, auf der er nach Überprüfung der Informationen die Anforderung genehmigen oder verweigern kann. Abbildung 3 zeigt die Schnittstelle der Auftragnehmergenehmigungs-Webseite.
Abbildung 3 Auftragnehmergenehmigungsseite
Abbildung 3 Auftragnehmergenehmigungsseite
Ein Auftragnehmergenehmiger kann die von allen Anforderern eingereichten Anforderungen sehen. Ein beliebiger Auftragnehmergenehmiger kann die Anforderung genehmigen, und es bedarf nur einer Genehmigung oder Ablehnung, um die Anforderung zum nächsten Bearbeitungsschritt weiterzuleiten. Die Anforderung wird von der Auftragnehmergenehmigungsseite entfernt, sobald der Genehmiger die entsprechende Aktion vorgenommen hat. So werden überflüssige Aktionen von Genehmigern minimiert.
Um neue Anforderungen zu überprüfen und auf ausstehende Anforderungen gemäß den Unternehmensanforderungen zu reagieren, muss ein Genehmiger regelmäßig auf die Auftragnehmergenehmigungsseite zugreifen, da es keinen Benachrichtigungsmechanismus in der Anwendung gibt, der den Genehmiger über neue Anforderungen oder einen Rückstand informiert. Sobald der Genehmiger die Anforderung von der Seite aus genehmigt oder verweigert hat, löst die Anwendung ILM aus, und es werden gemäß der Aktion des Genehmigers Konten in verbundenen Verzeichnissen bereitgestellt bzw. die Bereitstellung aufgehoben.
Abbildung 4 Auftragnehmerstatusseite
Abbildung 4 Auftragnehmerstatusseite
Der Status ausstehender Anforderungen und Datensätze abgeschlossener Anforderungen können von der Auftragnehmerstatusseite aus (siehe Abbildung 4) nachverfolgt werden. Ein Anforderer kann von dieser Seite aus mehrere Aktionen vornehmen. Es können eigene Anforderungen angezeigt werden, einschließlich Informationen wie Mitarbeiter-ID, Vorname, Nachname, Abteilung, Status und Datum der letzten Änderung. Weiterhin können vorhandene Informationen bearbeitet, der Verlauf angezeigt und das Konto eines Auftragnehmers geschlossen werden. Vor- und Nachnamen sowie Abteilungsinformationen können geändert und die Informationen zur Genehmigung erneut eingereicht werden. Schließlich ist es möglich, von der Auftragnehmerverlaufsseite unter Angabe von Datum und Uhrzeit ein Protokoll aller Aktionen anzuzeigen, die auf die Anforderung hin vorgenommenen wurden (siehe Abbildung 5).
Abbildung 5 Auftragnehmerverlaufsseite
Abbildung 5 Auftragnehmerverlaufsseite
Die MIISWorkflow-Anwendung ermöglicht ein nahtloses Schließen von Konten, da ein Anforderer die Möglichkeit hat, Auftragnehmerkonten von der Auftragnehmerstatusseite aus zu schließen. Der Anforderer kann auf den Link zum Schließen eines Kontos klicken, um Auftragnehmerkonten in verbundenen Verzeichnissen sofort zu deaktivieren oder zu löschen. Der Vorteil dieser Möglichkeit, Auftragnehmerkonten von der Workflowanwendung aus zu schließen, besteht darin, dass Systemadministratoren das Auftragnehmerkonto nicht in jedem Verzeichnis suchen und die Konten manuell löschen müssen. Da die MIISWorkflow-Anwendung ILM sofort veranlasst, die Bereitstellung von Konten in verbundenen Verzeichnissen aufzuheben, gibt es beim Löschen dieser Konten keine Verzögerungszeit.

Konfigurieren der Anwendung
Zum Konfigurieren der MIISWorkflow-Anwendung gehört das Einrichten eines Dienstkontos, das Einrichten der Datenbank für die Anwendung, das Konfigurieren von ILM für die Zusammenarbeit mit der Workflowanwendung, das Konfigurieren von IIS und das Konfigurieren des Richtlinienspeichers. Die Anwendung enthält vorgefertigte Skripts und Konfigurationsdateien, um diesen Prozess zu vereinfachen.
Zur MIISWorkflow-Anwendung gibt es eine T-SQL-Abfragedatei, um das Erstellen einer MIISWorkflow-Datenbank zu erleichtern. Sie können die Abfragedatei in Query Analyzer laden und die Abfrage automatisch ausführen, um die Datenbank zu erstellen.
Zum Konfigurieren von IIS gehören das Erstellen eines neuen IIS-Anwendungspools und eines virtuellen Verzeichnisses sowie das Einstellen von Authentifizierung und Zugriffsteuerung zum Hosten von ASP.NET-Seiten. In die Anwendung ist ebenfalls eine XML-Datei mit vordefinierten Rollen integriert, um den Autorisierungsrichtlinienspeicher zu konfigurieren. Sie können vorhandenen Rollen mithilfe der AzMan-MMC Benutzer und Gruppen zuweisen sowie neue Rollen erstellen.
Der letzte Schritt ist die Konfiguration des Verwaltungsagents in ILM, um Daten aus der MIISWorkflowdatenbank in ILM zu importieren. Dies wird durch Importieren der in der XML-Datei enthaltenen Konfiguration des Verwaltungsagents und Kopieren einer vorgefertigten Erweiterungsdatei für den SQL Server-Verwaltungsagent erzielt. Die XML-Datei und die Erweiterungsdatei für den Verwaltungsagent werden mit der Anwendung bereitgestellt. Dazu gibt es eine Infodatei mit ausführlichen Anweisungen, wie jeder dieser Schritte zu konfigurieren ist.

Erweitern der Anwendung
Die MIISWorkflow-Anwendung bietet einen Ausgangspunkt zum Entwickeln einer einfachen Workflowintegration mit MIIS. Wenn Sie die Anwendung erweitern wollen, müssen Sie möglicherweise ein paar Anpassungen vornehmen. Neben einfachen Änderungen wie Änderungen an den Webseiten gibt es noch viele andere Möglichkeiten, diese Anwendung zu erweitern.
So könnten Sie ein Benachrichtigungsfeature hinzufügen, damit ein Genehmiger eine E-Mail-Nachricht empfängt, wenn eine ausstehende Anforderung vorliegt. Dieses Feature könnte dem Genehmiger auch innerhalb einer vorgegebenen Anzahl von Tagen eine Erinnerungsnachricht senden, wenn auf die Anforderung hin keine Aktion erfolgt ist. Wenn Sie mehr Informationen über Benutzer benötigen, als die Standardseite bereitstellt, können Sie sowohl der Auftragnehmeranforderungsseite als auch der Auftragnehmeraktualisierungsseite Felder hinzufügen. Sie können der Anwendung weitere Rollen hinzufügen, z. B. eine Prüferrolle, die es einem Benutzer ermöglicht, den Verlauf jeder Anforderung anzuzeigen, nicht nur der selbst eingereichten.
Komplexere Workflowfeatures wie ein mehrstufiger Workflow oder die Möglichkeit, mithilfe des grafischen Designers einen Workflow zu entwerfen, sind im Rahmen dieser Anwendung nicht möglich. Sie können jedoch Windows Workflow Foundation verwenden, um eine stabilere Anwendung mit komplexen Workflowfeatures zu entwickeln.
Das MIIS Ressource Tool Kit finden Sie unter go.microsoft.com/fwlink/?LinkId=85829. Laden Sie es noch heute herunter, und beginnen Sie mit der Erstellung Ihrer eigenen Identitätsworkflowlösungen.

Aung Oo ist Fachgebietexperte für Identitätsverwaltung bei Microsoft Consulting Services (MCS). Seit der ersten Version von Microsoft Identity Management beschäftigt sich Aung mit Entwurf, Entwicklung und Bereitstellung von Unternehmensverzeichnis- und Identitätsverwaltungslösungen für gewerbliche Kunden und Behörden.


 Windows-Verwaltung: Vereinfachen der Verwaltung von Gruppenrichtlinien mithilfe von Windows PowerShell
Windows-Verwaltung Thorbjörn Sjövold

Vereinfachen der Verwaltung von Gruppenrichtlinien mithilfe von Windows PowerShell
Kurz zusammengefasst:
  • Was ist Windows PowerShell?
  • So wurden GPOs früher verwaltet
  • Migration von Skripts zu Windows PowerShell

Die Technologie von Microsoft für Gruppenrichtlinien wurde nicht von einem Tag auf den anderen angenommen – es war nicht leicht, diese Technologie zu verstehen, und es war erforderlich, sich mit Active Directory zu befassen, einem völlig neuen Dienst, der mit keiner anderen zu dieser Zeit üblichen Konto- und Ressourcendomänen vergleichbar war. Heute sind Gruppenrichtlinien
das Rückgrat der Verwaltung in nahezu jeder Organisation mit einer Windows®-Infrastruktur. Meiner Meinung nach wird genau dasselbe mit Windows PowerShell™ geschehen, der neuesten Verwaltungstechnologie von Microsoft. Windows PowerShell wird Ihre Arbeit als Administrator von Gruppenrichtlinien wahrscheinlich wesentlich erleichtern.
In diesem Artikel wird aufgezeigt, wie Sie die Microsoft®-APIs der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC), geschrieben für Windows Skripthost-Sprachen wie VBScript (und COM-basierte Skriptsprachen im Allgemeinen), direkt in Windows PowerShell nutzen können, um die Art und Weise der Verwaltung von Gruppenrichtlinien in Ihrer Umgebung zu vereinfachen.

Aufgaben bei der Skripterstellung für Gruppenrichtlinien
Als Microsoft vor einigen Jahren GPMC veröffentlichte, standen Administratoren für Gruppenrichtlinien plötzlich eine Anzahl überaus praktischer Features zur Verfügung. Insbesondere das auf Gruppenrichtlinien ausgerichtete MMC-Snap-In stellte für das Verwalten von Gruppenrichtlinien einen riesigen Schritt nach vorn dar, besonders für Benutzer und Computer, die mit Active Directory® arbeiteten. Außerdem gab es eine brandneue API, die Administratoren die Nutzung von COM-basierten Sprachen ermöglichte, z. B. VBScript für die Ausführung von Verwaltungsaufgaben für Gruppenrichtlinien, das Erstellen einer Sicherungskopie und das Wiederherstellen von Gruppenrichtlinienobjekten (Group Policy Objects, GPOs), die Migration von GPOs zwischen Domänen, die Konfiguration von Sicherheitseinstellungen in GPOs und Links sowie das Berichtswesen.
Leider bot GPMC nicht die Möglichkeit, die tatsächlich konfigurierten Einstellungen innerhalb der Gruppenrichtlinienobjekte zu bearbeiten. Anders ausgedrückt, es konnten Vorgänge mit dem GPO-Container ausgeführt werden, z. B. Lesen von GPO-Versionen, Lesen von Änderungsdaten, Erstellen brandneuer GPOs, Erstellen von Sicherungskopien von GPOs und Wiederherstellen/Importieren von GPOs aus verschiedenen Domänen usw., der Inhalt des GPOs konnte jedoch programmtechnisch nicht erweitert oder geändert werden, z. B. durch Anlegen eines neuen umgeleiteten Ordners oder Hinzufügen einer neuen Softwareinstallation. Stattdessen wurde im Normalfall das GPO angelegt, alle Einstellungen mithilfe des Gruppenrichtlinienobjekt-Editors manuell konfiguriert, anschließend eine Sicherungskopie des Objekts erstellt und das Objekt schließlich in eine Testumgebung importiert. Nach entsprechenden Funktionstests wurde das Objekt dann in die eigentliche Umgebung importiert. Trotz des fehlenden Features führte die Verwendung von Skripts statt des manuellen Eingriffs mit der GPMC-API zu einer unglaublichen Verringerung in punkto Zeitaufwand und Fehlerhäufigkeit bei den täglichen Verwaltungstätigkeiten für Gruppenrichtlinien.

Die nächste Stufe
Worin unterscheidet sich Windows PowerShell von Skriptsprachen wie VBScript? Zunächst einmal ist Windows PowerShell eine Shell. Für unsere Zwecke können Sie sich eine Shell als Befehlszeileninterpreter vorstellen. VBScript kann zwar von der Befehlszeile ausgeführt, eine VBScript-Datei jedoch nicht Zeile für Zeile abgearbeitet werden. Ein Skript für Windows PowerShell hingegen kann einfach und schnell als eine Folge einzelner Befehle erstellt werden. Außerdem verfügt Windows PowerShell über Funktionen, die fast wie Unterroutinen in VBScript funktionieren und die in Echtzeit mit der Eingabeaufforderung von Windows PowerShell erstellt werden können.
Das Beste ist aber, dass Windows PowerShell auf dem Microsoft .NET Framework basiert, im Gegensatz zu VBScript, das auf der älteren COM-Technologie beruht. Die riesigen Mengen an .NET-Code, die heute geschrieben werden, können demzufolge direkt aus Windows PowerShell heraus genutzt werden.
Im Prinzip erhalten Sie daher mit Windows PowerShell volle Unterstützung für Skripting und einen interaktiven Modus in einem einzigen Paket. Die hier vorgestellten Beispiele sind allesamt Befehlszeileneingaben, die Sie gleich während des Lesens eingeben können. Die Beispiele funktionieren jedoch gleichermaßen gut, wenn Sie sie in eine Skriptdatei für Windows PowerShell schreiben und die Datei ausführen.

Umstellen von älteren Skripts auf Windows PowerShell
Es steht außer Frage, dass Sie beim Umstieg auf eine neue Technologie die bereits geleistete Arbeit nicht einfach wegwerfen wollen. Es gibt drei Ansätze, mit denen Sie von der GPMC-API auf COM-Objekte zugreifen oder grundsätzlich jedes beliebige von früher vorhandene VBScript wiederverwenden können. Wählen Sie eine dieser Methoden aus:
  • Erstellen eines Cmdlets für Windows PowerShell mithilfe einer Programmiersprache wie C# oder verwaltetem C++.
  • Zugriff auf ScriptControl in MSScript.ocx mithilfe von Windows PowerShell, um ältere Skripts einzubinden.
  • Einbinden von COM-Aufrufen in wiederverwendbare Funktionen von Windows PowerShell bzw. direktes Aufrufen der COM-Objekte.
An dieser Stelle wird hauptsächlich die dritte Option erörtert, aber zunächst wird ein kurzer Blick auf die anderen Optionen geworfen.

Erstellen eines Cmdlets für Windows PowerShell
Microsoft hat eine große Anzahl von Cmdlets in Windows PowerShell integriert, mit denen Sie Dateien kopieren, Ausgaben formatieren, Datum und Uhrzeit abrufen können uvm. Es ist aber auch möglich, eigene Cmdlets zu erstellen. Der Vorgang ist unter msdn2.microsoft.com/ms714598.aspx ausführlich dokumentiert. Im Folgenden sind die Schritte kurz zusammengefasst:
  • Erstellen Sie in einer .NET-Programmiersprache wie C# eine Klassenbibliothek-DLL.
  • Erstellen Sie eine neue Klasse, die vom Basisklassen-Cmdlet erbt.
  • Legen Sie Attribute fest, mit denen Name, Verwendung, Eingabeparameter usw. bestimmt werden, und fügen Sie Ihren Code hinzu.
Da Windows PowerShell auf dem .NET Framework aufgebaut ist, sind alle Typen wie Zeichenfolgen, Objekte usw., die als Parameter zurückgegeben oder übergeben werden, genau im gleichen Code wie Windows PowerShell. Es ist daher keine gesonderte Typkonvertierung erforderlich.
Die wirkliche Stärke dieser Lösung besteht darin, dass Sie eine vollständige Programmiersprache zur Verfügung haben.

Einbinden älterer Skripts mithilfe des ScriptControl-Objekts in MSScript.ocx
Natürlich benötigen Sie das VBScript-Modul, um eine VBScript-Datei ausführen zu können. Nicht so offensichtlich ist, dass es sich bei diesem Modul um ein COM-Objekt handelt. Da Sie COM-Objekte in Windows PowerShell verwenden können, ist es möglich, dieses VBScript-Modul aufzurufen. Dies könnte etwa so vor sich gehen:
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Wenn Sie diesen Code in die Befehlszeilenschnittstelle (Command Line Interface, CLI) der Windows PowerShell eingeben, wird die VBScript-Funktion „ShowMessage“ aufgerufen und mit einem Parameter ausgeführt, wodurch ein Meldungsfeld mit dem Text „Hello World“ angezeigt wird.
Einige Leser denken jetzt vielleicht: „Na prima! Ich beherrsche nun die Kunst der Verwendung von COM in WindowsPowerShell. Jetzt kann ich diesen Artikel beiseite legen und damit beginnen, das Objekt „ScriptControl“ mit meiner Sammlung von alten GPMC-Skripts aufzufüllen. Leider ist dies nicht der Fall. Dieses Verfahren wird schnell sehr komplex und schwierig zu debuggen, sobald die Skripts größer werden.

Einbinden von COM-Objekten
Die beste Option ist daher die dritte: das Einbinden der COM-Aufrufe in wiederverwendbare Funktionen von Windows PowerShell, wodurch die COM-Objekte in der GPMC-API verwendet werden können. Die Zeile unten zeigt an, wie ein .NET-Objekt direkt in Windows PowerShell erstellt wird. In diesem Fall handelt es sich um ein „FileInfo“-Objekt, mit dem die Größe der Datei abgerufen werden kann:
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Beachten Sie, dass in Windows PowerShell das Zeichen # für Kommentare in Programmzeilen verwendet wird. Mithilfe des neu instanziierten „FileInfo“-Objekts können Sie durch Eingabe des folgenden Codes auf einfache Weise die Größe von „boot.ini“ abrufen:
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Aber halt! Wollten wir nicht über COM-Objekte und VBScript-Konvertierung sprechen? Ja, aber schauen Sie sich den folgenden Befehl an:
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
Sie werden bemerken, dass die Syntax im Grunde identisch mit der Syntax ist, die zum Anlegen nativer Objekte aus .NET Framework verwendet wurde, jedoch mit zwei Unterschieden. Erstens wurde der Schalter –ComObject eingefügt, wodurch Windows PowerShell auf die COM-Welt anstatt auf die .NET-Welt ausgerichtet wird. Zweitens wird eine COM-ProgID anstatt eines .NET-Konstruktors verwendet, in diesem Fall „Scripting.FileSystemObject“. Die ProgID ist der gleiche Name, den Sie schon immer verwendet haben. In VBScript sähe der äquivalente Code so aus:
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Um die Dateigröße mithilfe von VBScript abzurufen, fügen Sie die oben angegebene Zeile zusammen mit dem folgenden Code in eine Datei ein:
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
Führen Sie die Datei anschließend aus, z. B. mit Cscript.exe. In Windows PowerShell ginge das so vor sich (direkt von der Befehlszeile von Windows PowerShell aus):
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Selbstverständlich hätte ein VBScript, das die Größe einer Datei ausliest, auch mithilfe des Windows PowerShell-Cmdlet zum Verwalten von Laufwerksobjekten konvertiert werden können. Hier sollte jedoch aufgezeigt werden, wie einfach der Zugriff auf COM aus Windows PowerShell ist. Obwohl ich Windows PowerShell angewiesen habe, ein COM-Objekt zu erstellen, wurde in diesem Fall in Wirklichkeit ein $comFileSystemObject erstellt, ein .NET-Objekt, dass das COM-Objekt einbindet und die Schnittstelle des COM-Objekts nach außen zur Verfügung stellt. Im Rahmen dieses Artikels spielt dies aber keine Rolle.

Windows PowerShell in Aktion
Sie wissen nun, wie von Windows PowerShell auf COM zugegriffen wird. Jetzt werden die Gruppenrichtlinien näher beleuchtet. Die hier aufgeführten Beispiele zeigen kurze Codeausschnitte, die eine Vorstellung darüber geben, wie die GPMC-APIs von Windows PowerShell zu verwenden sind. Einen vollständigen Satz an Windows PowerShell-Funktionen für das Verwalten von Gruppenrichtlinien im Codedownload zu diesem Artikel finden Sie online unter technetmagazine.com/code07.aspx. Abbildung 1 listet die im Download enthaltenen Funktionen auf.
Figure 1 Benutzerdefinierte Funktionen im Download (Close Figure 1)

Name der Funktion | Beschreibung
BackupAllGpos | Erstellt eine Sicherungskopie aller GPOs in einer Domäne
BackupGpo | Erstellt eine Sicherungskopie eines einzelnen GPOs
RestoreAllGpos | Stellt aus einer Sicherungskopie alle GPOs für eine Domäne wieder her
RestoreGpo | Stellt aus einer Sicherungskopie ein einzelnes GPO wieder her
GetAllBackedUpGpos | Ruft die aktuelle Version von GPO-Sicherungskopien von einem vorgegebenen Pfad ab
CopyGpo | Kopiert die Einstellungen in einem GPO in ein anderes GPO
CreateGpo | Erstellt ein neues leeres GPO
DeleteGpo | Löscht ein GPO
FindDisabledGpos | Gibt alle GPOs zurück, in denen der Benutzer- und der Computerteil deaktiviert sind
FindUnlinkedGpos | Gibt alle GPOs zurück, die keine Links haben
CreateReportForGpo | Erstellt einen XML-Bericht für ein einzelnes GPO in einer Domäne
CreateReportForAllGpos | Erstellt einen separaten XML-Bericht für jedes einzelne GPO in einer Domäne
GetGpoByNameOrID | Sucht ein GPO anhand seines Anzeigenamens oder anhand der GPO-ID
GetBackupByNameOrId | Sucht eine Sicherungskopie eines GPO anhand des Anzeigenamens oder der GPO-ID
GetAllGposInDomain | Gibt alle GPOs in einer Domäne zurück
Beim Lesen dieses Abschnitts können Sie ruhig die Befehlszeile von Windows PowerShell aufrufen und die Befehle eingeben. Beachten Sie jedoch, dass einige Befehle von zuvor ausgeführten Befehlen abhängig sind. Anders gesagt, einige der zu Anfang erstellten Objekte werden später verwendet. Schließen Sie daher die Windows PowerShell-Sitzung nicht. Wenn Sie die Sitzung schließen, müssen Sie wieder von vorn anfangen und sämtliche Befehle nochmals eingeben.
Aufgabe ist es, mithilfe von Windows PowerShell ein neues GPO zu erstellen. Das Entwicklerteam für Gruppenrichtlinien bei Microsoft hat der GPMC eine Anzahl von voll funktionsfähigen VBScript-Beispielen beigefügt, mit denen Sie Ihre Entwicklungsarbeiten beschleunigen können. Die Beispiele befinden sich im Verzeichnis „%ProgramFiles%\GPMC\Scripts“. In diesem Verzeichnis befindet sich außerdem eine Datei mit dem Namen „gpmc.chm“, in der die Dokumentation zur GPMC-API enthalten ist. Sehen Sie sich das Skript „CreateGPO.wsf“ näher an, um zu sehen, wie es funktioniert.
Ziemlich am Anfang sehen Sie diese Zeile:
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
Dies ist im Grunde der Ausgangspunkt jeder Sitzung oder jedes Skripts für das Verwalten von Gruppenrichtlinien, da hier die Klasse „GPMgmt.GPM“ instanziiert wird, die den Zugriff auf fast alle GPMC-Funktionen ermöglicht. Dies soll nun stattdessen in Windows PowerShell ausgeführt werden:
$gpm = New-Object -ComObject GPMgmt.GPM
Sie verfügen jetzt über den Ausgangspunkt für das Verwalten von Gruppenrichtlinien. Im nächsten Schritt müssen Sie herausfinden, wozu dies nützlich ist. Normalerweise finden Sie diese Art von Informationen in der Dokumentation. Windows PowerShell verfügt aber über ein wirklich cooles Feature. Wenn Sie die folgende Zeile eingeben, erhalten Sie die in Abbildung 2 dargestellte Ausgabe:
Abbildung 2 Ausgabe von Get-Member
Abbildung 2 Ausgabe von Get-Member
$gpm | gm
Ziemlich cool, wenn Sie mich fragen. Beachten Sie, wie Sie mit dem Cmdlet „Get-Member“ (oder „gm“) die vom Objekt unterstützten Eigenschaften und Methoden direkt von der Befehlszeile aus anzeigen können. Selbstverständlich ist dies nicht mit dem Studieren der Dokumentation gleichzusetzen, aber es vereinfacht die Verwendung von Objekten, mit denen Sie bereits vertraut sind, falls Sie sich nicht an die genaue Anzahl der Parameter, den genauen Namen usw. erinnern können. Anzumerken ist, dass die Knotenlisten in der GPMC-Dokumentation wie das GPM-Objekt aussehen und alle anderen Klassen das Präfix „I“ tragen. Dies liegt an der internen Abwicklung von COM und ist hier nicht weiter wichtig. Es ist für C++-Programmierer gedacht, die nativen COM-Code schreiben, und kennzeichnet den Unterschied zwischen einer Schnittstelle und der Klasse, die diese Schnittstelle implementiert. Beachten Sie außerdem, dass es bei Verwendung der GPMC-APIs nur ein einziges Objekt gibt, das auf diese Weise erstellt werden muss, nämlich „GPMgmt.GPM“. Alle anderen Objekte werden mithilfe von Methoden erstellt, die von diesem GPM-Objekt ausgehen.
Das Erstellen des neuen GPO wird nun fortgesetzt.
Abbildung 3 zeigt, wie einfach ein GPO erstellt werden kann. Beachten Sie, dass einiges an Code, einschließlich Fehlerbehandlung (z. B. was geschehen soll, wenn Sie nicht zum Erstellen von GPOs berechtigt sind) weggelassen und ein Domänennamen hartcodiert wurde, aber das Prinzip stimmt.
Figure 3 Erstellen eines GPOs (Close Figure 3)
$gpmConstants = $gpm.GetConstants()
# This is the GPMC way to retrieve all
# constants
$gpmDomain =$gpm.GetDomain(“Mydomain.local”, “”, $gpmConstants.UseAnyDC)
# Connects to the domain where the GPO should
# be created, replace Mydomain.local with the
# name of the domain to connect to.
$gpmNewGpo = $gpmDomain.CreateGPO()
# Create the GPO
$gpmNewGpo.DisplayName = “My New Windows PowerShell GPO”
# Set the name of the GPO
Jetzt wissen Sie, wie ein GPO erstellt wird. Als Nächstes soll ein bereits vorhandenes GPO geöffnet werden. Sie verfügen immer noch über den Verweis zur Domäne, $gpmDomain. Geben Sie also Folgendes ein:
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Dadurch erhalten Sie einen vollständigen HTML-Bericht mit den Einstellungen in der Standarddomänenrichtlinie, aber Sie können natürlich jede dieser Methoden und Eigenschaften verwenden (z. B. „ModificationTime“, die Informationen zur Zeit der letzten Änderung enthält), um in Erfahrung zu bringen, wann eine der Einstellungen im GPO geändert wurde.
Dies ist äußerst nützlich. Sie waren bestimmt schon einmal in einer Situation, in der das Telefon wie verrückt klingelt und sich Benutzer darüber beschweren, dass sich ihre Computer merkwürdig benehmen. Sie gehen davon aus, dass dies mit einer geänderten, hinzugefügten oder gelöschten GPO-Einstellung zu tun hat, aber Sie haben keine Ahnung, welches GPO Sie überprüfen sollen. Windows PowerShell kommt Ihnen zu Hilfe! Wenn Sie das in Abbildung 4 dargestellte Skript in die Befehlszeile von Windows PowerShell eingeben, erhalten Sie alle GPOs, die in den vergangenen 24 Stunden geändert wurden.
Figure 4 Erkennen geänderter GPOs (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Beachten Sie den Operator „–ge“, der für „größer oder gleich“ steht. Das sieht vielleicht ein wenig seltsam aus, wenn Sie an die Operatoren < und > aus anderen Skript- oder Programmiersprachen gewöhnt sind. Diese Operatoren werden jedoch für Umleitungen verwendet, z. B. für die Umleitung der Ausgabe in eine Datei, und können folglich in Windows PowerShell nicht als Vergleichsoperatoren genutzt werden.

Zusammenfassung
Im Code in Abbildung 5 wird das vollständige Skript zum Kopieren der Einstellungen aus einem GPO in ein anderes GPO aufgelistet. Sie sollten jetzt eine solide Vorstellung davon haben, wie die neue Technologie mit Gruppenrichtlinien verwendet werden kann und wie beliebige COM-Objekte oder VBScript-Codes, die ein COM-Objekt nutzen, wiederverwendet werden können.
Figure 5 Kopieren der Einstellungen aus einem GPO in ein anderes GPO (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
Genau wie die Gruppenrichtlinien wird sich Windows PowerShell zu einem natürlichen Bestandteil aller Windows-Verwaltungsumgebungen entwickeln. Aber es gibt zunächst Millionen Zeilen an VBScript, die migriert und verwaltet werden müssen, und dieses Lernprogramm wird Ihnen hoffentlich dabei helfen.
Es gibt eine Anzahl von Quellen, mit denen Sie die Verwaltung von Gruppenrichtlinien und andere Aufgabengebiete erweitern können, in denen Sie bisher VBScript genutzt haben. Dazu gehören die Windows PowerShell-Funktionen im Download und ein hervorragendes Handbuch für die Konvertierung von VBScript zu Windows PowerShell auf der TechNet-Website. In diesem Handbuch finden Sie Hinweise zum Ausführen häufiger Aufgaben in Windows PowerShell, wenn Ihnen das entsprechende Vorgehen in VBScript vertraut ist. Sie finden das Handbuch unter microsoft.com/technet/scriptcenter/topics/winpsh/convert.
Außerdem gibt es eine vollständige Dokumentation der GPMC-API. Sie können diese Informationen von der Gruppenrichtlinien-Website unter microsoft.com/grouppolicy herunterladen.
Fazit: Falls Sie Windows PowerShell noch nicht installiert haben, worauf warten Sie noch? Laden Sie die Windows PowerShell von microsoft.com/powershell herunter. Viel Spaß!

Thorbjörn Sjövold ist CTO und Gründer von Special Operations Software (www.specopssoft.com), ein Anbieter von Erweiterungsprodukten für auf Gruppenrichtlinien basierende Systemverwaltung und Systemsicherheit. Sie können Thorbjörn Sjövold unter thorbjorn.sjovold@specopssoft.com erreichen.


 Windows-Verwaltung: Ein Leitfaden zur Bereitstellung von Terminaldiensten
Windows-Verwaltung James D. Silliman

Ein Leitfaden zur Bereitstellung von Terminaldiensten
Kurz zusammengefasst:
  • Bereitstellen von Terminaldiensten mit ein paar einfachen Schritten
  • Optimieren von Office in einer Terminaldiensteumgebung
  • Effizientes Verwalten von Benutzern mithilfe von Terminaldiensten

Rückblende in das Jahr 1998: Microsoft veröffentlicht Windows NT 4.0 Terminal Server Edition mit dem Codenamen „Hydra“. Dabei lizenzierte Microsoft Technologie von Citrix Systems zur Bereitstellung seines ersten Thin-Client/
Server-Angebots. Für Systemadministratoren gestaltete sich die Bereitstellung von „Hydra“ allerdings schwierig. Im Laufe der Jahre haben sich die Terminaldienste jedoch wesentlich verändert. Sie sind jetzt vollständig in den Kernel integriert und lassen sich mithilfe eines integrierten Installationsassistenten auf einfache Weise installieren, ohne dass eine separate CD oder ein Download aus dem Internet erforderlich ist. Angesichts der relativ einfachen Installation gibt es viele Gründe, die für die Bereitstellung von Terminaldiensten in Ihrer Organisation sprechen. Der offensichtlichste Vorteil ist die Ausführung aller Anwendungen auf einem oder mehreren zentralen Servern, sodass Clientarchitektur und -hardware keine Probleme mehr aufwerfen. Der Endbenutzer benötigt lediglich einen Remotedesktopprotokoll-Client (Remote Desktop Protocol, RDP), um eine Verbindung zu den zentralen Servern herzustellen. Glücklicherweise sind RDP-Clients für die meisten aktuellen Architekturen verfügbar.
In diesem Artikel wird aufgezeigt, wie Sie die Terminaldienste bei einer vorhandenen Installation von Windows Server® 2003 aktivieren, Gruppenrichtlinien für die Terminaldienste anwenden und Microsoft® Outlook®-Profileinstellungen mit dem Assistenten für benutzerdefinierte Installationen automatisieren können. Am Ende verfügen Sie über einen vollständig bereitgestellten Terminalserver, der Ihren Benutzern Anwendungen zur Verfügung stellt.

