 TechNet Magazine May 2007

TechNet Magazine May 2007

Comunicaciones: Explore las nuevas capacidades de mensajería móvil con Exchange 2007

La mensajería para móviles ha cambiado la manera de trabajar y este cambio ha hecho que la seguridad de los dispositivos móviles se convierta en una gran preocupación. Obtenga información general acerca de cómo Exchange Server 2007 mejora la experiencia del usuario y le ayuda a administrar un personal cada vez más móvil.

Yee-Chen Tjie Comunicaciones: Mejor compatibilidad con Exchange Server 2007

La necesidad de proteger activos corporativos y de garantizar el cumplimiento de las disposiciones legales impone una carga considerable en los departamentos de TI. Obtenga información acerca de cómo las nuevas características de Exchange Server 2007 contribuyen a la protección de datos y al cumplimiento de las disposiciones legales.

Alan Maddison Administración de identidades: Creación de un flujo de trabajo de aprovisionamiento de un solo paso

¿Busca un sistema de aprovisionamiento basado en Web? Obtenga información sobre cómo puede usar MIISWorkflow para crear un sistema de aprovisionamiento de usuario de un solo paso automatizado basándose en Microsoft Identity Lifecycle Manager 2007.

Aung Oo Administración de Windows: Simplificación de la administración de directivas de grupo con Windows PowerShell

Windows PowerShell está configurado para facilitar su trabajo. Consulte cómo las API de GPMC escritas para lenguajes de Windows Scripting Host se pueden consumir directamente desde Windows PowerShell, simplificando en gran medida la manera de administrar las directivas de grupo.

Thorbjörn Sjövold Administración de Windows: Guía de implementación de Servicios de Terminal Server

Hay numerosas ventajas en la ejecución de las aplicaciones de su organización de manera centralizada y los pasos iniciales son ahora sorprendentemente sencillos. Esto es lo que tiene que saber para habilitar Servicios de Terminal Server en Windows Server 2003 e implementarlo en la organización.

James D. Silliman Nota del editor: Seguridad para moverse

Joshua Trupin Cartas: Respuestas a sus preguntas

Caja de herramientas: Nuevos productos para profesionales de TI

Greg Steen Preguntas y respuestas sobre SQL: Best Practices Analyzer, procesadores multinúcleo y otros

Edited by Nancy Michell Utility Spotlight: Kit de herramientas de actualización para plantillas y sitios de Sharepoint

Luis Câmara Manoel and Peter Skjøtt Larsen El negocio de TI: Elaborar cuidadosamente un plan empresarial

Stephen Ibaraki The Cable Guy: EAPHost en Windows

Joseph Davies Windows PowerShell: La conexión WMI

Don Jones ¡Hola, chicos del scripting!: Flores que nacen, diálogos que emergen, la primavera ha llegado...

The Microsoft Scripting Guys Preguntas y respuestas sobre Exchange: Tiempos de espera de OWA, solución de problemas de cmdlet y mucho más

KC Lemson and Nino Bilic Vigilancia de seguridad: Protección de acceso a redes

John Morello Archivos del escritorio: Nueva visita a los Servicios de implementación de Windows

Wes Miller Notas de campo: Mantenerse informado

Joshua Hoffman Confidencial de Windows: Determinar lo que se usa con frecuencia

Raymond Chen


 Comunicaciones: Explore las nuevas capacidades de mensajer&#237;a m&#243;vil con Exchange 2007
Comunicaciones Yee-Chen Tjie

Explore las nuevas capacidades de mensajería móvil con Exchange 2007
Resumen:
  • Configuración de dispositivos móviles
  • Cumplimiento de directivas
  • Mensajería avanzada
  • Acceso a archivos móviles

Sólo unos años atrás, el acceso al correo electrónico corporativo mientras se encontraba lejos de su equipo de escritorio era una tarea compleja y poco habitual. Actualmente, no sólo las personas esperan tener acceso remoto al correo electrónico remoto sino que
no es excepcional ver a alguien en la cafetería local con un dispositivo de mensajería para móviles. La mensajería para móviles ha cambiado la manera de trabajar. Ha permitido al empleado itinerante ser más eficiente en el desempeño de su trabajo mientras se encuentra fuera de la oficina.
Con todo esto, debido a estos avances recientes en la tecnología de mensajería para móviles, la seguridad de los dispositivos móviles se ha convertido en una gran preocupación. Las compañías buscan mejores maneras de proteger los datos empresariales confidenciales que se encuentran en los dispositivos móviles.
La introducción de Exchange Server 2003 y una tecnología denominada Exchange ActiveSync® ofrecían la capacidad para un dispositivo de Windows Mobile® (teléfono para Pocket PC o Smartphone) de conectarse de manera segura a Exchange Server 2003 usando HTTPS. Sin embargo, faltaba la administración de dispositivos móviles. Con el lanzamiento de Exchange Server 2003 Service Pack 2 (SP2) y el paquete de características de mensajería y seguridad (MSFP) en Windows Mobile 5.0, es posible configurar una directiva global que afecte a todos dispositivos de Windows Mobile conectados a Exchange. Estas directivas permitían NIP obligatorios de una longitud especificada, tiempos de espera de inactividad antes de requerir la entrada del NIP y el barrido del dispositivo tras un número especificado de intentos de NIP con error.
Exchange Server 2003 SP2 también agregó la capacidad de barrido remoto con la herramienta de administración de servicios móviles para Exchange, mostrada en la figura 1. Esta herramienta ofrecía a los administradores la capacidad de emitir un comando de barrido para un dispositivo de Windows Mobile extraviado. La próxima vez que el dispositivo se conectara a Exchange, realizaría un restablecimiento completo, borrando todo el contenido de su memoria.
Figura 1 Herramienta de administración de servicios móviles para Exchange para barrido de dispositivos
Figura 1 Herramienta de administración de servicios móviles para Exchange para barrido de dispositivos
Aunque esto fue un buen comienzo en la seguridad y administración de dispositivos móviles, quedaban varios requisitos de seguridad por tratar. Exchange Server 2007 ayuda a rellenar estos vacíos.

Cumplimiento y configuración de dispositivos
Exchange ActiveSync está habilitado de forma predeterminada para todos los usuarios de buzón en Exchange Server 2007. Si desea esta característica habilitada sólo para un subconjunto de usuarios, empiece deshabilitándola para todos los usuarios. La Consola de administración de Exchange no le permite deshabilitar un grupo de usuarios para ActiveSync, pero es sencillo hacerlo usando un comando del Shell de administración de Exchange como éste:
Get-mailbox –server <servername> | Set-CASMailbox –ActiveSyncEnabled $false
Este comando recupera todos los buzones en un servidor de Exchange 2007 y canaliza la información a un comando Set-CASMailbox para deshabilitar ActiveSync en todos los buzones existentes.
El paso siguiente implica la construcción de directivas de ActiveSync de buzón de Exchange para su organización. El número de directivas construidas dependerá de los variados perfiles de seguridad de sus usuarios. Por ejemplo, es posible que un analista financiero que recibe información financiera confidencial en el correo electrónico necesite tener una directiva de dispositivo de seguridad más estricta que un usuario general.
Para configurar la directiva de ActiveSync, vaya al árbol de navegación de la Consola de administración de Exchange y seleccione el acceso de cliente en el contenedor de configuración de la organización. En el panel Acciones, seleccione Nueva directiva de buzón de Exchange ActiveSync.
En el cuadro de diálogo Nueva directiva de buzón de Exchange ActiveSync, se pueden crear directivas flexibles para valores que controlan si se desea permitir la descarga de datos adjuntos a un dispositivo o permitir dispositivos no aprovisionables (consulte la figura 2). Los dispositivos aprovisionables son dispositivos de Windows Mobile que son capaces de aplicar e implantar directivas especificadas. Los dispositivos no aprovisionables son aquellos que sólo se pueden aplicar a un subconjunto de la directiva (o a ninguno en absoluto).
Figura 2 Directivas de buzón de ActiveSync de Exchange Server 2007
Figura 2 Directivas de buzón de ActiveSync de Exchange Server 2007
Entre otras características, se incluye la capacidad de configurar valores para el cifrado y la recuperación de contraseñas. Si la opción Requerir cifrado del dispositivo está activada, se cifrarán todos los archivos de las tarjetas de almacenamiento del dispositivo. La opción Permitir la recuperación de la contraseña permite a un usuario recuperar el NIP del dispositivo a través de Outlook® Web Access 2007.
Considere sus directivas de contraseñas para dispositivos con mucho detenimiento antes de aplicarlas. Los NIP largos y complejos ofrecen una mejor seguridad pero pueden dificultar el uso de dispositivos. Un buen equilibrio entre la seguridad y el uso es la clave para determinar la seguridad de la contraseña y el período de tiempo de espera antes de que se necesite un NIP. La activación de las opciones Expiración de contraseña e Imponer historial de contraseñas puede aumentar también la seguridad pero puede frustrar a los usuarios si el seguimiento de las contraseñas y los NIP se vuelve demasiado complejo.
Las directivas de buzón de ActiveSync de Exchange Server 2007 ayudan a mejorar la seguridad del dispositivo pero algunas de sus características requieren Windows Mobile 6.0, que recién se ponía a disposición del público en dispositivos en el momento de publicar estas líneas. De las características mostradas en la figura 2, Requerir cifrado del dispositivo, Imponer historial de contraseñas y Expiración de contraseña (días) requieren la nueva versión. Sin embargo, todavía puede aprovecharse de las nuevas directivas flexibles de Exchange Server 2007 para los usuarios de destino que usan dispositivos con Windows Mobile 5.0 instalado.
Una vez que sus directivas están definidas, puede aplicarlas a los usuarios. En la Consola de administración de Exchange, vaya a Configuración de destinatarios y seleccione Buzón. Alija el usuario del buzón que desea habilitar para una directiva de ActiveSync y seleccione Propiedades del panel Acciones. Vaya a la ficha Características de buzón y haga doble clic en Exchange ActiveSync. En el cuadro Propiedades de Exchange ActiveSync, haga clic en el botón Examinar y seleccione la directiva ActiveSync que desea aplicar al usuario (consulte la figura 3). Puede repetir los mismos pasos para aplicar diferentes directivas a distintos usuarios o bien, puede usar el comando siguiente del Shell de administración de Exchange para aplicar una directiva a un grupo de usuarios:
Figura 3 Aplicación de la directiva de buzón de ActiveSync
Figura 3 Aplicación de la directiva de buzón de ActiveSync
Set-CASMailbox –Activesyncmailpolicy
El paso final es instruir a sus usuarios finales y al departamento de soporte técnico. Diga a sus usuarios finales que se necesitará un NIP de longitud especificada en sus dispositivos cuando se conecten a Exchange Server 2007 (consulte la figura 4). Edúquelos sobre las directivas de seguridad que se les aplican de manera que no vean estos cambios como un obstáculo para su trabajo diario.
Figura 4 La directiva de buzón de ActiveSync requiere un NIP
Figura 4 La directiva de buzón de ActiveSync requiere un NIP
También deseará hacerlos conscientes de una nueva capacidad en Exchange Server 2007, un barrido remoto de autoasistencia mediante Outlook Web Access 2007. Si un usuario extravía su dispositivo, puede iniciar un barrido del dispositivo a través del vínculo Opciones en Outlook Web Access, sin ponerse en contacto con el departamento de soporte técnico (consulte la figura 5). Esto puede ser de gran utilidad si se extravía un dispositivo fuera de las horas laborales normales.
Figura 5 Administración de un dispositivo a través de Outlook Web Access
Figura 5 Administración de un dispositivo a través de Outlook Web Access
Por último, muestre a su departamento de soporte técnico cómo realizar un barrido de dispositivos de manera remota. Esto se realiza con facilidad abriendo la Consola de administración de Exchange, desplazándose a Configuración de destinatarios y seleccionando Buzón. Desde allí, elija a los usuarios para los que desea iniciar el barrido y seleccione Administrar dispositivos móviles del panel Acciones. La interfaz Administrar dispositivos móviles se muestra en la figura 6. Tenga en cuenta que un usuario podría tener más de un dispositivo de Windows Mobile conectado a Exchange 2007, de modo que tenga cuidado en seleccionar el correcto al iniciar barridos.
Figura 6 Barrido remoto del dispositivo de un usuario
Figura 6 Barrido remoto del dispositivo de un usuario

Búsqueda y administración del correo electrónico
Windows Mobile 6.0 le permite leer correo electrónico en formato HTML, definir notificaciones de fuera de la oficina (consulte la figura 7) y marcar mensajes de correo electrónico. Cuando los mensajes de correo electrónico se marcan en un dispositivo de Windows Mobile 6.0, se tratan de la misma manera que cuando marca un mensaje de correo electrónico en Outlook. En lugar de marcar mensajes de correo electrónico como no leídos para su seguimiento, ahora puede marcarlos y usar las capacidades avanzadas de Outlook para seguimiento cuando regrese a su escritorio. La lectura del correo electrónico en HTML ofrece una ventaja no sólo al usuario del dispositivo móvil, sino también a otros destinatarios del subproceso de correo electrónico. Cuando responde a un mensaje de correo electrónico usando Windows Mobile 6.0, dicho mensaje no se convierte en texto básico, mejorando así la experiencia de los demás destinatarios de correo electrónico que también usan Outlook.
Figura 7 Mensaje de fuera de oficina
Figura 7 Mensaje de fuera de oficina
Se realizaron mejoras considerables a las características de calendarios con Windows Mobile 6.0. Ahora puede reenviar, responder o responder a todos dentro de una entrada de calendario, así como consultar el estado de aceptación de todos los invitados.
Windows Mobile 6.0, usado junto con Exchange Server 2007, ofrece dos nuevas capacidades relacionadas con la búsqueda y el acceso móvil a los documentos. Uno de los desafíos que supone el uso de dispositivos móviles es la limitada capacidad de almacenamiento. Debido a esto, muchos usuarios sólo conservan el correo electrónico en sus dispositivos de uno a tres días. Los usuarios eligen también a menudo tomar mensajes de correo electrónico desde sólo una carpeta de su bandeja de entrada. Un enfoque tan minimalista puede resultar un problema cuando se desea tener acceso a mensajes anteriores o mensajes almacenados en diferentes carpetas del buzón.
Con Windows Mobile 6.0, un usuario puede ejecutar una búsqueda remota en todo el buzón mediante el motor de búsqueda e índice de Exchange Server 2007. Se puede iniciar una búsqueda de correo electrónico según palabras clave en varias carpetas (consulte la figura 8). Se puede realizar entonces una captura en tiempo real de los mensajes de correo electrónico a partir de los resultados de la búsqueda.
Figura 8 Búsqueda remota de correo electrónico
Figura 8 Búsqueda remota de correo electrónico

Acceso móvil a documentos
Con el crecimiento del software de colaboración de documentos, como Sharepoint® y los límites en los tamaños máximos de correo electrónico permitidos para el transporte, los usuarios finales adjuntan menos documentos en el correo electrónico y envían más vínculos a recursos compartidos de archivos y sitios de Sharepoint. A menos que se pueda conectar a su red corporativa a través de una red privada virtual (VPN), el acceso a estos documentos mediante un dispositivo móvil puede no parecer factible. Para el trabajador itinerante, esto podría significar un obstáculo.
Windows Mobile 6.0 y Exchange Server 2007 permiten a los usuarios tener acceso a sus datos mediante recursos compartidos de archivos UNC y sitios de Sharepoint, que se pueden hacer accesibles en el modo de sólo lectura. Exchange Server 2007 puede realizar un proxy de solicitudes para estos documentos en nombre del dispositivo de Windows Mobile (consulte la figura 9). Incluso sin una conexión VPN a la red corporativa, los usuarios no están limitados a tener acceso sólo a documentos adjuntos a mensajes de correo electrónico; en su lugar, pueden tener acceso a cualquier documento que se encuentre en recursos compartidos de red o sitios de Sharepoint.
Figura 9 Acceso a documentos mediante vínculos UNC
Figura 9 Acceso a documentos mediante vínculos UNC
Para administrar el acceso móvil a documentos, abra la Consola de administración de Exchange y seleccione Acceso de cliente bajo Configuración del servidor del árbol de navegación. A continuación, vaya a la ficha ActiveSync, seleccione el objeto Microsoft Server ActiveSync y haga clic en las propiedades del panel Acción. En la ficha Servidores de archivos remotos, puede configurar la lista de admitidos y la lista de no admitidos para los nombres de host de sitios de servidores de archivos y sitios de Sharepoint.
Una vez hecho esto, regrese a su directiva de buzón de Exchange ActiveSync y asegúrese de que las casillas Recursos compartidos de archivos de Windows® y Windows SharePoint Services están activadas (figura 10).
Figura 10 Habilitar el acceso a documentos
Figura 10 Habilitar el acceso a documentos
Ahora podrá ofrecer un mejor acceso a documentos para todos los usuarios de dispositivos de Windows Mobile.

Resumen
En el mundo actual de trabajadores remotos, los dispositivos de Windows Mobile ofrecen maneras eficaces para tener acceso a la información en todo momento y en cualquier lugar. La seguridad y la administración de dispositivos móviles se han convertido en una de las principales preocupaciones para los departamentos de TI. Exchange Server 2007, junto con Windows Mobile 6.0, facilitan la creación y el uso dirigido de directivas para dispositivos de Windows Mobile que pueden ayudar a mitigar los problemas así como ofrecer una base para nuevas capacidades para trabajadores remotos.
Recursos para Windows Mobile
Hay varios recursos disponibles para obtener información adicional acerca de la implementación de Exchange Server 2007 y la mensajería de Windows Mobile.
  • Microsoft Exchange Server TechCenter
  • Elementos básicos del acceso móvil a Exchange 2007
  • Administración de Exchange ActiveSync
  • Laboratorios virtuales de Windows Mobile
  • SDK para Windows Mobile 6

Yee-Chen Tjie es especialista en tecnología de Microsoft en la región de Nueva Inglaterra. Está especializado en movilidad y en soluciones de comunicación unificadas.
© 2007 Microsoft Corporation and CMP Media, LLC. Reservados todos los derechos; queda prohibida la reproducción parcial o total sin previa autorización.


 Comunicaciones: Mejor compatibilidad con Exchange Server 2007
Comunicaciones Alan Maddison

Mejor compatibilidad con Exchange Server 2007
Resumen:
  • Carpetas administradas
  • Reglas de transporte
  • Clasificación de mensajes
  • Registro en diario

Los analistas estiman que un 75 por ciento de la documentación corporativa se crea y se comunica mediante correo electrónico. Sin duda, una cantidad considerable de la propiedad intelectual de su organización se encuentra en sus servidores de mensajería. Esto supone mucha responsabilidad en
manos de los administradores que mantienen los servidores de mensajería, que almacenan muchos de los datos críticos de la compañía. Además, el número creciente de normas nacionales y locales (en Estados Unidos y en otros países/regiones) que especifican los requisitos de archivado y retención para datos corporativos sólo hacen este trabajo más complejo y más crítico.
La necesidad de proteger activos corporativos y de garantizar el cumplimiento de las disposiciones legales impone una carga considerable. Al diseñar Exchange Server 2007, Microsoft implementó varios cambios y nuevas características para mejorar drásticamente las capacidades de cumplimiento de Exchange a la vez que se facilita la administración real. En este artículo, se estudian los cambios principales en Exchange Server 2007 que serán de ayuda en el cumplimiento de las disposiciones legales.

Descripción del cumplimiento
Antes de profundizar en Exchange Server 2007, debo analizar los requisitos que se tratan. Generalmente, hay tres amplias áreas de requisitos de compatibilidad: la retención de la información, el control de acceso y la integridad de los datos. Por ejemplo, en Estados Unidos, la SEC Rule 17A-4 especifica las directivas de retención de datos para determinados miembros de la bolsa de valores, los agentes de bolsa y los distribuidores, y requiere que las organizaciones financieras puedan capturar, indexar, archivar, buscar y recuperar su correo electrónico. El control de acceso a los datos se incorpora a varias leyes muy conocidas, incluyendo las siguientes: Health Insurance Portability and Accountability Act (HIPAA), Gramm-Leach-Bliley Act (o GLB Act) y California Senate Bill 1386 (o SB 1386). HIPAA y GLB Act regulan la seguridad y la confidencialidad de los datos personales mientras que SB 1386 se aplica a la divulgación pública de infracciones de seguridad de equipos informático que implican datos confidenciales.
Además, los requisitos de la integridad de datos se han incorporado a otras leyes importantes, como Sarbanes-Oxley (SOX), PATRIOT Act y Basel II. Sin embargo, estas disposiciones legales de alto rango sólo constituyen una mínima parte del conjunto. Algunas estimaciones sitúan el número de disposiciones legales aplicadas en todo el mundo en más de 35.000. Hay una clara motivación para las compañías de controlar el riesgo asociado a la manera de retener la información, controlar el acceso a los datos, así como garantizar su integridad. De modo que ¿cómo se puede, como administrador, administrar este riesgo y qué se puede hacer para cumplir con todas estas obligaciones normativas?
El primer paso es documentar las directivas de cumplimiento y de retención. El paso siguiente es implementar y administrar continuamente estas directivas. Exchange Server 2007 puede ayudarle a adoptar estas directivas, mediante el uso de carpetas administradas, el agente de reglas de transporte, la clasificación de mensajes y el agente del Registro en diario.

Carpetas administradas
La retención de datos (o la administración de registros) es una parte crítica de su marco de cumplimiento. Exchange Server 2007 ha dado un gran salto hacia adelante en la manera de permitir a los administradores que administren los datos. En Exchange Server 2007, la administración de registros se basa en tres principios: los mensajes en desuso se eliminan, se conservan los mensajes necesarios y los usuarios son responsables de clasificar sus propios mensajes.
La mayoría de los administradores de Exchange conocen las directivas del Administrador de buzones de Exchange Server 2003, que podrían aplicarse a buzones. En Exchange Server 2007, las carpetas administradas ofrecen una manera administrada de forma centralizada para que los administradores creen e implementen nuevas carpetas predeterminadas o personalizadas que no se pueden mover, cambiar de nombre o, en la mayoría de los casos, eliminar. Mediante SDK, también es posible crear aplicaciones basadas en web de autoservicio que proporcionan a los usuarios la capacidad de elegir qué carpetas deberían agregarse a sus buzones.
Como se muestra en la figura 1, la Consola de administración de Exchange ofrece un enfoque basado en asistentes para la creación de carpetas. (Esta funcionalidad se expone también a través de la nueva carpeta administrada cmdlet del Shell de administración de Exchange).
Figura 1 Uso de la Consola de administración de Exchange para crear una carpeta nueva
Figura 1 Uso de la Consola de administración de Exchange para crear una carpeta nueva
Esto inicia el asistente que se muestra en la figura 2. El proceso de crear las carpetas es muy sencillo; basta con escribir el nombre y la descripción de la carpeta y, a continuación, presionar el botón Nuevo. Una vez que se complete la carpeta, recibirá una confirmación.
Figura 2 Un asistente intuitivo facilita la creación de una nueva carpeta administrada
Figura 2 Un asistente intuitivo facilita la creación de una nueva carpeta administrada
Con una directiva de retención de datos implementada, tiene que ofrecer a los usuarios un medio sencillo de clasificar y almacenar sus mensajes, asegurando que los datos se retienen en conformidad con los requisitos de la organización. Imagínese que necesita implementar tres carpetas personalizadas a sus usuarios para que puedan identificar el correo para tres, cinco o siete años de retención. Una vez creadas las carpetas administradas, el paso siguiente es aplicar la configuración de contenido a cada carpeta. Esto se hace mediante el Asistente para configuración de contenido administrado.
El administrador de mensajería controla la configuración del vencimiento de contenido (que se mide en días) y la acción que debería llevarse a cabo sobre el contenido una vez que caduca realmente. Hay cinco acciones entre las que elegir:
  • Eliminar y permitir la recuperación
  • Marcar como límite pasado de retención
  • Mover a una carpeta administrada personalizada
  • Mover a la carpeta de elementos eliminados
  • Eliminar permanentemente
Hay tres parámetros a los que debe prestar especial atención al configurar estos valores. El primero es el valor para el vencimiento del mensaje; puesto que se calcula en días, debe tener en cuenta los años bisiestos. La administración corporativa (por no mencionar a un juez) no apreciará que el contenido se elimine antes de lo que debiera, incluso aunque sólo sea por un día. El segundo parámetro es cuando se inicia el período de vencimiento. Normalmente, es el día en el que se entrega el mensaje al buzón, a menos que su equipo legal le indique lo contrario. El tercer parámetro es la acción que se realiza una vez caducado el contenido. Una recomendación es eliminar siempre el elemento de manera permanente. La configuración del contenido también le permite registrar en diario mensajes reenviándolos a una dirección SMTP.
Las carpetas administradas se aplican a los buzones que usan directivas de buzón de carpeta administrada. La Consola de administración de Exchange ofrece otro asistente para crear estas directivas. Las directivas le permiten seleccionar y agrupar varias carpetas. Esto le permite vincular varias carpetas a una sola directiva.
Normalmente, aplicaría la directiva de buzón de carpeta administrada durante la creación de buzón. Otra alternativa es usar el Shell de administración de Exchange para aplicar una directiva a un buzón existente que usa el cmdlet set-mailbox. Digamos que desea aplicar una directiva de buzón de carpeta administrada denominada retención a una cuenta de correo electrónico con el alias USER1. Para ello, usaría el comando siguiente:
Set-Mailbox –Identity USER1
–ManagedFolderMailboxPolicy “retention”
Las carpetas administradas y la configuración de contenido correspondiente ofrecen un mecanismo eficaz para administrar la retención y el proceso de cumplimiento. No sólo permite a los usuarios clasificar el correo electrónico pertinente y almacenar datos en carpetas administradas de forma centralizada, sino que permite el registro en diario de estos elementos para asegurar que en el caso de una solicitud de presentación de pruebas o pedido de conservación, se puede atender con facilidad a la solicitud del tribunal.

Reglas de transporte
Hay dos agentes de reglas de transporte en Exchange Server 2007. Sin embargo, en términos del cumplimiento, sólo está realmente interesado en el agente que se ejecuta en los servidores de transporte del concentrador. Este agente le ayuda a aplicar las reglas de cumplimiento basadas en directivas en los mensajes que fluyen por su organización de Exchange. (Por otra parte, el agente de reglas del servidor de transporte perimetral le ayuda a proteger la organización frente a correo electrónico no deseado y virus).
Entre los requisitos comunes de cumplimiento y de disposiciones legales que los administradores son responsables de implementar se incluyen:
  • Limitar la interacción entre grupos diferentes de remitentes y destinatarios
  • Evitar que contenido inadecuado entre o salga de la compañía
  • Filtrar información confidencial
  • Seguir o archivar los mensajes que se envían a usuarios y grupos específicos y se reciben de ellos
  • Redireccionar los mensajes entrantes y salientes para la inspección antes de la entrega
  • Aplicar renuncias
El servidor concentrador de transporte se eligió para este agente debido a la función que desempeña en una topología de Exchange 2007. Los cambios a la topología de Exchange 2007 son considerables y, como resultado, Exchange está mucho más integrado con la topología de Active Directory®. Conforme el correo fluye por la organización, se procesará en algún punto mediante un servidor concentrador de transporte. Este servidor concentrador de transporte consultará a Active Directory la configuración actual de reglas de transporte y aplicará las reglas a todos los mensajes que administre.
Cualquier regla de transporte configurada en un servidor concentrador de transporte se replicará a los demás servidores concentradores de transporte mediante el servicio de Active Directory. Tiene que conocer cómo su sitio y topología tendrán un impacto en la réplica y, a su vez, deberá determinar con qué rapidez puede implementar una regla en toda la organización.
Además, tiene que tener en cuenta que un servidor concentrador de transporte mantiene una caché para la búsqueda de destinatarios y listas de distribución. El intervalo de actualización, que es de cuatro horas de forma predeterminada, afectará al tiempo de reglas que se aplica a sus mensajes.
Las reglas de transporte en los servidores concentradores de transporte evalúan todas las convocatorias de reuniones, los mensajes normales, los mensajes cifrados y los mensajes protegidos con derechos que se envían entre usuarios autenticados. Se evalúan todos mensajes de correo electrónico que se envían de manera anónima, independientemente del tipo de mensaje, el remitente y el destinatario.
Cada regla de transporte consta de los componentes siguientes: condiciones, excepciones y acciones. Las condiciones se usan para indicar qué atributos de mensaje, como por ejemplo, encabezados, destinatarios o remitentes, se emplean en el proceso de identificación del mensaje. Una vez que un mensaje cumpla todas las condiciones para una regla en particular, se aplicarán las acciones a menos que el mensaje coincida con una excepción configurada. Las excepciones son opcionales. Si se configura, una excepción hará que la regla de transporte no procese los mensajes que cumplan cualquiera de los criterios de excepción. Las acciones, que son un componente necesario para cada regla de transporte, especifican la manera en la que se debería procesar un mensaje. En la figura 3 se incluye una lista de las acciones disponibles que se pueden aplicar según las reglas de transporte que se configuran en un servidor concentrador de transporte.
Figure 3 Acciones disponibles para reglas de transporte en un servidor concentrador (Close Figure 3)

Acción | Nombre de la acción | Descripción
Registrar un evento con mensaje | LogEvent | Permite agregar un evento al registro de aplicaciones del equipo local.
Anteponer el asunto con la cadena | PrependSubject | Permite anteponer una cadena al comienzo del campo de asunto del mensaje.
Aplicar clasificación de mensajes | ApplyClassification | Permite aplicar una clasificación de mensajes al mensaje.
Anexar texto de renuncia | ApplyDisclaimer | Permite aplicar una renuncia al mensaje.
Establecer el nivel de confianza de correo no deseado para valorar | SetScl | Permite establecer el nivel de confianza de correo no deseado (SCL) en un mensaje.
Definir el encabezado con valor | SetHeader | Permite crear un nuevo campo de encabezado de mensaje o modificar un campo de encabezado de mensaje existente.
Quitar encabezado | RemoveHeader | Permite quitar el campo de encabezado de mensaje especificado de un mensaje.
Agregar un destinatario en las direcciones del campo A | AddToRecipient | Permite agregar uno o más destinatarios a la lista de direcciones A del mensaje. Los destinatarios originales pueden consultar la dirección adicional.
Copiar el mensaje a las direcciones | CopyTo | Permite agregar uno o más destinatarios al campo de copia (CC) del mensaje. Los destinatarios originales pueden consultar la dirección original.
Enviar el mensaje con copia oculta a direcciones | BlindCopyTo | Permite agregar uno o más destinatarios de correo electrónico a la lista de direcciones de copia oculta (CCO) del mensaje de correo electrónico.
Redireccionar el mensaje a direcciones | RedirectMessage | Permite redireccionar el mensaje a uno o más destinatarios especificados por el administrador. El mensaje no se entrega a los destinatarios originales y no se envía ninguna notificación a los destinatarios ni al remitente.
Enviar el mensaje de rebote al remitente con código mejorado de estado | RejectMessage | Permite eliminar el mensaje y enviar una confirmación de no entrega al remitente. El destinatario no recibe el mensaje ni la notificación.
Quitar el mensaje silenciosamente | DeleteMessage | Permite elimina el mensaje. No se envía ninguna notificación al destinatario ni al remitente.
Para crear una regla de transporte, puede usar la Consola de administración de Exchange y el asistente para reglas de transporte, que se muestra en la figura 4. Otra alternativa es usar el Shell de administración de Exchange para redactar la creación de reglas.
Figura 4 Inicio del asistente para reglas de transporte para configurar una regla de transporte en un servidor concentrador de transporte
Figura 4 Inicio del asistente para reglas de transporte para configurar una regla de transporte en un servidor concentrador de transporte
Tenga en cuenta que también es posible usar el SDK para escribir agentes de transporte personalizados que procesen mensajes según los eventos SMTP dentro de Exchange. Sin embargo, esto no es apto para los temerosos.