Erste Schritte
Als ersten Schritt zur Einrichtung der Terminaldienste müssen Sie in Windows Server 2003 unter „Verwaltung“ den integrierten Serverkonfigurations-Assistenten öffnen. Wählen Sie „Terminalserver“ aus, und klicken Sie dann auf „Weiter“, bis der Assistent abgeschlossen wird. Im Installationsprogramm wird eine Warnung angezeigt, dass der Computer automatisch neu gestartet werden muss, um die Änderungen zu initialisieren. Nach dem Neustart befindet sich der Server im Terminalservermodus.
Bevor Sie beginnen, müssen Sie übrigens sicherstellen, dass Sie über die entsprechenden Clientzugriffslizenzen (CALs) für die Terminaldienste verfügen, da andernfalls die Benutzer nach der erfolgreichen Bereitstellung keine Verbindungen herstellen können. Fügen Sie jetzt das Feld, in dem die Terminaldienste ausgeführt werden, Ihrer Active Directory®-Domäne hinzu, und melden Sie sich unter Verwendung eines Kontos an, das über Domänenadministratorrechte verfügt. Wenn Sie keiner Domäne angehören, gestalten sich die nächsten Schritte schwierig, da Sie keine Gruppenrichtlinien durchsetzen können. In diesem Artikel trägt der Server, auf dem Sie die Terminaldienste installieren, den Namen TS01.
Starten Sie als Nächstes unter „Verwaltung“ das Snap-In „Active Directory-Benutzer und -Computer“, und erstellen Sie eine neue Organisationseinheit, der Sie den Terminalserver hinzufügen möchten. Der Einfachheit halber geben wir in diesem Beispiel der Organisationseinheit den äußerst originellen Namen „Terminalserver“. Suchen Sie den Terminalserver TS01, und verschieben Sie ihn in die neue Organisationseinheit „Terminalserver“.
Laden Sie als Nächstes die Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC) von microsoft.com/windowsserver2003/gpmc herunter, und installieren Sie sie. Mit diesem Verwaltungsdienstprogramm können Sie eine neue Gruppenrichtlinie einrichten, ihr Berechtigungen zuweisen und die Richtlinie anschließend bearbeiten, sodass Sie anwendbare Richtlinieneinstellungen für jeden Benutzer, der in Zukunft eine Verbindung herstellt, aktivieren oder deaktivieren können. Die Gruppenrichtlinien-Verwaltungskonsole ist ein wichtiges Tool für die Bereitstellung der Terminaldienste, da sie über einen integrierten Modellierungs-Assistenten verfügt, der sofort widerspiegelt, welche Richtlinien auf einen Benutzer angewendet wurden und welche nicht.
Starten Sie die Gruppenrichtlinien-Verwaltungskonsole über „Verwaltung“, und suchen Sie auf der linken Seite des Fensters „Gruppenrichtlinienverwaltung“ nach der neuen Organisationseinheit „Terminalserver“. Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, wählen Sie wie in Abbildung 1 dargestellt „Gruppenrichtlinienobjekt hier erstellen und verknüpfen“ aus, und geben Sie ihm einen zweckmäßigen Namen wie „Terminalserverrichtlinie 1“.
Abbildung 1 Erstellen und Verknüpfen eines neuen Gruppenrichtlinienobjekts
Abbildung 1 Erstellen und Verknüpfen eines neuen Gruppenrichtlinienobjekts
Beachten Sie, dass im Feld „Sicherheitsfilterung“ auf der rechten Seite des Fensters der Gruppenrichtlinien-Verwaltungskonsole automatisch die Gruppe „Authentifizierte Benutzer“ angezeigt wird. Diese Gruppe wird allen Gruppenrichtlinienobjekten (Group Policy Objects, GPOs) standardmäßig hinzugefügt. Klicken Sie auf die Gruppe und dann auf die Schaltfläche „Entfernen“. Sie möchten stattdessen in Ihrer Active Directory-Struktur eine Terminaldienstegruppe einrichten, auf die Ihre Gruppenrichtlinienobjekte angewendet werden sollen, wenn sich Benutzer bei TS01 anmelden. Wir nennen unsere Terminaldienstegruppe „BottleWashers“. Fügen Sie sie über „Verwaltung“ mithilfe von „Active Directory-Benutzer und -Computer“ in die Active Directory-Struktur ein. Sie müssen „BottleWashers“ auch der Gruppe „Remotedesktopbenutzer“ auf TS01 und auf allen anderen von Ihnen installierten Terminalservern hinzufügen.
Stellen Sie sicher, dass Sie jetzt auf der Registerkarte „Bereich“ arbeiten. Klicken Sie im Feld „Sicherheitsfilterung“ auf die Schaltfläche „Hinzufügen“, und fügen Sie dann „BottleWashers“ als Gruppe hinzu. Der Gruppe „BottleWashers“ werden für die Terminalserverrichtlinie 1 automatisch die Rechte zum Lesen und Anwenden der Gruppenrichtlinie erteilt. Diese beiden Berechtigungen sind die Standardrechte für Gruppenrichtlinien. Sie sind erforderlich, damit Richtlinien auf ein Objekt angewendet werden.
Fügen Sie als Nächstes den Server TS01 ebenfalls im Feld „Sicherheitsfilterung“ hinzu. Bei diesem Vorgang ist ein zusätzlicher Schritt erforderlich. Klicken Sie zuerst auf „Hinzufügen“, und aktivieren Sie dann unter „Objekttypen“ auf der Registerkarte „Computer“ das Kontrollkästchen, da andernfalls die Gruppenrichtlinien-Verwaltungskonsole den Server TS01 nicht in Active Directory finden kann. Das Endergebnis sollte wie Abbildung 2 aussehen.
Abbildung 2 Hinzufügen von TS01 unter „Sicherheitsfilterung“
Abbildung 2 Hinzufügen von TS01 unter „Sicherheitsfilterung“
Wenn TS01 im Feld „Sicherheitsfilterung“ hinzugefügt wird, werden ebenfalls automatisch die richtigen Richtlinienrechte auf diesen Server angewendet. An diesem Punkt empfiehlt es sich, im oberen Bereich des rechten Bildschirms der Gruppenrichtlinien-Verwaltungskonsole auf die Registerkarte „Delegierung“ zu klicken und nach der Gruppe „Domänen-Admins“ zu suchen, die ebenfalls für alle neuen Richtlinien standardmäßig aufgelistet wird. Klicken Sie in der unteren rechten Ecke des Bildschirms auf die Schaltfläche „Erweitert“.
Jetzt werden die Sicherheitseinstellungen für das Gruppenrichtlinienobjekt angezeigt. Konzentrieren Sie sich auf „Domänen-Admins“, und suchen Sie dann im unteren Bereich nach der Einstellung „Gruppenrichtlinie übernehmen“. Aktivieren Sie auf der rechten Seite das Kontrollkästchen „Verweigern“. Wenn Sie auf „OK“ klicken, wird die Standardwarnmeldung angezeigt, die immer dann ausgegeben wird, wenn Sie die Berechtigung „Verweigern“ festlegen. Mit diesem Schritt wird verhindert, dass Ihre neue Terminaldiensterichtlinie auf „Domänen-Admins“ angewendet wird, was ein unerwünschtes Ergebnis wäre.
Erinnern Sie sich, dass ich Ihnen geraten habe, Ihre Microsoft-Clientzugriffslizenzen in Ordnung zu bringen? Sie müssen die Lizenzunterlagen prüfen und feststellen, welche Terminaldienste-Clientzugriffslizenzen Sie erworben haben. Es gibt zwei Arten von Clientzugriffslizenzen für Terminalserver: Benutzer und Gerät. Weitere Informationen zur Lizenzierung finden Sie unter microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx.
Die Lizenzierung pro Benutzer ermöglicht es einem Benutzer im Wesentlichen, unabhängig von der Anzahl der Geräte (PCs), von denen er eine Verbindung herstellt, nur eine Terminalserverlizenz zu nutzen.
Wenn Sie in Ihrer Domäne noch nicht über einen Terminalserver-Lizenzserver verfügen, suchen Sie einen Mitgliedsserver, der diese Rolle übernehmen kann. Obwohl dies unterstützt wird, empfiehlt es sich, TS01 nicht als Lizenzserver zu verwenden: Wenn Sie in Ihrer Organisation zu einem späteren Zeitpunkt weitere Terminalserver hinzufügen, würde die Infrastruktur in diesem Fall keine große Fehlertoleranz aufweisen. Wechseln Sie auf dem vorgesehenen Lizenzserver zur Systemsteuerung. Öffnen Sie „Software“ | „Windows-Komponenten“ | „Terminalserverlizenzierung“, und folgen Sie den Bildschirmaufforderungen, um den Lizenzserver zu aktivieren. Klicken Sie nach Abschluss dieses Vorgangs auf „Start“ | „Ausführen“, und geben Sie Folgendes ein:
tscc.msc
Dadurch wird die Struktur „Terminalserverkonfiguration\Servereinstellungen“ angezeigt. Klicken Sie auf „Servereinstellungen“ | „Lizenzierung“, und wählen Sie „Pro Benutzer“ oder „Pro Gerät“ aus. Die Standardeinstellung ist „Pro Gerät“. Wenn Sie in Ihrer Domäne bereits über einen Terminalserver-Lizenzserver verfügen, ist in „Terminalserverrichtlinie 1“ eine Einstellung vorhanden, die den Server mit der Lizenzserverrolle angibt. Klicken Sie nach Abschluss dieser Aufgabe erneut auf „Start“ | „Ausführen“, und geben Sie Folgendes ein:
licmgr.exe
Jetzt müssen Sie Ihre Clientzugriffslizenzen aktivieren, damit die Benutzer Verbindungen herstellen können. Sie können diese Aktivierung per Telefon oder über das Internet vornehmen. Die Benutzer sollten dann eine Verbindung zu Ihrem Terminalserver herstellen können, es wird jedoch keine durchgesetzten Richtlinien geben. Lassen Sie uns daher mit der Festlegung einiger wichtiger Richtlinien beginnen. Einige von Microsoft empfohlene Richtlinien finden Sie im Knowledge Base-Artikel „So sperren Sie eine Windows 2000-Terminalserversitzung“.

Aktivieren von Richtlinien
Der wichtigste Aspekt besteht darin, nicht aufs Geratewohl Richtlinien zu aktivieren, ohne genau zu wissen, was die einzelnen Richtlinien bewirken, da Sie andernfalls möglicherweise unbeabsichtigte Ergebnisse erhalten. Ein besserer Ansatz besteht darin, mit einigen grundlegenden Richtlinien zu beginnen und sie ausführlich in einer Testumgebung zu testen.
Die erste Richtlinie, die Sie durchsetzen sollten, ist die Loopbackrichtlinie. Um sie zu aktivieren, starten Sie die Gruppenrichtlinien-Verwaltungskonsole, suchen Sie die Terminalserverrichtlinie 1, klicken Sie mit der rechten Maustaste darauf, und wählen Sie dann „Bearbeiten“ aus. Navigieren Sie zu „Computerkonfiguration“ | „Administrative Vorlagen“ | „System“ | „Gruppenrichtlinie“, und aktivieren Sie die Einstellung „Loopbackverarbeitungsmodus für Benutzergruppenrichtlinie“. Nach dem Aktivieren dieser Richtlinie legen Sie den Wert für „Modus“ fest, der „Ersetzen“ oder „Zusammenführen“ lauten kann. Wählen Sie „Ersetzen“, um optimale Ergebnisse bei den Terminaldiensten zu erzielen.
Eine weitere Terminalservereinstellung, die Sie aktivieren sollten, ist „Sicherheitsgruppe „Administratoren“ zu servergespeicherten Profilen hinzufügen“, die Sie unter Computerkonfiguration\Administrative Vorlagen\System\Benutzerprofile finden. Diese Einstellung gewährleistet, dass Sie als Administrator jederzeit vollständige Kontrolle über die Benutzerprofilordner haben. Die Einstellung muss so früh wie möglich vorgenommen werden, da sie nicht angewendet wird, wenn die Ordner nach der ersten Benutzeranmeldung bereits erstellt wurden (siehe Abbildung 3).
Abbildung 3 Aktivieren der Einstellung „Sicherheitsgruppe „Administratoren“ zu servergespeicherten Profilen hinzufügen“
Abbildung 3 Aktivieren der Einstellung „Sicherheitsgruppe „Administratoren“ zu servergespeicherten Profilen hinzufügen“
Unter Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Terminaldienste finden Sie eine Vielzahl von Richtlinien. Ziehen Sie die Aktivierung der folgenden Richtlinien in Betracht:
  • Terminaldienstebenutzer auf eine Remotesitzung beschränken
  • Pfad für servergespeicherte Profile der Terminaldienste festlegen
  • Basisverzeichnis für Terminalserverbenutzer
Beachten Sie jedoch, dass durch die Beschränkung von Terminaldienstebenutzern auf eine Remotesitzung entgegen der üblichen Annahme nicht verhindert wird, dass sich Benutzer mehr als einmal anmelden. Wenn ein Benutzer versucht, eine zweite Terminaldienstesitzung zu starten, übernimmt er stattdessen einfach die erste angemeldete Sitzung.
Servergespeicherte Profile sind ein wesentliches Element des ordnungsgemäßen Terminalserverbetriebs. Wenn ein Benutzer sich bei einem Terminalserver anmeldet, wird standardmäßig ein lokales Profil auf dem Laufwerk C: des Terminalservers erstellt, selbst wenn das Laufwerk C: für die Benutzer nicht sichtbar ist. Das Standardverhalten für ein servergespeichertes Profil besteht in der Synchronisation des lokalen Profils mit einer Freigabe des servergespeicherten Profils im Netzwerk, wenn sich der Benutzer abmeldet. Es kann eine Gruppenrichtlinie eingestellt werden, um bei der Abmeldung des Benutzers dieses lokale Profil zu löschen.
Die nächsten beiden vorstehend genannten Terminaldiensterichtlinien, „Pfad für servergespeicherte Profile der Terminaldienste festlegen“ und „Basisverzeichnis für Terminalserverbenutzer“ stehen mit servergespeicherten Profilen in Verbindung. Diese Einstellungen sind häufig im Feld „Terminaldienste-Profilpfad“ eines Active Directory-Benutzers fest codiert. Viel einfacher ist es, die Terminaldienstepfade über „Gruppenrichtlinien“ festzulegen, was auch die bevorzugte Methode darstellt. Im Fall von Terminaldienste-Profilpfaden in „Active Directory-Benutzer und -Computer“ gilt: Wenn Sie einen neuen Benutzer einrichten oder einen vorhandenen Benutzer kopieren, müssen die Informationen für den Terminalserver-Profilpfad jedes Mal manuell hinzugefügt werden, was sehr umständlich ist. Es ist viel besser, diese Pfade in Bezug auf eine Netzwerkfreigabe einzustellen und sie dann von einem Gruppenrichtlinienobjekt konfigurieren zu lassen.

Ordnerumleitung
Werfen wir nun einen Blick auf eine weitere sehr wichtige Komponente der Terminaldienste: die Ordnerumleitung. Diese optimiert die Benutzererfahrung im Hinblick auf die Terminaldienste, indem übermäßig lange An- und Abmeldevorgänge verhindert werden. Die Ordner, die Sie umleiten können, sind „Anwendungsdaten“, „Desktop“, „Eigene Dateien“ und „Startmenü“. Diese vier Ordner müssen sich auf einer Netzwerkfreigabe befinden und erfordern spezifische Zugriffssteuerungslisten (ACLs). Weitere Informationen zu diesem Thema finden Sie im Knowledge Base-Artikel „Dynamisches Erstellen von sichereren umgeleiteten Ordnern mit der Ordnerumleitung in Windows 2000“.
Der Vorteil der Ordnerumleitung besteht darin, dass nicht bei jeder An- oder Abmeldung eines Benutzers das gesamte Benutzerprofil kopiert werden muss. Die Terminaldienste erkennen, dass sich diese Ordner im Netzwerk befinden und stellen einfach nur einen Zeiger zu ihnen bereit.
Bei Verwendung von servergespeicherten Profilen und Ordnerumleitung ist es ratsam, sich mit dem verteilten Dateisystem (Distributed File System, DFS) vertraut zu machen, um die Verwaltung der Netzwerkfreigaben zu vereinfachen. Aus Platzgründen kann ich in diesem Artikel nicht auf DFS eingehen, Sie finden jedoch weitere Informationen hierzu im DFS-Ressourcencenter.
Sie finden die Einstellungen für die Ordnerumleitung unter Benutzerkonfiguration\Windows-Einstellungen\Ordnerumleitung (siehe Abbildung 4). Die Werte im Ordner „Ordnerumleitung“ sind sehr einfach zu verstehen. Sie sollten jedoch jede Ordnerumleitungseinstellung deaktivieren, die „Dem Benutzer exklusive Zugriffsrechte erteilen“ lautet, da die Administratoren andernfalls nicht auf die Ordner zugreifen können.
Abbildung 4 Ordner mit den Einstellungen für die Ordnerumleitung
Abbildung 4 Ordner mit den Einstellungen für die Ordnerumleitung

Installieren von Microsoft Office
Nachdem Sie nun einige grundlegende Richtlinien festgelegt haben, können Sie die Installation von Microsoft Office 2003 oder Microsoft Office 2007 System vorbereiten. Microsoft Office ist für die Terminaldienste optimiert, sodass bei der Installation nicht viele Einstellungen geändert werden müssen. Elemente in der Office-Suite, die eine hohe Bandbreite erfordern, werden standardmäßig deaktiviert. Jetzt müssen Sie die ADM-Dateien (administrative Vorlagendateien für Gruppenrichtlinien) herunterladen und installieren, damit Sie Richtlinien innerhalb der Office-Suite steuern können.
Sie finden die benötigten ADM-Dateien unter microsoft.com/office/orkarchive/2003ddl.htm. Für unsere Zwecke müssen Sie nur zwei Dateien herunterladen: Office-Vorlagendateien (ORKSP2AT.exe) und den Assistenten für benutzerdefinierte Installationen. Die zweite Datei ist jedoch nur erforderlich, wenn Sie Office 2003 bereitstellen. Bei Office 2007 System wird der Assistent nicht verwendet. Sie müssen lediglich auf „Start“ | „Ausführen“ klicken und „Setup /a“ eingeben. Daraufhin wird die Datei automatisch gestartet.
Wenn Sie die erste Datei, ORKSP2AT.exe, entpacken, wird eine Reihe von Dateien angezeigt. Sie konzentrieren sich auf die Dateien „office11.adm“ und „outlk11.adm“ (siehe Abbildung 5).
Abbildung 5 Office-Vorlagendateien
Abbildung 5 Office-Vorlagendateien
Starten Sie Windows-Explorer, und kopieren Sie diese beiden Dateien in das Verzeichnis „%systemroot%\inf“. Starten Sie die Gruppenrichtlinien-Verwaltungskonsole erneut. Suchen Sie unter „Gruppenrichtlinienobjekte“ nach „Terminalserverrichtlinie 1“, klicken Sie mit der rechten Maustaste darauf, und wählen Sie dann „Bearbeiten“ aus. Wechseln Sie jetzt innerhalb der definierten Richtlinie zu Computerkonfiguration\Administrative Vorlagen. Klicken Sie mit der rechten Maustaste auf „Administrative Vorlagen“, und wählen Sie wie in Abbildung 6 dargestellt „Vorlagen hinzufügen/entfernen“ aus.
Abbildung 6 Hinzufügen von administrativen Vorlagen zum Gruppenrichtlinienobjekt
Abbildung 6 Hinzufügen von administrativen Vorlagen zum Gruppenrichtlinienobjekt
Sie sehen, dass die beiden Dateien jetzt verfügbar sind. Fügen Sie sie nacheinander hinzu. Diese Vorlagendateien werden unter Benutzerkonfiguration\Administrative Vorlagen\Microsoft Office 2003 und unter Benutzerkonfiguration\Administrative Vorlagen\Microsoft Office Outlook 2003 angezeigt. Sie können diese Vorlageneinstellungen durchsuchen und sie nach Belieben aktivieren oder deaktivieren.
Ich werde an dieser Stelle nicht auf allzu viele Einstellungen eingehen. Zwei Einstellungen, die Sie jedoch entfernen sollten, sind der Office-Assistent und die Outlook-AutoArchivierung. Beachten Sie, dass einige Einstellungen wie Exchange-Cachemodus und Junkmailfilter in den Terminaldiensten bereits standardmäßig deaktiviert sind, sodass Sie diese Richtlinien nicht deaktivieren müssen.
Weitere Informationen finden Sie unter „In den Terminaldiensten deaktivierte Outlook-Features“. Der Office-Assistent kann durch Auswahl von Benutzerkonfiguration\Administrative Vorlagen\Microsoft Office 2003\Assistent\Optionen in der Gruppenrichtlinie problemlos deaktiviert werden.
In einer Terminaldiensteumgebung möchten Sie die Benutzer nicht ständig dazu auffordern, eine bestimmte Aktion durchzuführen. Ein besonders auffälliges Beispiel für Aufforderungen sind die Einstellungen für die AutoArchivierung von E-Mails in Outlook. Wenn diese Einstellung in der Gruppenrichtlinie ignoriert wird, werden die Benutzer in bestimmten Intervallen zur AutoArchivierung aufgefordert. Durch Deaktivieren dieser Einstellung wird sie vollständig aus dem Outlook-Menü „Einstellungen“ entfernt. Natürlich kann es auch vorkommen, dass Sie eine AutoArchivierung durchführen möchten. Daher können Sie unter Benutzerkonfiguration\Administrative Vorlagen\Microsoft Office Outlook 2003\Extras | Optionen\AutoArchivierung eine Feinabstimmung der Einstellungen in der Richtlinie vornehmen.
Der nächste Schritt, den Sie zur Gewährleistung der erfolgreichen Bereitstellung der Terminaldienste durchführen müssen, besteht in der Einrichtung einer Outlook-Profildatei (PRF-Datei), damit die Benutzer nicht zur manuellen Konfiguration ihrer Outlook-Einstellungen aufgefordert werden. Dies mag eine außerordentlich aufwändige Aufgabe erscheinen, ist es jedoch nicht. Sie müssen die OrkTools installieren und mit dem Assistenten für benutzerdefinierte Installationen eine PRF-Datei erstellen, die dem Outlook Setup-Assistenten mitteilt, wie er sich verhalten soll. Office 2007 System verfügt über einen Mechanismus, der diesen Prozess überflüssig macht, Sie können jedoch wahlweise weiterhin eine PRF-Datei mit Office verwenden.
Lassen Sie uns eine Outlook-PRF-Datei mit dem Assistenten für benutzerdefinierte Installationen (Custom Installation Wizard, CIW) erstellen. Sie führen nicht wirklich die gesamte CIW-Routine aus, sondern nur den Teil, der zum Exportieren der geänderten PRF-Datei erforderlich ist. Das Verfahren umfasst nur wenige Schritte.
Starten und entpacken Sie zuerst die zweite Datei, die Sie in einem früheren Schritt heruntergeladen haben (den Assistenten für benutzerdefinierte Installationen). Nachdem Sie den Assistenten über „Start“ | „Programme“ | „Microsoft Office 2003 Resource Kit“ gestartet haben, werden Sie nach dem Speicherort der MSI-Datei von Office 2003 gefragt. Legen Sie Ihren Office 2003-Datenträger ein, und geben Sie den Namen und den Pfad zur MSI-Datei an.
Wechseln Sie jetzt im CIW direkt zur Seite 17 von 24, sodass Sie die übrigen Schritte des CIW auslassen und einfach die PRF-Datei erstellen können. Wählen Sie in Schritt 17 „Neues Profil“ aus, und geben Sie ihm einen Namen wie „Outlook“. Klicken Sie dann auf „Weiter“. Es wird ein Bildschirm angezeigt, auf dem Sie einen Exchange-Server auswählen können (wie in Abbildung 7 dargestellt). Geben Sie den Namen Ihres Exchange-Servers ein, und klicken Sie zum Fortfahren auf „Weiter“.
Abbildung 7 Konfigurieren einer Exchange Server-Verbindung
Abbildung 7 Konfigurieren einer Exchange Server-Verbindung
Es empfiehlt sich, dem Profil, das Sie erstellen, das Outlook-Adressbuch hinzuzufügen. Dadurch können die Benutzer beim Verfassen einer neuen Nachricht ihre Kontakte auswählen. Dieser Schritt allein kann Ihnen später viel manuelle Arbeit ersparen. Wenn Sie auf die Schaltfläche „Hinzufügen“ klicken, können Sie an dieser Stelle auch zusätzliche benutzerdefinierte Features konfigurieren. Klicken Sie jetzt auf „Weiter“. Nun müssen Sie nur noch die PRF-Datei exportieren.
Sie müssen jetzt eine Batchdatei erstellen und sie in Ihrer Netlogon-Freigabe auf dem Domänencontroller (nicht auf TS01) speichern. Die Batchdatei startet alle benötigten Zuordnungen und richtet die PRF-Datei für die Bereitstellung ein. Ich habe die Aufgabe vereinfacht, indem ich die WMI-Skripts für Sie geschrieben habe. Sie sollten diese Skripts jedoch nur als allgemeinen Leitfaden verwenden, da Sie die für Ihre Situation relevanten Informationen einfügen müssen. Sie können wahlweise einen anderen Skriptprozessor wie KiXTart verwenden.
Ihre Batchdatei (logon.bat) sollte die folgenden Zeilen enthalten:
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
Die Datei „Clean.vbs“ entfernt den „First-Run“-Registrierungsschlüssel, damit Outlook die PRF-Datei verarbeitet:
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
Outlook.vbs fügt der Registrierung für jeden Terminalserverbenutzer den richtigen Outlook-Setupschlüssel hinzu. Sie müssen in der Einstellung „SValue=“ Ihren eigenen Pfad angeben und dürfen nicht vergessen, die tatsächliche benutzerdefinierte PRF-Datei in das reale Netzwerkverzeichnis einzufügen:
sValue = \\Serv01\PRF\Outlook.prf
Ändern Sie diesen Pfad, und speichern Sie die Datei „Outlook.prf“ darunter:
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
Der nächste Punkt im Bereitstellungsverfahren besteht in der Installation von Office 2003 oder Microsoft Office 2007 System auf TS01. Wie ich bereits erwähnt habe, ist Microsoft Office für eine Terminaldiensteumgebung optimiert. Es müssen keine benutzerdefinierten Transformationen mehr erstellt werden. Sie können neben den bereits ausgewählten Features weitere Office-Features deaktivieren, dies ist jedoch nicht obligatorisch. Umgekehrt können Sie auch Features aktivieren, was jedoch zu Bandbreitenproblemen führen kann. Vergessen Sie nicht, alle Features, die Sie aktivieren, vor der Bereitstellung in einer Produktionsumgebung in einer Testumgebung zu testen.
Bevor Sie eine der beiden Versionen von Microsoft Office installieren, sollten Sie TS01 in den richtigen Benutzermodus versetzen. Sie können zwischen zwei Optionen wählen: Installieren und Ausführen. Vor der Durchführung von Softwareinstallationen sollten Sie in den Installationsmodus wechseln. Um TS01 in den Installationsmodus zu versetzen, geben Sie in der Eingabeaufforderung folgenden Befehl ein:
C:>change user /install
Versetzen Sie nach Abschluss der Installation TS01 durch Eingabe des folgenden Befehls wieder in den Ausführungsmodus:
C:>change user /execute
Der Installationsmodus wird automatisch gestartet, wenn Sie eine Datei mit dem Namen „Setup.exe“ oder „Install.exe“ auf TS01 ausführen. Alle Microsoft-Produkte verfügen über diese Startdateien. Da bei einigen Anwendungen jedoch keine der beiden Arten von Startdateien verwendet wird, sollten Sie den „Change“-Befehl verwenden, um sicherzugehen. Wie gehen Sie vor, wenn Sie vergessen haben, in welchem Modus Sie arbeiten? Führen Sie einfach den nachstehenden Befehl aus, um die entsprechende Information zu erhalten:
C:>change user /query
Wenn Sie es bis hierher geschafft haben, läuft alles nach Plan. Sie können jetzt zu einer Windows-Clientarbeitsstation wechseln, auf „Start“ | „Ausführen“ klicken und dann den folgenden Befehl eingeben:
mstsc
Wenn Sie Windows 2000 verwenden, können Sie das Microsoft Terminaldienste-Clientdienstprogramm (Mstsc) herunterladen.
Der Bildschirm „Remotedesktopverbindung“ wird angezeigt. Geben Sie einfach den Namen oder die IP-Adresse des Terminalservers ein, um eine Verbindung herzustellen. Wenn Sie auf die Schaltfläche „Optionen“ klicken, können Sie zwischen zahlreichen verfügbaren Optionen auswählen, beispielsweise ob lokale Laufwerke oder Drucker verbunden werden sollen oder die Bildschirmauflösung geändert werden soll. Sie können TS01 im Bereich „Optionen“ auch fest codieren und dann das RDP-Profil auf Ihrem Desktop speichern. Der Name des RDP-Profils lautet standardmäßig „Default.RDP“.

Verwaltungsaufgaben
Wenn Sie bestimmte Verwaltungsaufgaben auf TS01 durchführen möchten, sollten Sie den folgenden Befehl verwenden, da er Aktionen genau so simuliert, als ob Sie wirklich an der Konsole säßen:
Mstsc /console
Wenn Sie mehrere verschiedene Terminalserver verwalten, sollten Sie das Dienstprogramm „Remotedesktops“ unter „Verwaltung“ verwenden, da Sie alle Remoteterminalserver in einer einzigen Baumstruktur zusammenfassen können.
Ein letzter Befehl, den Sie kennen sollten, ist „Tsadmin“, mit dem Sie anzeigen können, welche Benutzer mit Ihrem Terminalserver verbunden sind und welche Windows-Prozesse die Benutzer geöffnet haben. Er ermöglicht es Ihnen auch, die Sitzungen der Benutzer zu spiegeln, ein enormer Vorteil für Administratoren. Wenn Sie allerdings TSadmin von Ihrer Arbeitsstation starten, können Sie keine Benutzersitzungen spiegeln. Es werden nur die Verbindungen angezeigt. Sie müssen direkt bei TS01 angemeldet sein, um die Sitzungen von Benutzern spiegeln, ihnen eine Nachricht senden oder sie abmelden zu können.

Schlussbemerkung
Sie müssten jetzt über ein gründliches Verständnis der Terminaldienste verfügen, sodass es für Sie ein Kinderspiel sein sollte, einen Terminalserver in Eigenregie bereitzustellen. Es gibt zahlreiche Themen, die eine nähere Betrachtung verdienen, einschließlich Gruppenrichtlinieneinstellungen und DFS. Wenn Sie sich jedoch an die Grundlagen halten und es beispielsweise beim Einrichten Ihrer Gruppenrichtlinienobjekte nicht übertreiben sowie die Richtlinienobjekte vor der Bereitstellung für die Benutzer umfassend testen, sind sie auf dem richtigen Weg.

James D. Silliman, MCSE, ist Senior Systems Engineer bei DirectApps, Inc. und spezialisiert sich auf die Bereitstellung von Terminalservern. DirectApps entwickelt .NET-Lösungen und bietet Hosting- und ASP-Dienste an. James D. Silliman ist unter James@directapps.com zu erreichen.


 Mitteilung der Redaktion: Sicherheit unterwegs
Mitteilung der Redaktion
Sicherheit unterwegs
Joshua Trupin

Arbeitsplätze sind heute nicht auf einen Ort beschränkt. Im letzten Jahrzehnt wurde der Begriff des „ortsunabhängigen Büros“ geprägt. Sie müssen sich nicht mehr an Ihrem Schreibtisch befinden, um Ihre Arbeit zu erledigen. Dank mobiler Technologie können Sie unterwegs, zuhause, im Zug und sogar an der roten Ampel am Autosteuer produktiv sein (bei Letzterem ist Vorsicht geboten). Was für eine wunderbare Welt. Außer, Sie sind ein IT-Experte, der sich möglicherweise der bisher größten Herausforderung seiner Karriere gegenüber sieht: das Sichern und Verwalten von Geräten, die sich auf- und davonmachen können.
Sicherheit in den 80er Jahren bedeutete, die Benutzer bei der Meldung neuer Viren anzuweisen, ihre Disketten in Plastiktüten aufzubewahren, um sie voneinander zu trennen. (Im Ernst: Als ich diese Methode bei einem ehemaligen Arbeitgeber befolgte, wurden die Computer nicht infiziert!) Ein schädliches Programm auf einem Computer konnte eingegrenzt werden, solange niemand eine infizierte Diskette zum nächsten Computer trug. Manchmal war die einfachste Lösung für IT-Profis, schnell in der Mittagspause eine Runde zu drehen und alle 5,25-Zoll-Laufwerke zu entfernen. Wenn jemand über eine 10 MB-Festplatte für die Datenspeicherung verfügte, war das schon bemerkenswert.
In den 90er Jahren wurde es immer schwieriger, von Benutzern infizierte Computer zu identifizieren, weil immer mehr Viren aus dem Internet kamen. Im Gegensatz zum Jahrzehnt davor konnten Computer nicht mehr einfach dadurch geschützt werden, dass dem Benutzer mit einem filmreifen Spezialkick die Diskette aus der Hand geschlagen wurde.
Heutzutage wird die Sicherheit eines Unternehmens durch Verteilen von Gruppenrichtlinien und Einrichten von Firewalls, Quarantänen und so genannten Chokepunkten gewährleistet. Und was passiert? Das gesamte Unternehmen macht sich auf und davon! Einfach weg. Was nun?
Die Ressourcensicherung innerhalb des Büros ist unter den heutigen IT-Bedingungen lediglich ein Teil der Herausforderung. Eine Organisation ist nur so stark wie ihr schwächstes Glied. Mitarbeiter, die mit mobilen Geräten und Laptops unterwegs sind, die mit Ihrem Netzwerk verbunden sind, können große Probleme verursachen. Im Leitartikel dieses Monats wird erörtert, wie mobile Geräte so gesichert werden können, dass der gestresste Administrator nachts ruhig schlafen kann.
Selbstverständlich hat diese Ausgabe noch viel mehr zu bieten. Wir werfen einen Blick auf die Einhaltung gesetzlicher Bestimmungen mit Exchange Server, den Netzwerkzugriffsschutz, das Bereitstellen von Terminaldiensten, Windows PowerShell, SQL Server – die Themenliste ist so lang, dass sie kaum auf eine Seite passt. (Laut dem Inhaltsverzeichnis passt sie allerdings auf zwei Seiten.)
Was war der ungewöhnlichste Sicherheitsvorfall, den Sie in Ihrem Unternehmen erlebt haben? Im Blog des TechNet Magazins (blogs.technet.com/tnmag) können Sie mitreden. Die Redakteure warten auf Ihre Beiträge! Joshua Trupin

Unser Dank gilt folgenden technischen Experten von Microsoft: Alex Balcanquall, Tad Brockway, Anah Cameron, Jeroen de Borst, Michael Higashi, Ryan Hurst, Paul Limont, Sherman Lovell, Michael Murgolo, Shivakumar Seetharaman, John Speare, David Strome und Jim Truher.

Joshua Trupin


 Briefe: Antworten auf Ihre Fragen
Briefe
Antworten auf Ihre Fragen

Erstellen von Abbildern
Im Artikel „Erste Schritte mit Windows® PE“ (September 2006) verweist Wes Miller auf mkimg.cmd. Diese Befehlsdatei ist auf meinem Windows Vista™-System nicht vorhanden, auf dem sowohl das Windows Automated Installation Kit (WAIK) als auch der Business Desktop Deployment Solution Accelerator (BDD) 2007 installiert sind. In meiner aktuellen Version liegen die Dateien „mkimg_pe2004.cmd“ und „mkimg_pe2005.cmd“ vor. Diese rufen jedoch eine bldini.cmd-Datei auf, die es auch nicht zu geben scheint. Wo kann ich diese Dateien finden?
– Jim A.

Der Artikel erschien noch vor der Veröffentlichung von Windows Vista und bezieht sich ausschließlich auf die Version von Windows PE, die für Windows XP und Windows Server® 2003 (bekannt als Windows PE 1.6) verfügbar ist. In einem späteren Artikel in der Ausgabe vom November 2006 wurde Windows PE 2.0, die für Windows Vista verfügbare Version, behandelt. Sie finden diesen Artikel auf unserer Website.
Sie können Abbilder von Windows PE 2.0 mit den WAIK-Tools erstellen und anpassen – im konkreten Fall wurde der „mkimg“-Befehl durch „peimg“ ersetzt. Eine Anleitung zum Erstellen eines Abbilds von Windows PE 2.0 finden Sie in der WAIK-Onlinedokumentation.

Sicherheitsmythen
Was empfehlen Sie – als Antwort auf den Hinweis, lange Kennwörter seien komplexen vorzuziehen („Zerstörung weit verbreiteter Sicherheitsmythen“, Mai/Juni 2006) – als beste Möglichkeit, diese bei Bedarf wiederfinden zu können? Für den Benutzer ist es schwierig, sich lange Kennwörter zu merken. Ich habe auch den Ratschlag gehört, für jeden erforderlichen Systemzugriff ein unterschiedliches Kennwort zu verwenden, aber dies kann bei Aufbewahrung und Abruf zu ähnlichen Problemen führen.
– Ian R.

Wir haben unseren guten Freund und Mitwirkenden Steve Riley gefragt, der umgehend geantwortet hat:
Interessante Frage zur geistigen Abrufbarkeit (ja, ich habe mir dieses Wort soeben ausgedacht). Ich würde argumentieren, dass man sich einen als Passphrase verwendeten Satz leichter merken kann als eine willkürliche Sammlung von Zeichen in einem komplexen Kennwort. Wenn Sie eine Zuordnungsmethode verwenden, ist es leichter, sich an eine große Zahl von Passphrasen zu erinnern. Sagen wir zum Beispiel, dass Ihre Passphrase für Hotmail® lautet: „Mein Hund und ich haben die Post geholt“. Dies ist leicht zu merken, weil es einen Zusammenhang (die Post geholt) mit dem Ziel (E-Mail-Site) gibt. Unter Verwendung der Zuordnungsmethode erhalten Sie „Mein Hund und ich sind zum Einkaufen gegangen“ als Passphrase für eBay, „Mein Hund und ich sind zur Arbeit gegangen“ als Passphrase für Ihr Domänenkonto im Büro, und sogar „Mein Hund und ich haben Kunstwerke bewundert“ als Passphrase für Ihre, äh ... Lieblings-Fotosite.
Quellen für Passphrasen sind fast grenzenlos. Ich kenne jemanden, der nur Zitate aus Monty Python-Filmen verwendet. Ein anderer verwendet nur Fünfwortsätze, in denen jedes Wort mit aufeinanderfolgenden Buchstaben der Tastatur beginnt („Querulanten Wollen Erst Richtig Toben“: QWERT). Mit etwas Fantasie können Passphrasen helfen, die meisten mit Kennwörtern zusammenhängenden Probleme zu beseitigen, während sie den geheimen Schlüssel robuster machen, der zum Identitätsnachweis verwendet wird.

„Zerstörung weit verbreiteter Sicherheitsmythen“ ist ein großartiger Artikel. Er hat meine Annahmen so richtig auf den Kopf gestellt. Aber wenn die Generierung und Verwendung einmaliger Zeichensätze (nicht die in Webdings®, sondern noch nie dagewesene) in einem unabhängigen Softwareprogramm möglich wäre, würde dadurch nicht die Komplexität weiter erhöht, da niemand je einen vollständigen Satz aller möglichen einmaligen Zeichen haben könnte, und nur der Benutzer weiß, welche generiert und verwendet wurden? Ich würde lieber eine kurze Zeile solcher Zeichen neu erstellen, als „Krieg und Frieden“ einzutippen, wenn ich meinen USB-Schlüssel verliere.
– H. D.

Interessante Idee, aber wir sind nicht so ganz sicher, wie Sie sich ein einmaliges, nie zuvor gesehenes Zeichen merken könnten. Es sei denn, Sie sind TAFKAP, „The Artist Formerly Known As Prince“ – der Künstler, der früher als „Prince“ bekannt war.

Sysprep
Im Artikel über die Vereinfachung der Erstellung von Desktopabbildern vom Mai/Juni 2006 sagt Shelly Bird für den Fall, dass Sie einen Sysprep-Ordner erstellen: „Der Prozess startet mit der Erstellung des Masterabbilds auf einem Legacysystem mit Basishardware...“. Was genau meint sie damit? Ich suche gerade in BDD und kann dort nichts finden, was auf eine Bereitstellung mit einem einzigen Abbild hinweist. Wie erhalte ich diese Informationen?
– Jon S.

In dem von Ihnen erwähnten Artikel beschreibt der Autor die Erstellung einer standardisierten Verweiskonfiguration, die als Abbild aufgezeichnet und für andere Computer erneut bereitgestellt werden kann. Anders gesagt, nehmen Sie die einfachste Hardware in Ihrer Umgebung (als kleinsten gemeinsamen Nenner), installieren Sie Windows und konfigurieren es gemäß Ihren Basisspezifikationen (mit allen Änderungen, die in Ihrem gesamten Unternehmen bereitgestellt werden sollen), installieren Sie alle Anwendungen, die Sie ebenfalls einbeziehen wollen, und bereiten Sie das Ganze dann mithilfe des Sysprep-Tools für die Bereitstellung vor (dieses Tool entfernt etwaige hardwarespezifische Informationen, wodurch das Abbild für neue Hardware erneut bereitgestellt werden kann).
Die beste Anleitung für diesen Prozess finden Sie im Handbuch für das Featureteam für das Computerabbilderstellungssystem, das zu BDD gehört. Das Computerabbilderstellungssystem von BDD umfasst ein herunterladbares Tool, das Ihnen bei der Anpassung und Vorbereitung des Abbilds hilft. Weitere Informationen finden Sie unter: microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx.

Umstellung der Authentifizierung
Ich verwende bei der Arbeit SQL Server™ 2005. Wie kann ich meine Authentifizierung von Windows-Authentifizierung auf SQL Server-Authentifizierung (mit sa-Anmeldung) umstellen?
– Sara J.

Das folgende Thema aus der SQL Server-Onlinedokumentation dürfte Ihnen bei diesem Problem helfen: msdn2.microsoft.com/ms188670.aspx. Wir raten jedoch dringend, wegen der Sicherheitsimplikationen bei Verwendung von sa (insbesondere ohne Kennwort) an der Windows-Authentifizierung festzuhalten. Aus diesem einfachen Grund verwenden wir in den Codebeispielen nicht mehr sa/nopass.

Überschwängliches Lob
Ich lese das TechNet Magazin jeden Monat mit großem Vergnügen. In meinem Rucksack oder im Auto habe ich immer ein paar Kopien zum Lesen unterwegs parat: bei der Arbeit, zu Hause und eigentlich überall. Am liebsten würde ich das ganze Magazin auf dem Tablet PC oder Pocket PC Phone mit mir herumtragen. Eine Audioversion des Inhalts für meinen MP3-Player wäre wirklich klasse. Insgesamt ist das Magazin ÜBERWÄLTIGEND. Es ist wirklich meine absolute Lieblingslektüre. Ich empfehle es ständig allen meinen Kollegen und mache so richtig Werbung dafür.
– Erasmo M.

Sie wollen Audioinhalt? Aber bitteschön! Wir bieten jeden Monat einen Podcast des TechNet Magazins an. Gehen Sie einfach zur TechNet Magazin-Website (www.technetmagazine.com), und klicken Sie auf den Podcastlink auf der linken Seite. So können Sie uns in Zukunft nicht nur lesen, sondern auch hören!

Puzzleposter
Das Puzzleposter aus Active Directory®-Komponenten in der Ausgabe von März/April 2006 war bei weitem die beste grafische Darstellung der Funktionsweise von Active Directory in Windows Server 2003, die ich je gesehen habe. Beim Projektmanagement der Umstellung unserer internationalen Organisation auf Windows 2000 und Active Directory hätte mir diese Art Poster die Arbeit sehr erleichtert. Selbst jetzt sind sich unsere Unternehmensadministratoren nicht immer über die Komponenten klar, die auf diesem Poster eindeutig dargestellt sind, und der Zugriff auf diese Art von Informationen wäre ihnen eine große Hilfe für ein zielgerichteteres und systematischeres Arbeiten. Ist dieses Poster als Download verfügbar?
– Mike C.

Sie glauben gar nicht, wie oft wir nach diesem Poster gefragt werden. Anscheinend haben viele Leute draußen vor Ort die gleichen Fragen wie Sie. Wir haben das Poster als Download unter go.microsoft.com/fwlink/?LinkID= 80428 verfügbar gemacht, aber versuchen Sie bitte nicht, es auf normal großem Papier auszudrucken. Dafür ist es viel zu groß.

Einrichten von Outlook-E-Mail-Signaturen
Ich arbeite als Systemadministrator für mein Unternehmen und bin gerade dabei, ein Skript zu schreiben, um die Outlook®-Signatur für alle Benutzer in meiner Domäne zu standardisieren. Ich habe den Beispielcode aus dem Artikel vom Oktober 2006 über das Einrichten von Outlook E-Mail-Signaturen verwendet. Aber es ist ein kleines Problem aufgetreten: Wenn ich versuche, mithilfe des folgenden Codes die Schriftfarben der Signatur anzupassen und einzustellen, bleibt die Schriftfarbe Schwarz:
objSelection.Font.Color = wdRed
Schriftart und Schriftgröße können geändert werden, nicht jedoch die Schriftfarbe.
– Edison P.

Wir haben die Scripting Guys gefragt, was es damit auf sich hat (per Direktverbindung über das rote Sondertelefon...), und die Antwort lautete wie folgt:
Zum Ändern der Schriftfarben müssen Sie wahrscheinlich wdColor-Enumerationen verwenden. Probieren Sie Folgendes aus:
  • Definieren Sie im Skript die folgende Konstante:
wdColorRed = 255
  • Weisen Sie mithilfe dieses Codes die Farbe zu:
objSelection.Font.Color = wdColorRed
Dann müsste es klappen.

Wie komme ich an Windows PE?
Unser Unternehmen hat einen Microsoft® Select-Lizenzvertrag. An wen muss ich mich wenden, um die fünfte Generation von Windows PE zur Verwendung in unserem Unternehmen zu erhalten? Insbesondere suchen wir nach der Möglichkeit, von USB-Flashlaufwerken zu starten.
– Thom S.

Windows PE ist als Software Assurance verfügbar. Durch Anzeigen der Vergleichstabelle der Leistungen können Sie feststellen, ob Ihr Lizenzierungsprogramm diese Leistung umfasst: Benefits Comparison Chart. Wenn ja, ist Windows PE zum Download mit dem Microsoft Volume License Services-Konto Ihres Unternehmens verfügbar (Sie können sich unter https://licensing.microsoft.com) anmelden. Wenn Sie beim Zugriff auf diese Website Hilfe benötigen, wenden Sie sich an den Lizenzkoordinator Ihres Unternehmens oder an Ihren Microsoft-Lizenzvertreter.


 Toolbox: Neue Produkte f&#252;r IT-Profis
Toolbox
Neue Produkte für IT-Profis
Greg Steen

Analysieren des HTTP-Datenverkehrs
HttpWatch Professional Edition
httpwatch.com

HTTP, die Grundlage für die Kommunikation zwischen Browsern und Websites, ist ein unglaublich nützliches Protokoll der Ebene 7. Darüber hinaus wird HTTP seit der Einführung der Webdienste von vielen Windows® Forms-Anwendungen zum Herunterladen von Programmupdates und zum Herstellen von Verbindungen zur Echtheitsüberprüfung verwendet. Das Lokalisieren von Problemen, die Leistungsoptimierung und das Überprüfen der Sicherheit der Kommunikation zwischen Anwendungen über HTTP kann sich als schwierig erweisen. HttpWatch Professional Edition kann Ihnen jedoch bei der Behebung von Problemen mit der Kommunikation zwischen Websites und Browser helfen.
HttpWatch zeigt die Details von Webanforderungen an
HttpWatch zeigt die Details von Webanforderungen an
HttpWatch Professional lässt sich in Internet Explorer® 6.0 und Internet Explorer 7 integrieren und kann entweder im unteren Bereich des Browsers oder als eigenständiges Tool zusammen mit dem Browser angezeigt werden. Wenn Sie auf die Schaltfläche „Record“ (Aufzeichnen) klicken, beginnt HttpWatch mit der Aufzeichnung und Protokollierung des Datenverkehrs und zeigt alle Details an, die Ihren Webanforderungen zugrunde liegen. Sie können den HTTP-Rohdatenstrom, alle Umleitungen, die für Ihre Seitenanforderung stattfinden, die der Anforderung zugeordneten Schlüsselwertpaare der Abfragezeichenfolge, die HTTP-Methode, Informationen zur HTTP-Komprimierung sowie alle Informationen zur aufgeteilten Codierung anzeigen. Außerdem liefert HttpWatch ausführliche Informationen zu allen mit der Anforderung verknüpften Cookies, wobei der Pfad, die Domäne, das Ablaufdatum und der Wert des Cookies angegeben werden. Da die Anwendung
als Plug-In in Internet Explorer ausgeführt wird, können Sie zudem alle Details entschlüsselter HTTPS-Anforderungen anzeigen.
Mit HttpWatch erhalten Sie einen tiefen Einblick in die Leistungsdaten Ihrer Anforderungen auf Netzwerkebene, da Antwortzeiten auf die Millisekunde genau, DNS-Lookups, TCP-Verbindungen, IP-Adressinformationen, Ports und die von Ihrem Browser gesendeten und empfangenen Bytes angezeigt werden. Denken Sie, dass Sie bereits alle Vorgänge kennen, die bei den einzelnen Anforderungen stattfinden? Ich bin immer wieder überrascht, wie viele Elemente an der Anforderung einer einzigen HTML-Seite beteiligt sind. Glücklicherweise umfasst HttpWatch eine Option zum Filtern der Ansicht nach Inhaltstyp, Antwortcode, URL, Headern oder einer bestimmten Inhaltszeichenfolge. Dadurch können Sie Ihren Abfragebereich isolieren und schnell genau die Details anzeigen, an denen Sie interessiert sind.
Auf der Produktwebsite wird das Tool als eine Möglichkeit zur Problembehebung für Ihre Kunden beworben. Die Anwendung ermöglicht das Speichern von Anforderungsinformationen, sodass Kunden Ihnen Details zu problematischen Anforderungen senden können. Dies kann für die Problembehebung nützlich sein. Die proprietäre HWL-Datei kann mit nur wenigen Mausklicks per E-Mail gesendet werden. Wenn Sie diese Datei von Ihrem Kunden erhalten, können Sie sie mit der im Installationspaket enthaltenen eigenständigen Protokolldateianzeige anzeigen. Sie können die Anforderungsdaten auch in das CSV- oder XML-Format exportieren, damit die Daten in anderen Anwendungen verwendet werden können.
HttpWatch verfügt über eine veröffentlichte Automatisierungs-API, die es Ihnen ermöglicht, bei Tests Informationen auf HTTP-Ebene aufzuzeichnen, um Leistungsengpässe leichter zu finden. Es werden drei Beispiele für die Verwendung der API installiert, eines in C über eine Interopbibliothek und zwei über COM für JavaScript und Ruby. Wenn Sie Ruby mit Watir für Testzwecke verwenden, können Sie sich auf der Produktwebsite anhand eines Lernprogramms darüber informieren, wie Sie HttpWatch in Ihre Testplattform integrieren können.
Preis: 249 $ für eine Einzelbenutzerlizenz.

Buchbesprechungen
Microsoft Solutions Framework Essentials
microsoft.com/mspress

Zur Bereitstellung erfolgreicher Technologielösungen benötigen Unternehmen effektive Prozesse und eine klare Kommunikation. Michael S. V. Turners Buch, Microsoft Solutions Framework Essentials (Microsoft Press, 2006), vermittelt Ihnen die Grundlagen des Microsoft® Solutions Framework (MSF) 4.0 und zeigt auf, wie es zur Entwicklung und Implementierung von erprobten Prozess- und Kommunikationsmethoden verwendet werden kann.
Turner stellt eine ausgezeichnete Empfehlung an den Anfang seines Buches, indem er dem Leser rät, die Anwendung von MSF-Richtlinien und -Methoden in der aktuellen Prozess- und Organisationsstruktur nicht auf einmal vorzunehmen. Stattdessen schlägt er vor, einen Teil des MSF in die Produkt- oder Projektentwicklung einzubinden und dann den Erfolg dieser Maßnahme zu bewerten. Wenn diese Bewertung mit einem positiven Ergebnis abgeschlossen wird, können Sie einen anderen für Ihr Projekt nützlichen Aspekt des MSF auswählen und ihn in den Standardprojektzyklus einführen. Auf diese Weise können Sie sowohl das MSF an Ihre Umgebung anpassen als auch unvorhergesehene Probleme verringern, die sich aus den Änderungen ergeben können.
Das Buch richtet sich an alle Personen (mit und ohne technischen Hintergrund), die an der Bereitstellung von Technologielösungen beteiligt sind. Im Kapitel „Building an MSF Team“ (Zusammenstellen eines MSF-Teams) wird erklärt, wie sowohl Techniker als auch Mitarbeiter ohne technische Fachkenntnisse an der Bereitstellung erfolgreicher Lösungen zusammenarbeiten können und sollten. Es wird jedoch darauf hingewiesen, dass dieser Teil des MSF möglicherweise nicht so einfach zu implementieren ist, da er Änderungen an den täglichen Aufgabenbereichen nach sich zieht.
Im Mittelpunkt der Strukturänderung steht die Idee, ein Team von Befürwortern zu bilden, dessen Mitglieder als gleichberechtigte Vertreter verschiedener Disziplinen zusammenarbeiten, sowie zusätzliche Vorteile im Gesamtprozess zu erzielen. (Natürlich muss auch ein autorisierender Entscheidungsträger vorhanden sein.) In der Publikation werden die MSF-Befürworter in sieben Gruppen eingeteilt: Produktmanagement, Programmmanagement, Architektur, Entwicklung, Test, Benutzererfahrung und Freigabe/Betrieb. Jede Gruppe ist unterschiedlich zusammengesetzt und verfügt über ihren eigenen Verantwortungsbereich. Für Unternehmen mit größeren Gruppen enthält das Buch Empfehlungen dazu, wie die Idee der Befürwortergruppen zur Unterstützung größerer Teams und Gruppen ausgebaut werden kann.
Jedes Projekt ist mit Risiken verbunden, und Sie finden in diesem Buch eine Vielzahl von Tipps zur Neuorganisation, die Ihnen und Ihrem Team bei einer effektiven Risikosteuerung helfen können. Die Minimierung der Projektrisiken ist wichtig, und der Risikomanagementprozess wird in sechs Schritte unterteilt, mit denen Risiken erfolgreich verringert werden können: Identifizierung, Analyse und Priorisierung, Planung und Zeitplanung, Verfolgung und Berichterstattung, Änderungssteuerung sowie Lernen aus früheren Erfahrungen. Außerdem muss das Risiko während des gesamten Projektzyklus weiterhin fortlaufend bewertet werden. Die in diesem Abschnitt beschriebenen Punkte tragen entscheidend zu einem positiven Projektausgang bei.
Die Grundlagen der Lösungsbereitstellung werden ausführlich behandelt, einschließlich Umsetzungspfaden (Tracks), gemäß denen Sie Ihre Lösung beschreiben, planen, entwickeln, stabilisieren und bereitstellen sowie definieren, wofür jede Befürwortergruppe in den einzelnen Phasen verantwortlich ist. Sie erhalten eine Einführung in das MSF-Prozessführungsmodell, eine ausführlichere Ansicht der einzelnen Tracks des Lösungsbereitstellungszyklus: Projektbeschreibung, Planung, Entwicklung, Stabilisierung, Bereitstellung und Führung (d. h. Lenken der Lösungsbereitstellung).
Obwohl Ihre Rolle im Unternehmen Ihrer Meinung nach nicht alle in diesem Buch beschriebenen Tools und Prozesse erfordert, erhalten Sie bei der Lektüre dennoch neue Einblicke in Ihre aktuellen Prozesse, unabhängig davon, ob Sie im betrieblichen Bereich, in der Entwicklung oder im Projektmanagement tätig sind. Selbst wenn sich Ihr Arbeitsbereich nicht auf die Softwareentwicklung erstreckt, bieten die von Turner behandelten Themen einen Ausgangspunkt für die Verbesserung der Effizienz und der Kommunikationskanäle in Ihrem Unternehmen.
Preis: $44.99.

Bearbeiten von Dateien
UltraEdit
ultraedit.com

Jeder IT-Experte, der etwas auf sich hält, benötigt einen leistungsstarken Editor in seiner Toolbox. Ein Editor, den ich für unverzichtbar halte, ist UltraEdit von IDM Computer Solutions. Er unterstützt alle Standardfeatures und -funktionen, die ein guter Texteditor bietet, einschließlich des Einfügens von ASCII-Zeichen, Makros, Suchen und Ersetzen durch reguläre Ausdrücke, Starten externer Anwendungen, UTF-Unterstützung und schnelle Bearbeitung sehr großer Textdateien. UltraEdit wartet jedoch dazu noch mit einigen anderen Funktionen auf, die das Tool besonders nützlich machen.
Für die grundlegende Bearbeitung sind eine 100.000 Wörter umfassende integrierte Rechtschreibprüfung für mehrere Sprachen, automatische Vervollständigung sowie Codesyntaxhervorhebung für Standardsprachen wie C# enthalten. Sie können einen automatischen Zeilenumbruch an einer angegebenen Spalte mit einer Absatzmarke einstellen – ein großartiges Feature zur Formatierung textbasierter E-Mails, deren Zeilen nur eine bestimmte Länge aufweisen dürfen. Bei diesem Szenario können Sie dann die E-Mail über UltraEdit mit nur wenigen Mausklicks senden. Die Anwendung ist in Windows Explorer integriert, sodass Sie nur einmal mit der rechten und einmal mit der linken Maustaste klicken müssen, um eine Datei zur Bearbeitung zu öffnen.
Codesyntaxhervorhebung in UltraEdit
Codesyntaxhervorhebung in UltraEdit
UltraEdit ist nicht nur für Textdateien geeignet. Das Tool ermöglicht die problemlose Bearbeitung von Binärdateien und bietet eine standardmäßige Hexadezimal-Editoransicht der Hexadezimalwerte, Zeilenverweise und potenziellen ASCII-Werte. Im Hexadezimal-Bearbeitungsmodus können Sie Werte ausschneiden, kopieren und einfügen sowie standardmäßige Such- und Ersetzungsvorgänge durchführen. UltraEdit umfasst einen integrierten FTP-Client, der Verbindungen über FTP und SFTP unterstützt. Darüber hinaus können Sie standardmäßige Secure Shell (SSH)- oder TELNET-Verbindungen öffnen.
Für Webentwickler enthält die Anwendung ein integriertes HTML-Prüfungstool zur Prüfung von Webseiten. UltraEdit bietet auch einen Spaltenmodus für die Arbeit mit textbasierten Datenbankdateien und Protokolldateien mit Trennzeichen. Dieser Modus vereinfacht die Bearbeitung durch ein müheloses Wechseln zwischen Daten sowie das Berechnen und Bearbeiten von Summen. UltraEdit kann sogar einen Satz von Dateien in einem Projekt oder Arbeitsbereich gruppieren, sodass mehrere zusammengehörige Dateien mit nur einem einzigen Mausklick geöffnet werden können. Insgesamt bietet UltraEdit eine Vielzahl von Features, mit denen Sie Ihren Arbeitsalltag einfacher und effizienter gestalten können.
Preis: 49,95 $ direkt für eine Einzelbenutzerlizenz.

Verwalten einer mobilen Konfiguration
Net-Switch
net-switch.com

Es ist ein allseits bekanntes Problem: Sie wechseln mit Ihrem Laptop von einer Umgebung zur anderen (beispielsweise vom Datencenter in die Qualitätssicherungsumgebung). Dabei müssen Sie ständig die statische IP-Adresse und den Standarddrucker des Laptops neu zuweisen. Wenn Ihnen dieses Problem bekannt vorkommt, sollten Sie Net-Switch ausprobieren. Dieses praktische Dienstprogramm ermöglicht es, mehrere Netzwerkkonfigurationen einzurichten und zu speichern, von denen jede über eine eigene Standarddruckerzuweisung verfügt. Dadurch müssen Sie sich die entsprechenden Zahlen nicht mehr merken oder jedes Mal manuell eingeben, wenn Sie von einer Umgebung zur anderen wechseln.
Net-Switch verarbeitet Laptopeinstellungen
Net-Switch verarbeitet Laptopeinstellungen
Die Anwendung zeichnet sich durch eine unglaublich einfache Verwendung aus. Geben Sie der Konfiguration einfach einen Namen, wählen Sie einen Netzwerkadapter aus, weisen Sie eine statische IP-Adresse mit Maske, Gateway und DNS-Servern zu (oder wählen Sie DHCP aus), legen Sie einen Standarddrucker fest, und schon sind Sie startklar. Net-Switch ist eine preiswerte Möglichkeit, alltägliche Probleme zu umgehen.
Preis: 19,95 $ direkt.

Kontaktaufnahme mit Toolbox
Wenn Sie ein Lieblingswerkzeug oder -dienstprogramm haben, das Ihrer Meinung nach hier vorgestellt werden sollte, dann schreiben Sie eine E-Mail (in englischer Sprache) an den Autor unter tntools@microsoft.com.

Greg Steen ist Technologieexperte, Unternehmer und Enthusiast. Er ist immer auf der Suche nach neuen Hilfsmitteln und Methoden, die die Arbeitsprozesse und Entwicklung von IT-Profis erleichtern.


 SQL&#160;– Fragen und Antworten: Best Practices Analyzer, Mehrkernprozessoren und mehr
SQL – Fragen und Antworten
Best Practices Analyzer, Mehrkernprozessoren und mehr
Herausgegeben von Nancy Michell

F: Ich habe eine Frage zur BPA-Regel (Best Practices Analyzer) in Bezug auf die Verwendung von in einem Schema qualifizierten Tabellen und Ansichten. Laut der BPA-Dokumentation prüft diese Regel die Schemaqualifikation für temporäre Tabellen nicht. Im BPA-Bericht werden Verweise auf temporäre Tabellen gekennzeichnet, die innerhalb gespeicherter Verfahren erstellt werden. Sollten diese Tabellen eine Qualifikation erhalten? Falls ja, von welchem Schema? Gehe ich recht in der Annahme, dass die temporären Tabellen so wie andere Tabellen für ihre Eigentümer qualifiziert werden müssen?
A: Die BPA-Empfehlung zur Schemaqualifikation von Tabellen und Ansichten trifft auf SQL Server™ 2005 nicht zu, da das Problem, das diese Vorgehensweise bei früheren Versionen von SQL Server erforderte, durch die Benutzerschematrennung gelöst wurde. Die Schemaqualifikation war erforderlich, damit der Abfrageplan durch verschiedene Benutzer wiederverwendet werden konnte, die in SQL Server 2000 verschiedene Standardschemas verwendeten. DBO-Objekte konnten ohne Qualifikation verwendet werden, doch SQL Server musste die Standardschemas für die Objekte zuerst prüfen, damit eine Wiederverwendung des Abfrageplans verhindert wurde. Da die Benutzerschematrennung zulässt, dass verschiedene Benutzer ein Standardschema gemeinsam verwenden und in der Regel alle Datenbankbenutzer auf Objekte in ihren Standardschemas zugreifen, werden Ad-hoc-Pläne mit unqualifizierten Tabellen- und Anzeigenamen normalerweise von Benutzern gemeinsam genutzt und wiederverwendet. Unqualifizierte Tabellen- und Anzeigenamen innerhalb gespeicherter Verfahren waren von vornherein nicht von diesem Problem betroffen, ein weiterer Punkt, der gegen dieses Verfahren sprach. BPA in SQL Server 2005 umfasst keine solchen Regeln, da kein T-SQL-Parser enthalten ist. Stattdessen werden von BPA die Konfigurations- und Sicherheitseinstellungen überprüft.

F: Ich habe ein ungewöhnliches Verhalten auf SQL Server 2005 SP1 festgestellt. Wenn ich die Datensätze in einer Tabelle lösche und in derselben Tabelle gleichzeitig Einfügungen durchführe, wird das Einfügen gesperrt, bis die Löschtransaktion abgeschlossen ist. Gibt es eine Möglichkeit, den Grund dieser Blockierung festzustellen?
A: Ja. Sie können das Skript für dynamische Verwaltungsansichten (Dynamic Management Views, DMV) in Abbildung 1 ausführen, um Sperren und Blockierungen festzustellen.
Figure 1 Sperren und Blockierungen finden (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

F: Außer dem Hyperthreading und der Technologie mit zwei Kernspeichern bieten Chiphersteller nun auch Prozessoren mit zusätzlichen Kernen an (vier, acht und mehr). Ich habe vor, einen neuen Server mit Mehrfachkernprozessoren zu kaufen, um die Bereitstellung von SQL Server 2005 Standard Edition zu unterstützen, und frage mich, ob ich beim Verwenden eines Vierkernprozessors nur eine einzige physische CPU einsetzen kann (da Standard Edition auf vier CPUs begrenzt ist)?
A: Was Lizenzierung und CPU-Support angeht, berücksichtigt SQL Server lediglich die Anzahl physischer Sockets/CPUs, ungeachtet der Anzahl Kerne auf dem Prozessor. Die Tatsache, dass SQL Server 2005 Standard Edition bis zu 4 CPUs unterstützt, bedeutet, dass 4 physische CPU-Sockets unterstützt werden, unabhängig von der Anzahl der jeweils darin enthaltenen Kerne (wenn 4 physische CPUs mit 4 Kernen vorliegen, stehen der Standard Edition demzufolge 16 logische CPUs zur Verfügung). Außerdem brauchen Sie nicht alle 16 Kerne, sondern nur die 4 physischen CPUs zu lizenzieren, obwohl Sie eigentlich über 16 Kerne/logische CPUs verfügen. Weitere Informationen zu SQL Server und Mehrfachkernen finden Sie unter microsoft.com/sql/howtobuy/multicore.mspx.

F: Ich plane die Anschaffung neuer Datenbankserver. Sollte mein Unternehmen zu 64-Bit wechseln oder lieber bei den bewährten 32-Bit-Versionen bleiben?
A: Das kommt auf die Umstände an. Diese Frage wird zurzeit sehr häufig gestellt, da viele Hersteller ihre Hardware von x86 auf x64 umstellen. Als Erstes müssen Sie feststellen, wie viel Speicher der neue Datenbankserver benötigt. Wenn die SQL Server-Instanz weniger als 3 GB Arbeitsspeicher für die Lebensdauer der Hardware benötigt (in der Regel sind das drei Jahre), dann empfiehlt sich 32-Bit x86, vorausgesetzt, dass dies auch für die anderen Server (Domänencontroller, DNS-Server, Anwendungsserver, Webserver, Mailserver) richtungsweisend ist. Wenn die SQL Server-Instanz mehr als 16 GB benötigt, oder wenn mehrere Instanzen pro Server (oder Cluster) vorhanden sind, sollten Sie ernsthaft einen Wechsel zur 64-Bit-Technologie in Betracht ziehen. Wenn mehr als acht Prozessoren geplant sind, dann ist IA64 die Standardempfehlung. Da jedoch x64 CPUs mit vier und acht Kernen immer mehr Marktpräsenz erlangen, ist es möglicherweise auch eine Kostenfrage, sich für x64 anstatt für IA64 zu entscheiden.
Bei den anfänglichen Kosteneinschätzungen für einen Wechsel zu x64 (oder IA64) wurde die Bereitstellung der gleichen Architektur in Entwicklungs-, Test- und Leistungsumgebungen möglicherweise nicht berücksichtigt. Andererseits sollten Sie bedenken, dass Sie mitten im Lebenszyklus Ihrer Hardware auf alter Technologie sitzen werden. In 18 Monaten wird reine x86-Hardware kaum mehr erhältlich sein. Wenn Sie bei der x86-Bit-Hardware bleiben, wird das Aufrüsten über die nächsten ein oder zwei Jahre ziemlich kostspielig, da dann alles neu ersetzt werden muss. Wenn Sie sich aber jetzt für 64-Bit-Hardware entscheiden, stehen Ihnen über die nächsten Jahre erheblich mehr Optionen offen.
Ein Wechsel zu 64-Bit empfiehlt sich also zu folgenden Zeitpunkten: beim Erwerb neuer Hardware, am Anfang des Produktzyklus einer zentralen Anwendung oder bei der Aktualisierung von SQL Server 2000 auf SQL Server 2005.

F: Ich habe den Protokollversand zwischen zwei Servern aktiviert. Am Wochenende wurde der Protokollversand aufgrund eines Hardwareproblems auf dem primären Server abgebrochen. Als ich den Protokollversand am Wochenanfang überprüfte, stellte ich fest, dass LS_backup_dbname trotz mehrerer Stunden Ausfallzeit ordnungsgemäß ausgeführt wurde.
Auf dem sekundären Server scheint der Speicherauftrag zwar gut zu funktionieren, doch beim Wiederherstellungsauftrag werden anscheinend Dateien übersprungen, und es kommt wiederholt zu einem Failover. Der Wiederherstellungsauftrag wird zwar ausgeführt, doch er überspringt jede Datei, und schlägt dann fehl. Die Zeit seit der letzten Wiederherstellung beträgt daher mittlerweile 849 Minuten. In solchen Situationen bin ich bisher immer so vorgegangen, dass ich die Versandkonfiguration einfach wieder initiiert habe. Das heißt, ich schalte sie aus und wieder ein, sodass ich eine neue Sicherung erstelle und sie auf dem sekundären Server wiederherstelle, wodurch der Protokollversand erneut gestartet wird. Gibt es eine bessere Möglichkeit zur Verwaltung dieses Szenarios?
A: Vermutlich wird das Problem durch fehlende Sicherungsdateien verursacht. Wie Sie wissen, werden die Sicherungs-, Speicher- und Wiederherstellungsaufträge beim Protokollversand unabhängig ausgeführt. Alte Sicherungsdateien am Speicherort werden entsprechend dem von Ihnen festgelegten Zeitplan entfernt. Wenn der der Wiederherstellungsauftrag während einer bestimmten Zeitspanne nicht ausgeführt wurde, wurde der Zeitplan vielleicht überschritten, was zu fehlenden Sicherungsdateien führt. Der Wiederherstellungsauftrag des Protokollversands verfügt über eine Logik, über die verschiedene Arten von Fehlern, die von verschiedenen betrieblichen Bedingungen verursacht werden, behoben werden sollen. Im Grunde werden die Dateien beim Auftreten von Fehlern gescannt, um die richtigen Sicherungsdateien zu finden. Wenn die entsprechenden Sicherungsdateien nicht gefunden werden, wurden diese möglicherweise entfernt, bzw. Sie haben vielleicht den Sicherungsteil des Protokollversands neu konfiguriert.
Eine Lösung wäre das manuelle Wiederherstellen über die Transaktionsprotokollsicherungsdateien, die versehentlich vom anderen Sicherungsauftrag erstellt wurden. Bei einem einfachen Kopieren der Dateien zum Protokollversandspeicherort tritt ein Problem mit den Namenskonventionen auf, die vom Protokollversand erkannt werden. Nach einer manuellen Wiederherstellung müsste der reguläre Wiederherstellungsauftrag jedoch wieder normal ausgeführt werden.