Clasificación de mensajes
La nueva herramienta de clasificación de mensajes usa los metadatos para describir el público o el uso destinado de un mensaje específico. En el cliente, estos metadatos los puede usar Outlook® Web Access (OWA) u Outlook 2007 para mostrar una descripción legible por el usuario de la clasificación. En el servidor, los agentes de reglas de transporte pueden actuar sobre el mensaje en función de su clasificación.
Las clasificaciones de mensajes predeterminadas incluidas con Exchange Server 2007 son A/C (abogado/cliente) con privilegios, Datos adjuntos quitados, Confidencial de la empresa e Interno de la compañía. Sin embargo, muchas organizaciones desearán crear sus propias clasificaciones. Puede crear clasificaciones nuevas usando el cmdlet new-MessageClassification en el Shell de administración de Exchange. Por ejemplo, si tiene que restringir el acceso a datos financieros, podría crear una clasificación de mensajes denominada Financiero—Confidencial:
new-MessageClassification –Name finance –DisplayName “Financial—Confidential”
-RecipientDescription “This message contains confidential financial data.”
–SenderDescription “Restricts recipients of messages that contain confidential financial data”
Tenga en cuenta que aunque se necesitan sólo tres parámetros (Name, DisplayName y SenderDescription) debe agregar al menos RecipientDescription para lograr un nivel básico de funcionalidad. En la figura 5 se muestra esta nueva clasificación ahora incluida en una lista en la interfaz de OWA.
Figura 5 En la lista de clasificaciones de mensajes se incluye la recientemente creada Financiero—Confidencial
Figura 5 En la lista de clasificaciones de mensajes se incluye la recientemente creada Financiero—Confidencial
Este comando no usa el parámetro de configuración regional y por tanto, se aplicaría a todas las configuraciones regionales de su organización de Exchange. Si admite operaciones globales, probablemente deseará hacer sus clasificaciones personalizadas de mensajes específicas de la configuración regional.
Además, recuerde establecer correctamente los permisos en las clasificaciones. De forma predeterminada, todas las clasificaciones de mensajes nuevas se crean con permisos de lectura asignados a usuarios autenticados. Sin embargo, debería dividir las clasificaciones de mensajes de manera que los usuarios sólo tengan acceso a las clasificaciones de mensajes adecuadas para sus funciones. Además, tenga en cuenta que cada clasificación puede tener una prioridad relativa respecto a otras clasificaciones de mensajes. Esta prioridad especifica el orden de las descripciones y determina qué clasificaciones se asocian con un mensaje reenviado o contestado.
Una vez creadas las clasificaciones necesarias, el siguiente paso será crear reglas de transporte que usen las clasificaciones. (Por supuesto, estas clasificaciones de mensajes, no tienen que estar relacionadas con acciones; pueden ser meramente informativas). Como se muestra en la figura 6, tiene muchas opciones al combinar las clasificaciones de mensajes con reglas de transporte. He creado una regla de transporte que supervisa mensajes clasificados como Financiero. Si un mensaje está marcado como tal, el agente de la regla de transporte examinará los destinatarios. Si cualquiera de los destinatarios no es miembro del grupo de distribución Dpto. financiero, el mensaje se devuelve al remitente con un mensaje de no entrega personalizado.
Figura 6 Creación de una regla de transporte para mensajes clasificados como Financiero
Figura 6 Creación de una regla de transporte para mensajes clasificados como Financiero
La clasificación de mensajes también se puede usar para implantar "límites éticos" en su organización. Por ejemplo, a veces es necesario restringir las comunicaciones entre determinadas personas y departamentos. La clasificación de mensajes se puede usar para este propósito.

Agente de registro en el diario
Al garantizar el cumplimiento, el registro en diario puede ser un arma eficaz, aunque a veces, suponga un reto. Afortunadamente, Exchange Server 2007 ofrece capacidades de registro en diario mucho más flexibles. Ahora es compatible con el registro en diario estándar (en el nivel de base de datos de buzón) y el nuevo registro en diario premium (por destinatario), que habilita el registro en diario para usuarios individuales y grupos de distribución. Esto hace mucho más sencillo el proceso para cumplir con solicitudes, como custodias u órdenes de conservación emitidas por tribunal. Además, tiene más control sobre la repercusión en el registro en diario en el almacenamiento y el rendimiento.
Por ejemplo, una de las nuevas opciones más flexibles se presenta como compatibilidad para el registro en diario basado en grupos de distribución dinámica. Imaginemos que su organización tiene una necesidad progresiva de suspender los mensajes de correo electrónico de determinadas personas. Puede que se deba a investigación interna de Recursos Humanos o a un caso del tribunal. Con un grupo de distribución dinámica, el administrador puede agregar y quitar usuarios a un grupo establecido que ya se esté registrando en diario. Esto ofrece una manera rápida y sencilla de suministrar registro en diario ad hoc.
Mediante la Consola de administración de Exchange y el Asistente para nuevo grupo de distribución dinámica, tiene la opción de seleccionar el contenedor de usuarios y, como se muestra en la figura 7, de filtrar los buzones incluidos según el valor de determinados atributos de Active Directory. La selección de uno de los atributos personalizados, como también se muestra en la figura 7, permite al administrador controlar qué usuarios se están registrando en diario agregando o quitando este valor.
Figura 7 Uso del Asistente para nuevo grupo de distribución dinámica para configurar reglas de registro en diario
Figura 7 Uso del Asistente para nuevo grupo de distribución dinámica para configurar reglas de registro en diario
Para obtener un análisis exhaustivo del registro en diario en Exchange 2007, consulte el artículo de David Strome de diciembre 2006 "Una elaboración de diarios más eficaz en Exchange 2007". Encontrará información adicional en "Introducción al registro en diario".

Alan Maddison trabaja como consejero superior en la práctica de tecnología de Microsoft de MTI Technology Corporation. Su trabajo se centra principalmente en Active Directory, Exchange Server y en la virtualización.


 Administraci&#243;n de identidades: Creaci&#243;n de un flujo de trabajo de aprovisionamiento de un solo paso
Administración de identidades Aung Oo

Creación de un flujo de trabajo de aprovisionamiento de un solo paso
Resumen:
  • Uso de MIISWorkflow
  • Implementación y configuración
  • Ampliación de MIISWorkflow

Si busca una interfaz basada en Web para solicitar y aprobar cuentas y su organización usa Microsoft Identity Lifecycle Manager 2007 (ILM 2007, anteriormente Microsoft Identity Integration Server 2003),
la aplicación MIISWorkflow puede ofrecerle una solución sencilla y efectiva. MIISWorkflow forma parte de MIIS 2003 Resource Tool Kit 2.0 y está disponible desde diciembre de 2004. No es, necesariamente, una solución completa para todos los entornos, pero es un buen punto de partida para crear una aplicación personalizada que se adapte a las necesidades de la organización.
MIISWorkflow proporciona la funcionalidad de aprovisionamiento basada en aprobación para ILM 2007 mediante la integración de una aplicación web. Se trata de un sistema de aprovisionamiento de un solo paso impulsado por flujos de trabajo que acepta solicitudes de usuarios y los dirige a los aprobadores (por lo general, los administradores) con la autoridad suficiente para tomar decisiones con respecto a las solicitudes específicas. En función de la decisión del aprobador, ILM prosigue con el aprovisionamiento de cuentas de usuario en los directorios conectados mediante las reglas empresariales definidas en ILM.
Esta aplicación sólo puede facilitar un flujo de trabajo de un solo paso; no puede crear características complejas de flujo de trabajo, como por ejemplo, un proceso de aprobación de varios pasos con rutas paralelas o un proceso de flujo de trabajo con una interfaz gráfica. Si su organización no necesita estas características complejas de flujo de trabajo, puede usar el ejemplo de MIISWorkflow que se incluye en MIIS Resource Tool Kit para implementar una solución.
Aquí me centraré en el departamento de recursos humanos de una compañía ficticia. En general, los sistemas de RR. HH. son la fuente autorizada para toda la información acerca de los empleados de una organización. Sin embargo, aunque estos sistemas suelen incluir información detallada acerca de los empleados permanentes, no suelen tener información completa acerca de los trabajadores temporales, como por ejemplo, contratistas y becarios. Es posible que los datos de un sistema de RR. HH. no incluyan los sistemas a los que tienen acceso los usuarios, incluida la información de la cuenta de usuario. Explicaré cómo crear un sencillo sistema de seguimiento para los trabajadores temporales de una organización.

Creación en MIISWorkflow
Para aprovechar las ventajas de MIISWorkflow, las organizaciones pueden, por ejemplo, crear una aplicación que funcione en colaboración con los sistemas existentes de RR. HH. Cuando se contrata un empleado nuevo, la información de usuario se agrega al sistema de RR. HH. Se pueden diseñar flujos de ILM que envían la información a la base de datos de MIISWorkflow y, a continuación, usar la aplicación de flujo de trabajo para dirigir la información de usuario a los aprobadores antes de que ILM transfiera la cuenta a los directorios conectados.
Si su organización no usa sistemas de RR. HH. para realizar un seguimiento de los trabajadores temporales, puede usa la aplicación MIISWorkflow como el origen de datos autorizado para la administración de las cuentas en los directorios de la empresa. La aplicación de flujo de trabajo reduce el trabajo administrativo basado en papel necesario para obtener aprobaciones, por lo que los usuarios no tienen que esperar días para obtener acceso a las cuentas de los directorios y las aplicaciones. También puede usar MIISWorkflow para habilitar la revocación rápida del acceso y, así, mejorar la seguridad de la organización.
MIISWorkflow también se puede usar como una herramienta de auditoría para realizar un seguimiento del número de sistemas al que puede obtener acceso un usuario, las fechas de solicitud y anulación de cada cuenta y el solicitante y aprobador de cada cuenta. La capacidad de generar informes con un historial de cuentas detallado puede facilitar la conformidad de una organización con leyes normativas como Sarbanes-Oxley y HIPAA.
La aplicación MIISWorkflow se ejecuta en IIS y usa características de integración de directorios y de aprovisionamiento de ILM 2007 para activar y desactivar cuentas en los directorios conectados. Los componentes de la aplicación de flujo de trabajo incluyen una serie de páginas web de ASP.NET, una base de datos de SQL Server™, un agente de administración y un almacén de directivas de autorización (consulte la figura 1). La aplicación usa SQL Server para el almacenamiento de datos, Active Directory ® para la autenticación y un almacén de directivas con el Administrador de autorización de Windows ® (comúnmente conocido como AzMan) para la autorización.
Figura 1 Arquitectura de la aplicación MIISWorkflow
Figura 1 Arquitectura de la aplicación MIISWorkflow
La aplicación se puede ampliar y personalizar con C# y ASP.NET. MIISWorkflow consta de estas cinco páginas .aspx: Contractor Approval, Contractor History, Contractor Request, Contractor Status y Contractor Update. Estas páginas permiten a los administradores solicitar, actualizar, aprobar todas las cuentas de usuario del sistema y realizar un seguimiento del estado de éstas. Tenga en cuenta, de forma predeterminada, la aplicación MIISWorkflow está configurada para usar la autenticación de Windows integrada de IIS para sacar partido de Kerberos.
La aplicación de flujo de trabajo desencadena ILM en función de la acción del aprobador, e ILM activa o desactiva las cuentas de usuario en los directorios conectados mediante las reglas definidas. Inmediatamente después de realizar una acción en la solicitud, la aplicación desencadena ILM y no es necesario que las solicitudes esperen al próximo ciclo de sincronización de ILM para que se produzca la activación o desactivación en los directorios conectados.
La aplicación de flujo de trabajo requiere que la base de datos de MIISWorkflow almacene la información de cuenta de los usuarios. Esta base de datos no es la misma base de datos donde ILM almacena la información de metaverso, pero se configura en la misma instancia de SQL Server. Cuando los usuarios autorizados solicitan una cuenta a través de la aplicación de flujo de trabajo, MIISWorkflow guarda la información. A continuación, la información se representa en una página web de ASP.NET cuando un aprobador obtiene acceso a la página. MIISWorkflow también almacena historiales de acciones y otra información acerca de la cuenta en la base de datos. ILM importa la información desde la base de datos de MIISWorkflow mediante un agente de administración de SQL Server que se proporciona con la aplicación y activa o desactiva la cuenta según sea necesario.
AzMan, usado por MIISWorkflow para la autorización, proporciona control de acceso basado en funciones (RBAC) para administrar las tareas que pueden realizar los usuarios en la aplicación según las funciones que tengan asignadas. (Consulte go.microsoft.com/fwlink/?LinkId=85825 para obtener más información sobre RBAC.) Después de autenticar a un usuario en Active Directory, permitiéndole el acceso, la aplicación de flujo de trabajo comprueba las funciones definidas en el almacén de autorizaciones de AzMan para autorizar las operaciones que puede realizar un usuario. La aplicación cuenta con dos funciones predefinidas: solicitante de contratistas y aprobador de contratistas. Los usuarios o grupos con la función de solicitante de contratistas sólo pueden realizar una solicitud a través de la aplicación, mientras que los usuarios o grupos con la función de aprobador de contratistas pueden crear, aprobar y denegar solicitudes.
La directiva de autorización de la aplicación MIISWorkflow se almacena en un archivo XML. Las funciones definidas se pueden asignar tanto a usuarios y grupos de Windows como a grupos de aplicaciones. Los grupos de aplicaciones admiten consultas LDAP para realizar búsquedas de tiempo de ejecución de un objeto de cuenta de Active Directory o Active Directory Application Mode (ADAM) del usuario basado en el valor de atributo; el usuario está en el grupo de manera que (departamento="marketing"), por ejemplo, devuelve verdadero.

Tutorial de la aplicación
Los administradores de la aplicación controlan el acceso a la aplicación mediante AzMan. En función del uso que se haga de la aplicación en su organización, puede otorgar una función de solicitante de contratistas a todos los usuarios del dominio o sólo a los grupos seleccionados. La función de aprobador de contratistas sólo se debe otorgar a usuarios y grupos que tengan autoridad para aprobar o denegar solicitudes. Los administradores de RR. HH. seleccionados, así como los administradores del sistema y de grupos, suelen tener esta función. De forma predeterminada, la aplicación MIISWorkflow usa la autenticación de Windows integrada de IIS como método de autenticación, de modo que la aplicación autenticará a los usuarios con sus credenciales de inicio de sesión de escritorio de Windows. Esto significa que no se volverá a solicitar a los usuarios sus credenciales para autenticarse en la aplicación.
Un usuario con la función de solicitante de contratistas puede apuntar el explorador hacia la página de solicitud de contratista de la aplicación y proporcionar información acerca del contratista para solicitar una cuenta para dicho contratista. En la figura 2 se muestra la página de solicitud de contratista.
Figura 2 Página New Contractor Request
Figura 2 Página New Contractor Request
La persona con la función de solicitante rellena la información pertinente del contratista y envía la solicitud. Hay un vínculo para aprobar solicitudes y otro para comprobar el estado en la página, pero los solicitantes no pueden obtener acceso a la página del aprobador si no tienen también la función de aprobador de contratistas. Un solicitante puede hacer clic en el vínculo Contractor Status para ver sus solicitudes, pero no puede ver el estado de las solicitudes enviadas por otros usuarios.
Sólo los aprobadores de contratistas tienen acceso a la página de aprobación de contratista de la aplicación, donde pueden aprobar o denegar la solicitud tras revisar la información. En la figura 3 se muestra la interfaz de la página web Contractor Approval.
Figura 3 Página Contractor Approval
Figura 3 Página Contractor Approval
Un aprobador de contratistas puede consultar las solicitudes enviadas por todos los solicitantes. Cualquier aprobador de contratistas puede aprobar la solicitud y basta con una aprobación o negación para dirigir la solicitud a la fase siguiente. La solicitud desaparecerá de la página de aprobación de contratista después de que el aprobador haya realizado una acción. Esto minimiza las acciones redundantes del aprobador.
Para revisar las solicitudes nuevas y realizar acciones en las solicitudes pendientes de acuerdo con los requisitos de la organización, un aprobador necesita obtener acceso a la página de aprobación de contratistas con frecuencia, puesto que la aplicación no dispone de un mecanismo de notificación para avisar al aprobador de la llegada de solicitudes nuevas o un trabajo acumulado. Tan pronto como el aprobador aprueba o deniega la solicitud de la página, la aplicación desencadena ILM y las cuentas de los directorios conectados se activan o desactivan en función de la acción del aprobador.
Figura 4 Página Contractor Status
Figura 4 Página Contractor Status
Se puede realizar un seguimiento del estado de las solicitudes pendientes y los registros de las solicitudes completadas desde la página de estado del contratista (consulte la figura 4). Un solicitante puede emprender varias acciones desde esta página. Puede ver sus propias solicitudes, incluso información como el Id. de empleado, el nombre, los apellidos, el departamento, el estado y la fecha de la última modificación. También puede editar la información existente, ver el historial y anular la cuenta de un contratista. Puede modificar la información de nombre, apellidos y departamento, y volver a enviarla para su aprobación. Por último, puede ver un registro de las acciones realizadas en la solicitud junto con la fecha y la hora de cada acción en la página de historial de contratista (consulte la figura 5).
Figura 5 Página Contractor History
Figura 5 Página Contractor History
La aplicación MIISWorkflow posibilita una anulación perfecta de las cuentas al permitir que un solicitante anule cuentas de contratista desde la página de estado del contratista. El solicitante puede hacer clic en el vínculo de anulación para deshabilitar o eliminar inmediatamente cuentas de contratista de los directorios conectados. La ventaja de esta capacidad de anular cuentas de contratista desde la aplicación de flujo de trabajo es que los administradores del sistema no tienen que buscar la cuenta del contratista en todos los directorios y eliminar las cuentas manualmente. La aplicación MIISWorkflow desencadena ILM inmediatamente para que desactive las cuentas de los directorios conectados, no existe retraso a la hora de eliminar esas cuentas.

Configuración de la aplicación
La configuración de la aplicación MIISWorkflow implica la configuración de una cuenta de servicio, la configuración de la base de datos para la aplicación, la configuración de ILM para que funcione con la aplicación de flujo de trabajo, la configuración de IIS y la configuración del almacén de directivas. La aplicación contiene secuencias de comandos y archivos de configuración creados previamente para simplificar este proceso.
La aplicación MIISWorkflow incluye un archivo de consultas T-SQL para facilitar el proceso de creación de una base de datos de MIISWorkflow. Puede cargar el archivo de consultas en el Analizador de consultas y ejecutar la consulta para crear la base de datos automáticamente.
La configuración de IIS implica la creación de un grupo de aplicaciones IIS y un directorio virtual nuevos, y el establecimiento de la autenticación y el control de acceso para alojar páginas de ASP.NET. La aplicación también incluye un archivo XML con funciones predefinidas para configurar un almacén de directivas de autorización. Puede asignar usuarios y grupos a las funciones existentes y crear funciones nuevas con la MMC de AzMan.
El último paso es configurar el agente de administración en ILM para la importación de datos desde la base de datos de MIISWorkflow a ILM. Para ello, importe la configuración del agente de administración en el archivo XML y copie un archivo de extensión creado previamente para el agente de administración de SQL Server. El archivo XML y el archivo de extensión del agente de administración se proporcionan con la aplicación. Encontrará instrucciones paso a paso sobre cómo configurar estos pasos en el archivo Léame.

Ampliación de la aplicación
La aplicación MIISWorkflow ofrece un punto de partida para desarrollar la integración del flujo de trabajo simple con MIIS; es posible que tenga que realizar algunas personalizaciones para ampliar la aplicación. Además de modificaciones sencillas como cambios en las páginas web, existen muchas más maneras de ampliar esta aplicación.
Puede agregar una característica de notificación para que el aprobador reciba un mensaje de correo electrónico cuando haya una solicitud pendiente. Esta característica también podría enviar un recordatorio al aprobador, en un intervalo de días especificado, si no se ha efectuado ninguna acción sobre la solicitud. Si desea más información acerca de los usuarios de que la que se proporciona en la página predeterminada, puede agregar campos a las páginas de solicitud de contratista y de actualización de contratista. Puede agregar más funciones a la aplicación, como por ejemplo, una función de auditor que permita a un usuario ver el historial de todas las solicitudes, no sólo las solicitudes que envió.
Esta aplicación no da cabida características de flujo de trabajo más complejas, como por ejemplo, un flujo de trabajo de varios pasos y la capacidad de diseñar un flujo de trabajo con un diseñador gráfico. No obstante, puede usar Windows Workflow Foundation para desarrollar una aplicación más robusta con características de flujo de trabajo complejas.
Encontrará MIIS Resource Tool Kit en la dirección go.microsoft.com/fwlink/?LinkId=85829. Descárguelo hoy y empiece a crear sus propias soluciones de flujo de trabajo de identidades.

Aung Oo es un experto en administración de identidades de los Servicios de consultoría de Microsoft (Microsoft Consulting Services, MCS). Aung diseña, desarrolla e implementa soluciones de administración de identidades y directorios empresariales para clientes comerciales y del gobierno desde el primer lanzamiento de Microsoft Identity Management.


 Administraci&#243;n de Windows: Simplificaci&#243;n de la administraci&#243;n de directivas de grupo con Windows PowerShell
Administración de Windows Thorbjörn Sjövold

Simplificación de la administración de directivas de grupo con Windows PowerShell
Resumen:
  • ¿Qué es Windows PowerShell?
  • Cómo se administraban anteriormente los GPO
  • Migración de secuencias de comandos a Windows PowerShell

La tecnología de directivas de grupo de Microsoft no se estableció de la noche a la mañana, era algo difícil de entender y necesitaba la aplicación de Active Directory, un extraño nuevo servicio que no se parecía en nada a los dominios de cuentas y recursos que eran los estándares del momento. Hoy, las directivas de grupo
son la red troncal de administración de casi todas las organizaciones que cuentan con una infraestructura Windows®. Tengo la sensación de que precisamente lo mismo sucederá con Windows PowerShell™, la última tecnología de administración de Microsoft. De hecho, es probable que Windows PowerShell facilite notablemente su trabajo como administrador de directivas de grupo.
En este artículo, muestro cómo las API de la Consola de administración de directivas de grupo de Microsoft® (GPMC) escritas para lenguajes de Windows Scripting Host como VBScript (y en general, para lenguajes de secuencias de comandos basados en COM), se pueden emplear directamente en Windows PowerShell para simplificar la manera en que administra directivas de grupo en su entorno.

Tareas de directivas de grupo para secuencias de comandos
Cuando hace algunos años Microsoft lanzó al mercado GPMC, de pronto los administradores de directivas de grupo tuvieron varias características de gran utilidad a su disposición. En particular, el complemento de MMC centrado en directivas de grupo representó un importante adelanto para la administración de directivas de grupo, especialmente en comparación con usuarios y equipos de Active Directory®. Además, había una API completamente nueva que permitió que los administradores usaran lenguajes basados en COM, como por ejemplo VBScript, para realizar administración de directivas de grupo para tareas como copia de seguridad y restauración de objetos de directiva de grupo (GPO), migración de GPO entre dominios, configuración de valores de seguridad en GPO y vínculos y generación de informes.
Desafortunadamente, la GPMC no ofrecía la capacidad de editar los valores reales configurados dentro de los objetos de directiva de grupo. En otras palabras, podía realizar operaciones en el contenedor de GPO, como por ejemplo la lectura de versiones de GPO y fechas de modificación, la creación de nuevos GPO, la copia de seguridad y restauración o importación de GPO de diferentes dominios, etc., pero no podía agregar ni cambiar mediante programación el contenido del GPO; por ejemplo, agregando una nueva carpeta redirigida o un nuevo software de instalación. Lo que en su lugar hacía generalmente era crear el GPO y configurar todos los valores manualmente con el Editor de objetos de directiva de grupo, a continuación realizar una copia de seguridad e importarla en un entorno de pruebas. Una vez que todo se comprobaba y funcionaba correctamente, se importaba en el entorno de producción. A pesar de la característica ausente, el uso de secuencias de comandos en lugar de interacción manual con la API de GPMC tuvo como resultado un ahorro muy importante en cuanto al tiempo, esfuerzo y errores de la administración diaria de directivas de grupo.

El siguiente nivel
¿En qué se diferencia Windows PowerShell de los lenguajes de secuencias de comandos como VBScript? Para principiantes, Windows PowerShell es un shell y, al menos para nuestro propósito, puede considerar un shell como un intérprete de línea de comandos. Aunque VBScript se puede ejecutar desde la línea de comandos, un archivo VBScript no se puede ejecutar línea por línea. En cambio, una secuencia de comandos de Windows PowerShell se puede crear sobre la marcha como una serie de comandos individuales. Además, Windows PowerShell tiene funciones que trabajan en forma muy similar a las subrutinas de VBScript, y que se pueden crear en tiempo real en el símbolo del sistema de Windows PowerShell.
Aún mejor, Windows PowerShell se crea a partir de Microsoft .NET Framework, mientras que VBScript depende de la antigua tecnología COM. Esto significa que la inmensa cantidad de código .NET que se produce hoy se puede usar directamente desde Windows PowerShell.
Al final, el resultado es que con Windows PowerShell se obtiene compatibilidad absoluta con secuencias de comandos y el modo interactivo, todo en un mismo paquete. Todos los ejemplos que ofrezco aquí serán de entradas de línea de comandos que puede escribir mientras lee. Sin embargo, funcionarán igual si los pone en un archivo de secuencias de comandos de Windows PowerShell y lo ejecuta.

Recreación de secuencias de comandos antiguas con Windows PowerShell
Lo último que uno desea al comenzar con una nueva tecnología es tener que descartar todo el trabajo anterior. Hay tres métodos que puede usar para tener acceso a objetos COM desde la API de GPMC, o básicamente para volver a usar cualquier secuencia de comandos VBScript antigua que ande por allí. Puede seleccionar una de tres opciones:
  • Crear un cmdlet de Windows PowerShell que usa un lenguaje de programación como C# o C++ administrado.
  • Usar Windows PowerShell para tener acceso a ScriptControl en MSScript.ocx para ajustar antiguas secuencias de comandos.
  • Ajustar las llamadas COM en funciones Windows PowerShell que se pueden volver a usar o llamar directamente a los objetos COM.
Me centraré principalmente en la tercera opción, pero veamos primero rápidamente todas las opciones.

Creación de un cmdlet de Windows PowerShell
Microsoft incluyó un gran número de cmdlets con Windows PowerShell que permiten copiar archivos, dar formato a los resultados, recuperar la fecha y hora, etc., pero también se pueden cmdlets propios. El proceso se documenta completamente en msdn2.microsoft.com/ms714598.aspx. En resumen, los pasos son los siguientes:
  • Crear una biblioteca de clases DLL en un lenguaje de programación .NET como C#.
  • Crear una nueva clase y heredar de la clase base cmdlet.
  • Establecer atributos que determinen el nombre, el uso, los parámetros de entrada, etc., y agregar el código.
Como Windows PowerShell se crea a partir de Microsoft .NET Framework, cualquier tipo, como por ejemplo, una cadena, objeto, etc., que se devuelva o pase como parámetro tiene exactamente el mismo código que en Windows PowerShell; no se necesita ningún tipo de conversión especial.
El verdadero poder de esta solución es que tiene a su disposición un lenguaje de programación completo.

Ajuste de antiguas secuencias de comandos con el objeto ScriptControl en MSScript.ocx
Evidentemente, se necesita el motor VBScript para ejecutar un archivo VBScript. Lo que no es tan obvio es que este motor es un objeto COM y, dado que puede usar objetos COM desde Windows PowerShell, puede invocar el motor VBScript. A continuación se muestra el aspecto de esto:
$scriptControl = New-Object -ComObject ScriptControl
$scriptControl.Language = ‘VBScript’
$scriptControl.AddCode(
    ‘Function ShowMessage(messageToDisplay)
    MsgBox messageToDisplay
    End Function’)
$scriptControl.ExecuteStatement(‘ShowMessage
    “Hello World”’)
Si escribe este código en la interfaz de línea de comandos (CLI) de Windows PowerShell, la función ShowMessage de VBScript se llama y ejecuta con un parámetro, y aparecerá un cuadro de mensaje con el texto Hello World.
Ahora alguno puede pensar que esto es estupendo. Que ahora domina el arte de usar COM en Windows PowerShell y puede dejar de leer este artículo y comenzar a llenar el objeto ScriptControl con su colección de antiguas secuencias de comandos de GPMC. Desafortunadamente, no es así. A medida que las secuencias de comandos se hace más grandes, esta técnica se vuelve rápidamente muy compleja y difícil de depurar.

Ajuste de objetos COM
Por lo tanto, la mejor opción es la tercera: ajustar las llamadas COM en funciones Windows PowerShell que se pueden volver a usar y que le permiten emplear los objetos COM en la API de GPMC. La línea siguiente muestra cómo crear un objeto .NET directamente en Windows PowerShell. En este caso, se trata de un objeto FileInfo que se puede usar para obtener el tamaño del archivo:
$netObject = New-Object System.IO.FileInfo(
“C:\boot.ini”) # Create an instance of FileInfo
               # representing c:\boot.ini
Tenga en cuenta que # se usa en Windows PowerShell para comentarios en línea. Al usar este objeto FileInfo con su instancia recién creada, se puede obtener de forma sencilla el tamaño del archivo boot.ini simplemente escribiendo el siguiente código:
$netObject.Length # Display the size in bytes of the
                  # file in the command line interface
Un momento, ¿no se supone que hablaríamos de objetos COM y conversión de VBScript? Sí, pero observe el siguiente comando:
$comFileSystemObject = New-Object –ComObject Scripting.FileSystemObject
Observará que la sintaxis es básicamente la misma que usé antes para crear objetos nativos de .NET Framework, con dos diferencias. En primer lugar, agregué el modificador -ComObject que apunta Windows PowerShell hacia el mundo COM en vez del mundo .NET. En segundo lugar, uso un ProgID de COM en vez de un constructor de .NET; en este caso Scripting.FileSystemObject. El ProgID es el mismo nombre que usa siempre. En VBScript, el equivalente será:
Set comFileSystemObject = CreateObject(
    “Scripting.FileSystemObject”)
Para obtener el tamaño del archivo con VBScript, agregue la línea anterior a un archivo, junto con el siguiente código:
Set comFileObject = comFileSystemObject.GetFile(
    “C:\Boot.ini”)
WScript.Echo comFileObject.Size
A continuación, ejecútelo mediante Cscript.exe, por ejemplo. En Windows PowerShell, lo haría (directamente desde la línea de comandos de Windows PowerShell si lo desea) de la siguiente manera:
$comFileObject = $comFileSystemObject.GetFile(
    “C:\boot.ini”)
$comFileObject.Size
Por supuesto, para convertir un VBScript que lee el tamaño de un archivo, podría haber usado el cmdlet de Windows PowerShell que administra objetos en unidades de disco, pero quise mostrarle qué fácil es tener acceso a COM desde Windows PowerShell. Observe que aunque le indiqué a Windows PowerShell que creara un objeto COM, el objeto que realmente se crea aquí, $comFileSystemObject, es un objeto .NET que ajusta el objeto COM y expone su interfaz. En realidad, esto no importa para el alcance de este artículo.