F: Wie kann ich T-SQL einsetzen, um die Größe des gesamten freien physischen Speichers zu ermitteln? Gibt es eine einfache Möglichkeit, diese Informationen abzurufen?
A: Führen Sie einfach die Abfrage in Abbildung 2 aus, und Sie erhalten die gewünschten Daten.
Figure 2 Speicher ermitteln (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

F: Ich möchte das SA-Kennwort (Systemadministrator) in einer Datei mit einer symmetrischen Verschlüsselung speichern, um die Datenbankerstellung von einer Anwendung zu erleichtern. Gibt es dafür eine Möglichkeit?
A: Zunächst einmal muss angemerkt werden, dass SA niemals von einer Anwendung aus verwendet werden sollte. Außerdem sollte die Windows-Authentifizierung anstatt der SQL Server-Authentifizierung eingesetzt werden.
Wenn Sie Aktivitäten durchführen müssen, für die umfangreiche Rechte erforderlich sind, sollten Sie folgendermaßen vorgehen: Definieren Sie die minimalen Berechtigungen für das Durchführen der Aktion. Definieren Sie eine Datenbankrolle, die die Berechtigungen enthält. Weisen Sie dieser Rolle einen Benutzer zu. Erstellen Sie ein gespeichertes Verfahren mit der EXECUTE AS-Klausel, von der die Funktionen durchgeführt werden. Erläuterungen zur EXECUTE AS-Klausel finden Sie unter msdn2.microsoft.com/ms188354.aspx.
Ungeachtet dessen, ob es sich beim betreffenden Konto um das SA-Konto handelt, aber unter Berücksichtigung der Tatsache, dass die Windows-Authentifizierung nicht immer eine Alternative ist, stellt sich allerdings die folgende grundlegendere Frage: Wie lässt sich ein Kennwort für ein SQL Server-Anmeldekonto sicher und so speichern, dass die Anwendung, die das Kennwort verwenden muss, darauf zugreifen kann, dass nicht autorisierte Benutzer oder Anwendungen dies jedoch nicht können?
Das Kennwort zu verschlüsseln, stellt einen Schritt in die richtige Richtung dar, aber es verschiebt das Problem nur vom Schutz des Kennworts zum Schutz des Verschlüsselungsschlüssels.
& Die Enterprise Library enthält mehrere nützliche Anwendungsblöcke. Dazu gehören ein Konfigurationsblock, ein Verschlüsselungsblock und ein Datenzugriffsblock. Diese können Ihnen zumindest dabei helfen, Passwörter sicher zu speichern. Darüber hinaus lässt sich mit ihrer Hilfe der Datenzugriff insgesamt besser verwalten.
Wenn die Enterprise Library keine Option ist (weil Sie .NET Framework möglicherweise nicht verwenden), sollten Sie sich mit der CryptoAPI vertraut machen: msdn2.microsoft.com/aa380255.aspx. Hier finden Sie eine zentrale kryptografische (mit dem Betriebssystem mitgelieferte) Funktionalität, über die kryptografische Schlüssel mit einem Benutzerprinzipal oder einem Computer verknüpft werden können. Hierdurch lässt sich die Schlüsselverwaltung (die nach der Verschlüsselung des Kennworts ein Problem darstellt) vereinfachen.

F: Ich möchte meinen SQL Server 2000 mit zwei Knoten (Active/Active, auf 64-Bit-Hardware) innerhalb derselben Gesamtstruktur von Domäne A zu Domäne B verschieben. Die SQL Server-Datenbank ist im SAN-Netzwerk gespeichert. Laut Active Directory®-Architektur ist eine leere Stammdomäne mit zwei Unterdomänen (Domäne A und B) erforderlich. Domäne B ist die Domäne, in die alle Infrastrukturkomponenten gestellt werden. Es handelt sich um eine Windows Server® 2003 Enterprise-Umgebung mit zusätzlichen Domänencontrollern unter Windows 2000.
Ist es möglich, die Domänenmitgliedschaft des SQL-Serverclusterservers von Domäne A zu Domäne B zu ändern?
A: Hier empfiehlt sich zunächst die Lektüre der Artikel Ändern von Domänen für einen SQL Server 2000-Failovercluster und Verschieben eines Windows-Clusterservers von einer Domäne zu einer anderen. Der gleiche Prozess gilt für einen Cluster mit mehreren Instanzen. Der einzige Unterschied ist, dass Sie die Schritte für jede Instanz entsprechend wiederholen müssen. Angesichts der damit verbundenen Schwierigkeiten wird niemals „empfohlen“, die Domäne eines Clusters zu ändern. Dieser Vorgang wird jedoch in vielen Fällen durchgeführt. Die einzige andere Möglichkeit besteht darin, auf die von Ihnen beschriebene Weise vorzugehen, also eine neue Instanz parallel aufzubauen und die Daten zu migrieren.
Jedes Projekt ist verschieden, und es gibt eine Reihe unterschiedlicher Tools, um die eigentliche Änderung der Domänenebene (einschließlich Sicherheitsüberlegungen, Kontenmigration, SID-Zuordnungen usw.) durchzuführen. Dies ist häufig schwieriger als die eigentliche Änderung

Unser Dank gilt den folgenden Microsoft-IT-Experten für ihre fachliche Unterstützung: Sunil Agarwal, Laurent Banon, Steve Bloom, Chad Boyd, Matt Burr, Shaun Cox, Cindy Gross, Bobby Gulati, Matt Hollingsworth, Arnost Kobylka, Mikhail Shir, Fernando Pessoa Sousa, Stephen Strong und Ramu Veeraraghavan.


 Schwerpunkt Dienstprogramme: Aktualisierungstoolkit f&#252;r SharePoint-Websites und -Vorlagen
Schwerpunkt Dienstprogramme
Aktualisierungstoolkit für SharePoint-Websites und -Vorlagen
Luis Câmara Manoel and Peter Skjøtt Larsen
Laden Sie den Code für diesen Artikel herunter: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

Seit der Veröffentlichung von Windows SharePoint Services (WSS) 3.0 sehen sich viele Administratoren der Aufgabe gegenüber, ihre bereits vorhandenen Websites und Daten für WSS 2.0 auf die neuen WSS 3.0-Umgebungen zu aktualisieren. Obwohl WSS 3.0 umfangreiche Tools bereitstellt, mit denen die Websitedaten angemessen migriert und die
Websitestruktur aktualisiert werden kann, fallen beim Aktualisieren von benutzerdefinierten Websites oder Websitevorlagen möglicherweise zusätzliche Arbeiten an.
Außerdem sind möglicherweise zusätzliche Arbeiten notwendig, um die Struktur benutzerdefinierter Websites oder Websitevorlagen zu aktualisieren. Glücklicherweise hat das Microsoft® Solution Accelerator Team das Aktualisierungstoolkit für Websites und Vorlagen von Windows® SharePoint® Services veröffentlicht, in dem Anleitungen und Tools für diese Verfahren enthalten sind (siehe Randleiste „WSS-Ressourcen“). In dieser Rubrik werden Herausforderungen und Lösungen im Zusammenhang mit der Aktualisierung von benutzerdefinierten Websites auf eine WSS 3.0-Umgebung erörtert. Informieren Sie sich zunächst in der Randleiste „WSS-Terminologie“ über einige Definitionen und allgemeine Begriffe.

Der Aktualisierungsprozess
Weshalb sollten Sie eine Aktualisierung vornehmen? In WSS 3.0 gibt es eine Reihe neuer Features, die eine Aktualisierung für die Betreiber der Website unumgänglich machen:
  • Ein Papierkorb, mit dem versehentlich gelöschte Dokumente wieder hergestellt werden können.
  • Sicherheitsmechanismen auf Ordnerebene, mit deren Hilfe Websiteadministratoren steuern können, welche Personen bzw. Gruppen Zugriff auf Ordner haben.
  • Versenden von E-Mails an Listen, wodurch beispielsweise Blogbeitragslisten einer SharePoint-Website Inhalte via E-Mail empfangen können.
  • Eine Schaltfläche „Websiteaktionen“, mit der Benutzer auf einfache Weise Websites und Webseiten erstellen, Seiten bearbeiten und Websiteeinstellungen verwalten können.
  • Als Breadcrumbs bezeichnete Steuerelemente, die sofort Navigationskontext für den Benutzer bereitstellen.
  • Mobile Ansichten, mit denen Benutzer mobiler Geräte eine praktische Offlinesynchronisierung vornehmen können.
  • RSS-Feeds, mit denen RSS-fähige Programme wie Internet Explorer 7.0 und Outlook® 2007 Informationen aus Listen abrufen können.
  • Versionsverwaltung in Dokumentbibliotheken, durch die eine gewisse Versionsverwaltung und Kontrolle für das Auschecken von Dokumenten vor der Bearbeitung möglich ist.
Da der Aktualisierungsprozess für Websites und Vorlagen von bestimmten Schritten vor und nach der Aktualisierung des eigentlichen Servers auf WSS 3.0 abhängt (siehe Abbildung 1), stellt das Festlegen der Anforderungen für die Aktualisierung von Websites und Vorlagen einen wichtigen Schritt in der Gesamtstrategie für die Aktualisierung auf WSS 3.0 dar. Websitebesitzer und Servermanager sollten gemeinsam festlegen, welche Websites und Vorlagen in eine WSS 3.0 instanziiert und aktualisiert werden sollten. Nach der Auswahl dieser benutzerdefinierten Websites kann mit der Aktualisierung begonnen werden.
Abbildung 1 Workflow für die Aktualisierung von Websites und Vorlagen von WSS
Abbildung 1 Workflow für die Aktualisierung von Websites und Vorlagen von WSS

Erkennen benutzerdefinierter Websitevorlagen
Wie lässt sich ermitteln, ob die Websites angepasst wurden? WSS 3.0 stellt ein Tool zum Ausführen eines Scans vor der Aktualisierung zur Verfügung, das für die gesamte Farm einen Bericht über die an Websitevorlagen vorgenommenen Änderungen erzeugt. Sie sollten dieses Tool vor Beginn der Migration ausführen, um festzustellen, welche Websitevorlagen besondere Aufmerksamkeit erfordern.
Das Tool liefert einen Bericht im XML-Format (siehe Abbildung 2). Das Element „unghostedPage“ zeigt an, dass eine Website angepasst wurde.
Figure 2 Bericht des Tools zum Ausführen eines Scans vor der Aktualisierung über die an Websitevorlagen vorgenommenen Änderungen (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Benutzerspezifische Websitedefinitionen
Es ist anzunehmen, dass die meisten angepassten WSS 2.0-Websites, die zu aktualisieren sind, aus Vorlagen auf der Basis von Standardwebsitedefinitionen von WSS erstellt wurden. Es ist jedoch möglich, dass einige der angepassten Websitevorlagen anhand benutzerspezifischer Websitedefinitionen erstellt wurden. Dies kann der Fall sein, wenn Entwickler in Ihrer Organisation benutzerspezifische Websitedefinitionen erstellt haben, oder wenn Sie Anwendungen von Drittanbietern oder auf benutzerspezifischen Websitedefinitionen basierende Vorlagen erworben haben. In dieser Rubrik wird lediglich das Szenario für Standardwebsitedefinitionen behandelt. Weitere Informationen zum Szenario für benutzerdefinierte Websitevorlagen finden Sie in der Randleiste „WSS-Ressourcen“.
Wenn Sie sich davon überzeugt haben, dass die STP-Dateien und Websites tatsächlich auf der Basis von Standardwebsitedefinitionen erstellt wurden, d. h. dass in WSS 3.0 aktualisierte Websitedefinitionen vorhanden sind, können Sie mit dem Installieren und Instanziieren der Websites fortfahren.
Um bestimmte Websitevorlagen von WSS 2.0 zu aktualisieren, müssen Sie die Vorlagen zunächst auf einem WSS 2.0-Server installieren (siehe Phase 1 in Abbildung 1). Anschließend nehmen Sie auf Grundlage der einzelnen installierten Vorlagen die Websiteerstellung vor.
Der Solution Accelerator stellt einen Satz an Skripts bereit, in denen Stsadm.exe-Befehle wirksam eingesetzt werden. Dies sorgt dafür dass der Installationsprozess mehrerer STP-Dateien, das Instanziieren mehrerer Websites und das Bereinigen des Servers von temporären Dateien nach Abschluss des Aktualisierungsprozesses optimiert werden (Einzelheiten finden Sie in der Randleiste „Lösungsskripts“). Stsadm.exe ist eine Befehlszeilenanwendung, die einen vollständigen Satz an WSS-Vorgängen zum Verwalten von SharePoint-Servern und SharePoint-Websites bereitstellt. Mithilfe der Lösungsskripts können Sie diesen Prozess automatisieren, indem Sie Installation und Instanziierung als Batch ausführen oder diese Aufgaben nacheinander vornehmen. Die Zeitersparnis kann beträchtlich sein, besonders, wenn eine Vielzahl an STP-Dateien zu installieren und viele Websites zu instanziieren sind.
Lösungsskripts
Im Prozess für die Installation und das Anlegen der Website werden zwei Skripts verwendet, die Stsadm.exe ausführen:
  • MigInstStp.cmd installiert mithilfe der addtemplate-Operation von Stsadm.exe die Websitevorlagen. Diese Operation hat die Parameter _SOURCEFILELOCATION, _SOURCEFILENAME und _FILETITLE.
  • MigMakeSite_1.cmd erstellt die neuen Websites. MigMakeSite_1.cmd führt die createweb-Operation von Stsadm.exe aus. Diese Operation hat die Parameter _SERVERURL, _SITENAME, _SITETEMPLATENAME und _SITETITLE.
Führen Sie diese Skripts auf dem lokalen WSS 2.0-Server mit Zugriff auf den Speicherort der Websitevorlagendateien (.stp) aus. Um diese Skripts ausführen zu können, müssen Sie Mitglied der lokalen Administratorengruppe auf dem Server oder Mitglied der WSS-Administratorengruppe mit Berechtigungen für das Anlegen von Websites sein. Im Handbuch zum Aktualisierungstoolkit für Websites und Vorlagen von Windows SharePoint Services finden Sie eine ausführliche Anleitung, wie Sie diese Skripts optimal nutzen können. Wenn die STP-Dateien installiert und die Websites instanziiert wurden, können Sie mit der Aktualisierung des Servers fortfahren. Eine detaillierte Beschreibung der Ansätze für eine Aktualisierung auf WSS 3.0 finden Sie unter „Aktualisieren auf Windows SharePoint Services 3.0“ (siehe Link in der Randleiste „WSS-Ressourcen“).

WSS-Terminologie
Windows SharePoint Services nutzt seine eigene, spezifische Terminologie. Hier ist ein kurzes Glossar gebräuchlicher Begriffe.
Websitedefinition Hierbei handelt es sich um einen Satz an Dateien, durch die eine bestimmte Art von Websites definiert wird. Zu einer Websitedefinition gehören die Dateien XML, ASPX, ASCX und Masterseite sowie Listenvorlagen- und Inhaltsdateien, die in einem speziellen Ordner auf dem Front-End-Webserver gespeichert sind. WSS verfügt über einen Satz gebrauchsfertiger Standardwebsitedefinitionen, z. B. „Team Site“, „Blank Site“ und „Document Workspace“. Zu Anfang sind dies die einzigen Websitevorlagen, die im Websitevorlagenkatalog gespeichert sind und unter „Neue SharePoint-Website“ in der Liste zur Vorlagenauswahl zur Verfügung stehen.
In Websitevorlagen der Art Websitevorlage ist festgelegt, wie eine SharePoint-Website zu instanziieren ist. Um eine neue SharePoint-Website zu erstellen, müssen Sie eine Websitevorlage auswählen, auf der die Website basieren soll. So können Sie z. B. eine neue Website mit dem Namen „Vorstand“ erstellen, die auf der standardmäßigen „Blank Site“-Vorlage basiert. Anschließend können Sie Listen, Bibliotheken, Webparts und andere Anpassungen zur instanziierten Website hinzufügen. Um anderen diese Anpassungen verfügbar zu machen, speichern Sie diese Website anschließend als Vorlage mit dem Namen „Vorstand“. Die Website basiert auf der Websitedefinition „Blank Site“. WSS speichert die angepasste Websitevorlage als STP-Datei (Websitevorlage), platziert sie in den Websitevorlagenkatalog und zeigt sie auf der Seite „Neue SharePoint-Website“ in der Liste „Vorlage auswählen“ an, damit Benutzer später auf der Basis dieser Website neue Websites erstellen können. Websitevorlagen enthalten eine Reihe von Websitekonfigurationsdateien wie XML, ASPX, Bilder und andere, die anschließend in eine einzige STP-Datei komprimiert werden. (STP-Dateien funktionieren ähnlich wie CAB-Dateien.) Die wichtigste dieser Dateien ist Manifest.xml. Sie enthält wichtige Informationen wie Websitestruktur, Websitenavigation, Listen und Bibliotheken, Standort von Webparts, Definitionen benutzerdefinierter Listen sowie die Websitedefinition, auf der die angepasste Websitevorlage basiert.
Anwendungsvorlage. Hierbei handelt es sich um Websitevorlagen von Windows SharePoint Services, die zur Abwicklung bestimmter Geschäftsprozesse oder Aufgaben entwickelt wurden. Diese Vorlagen werden von Microsoft veröffentlicht und stehen für WSS-Kunden kostenlos als Download zur Verfügung.
Angepasste Website. Hierbei handelt es sich um eine SharePoint-Website mit einer geänderten Benutzeroberfläche.
Masterseite Die Masterseite ist ein Bereich, in dem Informationen zum Standardlayout, z. B. Banner, Navigationsteuerelemente und andere Menüs gespeichert werden können, um über die gesamte Website hinweg eine konsistente Oberfläche zu erzielen.
Duplizierte Seiten. Dies sind Seiten, deren Inhalt nicht in der WSS-Inhaltsdatenbank gespeichert ist, sondern aus einer Websitedefinitionsdatei gelesen wird. Duplizierte Seiten wurden nicht angepasst.
Nicht duplizierte Seiten. Hierbei handelt es sich um Seiten, die durch die Websitedefinitionsdatei geändert wurden und deren Inhalt in der WSS-Inhaltsdatenbank gespeichert ist.

Websiteüberprüfung nach der Serveraktualisierung
Nun sind Sie bei Phase 2 im Aktualisierungsworkflow angelangt (siehe nochmals Abbildung 1). In dieser Phase der Aktualisierung von Website und Vorlagen sind folgende Schritte auszuführen:
  1. Öffnen und Überprüfen der aktualisierten Websites.
  2. Anwenden der Standardmasterseite.
  3. Beheben von Problemen mit Features und Layout der neuen Websites.
  4. Speichern der korrigierten Websites als neue Websitevorlagen von WSS 3.0.
  5. Erneute Bereitstellung der neuen WSS 3.0-Websitevorlagen auf dem Server.
  6. Erstellen von Websites anhand der erneut bereitgestellten Websitevorlagen.
  7. Öffnen der neuen Websites und Überprüfung, ob sich die Websites wie erwartet verhalten.
  8. Initiieren des Bereinigungsprozesses.

Zurücksetzen auf die Websitedefinition
Wenn Sie die aktualisierte Website erstmalig öffnen, werden Sie feststellen, dass sie immer noch wie eine WSS 2.0-Website aussieht. Um der Website das Erscheinungsbild einer WSS 3.0-Website zu geben, müssen Sie zunächst auf die Websitedefinition in der neuen WSS 3.0-Website zurücksetzen. Dadurch werden nahezu alle Layoutprobleme behoben, und es gehen keinerlei Anpassungen von Webparts verloren, vorausgesetzt, dass sich diese Webparts bereits in einer auf der Websitedefinitionsseite vorhandenen Webpartzone befinden. Durch diese Aktion wird außerdem die Standardmasterseite für alle Seiten der Website übernommen.
Eine Masterseite ist, wie der Name schon sagt, ein Bereich, in dem Informationen zum Standardlayout, z. B. Banner, Navigationsteuerelemente und andere Menüs gespeichert werden können, um für ein konsistentes Erscheinungsbild zu sorgen. Auf diese Weise können Sie Änderungen am Entwurf an der Masterseite vornehmen und diese Änderungen für die gesamte Website übernehmen. Durch das Anwenden von Masterseiten wird die gesamte systemeigene Funktionalität von WSS 3.0 für die aktualisierten Websites aktiviert.
Obwohl die Website jetzt wie eine native WSS 3.0 aussehen und funktionieren sollte, finden sich wahrscheinlich noch einige Problembereiche, z. B. Diskussionsrunden, angepasste Webparts, Hyperlinks und Themen.

Beheben von Problemen
In aktualisierten und angepassten Websitevorlagen kann eine Reihe von Problemen auftreten. Hier sind einige der häufigsten Probleme und ein paar einfache Ideen zur Behebung dieser Probleme aufgeführt.
Auf eine Website wird immer noch das Standardstylesheet von WSS 2.0 angewendet. Entfernen Sie im SharePoint Designer das alte Stylesheet.
Webparts fehlen oder befinden sich am falschen Ort. Verschieben Sie mithilfe von SharePoint Designer Webparts, bzw. fügen Sie Webparts ein.
Webparts funktionieren nicht korrekt. Entfernen Sie Webparts, die nicht mit WSS 3.0 kompatibel sind, und kontaktieren Sie den Webpart-Entwickler, um in Erfahrung zu bringen, ob entsprechende Webparts für WSS 3.0-Umgebungen erstellt wurden.
Angepasste Listen und Bibliotheken erscheinen nicht korrekt. Speichern Sie die vorhandenen Daten. Erstellen Sie anschließend die angepasste Liste bzw. Bibliothek neu, und importieren Sie die gespeicherten Daten.
Aktivierte Features von WSS 3.0 sind nicht verfügbar. Funktionen für die Teamzusammenarbeit müssen möglicherweise unter Websitefeatures aktiviert werden.
Hyperlinks funktionieren nicht mehr. Hartcodierte Hyperlinks müssen möglicherweise manuell aktualisiert werden.
Das Thema wurde geändert. Übernehmen Sie das entsprechende WSS-Thema.

Fast fertig
Der Prozess ist nun fast abgeschlossen, und alle Probleme sind behoben. Es ist an der Zeit, eine letzte Websiteüberprüfung vorzunehmen. Sie sollten die korrigierten Websites als WSS 3.0-Websitevorlagen speichern, eine Neuinstallation der STP-Datei und eine Instanziierung der Website vornehmen (Sie können auch hierbei die praktischen Skripts nutzen) und schließlich die Website öffnen und überprüfen, ob alle Probleme behoben wurden und die aktualisierten Websites und STP-Dateien für eine Weiterverteilung in der Arbeitsumgebung bereit sind.

Alternativen zu einer Aktualisierung
Das Aktualisieren von Vorlagen mithilfe der hier erläuterten automatischen Tools und Prozesse ist möglicherweise nicht in jedem Fall die günstigste Vorgehensweise. Wenn Sie sehr spezielle Vorlagen von Drittanbietern verwenden, ist es u. U. äußerst schwierig oder gar unmöglich, die Vorlagen selbst zu aktualisieren, und es ist oft besser, auf eine neue Version der Vorlage zu warten. In anderen Fällen ist das Erstellen einer brandneuen Vorlage in WSS 3.0 und ein anschließendes Implementieren der Features der früheren Vorlage die bessere Entscheidung.

Anwendungsvorlagen
Es gibt einen Satz von Microsoft entwickelter Anwendungsvorlagen, die für WSS 2.0 und für WSS 3.0 verfügbar sind. Der neue Satz für WSS 3.0 umfasst aktualisierte Versionen einiger Anwendungsvorlagen aus WSS 2.0. Wenn Sie eine dieser Vorlagen verwendet haben, können Sie die aktualisierte Version für WSS 3.0 in Ihre WSS 3.0-Umgebung hochladen.
Falls Sie eine der Anwendungsvorlagen von WSS 2.0 verwendet haben, für die keine aktualisierte Version für WSS 3.0 zur Verfügung steht, stellt Ihnen der Solution Accelerator einen Satz von Anwendungsvorlagen aus WSS 2.0 bereit, die für die Verwendung in einer WSS 3.0-Umgebung aktualisiert wurden.

Zusammenfassung
Das Aktualisierungstoolkit für Websites und Vorlagen von Windows SharePoint Services ist für das Weiterverwenden von Vorlagen, Websites und Anpassungen aus der Version 2.0 in einer 3.0-Umgebung äußerst nützlich. Weitere Information zu diesem Thema und das Toolkit selbst finden Sie auf den in der Randleiste „WSS-Ressourcen“ angegebenen Websites.
Wir möchten Betty Houser für ihre wertvollen Beiträge zu dieser Rubrik und zum Solution Accelerator danken.
WSS-Ressourcen
  • Tool zum Ausführen eines Scans vor der Aktualisierung
  • Aktualisierungstoolkit für Windows SharePoint Services-Websites und -Vorlagen
  • Aktualisieren auf Windows SharePoint Services Version 3.0 (Windows SharePoint Services 3.0 – Technische Bibliothek)
  • Bereitstellen von Aktualisierungsdefinitionsdateien und neuen Websitedefinitionen

Luis Câmara Manoel ist Programmmanager in der Microsoft Solution Accelerator Group. Er arbeitet seit einem Jahr bei Microsoft. Davor war er als Projektleiter und Programmmanager bei Novell Inc. und bei Volera in Provo, Utah, tätig. Sie können ihn unter luiscam@microsoft.com erreichen.
Peter Skjøtt Larsen ist Produktmanager in der Microsoft Solution Accelerator-Gruppe. Er arbeitet seit mehr als fünf Jahren in Entwicklung und Marketing. Davor entwickelte er Client- und Serversoftware für die Branchen Finanzwesen, Ingenieurwesen und Telekommunikation. Sie können ihn unter petela@microsoft.com erreichen.


 F&#252;hrung eines IT-Unternehmens: Erstellen eines Gesch&#228;ftsplans
Führung eines IT-Unternehmens
Erstellen eines Geschäftsplans
Stephen Ibaraki

Dies ist für viele Leser wahrscheinlich nichts Neues, aber Sie können heutzutage keine IT-Anschaffung oder -Investition tätigen, ohne sie zu rechtfertigen. Anschaffungen nur zu dem Zweck, stets das Allerneueste aus dem Computerbereich zu besitzen, ist längst kein Thema mehr. Technologie um jeden Preis, ohne Ziel und Plan, galt früher einmal als Weg zu Marktbeherrschung
und Wachstum. Dieses Konzept endete mit dem Dotcom-Zusammenbruch und führte dazu, dass die IT-Branche unter erheblichen Druck gestellt wurde. Heute müssen IT-Projekte dem Geschäft einen wirklichen wirtschaftlichen Nutzen erbringen.
Wie lässt sich bei engeren Budgets eine IT-Investition rechtfertigen? Die Antwort liegt in der Erstellung eines Geschäftsmodells, in das eine umfassende, einheitliche Technologielösung integriert ist. Wie würde ein solches Modell aussehen? Was sind die wesentlichen Bestandteile des Modells? Wie verwenden Sie ein Geschäftsplanmodell zur Rechtfertigung eines IT-Projekts? Worauf müssen Sie bei der Integration der richtigen Technologielösungen in das Geschäftsmodell achten? Nachfolgend finden Sie einige Aspekte, die bei der Erstellung Ihres Geschäftsmodells zu berücksichtigen sind.

Unternehmensaufbau
Erfolgreiche Unternehmen oder Organisationen müssen einen quantifizierbaren wirtschaftlichen Nutzen für die daran Beteiligten erzeugen, d. h. für Mitarbeiter, Kunden, Partner, Lieferanten und Eigentümer. Dieser Nutzen muss eindeutig definiert sein und im Hinblick auf fortlaufende Verbesserungen gemessen werden.
In einer zunehmend vernetzten Welt muss ein Unternehmen effiziente Zusammenarbeit mit internen und externen Netzwerken ermöglichen und so die Echtzeitinteraktion zwischen Partnern optimieren. Wer wartet schon gern auf eine Dienstleistung, die Antwort auf eine Anfrage oder eine Produktlieferung? Wer wünscht sich schon ein verspätetes Projekt oder gar einen Stillstand aufgrund eines Kommunikationszusammenbruchs? Seit es das Internet gibt und die Globalisierung immer schneller voranschreitet, kann sich der Wettbewerb gleich in der Nachbarschaft oder auf einem anderen Kontinent abspielen. Daher muss sich ein Unternehmen in dieser Wettbewerbsumgebung durch besondere Merkmale hervorheben. Wie kann sich ein Unternehmen von der Vielzahl der anderen abheben?
Darüber hinaus muss ein Unternehmen flexibel sein: Es muss die interne und externe Umgebung ständig im Auge behalten und in der Lage sein, schnell aus einer Reihe von Möglichkeiten eine Geschäftsinitiative auszuwählen und dann zu implementieren. Auf diese Weise profitiert das Unternehmen von seinen Stärken und korrigiert seine Schwächen, um neue Chancen zu nutzen. Diese Chancen ermöglichen Wachstum dank neuer Märkte, neuer Kunden, neuer Produkte und neuer Dienste. Ein Unternehmen muss außerdem Gefahren bewerten und deren Risiken begrenzen, darunter Bedrohungen durch Wettbewerber. Gleichzeitig müssen Produktivität und Effizienz nachhaltig verbessert und Betriebskosten und -risiken in einem akzeptablen Rahmen gehalten werden.
Eine Technologieinvestition muss diese Flexibilität fördern, die eine schnellere Markteinführung, sofortige Reaktion auf Kundenanforderungen, Vorwegnahme von Wettbewerbsgefahren, höhere Produktivität, verbesserte Effizienz und niedrigere Betriebskosten und -risiken mit sich bringt.
Bis jetzt habe ich die hinter dem Geschäftserfolg stehenden Antriebskräfte erörtert und dargelegt, wie IT diese Kräfte unterstützen und sich an ihnen ausrichten muss. Denn wenn dies nicht geschieht, wird IT zu einem Kostenaufwand, der sich nicht rechtfertigten lässt! Durch Erstellen eines Geschäftsplans erhalten Sie ein Geschäftsmodell, das Ihrem Geschäft Erfolg sichert. Dies drückt sich im Erfolg der IT aus.

Erstellen eines Geschäftsplans
Es ist wichtig, IT-Investition mit erhöhtem wirtschaftlichem Nutzen zu verknüpfen, d. h. mit Unterscheidungsmerkmalen, Kostenreduzierung, Marktfokussierung, Zusammenarbeit und Innovation. Die Erstellung eines Geschäftsplans erfüllt diese Anforderung.
Die grundlegenden Elemente eines IT-Geschäftsplans sind in Abbildung 1 skizziert. Was ist das Ziel Ihres Plans? Zielsetzung und Konzept beschreiben, was das Unternehmen heute tut und in welche Richtung es sich in Zukunft entwickeln will. Erklären Sie auf jeden Fall eindeutig, wie Ihr IT-Projekt dieses Gesamtziel unterstützt. Sie müssen die Verbindungen zwischen der IT-Investition und den Geschäftszielen darlegen, insbesondere, wie die IT-Ziele die strategische Richtung des Geschäfts unterstützen: Sie müssen an ihr ausgerichtet sein.
Figure 1 Geschäftsplanelemente (Close Figure 1)

Element | Beschreibung
Zweck | Skizziert Verknüpfungen zwischen der Investition und den Geschäftszielen.
Vision | Das Geschäftsergebnis und wie IT dieses Ziel unterstützt.
Zielsetzung | Das aktuelle Geschäft und wie IT die Zielsetzung des Geschäfts verbessert.
Geschäftsmöglichkeiten | Der zu erobernde Markt und der wirtschaftliche Nutzen für das Unternehmen.
Geschäftsmodell | Die Produkte oder Dienste, die IT anbietet, um Geschäftsmöglichkeiten wahrzunehmen.
Zielmärkte | Die zu bedienenden Kunden (oder potenziellen Kunden).
Integration in die IT | Abstimmung von Produkten und Dienstleistungen mit technischen Ressourcen.
Konkurrenzanalyse | Die Liste der Mitbewerber mit ihren Stärken und Schwächen.
SWOT-Analyse | Stärken, Schwächen, Chancen, Gefahren.
Ressourcenanalyse | Die vorhandene Infrastruktur und die voraussichtlich erforderlichen Ressourcen.
Metriken für den IT-Erfolg | Messbare Aspekte des Plans.
Finanzplanung | Der Zeitrahmen für die Kapitalrendite.
Anhand einer Beschreibung der Geschäftsmöglichkeiten wird erläutert, wie IT neue Geschäftsmöglichkeiten eröffnet oder unterstützt und welcher wirtschaftliche Nutzen daraus erwächst. Was ist das konkrete Geschäftsmodell? Welche Produkte und Dienstleistungen bietet das Unternehmen als Gegenleistung für den Ertrag an? Wie groß ist der potenzielle Markt und welcher Marktanteil kann durch IT-Verbesserungen erobert werden? Auf welche Weise trägt IT zum Wachstum des Geschäftsmodells bei? Sie müssen erläutern, wie eine IT-Investition Workflow und Geschäftsprozesse innerhalb des angegebenen Geschäftsmodells verbessern kann, d. h. wie es den Betrieb verbessert, Kosten senkt, die Effizienz steigert sowie Zusammenarbeit, intensive Kommunikation, Zeitplanung und Nachrichtenübermittlung ermöglicht. Alle diese Punkte können zu Kostensenkungen oder höherer Produktivität führen. Vergessen Sie nicht, Neuerungen im Geschäftsbetrieb hervorzuheben, die durch IT zu erreichen sind.
Darüber hinaus müssen Sie die Zielmärkte erwähnen. Erläutern Sie, wie Ihre IT-Pläne dem Unternehmen ermöglichen, stärker in vorhandene Zielmärkte oder neue Märkte vorzudringen. Behandeln Sie die Frage, welche Lieferungssysteme für Produkte und Dienstleistungen verwendet werden und wie dank IT auf diesen Märkten Dienste und Lieferung verbessert werden können.
Dies muss direkt in eine Untersuchung überleiten, wie IT in die Produkte oder Dienstleistungen ihres Unternehmens integriert ist. Welche spezifischen Produkte und Dienstleistungen sind in eine integrierte, einheitliche Technologieplattform fest eingebunden? Wie unterstützt IT die Produkte oder Dienstleistungen? Wie passt dies zu den Geschäftszielen? An dieser Stelle sollten Sie darauf hinweisen, wie sich mit IT Dienstverwaltung, Projektlieferung und interne und externe Beziehungen verbessern lassen. IT ermöglicht geschäftliche Änderungen: verbesserte Servicelevelerwartungen und Bereitstellung eines effektiven Überblicks, Priorisierung, Einhaltung gesetzlicher Bestimmungen, Datenschutz und Sicherheit. Alle diese Punkte sollten in Ihrem Geschäftsplan behandelt werden.
Eine Konkurrenzanalyse deckt die Bereiche ab, in denen Ihr Unternehmen im Wettbewerb steht. Mit wem konkurrieren Sie? Was sind Stärken und Schwächen Ihrer Mitbewerber? Zeigen Sie auf, wie Ihre Mitbewerber Technologie anwenden und wie sie ihre Marktposition verbessert haben. Verhilft IT Ihrem Unternehmen zu einem Wettbewerbsvorteil gegenüber der Konkurrenz? Erläutern Sie, wie IT die geschäftliche Flexibilität erhöht, Wachstum ermöglicht, den Zugang zu neuen Märkten beschleunigt, neue Kunden unterstützt, den Dienst an vorhandenen Kunden verbessert und so weiter. Wie verhilft Technologie Ihrem Unternehmen dazu, sich von anderen abzuheben, und einen erhöhten Wettbewerbsvorteil zu erzielen? Wie erhöht IT die Marktzugangsbarrieren für Mitbewerber?
Durch eine SWOT-Analyse werden die mit Ihrem Unternehmen verbundenen Stärken, Schwächen, Chancen und Gefahren formell untersucht. Was sind die externen Chancen und Gefahren für das Unternehmen? Wie fördert IT die internen Stärken des Unternehmens, um neue externe Chancen zu nutzen? Wie überwindet IT interne Schwächen und positioniert das Unternehmen so, dass es neue Chancen wahrnimmt? Wie werden externe Gefahren durch IT-Investitionen verringert oder bekämpft?
Berücksichtigen Sie unbedingt die Ressourcenanforderungen für eine IT-Investition, die sich vor, während und nach der Implementierung ergeben. Hierzu gehören Personal, Hardware und Infrastruktur. Welche vorhandenen Kenntnisse oder Infrastruktur können Sie nutzen, und wie sollte Ihre Budgetplanung aussehen? Wie lange wird es dauern, bis sich die Kosten für Schulung oder neue Ausrüstung amortisieren? Wenn sich über Ihren spezifischen Geschäftsplan hinaus durch neue Investitionen Vorteile ergeben, sollten Sie diese ebenfalls unbedingt erwähnen.
Um festzustellen, ob der Geschäftsplan Ihre Erwartungen erfüllt, müssen Sie vorab die Metriken für den Erfolg darlegen. Welche Aspekte Ihres Plans lassen sich messen? Wie oft werden Sie den Erfolg kontrollieren, und was tun Sie, wenn die Ziele nicht erreicht werden? Welche Sicherungspläne gibt es, wenn unerwartete Schwierigkeiten auftreten?
Kein Geschäftsplan ist vollständig ohne Finanzplanung. Wie hoch sind die Gesamtbetriebskosten, und wie lassen sich diese Kosten durch neue Geschäftschancen rechtfertigen? Wie hoch ist der wirtschaftliche Nutzen dieser Chancen? Wo und wie lässt sich durch den Geschäftserfolg eine Kapitalrendite erzielen? Welcher Zeitrahmen besteht für die Kapitalrendite? Wie verbessert IT die Finanzziele des Geschäfts durch Ertrags- und Rentabilitätssteigerung sowie Kostensenkung?

Weiterer Verlauf
Es gibt keine Garantie, dass Ihre Pläne tatsächlich funktionieren. Doch die Überlegungen und das Ausarbeiten eines Geschäftsplans stärken Ihre Rolle. Sie haben alle potenziellen Probleme durchdacht und haben Ihren Plan entsprechend überarbeitet bzw. Alternativen dargelegt. Außerdem haben Sie eine klare Vorstellung von den damit verbundenen Kosten und Vorteilen einschließlich der Kosten, die beim Verzicht auf die Durchführung entstehen. Schließlich besteht keine Möglichkeit, den Erfolg oder das klägliche Scheitern festzustellen, wenn keine Maßstäbe aufgestellt werden. Diese Metriken sind ideal, um Ihren Vorgesetzten von der Wichtigkeit Ihres Plans zu überzeugen, wenn im Unternehmen die nächste Bonusrunde ansteht.
Für einen fortlaufenden Dialog über das Geschäft der IT empfehle ich „IT Managers Connection“ unter blogs.technet.com/cdnitmanagers. Darüber hinaus gibt es eine Reihe geschäftsplanbezogener Ressourcen auf der Microsoft-Website. Das Small Business Center stellt ein Lernprogramm zum Schreiben von Geschäftsplänen bereit, und zwar unter microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx und Office Onlineoffice .microsoft.com/en-us/templates) hat eine Reihe von Geschäftsplanvorlagen zusätzlich zu denen, die mit Microsoft Office 2007 System bereitgestellt werden.

Stephen Ibaraki hat als Professor für Wirtschaft und Technologie Preise gewonnen und verfügt über 35 Jahre Erfahrung im Bereich Wirtschaft und IT. Er ist derzeitiger Vizepräsident der internationalen Network Professional Association (NPA). Sie erreichen Stephen Ibaraki unter www.StephenIbaraki.com.


 The Cable Guy: EAPHost in Windows
The Cable Guy
EAPHost in Windows
Joseph Davies
Die Informationen in dieser Rubrik über Vorabversionen von Windows Server „Longhorn“ können jederzeit aktualisiert bzw. geändert werden.

Wenn ein Zugriffsclient eine Verbindung zu einem geschützten Netzwerk herstellt, muss sich dieser Client anhand einer ausgehandelten Authentifizierungsmethode von einem Authentifizierungsserver überprüfen lassen. So könnten sich z. B. der Zugriffsclient und der Authentifizierungsserver auf die Verwendung eines bestimmtes Kennwortauthentifizierungsprotokolls, z. B. das Microsoft Challenge Handshake
Authentication-Protokoll, Version 2 (MS-CHAP v2) einigen. Wenn ein Zugriffsclient und ein Authentifizierungsserver jedoch integrierte und hartcodierte Authentifizierungsmethoden nutzen, ist das Hinzufügen neuer Protokolle schwierig.
Das Extensible Authentication-Protokoll (EAP) ist ein Architekturframework, das Erweiterbarkeit für Authentifizierungsmethoden für gebräuchliche Technologien bereitstellt, die Zugriff auf geschützte Netzwerke ermöglichen, z. B. für IEEE 802.1X-basierte Drahtlosnetzwerke und für PPP-Verbindungen (Point-to-Point Protocol) wie DFÜ und VPN. EAP ist keine Authentifizierungsmethode wie MS-CHAP v2, sondern eher ein Framework auf dem Zugriffsclient und dem Authentifizierungsserver, mit dem Netzwerkanbieter neue Authentifizierungsmethoden, als EAP-Methoden bezeichnet, entwickeln und auf einfache Weise installieren können. Weitere Hintergrundinformation zu EAP finden Sie auf der EAP-Webseite von Microsoft unter microsoft.com/eap.
EAP wird in Microsoft® Windows® zwar bereits seit Windows 2000 unterstützt, aber die Architektur von EAP in Windows XP und Windows Server® 2003 verfügt über Einschränkungen bezüglich der Erweiterbarkeit von EAP-Methoden und Supplicants, wobei Supplicants Softwarekomponenten sind, die EAP über einen bestimmten Verbindungsschichttyp nutzen können. Die Architektur von EAPHost in Windows Vista™ und in der nächsten Version von Windows Server mit dem Codenamen „Longhorn“ behebt diese Einschränkungen. Dadurch können Netzwerkanbieter Windows auf einfachere Weise um neue Supplicants und EAP-Methoden erweitern.

Unterstützung von EAP in Windows Server 2003 und Windows XP
Windows Server 2003 und Windows XP nutzen EAP für drahtlose und verkabelte Verbindungen, die sich mit 802.1X authentifizieren, und für PPP-basierte Verbindungen wie DFÜ- oder VPN-basierte RAS- oder Standort-zu-Standort-Verbindungen. Insbesondere enthalten diese Betriebssysteme eine Implementierung von EAP, die mit RFC 2284 kompatibel ist und IEEE 802.1X- und PPP-Supplicants beinhaltet. Abbildung 1 zeigt die EAP- und Supplicantarchitektur für Windows XP und Windows Server 2003. Es sollte jedoch angemerkt werden, dass die Implementierung von EAP in Windows XP Service Pack 2 (SP2) und Windows Server 2003 SP1 den Standard RFC 3748 (der aktuelle Internetstandard für EAP) und auch andere EAP-RFCs nicht unterstützt.
Abbildung 1 EAP- und Supplicantarchitektur für Windows XP und Windows Server 2003
Abbildung 1 EAP- und Supplicantarchitektur für Windows XP und Windows Server 2003
Eine EAP-API stellt die Mittel für die Erweiterung der Authentifizierung in Windows XP und Windows Server 2003 bereit. Drittanbieter können zwar neue EAP-Methoden entwickeln und installieren, die integrierten PPP- und 802.1X-Supplicants können jedoch nicht alle installierten EAP-Methoden verwenden. So könnte z. B. ein Anbieter eine neue EAP-Authentifizierungsmethode mittels Fingerabdruckscan erstellen, diese Methode würde jedoch nicht für drahtlose Verbindungen zur Verfügung stehen.
Aufgrund der Einschränkungen der integrierten Supplicants haben einige Drittanbieter von Software und Hardware ihre eigenen Supplicants entwickelt, die normalerweise die integrierten Supplicants und die gesamte EAP-Architektur deaktivieren und ersetzen. Diese Alternative führt jedoch zu Problemen. Erstens führt das Ersetzen der Architektur der integrierten Supplicants und EAP zu Entwicklungskosten und zu zeitlichen Verzögerungen. Wenn ein Geschäftskunde seine Supplicants nicht selbst entwickelt hat, kann es außerdem pro Arbeitsplatz zu Lizenz- und Installationskosten für ein Drittanbieterprodukt kommen.

Features von EAPHost
EAPHost verfügt über die folgenden neuen Features:
Unterstützung für zusätzliche EAP-Methoden. EAPHost unterstützt die Installation und Nutzung aller unter EAP Registry unter www.iana.org/assignments/eap-numbers aufgeführten EAP-Methoden und weiterer populärer Authentifizierungsmethoden wie Lightweight EAP (LEAP), das von Cisco Systems, Inc. entwickelt und vertrieben wird.
Netzwerkerkennung. EAPHost unterstützt die Netzwerkerkennung wie in RFC 4284 definiert.
Konformität mit RFC 3748. EAPHost stimmt mit der Spezifikation des EAP-Statuscomputers überein und schließt einige der in RFC 3748 aufgeführten Sicherheitslücken. Bisher mussten Supplicants ihre eigenen Statuscomputer implementieren. Außerdem unterstützt EAPHost Funktionen wie erweiterte EAP-Typen (einschließlich anbieterspezifische EAP-Methoden).
EAP-Methodenkoexistenz. EAPHost ermöglicht die Koexistenz mehrerer Implementierungen derselben EAP-Methode. So können Sie z. B. Protected EAP (PEAP) sowohl in der Microsoft-Version als auch in der Version von Cisco Systems, Inc. installieren und auswählen.
Modulare Supplicantarchitektur. EAPHost unterstützt eine modulare Supplicantarchitektur, in der neue Supplicants einfach hinzugefügt werden können, ohne die gesamte EAP-Implementierung ersetzen zu müssen, wie dies in der vorherigen Version der Fall war.
Was Anbieter von EAP-Methoden betrifft, so bietet EAPHost Unterstützung für EAP-Methoden, die bereits für Windows Server 2003 und Windows XP entwickelt wurden. Außerdem steht eine vereinfachte Methode für das Entwickeln neuer EAP-Methoden für Windows Server „Longhorn“ und Windows Vista zur Verfügung. EAPHost ermöglicht außerdem eine bessere Klassifizierung von EAP-Typen, sodass diese von den integrierten 802.1X-Supplicants verwendet werden können.
Für die Anbieter von Supplicants bietet EAPHost Unterstützung für zusätzliche Supplicants für neue Verbindungsschichten. Da EAPHost in den Netzwerkzugriffsschutz (Network Access Protection, NAP) integriert ist, müssen neue Supplicants nicht NAP-fähig sein. Um an NAP teilnehmen zu können, müssen neue Supplicants lediglich eine Verbindungs-ID und eine Rückruffunktion registrieren, über die der Supplicant über eine erneute Authentifizierung informiert wird. Weitere Informationen zu NAP finden Sie in der Rubrik „Sicherheit auf dem Prüfstand“ von John Morello in dieser Ausgabe des TechNet Magazins sowie auf der NAP-Webseite unter microsoft.com/nap. Informationen zum Entwickeln von EAP-Methoden oder Supplicants für EAPHost finden Sie unter „Extensible Authentication-Protokoll-Host“ unter msdn2.microsoft.com/aa364249.aspx.

Architektur von EAPHost und EAP-Infrastruktur
Die Architektur von EAPHost besteht aus der EAP-Infrastrukturarchitektur für EAPHost, der EAPHost-Architektur auf dem EAP-Peer (der sich authentifizierende Client) und der EAPHost-Architektur auf dem Authentifizierungsserver. Abbildung 2 zeigt die Komponenten der Architektur der EAP-Infrastruktur für EAPHost auf Computern, die Windows Vista oder Windows Server „Longhorn“ ausführen. Bei diesen Betriebssystemen verfügt der EAP-Peer über eine Schicht von Supplicants (z. B. der integrierte Supplicant für 802.1X), die neue EAPHost-Architektur für EAP-Peers (die Kommunikation und Verwaltung von Supplicants und EAP-Methoden ermöglicht) und eine Schicht von EAP-Methoden zur Durchführung der Authentifizierung.
Abbildung 2 Architektur der EAP-Infrastruktur für EAPHost
Abbildung 2 Architektur der EAP-Infrastruktur für EAPHost
Der Authentifizierungsserver für Windows Server „Longhorn“ verfügt über den Netzwerkrichtlinienserver (Network Policy Server, NPS), die neue EAPHostarchitektur für Authentifizierungsserver und eine Schicht von EAP-Methoden. Der NPS war bisher als Internetauthentifizierungsdienst (Internet Authentication Service, IAS) in Windows Server 2003 bekannt. Es handelt sich dabei um einen RADIUS-Server (Remote Authentication Dial-In User Service) und Proxy- und Richtlinienserver für NAP.
Der Supplicant auf dem EAP-Peer verwendet eine Verbindungsschichttechnologie, z. B. PPP oder 802.1X, um EAP-Meldungen über die Verbindung zwischen dem EAP-Peer und dem Pass-Through-Authentifikator (ein Netzwerkzugriffserver, z. B. ein Drahtloszugriffspunkt oder ein RAS-Server) zu senden und zu empfangen. Der Pass-Through-Authentifikator und NPS auf dem Authentifizierungsserver senden und empfangen mithilfe von RADIUS EAP-Meldungen auf dem IP-basierten Netzwerk zwischen dem Pass-Through-Authentifikator und dem NPS.
Nachdem der EAP-Peer und der Authentifizierungsserver die Verwendung einer bestimmten EAP-Methode ausgehandelt haben, besteht die logische Kommunikation aus EAP-Meldungen, die zwischen der ausgehandelten EAP-Methode auf dem EAP-Peer und dem Authentifizierungsserver gesendet werden.
Abbildung 3 zeigt die EAPHost-Architektur auf dem EAP-Peer, auf dem Windows Vista oder Windows Server „Longhorn“ ausgeführt wird. Diese Architektur besteht aus Supplicants, EAPHost-Komponenten, Komponenten für die Verwaltung von EAP-Methoden und NAP-Komponenten.
Abbildung 3 EAPHost-Architektur auf dem EAP-Peer
Abbildung 3 EAPHost-Architektur auf dem EAP-Peer
Windows Vista und Windows Server „Longhorn“ verfügen über einen 802.1X-Supplicant für 802.1X-basierte Drahtlos- und Kabelverbindungen. Derzeit werden Untersuchungen mit einem PPP-Supplicant für DFÜ- oder VPN-basierte RAS- oder Standort-zu-Standort-Verbindungen durchgeführt, um später ein Update für diese beiden Betriebssysteme bereitzustellen. Außerdem können zusätzliche Supplicants von Drittanbietern hinzugefügt werden. Die EAPHost-API ermöglicht den Supplicants, EAP für Verbindungen zu verwenden. Weitere Informationen finden Sie im Artikel unter msdn2.microsoft.com/aa364249.aspx.
Zu den EAPHost-Komponenten gehören die EAP-Clientstatuscomputer/Protokollprüfung, die den Statuscomputer des EAP-Peers realisiert (siehe RFC 3748) und EAP-Meldungen überprüft. Ebenfalls enthalten ist der EAP-Methodenmanager, der die verschiedenen EAP-Methoden verwaltet, unabhängig davon, ob diese EAPHost-kompatibel sind oder nicht, und die Bereitstellung von EAP-Methoden für Anwendungen und Dienste unterstützt. Schließlich gibt es den EAP-Bibliotheksmanager, der das Laden und Entladen von EAP-Methodenbibliotheken ermöglicht.
Die EAP-Methodenkomponenten umfassen:
Integrierte EAP-Methoden. Diese Methoden sind PEAP, EAP-Transport Layer Security (TLS) und EAP-MS-CHAP-V2.
Zwei Host-APIs. Diese hosten nicht mit EAPHost kompatible EAP-Methoden (Legacy-EAP-API) und mit EAPHost kompatible EAP-Methoden (EAPHost-Methoden-API) von Drittanbietern.
Legacykonvertierungsmethode. Diese Methode übersetzt zwischen den nicht mit EAPHost kompatiblen EAP-Methoden, die über die Legacy-EAP-API und die EAPHost-Methoden-API geschrieben werden.
EAP-Methodenproxymanager . Dieser hostet EAP-Methoden von Drittanbietern, gleichgültig, ob diese mit dem EAPHost kompatibel sind oder nicht.
Die EAP-Methoden-API ist die neue API für mit EAPHost kompatible EAP-Methoden. EAP-Methoden exportieren die in der EAP-Methoden-API definierten APIs. EAPHost lädt die EAP-Methoden und ruft die exportierten API-Funktionen auf.
Zu den NAP-Komponenten gehören folgende Elemente:
EAP-NAP-EC-Messenger . Diese Komponente ermöglicht die Kommunikation von NAP-bezogenen Daten, z. B. SoHs (Statement of Health) und Ereignisse, zwischen dem EAPHost-NAP-Erzwingungsclient (EC) und anderen Komponenten von EAPHost.
EAPHost-NAP-EC . Dieser Client interagiert mit anderen NAP-Komponenten, um Integritätsprüfungen und die Erzwingung des begrenzten Zugriffs bereitzustellen, wenn eine 802.1X-authentifizierte Verbindung nicht mit den von NAP gestellten Anforderungen an die Systemintegrität übereinstimmt.
NAP-Agent Dieser Agent hält den aktuellen Zustand des Clients aufrecht und ermöglicht die Kommunikation zwischen den installierten NAP-ECs und der Schicht der Systemintegritäts-Agents (System Health Agent, SHA). Jeder SHA ist für eine oder mehrere Anforderungen an die Systemintegrität definiert.
Wie Abbildung 3 zeigt, können Drittanbieter neue Supplicants und neue EAPHost-kompatible EAP-Methoden entwickeln. Es können auch bereits vorhandene, für Windows Server 2003 oder Windows XP entwickelte EAP-Methoden genutzt werden.
Abbildung 4 zeigt die EAPHost-Architektur auf dem Authentifizierungsserver, auf dem Windows Server „Longhorn“ und NPS ausgeführt werden. Diese Architektur ist mit der Architektur für den EAP-Peer für die Unterstützung von EAP-Methoden identisch. Statt über Supplicants verfügt der Authentifizierungsserver über einen NPS, der mithilfe der EAPHost-API EAP-Methoden verwendet und konfiguriert. Von den EAP-Komponenten erledigt die EAP-Serverstatuscomputer/Protokollprüfung die Aufgabe, den EAP-Serverstatuscomputer zu verwalten und eingehende EAP-Meldungen zu überprüfen.
Abbildung 4 EAPHost-Architektur auf dem Authentifizierungsserver
Abbildung 4 EAPHost-Architektur auf dem Authentifizierungsserver
Der EAPHost auf dem Authentifizierungsserver ermöglicht Softwareanbietern, neue mit EAPHost kompatible EAP-Methoden zu entwickeln und zu installieren sowie EAP-Methoden zu unterstützen, die bereits für Windows XP und Windows Server 2003 entwickelt wurden.
Sowohl für den EAP-Peer als auch für den Authentifizierungsserver stellt EAPHost außerdem eine EAPHost-Benutzeroberflächen-Proxy-API bereit (in Abbildung 3 und Abbildung 4 nicht dargestellt), über die mit EAPHost kompatible Methoden Dialogfelder für erforderliche Benutzerinteraktionen anzeigen können. Mithilfe der EAPHost-Benutzeroberflächen-Proxy-API können Drittanbieter ihre eigenen Dialogfelder einfügen und so für nahtlose Benutzerfunktionalität sorgen.

Schlussbemerkung
Durch EAPHost in Windows Server „Longhorn“ und Windows Vista wird die EAP-Implementierung in Windows auf die neuesten Internetstandards aktualisiert. EAPHost stellt eine neue modulare Architektur zur Erweiterung von Windows mit EAP-Authentifizierungsmethoden und Supplicants bereit. Netzwerkanbieter können die derzeitige Benutzerfreundlichkeit in Windows verbessern, ohne die gesamte EAP-Implementierung von Windows zu ersetzen. Dies erfolgt durch eine Neuentwicklung von Supplicants für die EAPHost-API und von Authentifizierungsmethoden für die EAPHost-Methoden-API. EAPHost unterstützt außerdem bereits vorhandene EAP-Methoden, die für Windows Server 2003 und Windows XP entwickelt wurden.
EAPHost für Windows XP
Microsoft plant die Veröffentlichung eines Updates für Windows XP SP2, in dem die EAPHost-Architektur, Unterstützung für RFC 3748 und ein EAPHost-basierter Supplicant für verkabelte 802.1X-Konnektivität enthalten sind. Mit dem Update funktionieren für Windows Vista entwickelte EAPHost-Supplicants auch unter Windows XP SP2. Aktuelle Informationen zu diesem Update finden Sie im Blog des NAP-Produktteams unter blogs.technet.com/nap.

Joseph Daviesist technischer Redakteur bei Microsoft und lehrt und schreibt seit 1992 über Windows-Netzwerkthemen. Er hat fünf Bücher für Microsoft Press verfasst und ist der Autor der monatlich erscheinenden TechNet-Rubrik „The Cable Guy“.


 Windows PowerShell: Die WMI-Verbindung
Windows PowerShell
Die WMI-Verbindung
Don Jones

Eine der Technologien, auf die ich mich im Bereich VBScript bisher überwiegend verlassen habe, ist die Windows-Verwaltungsinstrumentation oder WMI. Interessanterweise hat Windows PowerShell starke Verbindungen zur WMI, und das nicht nur in technischer Hinsicht. Jeffrey Snover, der Entwickler von Windows PowerShell, war auch wesentlich an der Erstellung von
Wmic.exe beteiligt, einem Befehlszeilenprogramm für Windows Server® 2003, das für die Arbeit mit WMI verwendet wurde. In vielerlei Hinsicht war Wmic.exe ein Vorläufer von Windows PowerShell™, da es in der Funktionsweise gewisse Ähnlichkeiten gibt. (Weitere Informationen zu WMIC finden Sie im Artikel von John Kelbley in der Ausgabe des TechNet Magazins vom September 2006, der online unter microsoft.com/technet/technetmag/issues/2006/09/WMIData verfügbar ist.)
Windows PowerShell umfasst Unterstützung für WMI, die in der gleichen konsistenten objektbasierten Weise bereitgestellt wird, wie Sie dies bei allen anderen Funktionen der Shell gewohnt sind. Dadurch ist es besonders in Ad-Hoc-Situationen viel leichter, WMI zu erlernen und zu verwenden als frühere Technologien, wie VBScript.

Eine Einführung in WMI
Wenn Sie Bücher und Artikel zur Skripterstellung lesen, ist es beinahe unmöglich, WMI zu übersehen. Es gehört jedoch nicht viel dazu, sich so sehr in die tatsächliche Anwendung von WMI zu vertiefen, dass Sie vergessen, wie WMI unter der Oberfläche aufgebaut ist. Dabei ist der Aufbau von WMI für die Funktionsweise in Windows PowerShell außerordentlich wichtig.
WMI ist im Grunde ein System organisierter Klassen, die die Verwaltungsinformationen des Windows®-Betriebssystems und anderer Windows-basierter Hardware- und Softwareprodukte darstellt. Eine Klasse ist wirklich nicht mehr als eine abstrakte Beschreibung der Eigenschaften und Funktionen einer bestimmten Software- oder Hardwarekomponente. Zum Beispiel könnte eine logische Datenträgerklasse ein Gerät beschreiben, das eine Seriennummer, einen festen Speicherplatz, eine bestimmte verfügbare Kapazität usw. hat. Demgegenüber könnte eine Klasse, die einen Windows-Dienst beschreibt, angeben, dass der Dienst einen Namen hat, dass er starten und anhalten kann, den aktuellen Status und so weiter.
In WMI stellen Klassen all die Dinge dar, die WMI verwalten kann. Wenn in WMI keine Klasse für eine Komponente vorhanden ist, kann die Komponente nicht verwaltet werden. Microsoft dokumentiert die zentralen Windows-WMI-Klassen unter msdn2.microsoft.com/aa394554.aspx. Andere Produkte, z. B. Internetinformationsdienste und SQL Server™, dokumentieren die WMI-Klassen separat.
Aufgrund der großen Anzahl von Klassen werden sie in WMI in eine Hierarchie von Namespaces eingeteilt. Zum Beispiel lautet der Namespace, der die Windows-Betriebssystemklassen enthält, root\cimv2, während die Klassen in Microsoft IIS 6.0 in root\MicrosoftIISv2 gespeichert werden. Praktischerweise ist der root\cimv2-Namespace der WMI-Standardnamespace. Diese Einstellung ist für Windows PowerShell freigegeben, was das Arbeiten mit diesen zentralen Klassen erleichtert.
Eine „Instanz“ ist ein tatsächliches Vorkommen einer Klasse. Wenn Ihr Computer zum Beispiel über zwei logische Datenträger verfügt, erhalten Sie zwei Instanzen der Win32_LogicalDisk-Klasse. Wenn Sie auf dem Computer 50 Dienste ausführen, werden WMI 50 Instanzen der Win32_Service-Klasse angezeigt. Das Arbeiten mit WMI besteht grundsätzlich in einer Aufforderung an WMI, eine oder mehr Instanzen bereitzustellen, und dem anschließende Untersuchen der Eigenschaften dieser Instanzen, um die benötigten Verwaltungsinformationen zu finden, oder dem Ausführen der Methoden dieser Instanzen, um Verwaltungsänderungen vorzunehmen, wie das Starten oder Beenden eines Diensts.
WMI verwendet eine Clientserverarchitektur. WMI wurde in alle Windows-Versionen ab Windows 2000 integriert (in späteren Versionen wurde die Anzahl verfügbarer Klassen erweitert). Ihnen stehen also sowohl der WMI-Client als auch die WMI-Serversoftware sofort zur Verfügung. Wenn Sie WMI verwenden, senden Sie im Grunde eine Anforderung an den WMI-Dienst, der auf einem beliebigen für Sie interessanten Computer ausgeführt wird. Dieser WMI-Dienst ruft die von Ihnen angegebenen WMI-Instanzen ab und gibt sie zurück, sodass Sie mit ihnen arbeiten können. An dieser Stelle kommt Windows PowerShell zum Tragen, denn sie vereinfacht den Vorgang, bei dem Instanzen angefordert, zurückgegeben und bei der Arbeit verwendet werden.

Abrufen eines WMI-Objekts
WMI-Klasseninstanzen werden allgemein als Objekte bezeichnet. Deshalb ist es logisch, dass die Instanzen in Windows PowerShell über das Get-WMIObject-Cmdlet abgerufen werden. Dieses Cmdlet hat ein praktisches Alias, gwmi, das im Folgenden für die meisten Beispiele verwendet wird. Die einfachste Möglichkeit ist, den WMI-Klassennamen anzugeben, der abgerufen werden soll, und anschließend in aller Ruhe die Ergebnisse zu betrachten (siehe Abbildung 1). Als ich gwmi win32_service ausführte, stellte Windows PowerShell eine Verbindung zum WMI-Dienst auf meinem lokalen Computer her, da ich keinen anderen Computer angegeben hatte, sowie eine Verbindung zum root\cimv2-Namespace, da ich keinen anderen Namespace angegeben hatte. Windows PowerShell hat alle Instanzen der angegebenen Klasse abgerufen, und da ich keine andere Anweisung für den Umgang mit diesen Instanzen gegeben hatte, wurden sie in eine Textdarstellung konvertiert. Anders gesagt hat Windows PowerShell anhand dieser Objekte einen Text erstellt, der vom Menschen lesbar ist.
Abbildung 1 Beim Ausführen von gwmi win32_service gibt Windows PowerShell alle Instanzen der angegebenen Klasse in einem lesbaren Textformat zurück.
Abbildung 1 Beim Ausführen von gwmi win32_service gibt Windows PowerShell alle Instanzen der angegebenen Klasse in einem lesbaren Textformat zurück.
Insbesondere konvertiert Windows PowerShell durch das Lesen und Anzeigen der Namen und Werte ausgewählter Klasseneigenschaften WMI-Objekte in Text. Für die Win32_Service-Klasse wird ein Satz von sechs Eigenschaften ausgewählt.
Auf diese Weise wird in Windows PowerShell jedes beliebige Objekt in Text konvertiert. Die Eigenschaften, die für die Anzeige ausgewählt werden, sind zum größten Teil in einem Satz von .format.ps1xml-Dateien definiert, die sich im Windows PowerShell-Installationsordner befinden. Diese Formatdefinitionsdateien werden digital von Microsoft signiert. Es wird empfohlen, dass Sie diese Dateien nicht ändern. Sie können allerdings eigene Formatierungsdateien bereitstellen. (Dieses Thema wird in einem künftigen Artikel ausführlicher besprochen.)
Das gwmi-Cmdlet kann Sie dabei unterstützen, herauszufinden, welche Klassen auf Ihrem Computer verfügbar sind. Wenn Sie zum Beispiel gwmi –namespace "root\cimv2" –list ausführen, erhalten Sie eine vollständige Liste der Klassen in diesem Namespace. Beachten Sie jedoch, dass die Klassen auf Ihrem Computer nur dann relevant sind, wenn Sie den Computer verwalten. Wenn Sie einen Remotecomputer verwalten, werden Sie vermutlich die Klassen ermitteln wollen, die auf diesem System verfügbar sind. Dafür müssen Sie den Parameter –computer von gwmi verwenden, um eine Verbindung zu einem Remotecomputer herzustellen. Beispielsweise werden durch gwmi –namespace "root\cimv2" –list –computer ServerA alle Klassen im root\cimv2-Namespace auf dem Remotecomputer namens ServerA aufgelistet.

Remote-WMI
In Version 1.0 von Windows PowerShell handelt es sich bei gwmi um das einzige Cmdlet, das die Remoteverwaltung direkt unterstützt. Das liegt hauptsächlich daran, dass die Remotesteuerung in die zugrunde liegende WMI-Architektur integriert ist. Da Windows PowerShell einfach die vorhandene Architektur nutzt, unterliegt sie den Sicherheitsfeatures dieser Architektur. Beispiel:
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
In dieser Instanz habe ich versucht, eine Verbindung zu einem Remotecomputer mit dem Namen Media-Server herzustellen, für den ich keine Zugriffsberechtigung habe. Als Administrator müsste ich die Berechtigung haben, mit dem WMI-Dienst dieses Computers zu arbeiten, aber wahrscheinlich sind meine Anmeldeinformationen für die lokale Arbeitsstation nicht ausreichend. Ich könnte zum Beispiel in einer anderen, nicht vertrauenswürdigen Domäne angemeldet sein, oder ich könnte mit einem Konto angemeldet sein, das weniger Berechtigungen hat. Erfreulicherweise unterstützt gwmi den Parameter –credential, der es ermöglicht, einen anderen Satz von Benutzeranmeldeinformationen für eine WMI-Verbindung anzugeben. Im Folgenden wird ein sehr einfaches Beispiel angezeigt:
gwmi win32_service –credential mydomain\administrator –computer mediaserver
Meine Anmeldeinformationen – um genauer zu sein, mein Benutzername – werden im Format DOMAIN\Username bereitgestellt.
Es gibt kein Feld, in dem ein Kennwort eingegeben werden kann. Windows PowerShell gibt dazu eine Aufforderung aus. Windows PowerShell stellt vorsätzlich keine Möglichkeit bereit, ein Kennwort in der Befehlszeile einzugeben, da hierdurch Kennwörter in Skriptdateien hartcodiert werden könnten, was ein absolutes Sicherheitsrisiko darstellt. Es gibt jedoch eine andere Möglichkeit, mit dem Parameter „–credential“ zu arbeiten, und zwar durch das vorzeitige Erstellen einer Art von Anmeldeinformationsobjekt namens PSCredential. Wichtig dabei ist das Get-Credential-Cmdlet:
$cred = get-credential mydomain\administrator
Wenn es ausgeführt wird, wird nach wie vor eine Aufforderung zur Angabe des entsprechenden Kennworts angezeigt. Diesmal jedoch wird das erstellte Anmeldeinformationsobjekt in der $cred-Variable gespeichert. Im Inhalt von $cred wird zwar der Name aufgeführt, nicht aber das Kennwort:
PS C:\> $cred

UserName
--------
mydomain\adminstrator
Ich kann dieses Anmeldeinformationsobjekt also beliebig wiederverwenden.
gwmi win32_service –credential $cred –computer mediaserver
Dies vereinfacht wiederholte WMI-Verbindungen zu einem Remotecomputer durch das Vordefinieren eines wiederverwendbaren Anmeldeinformationsobjekts. Es sollte jedoch beachtet werden, dass das WMIObject-Cmdlet derzeit die Angabe der Authentifizierungsebenen (auch Identitätswechsel genannt) nicht auf die gleiche Weise unterstützt, wie VBScript. Weitere Informationen finden Sie unter msdn2.microsoft.com/aa389290.aspx.