Windows PowerShell en acción
Ahora que ha visto cómo tener acceso a COM desde Windows PowerShell, concentrémonos en directivas de grupo. Los ejemplos mostrarán fragmentos cortos de código para darle una idea de cómo usar las API de GPMC desde Windows PowerShell. Puede obtener un conjunto completo de funciones de Windows PowerShell para administrar directivas de grupo en la descarga de código relacionada con este artículo, en línea en technetmagazine.com/code07.aspx. En la figura 1 se muestra una lista de las funciones incluidas en la descarga.
Figure 1 Funciones personalizadas en la descarga (Close Figure 1)

Nombre de la función | Descripción
BackupAllGpos | Permite realizar una copia de seguridad de todos los GPO en un dominio
BackupGpo | Permite realizar una copia de seguridad de un único GPO
RestoreAllGpos | Permite restaurar en un dominio todos los GPO a partir de una copia de seguridad
RestoreGpo | Permite restaurar un único GPO a partir de una copia de seguridad
GetAllBackedUpGpos | Permite recuperar la última versión de las copias de seguridad de GPO desde una ruta de acceso en particular
CopyGpo | Permite copiar la configuración de un GPO a otro
CreateGpo | Permite crear un nuevo GPO vacío
DeleteGpo | Permite eliminar un GPO
FindDisabledGpos | Devuelve todos los GPO donde tanto la parte del usuario como del equipo están deshabilitadas
FindUnlinkedGpos | Devuelve todos los GPO que no tienen vínculos
CreateReportForGpo | Permite crear un informe XML para un GPO único en un dominio
CreateReportForAllGpos | Permite crear un informe XML separado por cada GPO en un dominio
GetGpoByNameOrID | Permite buscar un GPO por su nombre para mostrar o Id. de GPO
GetBackupByNameOrId | Permite buscar una copia de seguridad de GPO por su nombre para mostrar o Id. de GPO
GetAllGposInDomain | Devuelve todos los GPO en un dominio
Mientras lee esta sección, si lo desea puede iniciar la línea de comandos de Windows PowerShell y escribir los comandos. Sin embargo, recuerde que algunos comandos dependen de comandos anteriores. Es decir, algunos de los objetos creados inicialmente se usarán más tarde, de modo que debe permanecer en la misma sesión de Windows PowerShell. Si cierra la sesión, tendrá que comenzar de nuevo desde el principio, volviendo a escribir todos los comandos.
Creemos entonces un nuevo GPO que usa Windows PowerShell. El equipo de directivas de grupo de Microsoft incluyó con GPMC varias muestras de VBScript completamente operativas que puede aprovechar para acelerar las cosas. Están en el directorio %ProgramFiles%\GPMC\Scripts, donde también encontrará un archivo llamado gpmc.chm que contiene la documentación de la API de GPMC. Veamos la secuencia de comandos CreateGPO.wsf y analicemos la base de su funcionamiento.
Al principio verá esta línea:
Dim GPM
Set GPM = CreateObject(“GPMgmt.GPM”)
Básicamente, es el punto de partida de cualquier sesión de administración de directivas de grupo o secuencia de comandos porque crea una instancia de la clase GPMgmt.GPM que permite tener acceso a la mayor parte de la funcionalidad de GPMC. Sigamos adelante y hagamos esto desde Windows PowerShell en su lugar:
$gpm = New-Object -ComObject GPMgmt.GPM
Ahora que tenemos el punto de partida de la administración de directivas de grupo, el paso siguiente es resolver qué se puede hacer. Normalmente, con este tipo de información iría a la documentación, pero Windows PowerShell tiene una característica realmente increíble. Si escribe la siguiente línea, obtendrá el resultado que se indica en la figura 2:
Figura 2 Resultado de Get-Member
Figura 2 Resultado de Get-Member
$gpm | gm
Creo que esto es genial. Tenga en cuenta cómo el cmdlet Get-Member (o gm, obtener miembro) le permite consultar las propiedades y los métodos que admite el objeto desde la línea de comandos. Por supuesto, no es lo mismo que leer la documentación, pero facilita el uso de objetos con los que ya está familiarizado cuando no recuerda el número exacto de parámetros, el nombre exacto, etc. Un punto importante a tener en cuenta es que al mirar las listas de nodos de la documentación de GPMC, se observa que el objeto GPM y todas las otras clases están prefijadas con la letra I; esto se debe al funcionamiento interno de COM y aquí no le prestaremos atención; está pensado para programadores de C++ que escriben código COM nativo y denotan la diferencia entre una interfaz y la clase que implementa. Observe también que al usar las API de GPMC, hay un solo objeto que se debe crear de este modo, GPMgmt.GPM; todos los demás objetos se crean con métodos que comienzan con este objeto de GPM.
Continuemos ahora con la creación de un nuevo GPO.
En la figura 3 se ilustra lo sencillo que es crear un GPO. Tenga en cuenta que omití parte del código, incluido el control de errores (por ejemplo, lo que sucedería si no se le permite crear GPO), y codifiqué un nombre de dominio, pero puede captar la idea.
Figure 3 Creación de un GPO (Close Figure 3)
$gpmConstants = $gpm.GetConstants()
# This is the GPMC way to retrieve all
# constants
$gpmDomain =$gpm.GetDomain(“Mydomain.local”, “”, $gpmConstants.UseAnyDC)
# Connects to the domain where the GPO should
# be created, replace Mydomain.local with the
# name of the domain to connect to.
$gpmNewGpo = $gpmDomain.CreateGPO()
# Create the GPO
$gpmNewGpo.DisplayName = “My New Windows PowerShell GPO”
# Set the name of the GPO
Ahora que sabe cómo crear un GPO, abramos en cambio uno existente. Todavía tiene la referencia al dominio, $gpmDomain, de modo que escriba lo siguiente:
$gpmExistingGpo = $gpmDomain.GetGPO(
  “{31B2F340-016D-11D2-945F-00C04FB984F9}”)
# Open an existing GPO based on its GUID,
# in this case the Default Domain Policy.
$gpmExistingGpo.DisplayName
# Show the display name of the GPO, it
# should say Default Domain Policy
$gpmExistingGpo.GenerateReportToFile($gpmConstants.ReportHTML, “.\DefaultDomainPolicyReport.html”
Esto le ofrece un informe HTML completo de la configuración en la directiva de dominio predeterminada, pero obviamente puede usar cualquiera de los métodos y propiedades, como por ejemplo ModificationTime que indica la última vez que se modificó el GPO, para resolver cuándo se modificaron cualquiera de los valores en el GPO.
Esto es de gran utilidad. Probablemente habrá estado en una situación en donde los teléfonos empiezan a sonar como locos con usuarios que se quejan de que sus equipos se comportan extrañamente. Sospecha que esto se relaciona con una configuración de GPO modificada, agregada o eliminada, pero no tiene un indicio de qué GPO mirar. ¡Windows PowerShell viene al rescate! Si escribe la secuencia de comandos mostrada en la figura 4 en la línea de comandos de Windows PowerShell, obtendrá todos los GPO modificados en las últimas 24 horas.
Figure 4 Descubrimiento de los GPO modificados (Close Figure 4)
$gpmSearchCriteria = $gpm.CreateSearchCriteria()
# We want all GPOs so no search criteria will be specified
$gpmAllGpos = $gpmDomain.SearchGPOs($gpmSearchCriteria)
# Find all GPOs in the domain
foreach ($gpmGpo in $gpmAllGpos)
{
if ($gpmGpo.ModificationTime -ge (get-date).AddDays(-1)) {$gpmGpo.DisplayName}
# Check if the GPO has been modified less than 24 hours from now
}
Observe el operador -ge, que significa mayor o igual que. Quizá parezca extraño si estaba acostumbrado a los operadores < y > de otras secuencias de comandos o lenguajes de programación. Pero estos operadores se usan para la redirección, por ejemplo para redireccionar el resultado a un archivo, y no se pueden usar como operadores de comparación en Windows PowerShell.

Conclusión
El código de la figura 5 incluye una lista completa de secuencias de comandos para copiar la configuración de un GPO a otro. Ahora debe tener una buena idea acerca de cómo usar esta nueva tecnología con directivas de grupo y cómo volver a usar cualquier objeto COM o código VBScript que emplea un objeto COM.
Figure 5 Copia de la configuración de un GPO a otro (Close Figure 5)
###########################################################################
# Function  : CopyGpo
# Description: Copies the settings in a GPO to another GPO
# Parameters : $sourceGpo     - The GPO name or GPO ID of the GPO to copy
#           : $sourceDomain   - The dns name, such as microsoft.com, of the domain where the original GPO is located
#           : $targetGpo      - The GPO name of the GPO to add
#           : $targetDomain   - The dns name, such as microsoft.com, of the domain where the copy should be put
#           : $migrationTable - The path to an optional Migration table to use when copying the GPO
# Returns   : N/A
# Dependencies: Uses GetGpoByNameOrID, found in article download
###########################################################################
function CopyGpo(
 [string] $sourceGpo=$(throw ‘$sourceGpo is required’),
 [string] $sourceDomain=$(throw ‘$sourceDomain is required’),
 [string] $targetGpo=$(throw ‘$targetGpo is required’),
 [string] $targetDomain=$(throw ‘$targetDomain is required’),
 [string] $migrationTable=$(“”),
 [switch] $copyAcl)
{

 $gpm = New-Object -ComObject GPMgmt.GPM # Create the GPMC Main object
 $gpmConstants = $gpm.GetConstants() # Load the GPMC constants
 $gpmSourceDomain = $gpm.GetDomain($sourceDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC
 $gpmSourceGpo = GetGpoByNameOrID $sourceGpo $gpmSourceDomain
 # Handle situations where no or multiple GPOs was found
 switch ($gpmSourceGpo.Count)
 {
   {$_ -eq 0} {throw ‘No GPO named $gpoName found’; return}
   {$_ -gt 1} {throw ‘More than one GPO named $gpoName found’; return}
 }
 if ($migrationTable)
 {
   $gpmMigrationTable = $gpm.GetMigrationTable($migrationTable)
 }

 $gpmTargetDomain = $gpm.GetDomain($targetDomain, “”, $gpmConstants.UseAnyDC) # Connect to the domain passed
                                                                              # using any DC

 $copyFlags = 0
 if ($copyAcl)
 {
   $copyFlags = Constants.ProcessSecurity
 }
 $gpmResult = $gpmSourceGpo.CopyTo($copyFlags, $gpmTargetDomain, $targetGpo)
 [void] $gpmResult.OverallStatus

}
Windows PowerShell será, al igual que las directivas de grupo son, una parte natural de cualquier entorno de administración de Windows. Pero hay millones de líneas de VBScript por allí que deberán migrarse o mantenerse, y con suerte, este tutorial ayudará.
Hay varias fuentes que puede usar para mejorar la administración de directivas de grupo y otras áreas donde anteriormente usó VBScript, incluidas las funciones de Windows PowerShell en la descarga, así como una estupenda guía sobre la conversión de VBScript a Windows PowerShell en el sitio web de TechNet que le ofrece sugerencias sobre cómo realizar las tareas habituales en Windows PowerShell cuando ya conoce su equivalente en VBScript. Lo encontrará en microsoft.com/technet/scriptcenter/topics/winpsh/convert.
Además, la API de GPMC está totalmente documentada. Puede descargar la información del sitio de directivas de grupo en la dirección microsoft.com/grouppolicy.
Por último, pero no por ello menos importante, si aún no instaló Windows PowerShell, ¿qué espera? Descárguelo de microsoft.com/powershell. Diviértase.

Thorbjörn Sjövold es el director tecnológico y fundador de Special Operations Software (www.specopssoft.com), un proveedor de productos de extensión de administración y seguridad de sistemas basados en directivas de grupo. Puede ponerse en contacto con él en la dirección thorbjorn.sjovold@specopssoft.com.


 Administraci&#243;n de Windows: Gu&#237;a de implementaci&#243;n de Servicios de Terminal Server
Administración de Windows James D. Silliman

Guía de implementación de Servicios de Terminal Server
Resumen:
  • Implemente Terminal Server en pocos pasos sencillos
  • Optimice Office en el entorno TS
  • Administre en forma eficiente sus usuarios con TS

Retroceso a 1998: Microsoft lanza al mercado Windows NT 4.0 Terminal Server Edition, con nombre en código "Hydra". Microsoft obtiene tecnología con licencia de Citrix Systems, y crea su primera oferta de
servidor para cliente ligero. Para los administradores de sistemas, "Hydra" fue una implementación difícil. Pasan rápidamente algunos años, y Servicios de Terminal Server ha cambiado radicalmente. Está completamente integrado en el núcleo y se configura fácilmente con un asistente integrado de instalación, que no necesita ningún CD adicional ni descarga de Internet. Dada su relativa facilidad de instalación, existen muchas razones para implementar Servicios de Terminal Server en su organización. La ventaja más inmediata es que todas sus aplicaciones se ejecutan en uno o varios servidores centrales, de manera tal que la arquitectura y el hardware cliente ya no son una preocupación. Todo lo que el usuario final necesita es un cliente de protocolo de escritorio remoto (RDP) para conectarse a los servidores centrales. Afortunadamente, existen clientes RDP disponibles para la mayoría de las arquitecturas actuales.
En este artículo, muestro cómo habilitar Servicios de Terminal Server en una instalación de Windows Server® 2003 existente, cómo aplicar directivas de grupo de Servicios de Terminal Server y cómo usar el asistente para la instalación personalizada con el fin de automatizar la configuración de perfiles de Microsoft® Outlook®. Cuando terminemos, Terminal Server estará completamente implementado para servir aplicaciones a los usuarios.

Introducción
El primer paso necesario para configurar Servicios de Terminal Server es abrir el Asistente para configurar su servidor integrado, que se encuentra en Herramientas administrativas de Windows 2003. Seleccione Terminal Server y haga clic en Siguiente hasta que finalice el asistente. El programa de instalación le avisa que tendrá que reiniciar automáticamente el equipo para inicializar los cambios. Después del reinicio, el servidor estará en modo Terminal Server.
A propósito, asegúrese de tener a mano las Licencias de acceso de cliente (CAL) de Servicios de Terminal Server antes de comenzar, o después de una implementación correcta nadie podrá conectarse. Ahora una el equipo que ejecuta Servicios de Terminal Server al dominio Active Directory ® e inicie sesión con una cuenta que tenga privilegios de administrador de dominio. Si no forma parte de un dominio, le será difícil avanzar porque no podrá aplicar directivas de grupo. En este artículo, el servidor donde instala Servicios de Terminal Server se llama TS01.
A continuación, inicie Usuarios y equipos de Active Directory desde Herramientas administrativas y cree una nueva unidad organizativa (UO) donde colocará el Terminal Server. Por sencillez, asignemos a la UO el original nombre de Terminal Servers. Busque el Terminal Server, TS01, y muévalo a la nueva UO Terminal Servers.
A continuación, descargue e instale la consola de administración de directivas de grupo (GPMC) desde microsoft.com/windowsserver2003/gpmc. Esta utilidad de administración permite configurar una nueva directiva de grupo, asignarle permisos y editarla para activar o desactivar la configuración de las directivas que se aplican a cualquier usuario que se conecte. GPMC es una herramienta esencial para la implementación de Servicios de Terminal Server porque incluye un asistente de modelos integrado que refleja inmediatamente cuáles directivas se aplicaron a un usuario y cuáles no.
Inicie la consola de GPMC desde Herramientas administrativas, y busque la nueva UO Terminal Servers en el lado izquierdo de la ventana Administración de directivas de grupo. Haga clic con el botón secundario en la UO, seleccione Crear y vincular un GPO aquí, tal como se muestra en la figura 1, y asígnele un nombre funcional, como por ejemplo, Directiva de Terminal Server Nº 1.
Figura 1 Creación y vinculación de un nuevo GPO
Figura 1 Creación y vinculación de un nuevo GPO
Advertirá que mágicamente aparece un grupo Usuarios autenticados en el cuadro Filtrado de seguridad de la parte derecha de la ventana de GPMC. Este grupo se agrega de forma predeterminada a todos los objetos de directivas de grupo (GPO). Seleccione el grupo y haga clic en el botón Quitar. En vez de eso, desea configurar un grupo para Servicios de Terminal Server en el árbol de Active Directory al cuál aplicar los GPO cuando los usuarios inicien sesión en TS01. A este grupo de Servicios de Terminal Server le asignaremos el nombre BottleWashers. Siga adelante y agréguelos en la estructura de Active Directory mediante la opción Usuarios y equipos de Active Directory de Herramientas administrativas. Necesitará también agregar BottleWashers al grupo Usuarios de escritorio remoto en TS01 y en cualquier otro Terminal Server que instale.
Asegúrese de que se encuentra ahora en la ficha Ámbito. Haga clic en el botón Agregar del cuadro Filtrado de seguridad y agregue BottleWashers como grupo. BottleWashers obtendrá automáticamente los derechos Leer y Aplicar directiva de grupo en la Directiva de Terminal Server Nº 1. Estos dos permisos son derechos predeterminados de la directiva de grupo y son necesarios para cualquier directiva que se aplique a un objeto.
A continuación, agregue también el servidor, TS01, en el cuadro Filtrado de seguridad. En esta operación, hay un paso adicional. Primero haga clic en Agregar y debajo de Tipos de objetos, asegúrese de colocar una marca de verificación en la ficha Equipos; de otro modo la GPMC no podrá encontrar TS01 en Active Directory. El resultado final debe parecerse al de la figura 2.
Figura 2 Adición TS01 en Filtrado de seguridad
Figura 2 Adición TS01 en Filtrado de seguridad
Asimismo, los derechos correctos de la directiva se aplicarán automáticamente a TS01 al agregarlo en el cuadro Filtrado de Seguridad. En este momento es una buena idea hacer clic en la ficha Delegación situada en la parte superior derecha de la pantalla de GPMC, y buscar administradores de dominio, que también se incluyen de forma predeterminada en cualquier directiva nueva. Haga clic en el botón Opciones avanzadas situado en la esquina inferior derecha de la pantalla.
Ahora verá la configuración de seguridad del objeto de la directiva de grupo. Asegúrese de centrarse en la sección Admins. del dominio y buscar el valor Aplicar directiva de grupo en la parte inferior. En el lado derecho, active la opción Denegar. Cuando haga clic en Aceptar, recibirá el mensaje estándar de advertencia que aparece todas las veces que establece un permiso Denegar. Este paso evita que la nueva directiva de TS se aplique a los administradores de dominio, un resultado que sería menos que deseable.
¿Recuerda que le aconsejé tener a mano las CAL de Microsoft? Necesitará revisar la documentación de licencia y determinar cuáles CAL de Servicios de Terminal Server adquirió. Hay dos versiones de CAL para Terminal Server: usuario y dispositivo. Puede obtener más información sobre licencias en microsoft.com/windowsserver2003/howtobuy/licensing/ts2003.mspx.
Básicamente, la licencia por usuario permite que un usuario consuma sólo una licencia de Terminal Server, independientemente del número de dispositivos (PCs) desde los que se conecta el usuario.
Si aún no tiene un servidor de licencias de Terminal Server en el dominio, busque un servidor miembro que pueda asumir la función. Aunque esté admitido, es mejor que TS01 no sea el servidor de licencias porque si más adelante agregara Servicios de Terminal Server adicionales a la organización, le faltará tolerancia a errores en la infraestructura. Vaya al Panel de control del servidor de licencias propuesto. Seleccione Agregar o quitar programas | Componentes de Windows | Licencias de Terminal Server, y siga los mensajes para habilitar el servidor de licencias. Después de finalizar, haga clic en Inicio | Ejecutar y escriba:
tscc.msc
Esto abre el árbol Configuración de Terminal Services\Configuración del servidor. Aquí hace clic en Configuración del servidor | Licencia y seleccione Por usuario o Por dispositivo. El valor predeterminado es Por dispositivo. Si ya tiene un servidor de licencias de Terminal Server en el dominio, hay una configuración en la Directiva de Terminal Server Nº 1 que indica el servidor que desempeña la función de Servidor de licencias. Tras finalizar esta tarea, vaya otra vez a Inicio | Ejecutar y escriba:
licmgr.exe
Ahora debe activar las CAL para que los usuarios se puedan conectar. Para su comodidad, esto se puede hacer por teléfono o a través de la Web. Los usuarios deberían poder conectarse al Terminal Server pero no habrá directivas impuestas, de modo que comencemos a configurar algunas que son importantes. Lo que Microsoft recomienda se encuentra en el artículo de Microsoft Knowledge Base "Cómo bloquear una sesión de Windows Server 2003 o Windows 2000 Terminal Server".

Habilitación de directivas
Lo principal a tener en cuenta es no comenzar a habilitar las directivas sin conocer exactamente lo que hace cada una de ellas, o es posible que en el proceso obtenga algunos resultados no deseados. Un mejor método es comenzar con unas pocas directivas esenciales y probarlas exhaustivamente en un ambiente de laboratorio.
Es posible que la primera directiva que desee implantar sea la Directiva de bucle inverso. Para habilitarla, inicie GPMC, busque la Directiva de Terminal Server N º1, haga clic con el botón secundario en ella y seleccione Editar. Vaya a Configuración del equipo | Plantillas administrativas | Sistema | Directiva de grupo y habilite la opción Modo de procesamiento de bucle invertido de la directiva de grupo de usuario. Después de habilitar la directiva, establezca el valor Modo, que puede ser Reemplazar o Combinar. Para obtener mejores resultados en Servicios de Terminal Server, seleccione Reemplazar.
Otra opción de Terminal Server que debe habilitar es Agregar el grupo de seguridad de administradores a los perfiles móviles de usuarios, que se encuentra en Configuración del equipo\Plantillas administrativas\Sistema\Perfiles de usuario. Esta configuración garantiza que, como administrador, siempre tenga control total de las carpetas del perfil de usuario. Se debe establecer preferentemente lo antes posible, ya que no se aplicará si las carpetas se crean después de que el usuario inicie sesión por primera vez (consulte la figura 3).
Figura 3 Habilitación del valor Agregar el grupo de seguridad de administradores
Figura 3 Habilitación del valor Agregar el grupo de seguridad de administradores
Encontrará una serie completa de directivas en Configuración del equipo\Plantillas administrativas\Componentes de Windows\Servicios de Terminal Server. Considere habilitar las opciones siguientes:
  • Limita a los usuarios de Servicios de Terminal Server a una sesión remota única
  • Establecer ruta de perfiles móviles para Servicios de Terminal Server
  • Directorio principal de usuario de Servicios de Terminal Server
No obstante, observe que limitar a los usuarios de Servicios de Terminal Server a una sesión remota única no impedirá que los usuarios inicien sesión más de una vez, como piensa que debería ser. En cambio, cuando un usuario intenta iniciar una segunda sesión de Servicios de Terminal Server, simplemente sustituye la primera sesión iniciada.
Los perfiles móviles son un elemento esencial para el funcionamiento apropiado de Terminal Server. Cuando un usuario inicia sesión en Terminal Server, se crea de manera predeterminada un perfil local en la unidad de disco C: de Terminal Server, incluso si ocultó la unidad C: de los usuarios. El comportamiento predeterminado de un perfil móvil es sincronizar el perfil local con un recurso compartido de perfil móvil en la red cuando el usuario cierra la sesión. Se puede establecer una directiva de grupo para depurar este perfil local cuando el usuario cierra sesión.
Las dos directivas siguientes de Servicios de Terminal Server mencionadas anteriormente, Establecer ruta de perfiles móviles para Servicios de Terminal Server y Directorio principal de usuario de Servicios de Terminal Server, están relacionadas con los perfiles móviles. Con frecuencia estas opciones están codificadas en el cuadro con la ruta de acceso del perfil de Servicios de Terminal Server de un usuario de Active Directory. Es mucho más fácil y preferible establecer rutas de acceso de Servicios de Terminal Server a través de directivas de grupo. En el caso de las rutas de acceso del perfil de Servicios de Terminal Server en usuarios y equipos de Active Directory, si configura un nuevo usuario o copia un usuario existente, la información de ruta de acceso del perfil del servidor de TS se debe agregar de forma manual todas las veces; un gran dolor de cabeza. Es mucho mejor establecer estas rutas de acceso en un recurso compartido de red y usar un GPO para configurarlos.

Redireccionamiento de carpetas
Veamos ahora otro componente muy importante de Servicios de Terminal Server, el redireccionamiento de carpetas, que optimiza la experiencia de TS al impedir inicios y cierres de sesión excesivamente prolongados. Las carpetas que pueden redireccionar son Datos de programa, Escritorio, Mis documentos y Menú Inicio. Estas cuatro carpetas tienen que existir en un recurso compartido de red y requieren listas de control de acceso (ACL) específicas. Consulte el artículo de Microsoft Knowledge Base "Cómo crear dinámicamente carpetas redirigidas con seguridad mejorada mediante el redireccionamiento de carpetas en Windows 2000 y en Windows Server 2003" para obtener información adicional acerca de este tema.
La ventaja del redireccionamiento de carpetas es que no es necesario copiar el perfil completo del usuario cada vez que un usuario inicia o cierra la sesión. Servicios de Terminal Server reconoce que estas carpetas residen en la red y básicamente sólo proporciona un puntero hacia ellas.
Al usar perfiles móviles y redireccionamiento de carpetas es recomendable explorar el sistema de archivos distribuido (DFS) para simplificar el mantenimiento de sus recursos compartidos de red. Debido a restricciones de espacio, no trataré DFS en este artículo, pero puede explorarlo con más detalle en el Centro de recursos para DFS.
Encontrará la configuración del redireccionamiento de carpetas en Configuración del usuario\Configuración de Windows\Redireccionamiento de carpetas (consulte la figura 4). Los valores de la carpeta Redireccionamiento de carpetas son muy sencillos. Es posible que desee quitar la marca de verificación en cada opción de Redireccionamiento de carpetas en que se indica "Otorgar al usuario derechos exclusivos en"; de lo contrario los administradores no tendrán acceso a las carpetas.
Figura 4 Ubicación de la configuración de Redireccionamiento de carpetas
Figura 4 Ubicación de la configuración de Redireccionamiento de carpetas

Instalación de Microsoft Office
Ahora que tiene algunas directivas esenciales en su lugar, preparémonos para instalar Microsoft Office 2003 o 2007 Microsoft Office System. Microsoft Office está optimizado para Servicios de Terminal Server, de modo que no hay demasiado que se deba cambiar durante la instalación. Los elementos de gran ancho de banda dentro del paquete de Office están desactivados de forma predeterminada. En este momento, deberá descargar e instalar los archivos de plantilla administrativa de directiva de grupo (archivos ADM) para que pueda controlar directivas dentro del paquete de Office.
Los archivos ADM necesarios se encuentran en microsoft.com/office/orkarchive/2003ddl.htm. Para nuestros propósitos, sólo necesita descargar dos archivos: Archivos de plantilla de Office (ORKSP2AT.exe) y el Asistente para una instalación personalizada. Sin embargo, el segundo archivo sólo es necesario si implementa Office 2003. 2007 Office System no usa el asistente; sólo es necesario hacer clic en Inicio | Ejecutar y escribir Setup /a y se iniciará automáticamente.
Después de descomprimir el primer archivo, ORKSP2AT.exe, verá varios archivos. Nos centraremos en los archivos office11.adm y outlk11.adm (consulte la figura 5).
Figura 5 Archivos de plantilla de Office
Figura 5 Archivos de plantilla de Office
Inicie el Explorador de Windows y copie estos dos archivos en la ubicación %systemroot%\inf. Vuelva e inicie otra vez la consola de GPMC. En los objetos de la Directiva de grupo busque Perfil de Terminal Server Nº 1, haga clic con el botón secundario en él y seleccione Editar. Dentro de la directiva definida, vaya ahora a Configuración del equipo\Plantillas administrativas. Haga clic con el botón secundario en Plantillas administrativas y seleccione Agregar o quitar plantillas, tal como se indica en la figura 6.
Figura 6 Adición de plantillas administrativas en el GPO
Figura 6 Adición de plantillas administrativas en el GPO
Como verá, ahora los dos archivos están disponibles. Agréguelos uno a la vez. Estos archivos de plantilla aparecen en Configuración del usuario\Plantillas administrativas\Microsoft Office 2003 y en Configuración del usuario\Plantillas administrativas\Microsoft Outlook 2003. Puede examinar las opciones de configuración de estas plantillas y habilitarlas o deshabilitarlas según desee.
No examinaré aquí estas numerosas opciones, pero puede optar por quitar dos de ellas, Ayudante de Office y Autoarchivar de Outlook. Tenga en cuenta que algunas opciones de configuración, como por ejemplo, el modo de caché de Exchange y el filtrado de correo no deseado, están deshabilitadas de forma predeterminada en Servicios de Terminal Server, de modo que no es necesario deshabilitar estas directivas.
Encontrará más información en "Características de Outlook que están deshabilitadas con Servicios de Terminal Server". El Ayudante de Office se puede deshabilitar fácilmente al seleccionar Configuración del usuario\Plantillas administrativas\Microsoft Office 2003\Ayudante\Opciones en la directiva de grupo.
En un entorno de Servicios de Terminal Server, no es deseable solicitar constantemente a los usuarios que lleven a cabo alguna acción. Un ejemplo especialmente molesto de solicitud implica la opción de autoarchivar correo de Outlook. Si esta configuración se omite en la directiva de grupo, a los usuarios se les pide autoarchivar en intervalos específicos. Deshabilitar esta opción la quita por completo del menú Preferencias de Outlook. Por supuesto, es posible que desee autoarchivar, de modo que puede ajustar la configuración en la directiva Configuración del usuario\Plantillas administrativas\Microsoft Office Outlook 2003\Herramientas\Opciones\Autoarchivar.
El siguiente paso que se debe llevar a cabo para garantizar una implementación satisfactoria de Servicios de Terminal Server es configurar un archivo PRF de Outlook para que a los usuarios no se les solicite que establezcan manualmente la configuración de Outlook. Esto puede parecer una obra titánica, pero no lo es. Requiere la instalación de OrkTools y el uso del Asistente para una instalación personalizada (AIP) para crear un archivo PRF que le diga al asistente para la instalación de Outlook cómo comportarse. 2007 Office System tiene un mecanismo que hizo que este proceso cayera en desuso, aunque todavía puede usar un archivo PRF con Office si así lo desea.
Configuremos un archivo PRF de Outlook con el AIP. En realidad no ejecutará la rutina completa de AIP, sino sólo la parte necesaria para exportar el archivo PRF modificado. Son sólo unos pocos pasos.
En primer lugar, inicie y descomprima el segundo archivo que descargó anteriormente (el Asistente para una instalación personalizada). Después que inicie el asistente desde Inicio | Todos los programas | Microsoft Office 2003 Resource Kit, se le preguntará la ubicación del archivo MSI de Office 2003. Inserte el disco de Office 2003 e indique el nombre y la ruta de acceso al archivo MSI.
Ahora en el AIP salte directamente a la página 17 de 24, de modo que puede pasar por alto el resto del AIP y crear directamente el archivo PRF. En el Paso 17, seleccione Nuevo perfil y asígnele un nombre tal como Outlook; haga clic en Siguiente. Se presenta una pantalla que le permite seleccionar un servidor Exchange (tal como se indica en la figura 7). Escriba el nombre del servidor Exchange y haga clic en Siguiente para continuar.
Figura 7 Configuración de una conexión de servidor Exchange
Figura 7 Configuración de una conexión de servidor Exchange
Es una idea buena agregar la libreta de direcciones de Outlook al perfil que se crea. De este modo, los usuarios podrán seleccionar sus contactos cuando redactan un nuevo mensaje. Sólo este paso podría ahorrarle un montón de trabajo manual más adelante. También puede configurar aquí características personalizadas adicionales si selecciona el botón Agregar. Ahora haga clic en Siguiente y todo lo que queda por hacer es exportar el archivo PRF.
En este momento, deberá crear un archivo por lotes y colocarlo en el recurso compartido Netlogon en el controlador de dominio, no en TS01. El archivo por lotes iniciará cualquier asignación que necesite y establecerá el archivo PRF para la implementación. Facilité esta tarea al escribir las secuencias de comandos WMI necesarias. Sin embargo, use estas secuencias de comandos sólo como guía; debe insertar la información pertinente para su situación. Si lo prefiere, puede usar otro procesador de secuencia de comandos, como KiXTart.
Su archivo por lotes (logon.bat) debe incluir estas líneas:
REM Logon.bat
@echo off
wscript %0\..\clean.vbs
wscript %0\..\outlook.vbs
El archivo Clean.vbs quitará la clave de Registro First-Run para que Outlook procese el archivo PRF:
' Clean.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
    sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\
    Outlook\Setup"
sValueName = "First-Run"
oRegistry.DeleteValue HKEY_CURRENT_USER, sKeyPath, _
    sValueName
Outlook.vbs agregará al Registro las claves de instalación de Outlook adecuadas para cada usuario de Terminal Server. Deberá proporcionar su propia ruta de acceso en la opción SValue= y no olvidarse de agregar el archivo PRF personalizado en el directorio de red real:
sValue = \\Serv01\PRF\Outlook.prf
Cambie esta ruta de acceso y coloque en ella el archivo Outlook.prf:
' Outlook.vbs
Const HKEY_CURRENT_USER = &H80000001
sComputer = "."
Set oRegistry=GetObject("winmgmts:\\" & _
  sComputer & "\root\default:StdRegProv")
sKeyPath = "Software\Microsoft\Office\11.0\Outlook\
    Setup"
oRegistry.CreateKey HKEY_CURRENT_USER, sKeyPath
sValue = "\\Serv01\PRF\Outlook.prf"
sValueName = "ImportPRF"
oRegistry.SetStringValue HKEY_CURRENT_USER, _
    sKeyPath, sValueName, sValue
El siguiente elemento de la agenda de implementación es instalar Office 2003 ó 2007 Microsoft Office System en TS01. Como mencioné, Microsoft Office está optimizado para un entorno de Servicios de Terminal Server. Ya no es necesario crear transformaciones personalizadas. Puede desactivar otras características Office más allá de las preseleccionadas, pero no es obligatorio. A la inversa, también puede activar características; pero ello puede tener repercusiones adversas en el ancho de banda. No olvide de probar cualquier característica que desee habilitar en un entorno de laboratorio antes de implementarla en una situación de producción.
Antes de instalar cualquier versión de Microsoft Office, debería colocar TS01 en el modo de usuario adecuado. Puede elegir entre dos posibilidades: instalar y ejecutar. Debe estar en modo de instalación antes de realizar cualquier instalación de software. Para colocar TS01 en el modo de instalación, escriba lo siguiente en el símbolo del sistema:
C:>change user /install
Una vez finalizada la instalación, vuelva TS01 al modo de ejecución escribiendo:
C:>change user /execute
El modo de instalación se inicia automáticamente si ejecuta un archivo Setup.exe o Install.exe en TS01. Todos los productos de Microsoft disponen de estos archivos de inicio. Sin embargo, algunas aplicaciones no usan ninguno de los dos. Por lo que es recomendable usar el comando Cambiar por las dudas. ¿Qué sucede si olvida en qué modo se encuentra? Simplemente ejecute el comando que sigue, que le indicará:
C:>change user /query
Si hasta ahora logró esto, las cosas van bien. Ahora puede ir a una estación de trabajo cliente de Windows, hacer clic en Inicio | Ejecutar y, a continuación, escribir este comando:
mstsc
Si usa Windows 2000, puede descargar la utilidad Cliente de Servicios de Terminal Server de Microsoft (Mstsc).
Ahora debe aparecer una pantalla de Conexión a Escritorio remoto. Escriba el nombre o dirección IP de Terminal Server para conectarse. Hay muchas opciones disponibles en el botón Opciones, tal como conectar unidades de disco o impresoras locales, o cambiar la resolución video. También puede codificar TS01 en el área Opciones y guardar el perfil RDP en el escritorio. De forma predeterminada, el perfil RDP se llama Default.RDP.

Tareas administrativas
Si desea realizar algunas tareas administrativas en TS01, la mejor opción es usar este comando, ya que simula las acciones como si estuviera físicamente sentado delante de la consola:
Mstsc /console
Si administra varios Servicios de Terminal Server, puede usar la utilidad Escritorios remotos que se encuentra en Herramientas administrativas, ya que permite agregar todos sus Servicios de Terminal Server remotos en un formato de árbol único.
Un último comando que debe conocer es Tsadmin, que le permite ver qué usuarios están conectados a Terminal Server y que procesos de Windows abrieron los usuarios. También le permite vigilar a sus usuarios, una enorme ventaja para los administradores. Sin embargo, tenga en cuenta que si inicia TSadmin desde su estación de trabajo, no podrá vigilar usuarios. Sólo podrá ver las conexiones. Para vigilar usuarios, enviarles un mensaje o desconectarlos, deberá iniciar sesión directamente en TS01.

Conclusión
Ahora debería tener un sólido entendimiento de Servicios de Terminal Server, de modo que implementar Terminal Server por su cuenta será cuestión de minutos. Existen muchos temas adicionales para explorar, incluida la configuración de directivas de grupo y DFS. No obstante, recordando estos principios básicos, como por ejemplo, no exagerar a la hora de establecer los GPO y probarlos exhaustivamente antes de lanzarlos hacia los usuarios, habrá empezado por el buen camino.

James D. Silliman MCSE, jefe ingeniero de sistemas de DirectApps, Inc., se especializa en implementaciones de Terminal Server. DirectApps realiza la arquitectura de soluciones .NET y ofrece servicios de alojamiento y ASP. Puede ponerse en contacto con él en la dirección James@directapps.com.


 Nota del editor: Seguridad para moverse
Nota del editor
Seguridad para moverse
Joshua Trupin

El lugar de trabajo hoy puede ir a cualquier parte. En la década pasada, empezó a tener éxito el concepto de "su oficina en cualquier parte". Ya no tenía que estar presente en su escritorio para hacer su trabajo. Las tecnologías de movilidad le permiten ser productivo en el camino, en casa, en el tren, aún en su coche cuando la luz está en rojo (avance con cuidado). De verdad es un mundo maravilloso. Menos si es un profesional de TI que quizá enfrenta su mayor desafío: proteger y administrar dispositivos que pueden levantarse y alejarse.
La seguridad en los años ochenta significó reaccionar a informes de nuevos virus diciéndole a las personas que pusieran sus disquetes dentro de bolsas de plástico para mantenerlos alejados de las demás personas. (No, en serio. ¡Cuándo hice esto en un empleador anterior, ningún equipo se infectó!). Si un programa invasor terminaba por infectar un equipo, estaba contenido a menos que alguien caminara con el disquete infectado hasta la siguiente oficina. A veces era más fácil para los profesionales de TI moverse furtivamente y extraer todas las unidades de disco de 5,25" cuando los demás empleados estaban almorzando. Los afortunados tenían un disco duro de 10 MB para sus datos.
En los años noventa, se hizo progresivamente más difícil identificar a los usuarios que infectaban sus propios equipos porque comenzaron a obtener virus a través de la Web. A diferencia de la década anterior, ya no se podía proteger los equipos quitándole a las personas los disquetes de la mano y de manera disimulada.
En estos días, aprendemos a proteger la empresa, distribuir directivas de grupo y configurar firewalls, cuarentenas y puntos de atascamiento. Y ¿ahora qué está sucediendo? Es la empresa en sí que comienza a desplazarse y salir del radio de protección. ¿Entonces qué se debe hacer?
Proteger los activos en su oficina es sólo la mitad de su desafío en el clima actual de TI. Cualquier organización es sólo tan fuerte como su punto más débil y tener empleados que salen de la empresa con dispositivos móviles y equipos portátiles conectados a su red puede exponerla a riesgos. Nuestro reportaje principal de este mes trata sobre cómo proteger dispositivos móviles para que usted, el administrador cansado, pueda dormir de noche.
Por supuesto, tenemos mucho más en este número. Hablamos acerca de la administración del cumplimiento de disposiciones legales con Exchange Server, la protección de acceso a redes, la implementación de Servicios de Terminal Server, Windows PowerShell, SQL Server y tanto más que necesitaría una página completa contarle todo (en realidad dos, mirando nuestra tabla de contenidos).
¿Cuál es la situación de seguridad más excepcional que encontró en su compañía? Escriba al blog de TechNet Magazine (blogs.technet.com/tnmag) y únase a la conversación. ¡Los editores están en alerta! —Joshua Trupin

Mi agradecimiento a los siguientes expertos de Microsoft: Alex Balcanquall, Tad Brockway, Anah Cameron, Jeroen de Borst, Michael Higashi, Ryan Hurst, Paul Limont, Sherman Lovell, Michael Murgolo, Shivakumar Seetharaman, John Speare, David Strome y Jim Truher.

Joshua Trupin


 Cartas: Respuestas a sus preguntas
Cartas
Respuestas a sus preguntas

Creación de imágenes
En el artículo "Introducción a Windows® PE" (septiembre de 2006), Wes Miller menciona el comando mkimg.cmd. Este archivo de comandos no se encuentra en mi sistema Windows Vista™, que tiene instalados el Kit de instalación automatizada de Windows (WAIK) y el Business Desktop Deployment Solution Accelerator (BDD) 2007. En las distribuciones actuales, tengo los comandos mkimg_pe2004.cmd y mkimg_pe2005.cmd, que llaman a un archivo bldini.cmd que tampoco parece existir. ¿Dónde puedo encontrar estos archivos?
— Jim A.

En realidad, el artículo se publicó antes del lanzamiento de Windows Vista y se refiere exclusivamente a la versión de Windows PE disponible para Windows XP y Windows Server® 2003 (conocido como Windows PE 1.6). En la edición de noviembre de 2006, se publicó un artículo posterior sobre Windows PE 2.0, la versión disponible para Windows Vista. Este artículo está disponible en nuestro sitio web.
Puede generar y personalizar imágenes de Windows PE 2.0 con las herramientas del WAIK; concretamente, se ha reemplazado el comando "mkimg" por "peimg". Encontrará un tutorial con instrucciones para generar una imagen de Windows PE 2.0 en la documentación en línea del WAIK.

Mitos relacionados con la seguridad
En cuanto a la sugerencia de que son preferibles las contraseñas largas a las complejas ("Deconstruyendo mitos relacionados con la seguridad", mayo/junio de 2006), ¿cuál cree que es la mejor manera para poder recuperarlas cuando sea necesario? Las contraseñas largas pueden ser difíciles de dedicar a la memoria de un individuo. También ha llegado a mis oídos el consejo de usar una contraseña diferente para cada sistema al que se requiera acceso, pero esto puede crear problemas similares de almacenamiento y recuperación.
— Ian R.

Preguntamos a nuestro amigo y colaborador Steve Riley, que contestó rápidamente:
Es un punto interesante sobre la capacidad de recuperación mental. Diría que es más fácil recordar una frase usada como contraseña que una serie arbitraria de caracteres de una contraseña compleja. Además, si emplea un método de asignación, podrá recordar muchas frases de contraseña. Por ejemplo, supongamos que su contraseña de Hotmail® es "Mi perro y yo recibimos el correo". Es fácil de recordar porque existe una asociación (recibir el correo) con el destino (sitio de correo electrónico). Emplee el método de asignación para obtener "Mi perro y yo fuimos de compras" como contraseña para eBay, "Mi perro y yo fuimos a la oficina" como contraseña para su cuenta de dominio en la oficina e, incluso, "Mi perro y yo disfrutamos del arte" como contraseña para su sitio de imágenes favorito.
Los orígenes para frases de contraseña son prácticamente ilimitados. Conozco a una persona que sólo usa citas de películas de Monty Python; y otra que sólo usa frases de cinco palabras donde cada palabra empieza con la letra consecutiva del teclado ("Queen willie eats rancid turnips", QWERT). Con un poco de creatividad, las frases de contraseña pueden ayudarle a eliminar la mayoría de los problemas asociados con contraseñas y, al mismo tiempo, a reforzar el secreto usado para demostrar la identidad.

"Deconstruyendo mitos relacionados con la seguridad" es un gran artículo. Cambió mis suposiciones sobre sus pequeñas cabezas puntiagudas. Pero, si el software permitiese la generación y el uso de juegos de caracteres exclusivos (no los de Webdings®, me refiero a los nunca vistos) en un programa independiente, ¿esto no inclinaría la balanza hacia la complejidad, ya que nadie podría tener un juego completo de todos los caracteres exclusivos posibles y sólo el usuario sabría cuáles se generaron y usaron? Si perdiese la llave de inicio de mi USB, preferiría escribir una línea corta con dichos caracteres que escribir "Guerra y paz".
— H.D.

Es una idea interesante, pero no estamos seguros de cómo podría recordar un carácter exclusivo nunca visto. A menos que usted sea el artista anteriormente conocido como Prince.

Sysprep
En el artículo "Técnicas para simplificar la creación de imágenes de escritorio" (mayo/junio 2006), Shelly Bird dice que, cuando se crea una carpeta Sysprep, "El proceso empieza con la generación de la imagen principal en un sistema heredado con hardware básico..." ¿Qué quiere decir exactamente con esto? Estoy observando el BDD y sigo sin encontrar nada que sugiera la implementación con una sola imagen. ¿Cómo puedo obtener esta información?
— Jon S.

En el artículo que mencionas, la autora habla sobre la creación de una configuración de referencia estandarizada que se pueda capturar como una imagen y volver a implementar en otros equipos. Es decir, parta del hardware más sencillo que tenga en su entorno (como un común denominador inferior), instale Windows y configúrelo con sus especificaciones básicas (las modificaciones que desea realizar e implementar en la organización), instale las aplicaciones que también desea incluir y, a continuación, prepare la implementación con la herramienta Sysprep (que elimina la información específica del hardware y permite volver a implementar la imagen en el hardware nuevo).
Encontrará las mejores instrucciones para realizar este proceso en la Guía del equipo de trabajo del sistema de imágenes por equipo, que forma parte del BDD. El componente Sistema de creación de imágenes por equipo del BDD incluye una herramienta descargable para ayudarle a personalizar y preparar su imagen. Consulte el sitio microsoft.com/technet/desktopdeployment/bdd/standard/ComImgFea.mspx para obtener más información.

Conversión de la autenticación
Uso SQL Server™ 2005 en el trabajo. ¿Cómo puedo cambiar mi autenticación de Windows por la autenticación de SQL Server (con inicio de sesión de sa?
— Sara J.

Este tema de Libros en pantalla de SQL Server debería ayudarle a solucionar el problema: msdn2.microsoft.com/ms188670.aspx. No obstante, le aconsejamos encarecidamente que se ciña a la autenticación de Windows por las implicaciones de seguridad que conlleva el uso de sa (especialmente sin una contraseña). Por este motivo, ya no usamos sa/sin contraseña en los códigos de ejemplo.

Elogio efusivo
Me encanta leer TechNet Magazine todos los meses. Me gusta tanto que siempre llevo unas cuantas copias en la mochila o en el coche adondequiera que vaya: al trabajo, a casa, prácticamente a todas partes. Me gustaría poder llevar la revista entera en mi Tablet PC o el teléfono para Pocket PC. También sería fantástico tener una versión de audio del contenido para el reproductor de MP3. En términos generales, la revista es IMPRESIONANTE. Me encanta, me encanta y me encanta. Se la menciono a todos mis colegas y la anuncio como una biblia.
— Erasmo M.

¿Desea contenido de audio? ¡Lo tiene! Ofrecemos un podcast de TechNet Magazine todos los meses. Sólo tiene que ir al sitio de TechNet Magazine (www.technetmagazine.com) y hacer clic en el vínculo de Podcast situado a la izquierda. ¡Nos encantaría que nos oyese!

Póster rompecabezas
El póster rompecabezas del componente de Active Directory® de la edición de marzo/abril de 2006 es, de lejos, la mejor representación gráfica que he visto sobre el funcionamiento de Active Directory en Windows Server 2003. Administré el proyecto para incluir Windows 2000 y Active Directory en nuestra organización mundial, y este tipo de póster habría hecho nuestro trabajo mucho más fácil. Aún ahora, nuestros administradores empresariales no siempre coinciden en los componentes que se resumen claramente en este póster y el acceso a este tipo de información ayudaría significativamente a que trabajasen de manera más coherente. ¿Este póster está disponible como una descarga?
— Mike C.

Si supiese la cantidad de veces que nos han pedido este póster. Son muchas las personas que plantean esas mismas preguntas. El póster está disponible para la descarga en go.microsoft.com/fwlink/?LinkID=80428, pero no lo imprima en papel de carta, es demasiado grande.

Configuración de firmas de correo electrónico de Outlook
Trabajo como administrador de sistemas para mi compañía y estoy escribiendo una secuencia de comandos para estandarizar la firma de Outlook® para todos los usuarios de mi dominio. He usado el código de ejemplo que aparece en el artículo "Configuración de firmas de correo electrónico de Outlook" (octubre 2006), pero tengo un pequeño problema: cuando intento personalizar y establecer los colores de fuente de la firma con el código siguiente, el color de fuente sigue siendo negro;
objSelection.Font.Color = wdRed
puedo cambiar la fuente y su tamaño, pero no el color.
— Edison P.

Preguntamos a los chicos del scripting qué pasa con eso (tenemos un teléfono rojo especial para conectarnos directamente con ellos) y nos dijeron:
Creemos que para cambiar los colores de fuente es necesario usar las enumeraciones de wdColor. Pruebe esto:
  • Defina esta constante en la secuencia de comandos:
wdColorRed = 255
  • Asigne el color mediante este código:
objSelection.Font.Color = wdColorRed
Y con esto debe bastar.

Obtención de Windows PE
Nuestra compañía tiene un contrato de licencia Select de Microsoft®; ¿podría decirme con quién debo ponerme en contacto para obtener la quinta generación de Windows PE para el uso en nuestra organización? En particular, nos interesa la capacidad de inicio desde unidades flash USB.
— Thom S.

Windows PE está disponible como un beneficio de Software Assurance. Puede determinar si su programa de licencias incluye este beneficio en el sitio Gráfico de comparación de beneficios. Si es el caso, Windows PE estará disponible para la descarga en la cuenta de Servicios de Licencias por Volumen de Microsoft de la organización (puede iniciar la sesión en https://licensing.microsoft.com). Si necesita ayuda para obtener acceso a este sitio web, le sugerimos que se ponga en contacto con el coordinador de licencias de su organización o el representante de licencias de Microsoft.


 Caja de herramientas: Nuevos productos para profesionales de TI
Caja de herramientas
Nuevos productos para profesionales de TI
Greg Steen

Análisis de tráfico HTTP
HttpWatch Professional Edition
httpwatch.com

HTTP, fundamento para el explorador hasta la comunicación de sitios web, es un protocolo de capa 7 increíblemente útil. Además, con la llegada de los servicios web, muchas aplicaciones de Windows® Forms usan HTTP para descargar actualizaciones de programa y llamar a casa para la validación. La identificación de problemas, la optimización del rendimiento o la verificación de la seguridad de las comunicaciones de aplicación a aplicación sobre HTTP puede ser dificultosa, pero HttpWatch Professional Edition le puede ayudar a solucionar problemas de la Web al explorador.
HttpWatch muestra los detalles detrás de las solicitudes web
HttpWatch muestra los detalles detrás de las solicitudes web
HttpWatch Professional se integra con Internet Explorer® 6.0 e Internet Explorer 7, y puede aparecer en la parte inferior del explorador o como una herramienta independiente junto al mismo. En cuanto hace clic en su botón Record, HttpWatch comienza a capturar y registrar el tráfico, y muestra todos los detalles subyacentes a las solicitudes web. Puede consultar la secuencia HTTP sin formato, cualquier redirección que suceda en la solicitud de la página, los pares clave-valor de la cadena de consulta asociados con la solicitud, el método HTTP, la información de compresión HTTP y cualquier información de codificación no fragmentada. Además, HttpWatch muestra información detallada acerca de cualquier cookie asociada con la solicitud, proporcionando la ruta, el dominio, la fecha de caducidad y el valor de la cookie. Y dado que la aplicación
se ejecuta como un complemento de Internet Explorer, puede consultar también todos los detalles de solicitudes HTTPS descifradas.
Con HttpWatch puede analizar en detalle los datos de rendimiento en el nivel de red de sus solicitudes, ya que muestra tiempos de respuesta hasta el milisegundo, búsquedas DNS, conexiones TCP, información de dirección IP, puertos y bytes enviados al explorador o recibidos desde éste. ¿Cree que conoce todo lo que pasa en cada solicitud? Siempre me sorprende ver cuántas partes están asociadas en cada solicitud a una sola página HTML. Afortunadamente, HttpWatch incluye una opción para filtrar la pantalla por tipo de contenido, código de respuesta, dirección URL, encabezados o por una cadena de contenido específico. Esto le permite aislar su área de investigación y centrarse rápidamente en los detalles específicos que le interesan.
El sitio web del producto promociona la herramienta como una manera de solucionar los problemas con los clientes. La aplicación permite guardar información de solicitud, de modo que los clientes pueden enviarle información detallada relacionada con solicitudes problemáticas. Puede resultar útil en la solución de problemas. El archivo propietario HWL se puede enviar por correo electrónico con sólo un par de clics. Una vez que recibe este archivo del cliente, lo puede ver con el visor independiente de archivos de registro incluido en el paquete de instalación. También puede exportar los datos solicitados a archivos CSV y XML para que se puedan usar en otras aplicaciones.
HttpWatch tiene una API expuesta de automatización, que proporciona la posibilidad de registrar información en el nivel HTTP durante las pruebas para ayudar a buscar los cuellos de botella del rendimiento. El paquete instala tres ejemplos de cómo usar la API; uno en C a través de una biblioteca de interoperabilidad, y dos a través de COM para JavaScript y Ruby. Si usa Ruby con Watir para realizar pruebas, consulte el sitio web del producto para obtener un tutorial sobre cómo integrar HttpWatch en la plataforma de prueba.
Precio: 249 dólares por licencia de usuario.

Reseñas de libros
Microsoft Solutions Framework Essentials
microsoft.com/mspress

Para entregar soluciones tecnológicas satisfactorias, las compañías necesitan procesos efectivos y comunicaciones claras. El libro Microsoft Solutions Framework Essentials de Michael S. V. Turner (Microsoft Press, 2006), le ofrece los fundamentos de Microsoft® Solutions Framework (MSF) versión 4.0, y le muestra cómo usarlos para desarrollar e implementar prácticas probadas de procesos y comunicaciones.
Turner comienza con un excelente consejo cuando le dice que no deje caer al mismo tiempo toda la estructura actual de procesos y organización cuando aplique las instrucciones y prácticas de MSF. En su lugar, sugiere implementar una parte de MSF en el desarrollo del producto o proyecto y a continuación evaluar su éxito. Cuándo esa evaluación esté terminada y sea correcta, elija otro aspecto de MSF que se adapte al proyecto e introdúzcalo en el ciclo estándar de proyecto. De este modo, puede adaptar MSF al entorno así como reducir cualquier problema imprevisto que surja de los cambios.
El libro está dirigido a cualquier persona, técnico o no, involucrada en la entrega de soluciones de tecnología. El capítulo sobre la construcción de un equipo MSF muestra cómo personas tanto técnicas como no técnicas pueden y deberían trabajar para entregar soluciones satisfactorias. No obstante, advierte que esta puede ser una de las partes de MSF más difíciles de implementar, ya que implica cambios en las responsabilidades diarias.
Algo fundamental en el cambio de estructura es la idea de formar un equipo de representantes en el que los miembros trabajen como iguales que representan distintas perspectivas, y ofrecen beneficios adicionales al proceso en general (por supuesto, esto no elimina la necesidad de contar con un responsable con autoridad para la toma de decisiones). Tal como se describe, los representantes de MSF se dividen en siete grupos: administración de productos, administración de programas, arquitectura, desarrollo, prueba, experiencia del usuario y lanzamientos/operaciones, cada uno con su propia composición y responsabilidades. Para las organizaciones con grupos de mayor tamaño, el libro ofrece algunas sugerencias acerca de cómo ampliar la idea de grupos de apoyo para que sea compatible con equipos y grupos de mayor tamaño.
El riesgo es una constante en cualquier proyecto y encontrará una abundante cantidad de sugerencias de reorganización que pueden ayudarle tanto a usted como a su equipo a tratar de forma eficaz el riesgo. Es importante reducir los riesgos del proyecto, y el proceso de administración del riesgo se divide en seis pasos que pueden hacer que sea satisfactorio: identificación, análisis y prioridades, planeamiento y programación, seguimiento e informes, control de cambios, y aprendizaje de experiencias anteriores. Además, debe continuar evaluando el riesgo durante todo el ciclo del proyecto. Los puntos descritos en esta sección pueden ayudarle a mitigar la posibilidad de errores.
Se cubren en todo detalle los fundamentos de la entrega de la solución, que incluye pistas de representación en las que idea, planea, genera, estabiliza e implementa la solución, así como define las responsabilidades de cada grupo de apoyo en cada fase. Se le presenta el MSF Governance Model, una vista más detallada de cada una de las pistas del ciclo de vida de entrega de la solución: ideación, planeamiento, generación, estabilización, implementación y, por último, gobierno; es decir, guiar la entrega de la solución.
Aunque puede pensar que su función en la organización no requiera de las herramientas y los procesos que se analizan en este libro, su lectura le proporcionará una nueva perspectiva de sus procesos actuales, independientemente de que trabaje en operaciones, desarrollo o administración de proyectos. Incluso si su trabajo no está relacionado con el desarrollo de software, los temas que Turner abarca le ofrecerán un punto de partida para mejorar la eficiencia y los canales de comunicación dentro de la organización.
Precio: $44.99.

Edición de archivos
UltraEdit
ultraedit.com

Cada profesional serio en TI necesita un editor eficaz en su caja de herramientas. Un editor que considero esencial es UltraEdit de IDM Computer Solutions. Es compatible con todas las características y capacidades estándar que obtendrá en cualquier editor de texto respetable, incluida la inserción de caracteres ASCII, macros, búsqueda y reemplazo por expresiones regulares, inicio de aplicaciones externas, compatibilidad con UTF y control rápido de archivos de texto de muy gran tamaño. Sin embargo, UltraEdit tiene algunas capacidades no tan comunes que lo hacen especialmente valioso.
En la edición básica, se ofrece un corrector ortográfico de 100.000 palabras para múltiples idiomas integrado, finalización automática y resaltado de sintaxis de código para lenguajes estándar como C#. Puede establecer el ajuste de línea automático en una columna especificada con un retorno, una estupenda característica para dar formato a correo electrónico basado en texto que necesite líneas menores que cierta longitud. En este escenario, puede enviar el correo electrónico a través de UltraEdit con apenas un par de clics del mouse. La aplicación se integra con el Explorador de Windows, de modo que abrir un archivo para editar es tan sencillo como hacer clic con el botón secundario seguido de un clic con el botón primario.
Resaltado de sintaxis de código en UltraEdit
Resaltado de sintaxis de código en UltraEdit
UltraEdit no se limita a archivos de texto. Administra competentemente archivos binarios y le ofrece una vista estándar de editor hexadecimal de valores hexadecimales, referencias de línea y valores ASCII posibles. En el modo de edición hexadecimal, puede cortar, copiar y pegar valores así como realizar operaciones de búsqueda y reemplazo estándar. UltraEdit incluye un cliente FTP integrado que es compatible con conexiones FTP y SFTP. Además, puede abrir conexiones estándar de shell seguro (SSH) o TELNET.
Para los desarrolladores web, la aplicación contiene una herramienta integrada de validación HTML para la comprobación de páginas web. UltraEdit también dispone de un modo de columna para trabajar con archivos de base de datos basados en texto y archivos de registro delimitados; este modo simplifica la edición y le permite saltar fácilmente entre agregado y edición de datos. UltraEdit incluso puede agrupar un conjunto de archivos en un proyecto o espacio de trabajo, lo que le permite abrir un grupo de archivos relacionados con un solo clic. En general, UltraEdit tiene un sinfín de características que pueden hacer su vida como profesional de TI más fácil y eficiente.
Precio: 49,95 dólares directo para una sola licencia de usuario.

Administración de la configuración móvil
Net-Switch
net-switch.com

Existe un problema corriente. Se mueve de entorno en entorno (de la sala del centro de datos, por ejemplo, al entorno de control de calidad) con su equipo portátil en la mano. Y constantemente tiene que reasignar la dirección IP estática de su equipo portátil y la impresora predeterminada. Si este escenario le suena, quizá puede ser de utilidad probar Net-Switch. Esta práctica utilidad le permite establecer y guardar varias configuraciones de red, cada una con su propia asignación de impresora predeterminada, para que no tenga que recordar ni escribir esos números cada vez que se traslada de un entorno a otro.
Net-Switch administra la configuración de equipos portátiles
Net-Switch administra la configuración de equipos portátiles
La aplicación es increíblemente fácil de usar. Simplemente asigne un nombre a la configuración, seleccione un adaptador de red, asigne una dirección IP estática con su máscara asociada, puerta de enlace y servidores DNS (o seleccione DHCP), establezca una impresora predeterminada, y estará listo. Es una manera económica de librarse de un problema diario.
Precio: 19,95 dólares directo.

Escriba a Caja de herramientas
Si tiene una herramienta o utilidad favorita que le gustaría que aparezca aquí, escriba al autor en la dirección tntools@microsoft.com.

Greg Steen es un profesional emprendedor y entusiasta de la tecnología. Siempre está buscando nuevas herramientas y métodos para ayudar a simplificar las operaciones y el desarrollo para los profesionales de TI.