Einsichten
An Windows PowerShell gefällt mir insbesondere, dass das Niveau nicht gesenkt wird. Oben wurde aufgezeigt, wie Windows PowerShell nur einen Satz von Eigenschaften für die abgefragte Win32_Service-Klasse auswählte. Die Shell hat jedoch weiterhin Zugriff auf alle Eigenschaften und kann sogar Details zu diesen Eigenschaften angeben. Dafür leiten Sie einfach das Objekt (oder die Objekte) zum Get-Member-Cmdlet (oder seinem Alias gm) weiter, wie in Abbildung 2 dargestellt.
Abbildung 2 Durch das Weiterleiten eines Objekts zum Get-Member-Cmdlet wird offensichtlich, auf welche Methoden und Eigenschaften Sie zugreifen können.
Abbildung 2 Durch das Weiterleiten eines Objekts zum Get-Member-Cmdlet wird offensichtlich, auf welche Methoden und Eigenschaften Sie zugreifen können.
Abgesehen von den Eigenschaften listet die Shell auch verfügbare Methoden auf. Das bedeutet, dass zum Bestimmen der Leistung einer Klasse nicht unbedingt auf die Dokumentation zurückgegriffen werden muss. Die Klasse selbst stellt die Mittel dafür bereit, die Konfiguration einer Instanz zu ändern, einen Dienst anzuhalten, ihn zu beenden und so weiter.
Um diese Methoden zu verwenden oder andere Eigenschaften anzuzeigen, ist es oft am einfachsten, die Instanzen in einer Variablen bereitzustellen:
$server = gwmi win32_operatingsystem
$server.reboot()
In diesem Beispiel wird die einzige verfügbare Instanz der Klasse Win32_OperatingSystem abgerufen (diese Klasse hat nur eine Instanz pro Computer) und in der $server-Variable gespeichert. Anschließend wird die $server-Variable verwendet, um auf die Reboot-Methode der Instanz zuzugreifen, wodurch der Computer neu gestartet wird. Hierbei ist Vorsicht angesagt!

Umfassende Abfragesprache
Wenn Sie mit WMI unter Verwendung von VBScript oder einer anderen Technologie gearbeitet haben, sind Sie vermutlich mit dem Abrufen von WMI-Klasseninstanzen vertraut, bei der eine Abfrage verwendet wird, die in WQL, der WMI-Abfragesprache, geschrieben ist. Die SQL-ähnliche Syntax dieser Abfragesprache erleichtert es, bestimmte Instanzen abzurufen, z. B. einen bestimmten Dienst, anstatt alle Instanzen einer festgelegten Klasse. Erfreulicherweise ermöglicht gwmi auch die Angabe der Abfrage, etwa so:
gwmi –query “select * from win32_service where name=’alerter’”
Diese Syntax von gwmi (die erst kurz vor der offiziellen Freigabe von Windows PowerShell hinzugefügt wurde) ist unglaublich nützlich und macht es wirklich sehr leicht, komplizierte WMI-Abfragen zu migrieren, die eventuell für andere Zwecke entwickelt wurden. Wie immer gibt Windows PowerShell umfassende Objekte mit ihren eigenen Eigenschaften und Methoden zurück und bietet somit einen vollständigen Zugriff auf die Verwaltungsleistung der WMI.

Künftige Schritte mit WMI
WMI wird für zukünftige Versionen von Windows weiterentwickelt, wobei neue Klassen und Funktionen hinzugefügt werden. WMI wird weiterhin in neuen Microsoft-Produkten enthalten sein. Für die meisten Microsoft-Produkte wurden zwar noch keine Versionen veröffentlicht, die speziell auf Windows PowerShell aufgebaut sind, jedoch ist die Fähigkeit, eine Verbindung zu WMI herzustellen, heute bereits einer der größten Vorteile von Windows PowerShell.
Die Möglichkeiten von WMI wurden hier nur oberflächlich angerissen. Hoffentlich dient dieser Artikel als Anregung, Windows PowerShell näher zu erforschen, um weitere Funktionen zu entdecken.

Don Jones ist Direktor für Projekte und Dienste bei SAPIEN Technologies und Mitautor von Windows PowerShell: TFM (SAPIEN Press). Sie erreichen Don Jones über seine Website unter www.ScriptingAnswers.com.


 Hey, Scripting Guy!: Die Blumen bl&#252;hen. Die Dialogfelder sprie&#223;en. Der Fr&#252;hling ist da.
Hey, Scripting Guy!
Die Blumen blühen. Die Dialogfelder sprießen. Der Frühling ist da.
Die Scripting Guys von Microsoft

Endlich ist der Frühling da. Und das ist auch gut so. Nach einem Winter mit rekordverdächtigen Regenfällen, Eis, Schnee und heftigen Stürmen – bei einem dieser Stürme stürzte ein großer Baum in den Garten eines der Scripting Guys und verfehlte sein Haus nur um Zentimeter – ist jetzt endlich der Frühling da, und die gelegentlichen kühlen Regenschauer sind ein angenehmer Auftakt, bevor der wärmere Regen aus dem Nordwestpazifik den Sommer einleitet.
Bei dem Nieselregen draußen dachten wir uns, dass dies eine gute Zeit wäre, die Skripterstellung etwas abenteuerlicher zu gestalten und einen Blick auf die HTML-Anwendungen (HTAs) zu werfen. Und wenn wir abenteuerlich sagen, dann meinen wir das auch. Wir werden hier keinerlei Einführung geben. Wir gehen davon aus, dass Sie bereits wissen, was eine HTA ist und wie sie erstellt wird. Falls Sie damit nicht vertraut sind, empfehlen wir das HTA-Entwicklercenter im Skriptcenter. Vor allem die Lektüre der beiden Artikel im Abschnitt „HTAs für Anfänger“ ist sehr hilfreich. Danach haben Sie bestens aufgeholt und können hier wieder einsteigen.
In diesem Artikel wird das Erstellen von Dialogfeldern veranschaulicht. Das ist jedoch nicht alles. Wir zeigen außerdem, wie Informationen zwischen der Haupt-HTA und dem Dialogfeld ausgetauscht werden. Tja, die frische Frühlingsluft hat uns ehrgeizig gemacht. Mal sehen, wie lange es anhält.
Wie Sie wissen, gibt es zwei Arten von Dialogfeldern: modale und nicht-modale. Der Unterschied ist der: Wenn Sie ein modales Dialogfeld öffnen, können Sie erst zu dem Hauptfenster, in dem das Dialogfeld geöffnet wurde, zurückkehren, wenn Sie das Dialogfeld schließen. Wenn Sie ein nicht-modales Dialogfeld öffnen, können Sie zwischen den Fenstern hin- und herwechseln. Wenn Sie jedoch das Hauptfenster schließen, wird das nicht-modale Dialogfeld ebenfalls geschlossen.
Ein modales Dialogfeld wird genauso erstellt wie ein nicht-modales Dialogfeld. Der einzige Unterschied ist der, dass Sie beim Erstellen eines modalen Dialogfelds die ShowModalDialog-Funktion aufrufen, beim Erstellen eines nicht-modalen Dialogfelds dagegen die ShowModelessDialog-Funktion. Beide Funktionen nehmen die gleichen Parameter an. Im Folgenden wird zunächst eine einfache HTA betrachtet, von der ein modales Dialogfeld geöffnet wird (siehe Abbildung 1).
Figure 1 Einfaches Dialogfeld (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Hier wurde eine HTA namens „Modal Example“ erstellt. Im <body>-Bereich dieser HTA wurden zwei Elemente hinzugefügt: eine Schaltfläche mit dem Titel „Dialogfeld anzeigen“ und ein Textfeld mit dem Titel „Textfeld“ (siehe Abbildung 2). Wenn Sie auf die Schaltfläche klicken, wird die ShowDialog-Unterroutine ausgeführt.
Abbildung 2 Das eigentliche modale Dialogfeld der HTA
Abbildung 2 Das eigentliche modale Dialogfeld der HTA
Die ShowDialog-Unterroutine ist ziemlich einfach. Wir rufen die ShowModalDialog-Funktion auf und übergeben den Namen der HTA-Datei, die als das modale Dialogfeld angezeigt werden soll, als Parameter, in diesem Fall modaldialog.hta. (Es wird davon ausgegangen, dass sich modaldialog.hta im selben Ordner wie diese HTA befindet. Wenn dies nicht der Fall ist, muss hier der vollständige Dateipfad angegeben werden.)
Wir rufen außerdem einen Rückgabewert (intReturn) von ShowModalDialog ab. Dieser Wert wird im Textfeld angezeigt. Sie werden sogleich sehen, wie der Rückgabewert abgerufen wird. Hier ist zu beachten, dass der Aufruf von ShowModalDialog nichts zurückgibt, bis das modale Dialogfeld geschlossen ist. Das heißt, dass der Rückgabewert dem Textfeld so lange nicht zugewiesen wird, bis das Dialogfeld geschlossen ist.
Werfen Sie als Nächstes einen Blick auf modaldialog.hta, das Dialogfeld, das durch unseren Aufruf an die HTA geöffnet wird (siehe Abbildung 3). In dieser HTA haben wir zwei Elemente erstellt: ein Listenfeld mit dem gleichnamigen Titel und die Schaltfläche „OK“ (siehe Abbildung 4). Dem Listenfeld wurden vier Elemente hinzugefügt, „Option 1“, „Option 2“ und so weiter, und den einzelnen Elementen wurden die entsprechenden Werte, 1 bis 4, zugewiesen. Wenn auf die Schaltfläche „OK“ geklickt wird, wird die CloseWindow-Unterroutine ausgeführt.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Abbildung 4 HTA, die das modale Dialogfeld darstellt
Abbildung 4 HTA, die das modale Dialogfeld darstellt
Die CloseWindow-Unterroutine ist ziemlich einfach. Als Erstes muss der Wert des Elements im ausgewählten Listenfeld gelesen und dann der Eigenschaft „window.returnValue“ zugewiesen werden. Wenn der Benutzer zum Beispiel Option 2 ausgewählt hat, würde window.returnValue der Wert 2 zugewiesen werden. Anschließend wird die window.Close-Methode aufgerufen, um das Dialogfeld zu schließen.
An dieser Stelle kehrt das Steuerelement zur Haupt-HTA zurück. Erinnern Sie sich an unseren Aufruf von ShowModalDialog:
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
Der Rückgabewert, der intReturn zugewiesen wird, ist der Wert, den wir im HTA-Dialogfeld window.returnValue zugewiesen haben. Wenn wir also im Dialogfeld Option 2 auswählen, wodurch window.returnValue der Wert 2 zugewiesen wird, wird intReturn gleich 2, und die folgende Codezeile zeigt diesen Wert dem Textfeld an:
textbox.Value = intReturn
Nachdem nun klar ist, wie Sie einen Wert von einem Dialogfeld abrufen, wird als Nächstes untersucht, wie einem Dialogfeld ein Wert übergeben wird. Diesmal soll ein nicht-modales Dialogfeld verwendet werden (siehe Abbildung 5). Denken Sie jedoch daran, dass die Funktionsweise von modalen und nicht-modalen Dialogfeldern gleich ist, sodass dieser Vorgang auch für ein modales Dialogfeld gilt.
Figure 5 Nicht-modal (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Abbildung 7 An ein nicht-modales Dialogfeld weitergeleitete Daten
Abbildung 7 An ein nicht-modales Dialogfeld weitergeleitete Daten
Diesmal haben wir ein Dropdownlistenfeld mit dem Titel „IstServers“ erstellt (dass es sich um ein Dropdownlistenfeld handelt, erkennen Sie daran, dass die Größe gleich 1 ist). Außerdem ist eine Schaltfläche mit dem Titel „Vorgänge abrufen“ vorhanden. Wenn auf die Schaltfläche „OK“ geklickt wird, wird die ShowDialog-Unterroutine ausgeführt. Die ShowDialog-Unterroutine hat nur eine Zeile, der Aufruf der window.ShowModelessDialog-Funktion, wie im Folgenden dargestellt:
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
Der erste Parameter, den wir an diese Funktion weiterleiten, ist der Name der HTA, der im Dialogfeld ausgeführt werden soll, in diesem Fall modelessdialog.hta. Der zweite Parameter ist die Value-Eigenschaft des Listenfelds. Denken Sie daran, dass die Value-Eigenschaft den Wert der ausgewählten Option im Listenfeld enthält. Wenn der Benutzer im Listenfeld also Server2 ausgewählt hat, wäre der Wert server2. Dieser Parameter ist somit der Schlüssel dazu, wie wir dem Dialogfeld Informationen übergeben. (Wenn Sie mehrere Werte übergeben wollen, könnten Sie sie in diesem Parameter als ein Array oder eine Sammlung übergeben.)
Wir werden sogleich sehen, wie das Dialogfeld den Wert in diesem Parameter empfängt. Beachten Sie zunächst jedoch, dass wir einen dritten Parameter einfügen:
“dialogHeight:400px;dialogWidth:300px”
Dieser Parameter enthält eine Zeichenfolge, die die gewünschte Höhe und Breite des Dialogfelds angibt: In diesem Fall wurde eine Höhe von 400 Pixel (400 px) und eine Breite von 300 Pixel angegeben. Wie schon im modalen Beispiel veranschaulicht, kann diese Parameterangabe leer bleiben, und das Dialogfeld wird in der Standardgröße für den Computer angezeigt.
Als Nächstes soll modelessdialog.hta (in Abbildung 6) untersucht werden, um zu sehen, wie das Dialogfeld den erhaltenen Wert einliest.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
In dieser HTA ist das einzige Element, das wir angegeben haben, ein Span-Tag, das den gesamten Bereich des Dialogfelds enthält. In unserem Skriptabschnitt wurde eine window_onLoad-Unterroutine definiert. Diese Unterroutine wird ausgeführt, sobald die HTA geöffnet wird (in diesem Fall durch den Aufruf von ShowModelessDialog). Sehen Sie sich die erste Zeile dieser Unterroutine an:
strComputer = window.dialogArguments
Wir weisen der Variablen strComputer den Inhalt der Eigenschaft window.dialogArguments zu. Es stellt sich die Frage, was sich in dieser Eigenschaft befindet. Korrekt, es handelt sich um den Wert, der beim Aufruf von ShowModelessDialog im zweiten Parameter übergeben wurde. Falls im Hauptfenster „Server2“ ausgewählt wurde, enthält strComputer jetzt den Wert „server2“.
Die restliche Unterroutine ruft einfach alle Prozesse von strComputer ab und zeigt sie im Spanbereich an. Die Ergebnisse dieses Vorgangs sind in Abbildung 7 dargestellt.
Erfreulicherweise haben Sie jetzt den ganzen Sommer Zeit, um sich mit HTA-Dialogfeldern zu amüsieren. Es sei denn, Sie leben auf der südlichen Halbkugel, wo der Winter vor der Tür steht. Dann könnte es schwierig werden, falls Ihnen Ihr Winter auch so viele Stromausfälle beschert wie uns der letzte hier.

Die Scripting Guys von Microsoft arbeiten für (und sind Angestellte von) Microsoft. Wenn sie nicht gerade ihrem Hobby, dem Baseball (oder verschiedenen anderen Aktivitäten) nachgehen, betreiben sie das TechNet-Skriptcenter. Besuchen Sie es unter www.scriptingguys.com.


 Exchange Fragen &amp; Antworten: OWA-Timeouts, Cmdlet-Problembehandlung und mehr
Exchange Fragen & Antworten
OWA-Timeouts, Cmdlet-Problembehandlung und mehr
KC Lemson and Nino Bilic

F: Wir haben vor kurzem von Exchange Server 2003 auf Exchange Server 2007 migriert. Jetzt erhalten wir Beschwerden, dass bei Outlook® Web Access (OWA) Timeouts für Benutzer mit eingeschränktem Zugriff auftreten, die bei der Anmeldung bei OWA 2007 die Option „Dies ist ein privater Computer“ ausgewählt haben. Wie lautet der entsprechende Befehl der Exchange-Verwaltungsshell zur Überprüfung des Timeouts für private Computer?
A: Lassen Sie uns langsam an das Problem herangehen. Zuerst muss erläutert werden, warum es eine getrennte Auswahl zwischen einem privaten Computer und einem öffentlichen Computer gibt (siehe Abbildung 1) und worin sich das Verhalten dieser Optionen unterscheidet. Diese Optionen sollen dem Benutzer die Möglichkeit geben, Exchange mitzuteilen, welche Sicherheitsstufe erforderlich ist – d. h. ob der Benutzer sich beispielsweise über einen öffentlichen Kiosk am Flughafen oder über den Computer zu Hause bei OWA anmeldet. Der Exchange-Administrator kann diese Sitzungstypen wahlweise unterschiedlich behandeln. So kann der Administrator beispielsweise einen kürzeren Timeoutwert für authentifizierte Sitzungen auf öffentlichen Computern (z. B. Timeout nach wenigen Minuten) als auf privaten Computern (Timeout nach maximal drei Tagen) festlegen. Der Administrator kann auch andere Einstellungen abhängig von der Auswahl des Benutzers unterschiedlich konfigurieren. Beispielsweise könnte der Administrator festlegen, dass der Zugriff auf SharePoint®-Dokumentbibliotheken und Windows®-Dateifreigaben nur bei der privaten Anmeldung gestattet ist. Natürlich ist es dazu erforderlich, dass der Benutzer die richtige Option angibt. Wenn sich der Administrator nicht darauf verlassen kann, dass die Benutzer die richtige Entscheidung treffen, können sie jeder Option dieselben Timeoutwerte und weitere Konfigurationsoptionen zuweisen.
Abbildung 1 Unterschiedliche Timeouteinstellungen und weitere Konfigurationsoptionen für öffentliche und private Computersitzungen
Abbildung 1 Unterschiedliche Timeouteinstellungen und weitere Konfigurationsoptionen für öffentliche und private Computersitzungen
Die betreffende Option wurde von Exchange 2003 übernommen. Bei dieser Version wurde die formularbasierte Authentifizierung erstmals in OWA eingeführt. (Ein geschichtlicher Hinweis: Die erste Implementierung der formularbasierten Authentifizierung wurde zum Teil von einer brillanten Programmmanagerin entworfen. Ich werde ihre Identität nicht preisgeben, aber ich kann Ihnen sagen, dass sie es später als Verfasserin einer alle zwei Monate erscheinenden Rubrik des TechNet Magazins zu Ruhm und Ansehen gebracht hat.)
Die Einstellung wird in der Registrierung gespeichert. Da Windows PowerShell™ jedoch über eine Schnittstelle zur Aktualisierung der Registrierung verfügt, können Sie diese Einstellung mit der Exchange-Verwaltungsshell konfigurieren. Im folgenden Beispiel wird ein Timeoutwert von 1440 Minuten oder einem Tag festgelegt, wenn Benutzer bei der Anmeldung die Option des privaten Computers auswählen:
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Da die Einstellung in der Registrierung gespeichert wird, können Sie den Schlüssel natürlich auf Wunsch auch selbst mit regedit aktualisieren:
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
In beiden Fällen müssen Sie IIS neu starten, um sicherzustellen, dass OWA die neue Einstellung übernimmt. Sie können diesen Neustart durch Auswahl von „Start“ | „Ausführen“ und anschließende Ausführung von „iisreset /noforce“ durchführen.

F: Wir empfehlen allen Mitarbeitern, die den Outlook-MAPI-Client verwenden, alle nicht dringend benötigen Elemente in persönlichen Ordnerdateien (PST-Dateien) zu archivieren. Die archivierten Elemente sind jedoch nicht verfügbar, wenn sich Benutzer von zu Hause aus bei Outlook Web Access anmelden. Wie können wir diese PST-Dateien über die OWA-Schnittstelle verfügbar machen?
A: Leider unterstützt OWA den Zugriff auf PST-Dateien nicht. OWA wurde als reiner Onlineclient von Grund auf neu entwickelt. Wir haben viel Arbeit investiert, um sicherzustellen, dass keine Spuren persönlicher Daten auf dem lokalen Computer verbleiben – hierzu gehören Features wie der erstmals in Exchange 2003 verfügbare sichere Abmeldemechanismus und der WebReady Document Viewing-Dienst in Exchange 2007, der gewährleistet, dass keine zwischengespeicherten Kopien von Anlagen auf der Festplatte verbleiben. Daher passt der Zugriff auf PST-Dateien über OWA nicht zu unserem Ziel, OWA als einfach bereitzustellenden reinen Onlineclient anzubieten.
Andererseits ist die Verwendung von PST-Dateien im Allgemeinen ein interessantes Szenario, auf das näher eingegangen werden sollte. Im letzten Herbst fand ein Gespräch mit einem Kunden statt, bei dem die Benutzer Postfachkontingente von ca. 200 MB hatten und beinahe jeder Benutzer über eine oder sogar mehrere PST-Dateien verfügte. Da es in dieser Organisation eine Richtlinie gab, die es ermöglichte, mit minimalem Aufwand alle Daten auf den Computern von Benutzern zu löschen und Computer zu ersetzen, mussten alle Benutzer ihre PST-Dateien auf einer Netzwerkfreigabe speichern. Diese Netzwerkfreigabe wurde wiederum von einem zentralen System gesichert.
Allerdings gibt es bekannte Probleme, wenn von Netzwerkfreigaben auf PST-Dateien zugegriffen wird. Genau wie OWA von Anfang an als reiner Onlineclient konzipiert wurde, waren PST-Dateien ursprünglich nur für die lokale Speicherung vorgesehen. Unabhängig davon, wie leistungsstark Ihr Netzwerk ist, treten Wartezeiten und andere Probleme auf, aufgrund derer sich die Remotespeicherung von Daten (und der gleichzeitige Benutzerzugriff) als schwierig erweisen kann.
Darüber hinaus hatte diese Organisation ein eher kleines Postfachkontingent (nicht jeder genießt den Luxus eines Unternehmenspostfachs mit einer Größe von ca. 2 GB), da diese Daten nicht alle in Exchange gespeichert werden sollten – ansonsten wäre die Organisation nämlich für die Sicherung aller dieser Daten verantwortlich gewesen. Da die Benutzer die Daten in PST-Dateien auf einer Netzwerkfreigabe speicherten, die gesichert wurde, war der Arbeitsaufwand für die Administratoren dennoch nicht wirklich geringer. Tatsächlich fiel aufgrund verschiedener Faktoren wahrscheinlich mehr Arbeit an. Hierzu zählten z. B.: keine Single Instance Storage-Funktion für mehrere PST-Dateien, durch Probleme mit PST-Dateien (wie vergessene Kennwörter und allgemeine Netzwerkprobleme) anfallende Helpdeskkosten, Schwierigkeiten beim Bereinigen von Nachrichten in PST-Dateien nach einem Virenangriff, Probleme bei einer aus rechtlichen Gründen erforderlichen Suche nach Nachrichten in PST-Dateien, Zusatzaufwand für die Verwaltung eines anderen Sicherungssystems usw.
Daher empfehlen wir Ihnen nachdrücklich, sämtliche Kosten zu berücksichtigen, die aufgrund von Konfigurationsentscheidungen anfallen können. Unter Umständen summieren sich die Kosten, sodass letzten Endes eine andere Konfiguration die bessere Wahl ist.

F: Ich habe ein Problem mit einem Befehl der Exchange-Verwaltungsshell. Er funktioniert einfach nicht. Woran liegt das?
A: Diese Frage ist schwierig zu beantworten. Ein Ratschlag als Hilfestellung wäre der folgende: Protokollieren Sie die von Ihnen verwendeten Befehle sowie die jeweiligen Ergebnisse mit dem in Windows PowerShell integrierten Cmdlet „start-transcript“. Anschließend können Sie die genauen Details in eine E-Mail-Nachricht, einen Blogbeitrag oder eine Frage in einem Forum einfügen.
Öffnen Sie eine Sitzung der Exchange-Verwaltungsshell, und geben Sie wie in Abbildung 2 dargestellt „start-transcript“ ein. Die Exchange-Verwaltungsshell protokolliert daraufhin automatisch alle zukünftigen Befehle in einer Textdatei wie der in Abbildung 3 (keine Sorge, der Speicherort der Textdatei wird Ihnen von der Anwendung mitgeteilt). Zum Beenden der Protokollierung geben Sie einfach „stop-transcript“ ein.
Abbildung 2 Protokollieren der von Ihnen verwendeten Befehle und der entsprechenden Ergebnisse mit dem Cmdlet „start-transcript“
Abbildung 2 Protokollieren der von Ihnen verwendeten Befehle und der entsprechenden Ergebnisse mit dem Cmdlet „start-transcript“
Abbildung 3 Windows PowerShell speichert ein Protokoll der von Ihnen verwendeten Befehle in einer TXT-Datei
Abbildung 3 Windows PowerShell speichert ein Protokoll der von Ihnen verwendeten Befehle in einer TXT-Datei
Die vollständige Liste der von Ihnen verwendeten Befehle und der zurückgegebenen Ergebnisse stellt für jeden, der an der Behebung Ihres Problems arbeitet, eine enorme Hilfe dar. Bevor Sie das Protokoll jedoch an unbekannte oder nicht vertrauenswürdige Personen weitergeben, sollten Sie es unbedingt auf eventuell zurückgegebene vertrauliche Daten prüfen.

F: Ich habe festgestellt, dass bei der Installation von Exchange 2007 eine neue Organisationseinheit in der Stammdomäne erstellt wird. Sie trägt den Namen „Microsoft Exchange-Sicherheitsgruppen“ und enthält fünf neue Sicherheitsgruppen von Exchange 2007. Ist es möglich, diese Gruppen in eine andere Organisationseinheit zu verschieben? Oder in eine andere Domäne?
A: Diese Frage bezieht sich auf fünf universelle Sicherheitsgruppen (USGs), die während der Active Directory-Vorbereitungsphase in der Stammdomäne erstellt werden. Bei diesen Gruppen handelt es sich um:
  • Exchange-Organisationsadministratoren
  • Exchange-Empfängeradministratoren
  • Exchange-Administratoren mit Leserechten
  • Exchange-Server
  • ExchangeLegacyInterop
Bei Exchange 2000 und Exchange 2003 waren die Möglichkeiten zum Verschieben der Standardsicherheitsgruppen (Exchange Domain Servers und Exchange Enterprise Servers) begrenzt. Anders ausgedrückt, sie konnten zwar verschoben werden, aber dabei wurden bestimmte Elemente beschädigt. (Weitere Informationen zu diesem Problem finden Sie unter support.microsoft.com/kb/260914). Daher war diese Möglichkeit tatsächlich sehr eingeschränkt.
In Exchange 2007 sieht die Situation anders aus. Es ist möglich, die fünf Standardgruppen zu verschieben. Sie können in eine andere Organisationseinheit in derselben Domäne oder in eine andere Domäne verschoben werden.
Falls diese fünf Gruppen einmal „verloren gehen“ und Sie nicht wissen, wohin Sie sie verschoben haben – d. h. in welche Organisationseinheit oder Domäne – können Sie den Wert des otherWellKnownObjects-Attributs im folgenden Container prüfen:
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
Wenn Gruppen verschoben werden, wird ihr Speicherort in diesem Attribut aktualisiert, wodurch Sie stets herausfinden können, wo sich die Gruppen befinden. Äußerst praktisch!

F: Ich habe eine globale Sicherheitsgruppe namens „Exchange Install Domain Servers“ in meiner Domäne gefunden. Welchem Zweck dient sie?
A: Sie beobachten Ihr Active Directory® wirklich genau. Tatsächlich gibt es in jeder Domäne, in der Exchange 2007-Server installiert wurden, eine Gruppe namens „Exchange Install Domain Servers“. Diese Gruppe wird in der Organisationseinheit „Microsoft Exchange-Systemobjekte“ (MESO) erstellt. Wenn Sie sich diese Gruppe näher ansehen, werden Sie feststellen, dass sie der Exchange Servers-Gruppe der Stammdomäne als Mitglied zugewiesen wird, bei der es sich um eine universelle Sicherheitsgruppe handelt.
Kurz gesagt ist „Exchange Install Domain Servers“ eine Gruppe, die zur Umgehung möglicher langer Active Directory-Replikationszyklen verwendet wird, wenn Sie das Setup von Exchange 2007 in einer Ihrer untergeordneten Domänen ausführen. Angenommen, Sie verfügen über eine Stammdomäne namens „Stamm“, eine untergeordnete Domäne namens „Kind“ und eine untergeordnete Domäne von „Kind“ namens „Enkel“. (Sie müssen zugeben, dass die Namensgebung brillant ist! Als Nächstes meinen Sie wohl, dass Sie unsere Kennwörter erraten können.)
Um mit der Einrichtung von Exchange 2007 in dieser Organisation zu beginnen, müssen Sie zuerst das Schema erweitern und die Stammdomäne vorbereiten. Dadurch werden die fünf ursprünglichen USGs erstellt, die in der vorhergehenden Antwort erörtert wurden.
Angenommen, Sie müssen dann das Setup in der Domäne „Enkel“ ausführen. Um die Dienste von Exchange 2007 in der lokalen Domäne starten zu können, fügt das Setupprogramm ein Computerkonto des Exchange 2007-Computers in die Gruppe „Exchange-Server“ aus der Stammdomäne ein. Da Sie jedoch jetzt in der Domäne „Enkel“ arbeiten, kann es eine Weile dauern, bis die Mitgliedschaft in der Gruppe „Exchange-Server“ repliziert wird.
„Exchange-Server“ ist eine universelle Gruppe, deren Mitgliedschaft überall in der Gesamtstruktur repliziert wird. Aufgrund potenzieller Replikationswartezeiten ist es möglich, dass beim Setup in der Domäne „Enkel“ bestimmte Dienste nicht gestartet werden, weil zum Zeitpunkt des Setups die Berechtigungen noch nicht repliziert wurden. Aus diesem Grund wird bei der Einrichtung des ersten Exchange 2007-Servers in einer Domäne die Gruppe „Exchange Install Domain Servers“ in der lokalen Domäne erstellt.
Das Exchange-Computerkonto wird im Rahmen des Setups dieser Gruppe als Mitglied hinzugefügt. Durch eine Mitgliedschaft in dieser Gruppe erhalten Dienste ausreichende Berechtigungen für den Start am Ende des Setups, selbst wenn die Mitgliedschaft der Gruppe „Exchange-Server“ noch nicht von der Stammdomäne repliziert wurde. Beachten Sie, dass die Replikation in der lokalen Domäne in der Regel schneller erfolgt als die Replikation zwischen Domänen.

Q In der Dokumentation zu Exchange 2007 heißt es, dass ich das Setup mit dem Befehlsschalter „/PrepareLegacyExchangePermissions“ ausführen sollte, noch bevor ich das Schema für Exchange 2007 erweitere. Aus welchem Grund? (Hätte für den Schalter nicht noch ein längerer Name gefunden werden können?)
A: Es freut uns zu hören, dass Sie die Dokumentation lesen, bevor Sie das Setup ausführen. Wie gefällt sie Ihnen?
Durch den Schalter „/PrepareLegacyExchangePermissions“ (oder kurz „/pl“) erhalten die Empfängeraktualisierungsdienste (Recipient Update Services, RUS) von Exchange 2000 und Exchange 2003 die Berechtigung, in die Eigenschaftensätze „Exchange-Informationen“ und „Persönliche Informationen“ zu schreiben. Während des Schemaerweiterungsprozesses von Exchange 2007 werden mehrere Attribute (z. B. Proxyadressen) aus dem Active Directory-Eigenschaftensatz „Öffentliche Informationen“ in den Eigenschaftensatz „Exchange-Informationen“ verschoben. Die Empfängeraktualisierungsdienste von Exchange 2000 und Exchange 2003 sind standardmäßig nicht berechtigt, in den Eigenschaftensatz „Exchange-Informationen“ zu schreiben. In der Realität bedeutet dies Folgendes: Wenn Sie Ihre Schemaerweiterung für Exchange 2007 zuerst ausführen, zerstören Sie die Empfängeraktualisierungsdienste von Exchange 2000 und Exchange 2003, da sie dann keine neuen Empfänger mehr mit einem Stempel versehen können! (Weitere Informationen zu diesen Eigenschaftensätzen finden Sie in unserem Blog unter msexchangeteam.com.)
Daher ist es äußerst wichtig, dass Sie den Schalter „/pl“ ausführen, bevor das Schema für Exchange 2007 erweitert wird. Sie sollten zudem sicherstellen, dass diese Änderung in allen Domänen repliziert wird, die über Exchange 2000- oder Exchange 2003-Empfänger verfügen (damit Empfängeraktualisierungsdienste für diese Domänen vorhanden sind.) Wenn der Gesamtstruktur zu einem späteren Zeitpunkt neue Domänen hinzugefügt werden und Sie Empfängeraktualisierungsdienste von Exchange 2000 oder Exchange 2003 in diese Domänen einfügen müssen, sollten Sie den Schalter /pl in diesen Domänen ebenfalls ausführen.
Bei der ersten Ausführung des Schalters „/pl“ wird der Vorgang zudem stark vereinfacht, wenn Sie den Schalter mit einem Konto ausführen, das über Unternehmensadministratorrechte verfügt. Dann wird beim Setup von der Stammdomäne aus erkannt, für welche Domänen „/pl“ ausgeführt werden muss, und der Schalter „/pl“ wird für alle diese Domänen ausgeführt. Wenn Sie kein Unternehmensadministratorkonto verwenden, müssen Sie den Schalter „/pl“ unter Verwendung eines Domänenadministratorkontos für jede Domäne einzeln ausführen. Erfreulicherweise werden in der Dokumentation zu Exchange 2007 alle erforderlichen Berechtigungen beschrieben.
Sie haben uns auch gefragt, ob wir keinen längeren Namen für diesen Schalter finden konnten. Versuchen Sie einmal, /PrepareLegacyExchangePermissions dreimal schnell hintereinander zu sagen:
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
Wir beabsichtigten zunächst, den Schalter „/PrepareLegacyExchangePermissionsOHDiesIstEinWirklichLangerName“ zu nennen, haben uns aber dann für den kürzeren und praktischeren Namen „/PrepareLegacyExchangePermissions“ entschieden.
Okay, das war nur ein Witz. Sie können jedoch gern die kürzere Form „/pl“ verwenden. Und das ist kein Witz – Ehrenwort!

KC Lemson ist User Experience Manager für Exchange Server. In ihrer Freizeit wartet sie auf E-Mails mit Empfehlungen dazu, wie sie das Geld für die Ausbildung ihrer Kinder anlegen soll.
Nino Bilicist Technical Lead für Exchange Server. Er beschäftigt sich damit zu testen, wie oft er es sich an einem normalen Arbeitstag erlauben kann, „Halo“ zu spielen.


 Sicherheit auf dem Pr&#252;fstand: Netzwerkzugriffschutz
Sicherheit auf dem Prüfstand
Netzwerkzugriffschutz
John Morello
Die Informationen in dieser Rubrik über Vorabversionen von Windows Server „Longhorn“ können sich jederzeit ändern.