 Preguntas y respuestas sobre SQL: Best Practices Analyzer, procesadores multin&#250;cleo y otros
Preguntas y respuestas sobre SQL
Best Practices Analyzer, procesadores multinúcleo y otros
Editado por Nancy Michell

P Tengo varias preguntas acerca de la regla de Best Practices Analyzer (BPA) sobre el uso de tablas/vistas de esquema calificado. Según la documentación de BPA, esta regla no comprueba la calificación del esquema en las tablas temporales. El informe de BPA apunta referencias a tablas temporales creadas en procedimientos almacenados. ¿Deben calificarse? Si es así, ¿con qué esquema? Diría que las tablas temporales deben calificarse para sus propietarios igual que las otras tablas.
R En realidad, la recomendación de BPA para referencias de vista y tabla de esquema calificado no se aplica a SQL Server™ 2005, ya que la separación de usuario y esquema corrigió el problema que requería esta práctica en versiones anteriores de SQL Server. La calificación de esquemas era necesaria para habilitar el reuso del plan de consulta por diferentes usuarios que tenían diferentes esquemas predeterminados en SQL Server 2000. Estos usuarios podían usar objetos dbo sin calificación, pero SQL Server tenía que comprobar primero los esquemas predeterminados para los objetos, lo que impedía el reuso del plan de consulta. La separación de usuario y esquema permite que diferentes usuarios compartan un esquema predeterminado y, en el caso típico, que todos los usuarios de la base de datos obtengan acceso a objetos de los esquemas predeterminados; por lo general, los planes ad hoc con nombres de tabla y vista incompletos se compartirán y se volverán a usar. En primer lugar, los nombres de tabla y vista incompletos de los procedimientos almacenados nunca tuvieron este problema, lo que reduce todavía más la necesidad de esta práctica. BPA en SQL Server 2005 no incluirá reglas de este tipo, puesto que no tiene un analizador de T-SQL. En vez de eso, buscará configuraciones y valores de seguridad no adecuados.

P SQL Server 2005 SP1 tiene un comportamiento extraño. Si elimino registros de una tabla y realizo inserciones en dicha tabla al mismo tiempo, las inserciones se bloquean hasta que se confirma la transacción de eliminación. ¿Hay alguna manera de saber por qué se bloquean?
R Sí. Puede ejecutar la secuencia de comandos de vistas de administración dinámicas (DMV) de la figura 1 para buscar los bloqueos y los bloqueadores.
Figure 1 Buscar bloqueos y bloqueadores (Close Figure 1)
-- script to show blocking and locks
SELECT
  t1.request_session_id AS spid,
  t1.resource_type AS type,
  t1.resource_database_id AS dbid,
  (case resource_type
   WHEN ‘OBJECT’ THEN object_name(t1.resource_associated_entity_id)
   WHEN ‘DATABASE’ THEN ‘ ‘
   ELSE (SELECT object_name(object_id)
      FROM sys.partitions
      WHERE hobt_id=resource_associated_entity_id)
  END) AS objname,
  t1.resource_description AS description,
  t1.request_mode AS mode,
  t1.request_status AS status,
   t2.blocking_session_id
FROM sys.dm_tran_locks AS t1 LEFT OUTER JOIN sys.dm_os_waiting_tasks AS t2
ON t1.lock_owner_address = t2.resource_address
GO

P Además de la tecnología HyperThreading y de doble núcleo, los proveedores de chips empiezan a comercializar procesadores con núcleos adicionales (cuatro, ocho o más). Estoy pensando en comprar un servidor nuevo con procesadores de varios núcleos que sea compatible con una implementación de SQL Server 2005 Standard Edition y me pregunto si, al usar un procesador de cuatro núcleos, sólo podré usar una única CPU física (pues la Standard Edition está limitada a cuatro CPU)?
R Tanto para la compatibilidad de ediciones de licencia como de CPU, SQL Server sólo tiene en cuenta el número de sockets/CPU físicos, independientemente del número de núcleos que tenga el procesador. Así, por ejemplo, el hecho de que SQL Server 2005 Standard Edition admita 4 CPU significa que admitirá 4 sockets de la CPU física, independientemente del número de núcleos que contenga cada una (si tiene 4 CPU físicas con 4 núcleos cada una, la implementación de Standard Edition tendrá 16 CPU lógicas para usar). Además, aunque tenga 16 núcleos/CPU lógicas, la licencia sólo requiere que pague las 4 CPU físicas, no los 16 núcleos. Para obtener más información sobre SQL Server y la tecnología de varios núcleos, consulte el sitio microsoft.com/sql/howtobuy/multicore.mspx.

P Voy a comprar varios servidores de base de datos nuevos. ¿Es mejor adquirir una versión de 64 bits o seguir con las versiones de 32 bits probadas y comprobadas?
R Depende. Se trata de una pregunta muy común actualmente, pues los proveedores están transformando el hardware de x86 a x64. La primera pregunta que debe plantearse es la demanda de memoria que tendrá el servidor de base de datos. Si prevé que la sesión de SQL Server consuma menos de 3 GB de RAM durante la vida del hardware (por lo general, tres años), le bastará con 32 bits x86 si esa es la dirección para otros servidores (controladores de dominio, servidores DNS, servidores de aplicaciones, servidores web, servidores de correo). Si prevé que la sesión de SQL Server consuma más de 16 GB o que haya varias sesiones por servidor (o clúster), considere seriamente la posibilidad de pasar a tecnologías de 64 bits. Si va a contar con más de ocho procesadores, la recomendación estándar es IA64. Sin embargo, cuando las CPU x64 de cuatro y ocho núcleos empiecen a llegar a las calles, es posible que el costo sea un aspecto importante a la hora de decantarse por una x64 antes que por una IA64.
Al pasar a x64 (o IA64), es posible que no haya incluido en las estimaciones iniciales de costos la implementación de la misma arquitectura en los entornos de desarrollo, prueba y rendimiento. También debe preguntarse si desea estancarse con tecnología antigua a medio camino del ciclo de vida del hardware. En 18 meses, será muy difícil obtener hardware puramente x86. Si ahora se decide por esa clase de solución, la actualización en los próximos dos años será costosa, pues será necesario desechar y cambiar. Si se decide por un hardware de 64 bits ahora, tendrá más opciones en los años venideros.
Así que es un buen momento para hacer el salto a la tecnología de 64 bits si va a comprar hardware nuevo, al comienzo de un ciclo de lanzamiento de la aplicación principal o si va a actualizar SQL Server 2000 a SQL Server 2005.

P Tengo el envío de registros habilitado entre dos servidores. Durante el fin de semana, un problema de hardware en el servidor principal provocó la detención del envío de registros. Cuando volví para supervisar el envío de registros, vi que LS_backup_dbname se estaba ejecutando bien a pesar de las horas de inactividad.
Sin embargo, en el servidor secundario, el trabajo de copia funciona correctamente, pero parece que el trabajo de restauración omite archivos y, eventualmente, falla constantemente. Se ejecuta, pero omite todos los archivos y, después, falla. De modo que el tiempo desde la última restauración es ahora de 849 minutos. En el pasado, en situaciones similares, tan sólo reinicié la configuración de envío; es decir, lo desactivé y lo volví a activar para obtener una copia de seguridad nueva y poder restaurarlo en el servidor secundario del registro de servidor. El envío de registros volvió a empezar. ¿Hay una manera mejor de administrar este escenario?
R Seguramente el escenario que tiene delante es el resultado de que falten archivos de copia de seguridad. Como ya sabe, los trabajos de copia de seguridad, copia y restauración del envío de registros se ejecutan de manera independiente. Los archivos de copia de seguridad antiguos que se encuentran en la ubicación de copia también se eliminan de acuerdo con el programa que especifique. Si durante un espacio de tiempo el trabajo de restauración no se ejecutó, es posible que haya superado el intervalo, lo que tendría como resultado la pérdida de archivos de copia de seguridad. El trabajo de restauración del envío de registros tiene una lógica que intenta recuperarse de diferentes tipos de errores provocados por condiciones operativas diferentes. Básicamente, revisa los archivos cuando se detectan errores e intenta encontrar los archivos de copia de seguridad correctos. Si no encuentra un archivo de copia de seguridad correcto, sospecho que algo ha eliminado los archivos necesarios o que, posiblemente, haya vuelto a configurar la parte de copia de seguridad del envío de registros.
Una solución sería restaurar manualmente los archivos de copia de seguridad de registro de transacciones que creó de forma inadvertida el otro trabajo de copia de seguridad. El problema de copiarlos en la ubicación de copia del envío de registros son las convenciones de nombres que reconoce el envío de registros. Una vez que haya realizado la restauración manual hasta ese punto, la restauración normal debería retomarse y continuar.

P Necesito saber cómo usar T-SQL para averiguar el tamaño de la memoria física libre y total. ¿Existe alguna manera fácil de obtener esta información?
R Ejecute la consulta de la figura 2 y obtendrá los datos que busca.
Figure 2 Obtener memoria (Close Figure 2)
With VASummary(Size,Reserved,Free) AS
(SELECT
  Size = VaDump.Size,
  Reserved = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 0 ELSE 1 END),
  Free = SUM(CASE(CONVERT(INT, VaDump.Base)^0)
  WHEN 0 THEN 1 ELSE 0 END)
FROM
(
  SELECT CONVERT(VARBINARY, SUM(region_size_in_bytes))
    AS Size,
    region_allocation_base_address AS Base
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address <> 0x0
  GROUP BY region_allocation_base_address
  UNION
  SELECT CONVERT(VARBINARY, region_size_in_bytes),
    region_allocation_base_address
  FROM sys.dm_os_virtual_address_dump
  WHERE region_allocation_base_address = 0x0
)
AS VaDump
GROUP BY Size)

SELECT SUM(Size*Free)/1024 AS [Total avail mem, KB] ,CAST(MAX(Size) AS INT)/1024
    AS [Max free size, KB]
FROM VASummary
WHERE Free <> 0

P Quiero almacenar la contraseña de sa (administrador del sistema) en un archivo cifrado con una clave simétrica para facilitar la creación de bases de datos desde una aplicación. ¿Puedo hacerlo?
R En primer lugar, nunca debería usar sa desde una aplicación. Además, debe usar la autenticación de Windows en vez de la autenticación de SQL Server.
Si necesita realizar actividades con muchos privilegios, haga lo siguiente: Defina los permisos mínimos necesarios para realizar la acción. Defina una función de base de datos que contenga dichos permisos. Asigne un usuario a esa función. Cree un procedimiento almacenado con la cláusula EXECUTE AS para realizar esas funciones. Si desea ver una explicación de la cláusula Execute As, visite el sitio msdn2.microsoft.com/ms188354.aspx.
Por supuesto, si pasamos por alto el hecho de que la cuenta en cuestión sea la cuenta de sa o no, y teniendo en cuenta que la autenticación de Windows no siempre es una opción, la pregunta más básica es: ¿cómo se almacena de forma segura una contraseña para una cuenta de inicio de sesión de SQL Server de manera que la aplicación que debe usar esa contraseña pueda obtener acceso a ella, pero los usuarios o aplicaciones no autorizados no puedan?
El cifrado de la contraseña es un paso en la dirección correcta, pero traslada el problema de proteger la contraseña a proteger la clave de cifrado.
Suponiendo que se trata de una aplicación basada en Microsoft® NET Framework, consulte la biblioteca de información empresarial en msdn2.microsoft.com/aa480453.aspx y las recomendaciones de la sección patterns & practices de MSDN® en msdn.microsoft.com/practices. La biblioteca de información empresarial contiene varios bloques de aplicación que le serán de utilidad, incluido un bloque de configuración, un bloque de criptografía y un bloque de acceso a datos; estos bloques pueden ayudarle a (por lo menos) almacenar de forma segura las contraseñas y, lo que es más, a administrar el acceso a datos en general.
Si la biblioteca de información empresarial no es una opción (quizás no use .NET Framework), debe familiarizarse con la CryptoAPI: msdn2.microsoft.com/aa380255.aspx. Aquí encontrará la funcionalidad criptográfica principal distribuida con el sistema operativo que le puede permitir asociar claves criptográficas a una entidad principal de usuario o a un equipo, lo que puede simplificar la administración de claves (que supone un problema cuando se ha cifrado la contraseña).

P Quiero mover mi servidor de clústeres de dos nodos de SQL Server 2000 (Activo/Activo, en hardware de 64 bits) del Dominio A al Dominio B dentro del mismo bosque. La base de datos de SQL Server se encuentra en la SAN. La arquitectura de Active Directory® llama a un dominio raíz vacío con dos dominios secundarios (el Dominio A y el Dominio B). El Dominio B será el dominio donde se colocarán todos los componentes de infraestructura. Es un entorno de Windows Server ® 2003 Enterprise, con controladores de dominio adicionales que ejecutan Windows 2000.
¿Se puede cambiar la pertenencia al dominio del servidor de clústeres de SQL Server del Dominio A al Dominio B?
R Para empezar, consulte "Cómo cambiar dominios de un clúster de conmutación por error de SQL Server 2000" y "Cómo mover un Windows Cluster Server de un dominio a otro". El mismo proceso se aplica a los clústeres de varias sesiones. La única diferencia es que tendrá que repetir los pasos para todas las sesiones que sea necesario. Nunca es "recomendable" cambiar el dominio de un clúster, dada la complejidad de la tarea, aunque se ha hecho muchas veces. La otra manera de hacerlo es como indica en su consulta, volver a generar una sesión nueva en paralelo y migrar los datos.
Cada proyecto es diferente y se usan una gran variedad de herramientas para realizar el verdadero cambio de nivel de dominio (incluidas consideraciones de seguridad, migraciones de cuenta, asignaciones SID, etc.). A menudo, esa es la parte más difícil del proceso, no el cambio en sí.

Mis agradecimientos a los siguientes profesionales de TI de Microsoft por la aportación de sus conocimientos técnicos: Sunil Agarwal, Laurent Banon, Steve Bloom, Chad Boyd, Matt Burr, Shaun Cox, Cindy Gross, Bobby Gulati, Matt Hollingsworth, Arnost Kobylka, Mikhail Shir, Fernando Pessoa Sousa, Stephen Strong y Ramu Veeraraghavan.


 Utility Spotlight: Kit de herramientas de actualizaci&#243;n para plantillas y sitios de Sharepoint
Utility Spotlight
Kit de herramientas de actualización para plantillas y sitios de Sharepoint
Luis Câmara Manoel and Peter Skjøtt Larsen
Descargar el código de este artículo: Upgrade Toolkit for Windows SharePoint Services Sites and Templates (699KB)

Con la reciente llegada de Windows SharePoint Services (WSS) 3.0, muchos administradores se enfrentan a la tarea de actualizar los sitios y datos WSS 2.0 existentes a los nuevos entornos WSS 3.0. Aunque WSS 3.0 proporciona una amplia variedad de herramientas que migran adecuadamente los datos del sitio y
actualizan su estructura, quizá se necesiten tareas adicionales para mejorar la estructura de sitios o plantillas de sitio personalizados.
No obstante, es posible que sea necesario realizar tareas adicionales para actualizar la estructura de sitios o plantillas de sitio personalizados. Afortunadamente, el equipo Microsoft® Solution Accelerator lanza al mercado el Kit de herramientas de actualización para sitios y plantillas de Windows® SharePoint® Services, que ofrece instrucciones y herramientas para esta práctica (consulte la barra lateral "Recursos de WSS"). Este artículo se centra en algunos de los desafíos y soluciones asociados con la actualización de sitios personalizados a entornos WSS 3.0. Pero primero, consulte la barra lateral "Terminología de WSS" para obtener algunas definiciones de términos habituales.

Proceso de actualización
¿Por qué debe actualizar? WSS 3.0 incluye varias características nuevas que quizás convencerán a los propietarios de sitios que una actualización sea necesaria:
  • Papelera de reciclaje, que permite a los usuarios recuperar documentos eliminados por error.
  • Seguridad del nivel de elementos de la carpeta, que permite a los administradores de sitios controlar qué personas o grupos tienen acceso a las carpetas.
  • Envío de correo electrónico a listas, que permite que las listas, como por ejemplo, las listas de mensajes de blog en un sitio SharePoint, reciban contenido por correo electrónico.
  • Botón Acciones del sitio, que permite a los usuarios crear sitios y páginas, editar páginas y administrar la configuración de sitios en forma sencilla.
  • Rutas de exploración, que proporcionan al usuario un contexto inmediato de navegación.
  • Vistas móviles, que permiten a los usuarios móviles aprovechar las útiles capacidades de sincronización sin conexión.
  • Fuentes RSS, que permiten que programas habilitados para RSS, como por ejemplo, Internet Explorer 7.0 y Outlook® 2007, recuperar información de listas.
  • Creación de versiones en bibliotecas de documentos, que permite la creación y el control de versiones secundarias para desproteger documentos antes de la edición.
Debido a que el proceso de actualización de sitios y plantillas depende de pasos específicos anteriores y posteriores a la actualización del servidor a WSS 3.0 (consulte la figura 1), la definición de los requisitos de actualización de sitios y plantillas es un paso importante en la estrategia general de actualización de WSS 3.0. Los propietarios de sitio y los administradores de servidor deben trabajar conjuntamente para determinar en qué sitios y plantillas se deben crear instancias y cuáles se deben actualizar a un entorno WSS 3.0. Una vez seleccionados estos sitios personalizados, puede comenzar el trabajo de actualización.
Figura 1 Flujo de trabajo para la actualización de sitios y plantillas de WSS
Figura 1 Flujo de trabajo para la actualización de sitios y plantillas de WSS

Identificación de plantillas de sitios personalizados
¿Cómo determina si los sitios han sido personalizados? WSS 3.0 proporciona una herramienta de análisis previo a la actualización que genera un informe de los cambios realizados a las plantillas de sitio en toda la granja de servidores. Debe ejecutar esta herramienta antes comenzar la migración con el fin de seleccionar qué plantillas de sitio necesitan atención especial.
La herramienta ofrece un informe en formato XML, tal como el que se muestra en la figura 2. El elemento unghostedPage indica que un sitio fue personalizado.
Figure 2 Informe de la herramienta de análisis previo a la actualización de los cambios realizados a las plantillas de sitio (Close Figure 2)
<?xml version=”1.0” encoding=”utf-8”?>
<summary>
  <sites>
    <site url=”http://mscc-shr-v3-01” storage=”172767226”>
      <webs>
        <web url=”http://mscc-shr-v3-01/Board of Directors-Basic”>
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/default.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/EditForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/Upload.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Board Information/
                Forms/WebFldr.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/AllItems.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/DispForm.aspx” />
          <unghostedPage url=”http://mscc-shr-v3-01/Board of Directors-Basic/Company Finance and
                Business Planning/Forms/EditForm.aspx” />

Definiciones de sitios personalizados
Es posible que la mayoría de los sitios personalizados de WSS 2.0 que desee actualizar hayan sido generados a partir de plantillas creadas desde definiciones de sitios estándar de WSS. Sin embargo, es posible que algunas de las plantillas de sitios personalizados se hayan generado a partir de definiciones de sitios personalizados. Este puede ser el caso si los desarrolladores de la organización crearon definiciones de sitios personalizados o si se adquirieron aplicaciones o plantillas de otros proveedores a partir de definiciones de sitios personalizados. Este artículo sólo cubrirá el escenario de definición de sitios estándar. Para obtener más información acerca del escenario de plantillas de sitios personalizados, consulte la barra lateral "Recursos de WSS".
Después de comprobar que los archivos .stp y los sitios están verdaderamente generados a partir de definiciones de sitio estándar, lo que significa que existen definiciones de actualización de sitio en WSS 3.0, puede proceder con la instalación y creación de instancias de sus sitios.
Para actualizar plantillas específicas de sitios WSS 2.0, primero deberá instalar las plantillas en un servidor WSS 2.0 (consulte la fase 1 de la figura 1). A continuación, deberá crear sitios basados en cada una de las plantillas instaladas.
Para agilizar el proceso de instalación de varios archivos .stp, la creación de instancias en varios sitios y la limpieza del servidor de cualquier archivo temporal después de que finalice el proceso de actualización, el acelerador de la solución proporcionará un conjunto de secuencias de comandos que aprovecha los comandos de Stsadm.exe (consulte la barra lateral "Secuencias de comandos de la solución" para obtener información más detallada). Stsadm.exe es una aplicación de línea de comandos que ofrece un conjunto completo de operaciones WSS para administrar servidores y sitios Sharepoint. Las secuencias de comandos de la solución automatizan este proceso permitiéndole instalar y crear una instancia por lotes o realizar estas tareas de manera secuencial. Se puede ahorrar mucho tiempo a la hora de instalar muchos .stp y crear instancias para una gran cantidad de sitios.
Secuencias de comandos de la solución
El proceso de instalación y creación del sitio usa dos secuencias de comandos que ejecutan Stsadm.exe:
  • MiginstStp.cmd instala las plantillas de sitio mediante la operación addtemplate de Stsadm.exe. Esta operación tiene los parámetros _SOURCEFILELOCATION, _SOURCEFILENAME y _FILETITLE.
  • MigMakeSite_1.cmd crea los nuevos sitios. MigMakeSite_1.cmd ejecuta la operación createweb de Stsadm.exe. Esta operación tiene los parámetros _SERVERURL, _SITENAME, _SITETEMPLATENAME y _SITETITLE.
Ejecute estas secuencias de comandos en el servidor WSS 2.0 local que tiene acceso a la ubicación de los archivos de la plantilla (.stp) guardada del sitio. Para ejecutar estas secuencias de comandos, debe ser miembro del grupo Administradores locales en el servidor o miembro del grupo Administradores de WSS con permisos para crear sitios. La guía Kit de herramientas de actualización para sitios y plantillas de SharePoint proporciona una descripción detallada acerca de cómo aprovechar al máximo estas secuencias de comandos. Una vez instalados los .stp y creadas las instancias de los sitios, estará listo para continuar con la actualización del servidor. Los métodos de actualización de WSS 3.0 se explican en detalle en "Actualización a Windows Sharepoint Services 3.0” (consulte el vínculo que figura en la barra lateral en "Recursos de WSS").

Terminología de WSS
La solución Servicios de Windows Sharepoint tiene terminología propia. Este es un breve glosario de términos que se usan con frecuencia.
Definición del sitio Un conjunto de archivos que define un tipo de sitio específico. Una definición de sitio incluye archivos .xml, .aspx y .ascx, así como archivos de la página principal. También incluye archivos de la lista de plantillas y archivos de contenido almacenados en una carpeta especial del servidor web de aplicaciones. WSS incluye un conjunto de definiciones estándar de sitio, listas para usar que incluyen Sitio de equipo, Sitio en blanco y Área de documentos. Inicialmente, éstas son las únicas plantillas de sitio almacenadas en la galería de plantillas del sitio y disponibles la lista de selección de plantillas que aparece en Nuevo sitio de SharePoint.
Las plantillas de sitio definen cómo crear una instancia de un sitio de Sharepoint. Para crear un nuevo sitio de Sharepoint, debe seleccionar una plantilla de sitio en la que se basará el sitio. Por ejemplo, puede crear un nuevo sitio denominado "Junta directiva" basado en una plantilla estándar "Sitio en blanco". A continuación puede agregar listas, bibliotecas, elementos web y otros elementos personalizados a la instancia del sitio. Para que estos elementos personalizados estén disponibles a otros usuarios, puede guardar este sitio como una plantilla llamada "Junta directiva" que se basa en la definición de sitio "Sitio en blanco" la definición. WSS guarda la plantilla personalizada de sitio como un archivo .stp (plantilla de sitio), lo coloca en la galería de plantillas de sitio y lo muestra en la lista de selección de plantillas de la página Nuevo sitio de Sharepoint para que los usuarios puedan crear nuevos sitios basados en ella. Las plantillas de sitio contienen una serie de archivos de configuración de sitio, incluidos archivos .xml, .aspx, de imagen, etc. que se comprimen en un único archivo .stp. (Los archivos .stp cumplen una función similar a los archivos .cab). El más importante de estos archivos es Manifest.xml, que contiene información esencial como, por ejemplo, la estructura y navegación del sitio, listas y bibliotecas, ubicación de elementos web, definiciones de listas personalizadas y la definición del sitio en que se basa la plantilla personalizada del sitio.
Plantilla de aplicación Plantillas de sitio de Windows Sharepoint Services que están desarrolladas para cumplir los requisitos de procesos o tareas de negocio específicos. Son publicadas por Microsoft y están disponibles para su descarga gratuita a clientes de WSS.
Sitio personalizado Sitio de Sharepoint con una interfaz de usuario modificada.
Página principal U área en la que se puede almacenar información de diseño predeterminada, como por ejemplo, el encabezado, los controles de navegación y otros menús para obtener una interfaz coherente en todo el sitio.
Páginas fantasmas Páginas cuyo contenido no se almacena en la base de datos de contenido de WSS sino que se leen de un archivo de definición del sitio. Las páginas fantasmas no han sido personalizadas.
Páginas no fantasma Páginas modificadas a partir del archivo de definición del sitio y cuyo contenido se almacena en la base de datos de contenido de WSS.

Después de la actualización del servido: inspección del sitio
Ahora llegó a la fase 2 del flujo de trabajo de actualización (consulte de nuevo la figura 1). Entre los pasos de esta fase de actualización del sitio y las plantillas se incluyen:
  1. Abrir y comprobar los sitios actualizados.
  2. Aplicar la página principal predeterminada.
  3. Corregir problemas de características y de diseño en los nuevos sitios.
  4. Guardar los sitios corregidos como nuevas plantillas de sitio de WSS 3.0.
  5. Volver a implementar las nuevas plantillas de sitio de WSS 3.0 en el servidor.
  6. Crear sitios a partir de plantillas de sitio reimplementadas.
  7. Abrir los nuevos sitios y comprobar que funcionan según lo previsto.
  8. Iniciar el proceso de limpieza.

Restablecimiento de la definición de sitio
La primera vez que abra el sitio actualizado, observará que se asemeja mucho a un sitio de WSS 2.0. Para que el sitio se asemeje más a un sitio de WSS 3.0, en primer lugar deberá restablecer la definición de sitio en el nuevo sitio WSS 3.0. Esto corregirá la mayoría de los problemas de diseño y no se perderá ningún elemento personalizado creado en los elementos web, siempre y cuando los mismos ya residan en una zona de elementos web que existe en la página de definición del sitio. Esta acción aplicará también la página principal predeterminada a todas las páginas de los sitios.
Una página principal, como su nombre lo sugiere, es un área donde se puede almacenar información de diseño predeterminada, como por ejemplo, el encabezado, los controles de navegación y otros menús para obtener un aspecto coherente. Esto permite realizar cambios de diseño en la página principal y hacer que los cambios se propaguen a través de todo el sitio. Al aplicar páginas principales, toda la funcionalidad nativa de WSS 3.0 se habilita en los sitios actualizados.
Aunque ahora el sitio tenga el aspecto y la funcionalidad de un sitio WSS 3.0 nativo, es probable que todavía se encuentren áreas problemáticas, tales como paneles de discusión, elementos web personalizados, hipervínculos y temas.

Corrección de los elementos dañados
En las plantillas de sitio actualizadas y personalizadas pueden aparecer diferentes problemas. A continuación se muestran algunos de los problemas más comunes e ideas sencillas sobre cómo corregirlos.
La hoja de estilo predeterminada de WSS 2.0 aún se aplica a un sitio. Elimine la hoja de estilos antigua de SharePoint Designer.
Faltan elementos web o se encuentran en lugares equivocados. Mueva o inserte elementos web con SharePoint Designer.
Los elementos web no funcionan correctamente. Quite los elementos web que son incompatibles con WSS 3.0 y póngase en contacto con el desarrollador de elementos web para averiguar si los elementos web correspondientes se generaron para entornos WSS 3.0.
Las listas y bibliotecas personalizadas no se ven bien. Guarde los datos existentes; vuelva a crear la lista o biblioteca personalizada e importe los datos guardados.
Las características de WSS 3.0 habilitadas no están disponibles. Puede que las capacidades de colaboración en equipo se deban activar explícitamente en las características del sitio.
Los hipervínculos ya no funcionan. Los hipervínculos codificados pueden requerir actualización manual.
El tema ha cambiado. Aplique el tema de WSS apropiado.

Casi se ha terminado
A medida que se acerca el final del proceso y todos los problemas se corrigieron, es el momento de realizar una verificación final de los sitios. Debe guardar los sitios corregidos como plantillas de sitio WSS 3.0, realizar una nueva instalación de .stp y creación de instancia del sitio (aquí también se pueden usar secuencias de comandos de gran utilidad) y, por último, abrir el sitio para comprobar que todos los problemas se han solucionado y que los sitios y .stp están listos para la distribución adicional en el entorno de trabajo.

Alternativas a la actualización
Es posible que la actualización de plantillas mediante las herramientas y los procesos automatizados descritos aquí no siempre sea el mejor método. Si usa plantillas de terceros altamente personalizadas, actualizar por su cuenta las plantillas puede resultar sumamente difícil y quizá sería preferible esperar una nueva versión de la plantilla. En otros casos, crear una plantilla totalmente nueva en WSS 3.0 y a continuación implementar las características de la plantilla anterior puede ser la mejor opción.

Plantillas de aplicación
Hay un conjunto de plantillas de aplicación desarrolladas por Microsoft disponibles para WSS 2.0 y WSS 3.0. El nuevo conjunto de WSS 3.0 incluye versiones actualizadas de algunas de las plantillas de la aplicación de WSS 2.0. Si ha estado usando cualquiera de estas plantillas, puede cargar las versiones actualizadas de WSS 3.0 en el entorno WSS 3.0.
Si ha estado usando alguna de las plantillas de aplicación de WSS 2.0 que no se actualizó para WSS 3.0, el acelerador de la solución le ofrece un conjunto de plantillas de aplicación de WSS 2.0 actualizadas para funcionar en un entorno WSS 3.0.

Resumen
El Kit de herramientas de actualización para sitios y plantillas de SharePoint resultará en un elemento muy valioso para la retención de plantillas, sitios y elementos personalizados de 2.0 en el entorno 3.0. Para obtener información adicional acerca de este tema y descargar el kit de herramientas, visite los sitios indicados en la barra lateral "Recursos de WSS".
Deseamos expresar nuestro agradecimiento a Betty Houser por sus valiosas contribuciones a este artículo y al acelerador de soluciones.
Recursos de WSS
  • Herramienta de análisis previo a la actualización
  • Kit de herramientas de actualización para sitios y plantillas de Windows SharePoint Services
  • Actualización a Windows SharePoint Services versión 3.0 (Windows SharePoint Services 3.0 Technical Library)
  • Implementación de archivos de definición de actualizaciones y definiciones de nuevos sitios

Luis Câmara Manoel es Administrador de programas en el grupo Microsoft Solution Accelerator. Hace un año que trabaja con Microsoft. Anteriormente, Luis se desempeño como director de proyectos y programas en Novell Inc. y Volera en Provo, Utah. Se puede poner en contacto con Luis en la dirección luiscam@microsoft.com.
Peter Skjøtt Larsen es Director de producto en el grupo Microsoft Solution Accelerator. Trabaja con Microsoft desde hace más de cuatro años en desarrollo y marketing. Anteriormente desarrolló software cliente y de servidor para el sector financiero, de ingeniería y telecomunicaciones. Puede ponerse en contacto con Peter en la dirección petela@microsoft.com.


 El negocio de TI: Elaborar cuidadosamente un plan empresarial
El negocio de TI
Elaborar cuidadosamente un plan empresarial
Stephen Ibaraki

Probablemente estas son viejas noticias para muchos lectores, pero hoy en día no puede hacer una compra o inversión en TI sin una buena justificación. Comprar para poseer la última innovación informática es un tema del pasado. La tecnología libre, no planeada se consideró alguna vez el camino a la
dominación del mercado y el crecimiento. Este concepto terminó con la implosión las empresas punto com y tuvo como resultado las restricciones en TI. Hoy, los proyectos de TI deben devolver valor real al negocio.
Con presupuestos estrictos, ¿cómo se puede justificar una inversión en TI? La respuesta está en crear un modelo de negocio mediante la incorporación de una solución de tecnología completa y unificada. ¿Qué aspecto debería tener? ¿Cuáles son los elementos esenciales para crear un modelo de negocio? ¿Cómo se emplea un modelo de plan de negocio para justificar un proyecto de TI? ¿Qué deberá tener en cuenta a la hora de integrar las soluciones de tecnología correctas dentro del modelo de negocio? Le daré algunas ideas a considerar para la creación de su modelo.

Creación de negocios
Un negocio u organización de éxito deben generar valor cuantificable para los participantes, que incluye empleados, clientes, asociados, proveedores y propietarios. Este valor debe ser definido en forma clara y medido con ajustes continuos para la mejora.
En un mundo cada vez más conectado, un negocio debe permitir la colaboración efectiva con redes internas y externas, maximizando así la interacción de las relaciones en tiempo real. ¿Quién está dispuesto a esperar un servicio, la respuesta a una consulta, una entrega del producto? ¿Quién quiere que un proyecto se demore o permanezca inactivo a causa de una ruptura de comunicación? Con la llegada de Internet y la velocidad siempre creciente de la globalización, la competencia puede estar al lado, o en otro continente. Por lo tanto, un negocio debe crear diferenciación en este entorno competitivo. ¿Cómo se separa una organización de la multitud?
Además, un negocio debe ser ágil: debe tener en cuenta en todo momento el entorno interno y externo y ser capaz de seleccionar rápidamente y luego implementar una iniciativa de negocio entre una gama de opciones. A hacer esto, el negocio saca partido de sus puntos fuertes y corrige sus puntos débiles para aprovechar nuevas oportunidades. Estas oportunidades permiten el crecimiento en nuevos mercados, clientes, productos y servicios. Un negocio también debe valorar y mitigar los riesgos, incluidas las fuerzas competitivas. Todo esto se realiza con un énfasis en las mejoras de productividad y eficiencia, mientras se administra los costos operativos y los riesgos.
Una inversión en tecnología debe fomentar esa agilidad, lo que da como resultado un tiempo más rápido de comercialización, respuesta instantánea a las necesidades del cliente, anticipación a los riesgos competitivos, mayor productividad, eficiencia mejorada y menores costos operativos y riesgo.
Hasta ahora, he hablado de los impulsores detrás del éxito del negocio y cómo la TI debe respaldar estos generadores y alinearse con ellos. De hecho, si esto no ocurre, la TI pasa a ser una sobrecarga para los costos cuya existencia no se puede justificar. Realizar un enfoque del plan de negocio le brindará el modelo de negocio que necesita para asegurar resultados empresariales. Esto se traduce en el éxito de TI.

Creación de un plan de negocio
Es esencial vincular la inversión en TI con el aumento del valor empresarial: diferenciación, menores costos, atención al mercado, colaboración e innovación. El enfoque del plan de negocio satisface esta necesidad.
Los elementos básicos de un plan de negocio de TI se resumen en la figura 1. ¿Cuál es el objetivo de su plan? Las declaraciones de misión y visión describen lo que el negocio hace hoy y lo que quiere ser en el futuro. Asegúrese de explicar con claridad de qué manera respalda su proyecto de TI este objetivo general. Necesitará explicar en detalle los vínculos entre la inversión en TI y los objetivos de negocio, específicamente de qué manera los objetivos de TI respaldan la dirección estratégica del negocio. Debe haber alineación.
Figure 1 Elementos del plan de negocio (Close Figure 1)

Elemento | Descripción
Propósito | Describir los vínculos entre la inversión y los objetivos de negocio.
Visión | El resultado del negocio y cómo la TI apoyará este objetivo.
Misión | El negocio actual y cómo mejora la TI esta misión de negocio.
Oportunidad de negocio | El mercado a capturar y el valor para la empresa.
Modelo de negocio | Los productos o servicios que la TI ofrece para capturar la oportunidad del negocio.
Mercados objetivo | Clientes (o posibles clientes) a quiénes servir.
Integración con TI | Alineación de productos y servicios con recursos de tecnología.
Análisis competitivo | Lista de competidores, junto con puntos fuertes y débiles.
Análisis SWOT | Puntos fuertes, débiles, oportunidades y riesgos.
Análisis de recurso | La infraestructura existente y recursos proyectados requeridos.
Métrica para el éxito de TI | Los aspectos del plan que se pueden medir.
Proyecciones financieras | El margen de tiempo para el rendimiento de la inversión.
Su declaración de la oportunidad de negocio deberá explicar cómo la TI posibilita o respalda las nuevas oportunidades comerciales y qué valor devolverá. ¿Cuál es el modelo específico de negocio? ¿Qué productos y servicios ofrece el negocio en retorno por los ingresos? ¿Qué es el tamaño del mercado potencial y qué cantidad se puede capturar como resultado de mejoras en TI? ¿Cómo hace crecer la TI este modelo de negocio? Debe explicar cómo la inversión en TI puede mejorar el volumen de trabajo y el proceso de negocio dentro del modelo de negocio establecido: mejorar las operaciones, disminuir costos, aumentar la eficiencia, permitir la colaboración, potenciar las comunicaciones, programación y mensajería. Todo lo mencionado puede impulsar menores costos o mayor productividad. No se olvide de mencionar la innovación en las operaciones del negocio que se puede lograr con TI.
Además, debería hablar de mercados objetivo. Considere de qué manera sus planes de TI permiten que el negocio aumente la penetración en mercados de objetivo existentes o nuevos mercados. Analice qué sistemas de entrega usan los productos y servicios y cómo puede el soporte de TI ofrecer mejores servicios y entrega en esos mercados.
Esto debería conducir a un análisis de cómo sus productos o servicios comerciales se integran con la tecnología de TI. ¿Qué productos y servicios específicos son claves en la plataforma de tecnología integrada y unificada? ¿Cómo brinda TI soporte a los productos o servicios? ¿Cómo se conecta esto con los objetivos de negocio? Esta es su rampa de lanzamiento para sugerir cómo la TI puede mejorar la administración de servicios, la entrega de proyectos y las relaciones internas y externas. La TI permite el cambio del negocio al mejorar las expectativas del nivel de servicio, ofrecer supervisión efectiva, prioridades, cumplimiento de las disposiciones legales, privacidad y seguridad. Su plan de negocio debe tener en cuenta todos estos elementos.
Su análisis competitivo cubre el panorama en que compite su negocio. ¿Contra quién compite? ¿Cuáles son sus puntos fuertes y débiles? Indique cómo sus competidores emplean la tecnología y cómo mejoran su posición de mercado. ¿Ofrece la TI a su negocio un marco competitivo respecto de sus rivales? Explique cómo mejora la TI su agilidad empresarial, permite el crecimiento, apresura la entrada en los nuevos mercados, brinda soporte a nuevos clientes, mejora el servicio a clientes existentes, etc. ¿Cómo la tecnología proporciona la diferenciación y las ventajas para su negocio? ¿Cómo aumenta la TI las barreras de entrada de los competidores?
Un análisis SWOT examina formalmente los puntos fuertes, los puntos débiles, las oportunidades y los riesgos de su negocio. ¿Cuáles son las oportunidades y los riesgos externos al negocio? ¿Cómo mejora la TI los puntos fuertes internos del negocio para aprovechar las nuevas oportunidades externas? ¿Cómo vencerá la TI los puntos débiles internos y posicionará a la compañía para que se comprometa con nuevas oportunidades como resultado de estos esfuerzos? ¿Cómo se reducen o mitigan los riesgos externos a través de las inversiones en TI?
Asegúrese de considerar los requisitos de recursos de una inversión en TI antes, durante y después de la implementación. Esto incluye las personas, el hardware y la infraestructura. ¿Qué conocimientos o infraestructura existentes puede aprovechar, y para cuáles necesitará presupuestar? ¿Cuánto tiempo llevará recuperar los costos del nuevo aprendizaje o equipo? Si existen ventajas de las nuevas inversiones más allá de su plan específico de negocio, asegúrese de que también se indiquen.
Para saber si su plan de negocio cumple las expectativas, debe detallar con anticipación la métrica para el éxito. ¿Qué aspectos de su plan se pueden medir? ¿Con qué frecuencia medirá el éxito y qué hará si no respalda los objetivos de forma eficaz? ¿Cuáles son los planes alternativos si aparecen fuerzas perjudiciales inesperadas?
Ningún plan de negocio está completo sin proyecciones financieras. ¿Cuál es el costo total de propiedad y cómo se justificará este costo en las nuevas oportunidades de negocio? ¿Y cuál es el valor de estas oportunidades? ¿Dónde y en qué manera el retorno de inversión conseguirá lograr el éxito del negocio? ¿Cuáles son los plazos de tiempo para el retorno de la inversión? ¿Cómo mejora la TI los objetivos financieros del negocio a través del crecimiento de ingresos y rentabilidad y menores costos?

Adelantándose
No hay garantía de que sus planes funcionarán. Pero realizar el esfuerzo de pensar y desarrollar un plan de negocio lo pone en el lugar del conductor. Habrá pensado en todos los problemas potenciales y revisado su plan o descrito las contingencias. También tendrá una idea clara de los costos y beneficios implicados, incluso los costos de no avanzar. Por último, no hay manera de saber si tuvo éxito o se equivocó rotundamente sin algún tipo de criterio de medición. Esas métricas serán útiles para mostrarle al jefe qué tan importante es su plan para el tiempo de bonificación para el negocio que viene.
Para obtener un diálogo continuo sobre el negocio de TI, recomiendo que visite IT Managers Connection en la dirección blogs.technet.com/cdnitmanagers. Existen también varios recursos relacionados sobre planes de negocio disponibles en el sitio web de Microsoft. Small Business Center ofrece un tutorial para redactar un plan de negocio en la dirección microsoft.com/smallbusiness/resources/startups/business_plans_ entities/how_to_write_a_business_plan.mspx y Office Online (office .microsoft.com/en-us/templates) ofrece varias plantillas de plan de negocios además de las suministradas con 2007 Microsoft Office System.

Stephen Ibaraki es un profesor galardonado en negocios y tecnología y un veterano con más de 35 años en los negocios y TI. Actualmente, se desempeña como vicepresidente de la asociación internacional Network Professional Association (NPA). Póngase en contacto con Stephen en la dirección www.StephenIbaraki.com.


 The Cable Guy: EAPHost en Windows
The Cable Guy
EAPHost en Windows
Joseph Davies
La información preliminar de esta columna acerca de Windows Server “Longhorn” está sujeta a cambios.

Cuando un cliente de acceso se conecta a una red protegida, debe usar un método de autenticación negociado para verificarse en un servidor de autenticación. Por ejemplo, el cliente de acceso y el servidor de autenticación pueden ponerse de acuerdo para usar un protocolo de autenticación de contraseña específico, como el Protocolo de autenticación por desafío mutuo de Microsoft.
Protocolo versión 2 (MS-CHAP v2). Sin embargo, cuando un cliente de acceso y un servidor de autenticación usan métodos de autenticación integrados y codificados, es difícil agregar protocolos nuevos.
El Protocolo de autenticación extensible (EAP) es un marco arquitectónico que ofrece extensibilidad para métodos de autenticación para tecnologías de acceso a red protegidas que se usan con frecuencia, como por ejemplo, redes inalámbricas basadas en IEEE 802.1X y conexiones de Protocolo punto a punto (PPP), como las de acceso telefónico y VPN. EAP no es un método de autenticación como MS-CHAP v2, sino un marco en el cliente de acceso y el servidor de autenticación que permite a los proveedores de redes desarrollar e instalar con facilidad nuevos métodos de autenticación conocidos como métodos EAP. Para obtener información general acerca de EAP, consulte la página web de EAP de Microsoft en microsoft.com/eap.
Aunque EAP es compatible con Microsoft® Windows® desde Windows 2000, la arquitectura de EAP en Windows XP y Windows Server® 2003 tiene limitaciones de extensibilidad para suplicantes y métodos EAP, que son componentes de software que pueden usar EAP en un tipo específico de capa de vínculo. La arquitectura de EAPHost en Windows Vista™ y en la siguiente versión de Windows Server, con el nombre en código "Longhorn", trata estas limitaciones, facilitando a los proveedores de redes de terceros la extensión de Windows para nuevos suplicantes y métodos EAP.

Compatibilidad de EAP en Windows Server 2003 y Windows XP
Windows Server 2003 y Windows XP usan EAP para conexiones inalámbricas o por cable que se autentican con 802.1X y para conexiones basadas en PPP como las de acceso telefónico o acceso remoto por VPN, o conexiones de sitio a sitio. De manera específica, estos sistemas operativos contienen una implementación de EAP que se adhiere a RFC 2284, e incluye suplicantes PPP e IEEE 802.1X. En la figura 1 se muestra la arquitectura suplicante y EAP para Windows XP y Windows Server 2003. Sin embargo, se debe tener en cuenta que la implementación de EAP en Windows XP Service Pack 2 (SP2) y Windows Server 2003 SP1 no es compatible con RFC 3748 (el estándar actual de Internet para EAP) y otros RFC de EAP.
Figura 1 Arquitectura suplicante y EAP para Windows XP y Windows Server 2003
Figura 1 Arquitectura suplicante y EAP para Windows XP y Windows Server 2003
Una API de EAP ofrece los medios para extender la autenticación en Windows XP y Windows Server 2003. Aunque los proveedores de terceros pueden desarrollar e instalar nuevos métodos EAP, los suplicantes PPP y 802.1X integrados no pueden usar todos los métodos EAP instalados. Por ejemplo, un proveedor puede crear uno nuevo método de autenticación EAP de búsqueda de huellas digitales pero es posible que dicho método no esté disponible para conexiones inalámbricas.
Debido a las limitaciones de los suplicantes integrados, algunos proveedores de software y hardware de terceros desarrollan sus propios suplicantes, que deshabilitan y reemplazan normalmente a suplicantes integrados y a la arquitectura de EAP completa. Sin embargo, esta alternativa presenta algunos problemas. En primer lugar, los suplicantes integrados y la arquitectura EAP conllevan costos y provoca demoras. Además, si un cliente de empresa no desarrolla sus propios suplicantes, puede contraer costos por asiento para dar una licencia e instalar un producto de terceros.

Características de EAPHost
EAPHost ofrece las siguientes nuevas características:
Compatibilidad con métodos EAP adicionales EAPHost admitirá la instalación y el uso de todos los métodos EAP incluidos en una lista en el Registro de EAP en www.iana.org/assignments/eap-numbers y otros métodos de autenticación populares como Lightweight EAP (LEAP), desarrollado y ofrecido por Cisco Systems, Inc.
Descubrimiento de red EAPHost admite el descubrimiento de red, tal como se define en RFC 4284.
Cumplimiento de RFC 3748 EAPHost se ajusta al equipo de estado de EAP y trata varias vulnerabilidades de seguridad especificadas en RFC 3748. Anteriormente, los suplicantes tenían que implementar sus propios equipos de estado. Además, EAPHost admite capacidades como Tipos EAP expandidos (incluidos los métodos EAP específicos de proveedor).
Coexistencia de métodos EAP EAPHost permite varias implementaciones del mismo método EAP que pueden coexistir de manera simultánea. Por ejemplo, puede instalar y seleccionar la versión de Microsoft de EAP Protegido (PEAP) y la versión de Cisco Systems, Inc. de PEAP.
Arquitectura de suplicante modular EAPHost es compatible con una arquitectura de suplicante modular en la que es posible agregar nuevos suplicantes fácilmente sin tener que reemplazar la implementación de EAP completa como en la versión anterior.
Para los proveedores de métodos EAP, EAPHost admite métodos EAP ya desarrollados para Windows XP y Windows Server 2003, y un método más sencillo para desarrollar nuevos métodos EAP para Windows Vista y Windows Server "Longhorn". EAPHost también permite una mejor clasificación de tipos EAP, de modo que el suplicante IEEE 802.1X integrado pueda usarlos.
Para los proveedores de suplicante, EAPHost ofrece compatibilidad para suplicantes adicionales para nuevas capas de vínculo. Dado que EAPHost está integrado con la protección de acceso a redes (NAP), los nuevos suplicantes no necesitan conocer NAP. Para participar en NAP, los nuevos suplicantes sólo deben registrar un identificador de conexión y una función de devolución de llamada que informe al suplicante de que debe volver a autenticarse. Para obtener más información acerca de NAP, consulte la columna Vigilancia de seguridad de John Morello en este número de TechNet Magazine, así como la página web de NAP en microsoft.com/nap. Para obtener información acerca de cómo desarrollar métodos EAP o suplicantes para EAPHost, consulte la información acerca del host del Protocolo de autenticación extensible en msdn2.microsoft.com/aa364249.aspx.

Arquitectura de infraestructura EAP y EAPHost
La arquitectura de EAPHost consta de la arquitectura de infraestructura EAP para EAPHost, la arquitectura de EAPHost en EAP del mismo nivel (el cliente que autentica) y la arquitectura de EAPHost en el servidor de autenticación. En la figura 2 se muestran los componentes de la arquitectura de infraestructura EAP para EAPHost en equipos que ejecutan Windows Vista o Windows Server "Longhorn". En estos sistemas operativos, el EAP de mismo nivel tiene una capa de suplicantes (como el suplicante integrado para 802.1X), la nueva arquitectura de EAPHost para los EAP de mismo nivel (facilitando la comunicación y la administración de suplicantes y métodos EAP), y una capa de métodos EAP para realizar la autenticación.
Figura 2 Arquitectura de infraestructura EAP para EAPHost
Figura 2 Arquitectura de infraestructura EAP para EAPHost
El servidor de autenticación para Windows Server "Longhorn" tiene el Servidor de directivas de redes (NPS), la nueva arquitectura de EAPHost para servidores de autenticación y una capa de métodos EAP. Anteriormente conocido como el Servicio de autenticación de Internet (IAS) en Windows Server 2003, NPS es un proxy y servidor RADIUS (Servicio de usuario de acceso telefónico de autenticación remota), y un servidor de directivas para NAP.
El suplicante en el EAP de mismo nivel usa una tecnología de capa de enlace como PPP o 802.1X para enviar y recibir los mensajes de EAP en el vínculo entre el EAP de mismo nivel y el autenticador de paso a través (un servidor de acceso a redes como un punto de acceso inalámbrico o un servidor de acceso remoto). El autenticador de paso a través y NPS en el servidor de autenticación usan RADIUS para enviar y recibir mensajes de EAP en la red basada en IP entre el autenticador de paso y el NPS.
Después de que el EAP de mismo nivel y el servidor de autenticación negocien el uso de un método EAP específico, la comunicación lógica consta de mensajes de EAP enviados entre el método EAP negociado en el EAP de mismo nivel y el servidor de autenticación.
En la figura 3 se muestra la arquitectura de EAPHost en el EAP de mismo nivel que ejecuta Windows Vista o Windows Server "Longhorn". Esta arquitectura consta de suplicantes, componentes de EAPHost, componentes de administración del método EAP y componentes de NAP.
Figura 3 Arquitectura de EAPHost en el EAP de mismo nivel
Figura 3 Arquitectura de EAPHost en el EAP de mismo nivel
Windows Vista y Windows Server "Longhorn" incluyen un suplicante 802.1X para conexiones inalámbricas y por cable basadas en 802.1X. Se está investigando un suplicante PPP para el acceso telefónico o el acceso remoto por VPN o conexiones de sitio a sitio para una futura actualización para estos dos sistemas operativos. También se pueden agregar suplicantes adicionales desarrollados por terceros. La API de EAPHost permite a los suplicantes usar EAP para conexiones. Para obtener más información, consulte el artículo en msdn2.microsoft.com/aa364249.aspx.
Los componentes de EAPHost incluyen el equipo de estado de cliente EAP/validador de protocolo, que mantiene el equipo de estado de EAP de mismo nivel (consulte RFC 3748) y valida los mensajes de EAP. También se incluye el administrador de métodos EAP, que administra los distintos métodos EAP ya sean compatibles con EAPHost o no, y ayudan a que los métodos EAP estén disponibles para aplicaciones y servicios. Por último, tenemos el administrador de la biblioteca EAP, que facilita la carga y la descarga de bibliotecas de métodos EAP.
Entre los componentes del método EAP se incluyen:
Métodos EAP integrados Se incluyen PEAP, EAP-TLS (Seguridad de la capa de transporte) y EAP-MS-CHAP-V2.
Dos API de host Alojan métodos EAP compatibles con EAP-Host (API de EAP heredada) y métodos EAP compatibles con EAPHost de terceros (API de método EAPHost).
Método de traductor heredado Traduce entre métodos EAP no compatibles con EAPHost escritos en la API de EAP heredada y la API de método EAPHost.
Administrador proxy de método EAP . Aloja los métodos EAP de terceros, ya sean compatibles o no con EAPHost.
La API del método EAP es la nueva API para métodos EAP compatibles con EAPHost. Los métodos EAP exportan las API definidas en la API del método EAP. EAPHost carga los métodos EAP e invoca las funciones de API exportadas.
Los componentes NAP incluyen los artículos siguientes:
EAP NAP EC Messenger . Este componente facilita la comunicación de datos relacionados con NAP, como instrucciones de estado y eventos, entre el cliente de cumplimiento (EC) NAP de EAPHost y otros componentes de EAPHost.
EAPHost NAP EC . Interactúa con otros componentes NAP para ofrecer la validación del estado y el cumplimiento del acceso limitado cuando una conexión autenticada 802.1X no cumple los requisitos de estado del sistema de NAP.
Agente NAP Mantiene el estado actual del cliente y facilita la comunicación entre los EC NAP instalados y la capa de agentes del estado del sistema (SHA). Cada SHA se define para uno o más requisitos del estado del sistema.
Como se muestra en la figura 3, los proveedores de terceros pueden desarrollar nuevos suplicantes y nuevos métodos EAP compatibles con EAPHost. También se pueden usar métodos EAP existentes desarrollados para Windows Server 2003 o Windows XP.
En la figura 4 se muestra la arquitectura de EAPHost en el servidor de autenticación que ejecuta Windows Server "Longhorn" y NPS. Esta arquitectura es igual que la del EAP de mismo nivel para admitir métodos EAP. En lugar de suplicantes, el servidor de autenticación tiene NPS, que emplea la API de EAPHost para usar y configurar métodos EAP. Dentro de los componentes de EAP, el equipo de estado de servidor EAP/validador de protocolo realiza la tarea de mantener el equipo de estado de servidor de autenticación EAP y de validar los mensajes entrantes de EAP.
Figura 4 Arquitectura de EAPHost en el servidor de autenticación
Figura 4 Arquitectura de EAPHost en el servidor de autenticación
EAPHost en el servidor de autenticación permite a otros proveedores de software desarrollar e instalar nuevos métodos EAP compatibles con EAPHost y admite métodos EAP que se hayan desarrollado para Windows XP y Windows Server 2003.
Para el EAP de mismo nivel y el servidor de autenticación, EAPHost ofrece también una API de proxy de IU de EAPHost (que no se muestra en las figuras 3 y 4), que los métodos compatibles con EAPHost pueden usar para mostrar cuadros de diálogo que requieren la interacción del usuario. La API de proxy de IU de EAPHost permite a otros proveedores agregar sus propios cuadros de diálogo para una experiencia de usuario sin complicaciones.

Conclusión
EAPHost en Windows Server "Longhorn" y Windows Vista actualiza la implementación de EAP en Windows para los estándares de Internet más recientes y ofrece una nueva arquitectura modular para ampliar Windows con los suplicantes y los métodos de autenticación EAP. Los proveedores de redes pueden ampliar la experiencia de usuario existente en Windows sin reemplazar la implementación completa de EAP de Windows desarrollando nuevos suplicantes escritos en la API de EAPHost y nuevos métodos de autenticación escritos en la API del método EAPHost. EAPHost también admite métodos EAP desarrollados para Windows Server 2003 y Windows XP.
EAPHost para Windows XP
Microsoft tiene programado lanzar al mercado una actualización de Windows XP SP2 que incluye la arquitectura de EAPHost, compatibilidad para RFC 3748 y un suplicante basado en EAPHOST para conectividad 802.1X inalámbrica. Con la actualización, los suplicantes de EAPHost desarrollados para Windows Vista también funcionarán en Windows XP SP2. Para obtener la información más reciente acerca de esta actualización, consulte el blog de equipo del producto NAP en blogs.technet.com/nap.

Joseph Davieses escritor técnico en Microsoft y ha enseñado y escrito sobre temas de red de Windows desde 1992. Ha escrito cinco libros para Microsoft Press y es el autor de la columna mensual TechNet Cable Guy (en inglés).


 Windows PowerShell: La conexi&#243;n WMI
Windows PowerShell
La conexión WMI
Don Jones

Una de las tecnologías con la que en gran medida pude contar en el mundo de VBScript fue el instrumental de administración de Windows, o WMI. Curiosamente, Windows PowerShell tiene fuertes conexiones con WMI, y no sólo en un sentido técnico. Jeffrey Snover, quién diseño Windows PowerShell, también fue un integrante clave en la creación de
Wmic.exe, una herramienta de línea de comandos de la época de Windows Server® 2003 usada para trabajar con WMI. En muchos aspectos, Wmic.exe anunció Windows PowerShell™ ya que funcionó en una forma algo similar. (Para obtener más información sobre WMIC, consulte el artículo de John Kelbley en el número de septiembre de 2006 de TechNet Magazine, disponible en línea en microsoft.com/technet/technetmag/issues/2006/09/WMIData).
Windows PowerShell es compatible con WMI que se entrega de la misma manera, coherente y basada en objetos que obtiene con el resto de las capacidades del shell. Esto hace que WMI sea infinitamente más fácil de aprender y usar, especialmente en situaciones ad hoc, que tecnologías anteriores, como VBScript.

Conceptos básicos de WMI
Si lee libros y artículos sobre secuencias de comandos, es muy difícil no ver a WMI mencionado. Sin embargo, es fácil quedar atascado en el uso de WMI y olvidar cómo está construido por dentro; y saber cómo está construido es especialmente importante para entender cómo funciona en Windows PowerShell.
WMI es principalmente un sistema de clases organizadas que representan la información de administración del sistema operativo Windows® y de otros productos de hardware y software basados en Windows. Una clase en realidad no es nada más que una descripción abstracta de las propiedades y capacidades que poseen algunos componentes de software o hardware determinados. Por ejemplo, es posible que la clase de un disco lógico describa un dispositivo que tiene un número de serie, una capacidad fija de almacenamiento, una cantidad de espacio disponible, etcétera. Mientras tanto, es posible que una clase que describe un servicio de Windows especifique que el servicio tiene un nombre, que se puede iniciar y detener, su estado actual, etc.
En WMI, las clases representan todas las cosas que esa WMI puede administrar. Si WMI no tiene una clase para algo, no puede administrar ese componente. Microsoft documenta las clases centrales de Windows WMI en msdn2.microsoft.com/aa394554.aspx; otros productos, como por ejemplo, Internet Information Services y SQL Server™, documentan sus clases WMI por separado.
Debido a que existen tantas clases, WMI las organiza en una jerarquía de espacios de nombres. Por ejemplo, el espacio de nombres que contiene las clases centrales del sistema operativo Windows se llama root\cimv2, mientras que Microsoft IIS 6.0 almacena sus clases en root\MicrosoftIISv2. Afortunadamente, el espacio nombres de root\cimv2 es también el espacio de nombres predeterminado de WMI, una configuración compartida por Windows PowerShell, lo que facilita el trabajo con estas clases centrales.
Una "instancia" es una aparición real de una clase. Si, por ejemplo, el equipo tiene dos discos lógicos, tendrá dos instancias de la clase Win32_LogicalDisk. Si en el equipo se ejecutan 50 servicios, WMI verá 50 instancias de la clase Win32_Service. El trabajo con WMI es esencialmente una cuestión de pedir a WMI que ofrezca una o más instancias y, a continuación, examinar sus propiedades en búsqueda de la información de administración que se necesita o para ejecutar los métodos de esas instancias para hacer cambios de administración, como por ejemplo iniciar o detener un servicio.
WMI usa una arquitectura cliente-servidor. Cada versión de Windows desde Windows 2000 incluyó WMI integrado (las versiones posteriores han ampliado el número de clases disponibles), lo que significa que se dispone con facilidad de software cliente y software servidor de WMI. Al usar WMI, envía en realidad una solicitud al servicio WMI que se ejecuta en cualquier equipo deseado. Ese servicio WMI recupera las instancias WMI que especifica y las devuelve para que pueda trabajar con ellas. Es allí donde Windows PowerShell entra en escena, simplifica el proceso de solicitar instancias, recuperarlas y trabajar con ellas.

Obtención de un objeto WMI
Generalmente, a las instancias de una clase WMI se les denomina objetos, de modo que tiene sentido que la manera de recuperar esas instancias en Windows PowerShell sea el cmdlet Get-WMIObject. Este cmdlet tiene un alias más cómodo, gwmi, que usaré en la mayor parte de mis ejemplos. En su forma más simple, especifica sólo el nombre de la clase WMI que desea recuperar y, a continuación, se relaja y analiza los resultados (consulte la figura 1). Cuando ejecuté gwmi win32_service, Windows PowerShell se conectó al servicio WMI en el equipo local (debido a que no especifiqué otro equipo) y se conectó al espacio de nombres root\cimv2 (porque no especifiqué un espacio de nombres diferente). Windows PowerShell recuperó todas las instancias de la clase especificada y, como no le indiqué que hiciera algo más con ellas, las convirtió en una representación textual. En otras palabras, Windows PowerShell tomó esos objetos y produjo un texto para que yo, como mero ser humano, los pudiera leer.
Figura 1 Al ejecutar gwmi win32_service, Windows PowerShell devuelve todas las instancias de la clase especificada en un formato legible de texto
Figura 1 Al ejecutar gwmi win32_service, Windows PowerShell devuelve todas las instancias de la clase especificada en un formato legible de texto
Específicamente, Windows PowerShell convierte objetos WMI en texto cuando lee y muestra los nombres y valores de las propiedades de la clase seleccionada. Para la clase Win32_Service, seleccionó un conjunto de seis propiedades.
En realidad, Windows PowerShell convierte cualquier objeto a texto de este modo. La mayoría de las veces, las propiedades que elige mostrar se definen en un conjunto de archivos .format.ps1xml que se encuentran en la carpeta de instalación de Windows PowerShell. Estos archivos de definición de formato llevan la firma digital de Microsoft. Se recomienda no cambiar estos archivos, aunque puede proporcionar sus propios archivos de formato. (Este es un tema que analizaré con más detalle en una futura columna).
El cmdlet gwmi puede ayudarle a explorar el equipo para averiguar qué clases están disponibles. Por ejemplo, al ejecutar gwmi –namespace "root\cimv2" –list, se puede obtener una lista completa de clases en ese espacio de nombres. No obstante, recuerde que las clases en el equipo sólo son importantes cuando se administra el equipo; si administra un equipo remoto, querrá conocer las clases disponibles en ese sistema. Para ello, puede usar el parámetro -computer de gwmi para conectarse a un equipo remoto. Por ejemplo, gwmi –namespace "root\cimv2" –list –computer ServerA incluirá una lista de todas las clases en el espacio de nombres root\cimv2 del equipo remoto denominado ServerA.