Eine der größten Sicherheitsbedrohungen, denen sich Organisationen aller Größenordnungen in der heutigen Zeit gegenüber sehen, sind schädliche Geräte innerhalb des Netzwerkumkreises. Unabhängig davon, wie gut sich eine Organisation gegen externe Bedrohungen aus dem Internet geschützt hat, kann die Sicherheit der Organisation durch arglose Angestellte gefährdet werden, die unwissentlich als Angriffsmöglichkeit für die
Verbreitung schädlicher Software durch einen Wurm oder Trojaner missbraucht werden. Dies gilt besonders für IT-Umgebungen kleiner und mittlerer Organisationen, in denen Mitarbeiter ihre Laptops sowohl für geschäftliche als auch für private Zwecke nutzen und für die eine Implementierung von Technologien für die Netzwerkzugriffsteuerung oftmals zu teuer und zu komplex ist. Genau diese Organisationen bezahlen jedoch regelmäßig einen hohen Preis für Ausfallzeiten, sodass ein Schutz gegen diese Bedrohungen überaus wichtig ist.
Die NAP-Technologie (Netzwerkzugriffschutz, Network Access Protection) von Microsoft ermöglicht Organisationen aller Größenordnungen, den Zustand der Computer beim Einbinden in das Netzwerk proaktiv zu überprüfen und ständig dafür zu sorgen, dass diese Computer für die Dauer der Verbindung in einwandfreiem Zustand sind. NAP stellt Organisationen eine flexible, auf Richtlinien basierende Architektur zur Verfügung, um sich vor Computern zu schützen, die gegen Richtlinien verstoßen und die von Angestellten, Vertragspartnern oder Besuchern vorsätzlich oder versehentlich in das Netzwerk eingebracht werden. NAP baut auf vier Grundsäulen auf: Richtlinienüberprüfung, Isolierung, Wiederherstellung und kontinuierliche Einhaltung von Richtlinien.

Überblick über NAP
Der erste von NAP bereitgestellte Kerndienst ist die Richtlinienüberprüfung. Die Richtlinienüberprüfung ist der Prozess, in dem NAP ein System anhand einer Gruppe von durch den Administrator definierten Regeln bewertet und den Zustand des Systems klassifiziert.
IT-Administratoren geben eine Gruppe von Richtlinienelementen vor, anhand derer NAP Computer beim Verbindungsversuch mit dem Netzwerk bewertet werden. Computer, die den Richtlinienelementen entsprechen, werden als einwandfrei eingestuft, Computer hingegen, die einen oder mehrere dieser Tests nicht bestehen (wie vom Administrator vorgegeben), werden als nicht einwandfrei angesehen. Mithilfe dieser Richtlinien können verschiedenste Faktoren geprüft werden, z. B. das Vorhandensein von Antivirus- und Antispywaresoftware, ob eine Hostfirewall aktiv ist und ob der Computer über alle Sicherheitsupdates verfügt. Da NAP auf Erweiterbarkeit ausgelegt ist, können unabhängige Softwarehersteller zusätzlich ihre eigenen Plug-Ins für NAP erstellen, mit denen anwendungsspezifische Tests durchgeführt werden können.
Ein anderer wichtiger von NAP bereitgestellter Dienst ist die Einschränkung der Netzwerkkonnektivität. Abhängig von den durch einen Administrator festgelegten Richtlinien kann NAP Computer in verschiedene Zustände der Netzwerkkonnektivität versetzen. Wenn ein Computer z. B. als nicht einwandfrei angesehen wird, weil kritische Sicherheitsupdates fehlen, kann NAP diesen Computer in ein Quarantänenetzwerk platzieren, in dem der Computer so lange von der übrigen Umgebung isoliert wird, bis er wieder in einem einwandfreien Zustand ist. Ohne NAP hätte der nicht einwandfreie Client ungehinderten Zugriff auf das Netzwerk der Organisation. Wenn schädliche Software durch Sicherheitslücken auf den Computer gelangen könnte, die durch die fehlenden Updates geschlossen würden, könnte der Computer eine solche Infektion aktiv in das übrige Netzwerk verbreiten. Abbildung 1 zeigt einen Überblick der allgemeinen Architektur von NAP.
Abbildung 1 Allgemeine Architektur von NAP
Abbildung 1 Allgemeine Architektur von NAP
Ein einfaches Einschränken der Konnektivität ist jedoch keine effiziente Option für den Umgang mit nicht einwandfreien Computern (schließlich haben die Benutzer immer noch ihre Arbeit zu erledigen). Daher stellt NAP außerdem Wartungsdienste bereit, mit denen nicht einwandfreie und in Quarantäne versetzte Computer ohne Administratoreingriff in einen einwandfreien Zustand versetzt werden können. Im Beispiel oben würde das eingeschränkte Netzwerk dem nicht einwandfreien Computer lediglich ermöglichen, auf bestimmte Netzwerkressourcen zuzugreifen, die für die Installation fehlender Updates erforderlich sind, z. B. auf den Computer mit den Windows Server® Update Services (WSUS) der Organisation. Anders ausgedrückt: Mit installiertem NAP kann der nicht einwandfreie Computer lediglich auf die Netzwerkressourcen zugreifen, die den Computer in einen einwandfreien Zustand versetzen können, und der Computer kann erst dann Daten an das übrige Netzwerk senden, wenn er sich in einem einwandfreien Zustand befindet.
Die letzte Säule von NAP ist die kontinuierliche Einhaltung von Richtlinien, wobei die Zustandsrichtlinien so lange durchgesetzt werden, wie der Computer mit dem Netzwerk verbunden ist, nicht nur beim ersten Verbindungsaufbau. Überlegen wir uns anhand des Beispiels, was geschehen würde, wenn sich der Computer selbstständig aktualisiert hat und sich nun in einem einwandfreien Zustand befindet (und daher uneingeschränkten Netzwerkzugriff erhält). Wenn dieser Computer zu einem späteren Zeitpunkt erneut gegen Richtlinien verstößt, z. B. weil die Windows-Firewall deaktiviert wurde, kann NAP diesen Computer automatisch wieder unter Quarantäne stellen. NAP ermöglicht Administratoren außerdem, eine Auto-Wiederherstellung zu konfigurieren, wodurch der unzulässige Zustand automatisch und ohne zusätzlichen Benutzereingriff korrigiert wird, und dies auch noch lange nach dem ersten Verbindungsaufbau zum Netzwerk.
NAP nutzt mehrere verschiedene Verfahren für die Steuerung des Netzwerkzugriffs. Für Organisationen mit verwalteten Netzwerkswitches kann mithilfe von 802.1X eine auf Ports basierende Zugriffssteuerung auf der Hardwareschicht des Netzwerks realisiert werden. NAP bietet außerdem die Fähigkeit, eine auf IPSec-basierende Durchsetzung von Richtlinien zu realisieren, wobei mittels IPSec-Zuordnungen abgesicherte Netzwerke erstellt und über die physischen Netzwerke geschichtet werden. Mit der auf IPSec basierenden Durchsetzung von Richtlinien steuert NAP den Zugriff auf die sichere Zone, indem vom IPSec-Modul genutzte Zertifikate ausgegeben und entfernt werden. NAP kann weiterhin auch eine auf DHCP basierende Durchsetzung von Richtlinien gewährleisten. In diesem Fall weist der DHCP-Server nicht einwandfreien Clients IP-Leases von eingeschränkten Pools zu. Bei diesen Leases wird mithilfe von separaten DNS-Suffixen und IP-Routen gesteuert, auf welche Ressourcen ein mit Einschränkungen belegter Client zugreifen kann.
Die NAP-Serverkomponente baut auf der Folgeversion von Windows Server mit dem Codenamen „Longhorn“ auf, speziell auf dem neuen Netzwerkrichtlinienserver (Network Policy Server, NPS), dem erheblich erweiterten Nachfolger der Internetauthentifizierungsdienste. Für Organisationen, die mit einer auf 802.1X-basierenden Durchsetzung von Richtlinien arbeiten, muss die Netzwerkhardware 802.1X-Authentifizierung und dynamische VLAN-Funktionen unterstützen (detaillierte Informationen über konkrete Hardwarehersteller finden Sie auf der Website für NAP-Partner in der Randleiste zu NAP-Ressourcen). Für die auf DHCP basierende Durchsetzung von Richtlinien ist ein NAP-fähiger DHCP-Dienst erforderlich, z. B. der in Windows Server „Longhorn“ verfügbare Dienst. Auf dem Client ist die Unterstützung von NAP bereits in Windows Vista™ integriert. NAP-Unterstützung steht außerdem zukünftig als Add-On für Windows® XP gemeinsam mit einem neuen 802.1X-Supplicant zur Verfügung, der die 802.1X-Durchsetzung unter Windows XP ermöglicht.
Außerdem kann NAP in das Windows-Sicherheitscenter sowie in Systemintegritätsagents von Drittanbietern integriert werden und Informationen über den Zustand von Computern liefern. Aus diesem Grund ist NAP in der Lage, anhand der durch das Sicherheitscenter bereitgestellten Daten bei der Überprüfung der Einhaltung von Richtlinien Entscheidungen zu treffen.
NAP ist eine außerordentlich leistungsstarke Unternehmenslösung für die Verwaltung von Richtlinien. Daher ist es unmöglich, sämtliche Features und Bereitstellungsstrategien in einem einzigen Artikel abzuhandeln. Aus diesem Grund konzentriert sich dieser Artikel auf Bereitstellungen in kleinen und mittleren Organisationen, in denen die verfügbare Zeit des IT-Personals knapp genug bemessen ist und die NAP-Bereitstellung so optimiert werden kann, dass sich die für die Bereitstellung erforderlichen Investitionen schnell amortisieren. Viele der Hinweise und allgemeinen Anleitungen können jedoch auch auf einen NAP-Entwurf für Organisationen beliebiger Größe übernommen werden. Diese exemplarische Vorgehensweise ist allerdings nicht als Handbuch für ein schrittweises Setup gedacht, sondern eher als allgemeiner Überblick über die wichtigsten Schwerpunkte einer erfolgreichen Bereitstellung von auf DHCP basierendem NAP. Einen Link zu einem ausführlichen Setuphandbuch finden Sie in der Randleiste mit NAP-Ressourcen.

Problembeschreibung anhand von Contoso
Im Folgenden wird Contoso Inc. als Beispiel dafür herangezogen, wie NAP die speziellen Anforderungen kleiner und mittlerer Organisationen abdeckt. Contoso ist eine fiktive Organisation mittlerer Größe mit 250 Computern in insgesamt drei Hauptniederlassungen. Das Personal von Contoso arbeitet auf hochgradig mobile Weise, und viele Benutzer sind als Fernmitarbeiter tätig oder bauen von entfernten Kundenstandorten eine Verbindung zurück zur Hauptniederlassung auf. Aus diesem Grund besteht mehr als die Hälfte des gesamten Computerbestands aus Laptops und Tablet-PCs. Wie viele andere Organisationen auch sieht sich Contoso immer stärker wachsenden Sicherheitsherausforderungen gegenüber, da sich die Mobilität des Personals ständig erhöht. Einige Benutzer mit mobilen Computern haben sich schädliche Software von Kundensites oder Heimbüros eingehandelt und infizierte Computer an das interne Netzwerk von Contoso angeschlossen.
Contoso hat außerdem Schwierigkeiten, die Remotecomputer auf dem aktuellen Stand zu halten. Oftmals arbeiten Benutzer über längere Zeit von Kundenstandorten aus, bevor sie wieder in ein Büro von Contoso zurückkehren. In diesen Fällen liegen die von diesen Angestellten genutzten Computer oftmals Monate hinter den neuesten Sicherheitsupdates zurück, wodurch sich das allgemeine Risiko für die übrigen Computer im Netzwerk von Contoso erhöht. Contoso benötigt eine Lösung, mit der sichergestellt werden kann, dass alle Computer mit Verbindung zum Firmennetzwerk, ob von einem Remotestandort aus oder lokal, sicher und in einem einwandfreien Zustand sind.
Wie kann Contoso diese Ziele mithilfe von NAP erreichen? Rufen Sie sich die Hauptsäulen von NAP ins Gedächtnis zurück. Durch die Richtlinienüberprüfung kann NAP den Zustand aller Computer testen, die eine Verbindung zum Netzwerk von Contoso herstellen. Durch die Richtlinienüberprüfung kann ermittelt werden, ob ein Computer über aktuelle Antivirensignaturen verfügt und mit allen Sicherheitsupdates ausgestattet ist. Wenn die NAP-Routinen zur Richtlinienüberprüfung erkennen, dass sich ein Computer in einem nicht einwandfreien Zustand befindet, kann NAP die Konnektivität zum Netzwerk für nicht einwandfreie Hosts einschränken. Dadurch wird sichergestellt, dass ein Computer, der außerhalb des Unternehmens genutzt wurde und auf dem sich schädliche Software befindet, das Problem nicht in andere Bereiche des Netzwerks einbringen kann. NAP schränkt in diesem Fall die Konnektivität des verdächtigen Computers ein, damit dieser Computer ausschließlich auf die vom IT-Administrator von Contoso festgelegten Wiederherstellungsressourcen zugreifen kann. So würde der verdächtige Computer z. B. Zugriff auf den Contoso WSUS-Server und die auf Servern gehosteten Antivirensignaturen erhalten. Letztendlich kann NAP sicherstellen, dass nach der Wiederherstellung eines einwandfreien Zustands des Computers dieser Zustand auch kontinuierlich aufrechterhalten wird. Wenn der verdächtige Host von einem Fernpendler über VPN genutzt würde und der Benutzer die Firewall deaktiviert hätte, würde NAP im hier aufgeführten Beispiel das Problem automatisch beheben. Sobald die Firewall deaktiviert wurde, würde die NAP-Infrastruktur den Computer unter Quarantäne stellen, die Firewall wieder aktivieren, den Zustand des Computers erneut bewerten und, nach der Feststellung eines ordnungsgemäßen Zustands des Computers, dem Computer wieder uneingeschränkten Netzwerkzugriff ermöglichen. Durch die vier Säulen von NAP können die grundlegenden Sicherheitsanforderungen für die dynamische und mobile Computerumgebung von Contoso also direkt behandelt werden.

Der NAP-Entwurf
Für viele kleine und mittlere Organisationen ist eine auf DHCP basierende Durchsetzung von NAP die am schnellsten und am einfachsten umzusetzende Implementierungsmöglichkeit. Dies liegt daran, dass eine Durchsetzung mittels DHCP keine zusätzlichen Änderungen am Netzwerk und keine zusätzlichen Dienste über DHCP und NPS hinaus erfordert. Obwohl die Optionen für die Durchsetzung mittels IPSec und 802.1X flexibler sind, erfordern diese Optionen zusätzliche Änderungen am Netzwerk und die Bereitstellung neuer Dienste. Für Umgebungen geringerer Komplexität bietet die Verwendung von DHCP den größten Nutzeffekt von NAP, bei bedeutend geringeren Implementierungskosten und bei geringerem finanziellem Aufwand für den Betrieb.
In der Umgebung von Contoso wird als Herzstück für die Bereitstellung von NAP ein Computer genutzt, auf dem der Windows Server „Longhorn“ ausgeführt wird. Da NAP einen Windows Server „Longhorn“ NPS erfordert, kann NAP nicht unter früheren Versionen von Windows Server bereitgestellt werden. Auf DHCP basierende Durchsetzung von NAP erfordert weiterhin einen Windows Server „Longhorn“ DHCP-Server. Um Dienste zu konsolidieren, kann Contoso sowohl NPS als auch DHCP auf dem gleichen Server bereitstellen, da die beiden Programme ohne Probleme nebeneinander existieren können. Die grundlegende NAP-Server-Infrastruktur für Contoso ist also recht einfach: Ein einziger Computer mit Windows Server „Longhorn“ führt sowohl die Richtlinienkomponente als auch die Durchsetzungskomponente aus.
Clientseitig verfügen die Computer von Contoso, auf denen Windows Vista ausgeführt wird, bereits über die notwendigen Funktionen für die Unterstützung von NAP. Die einzige clientseitig erforderliche Änderung bei Computern mit Windows Vista besteht im Aktivieren der NAP-Funktionalität. Dies kann durch Gruppenrichtlinien erfolgen. Auf den Computern von Contoso, auf denen Windows XP ausgeführt wird, ist ein gesondertes NAP-Clientpaket zu installieren. Bei Computern, auf denen Windows XP ausgeführt wird und die zu Domänen zusammengeschlossen sind, ist das Windows-Sicherheitscenter standardmäßig deaktiviert. Wenn die NAP-Richtlinie den Zustand von Computern mithilfe von Statusinformationen des Sicherheitscenters bewertet, muss das Sicherheitscenter ausgeführt werden, damit NAP ordnungsgemäß funktioniert. Daher haben die Administratoren für alle Computer von Contoso, auf denen Windows XP ausgeführt wird, das Sicherheitscenter mithilfe einer Gruppenrichtlinie aktiviert. Über diese Änderungen hinaus sind clientseitig keine weiteren Schritte für die Unterstützung von NAP erforderlich.

NAP-Bereitstellung bei Contoso
Wenn Contoso die weiter oben erläuterten erforderlichen Änderungen an der Gruppenrichtlinie vorgenommen hat, muss als nächster Schritt der Bereitstellung von NAP der Windows Server „Longhorn“ installiert werden. Alle Versionen von Windows Server „Longhorn“ verfügen über die erforderlichen NAP-Komponenten. Contoso kann also die für das Unternehmen am besten geeignete Version verwenden. Nach Abschluss der Installation fügt der Administrator mithilfe des Server-Manager-Tools den Computern neue Rollen hinzu. Für die auf DHCP basierende Durchsetzung, die bei Contoso zur Anwendung kommt, sind die erforderlichen Rollen „Network Access Services“ und „DHCP Server“. Der Administrator wird bei der Verwaltung von Abhängigkeiten und beim Einfügen zusätzlicher gewünschter Features vom Assistenten für das Hinzufügen von Rollen unterstützt. Wenn alle Rollen hinzugefügt sind, kann Contoso mit dem Konfigurieren von NAP beginnen.
Der Administrator von Contoso greift mithilfe des Server-Manager-Tools auf das DHCP- Snap-In für die Microsoft Management Console (MMC) zu und fügt einen neuen Bereich hinzu. Durch das Konfigurieren des DHCP-Servers von Windows Server „Longhorn“ wird bewirkt, dass alle vorhandenen DHCP-Dienste in den bedienten IP-Segmenten ersetzt werden. Nachdem der Bereich erstellt und auf der Basis des Contoso-Netzwerks mit den richtigen Optionen aufgefüllt wurde, muss NAP im Netzwerk aktiviert werden. Dies erfolgt auf der Registerkarte „Network Access Protection“ der Bereichseigenschaften (siehe Abbildung 2).
Abbildung 2 Aktivieren von NAP
Abbildung 2 Aktivieren von NAP
NAP setzt Computer innerhalb des gleichen Bereichs mithilfe einer neuen NAP-Benutzerklassenbereichsoption auf eingeschränkten oder uneingeschränkten Netzwerkzugriff. Dieser besondere Satz von Bereichsoptionen (einschließlich DNS-Server, Standard-DNS-Suffix usw.) wird verwendet, wenn Leases für Clients in nicht einwandfreiem Zustand bereitgestellt werden. So erhalten z. B. Clients in ordnungsgemäßem Zustand das Standard-DNS-Suffix „contoso.com“, Clients in einem nicht einwandfreien Zustand hingegen das Suffix „restricted.contoso.com“ (siehe Abbildung 3). Nach Konfiguration der DHCP-Bereichsoptionen können der Netzwerkrichtlinienserver eingerichtet und Regeln angelegt werden.
Abbildung 3 Eingeschränkter Zugriff
Abbildung 3 Eingeschränkter Zugriff
Die NPS-Richtlinie besteht aus vier Hauptkomponenten. Durch Systemintegritätsprüfungen (System Health Validators, SHV) wird festgelegt, welche Überprüfungen zur Bewertung des Zustands eines Computers durchgeführt werden. Wartungsservergruppen enthalten die Liste der Systeme, auf die Computer in einem nicht einwandfreien Zustand zugreifen dürfen, um wieder einen einwandfreien Zustand herzustellen (z. B. WSUS). Mithilfe der Vorlage für Systemintegritätsprüfungen werden die eigentlichen Zustände definiert. Zum Beispiel könnte Contoso festlegen, dass ein Computer als „konform“ bewertet wird, wenn er die Systemintegritätsprüfung von Windows Security besteht, jedoch eine andere SHV-Überprüfung des Herstellers der Antivirussoftware nicht besteht. Zum Schluss werden diese Komponenten in einem Satz von Netzwerkrichtlinien kombiniert. Dieser enthält eine Logik, über die bestimmt wird, was mit den Computern abhängig von ihrem Zustand geschehen soll.
Systemintegritätsprüfungen sind Listen von Elementen, die der NAP-Agent überprüft. Anschließend wird der entsprechende Status an den NPS berichtet. Eine Standard-NAP-Bereitstellung umfasst den Windows-SHV, der in das Windows-Sicherheitscenter integriert werden kann und NAP ermöglicht, den Status aller vom Sicherheitscenter berichteten Sicherheitskomponenten zu prüfen. Dazu gehören Komponenten wie Firewall, Antivirus, automatisches Update und Antispyware.
Erinnern Sie sich, dass NAP im Hinblick auf Erweiterbarkeit entworfen wurde und dass Drittanbieter ihre eigenen SHVs erstellen können, um detailliertere Überprüfungen einzelner Komponenten zu ermöglichen. (Weitere Informationen finden Sie unter microsoft.com/windowsserver2003/partners/nappartners.mspx.) So ermöglicht z. B. der Windows-Sicherheits-SHV, dass NAP prüfen kann, ob eine Antivirussoftware aktiv und auf dem aktuellen Stand ist. Der Windows-Sicherheits-SHV kann jedoch keine detaillierteren Prüfungen der Antivirussoftware ausführen, z. B. wie oft der Computer gescannt wurde oder andere anwendungsspezifische Optionen. Der Hersteller der Antivirussoftware könnte jedoch einen eigenen SHV erstellen, der tiefer in die Anwendung eindringt und umfangreichere anwendungsspezifische Überprüfungen ausführt als der Standard-Windows-SHV. Dieser SHV arbeitet dann mit dem Windows-SHV und anderen möglicherweise vorhandenen SHVs zusammen, da eine NAP-Bereitstellung eine Vielzahl an SHVs gleichzeitig verwenden kann (siehe Abbildung 4).
Abbildung 4 Windows -Sicherheits-SHV
Abbildung 4 Windows -Sicherheits-SHV
Mithilfe von Wartungsservergruppen wird vorgegeben, auf welche Ressourcen ein Computer in einem nicht einwandfreien Zustand zugreifen kann. Diese Gruppen umfassen oftmals Ressourcen wie WSUS oder Systems Management Server (SMS)-Server sowie Server mit Antivirusupdates. Besonders wichtig ist, dass nicht nur die Server selbst in diesen Gruppen erfasst werden, sondern auch die Namensauflösungsserver, mit deren Hilfe die Clients nach eben diesen Servern suchen. Da die Clients von Contoso über Gruppenrichtlinien konfiguriert wurden, um den Server mit dem Namen „wsus.contoso.com“ für automatische Updates zu verwenden, muss die Gruppe der Wartungsserver nicht nur die IP-Adresse des WSUS-Servers enthalten, sondern auch die IP-Adresse des DNS-Servers, über den Clients den vollqualifizierter Domänennamen (fully qualified domain name, FQDN) in eine numerische IP-Adresse konvertieren. Ohne Zugriff auf diese Namensauflösungsressourcen (wobei es sich je nach Konfiguration der Clients sowohl um einen DNS als auch um einen WINS handeln kann) sind Clients nicht in der Lage, die IP-Adressen von Wiederherstellungsressourcen aufzulösen, und könnten folglich nicht auf diese Ressourcen zugreifen. Abbildung 5 zeigt die DNS- und IP-Einstellungen für das Beispiel.
Abbildung 5 DNS-Namen und IP-Adressen
Abbildung 5 DNS-Namen und IP-Adressen
Mithilfe von Vorlagen für Systemintegritätsprüfungen wird festgelegt, was den ordnungsgemäßen Zustand eines Computers ausmacht. Prüfungsvorlagen legen anhand der Ergebnisse von SHV-Überprüfungen abhängig von den bestandenen bzw. fehlgeschlagenen Überprüfungen fest, ob sich ein Computer in einem ordnungsgemäßen Zustand oder in einem nicht einwandfreien Zustand befindet (siehe Abbildung 6).
Abbildung 6 Konformitätsprüfungen
Abbildung 6 Konformitätsprüfungen
In der Umgebung von Contoso sind (wie bei den meisten kleinen und mittleren Bereitstellungen) nur zwei Zustände definiert. Ein Computer befindet sich in einem ordnungsgemäßen Zustand, wenn er alle SHV-Überprüfungen besteht. Ein Computer befindet sich in einem unzulässigen Zustand, wenn er eine oder mehrere dieser Überprüfungen nicht besteht. Organisationen können sich bei Bedarf dafür entscheiden, eine kompliziertere Logik zu implementieren (z. B. unterschiedliche Konformitätsstandards für Benutzer auf der Basis von Rolle, Abteilung, geografischer Region usw. zu erstellen). Es sollte allerdings berücksichtigt werden, dass dadurch das Erkennen und Beheben von Problemen möglicherweise schwieriger und zeitaufwändiger wird.
All diese Komponenten werden durch Netzwerkrichtlinien zu einem Ganzen verbunden. Netzwerkrichtlinien werden von Administratoren festgelegt und weisen NPS an, wie Computer aufgrund ihres Zustands zu behandeln sind. Diese Richtlinien werden von oben nach unten eingeschätzt (wie in der NPS-Benutzeroberfläche dargestellt), und die Verarbeitung wird beendet, sobald eine Richtlinienregel erfüllt wird.
Es muss nochmals betont werden, dass das Netzwerk von Contoso möglichst einfach behandelt werden soll, daher sind nur einige wenige Richtlinien erforderlich. An erster Stelle steht die Richtlinie für den vollständigen Zugriff für Computer in ordnungsgemäßem Zustand. Diese Richtlinie besagt, dass Computern, die alle SHV-Überprüfungen bestanden haben, uneingeschränkter Netzwerkzugriff gewährt wird. Genauer gesagt: Wenn der Zustand eines Computers bewertet wird und dabei alle Überprüfungen bestanden werden, weist der NPS den DHCP-Server an, dem Computer eine IP-Lease mit „normalen“ Bereichsoptionen anzubieten. Diese Richtlinie für den vollständigen Zugriff für Computer in ordnungsgemäßem Zustand sollte in der Regel an erster Stelle in der Verarbeitungsreihenfolge aufgelistet werden, da sich die meisten Computer bei der Überprüfung in einem ordnungsgemäßen Zustand befinden sollten. Durch Aufführen dieser Richtlinie an erster Stelle verringern sich Verarbeitungsmenge und -zeit für den NPS.
Die nächste Richtlinie, die zur Anwendung kommt, ist die für eingeschränkten Zugriff für Computer in unzulässigem Zustand. In der Umgebung von Contoso entspricht jeder Computer dieser Richtlinie, der eine oder mehrere SHV-Überprüfungen nicht besteht (und somit der Vorlage für die Bestätigung einer nicht ausreichenden Systemintegrität entspricht). Wenn diese Richtlinie erfüllt ist, weist der NPS den DHCP-Server an, dem Client eine IP-Lease mit den speziellen NAP-Bereichsoptionen „Eingeschränkt“ anzubieten. Dadurch erhalten Computer in einem unzulässigen Zustand nur auf die Ressourcen Zugriff, die in der Gruppe der Wartungsserver von Contoso definiert wurden.
Die dritte verwendete Richtlinie dient der Abwärtskompatibilität. Erinnern Sie sich, dass NAP-Unterstützung standardmäßig für Windows XP und neuere Betriebssysteme verfügbar ist (obwohl unabhängige Softwarehersteller NAP-Clients für ältere Versionen von Windows und Nicht-Windows-Betriebssystemen entwickeln können). Wenn bei Contoso noch Windows 2000 verwendet wird, kann Contoso eine Regel (laut Beispiel die Regel für vollständigen Zugriff zwecks Abwärtskompatibilität) aufstellen, die Computern ohne NAP-Funktionalität einen normalen Zugriff auf das Netzwerk gewährt (also Standardbereichsoptionen durch den DHCP-Server zuteilt). Diese Richtlinie sollte an letzter Stelle bewertet werden und muss nur erstellt und aktiviert werden, wenn Computer mit früheren Betriebssystemen Netzwerkzugriff benötigen (siehe Abbildung 7).
Abbildung 7 Zugriffseinstellungen für Computer mit früheren Betriebssystemen
Abbildung 7 Zugriffseinstellungen für Computer mit früheren Betriebssystemen
Was geschieht, wenn Contoso über Ressourcen im Netzwerk verfügt, die nicht NAP-fähig sind und auch nie sein werden, z. B. Drucker oder andere Hardware? Was geschieht außerdem, wenn Contoso über Computer verfügt, die zwar NAP-fähig sind, jedoch vorläufig oder dauerhaft von der Richtlinienüberprüfung ausgeschlossen werden sollen? Eine einfache Möglichkeit, diese Computer auszuschließen, bietet die MAC-Adresse. Um die NAP-Überprüfungen für diese Computer zu umgehen, können die Administratoren von Contoso eine neue Richtlinie erstellen (Ausschluss durch MAC), die vollen Netzwerkzugriff gewährt. Diese Richtlinie verwendet eine Bedingungsanweisung, in der die RADIUS-Clienteigenschaft der Anrufstationskennung mit der MAC-Adresse derjenigen Geräte abgeglichen wird, die eine Umgehung der NAP-Überprüfung benötigen. Wenn ein Computer dieser Richtlinienanweisung entspricht, weist NPS den DHCP an, eine IP-Lease mit „normalen“ Bereichsoptionen anzubieten. Diese Richtlinie sollte an erster Stelle in der Bewertungsreihenfolge aufgeführt werden, um die Gesamtmenge und die benötigte Verarbeitungszeit für den NPS zu verringern. Computer, die dieser Richtlinie entsprechen, benötigen keinerlei SHV-Überprüfung, und es macht daher keinen Sinn, NPS-Zyklen für die Überprüfung dieser Computer einzusetzen (siehe Abbildung 8).
Abbildung 8 Ignorieren bestimmter Computer
Abbildung 8 Ignorieren bestimmter Computer
Eine Kombination dieser Richtlinien trägt dazu bei, dass der NPS von Contoso Computer, die eine Verbindung zum Netzwerk herstellen, schnell und genau bewertet. Darüber hinaus bieten die Richtlinien Ausnahmen für ältere Computer und Geräte oder für Fälle, in denen eine vorläufige Umgehung für NAP-fähige Geräte erforderlich ist.

Schlussbemerkung
NAP umfasst eine breite Technologiepalette und erfordert besonders bei komplizierteren Szenarios eingehende Planung und Prüfung. In diesem Artikel ging es um ein weniger kompliziertes Szenario, auf der NAP-Website finden Sie jedoch ausführlichere Anleitungen für Bereitstellungen aller Größenordnungen. Die Website beinhaltet außerdem Planungshilfen für Durchsetzungstechnologien auf der Basis von 802.1X und IPSec. Diese Technologien sind für Unternehmen oftmals besser geeignet als eine Durchsetzung auf DHCP-Basis.
NAP stellt eine leistungsstarke und erweiterbare Plattform zum Bewerten des Zustands von Computern bereit, die eine Verbindung zu einem Netzwerk herstellen. Für kleine und mittlere Organisationen bietet eine auf DHCP basierende Durchsetzung viele Vorteile bei gleichzeitig niedrigen Kosten für Implementierung und Verwaltung. NAP ist einer der wichtigsten Vorteile von Windows Server „Longhorn“, durch den Ihre Organisation bei der Verbesserung der Sicherheit und der Einhaltung von Richtlinien unterstützt wird.
NAP-Ressourcen
  • Netzwerkzugriffschutz
  • Einrichten einer Dynamic Host Configuration Protocol-Durchsetzung für Netzwerkzugriffsschutz in einer Testumgebung
  • Netzwerkzugriffschutz-Partner
  • Whitepaper-Webcast „Einführung in den Netzwerkzugriffsschutz“

John Morello ist seit sechs Jahren in verschiedenen Positionen bei Microsoft tätig. Als leitender Berater hat er Sicherheitslösungen für Fortune 100-Firmen sowie für US-amerikanische Kunden aus dem zivilen Bereich und dem Verteidigungswesen entworfen. Derzeit arbeitet er als leitender Programmmanager in der Windows Server Group an Technologien für ortsunabhängigen Zugriff.


 Die Desktopdateien: Windows-Bereitstellungsdienste unter neuen Gesichtspunkten
Die Desktopdateien
Windows-Bereitstellungsdienste unter neuen Gesichtspunkten
Wes Miller

Ich habe bereits in mehreren vor kurzem veröffentlichten Artikeln Bereitstellungstechnologien für Windows Vista und die nächste Version von Windows Server mit dem Codenamen „Longhorn“ besprochen. Da die Softwareentwicklung nie stillsteht, sollen in diesem Artikel neue Funktionen der Windows-Bereitstellungsdienste betrachtet werden, die in
Windows Server® „Longhorn“ enthalten sind. Darüber hinaus werden Fragen zu ImageX, WDS und Windows® PE beantwortet, die in den letzten Monaten von Lesern gestellt oder in verschiedenen Diskussionsforen erörtert wurden.

Neue Features und Verbesserungen
Laut der ersten Planungsphase von WDS sollte die als Add-On zu Windows Server 2003 enthaltene Bereitstellungsfunktion der Version ähneln, die zu einem späteren Zeitpunkt mit Windows Server „Longhorn“ ausgeliefert würde. Das WDS-Entwicklungsteam für Windows Server „Longhorn“ hat jedoch intensiv an drei neuen Schlüsselfeatures für WDS gearbeitet, die exklusiv auf der Longhorn-Plattform zur Verfügung stehen sollen.
Bei diesen neuen Features handelt es sich um die Multicastbereitstellung, verbesserte TFTP-Downloadleistung und Netzwerkstartunterstützung für Extensible Firmware Interface (EFI) für x64-Systeme. Es handelt sich hierbei um wichtige Features, die WDS-Benutzern und -Administratoren eine Reihe von Vorteilen bieten. Im Folgenden werden die einzelnen Features besprochen. Ein wichtiger Hinweis: Es ist nicht geplant, diese Features in eine zukünftige Version von WDS für Windows Server 2003 zu integrieren.