WMI remoto
En la versión 1.0 de Windows PowerShell, gwmi es prácticamente el único cmdlet que admite directamente la administración remota. Esto se debe principalmente al hecho de que ese control remoto está integrado en la arquitectura WMI subyacente. Y como Windows PowerShell usa la arquitectura existente, está sujeto a las características de seguridad de esa arquitectura. A continuación se muestra un ejemplo:
C:\> gwmi -namespace “root\cimv2” -computer
mediaserver -list
Get-WmiObject : Access is denied. (Exception
from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:5
+ gwmi <<<< -namespace “root\cimv2” -computer
mediaserver -list
PS C:\>
En esta instancia, intento conectarme a un equipo remoto llamado Media-Server para el que no tengo permiso de acceso. Como administrador, debería tener permiso para trabajar con el servicio WMI de este equipo, pero es probable que mis credenciales de la estación de trabajo local no sean suficientes. Por ejemplo, es posible que haya iniciado sesión en un dominio diferente que no sea de confianza o iniciado sesión con una cuenta con menos privilegios. Afortunadamente, gwmi es compatible con el parámetro -credential que permite especificar un conjunto alternativo de credenciales de usuario para la conexión de WMI. A continuación, puede ver un ejemplo muy sencillo:
gwmi win32_service –credential mydomain\administrator –computer mediaserver
Mi credencial, más concretamente, mi nombre de usuario, se proporciona en el formato Dominio\Nombre de usuario.
Tenga en cuenta que no existe ningún lugar donde pueda escribir una contraseña, Windows PowerShell me la solicitará. En forma intencional, Windows PowerShell no ofrece una manera de escribir una contraseña en la línea de comandos porque de esa manera permitiría codificar contraseñas en archivos de secuencias de comandos, lo cual es un riesgo de seguridad absoluto. Sin embargo, existe otra manera de trabajar con el parámetro -credential; crear con antelación una especie de objeto de credencial, llamado PSCredential. La clave es el cmdlet Get-Credential:
$cred = get-credential mydomain\administrator
Cuando lo ejecuto, todavía me solicita la contraseña de confirmación. Sin embargo, esta vez el objeto de credencial que se crea se almacena en la variable $cred. Si miro el contenido de $cred, podré ver el nombre pero no la contraseña:
PS C:\> $cred

UserName
--------
mydomain\adminstrator
De esta manera puedo volver a usar ese objeto de credencial todas las veces que desee:
gwmi win32_service –credential $cred –computer mediaserver
Esto simplifica las conexiones repetidas de WMI a un equipo remoto al predefinir un objeto de credencial que se puede volver a usar. Cabe destacar, no obstante, que actualmente el cmdlet Get-WMIObject no es compatible con la especificación de niveles de autenticación (también conocidos como suplantación) de la misma manera que VBScript la admite. Consulte msdn2.microsoft.com/aa389290.aspx para obtener información adicional.

Detección automática
Para mí, uno de los aspectos favoritos de Windows PowerShell es que no baja el nivel de las cosas. Le mostré cómo Windows PowerShell seleccionó sólo un conjunto de propiedades de la clase Win32_Service que consulté. No obstante, el shell todavía tiene acceso a todas las propiedades, e incluso puede indicarle cuáles son. Para ello, simplemente canalice el objeto (o los objetos) al cmdlet Get-Member (o a su alias, gm), tal como se muestra en la figura 2.
Figura 2 Canalizar un objeto al cmdlet Get-Member le indica a qué métodos y propiedades puede usted tener acceso.
Figura 2 Canalizar un objeto al cmdlet Get-Member le indica a qué métodos y propiedades puede usted tener acceso.
Además de propiedades, el shell también muestra los métodos disponibles, lo que significa que no se requiere necesariamente la documentación para averiguar lo que una clase es capaz de hacer. Puedo observar que la clase en sí misma ofrece los medios para cambiar una configuración de la instancia, poner en pausa un servicio, detener un servicio, etc.
Para usar estos métodos o mostrar otras propiedades, a menudo es más fácil poner las instancias en una variable:
$server = gwmi win32_operatingsystem
$server.reboot()
Este ejemplo recupera la única instancia disponible de la clase Win32_OperatingSystem (esta clase sólo tiene una instancia por equipo) y la guarda en la variable $server. A continuación, usará la variable $server para tener acceso al método Reboot de la instancia, reiniciando el equipo. ¡Cuidado con esto!

Lenguaje enriquecido para consultas
Si usa WMI con VBScript u otra tecnología, probablemente está acostumbrado a recuperar instancias de la clase WMI con una consulta escrita en WQL, el lenguaje de consulta de WMI. Su sintaxis parecida a SQL hace que sea más fácil recuperar instancias específicas (por ejemplo, un servicio específico) en lugar de todas las instancias de una clase dada. Afortunadamente, gwmi también permite especificar una consulta, de la siguiente manera:
gwmi –query “select * from win32_service where name=’alerter’”
Esta sintaxis de gwmi, que se agregó poco antes que Windows PowerShell se lanzara oficialmente al mercado, es increíblemente útil y hace muy pero muy fácil la tarea de migrar consultas complejas de WMI que posiblemente haya desarrollado para otros propósitos. Y, como siempre, Windows PowerShell devolverá objetos enriquecidos con sus propias propiedades y métodos, permitiéndole tener un acceso total al poder de administración de WMI.

Adelantándose con WMI
WMI continúa su desarrollo para futuras versiones de Windows, agregando nuevas clases y capacidades. Además, se continúa incorporando a los nuevos productos de Microsoft. Aunque la mayoría de los productos de Microsoft todavía no han lanzado al mercado versiones específicamente integradas con Windows PowerShell, uno de sus beneficios más grandes es la capacidad de conectarse a WMI, que hoy lo hacen tan útil.
Hablé superficialmente de lo que WMI es capaz de hacer. Aún así espero que le inspire para explorar Windows PowerShell y descubrir por su cuenta qué capacidades están disponibles.

Don Jones es director de proyectos y servicios de SAPIEN Technologies y coautor de Windows PowerShell: TFM (SAPIEN Press). Póngase en contacto con Don a través de su sitio web en la dirección www.ScriptingAnswers.com.


 &#161;Hola, chicos del scripting!: Flores que nacen, di&#225;logos que emergen, la primavera ha llegado...
¡Hola, chicos del scripting!
Flores que nacen, diálogos que emergen, la primavera ha llegado...
Los chicos del scripting de Microsoft

Ah, la primavera ya está aquí. Y jamás estuvimos tan contentos. Después de un invierno con lluvia sin precedentes, tormentas de hielo, tempestades de nieve y tempestades de viento (una de las cuales estrelló un árbol enorme en el patio de uno de los chicos del scripting, y le erró a la casa por centímetros e hizo que el perro del scripting se escondiera detrás del sofá), la primavera finalmente está aquí, y disfrutamos de una llovizna fresca antes que empiecen las lluvias más tibias del noroeste del Pacífico en el verano.
Mientras observamos la llovizna afuera, pensamos que es un buen momento para una pequeña aventura con nuestro scripting y mirar las aplicaciones HTML (HTA). Y cuando decimos aventura, vamos en serio. No vamos a hacer ninguna clase de introducción; supondremos que ya sabe lo que es un HTA y cómo crear uno. Si no lo sabe, deberá consultar el HTA Developers Center en el Script Center. En particular, consulte los dos artículos en la sección HTAs for Beginners. Una vez que lo haya hecho, estará al día y listo para regresar aquí.
En esta columna, le mostraremos cómo crear cuadros de diálogo. No sólo eso, le mostraremos cómo transferir información de aquí para allá entre el HTA principal y el cuadro de diálogo. Sí, el aire fresco de la primavera nos puso ambiciosos, ¿no? Disfrútelo mientras dura.
Como ya sabe, hay dos clases de cuadros de diálogo: modal y no modal. La diferencia es que cuando abre un cuadro de diálogo modal, no puede volver a la ventana principal desde la que lo abrió hasta que cierre el cuadro de diálogo. Cuándo abre un cuadro de diálogo no modal, se puede mover de aquí para allá entre ventanas. Sin embargo, si cierra la ventana principal, el cuadro de diálogo no modal también se cerrará.
La creación de un cuadro de diálogo modal funciona exactamente igual que la de un cuadro de diálogo no modal. La única diferencia es que crear un cuadro de diálogo modal llama a la función ShowModalDialog, y crear un cuadro de diálogo no modal llama a la función ShowModelessDialog. Ambas funciones aceptan los mismos parámetros. Comencemos con un HTA sencillo que abre un cuadro de diálogo modal (consulte la figura 1).
Figure 1 Cuadro de diálogo inicia sencillo (Close Figure 1)
<html>
<head>
<title>Modal Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”MainModal”>
</head>

<script language=”VBScript”>
Sub ShowDialog
 intReturn = _
    ShowModalDialog(“modaldialog.hta”)
 textbox.Value = intReturn
End Sub
</script>

<body>
<button onclick=”ShowDialog”>
 Show Dialog Box</button> <p>
<input type=”text” name=”textbox”>
</body>
</html>
Aquí creamos un HTA con el título Modal Example. En el área <body> de nuestro HTA, agregamos dos elementos: un botón con la etiqueta Show Dialog Box y un cuadro de texto denominado textbox, ambos se puede observar en la figura 2. Cuando hace clic en el botón, se ejecutará la subrutina ShowDialog.
Figura 2 Verdadero cuadro de diálogo modal HTA
Figura 2 Verdadero cuadro de diálogo modal HTA
La subrutina ShowDialog es bastante sencilla. Llamamos a la función ShowModalDialog y transferimos como parámetro el nombre del archivo HTA que queremos mostrar como cuadro de diálogo modal, en este caso modaldialog.hta (se supone que modaldialog.hta está en la misma carpeta que este HTA. Si no está, deberá incluir aquí la ruta de archivo completa).
Capturamos también un valor devuelto (intReturn) de ShowModalDialog. Mostramos este valor en el cuadro de texto. En un momento verá cómo obtenemos este valor devuelto. Una cosa importante a tener en cuenta es que la llamada a ShowModalDialog no retornará hasta que se cierre el cuadro de diálogo modal. Eso significa que el valor devuelto no se asignará al cuadro de texto hasta después de que se cierre el cuadro de diálogo.
Ahora observemos modaldialog.hta, el cuadro de diálogo que abre la llamada a HTA (consulte la figura 3). En este HTA, creamos dos elementos: un cuadro de lista denominado listbox y un botón con la etiqueta OK, tal como se muestra en la figura 4. Agregamos cuatro elementos al cuadro de lista con las etiquetas Option 1, Option 2 y demás, y asignamos los valores correspondientes (1 al 4) a cada uno de esos elementos. Cuando se hace clic en el botón OK, se ejecutará la subrutina CloseWindow.
Figure 3 modaldialog.hta (Close Figure 3)
<html>
<head>
<title>Modal Dialog Box</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModalDialog”>
</head>

<script language=”VBScript”>
Sub CloseWindow
  window.returnValue = listbox.Value
  window.Close
End Sub
</script>

<body>
<select size=”3” name=”listbox”>
 <option value=”1”>Option 1</option>
 <option value=”2”>Option 2</option>
 <option value=”3”>Option 3</option>
 <option value=”4”>Option 4</option>
</select>
<p>
<input type=”button” id=”idBtn” value=”OK” onclick=”CloseWindow”>
</body>
</html>
Figura 4 HTA que representa el cuadro de diálogo modal
Figura 4 HTA que representa el cuadro de diálogo modal
La subrutina CloseWindow es bastante sencilla. Lo primero que hacemos es leer el valor del elemento del cuadro de lista seleccionado y asignar ese valor a la propiedad window.returnValue. Por ejemplo, si el usuario eligió Option 2, el valor 2 se asignará a window.returnValue. A continuación, llamamos el método window.Close para cerrar el cuadro de diálogo.
En este momento, se devuelve el control al HTA principal. Recuerde nuestra llamada a ShowModalDialog:
intReturn = _
  ShowModalDialog(“modaldialog.hta”)
El valor devuelto asignado a intReturn es el valor que asignamos a window.returnValue en nuestro HTA de cuadro de diálogo. Entonces, si elegimos Option 2 en el cuadro de diálogo, que asigna el valor 2 a window.returnValue, intReturn será igual a 2 y la línea siguiente de código muestra ese valor en el cuadro de texto:
textbox.Value = intReturn
Ahora que hemos visto cómo obtener un valor de un cuadro de diálogo, veamos cómo obtendríamos un valor para el mismo. Esta vez usaremos un cuadro de diálogo no modal (consulte la figura 5). Pero recuerde, el trabajo modal y no modal es el mismo, de modo que este mismo proceso funcionará con un cuadro de diálogo modal.
Figure 5 Ir a no modal (Close Figure 5)
<html>
<head>
<title>Modeless Example</title>
<HTA:APPLICATION
  APPLICATIONNAME=”ModelessMain”>
</head>

<script language=”VBScript”>
Sub ShowDialog
  intReturn = _
    window.ShowModelessDialog _
    (“modelessdialog.hta”, _
    lstServers.Value, _
    “dialogHeight:400px;dialogWidth:300px”)
End Sub
</script>

<body>
<select size=”1” name=”lstServers”>
 <option value=”server1”>Server1</option>
 <option value=”server2”>Server2</option>
 <option value=”server3”>Server3</option>
 <option value=”server4”>Server4</option>
</select>
<p>
<input type=”button” value=”Retrieve Processes” onclick=”ShowDialog”>
</body>
</html>
Figura 7 Datos transferido al cuadro de diálogo no modal
Figura 7 Datos transferido al cuadro de diálogo no modal
Esta vez hemos creado un cuadro de lista desplegable denominado lstServers (puede ver que es desplegable porque el tamaño es igual a 1). También hay un botón con la etiqueta Retrieve Processes. Cuando se hace clic en el botón, se ejecutará la subrutina ShowDialog. La subrutina ShowDialog tiene sólo una línea, la llamada a la función window.ShowModelessDialog, tal como se muestra aquí:
intReturn = _
  window.ShowModelessDialog _
  (“modelessdialog.hta”, _
  lstServers.Value, _
  “dialogHeight:400px;dialogWidth:300px”)
El primer parámetro que transferimos a esta función es el nombre del HTA que queremos ejecutar en el cuadro de diálogo, en este caso modelessdialog.hta. El segundo parámetro es la propiedad Value de nuestro cuadro de lista. Recuerde, el propiedad Value contiene el valor de la opción seleccionada en el cuadro de lista. Entonces, si el usuario selecciona Server2 del cuadro de lista, el Valor sería server2. Este parámetro indica cómo transferimos información al cuadro de diálogo (si desea transferir múltiples valores, los podría pasar en este parámetro como una matriz o quizá una colección).
Veremos en un instante cómo recibe el cuadro de diálogo el valor en este parámetro. Pero primero, observe que agregamos un tercer parámetro:
“dialogHeight:400px;dialogWidth:300px”
Este parámetro contiene una cadena que especifica la altura y el ancho que queremos para nuestro cuadro de diálogo. En este caso, especificamos una altura de 400 píxeles (400px) y un ancho de 300 píxeles. Como vimos en nuestro ejemplo modal, podemos dejar en blanco este parámetro y el cuadro de diálogo se mostrará con el tamaño predeterminado para el equipo.
Ahora observemos modelessdialog.hta (en la figura 6) y veamos cómo lee el cuadro de diálogo el valor que le pasamos.
Figure 6 modelessdialog.hta (Close Figure 6)
<html>
<head>
<title>Modeless Dialog</title>
<HTA:APPLICATION
  APPLICATIONNAME=”Processes”>
</head>

<script language=”VBScript”>
Sub window_onLoad
  strComputer = window.dialogArguments
  Set objWMIService = GetObject(“winmgmts:” _
    & “{impersonationLevel=impersonate}!\\” _
    & strComputer & “\root\cimv2”)
  Set colProcesses = objWMIService.ExecQuery   _
    (“Select * from Win32_Process”)

  strHTML = “<h1>” & strComputer & “</h1><p>”
  For Each objProcess in colProcesses
    strHTML = strHTML & objProcess.Name & _
       “<br>”
  Next

  DataArea.InnerHTML = strHTML
End Sub
</script>

<body>
<span id=”DataArea”></span>
</body>
</html>
En este HTA, el único elemento que especificamos es un intervalo, que contiene el área completa del cuadro de diálogo. En nuestra sección de secuencia de comandos, definimos una subrutina window_onLoad. Esta subrutina se ejecutará en el momento en que se abra el HTA (en este caso, por la llamada a ShowModelessDialog). Observe la primera línea en esta subrutina:
strComputer = window.dialogArguments
Asignamos a la variable strComputer el contenido de la propiedad window.dialogArguments. ¿Y qué piensa que hay en esta propiedad? Como puede ver, también se está despertando con la primavera. Es cierto, es el valor transferido en el segundo parámetro de la llamada a ShowModelessDialog. Si se seleccionó Server2 en la ventana principal, ahora strComputer contiene el valor server2.
El resto de la subrutina recupera simplemente todos los procesos de strComputer y los muestra en el intervalo del área. Puede ver los resultados de esta operación en la figura 7.
Felizmente, ahora tiene el verano entero para jugar con los cuadros de diálogo de HTA. A menos que, por supuesto, viva en el hemisferio sur, en cuyo caso está llegando el invierno y quizás tenga alguna dificultad si termina con tantos apagones durante su invierno como los que nosotros tuvimos por aquí durante el nuestro.

Los chicos del scripting de Microsoft trabajan para (bueno, son empleados de) Microsoft. Cuando no juegan al béisbol, ni entrenan ni lo ven (u otras actividades varias), dirigen TechNet Script Center. Visite la página web www.scriptingguys.com.


 Preguntas y respuestas sobre Exchange: Tiempos de espera de OWA, soluci&#243;n de problemas de cmdlet y mucho m&#225;s
Preguntas y respuestas sobre Exchange
Tiempos de espera de OWA, solución de problemas de cmdlet y mucho más
KC Lemson and Nino Bilic

P Recientemente realizamos la migración de Exchange Server 2003 a Exchange Server 2007. Ahora recibimos mensajes que dicen que Outlook® Web Access (OWA) ha excedido el tiempo de espera para los usuarios restringidos que seleccionaron la opción "This is a private computer" al iniciar sesión en OWA 2007. ¿Cuál es el comando apropiado del Shell de administración de Exchange para comprobar el tiempo de espera en equipos privados?
R Retrocedamos un poco. Primero explicaré por qué hay una opción para equipos privados y otra para equipos públicos (consulte la figura 1) y le mostraré el diferente comportamiento de estas opciones. El objetivo es permitir que el usuario indique a Exchange el nivel de seguridad necesario; si inicia sesión en OWA desde un quiosco multimedia público de un aeropuerto, por ejemplo, o desde su equipo personal. El administrador de Exchange puede tratar esos tipos de sesión de forma distinta. Por ejemplo, el administrador puede hacer que el tiempo de espera de las sesiones autenticadas sea menor en los equipos públicos (por ejemplo, cuestión de minutos) que en los equipos privados (hasta un máximo de tres días). El administrador también puede configurar otros valores de manera diferente según la selección de usuario. Puede, por ejemplo, establecer que el acceso a las bibliotecas de documentos de SharePoint® y los recursos compartidos de archivos de Windows® sólo sea posible en el inicio de sesión privado. Por supuesto, esto depende de que el usuario especifique la opción correcta. Si los administradores no confían en que los usuarios marquen la opción adecuada, pueden darle a todas las opciones los mismos valores de tiempo de espera y otras opciones de configuración.
Figura 1 Los tipos de sesión de equipo público y privado permiten tener configuraciones de tiempo de espera y otras opciones de configuración diferentes.
Figura 1 Los tipos de sesión de equipo público y privado permiten tener configuraciones de tiempo de espera y otras opciones de configuración diferentes.
La opción en cuestión la trasladamos de Exchange 2003, cuando se introdujo la autenticación basada en formularios en OWA por primera vez. (Nota histórica: La primera implementación de la autenticación basada en formularios la diseñó, en parte, un excelente administrador de programas. No revelaré su identidad, pero diré que, más adelante, encontró la fama y la fortuna como autora de una columna bimestral para TechNet Magazine.)
En realidad, la configuración se almacena en el Registro, pero dado que Windows PowerShell™ cuenta con una interfaz para actualizar el Registro, puede configurar este valor con el Shell de administración de Exchange. En el ejemplo siguiente se establece el tiempo de espera en 1.440 minutos (un día) cuando los usuarios eligen la opción de equipo privado al iniciar sesión:
set-ItemProperty ‘HKLM:\SYSTEM\CurrentControlSet\Services\
MSExchangeOWA’ -name TrustedClientTimeout
-value 1440 -type dword
Por supuesto, dado que la configuración está en el Registro, puede actualizar la clave mediante regedit, si así lo desea:
#include <standard disclaimer about mucking
   with the registry.h>
#include <musing from author about when as a
   company we will ever be able to stop making
   that standard disclaimer about mucking with
   the registry.h>
De cualquier manera, tendrá que reiniciar IIS para asegurarse de que OWA adopte la nueva configuración. Debería poder hacer esto seleccionando Inicio | Ejecutar y, a continuación, ejecutando iisreset /noforce.

P Animamos a todos los trabajadores a que usen los clientes MAPI de Outlook completos para archivar todos los elementos necesarios que no sean urgentes en archivos de carpetas personales (.pst). Pero, después, los elementos archivados no están disponibles cuando los usuarios inician una sesión en Outlook Web Access desde sus casas. ¿Cómo podemos hacer que estos archivos .pst estén disponibles a través de la interfaz de OWA?
R Lo siento, pero OWA no admite el acceso a archivos .pst. OWA se creó desde cero como un cliente únicamente en línea. Hemos trabajado mucho para asegurarnos de que no dejamos rastros de datos personales en el equipo local. Esto incluye características como el mecanismo de cierre de sesión seguro que se incluyó por primera vez en Exchange 2003 y la Presentación de documentos WebReady en Exchange 2007, que garantiza que las copias en caché de datos adjuntos no se dejan en el disco duro. De modo que el acceso a archivos .pst desde OWA no encaja en nuestro objetivo de un cliente sólo en línea de fácil implementación.
Dicho eso, el uso de .pst en general es un escenario interesante que nos gustaría tratar. El otoño pasado conocimos a un cliente que tenía usuarios con capacidades de buzón de unos 200 MB y casi todos los usuarios tenían, como mínimo, un archivo .pst. Esta organización tenía una directiva que permitía eliminar y reemplazar equipos de usuario con el mínimo esfuerzo, por lo que todos los usuarios tenían que almacenar los archivos .pst en un recurso compartido de red. Ese recurso compartido de red, a su vez, tenía una copia de seguridad en un sistema central.
En primer lugar, el acceso a archivos .pst desde recursos de red compartidos presenta problemas conocidos. Al igual que OWA se diseñó desde el principio para ser un cliente sólo en línea, los archivos .pst se diseñaron originalmente para su almacenamiento local. Por muy buena que sea su red, es susceptible de latencia y otros problemas que pueden complicar el almacenamiento remoto de datos (a los que los usuarios también tengan que obtener acceso de manera simultánea).
En segundo lugar, esta organización tenía lo que llamaríamos una capacidad de buzón bastante pequeña (debo admitir que nosotros tenemos el lujo de un buzón corporativo de unos 2 GB) porque no quería tener todos esos datos en Exchange, ya que tendría que hacerse cargo de realizar copias de seguridad de todos los datos. Aún así, con los usuarios almacenando los datos en archivos .pst en un recurso compartido de red con copia de seguridad, los administradores no se ahorraban ningún trabajo. De hecho, probablemente se creaba más trabajo debido a varios de factores, por ejemplo: falta de almacenamiento de sesión única en varios archivos .pst; costos del departamento de soporte técnico relacionados con problemas de los archivos .pst (tal como contraseñas olvidadas e incongruencia general de la red); dificultad para limpiar los mensajes de los archivos .pst después de un virus; dificultad para encontrar los mensajes de los archivos .pst cuando surge un asunto legal; costo general de mantener un sistema de copia de seguridad diferente; etcétera.
Así que le recomendamos que tenga en cuenta todos los costos que implican sus decisiones de configuración. Es posible que los costos se vayan acumulando y que, al final, sea mejor optar por otra configuración.

P Tengo un problema con un comando del Shell de administración de Exchange. Simplemente no funciona. ¿A qué se puede deber?
R No podemos contestar a esa pregunta, pero sí podemos decirle que para obtener la mejor ayuda posible (dondequiera que esté buscando) debe usar el cmdlet integrado en Windows PowerShell llamado start-transcript para registrar los comandos que está probando y los resultados que obtiene. Esto le permite pegar los detalles exactos en un mensaje de correo electrónico, entrada de blog o pregunta de un foro.
Abra una sesión del Shell de administración de Exchange y escriba start-transcript, tal como se muestra en la figura 2. El Shell de administración de Exchange empezará automáticamente a registrar todos los comandos futuros en un archivo de texto como el que se muestra en la figura 3 (no se preocupe, la aplicación le indicará la ubicación del archivo de texto). Para detener el registro, simplemente escriba stop-transcript.
Figura 2 Use el cmdlet start-transcript para registrar los comandos usados y sus resultados
Figura 2 Use el cmdlet start-transcript para registrar los comandos usados y sus resultados
Figura 3 Windows PowerShell guarda una trascripción de los comandos usados y la almacena en un archivo .txt
Figura 3 Windows PowerShell guarda una trascripción de los comandos usados y la almacena en un archivo .txt
La lista completa de los comandos usados y sus resultados es de gran ayuda para cualquiera que vaya a solucionar el problema. No obstante, antes de compartir el registro con alguien que no conozca o de quien no se fíe, compruebe que no tiene datos confidenciales.

P Veo que la configuración de Exchange 2007 crea una unidad organizativa (OU) nueva en el dominio raíz. Se llama Grupos de seguridad de Microsoft Exchange y tiene cinco grupos de seguridad de Exchange 2007 nuevos. ¿Estos grupos se pueden trasladar a una unidad organizativa diferente? ¿Y a un dominio diferente?
R Esta pregunta se refiere a los cinco grupos de seguridad universales (USG) que se crean en el dominio raíz durante la fase de preparación de Active Directory. Los grupos en cuestión son:
  • Administradores de organización de Exchange
  • Administradores de destinatarios de Exchange
  • Administradores de sólo visualización de Exchange
  • Servidores de Exchange
  • ExchangeLegacyInterop
En Exchange 2000 y Exchange 2003, se limitó la capacidad de mover los grupos de seguridad predeterminados (servidores de dominio de Exchange y servidores empresariales de Exchange). Más claramente, se podían mover, pero este proceso estropearía otros aspectos. (Consulte el sitio support.microsoft.com/kb/260914 para obtener más detalles acerca de este problema.) Así que era una opción muy limitada en realidad.
En Exchange 2007, las cosas son diferentes. Se pueden mover los cinco grupos predeterminados. Se pueden mover a una unidad organizativa diferente dentro del mismo dominio o a un dominio diferente.
Si, por alguna razón, "pierde" estos cinco grupos y no sabe dónde los colocó (unidad organizativa o dominio), siempre puede comprobar el valor del atributo otherWellKnownObjects en el contenedor siguiente:
CN=MicrosoftExchange,CN=Services,
CN=Configuration,DC=<DomainName>,DC=com
Cuando se mueven los grupos, su ubicación se actualiza en este atributo, de manera que siempre puede averiguar dónde se encuentran. ¡Fantástico!

P Encontré un grupo de seguridad global llamado "Servidores de dominio de instalación de Exchange" en mi dominio. ¿Para qué sirve?
R Sin duda, está examinando Active Directory® a fondo. De hecho, habrá un grupo llamado Servidores de dominio de instalación de Exchange en todos los dominios que tengan servidores de Exchange 2007 instalado. Este grupo se crea en la unidad organizativa de objetos de sistema de Microsoft Exchange (MESO). Si examina este grupo, verá que es miembro del grupo de servidores Exchange del dominio raíz, que es un grupo de seguridad universal.
En resumen, Servidores de dominio de instalación de Exchange es un grupo que se usa para arreglar de forma provisional los posibles ciclos de replicación largos de Active Directory si se ejecuta la instalación de Exchange 2007 en uno de los dominios secundarios. Por ejemplo, supongamos que tiene un dominio raíz llamado Root, un dominio secundario llamado Child y un dominio secundario de Child llamado Grandchild. (Lo sabemos, el esquema de denominación es genial. ¿cree que puede adivinar nuestras contraseñas?)
Para empezar a configurar Exchange 2007 en esta organización, primero debe ampliar el esquema y preparar el dominio raíz. Esto crea los cinco grupos de seguridad universales originales que comentamos en la respuesta anterior.
Ahora, por ejemplo, tiene que ejecutar la instalación en el dominio Grandchild. Para poder iniciar los servicios de Exchange 2007 en el dominio local, la instalación coloca una cuenta de equipo del equipo de Exchange 2007 en el grupo Servidores Exchange desde el dominio Root. Ahora se encuentra en el dominio Grandchild, por lo que la pertenencia al grupo Servidores Exchange puede tardar en replicarse.
Servidores Exchange es un grupo universal y su pertenencia se replica en todo el bosque. Dada la potencial latencia de replicación, es posible que la instalación en el dominio Grandchild no inicie los servicios, ya que los permisos no estaban replicados al realizar la instalación. Por eso, la primera vez que se instala un servidor de Exchange 2007 en un dominio, se creará el grupo Servidores de dominio de instalación de Exchange en el dominio local.
La cuenta del equipo de Exchange se colocará como un miembro de ese grupo durante la instalación. Una pertenencia a este grupo proporciona a los servicios los permisos suficientes para iniciarse al final de la instalación, aunque la pertenencia al grupo Servidores Exchange todavía no se haya replicado desde el dominio raíz. Tenga en cuenta que esa replicación local del dominio es, por lo general, más rápida que la replicación entre dominios.