Multicast
Lange vor meiner Tätigkeit im Windows-Team war Multicast bereits eines der am häufigsten diskutierten und angeforderten Features für Remoteinstallationsdienste (Remote Installation Services, RIS) und sogar für die Windows-Bereitstellung allgemein. Kunden, die bereits Bereitstellungssoftware von Drittanbietern verwendet hatten, waren sich des Potenzials der Multicastbereitstellung bewusst. Multicast war zu dem Zeitpunkt bei Microsoft nur in einigen wenigen Bereitstellungstechnologien für bestimmte Szenarios implementiert, beispielsweise in den automatisierten Bereitstellungsdiensten (Automated Deployment Services, ADS). Diese standen jedoch nicht für die OEM- und Unternehmensbereitstellung zur Verfügung. In Gesprächen mit OEM- und Unternehmenskunden wurde die Multicast-Bereitstellung jedoch häufig gewünscht.
Der Hauptvorteil von Multicast besteht darin, dass mehrere Computer eine Meldung gleichzeitig empfangen können. Der Absender (in diesem Fall der WDS-Server) sendet die zu übermittelnden Informationen jedoch nur einmal. Jeder Client muss dann die gesamte Kommunikation abhören, um sie zu empfangen. Da alle Clients gleichzeitig eine bestimmte Netzwerkadresse abhören, entsteht ein doppelter Vorteil: Erhöhte Bereitstellungsgeschwindigkeit, da das Netzwerk nicht so stark durch mehrere Clients überlastet ist, die die gleiche Aufgabe durchführen, sowie eine reduzierte Netzwerkauslastung, da jeder Client einen einzigen Datenstrom abhört.
Der Nachteil bestand in der Vergangenheit in der Infrastruktur von Multicast. Denken Sie an das Spiel „Stille Post“, das viele von uns als Kinder gespielt haben. Sie erinnern sich sicherlich, wie es funktioniert:
  1. Sie flüstern Ihrem Nachbarn eine Nachricht zu.
  2. Ihr Nachbar hört die Nachricht
  3. und sagt sie seinem Nachbarn weiter.
  4. Das geht so weiter, bis alle Mitspieler einmal dran waren.
Das Problem besteht beim Multicast darin, dass Sie die Nachricht nur an vier Personen weitersagen können, wenn sich alle vier Personen im Raum befinden und gleichzeitig zuhören. Wenn eine fünfte Person den Raum betritt, müssen Sie für diese die gesamte Nachricht wiederholen, es sei denn, sie weiß, dass sie sofort zuhören muss.
Multicast funktioniert in der Regel genauso. Sie senden ein binäres Abbild (in der Regel ein sektorbasiertes Datenträgerabbild). Alle Empfängerclients müssen normalerweise in einer Warteschlange warten, wenn sie nicht sofort bei der ersten Übertragung des Abbilds bereit sind. Noch ärgerlicher ist es, wenn Clients aufgrund von Netzwerk- oder Leistungsproblemen zu viele Daten verlieren. In diesem Fall müssen sie entweder die Kommunikationswarteschlange ganz verlassen (da nicht sichergestellt werden kann, dass sie das gesamte Datenträgerabbild empfangen haben), oder die ganze Gruppe muss die Geschwindigkeit herabsetzen, damit die Bedürfnisse des Clients berücksichtigt werden, bei dem es Probleme gibt. In einem Szenario, in dem Sie Hunderte von Systemen gleichzeitig bereitstellen, muss beim Entwerfen eines Multicastsystems unbedingt sichergestellt werden, dass alle Clients gleichzeitig starten und dass sich die Geschwindigkeitsprobleme eines Clients nicht nachteilig auf die anderen Clients auswirken.
Das WDS-Team hat grundlegende Änderungen vorgenommen und stellt jetzt ein neues Multicastmodul bereit, das die Vorteile der dateibasierten Infrastruktur des Windows Imaging-Formats (WIM) nutzt und damit einzigartige Funktionen bietet. Sie können die gleichen Multicast-Bereitstellungsszenarios durchführen wie mit den meisten Multicastanwendungen von Drittanbietern, doch die Multicastlösung für WDS bietet noch viel mehr.
Erstens können sich Clientcomputer jederzeit der Übertragung anschließen. Der Multicastbroadcast ist ein „Roundrobin“-Broadcast von Dateidatenströmen, die so lange übertragen werden, bis alle Clientcomputer sie empfangen haben. Aus diesem Grund spielt es keine Rolle, wann die Clients online gehen. Sie hören den WDS-Server ab, und wenn der Server den Abbilddateibroadcast abgeschlossen hat, fängt er noch einmal von vorne an. Wenn ein Client eine Datei verpasst, hört er so lange ab, bis sie ihn wieder erreicht (wie bei einem Karussell).
Zweitens wurde das Protokoll völlig neu konzipiert und enthält jetzt Features für Überlastungssteuerung und Flusssteuerung. Das bedeutet, dass ein reibungsloser Ablauf in Produktionsnetzwerken ohne Störung vorhandener Netzwerkkommunikation gewährleistet werden kann. Viele Netzwerkadministratoren befürchten, dass das Netzwerk durch Multicastlösungen mit Datenverkehr überflutet wird (dies trifft tatsächlich auf einige Multicastlösungen zu), obwohl ja eigentlich die Kommunikation effizienter gestaltet werden soll.
Drittens funktioniert diese Lösung unabhängig von WDS und Active Directory®. Daher benötigen Sie für die Nutzung weder Active Directory noch eine aktive WDS-Implementierung. ImageX-Multicast kann unabhängig durchgeführt werden und ist für viele weitere Szenarios geeignet. Der Multicastclient ist eine Befehlszeilenanwendung, die unter Windows Server „Longhorn“ (und der zugehörigen Version von Windows PE), Windows Vista™, Windows XP Service Pack 2 (SP2) oder Windows Server 2003 SP2 (vor kurzem veröffentlicht) ausgeführt werden kann.
Die WDS MMC und die WDSUtil-Anwendung enthalten neue Verwaltungsaufgaben zum Einrichten und Konfigurieren von Multicast. In der Benutzeroberfläche des WDS-Clients wird jetzt angegeben, dass Multicast verwendet wird.
Die WDS-Verwaltungstools ermöglichen Administratoren, den Übertragungsfortschritt an Clients in Echtzeit zu überwachen (neben dem Entfernen von Clients aus einer Übertragung). Die Verwaltungstools bieten zudem eine vollständige Protokollierung und Berichterstattung. Aus diesem Grund können Administratoren nun Installationen protokollieren, was in RIS nicht möglich war.
Die Ankündigung von Multicast in WDS für Windows Server „Longhorn“ ist wirklich hochinteressant. Es ist fantastisch, dass es dem Team gelang, diesen häufig geäußerten Kundenwunsch auf eine Weise zu erfüllen, die OEM- sowie Unternehmenskunden gleichermaßen zufriedenstellen wird.

Verbesserte TFTP-Downloadleistung
Trivial File Transfer Protocol (TFTP) ist eine zentrale Komponente des Pre-boot eXecution Environment (PXE) und stellt das Rückgrat von RIS und nun auch von WDS dar. TFTP wurde nicht wegen Netzwerkeffizienz oder Stabilität ausgewählt, sondern aufgrund der Tatsache, dass es sich um ein äußerst kleines Protokoll handelt (statusfrei, nicht sicher und UDP-basiert). Daher ist es für eine Kapselung in einer Start-ROM geeignet, die für Systeme zum PXE-Start vom Netzwerk erforderlich ist.
Der TFTP-Daemon (TFTPD) wurde für Windows Server „Longhorn“ vollständig neu geschrieben, sodass die TFTP-Downloadzeiten erheblich reduziert wurden. (Diese Verbesserung ist von großer Bedeutung, da nun die gesamte WDS-Bereitstellung auf einem Windows PE-Start vom RAM-Abbild basiert.) Dies ist eine gute Nachricht für Kunden, die eine bessere Leistung für den Download von Windows PE von RIS oder WDS auf Windows Server 2003 wünschen.
Da sich die PC-Welt allmählich vom weit verbreiteten BIOS (dem Backbone der heutigen x86-PCs) zum EFI bewegt, wurde WDS bereits für die neu verfügbaren x64-Serversysteme konzipiert, die mit EFI anstatt mit BIOS starten. Die enthaltene Funktionalität ermöglicht x64-Clientsystemen einen PXE-Start von einem WDS-Server.

Frage
Angesichts der vorliegenden WDS-Aktualisierung sollen im restlichen Teil dieses Artikels einige Fragen beantwortet werden, die ich per E-Mail erhalten habe oder die vor kurzem online diskutiert wurden. Ich hoffe, dies entspricht dem Wunsch der Leser.

F: Ist es möglich, WDS in einer anderen Umgebung als DHCP zu verwenden? Mein Netzwerk lässt keinen DHCP- oder PXE-Datenverkehr zu.
A: Ja, Sie können WDS natürlich in einer anderen Umgebung als DHCP verwenden. Diese Lösung ist jedoch nicht optimal, da Sie für jede zu unterstützende Installation eine einmalige CD mit einer eindeutigen IP-Adresse erstellen müssen. Es empfiehlt sich daher, für die Installation DVDs zu verwenden. Wenn Sie die Installation über WDS ohne DHCP durchführen müssen, gehen Sie folgendermaßen vor:
  1. Erstellen Sie ein WDS-Ermittlungsabbild mit einem statisch definierten Server (als Verweis auf den bestimmten WDS-Server, von dem die Installation durchgeführt wird).
  2. Lassen Sie DHCP-Datenverkehr an Port 4011 auf diesem WDS-Zielserver zu. Auch wenn Sie DHCP nicht verwenden, müssen Sie dies zulassen, da auf diese Weise WDS-Clients einen Handshake mit dem Server durchführen.
  3. Erstellen Sie einmalige Windows PE-Medien mit einer statischen IP-Adresse anstatt DHCP.
Diese Lösung ist allerdings mühsam, weil die Clientmedien einmalig sein müssen, um IP-Adressenkonflikte zu vermeiden. Zudem müssen Sie auf einen bestimmten WDS-Server auf Ihrem Netzwerk verweisen. Da PXE (basiert selbst auf DHCP) der Backbone von WDS ist, ist leicht zu erkennen, warum WDS viel besser funktioniert, wenn DHCP in Ihrer Umgebung zugelassen ist.

F: Ich möchte einen PXE-Start von Windows PE 2.0 von einem anderen PXE-Server als WDS durchführen. Wie kann ich das erreichen?
A: Der Knowledge Base-Artikel unter support.microsoft.com/kb/926172 enthält Informationen zum Ausführen von Windows PE 2.0 von einem Server, der kein WDS PXE-Server ist. Beachten Sie jedoch, dass die Unterstützung durch Microsoft hierfür begrenzt ist.

F: Was ist BDD? Ist das Windows Automated Installation Kit (WAIK) ein Teil davon?
A: BDD (eigentlich Business Desktop Deployment Solution Accelerator) ist ein Anleitungsframework für die Verwendung von Windows-Bereitstellungstools (z. B. das WAIK) auf überschaubare und reproduzierbare Art und Weise. Das WAIK ist nicht direkt ein Teil von BDD. BDD fasst aber alle notwendigen Tools einschließlich des WAIK zusammen, damit Sie sie installieren können, falls dies nicht bereits geschehen ist. Folglich enthält BDD das WAIK zwar nicht, benötigt es aber, um ordnungsgemäß zu funktionieren. Weitere Informationen zu BDD erhalten Sie unter microsoft.com/desktopdeployment.

F: Wo erhalte ich WDS für mein Windows Server 2003-System?
A: WDS steht als Teil des WAIK-Downloads im WDS-Verzeichnis zur Verfügung (siehe go.microsoft.com/fwlink/?LinkId=85377).

F: Wie kann ich Windows PE 2.0 so konfigurieren, dass der Start mit einer statischen IP-Adresse durchgeführt und eine DNS-Konfiguration unterstützt wird?
A: Konfigurieren Sie eine statische IP mithilfe des unattend.xml-Beispiels in Abbildung 1. Speichern Sie es im Stammverzeichnis Ihrer CD, Ihres USB-Flashlaufwerks oder auf anderen startbaren Medien, von denen es übernommen werden kann. Wenn Sie zudem DNS-Unterstützung benötigen, müssen Sie den folgenden Befehl ausführen:
Figure 1 Abbildung 1 unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

F: Ist es möglich, Windows PE von einem Fibre Channel-Controller zu starten?
A: Ja, sofern der Fibre Channel-HBA die Registrierung des Startvolumes über Int13 unterstützt, damit es im BIOS als startbares Volume für Windows PE erscheint. Außerdem muss der Treiber für den Fibre Channel-Controller hinzugefügt werden. Dies erfolgt genau wie bei jedem anderen integrierten Speichercontrollertreiber.

F: Windows PE 2.0 startet immer von einer RAMDisk. Einige meiner Systeme verfügen nicht über genügend Arbeitsspeicher für einen derartigen Start. Kann ich Windows PE 2.0 ohne eine RAMDisk starten?
A: Ja. Insbesondere bei Systemen mit weniger als 256 MB RAM muss der Start möglicherweise mit einer Implementierung von Windows PE ohne RAMDisk erfolgen. Derzeit wird ein Supportartikel von Microsoft erstellt, der diese Vorgehensweise beschreibt. Einige wichtige Warnhinweise: Sie können Medien nicht wie bei einer RAMDisk austauschen. Darüber hinaus dauert der Start länger als bei einer RAMDisk-basierten Version von Windows PE 2.0.

F: Ich habe versucht, Windows PE 2004 und Windows PE 2005 (1.5 oder 1.6) von anderen Medien als von einer DVD zu starten und ein Abbild (oder andere Daten) von einer DVD zu kopieren. Ich starte nun nicht von DVD, sondern kopiere nur Daten davon, dies funktioniert jedoch nicht. Die DVD ist unter einer vollständigen Installation von Windows lesbar, aber unter Windows PE erhalte ich eine Fehlermeldung, dass das Volume beschädigt oder unlesbar ist. Kann ich diesen Fehler beheben?
A: Ja. Standardmäßig unterstützt Windows PE 1.x UDF-formatierte Medien nicht. DVDs sind definitionsgemäß entweder mit ISO Bridge-Unterstützung formatiert (ein duales Format aus ISO und UDF) oder nur mit UDF. Sie müssen der Windows PE-Installation den UDF-Treiber hinzufügen, damit dies funktioniert. Der Treiber ist bereits vorhanden, nur noch nicht installiert. Gehen Sie für die Installation folgendermaßen vor:
  1. Öffnen Sie in Editor die txtsetup.sif-Datei im I386-Verzeichnis (oder im Falle einer Festplatteninstallation von Windows PE im MiniNT-Verzeichnis).
  2. Suchen Sie den Abschnitt mit dem Namen „[CdRomDrivers.Load]“ und die Zeile mit dem Treiber namens cdfs.sys. Fügen Sie unter dieser Zeile die Zeile „udfs = udfs.sys“ ein. Der Eintrag sollte in etwa folgendermaßen aussehen:
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Suchen Sie den Abschnitt mit dem Namen „[CdRomDrivers]“ und die Zeile mit cdfs. Fügen Sie unter dieser Zeile die Zeile „udfs = "Universal Disk File System"“ hinzu. Der Eintrag sollte etwa wie folgt aussehen:
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Speichern und schließen Sie die Datei „txtsetup.sif“, und erstellen Sie das Windows PE-Abbild bei Bedarf neu. Sie müssten jetzt jede beliebige UDF-formatierte DVD von Windows PE aus lesen können.

F: Ich besitze eine Anzahl älterer Systeme, auf denen ich Windows XP ausführe. XP unterstützt jedoch nicht ACPI. Kann ich auf diesen Systemen Windows PE 2.0 verwenden, um sie auf Windows Vista zu migrieren oder um Windows XP neu zu installieren?
A: Nein, dies ist nicht möglich. Windows PE 2.0 unterstützt nur ACPI-kompatible Systeme (Advanced Configuration and Power Interface) und startet auf diesen Systemen nicht. Wenn Sie Windows PE auf diesen Systemen verwenden müssen, verwenden Sie Windows PE 1.6 oder eine frühere Version.

F: Ich habe meine eigene Anwendung in Visual Studio® 2005 geschrieben und würde sie gerne unter Windows PE (1.x oder 2.0) ausführen. Funktioniert dies?
A: Das hängt davon ab, wie Ihre Anwendung geschrieben wurde. Wenn Sie nicht verwalteten C++-Code verwenden, müsste Ihre Anwendung funktionieren. Wenn Sie eine der verwalteten Codesprachen (zum Beispiel C# oder J#) verwenden oder verwalteten C++-Code schreiben, funktioniert sie nicht. Da das Microsoft® .NET-Framework (beliebige Version) nicht unter Windows PE verfügbar ist, wird verwalteter Code nicht ausgeführt.

F: Ich möchte meine eigene Anwendung für die Verwendung unter Windows PE 2.0 schreiben und benötige Hilfe. Wo kann ich Informationen erhalten?
A: Als Einstieg ist das Whitepaper für das Windows PE-Entwicklerhandbuch zu empfehlen.

F: Ich habe Windows PE 2.0 mehrmals von einer CD gestartet, aber der Laufwerkbuchstabe (der RAMDisk) lautet immer X. Wie kann ich ermitteln, von welchem Laufwerk der Start tatsächlich durchgeführt wurde?
A: Der folgende Schlüssel in der Registrierung gibt den Laufwerkbuchstaben an, von dem Windows PE ursprünglich gestartet wurde:
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Wenn dieser Schlüssel nicht aufgefüllt wurde, weil eine Drittanbietershell innerhalb von Windows PE verwendet wurde, führen Sie den folgenden Befehl aus, um den richtigen Wert zu erhalten:
start /w wpeinit UpdateBootInfo

F: Ist es möglich, ImageX- und WIM-Dateien zum Sichern meiner Systeme zu verwenden?
A: Theoretisch ist dies möglich, ich würde es jedoch nicht empfehlen. ImageX kann gesperrte oder geöffnete Dateien nicht wie ein echtes Sicherungstool sichern. Ich empfehle die Verwendung eines echten Sicherungsprogramms, mit dem Sie geöffnete und gesperrte Dateien schützen können.

F: Ist die Bereitstellung einer WIM-Datei, die in dekomprimiertem Zustand aufgezeichnet wurde, schneller als die Bereitstellung des gleichen Volumeabbilds in komprimiertem Zustand?
A: Nein. Die Aufzeichnung dauert wegen der Komprimierung länger. Die Anwendung des Abbilds auf ein Zielsystem dauert unabhängig vom verwendeten Komprimierungstyp (keiner, XPress oder LZX) nicht viel länger. Es empfiehlt sich, die Entscheidung über die Komprimierung von der gewünschten Abbildgröße und der Zeit abhängig zu machen, die Ihnen für die Aufzeichnung zur Verfügung steht.

F: Muss ich die Festplatte partitionieren und formatieren, wenn ich darauf ein WIM-Abbild anwenden möchte?
A: Ja. Um ein sauberes Abbild eines Systems zu erhalten, müssen Sie zunächst das Volume mithilfe des Diskpart-Tools säubern (oder die Zielpartition löschen und neu erstellen). Alternativ können Sie das Volume vollständig vor der Anwendung formatieren.
Beachten Sie des Weiteren, dass Windows-Versionen vor Windows Vista einen anderen Startsektor verwenden. Wenn Sie also Windows Server 2003 oder früher mithilfe von Windows PE 2.0 bereitstellen, müssen Sie den folgenden Befehl von Windows PE aus ausführen, um einen Startsektor festzulegen, von dem Windows Server 2003 oder früher starten kann, bevor Sie mit dem Windows-Setup oder dem Anwenden eines WIM beginnen:
bootsect /nt52 sys C: /force

Schlussbemerkung
Ich hoffe, dass die neuen Informationen zu WDS und die Antworten auf diese Fragen für Sie hilfreich und interessant sind. Ich freue mich über Ihre Fragen, die ich, wann immer möglich, in dieser Rubrik beantworten werde. Bitte senden Sie Fragen weiterhin per E-Mail an die angegebene Adresse.
Windows Vista-Hardwarebewertung
Baldwin Ng

Eine gute Nachricht – Ihr Manager reagiert endlich auf einen Vorschlag, den Sie bereits vor einem Monat eingereicht haben. Offenbar hat er ernsthaft über Ihren Vorschlag zu einer unternehmensweiten Bereitstellung von Windows Vista nachgedacht und ist sich nun der Vorteile und Einsparungen bewusst, die durch die Verwaltung eines einzigen Betriebssystems erzielt werden können. Er ist jedoch noch nicht vollkommen überzeugt davon, dass es in finanzieller Hinsicht sinnvoll ist, für die Windows Vista-Installation alle PCs zu ersetzen. Er verlangt konkrete, detaillierte Informationen darüber, welche PCs sofort auf Windows Vista migrieren können und welche nach ein paar kleinen Upgrades, z. B. mit zusätzlichem System- und Festplattenspeicher, migriert werden können. Er möchte bis zum Ende der Woche eine Antwort auf diese Fragen haben. Wie gehen Sie dies am besten an? Sie benötigen die Antworten in wenigen Tagen, aber Ihre Organisation verfügt über keinerlei ausgereifte Asset Management Tools oder Netzwerkverwaltungstools. Weiter erschwert wird die Situation dadurch, dass Ihr Vorgänger Ihnen nicht genügend Information über den bereits vorhandenen Netzwerkbestand überlassen hat.
Microsoft hat gerade Windows Vista-Hardwarebewertung veröffentlicht. Dabei handelt es sich um einen Solution Accelerator, der Sie dabei unterstützt, die Bereitschaft Ihres Unternehmens für Windows Vista zu bestimmen (siehe microsoft.com/technet/wvha). Dieses Tool bewertet umgehend die PCs in einem Netzwerk und generiert ausführliche Bereitschaftsberichte über Hardware- und Gerätekompatibilität. Dies kann für ein mittelgroßes Unternehmen innerhalb weniger Stunden und ohne Installation von Software-Agents auf den PCs im Netzwerk durchgeführt werden.
Windows Vista-Hardwarebewertung baut auf der leistungsstarken Bestandserfassung und Berichtstechnologie auf, die bereits für Microsoft Assessment and Deployment Solution (ADS) entwickelt wurde, und erstellt in drei Schritten einen Satz an Bereitschaftsberichten:

1. Hardwareinventur
Durch die Verwendung der Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI), Active Directory® und anderer Windows-Netzwerkprotokolle, z. B. NetServerEnum, ermittelt dieses Tool Computer in einer Domäne sowie Arbeitsgruppencomputer. Nach Erstellen des Inventars werden alle Systemressourcen und Geräteinformationen in einer SQL Server™ 2005 Express-Datenbank gespeichert. Die aktuelle Version dieses Tools unterstützt die Netzwerkermittlung von bis zu 5.000 Computern. Zukünftige Versionen werden wahrscheinlich auf größere Netzwerke skaliert.

2. Kompatibilitätsanalyse
Das Tool verwendet das aktuellste Gerät und die aktuellsten BIOS-Datenbanken des Windows-Teams und analysiert die Bereitschaft jedes PCs hinsichtlich der Hardware- und Gerätekompatibilität für Windows Vista. Darüber hinaus werden die Treiberinformationen über einen regelmäßig aktualisierten Webdienst übermittelt, sodass Sie bei jedem Ausführen des Tools die neuesten Informationen erhalten.

3. Bereitschaftsberichte
Der letzte Schritt besteht in der automatischen Generierung eines Satzes an Bereitschaftsberichten in Form von Microsoft Word-Dokumenten und Excel®-Tabellen. Diese Berichte enthalten den Bereitschaftsstatus zusammen mit Upgradeempfehlungen für jeden PC.
Windows Vista-Hardwarebewertung ergänzt andere Windows Vista Solution Accelerators, einschließlich Business Desktop Deployment 2007 und Windows Vista-Sicherheitshandbuch. Weitere Informationen erhalten Sie auf der Homepage für Solution Accelerators.

Baldwin Ng ist Produktmanager im Microsoft Solution Accelerators-Team. Im Mittelpunkt seiner Tätigkeit steht die Entwicklung automatisierter Softwaretools, um Kunden und Beratern dabei zu helfen, Microsoft-Software noch schneller und effektiver einzusetzen. Sie können ihn unter Baldwin.Ng@microsoft.com erreichen.

Wes Miller ist Entwicklungsmanager bei Pluck (www.pluck.com) in Austin, Texas. Er hat bereits bei Winternals Software in Austin und bei Microsoft als Programmmanager und Produktmanager für Windows gearbeitet. Sie können ihn unter technet@getwired.com erreichen. Der Autor dankt Scott Dickens, dem Programmmanager für Windows-Bereitstellungsdienste (Windows Deployment Services, WDS) bei Microsoft, für seine Unterstützung bei der Bearbeitung dieser Veröffentlichung über die neuen WDS-Features.


 Berichte aus der Praxis: Immer am Ball bleiben
Berichte aus der Praxis
Immer am Ball bleiben
Joshua Hoffman

Ach ja, die Praxis. Sie war mir gut bekannt. Bevor ich vor fast zwei Jahren meine aktuelle Position als technischer Redakteur bei diesem großartigen Magazin antrat, war ich als IT-Experte aktiv im Außendienst tätig. Ich habe fünf Jahre bei Microsoft Consulting Services sowie mehrere Jahre in den IT-Abteilungen verschiedener Fortune 100-Unternehmen gearbeitet. Dann wurde ich für meinen aktuellen Posten angeworben. Nicht, dass ich mich beschwere – wir haben hier eine tolle Truppe von Leuten, und ich lerne Sie als Leser alle kennen und kann mit Ihnen zusammenarbeiten. Außerdem wäre es auch in Ordnung, wenn ich nie wieder an einem Montagmorgen um 6 Uhr früh ein Flugzeug zur Arbeit nehmen müsste.
Meine neue Position hat jedoch auch einen Nachteil. Viele IT-Fachleute sind der Meinung, dass die beste Möglichkeit, in unserem Beruf etwas Neues zu lernen (und auf dem neuesten Stand zu bleiben) darin besteht, es tatsächlich zu tun. Praktische, unmittelbare Erfahrung ist ein effektives Mittel für den Wissenserwerb. Karrieren entwickeln sich jedoch und Zuständigkeiten verändern sich – und plötzlich stellen Sie fest, dass Sie ein IT-Experte ohne ein zu überwachendes System oder eine zu verwaltende Infrastruktur sind. Dazu können sich die Dinge sehr schnell ändern. Seit ich diese neue Position angetreten habe, wurde eine neue Version von Windows® mit einem neuen Bereitstellungsrahmen, einer neuen Sicherheitsinfrastruktur, einem neuem Netzwerkstapel und weiteren neuen Features veröffentlicht. Es gibt eine neue Version von Office, von Exchange Server, von SQL Server™ und von Microsoft® Operations Manager. Darüber hinaus stehen einige neue Tools zur Verfügung: Windows PowerShell™, MMC 3.0 und das Windows Automated Installation Kit. Ich hoffe, ich habe nichts vergessen.
Innerhalb von nur zwei Jahren kann sich wirklich eine Menge ändern. Wenn also die praktische Arbeit die beste Lernmethode darstellt und Sie in Ihrer Position keine Verbindung zur Praxis mehr haben, wie können Sie dann überhaupt auf dem neuesten Stand bleiben?
Nun, ich hoffe doch sehr, dass dieses Magazin dabei hilft. Ich weiß, dass es mir hilft. Wir haben viele hervorragende Autoren, die sich wirklich auf ihrem Gebiet auskennen, und ich profitiere ständig von ihren Fachkenntnissen. Manchmal ist es aber erforderlich, sich praktisches Wissen anzueignen. Ich beginne in der Regel mit Virtual PC (oder Virtual Server), die beide auf der Microsoft-Website kostenlos zum Download zur Verfügung stehen (Sie finden die entsprechenden Links auf unserer Website im Downloadbereich). Mithilfe von Virtualisierungstechnologie kann ich schnell mein eigenes Active Directory® erstellen oder eine Bereitstellung von Windows Vista™ direkt auf meinem Laptop anpassen, ohne dass zusätzliche Hardware erforderlich ist. Wenn ich zu verstehen versuche, wie etwas funktioniert, macht es einen großen Unterschied, wenn ich den Prozess selbst nachvollziehe.
Das einzige Problem bei Virtual PC besteht darin, dass Sie die virtuelle Umgebung tatsächlich erstellen müssen (das Betriebssystem installieren, alle Elemente ordnungsgemäß konfigurieren usw.), was genau richtig ist, wenn Sie sich mit diesen Verfahren vertraut machen möchten. Aber was ist, wenn Sie nur ein bestimmtes Feature oder eine spezielle Funktion eines Produkts näher kennen lernen möchten? Wie sieht es beispielsweise aus, wenn Sie etwas über neue Kompatibilitätsfeatures von Exchange Server 2007 erfahren möchten? Es erscheint ziemlich aufwändig, Windows Server®, Active Directory und Exchange Server von Grund auf neu zu installieren und zu konfigurieren. Hier kommen die virtuellen Testumgebungen unter TechNet Virtual Labs ins Spiel. Meiner bescheidenen Meinung nach ist Virtual Labs eine der besten Schulungsressourcen überhaupt. Das Virtual Lab-Team hat bereits die schwerste Arbeit erledigt – es hat mehr als 180 virtuelle Computer vorinstalliert und vorkonfiguriert, auf denen verschiedene Kombinationen von mehr als 20 Produkten ausgeführt werden. Jeder virtuelle Computer bietet einen Satz von praktischen Übungen, die Ihnen dabei helfen, sich mit gängigen Aufgaben und neuen Features vertraut zu machen. Das Beste an Virtual Labs ist jedoch, dass der gesamte Prozess in einer Browserumgebung ausgeführt wird, die auf von Microsoft verwalteten Servern gehostet wird, sodass Sie keine eigenen Hardwareressourcen abstellen müssen.
Die Antwort lautet also: Ja, es wird schwieriger, auf dem neuesten Stand zu bleiben, wenn Sie nicht mehr an vorderster Front kämpfen – es ist jedoch möglich! Ich habe in diesem Artikel einige meiner Lieblingsressourcen aufgezeigt, und wie mein guter Freund Edward Dake vor einigen Monaten in dieser Rubrik schrieb, zählt das jeweilige Wissen des anderen zu den besten Ressourcen überhaupt. Sie brauchen also nur zu fragen, wenn Sie Hilfe benötigen.

Joshua Hoffmanist als technischer Redakteur und Lektor für das TechNet Magazin auch für Abschlüsse mit Autoren verantwortlich.


 Windows Confidential: Wie wird die h&#228;ufige Verwendung von Programmen bestimmt?
Windows Confidential
Wie wird die häufige Verwendung von Programmen bestimmt?
Raymond Chens

Klicken Sie auf die Startschaltfläche, um das Startmenü anzuzeigen. Auf der linken Seite befindet sich eine Liste von Programmen. Wie wird diese Liste zusammengestellt? Am Anfang galt das allgemeine Prinzip, dass die zuletzt ausgeführten Programme auf der Titelseite des Startmenüs aufgeführt werden sollten. Bald wurde jedoch deutlich, dass eine Feinabstimmung erforderlich war.
Die Grundregel ist, dass ein Programm bei jedem Start einen Punkt verdient. Dementsprechend gilt, dass es umso mehr Punkte verliert, je länger es nicht gestartet wird. Das Startmenü zeigt die Programme an, die die meisten Punkte haben. Ganz einfach, oder? Dieser Teil des Auswahlalgorithmus ist nicht schwer zu verstehen. Rätselhafter ist da schon die Feinabstimmung, die nach dem Anwenden der Grundregel in Kraft tritt.
Bevor die Feinabstimmung im Einzelnen erörtert wird, müssen ein paar Dinge klar gestellt werden, die nicht unbedingt aus der Grundregel hervorgehen. Zu beachten ist, dass die Regel auf Programme angewendet wird, die gestartet werden, nicht aber auf Verknüpfungen. Einige Programme installieren mehrere Verknüpfungen, und es ist egal, welche Verknüpfung für den Start des Programms verwendet wird. Wenn alle Verknüpfungen auf die gleiche EXE-Datei zeigen, dann sammelt dieses Programm alle Punkte ein, die durch die verschiedenen Verknüpfungen verdient werden.
Startmenü
Ein Programm sammelt daher selbst dann Punkte ein, wenn zu seiner Ausführung das Startmenü nicht verwendet wird, solange es von Explorer ausgeführt wird. Wenn Sie ein Programm manuell ausführen, beispielsweise durch Öffnen des Ordners und Doppelklicken auf die EXE-Datei, verdient es weiterhin Punkte und kann schließlich auf die Titelseite des Startmenüs hochgestuft werden.
Wenn ein Programm genügend Punkte verdient hat, um auf die Titelseite des Startmenüs zu gelangen, muss Windows® entscheiden, welches Verknüpfungssymbol angezeigt werden soll, falls es mehr als eine Verknüpfung für das Programm gibt. Es ist nicht verwunderlich, dass in diesem Falle die Wahl auf die am häufigsten verwendete Verknüpfung fällt.
Als Teil der Feinabstimmung werden bestimmte Programme aus der Liste herausgefiltert. Zum Beispiel wird ein Programm, das Sie Ihrem Startmenü hinzugefügt haben, nicht angezeigt, weil die Anzeige zweier Symbole für dasselbe Programm unsinnig wäre. Schließlich wurde das Programm Ihrem Startmenü hinzugefügt, weil Sie es oft ausführen.
In einem anderen Schritt der Feinabstimmung wird Überflüssiges herausgefiltert. Viele Programme wurden deshalb angezeigt, weil sie Verknüpfungen zu gemeinsamen Hilfsprogrammen wie Editor oder WordPad darstellten, z. B. eine Verknüpfung zu einer Infodatei. Diese Verknüpfungen mussten herausgefiltert werden, damit sie nicht zum Vertreter für Editor ernannt wurden. Übrigens kann für ein Programm die Einbeziehung auf der Titelseite des Startmenüs durch Erstellen eines NoStartPage-Werts in der Anwendungsregistrierung ausgeschlossen werden.
Die Grundregel gilt außerdem nicht für Programme, die einmal gestartet und dann fortlaufend ausgeführt werden. Gemäß einer strengen Interpretation der Regel würden diese Programme beim Start einen Punkt verdienen und ihn mit der Zeit wieder verlieren. (Eine „häufige“ Ausführung ist in diesem Fall eine erstaunliche Untertreibung für „ständig“!) Also wurde eine andere Regel hinzugefügt: Für jeden fortlaufenden Tag, an dem ein Programm ausgeführt wird, verdient es einen Punkt. Das genügt, damit das Programm im Rennen um die Punkte nicht zu kurz kommt, während die Programme, die Sie wirklich starten, dadurch nicht übervorteilt werden. Denn wenn Sie das Programm die ganze Zeit ausführen, müssen Sie es ja nicht oft starten.
In Windows Vista™ wurden ein paar zusätzliche Regeln für die Feinabstimmung hinzugefügt. Zum Beispiel wird jetzt beim Auswählen unter den optionalen Verknüpfungen für ein Programm, das nie vom Startmenü ausgeführt wurde, eine Verknüpfung bevorzugt, die keine Befehlszeilenparameter hat. Außerdem wird das Programm, das Sie zuletzt ausgeführt haben, ohne Rücksicht auf die Punktzahl immer in der Liste angezeigt.

Raymond Chens Website, The Old New Thing, und sein gleichnamiges Buch (Addison-Wesley, 2007) befassen sich mit der Windows-Geschichte und der Win32-Programmierung. Ihre Fragen sind ihm wichtig, und sie werden in der Reihenfolge beantwortet, in der sie eingehen.