P La documentación de Exchange 2007 dice que debo ejecutar la instalación con el conmutador /PrepareLegacyExchangePermissions, incluso antes de ampliar mi esquema para Exchange 2007. ¿Por qué? (Por cierto, ¿podrían haber asignado un nombre más largo para este conmutador?)
R Nos alegra saber que lee la documentación antes de ejecutar la instalación. ¿Qué le parece?
/PrepareLegacyExchangePermissions (o /pl, abreviado) es un conmutador que, en tantas palabras, otorga a los servicios de actualización de destinatarios (RUS) de Exchange 2000 y Exchange 2003 los permisos para escribir en los conjuntos de propiedades de información personal e información de Exchange. Durante el proceso de ampliación del esquema de Exchange 2007, se mueven varios atributos (como las direcciones proxy) del conjunto de propiedades de información pública de Active Directory al conjunto de propiedades de información de Exchange. De forma predeterminada, los servicios RUS de Exchange 2000 y Exchange 2003 no tienen los derechos necesarios para escribir en el conjunto de propiedades de información de Exchange. En la vida real, esto significa que si ejecuta primero la ampliación del esquema de Exchange 2007, interrumpirá los servicios RUS de Exchange 2000 y Exchange 2003, pues no podrán registrar los destinatarios nuevos. (Si desea obtener más información acerca de esos conjuntos de propiedades, visite nuestro blog en msexchangeteam.com.)
Por lo tanto, es muy importante que ejecute el conmutador /pl antes de ampliar el esquema de Exchange 2007. También debe asegurarse de que este cambio se replica en todos los dominios con destinatarios de Exchange 2000 o Exchange 2003 (existen servicios RUS para esos dominios). Si, más adelante, se agregan dominios nuevos al bosque y necesita colocar los servicios RUS de Exchange 2000 o Exchange 2003 en ellos, deberá ejecutar el conmutador /pl en esos dominios también.
Cuando ejecute un conmutador /pl por primera vez, le resultará mucho más sencillo si lo ejecuta con una cuenta que tenga derechos de administrador de la organización. A continuación, la instalación desde el dominio raíz identificará los dominios que necesitan la ejecución de /pl y ejecutará este conmutador en todos esos dominios. Si no usa una cuenta de administrador de la organización, deberá ejecutar el conmutador /pl con un administrador de dominio para cada dominio por separado. Afortunadamente, la documentación de Exchange 2007 presenta todos los requisitos de permisos.
Por último, nos preguntó si podríamos haber hecho este conmutador más largo. Intente decir /PrepareLegacyExchangePermissions tres veces muy rápido:
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
PrepareLegacyExchangePermissions
En un principio, pensamos en usar /PrepareLegacyExchangePermissionsWOWThisIsaReallyLongname, pero al final optamos por /PrepareLegacyExchangePermissions, más corto y más sencillo.
Bueno, eso es un invento; pero siempre puede usar /pl, que es mucho más corto. ¡Le juramos que esta forma es de verdad!

KC Lemson es la administradora de experiencias del usuario para Exchange Server. En su tiempo libre, espera la llegada de mensajes de correo electrónico que le indiquen dónde debe invertir los ahorros para la universidad de sus hijos
Nino Bilicun jefe técnico de Exchange Server, ocupa su tiempo calculando el número de juegos de Halo que puede superar durante una jornada de trabajo típica.


 Vigilancia de seguridad: Protecci&#243;n de acceso a redes
Vigilancia de seguridad
Protección de acceso a redes
John Morello
La información preliminar de esta columna acerca de Windows Server “Longhorn” está sujeta a cambios.

Una de las mayores amenazas a la seguridad que enfrentan hoy las organizaciones de todo tamaño son los dispositivos invasores detrás del perímetro de red. Independientemente de la manera en que una organización se pueda proteger contra las amenazas externas de Internet, la seguridad puede estar en riesgo por la presencia de un empleado bien intencionado que involuntariamente se vuelve un vector
de transmisión de código malintencionado por acción de un gusano o troyano. En ningún lugar esto es más cierto que en los entornos de TI de pequeñas y medianas organizaciones, donde el equipo portátil personal y de negocios de los empleados puede ser el mismo, y donde las tecnologías de control de acceso a redes son demasiado costosas y difíciles de implementar. Sin embargo, es habitual que precisamente estas organizaciones paguen altos costos por inactividad, por lo cual es de vital importancia protegerlas contra estas amenazas.
La tecnología de protección de acceso a redes (NAP) de Microsoft permite que organizaciones de todo tamaño comprueben de manera proactiva el buen estado de los equipos cuando se unen a la red y garanticen constantemente que permanezcan en buen estado durante todo el tiempo que se encuentran conectados. NAP ofrece una arquitectura flexible y basada en directivas para que las organizaciones se protejan a sí mismas de equipos con incumplimiento, colocados en forma intencional o involuntaria en sus redes por empleados, proveedores y visitantes. NAP se construye sobre cuatro pilares básicos: validación de directivas, aislamiento, corrección y cumplimiento continuo.

Descripción general de NAP
El primer servicio central que ofrece NAP es la validación de directivas. La validación de directivas es el proceso en que NAP evalúa un sistema comparándolo con un conjunto de reglas definidas por el administrador y clasifica el estado del sistema.
Los administradores de TI especifican un conjunto de elementos de directiva que NAP usa para la comparación cuando los equipos intentan conectarse a la red. Los equipos que coinciden con los elementos de directiva se consideran en buen estado, mientras que aquellos que no superan una o más comprobaciones (según lo especificado por el administrador) se consideran en mal estado. Estas directivas pueden buscar cosas tales como la presencia de software antivirus y antispyware, si el firewall de un host está activo y si al equipo le falta alguna actualización de seguridad. Además, dado que NAP se crea para ser extensible, los proveedores de software independientes pueden crear sus propios complementos para NAP que permiten realizar comprobaciones específicas para aplicaciones.
Otro servicio central que ofrece NAP es la restricción de conectividad de red. En función de las directivas definidas por el administrador, NAP puede colocar a los equipos en distintos estados de conectividad de red. Por ejemplo, si un equipo se considera en mal estado porque le faltan actualizaciones de seguridad críticas, NAP puede colocarlo en una red de cuarentena, donde se lo puede aislar del resto del entorno hasta que vuelva a un buen estado. Sin NAP, el cliente en mal estado tendría libre acceso a la red de la organización. Si algún código mal intencionado pudiera poner en riesgo el equipo a través de los huecos que las actualizaciones que faltan, podría intentar activamente propagar su infección al resto de la red. En la figura 1 se ofrece una idea general de la arquitectura.
Figura 1 Arquitectura general de NAP
Figura 1 Arquitectura general de NAP
Sin embargo, restringir simplemente la conectividad, no es una manera eficiente de administrar equipos en mal estado (después de todo, sus usuarios todavía tienen que trabajar). De modo que NAP ofrece también servicios de corrección en los que los equipos en mal estado y en cuarentena pueden corregir sus problemas sin intervención del administrador. En el ejemplo anterior, la red restringida sólo permite que el equipo en mal estado tenga acceso a recursos de red específicos que se necesitan para instalar las actualizaciones que faltan, como el equipo Windows Server® Update Services (WSUS) de la organización. En otras palabras, con NAP en su lugar, el equipo en mal estado sólo puede tener acceso a aquellos recursos que le permiten recuperar el buen estado; no puede enviar tráfico al resto de la red hasta no ser reparado.
El último pilar de NAP es el cumplimiento continuo, en que estas directivas de estado se implantan durante todo el tiempo que el equipo está conectado a la red, no sólo en la conexión inicial. En nuestro ejemplo, observe lo que sucede después de que el equipo se actualiza y pasa a buen estado (y se le concede así acceso sin restricciones a la red). Si posteriormente ese equipo cae del cumplimiento, por ejemplo porque se deshabilita el firewall de Windows, NAP automáticamente volverá a poner en cuarentena ese equipo. NAP también permite que los administradores configuren la autocorrección, por la cual el estado de incumplimiento se corrige automáticamente sin intervención adicional del usuario, aún mucho tiempo después de que se complete la conexión de red inicial.
NAP puede usar varias técnicas diferentes para controlar el acceso a redes. Para las organizaciones que disponen de conmutadores de red administrados, se puede usar 802.1X para proporcionar control de acceso basado en puertos en la capa de hardware de red. NAP ofrece también la capacidad de usar cumplimiento basado en IPsec, donde se crean redes seguras a través de asociaciones de IPsec dispuestas por capas sobre redes físicas. Con cumplimiento basado en IPsec, NAP controla el acceso a la zona de seguridad al crear y eliminar dinámicamente certificados usados por el motor IPsec. Por último, NAP puede proporcionar cumplimiento basado en DHCP. En este caso, el servidor DHCP ofrece a los clientes en mal estado concesiones IP de grupos restringidos. Estas concesiones usan sufijos DNS y rutas IP independientes para controlar los recursos a los que puede tener acceso un cliente restringido.
El componente del servidor NAP se incorpora en la siguiente versión de Windows con nombre en código "Longhorn", en concreto en el nuevo servidor de directivas de redes (NPS), el sucesor enormemente mejorado del servicio de autenticación de Internet. Para las organizaciones que usan cumplimiento basado en 802.1X, el hardware de red debe ser compatible con autenticación 802.1X y capacidades VLAN dinámicas (el sitio de asociados de NAP en la barra lateral "Recursos NAP" ofrece más detalles sobre fabricantes de hardware específico). Para cumplimiento basado en DHCP, se requiere un servicio DHCP habilitado para NAP, como el que tiene Windows Server "Longhorn". En el cliente, la compatibilidad con NAP viene integrada con Windows Vista™. La compatibilidad con NAP también estará disponible como un complemento en Windows® XP, junto con un nuevo suplicante 802.1X que habilitará el cumplimiento de 802.1X en Windows XP.
Además, NAP se integra en el centro de seguridad de Windows, así como en agentes de estado de terceros, para informar el estado. A causa de esto, NAP puede realizar decisiones de validación de directivas basado en cualquiera de los datos expuestos a través del centro de seguridad.
NAP es una solución muy competente para la administración de directivas en el nivel empresarial, de modo que no se pueden tratar en un solo artículo todas las características y estrategias de implementación. De esta forma, este artículo se centra en implementaciones para pequeñas y medianas organizaciones donde el tiempo del personal de TI ya está escasamente repartido y donde se puede mejorar una implementación de NAP para ofrecer un rápido retorno de la inversión que se requiere para la implementación. Sin embargo, muchas de las lecciones y la orientación general se aplican igualmente a cualquier diseño de NAP en organizaciones de todo tamaño. Observe, no obstante, que mi tutorial de ejemplo no está diseñado para ser una guía paso a paso de instalación, sino una introducción general a las principales áreas de enfoque de una implementación correcta de NAP basado en DHCP. Consulte la barra lateral "Recursos NAP" para obtener un vínculo a una guía de instalación más detallada.

Conjunto de problemas de Contoso
Para ver con detenimiento cómo se puede aplicar NAP a las necesidades exclusivas de pequeñas y medianas organizaciones, usemos Contoso Inc. como ejemplo. Contoso es una organización mediana ficticia con 250 equipos repartidos en tres oficinas principales. Tiene trabajadores con mucha movilidad, con muchos usuarios que trabajan a distancia o que se conectan a la oficina principal desde ubicaciones remotas de los clientes. Como resultado, casi la mitad del total de sus equipos son portátiles y Tablet PC. Al igual que muchas organizaciones, Contoso enfrenta los crecientes desafíos de seguridad a medida que el personal se vuelve más móvil. Algunos usuarios con equipos móviles estuvieron expuestos a código mal intencionado de sitios de los clientes u oficinas de casa y traen equipos infectados a la red interna de Contoso.
Contoso también se esfuerza por garantizar que estos equipos remotos se mantengan actualizados. Con frecuencia, los usuarios trabajan desde ubicaciones del cliente durante períodos prolongados antes de volver a una oficina de Contoso. En estas situaciones, los equipos de que disponen tienen a menudo meses de atraso en las actualizaciones de seguridad, lo cual aumenta el riesgo total para el resto de los equipos en la red de Contoso. Contoso necesita una solución que pueda garantizar que todos los equipos conectados a la red, sea en forma remota o local, sean seguros y se encuentren en buen estado.
¿De qué manera puede NAP colaborar para que Contoso logre sus objetivos? Recuerde los pilares principales de NAP. A través de validación de directivas, NAP puede comprobar el estado de todos los equipos que se conectan a la red del Contoso. La validación de directivas puede determinar si un equipo recibe oportunamente las firmas de antivirus y si está totalmente al día con todas las actualizaciones de seguridad. Cuando las rutinas de validación de directivas de NAP determinan que un equipo está en mal estado, NAP puede restringir la conectividad de red de los hosts en mal estado. Esto garantiza que un equipo que se usó externamente y contrajo código mal intencionado no propague el problema a otras partes de la red. NAP restringirá la conectividad del equipo en mal estado para que sólo tenga acceso a los recursos de corrección definidos por el administrador de TI de Contoso. Por ejemplo, el equipo en mal estado tendrá acceso al servidor WSUS de Contoso y al servidor que aloja las firmas de antivirus. Finalmente, NAP puede asegurar que después de que el equipo recobre el buen estado, se mantenga de manera continua en ese estado. En el ejemplo que mostré aquí, si un trabajador a distancia usó el host en mal estado a través de la VPN y el usuario desactivó el firewall del host, NAP corregirá automáticamente el problema. Tan pronto como se deshabilite el firewall, la infraestructura de NAP pondrá en cuarentena el equipo, volverá a habilitar el firewall, reevaluará el estado del equipo y, después de determinar el buen estado, devolverá el equipo a la red sin restricciones. Los cuatro pilares de NAP se aplican directamente a necesidades clave de seguridad del entorno informático móvil y dinámico de Contoso.

Diseño de NAP
Para muchas pequeñas y medianas organizaciones, el cumplimiento basado en DHCP para NAP es la opción de implementación más rápida y sencilla. Esto se debe a que el cumplimiento DHCP no requiere cambios adicionales de red ni servicios adicionales aparte de DHCP y NPS. Mientras que las opciones de cumplimiento de IPsec y 802.1X son más flexibles, requieren también cambios adicionales en la red y nuevos servicios a implementar. Para entornos menos complejos, el uso de DHCP ofrece las principales ventajas de NAP a un costo mucho más bajo de implementación y un compromiso menor de continuidad operativa.
En el entorno de Contoso, se usa un equipo que ejecuta Windows Server "Longhorn" como núcleo de la implementación de NAP. Debido a que NAP requiere NPS de Windows Server "Longhorn", no se puede implementar con versiones anteriores de Windows Server. El cumplimiento basado en DHCP para NAP también necesita un servidor DHCP de Windows Server "Longhorn". Para consolidar los servicios, Contoso puede implementar tanto NPS como DHCP en el mismo servidor; coexisten sin problemas. De esta manera, la infraestructura básica de servidor NAP para Contoso es bastante sencilla: un solo equipo con Windows Server "Longhorn" ejecuta tanto los componentes de directivas como los de cumplimiento.
En el cliente, los equipos de Contoso que ejecutan Windows Vista cuentan con las capacidades necesarias para ser compatibles con NAP. El único cambio necesario en el cliente en los equipos que ejecutan Windows Vista es habilitar la funcionalidad de NAP, lo que se puede conseguir a través de directivas de grupo. En los equipos de Contoso que ejecutan Windows XP, se debe instalar por separado un paquete de cliente NAP. De forma predeterminada, los equipos unidos al dominio y que ejecutan Windows XP tienen deshabilitada la funcionalidad del centro de seguridad de Windows. Si la directiva de NAP usa información de estado del centro de seguridad para evaluar el estado del equipo, se debe ejecutar el centro de seguridad para que NAP funcione correctamente. De esta manera, en los equipos de Contoso que ejecutan Windows XP, los administradores habilitaron el centro de seguridad con directivas de grupo. Aparte de estos cambios, no se necesita nada más en el cliente para que sea compatible con NAP.

Implementación de NAP en Contoso
Después de que Contoso realizó los cambios necesarios de directivas de grupo a los que anteriormente se hizo referencia, el paso siguiente en la implementación de NAP es la instalación de Windows Server "Longhorn". Todas las versiones de Windows "Longhorn" incluyen los componentes necesarios de NAP, de modo que Contoso puede usar cualquier edición que mejor se adapte a sus necesidades. Una vez finalizada la instalación, el administrador de TI usa la herramienta Administrador de servidores para agregar nuevas funciones al equipo. Para el cumplimiento basado en DHCP que usa Contoso las funciones que se necesitan son los Servicios de acceso a redes y Servidor DHCP. El Asistente para agregar funciones ayudará al administrador en el control de cualquier dependencia y la inclusión de cualquier característica adicional que se pueda desear en el servidor. Una vez que se agregan las funciones, Contoso está listo para comenzar a configurar NAP.
El administrador de Contoso usará la herramienta Administrador de servidores para obtener acceso al complemento DHCP para Microsoft Management Console (MMC) y agregar un nuevo ámbito. La configuración del servidor DHCP de Windows Server "Longhorn" hará que se reemplacen todos los servicios DHCP existentes en los segmentos IP que atiende. Una vez que se crea el ámbito y se llena con las opciones correctas, basadas en la red de Contoso, se debe habilitar NAP en el mismo. Esto se hace en la ficha Protección de acceso a redes en las propiedades del ámbito (consulte la figura 2).
Figura 2 Habilitación de NAP
Figura 2 Habilitación de NAP
NAP intercambia equipos entre acceso a redes restringido o sin restricción dentro del mismo ámbito mediante una nueva opción de ámbito de clase de usuario de NAP. Este conjunto especial de opciones de ámbito (incluidos los servidores DNS, el sufijo DNS predeterminado, etc.) se usa cuando se ofrecen concesiones a clientes en mal estado. Por ejemplo, mientras que a clientes en buen estado se les ofrecerá un sufijo DNS predeterminado "contoso.com", a clientes en mal estado se les dará un sufijo "restringido.contoso.com", tal como se muestra en la figura 3. Una vez que se configuran las opciones de ámbito DHCP, se puede configurar el servidor de directivas de redes y crear las reglas.
Figura 3 Acceso restringido
Figura 3 Acceso restringido
La directiva de NPS está compuesta por cuatro componentes principales. Validadores de estado del sistema (SHV) que definen qué comprobaciones se realizan para evaluar el estado de un equipo. Grupos de servidores de actualizaciones que contienen la lista de sistemas a los que los equipos en mal estado tienen permitido el acceso para pasar a buen estado (por ejemplo, WSUS). El componente de plantilla de validador de estado del sistema se usa para definir los estados actuales. Por ejemplo, Contoso podría decir que un equipo "compatible" es uno que supera la Seguridad de Windows SHV, pero permite que el cliente no supere otra comprobación de SHV que proporciona el proveedor del antivirus. Por último estos componentes se combinan en un conjunto de directivas de red, que contiene la lógica que determina lo que le sucede a los equipos según su estado.
Los validadores de estado del sistema son listas de elementos que el agente NAP comprueba e informa su estado al NPS. Una implementación predeterminada de NAP incluye Windows SHV, que se conecta con el centro de seguridad de Windows y permite que NAP compruebe el estado de todos los componentes de seguridad informados por el centro de seguridad. Se incluye firewall, antivirus, actualizaciones automáticas y componentes antispyware.
Recuerde que NAP está diseñado para ser extensible y permitir que terceros creen sus propios SHV para proporcionar comprobaciones más detalladas de componentes individuales (consulte microsoft.com/windowsserver2003/partners/nappartners.mspx para obtener más información). Por ejemplo, la Seguridad de Windows SHV permite que NAP compruebe si el antivirus está o no habilitado y actualizado. Sin embargo, la Seguridad de Windows SHV no puede realizar comprobaciones más detalladas de la aplicación antivirus, como por ejemplo, la frecuencia con la que se analiza el equipo u otras opciones específicas de la aplicación. No obstante, el proveedor del antivirus podría crear su propio SHV que se conecte con mayor profundidad a la aplicación y exponga comprobaciones más específicas que las predeterminadas en Windows SHV. Este SHV funcionaría en concierto con Windows SHV y cualquier otro SHV que pueda existir; una implementación de NAP puede tener varios SHV simultáneamente en uso (consulte la figura 4).
Figura 4 Seguridad de Windows SHV
Figura 4 Seguridad de Windows SHV
Los grupos del servidor de actualizaciones se usan para especificar a qué recursos puede tener acceso un equipo en mal estado. Estos grupos incluyen a menudo recursos tales como servidores WSUS o Systems Management Server (SMS), así como servidores de actualización de antivirus. Es crítico incluir no sólo los servidores en sí, sino también los servidores de resolución de nombres que los clientes usan para buscarlos. Debido a que los clientes de Contoso se configuran a través de directivas de grupo, para usar el servidor llamado wsus.contoso.com para actualizaciones automáticas, el grupo de servidores de actualizaciones debe incluir no sólo la dirección IP del servidor WSUS, sino también la del servidor DNS que los clientes usan para convertir el nombre de dominio completo (FQDN) en una dirección IP numérica. Si no se permite el acceso a estos recursos de resolución de nombres (que pueden ser tanto DNS como WINS, según cómo se configuren los clientes), éstos no podrán resolver las direcciones IP de los recursos de corrección y por tanto, no podrán tener acceso a los mismos. En la figura 5 se muestran los valores de DNS e IP del ejemplo.
Figura 5 Nombres DNS y direcciones IP
Figura 5 Nombres DNS y direcciones IP
Las plantillas de validador de estado del sistema se usan para definir qué constituye un equipo en buen estado. Las plantillas de validador toman los resultados de las comprobaciones de SHV e indican si un equipo está en buen estado o mal estado en función de si superan una o más de estas comprobaciones (consulte la figura 6).
Figura 6 Comprobaciones de cumplimiento
Figura 6 Comprobaciones de cumplimiento
En el entorno de Contoso (al igual que en el de muchas pequeñas y medianas implementaciones), se definen sólo dos estados. Un equipo en buen estado es uno que supera todas las comprobaciones de SHV. Un equipo que no cumple es uno que no supera una o más de estas comprobaciones. Las organizaciones tienen la opción de implementar una lógica más compleja si fuera necesario (por ejemplo, crear diferentes estándares de cumplimiento para usuarios según la función, el departamento, la geografía, etc.), pero se debe tener en cuenta que al hacerlo, la identificación y solución de problemas serán potencialmente más dificultosas y demandará mayor tiempo.
Todos estos componentes se reúnen con directivas de red. Los administradores definen las directivas de red e instruyen al NPS sobre cómo tratar a los equipos en función de su estado. Estas directivas se evalúan de arriba abajo (tal como se muestra en la IU de NPS) y el procesamiento se detiene una vez que coincide una regla de directiva.
Nuevamente, el objetivo en la red de Contoso es la sencillez, de modo que se necesitan sólo unas pocas directivas. Primero está la directiva Cumplimiento-Acceso total. Esta directiva indica que a los equipos que superan todas las comprobaciones de SHV se les conceden acceso sin restricción a redes. Específicamente, cuando se evalúa el estado de un equipo, y éste supera todas las comprobaciones, NPS instruirá al servidor DHCP para que ofrezca al equipo una concesión de IP con opciones de ámbito "normales”. Esta directiva Cumplimiento-AccesoTotal normalmente aparece primero en el orden de procesamiento, ya que la mayoría de los equipos deberán ser compatibles cuando se comprueban. Al incluir primero esta directiva, se reduce la carga de procesamiento y el tiempo en el NPS.
La siguiente directiva a usar es No-cumplimiento-Restringido. En el entorno de Contoso, cualquier equipo que no supere una o más comprobaciones de SHV (coincidiendo así con la plantilla de validación de estado de sistemas que no cumplen) corresponde con esta directiva. Cuando se coincide con esta directiva, NPS instruye al servidor DHCP para que ofrezca al cliente una concesión IP con opciones especiales de ámbito de NAP "restringidas". Esto permite que los equipos que no cumplen tengan acceso sólo a aquellos recursos definidos en el grupo de servidores de actualizaciones de Contoso.
La tercera directiva se usa para compatibilidad con versiones anteriores. Recuerde que, de forma predeterminada, la compatibilidad con NAP está disponible para sistemas operativos Windows XP y posteriores (aunque fabricantes de software independientes pueden desarrollar clientes NAP para versiones anteriores de Windows y sistemas operativos que no sean Windows). Si Contoso tiene aún Windows 2000 en producción, puede crear una regla (NivelInferior-AccesoTotal en nuestro ejemplo) que permite conceder acceso normal a la red a equipos que no conocen NAP (el servidor DHCP otorga opciones de ámbito predeterminadas). Esta directiva se deberá evaluar al final y sólo se debe crear y habilitar cuando equipos de nivel inferior necesiten tener acceso a redes (consulte la figura 7).
Figura 7 Configuración de acceso para equipos de nivel inferior
Figura 7 Configuración de acceso para equipos de nivel inferior
¿Qué sucede si Contoso tiene recursos en la red que no son y nunca serán compatibles con NAP, como por ejemplo, impresoras u otro hardware? ¿Aún más, qué sucede si Contoso tiene equipos que son compatibles con NAP pero desea exceptuarlos de comprobaciones de directiva, ya sea en forma permanente o temporal? Una manera fácil de exceptuar estos equipos es por dirección MAC. Para ofrecer a estos equipos una omisión para evitar comprobaciones de NAP, los administradores de Contoso pueden crear una nueva directiva (Exceptuar por MAC) que conceda acceso completo a la red. Esta directiva usa una instrucción condicional donde la propiedad del cliente RADIUS Calling Station ID coincide con la dirección MAC de aquellos dispositivos que necesitan una omisión de NAP. Cuando un equipo coincide con esta instrucción de la directiva, NPS instruirá al servidor DHCP para que ofrezca una concesión con opciones de ámbito "normales”. Esta directiva se debe incluir primero en el orden de evaluación para reducir el tiempo general de procesamiento y la carga en el NPS. Los equipos que coinciden con esta directiva no necesitan ninguna evaluación de SHV, de modo que no tiene sentido dedicar ciclos en el NPS para comprobarlos (consulte la figura 8).
Figura 8 Omisión de ciertos equipos
Figura 8 Omisión de ciertos equipos
Cuando se combinan, estas directivas ayudan a garantizar que el NPS de Contoso evalúe en forma rápida y exacta los equipos que se conectan a la red. También ofrecen excepciones cuando son necesarias en equipos y dispositivos de nivel inferior o por momentos cuando se necesita una omisión temporal para dispositivos compatibles con NAP.

Conclusión
NAP abarca un amplio conjunto de tecnologías y, especialmente en escenarios más complejos, necesita planeamiento y pruebas exhaustivos. Aunque me centré en un escenario menos complejo, el sitio web de NAP incluye orientación más detallada para implementaciones de todos los tamaños. El sitio web incluye también asistencia en el planeamiento de tecnologías de cumplimiento basadas en IPsec y 802.1X, que a menudo se ajustan mejor en las empresas que el cumplimiento basado en DHCP.
NAP ofrece una plataforma apta y extensible para evaluar el estado de los equipos que se conectan a una red. Para pequeñas y medianas organizaciones, el cumplimiento basado en DHCP puede ofrecer muchos beneficios con costos bajos de implementación y administración. NAP es una ventaja clave de Windows Server "Longhorn" y puede ayudar a que la organización mejore la seguridad y el cumplimiento.
Recursos NAP
  • Protección de acceso a redes
  • Configuración del cumplimiento de protocolo de configuración dinámica de host para protección de acceso a redes en un laboratorio de pruebas
  • Asociados de protección de acceso a redes
  • Artículo Webcast "Introducción a protección de acceso de red"

John Morello trabajó durante seis años con Microsoft en varias funciones. Como consultor jefe, ha diseñado soluciones de seguridad para empresas pertenecientes a Fortune 100 y para clientes de defensa, civiles y federales. En la actualidad, es administrador jefe de programas en el grupo de Windows Server que trabaja en tecnologías de acceso remoto desde cualquier lugar.


 Archivos del escritorio: Nueva visita a los Servicios de implementaci&#243;n de Windows
Archivos del escritorio
Nueva visita a los Servicios de implementación de Windows
Wes Miller

He dedicado varios de mis artículos recientes a las tecnologías de implementación relacionadas con Windows Vista y la próxima versión de Windows Server, con nombre en código "Longhorn". La única constante en el software es el cambio, de modo que tengo una pequeña actualización para los lectores relativa a los Servicios de implementación de Windows (WDS), que se incluirán en
Windows Server® "Longhorn". También acumulé bastantes preguntas de los lectores y de las discusiones en que participé en los últimos meses, y dedicaré una parte de este artículo a contestar algunas de esas preguntas relacionadas con ImageX, WDS y Windows® PE.

Características nuevas y mejoras
En un principio, cuando WDS se ideó, se esperaba que la funcionalidad que se incluiría como complemento en Windows Server 2003 sería casi idéntica a la de la versión incluida más tarde en Windows Server "Longhorn". Sin embargo, el equipo que desarrolla WDS para Windows Server "Longhorn" trabajó diligentemente sobre tres nuevas características clave que se prevé que serán exclusivas de WDS en la próxima plataforma de servidor.
Estas nuevas características son la implementación de multidifusión, el rendimiento mejorado de descargas TFTP y la compatibilidad de la interfaz extensible de firmware (EFI) con inicio en red para sistemas x64. Estas características son significativas y muy beneficiosas para usuarios de WDS y administradores, así que examinemos a cada una para ver las novedades. Una nota importante, no obstante: no está programado incluir estas características en ninguna versión futura de WDS para Windows Server 2003.

Multidifusión
Mucho antes que comenzara a trabajar en el equipo de Windows, la multidifusión era una de las características más analizada y solicitada para los servicios de instalación remota (RIS), e incluso para la implementación de Windows en general. Los clientes que habían usado tecnologías de implementación de terceros sabían lo que la implementación con multidifusión podía hacer. En Microsoft, unas pocas tecnologías de implementación para escenarios específicos, y Servicios automatizados de implementación (ADS) en concreto, implementaron multidifusión, pero ninguna la entregaba para la implementación OEM y empresarial, y era una característica que se continuaba solicitando con frecuencia cada vez que se hablaba de implementación con clientes OEM o empresariales.
La ventaja clave de la multidifusión es que permite que varios equipos reciban una comunicación en forma simultánea. O sea, el emisor (el servidor WDS en este caso) envía sólo una vez la información a comunicar. Cada cliente debe entonces vigilar la comunicación completa de principio a fin para recibirla. Dado que todos los clientes vigilan específicamente en forma simultánea en una dirección de la red, el beneficio es doble: velocidad de implementación mejorada porque la red está menos congestionada con varios clientes que realizan la misma tarea; y disminución de la saturación de la red porque cada cliente vigila la secuencia única.
Históricamente, la desventaja de la multidifusión es precisamente la infraestructura de multidifusión en sí misma. Imagínese el juego del "teléfono" que muchos de nosotros jugamos de niños. Probablemente pueda recordar los pasos:
  1. Usted dice una frase a la persona que está a su lado.
  2. Esta segunda persona oye la frase.
  3. La segunda persona entonces repite la frase a una tercera persona.
  4. El ciclo continúa con todas las personas presentes.
Ahora, el problema inherente a la multidifusión es que para que pueda decirle a cuatro personas la frase completa, todos tienen que estar en la habitación y escuchar simultáneamente. Si una quinta persona entra en la habitación, al menos que sepa que debe escuchar inmediatamente, tendrá que repetirle otra vez la frase completa.
La multidifusión funciona generalmente de la misma manera. Usted envía una imagen binaria (generalmente una imagen en disco basada en sectores) por el cable. Todos los clientes que necesitan recibirla deben generalmente estar en cola de espera si no están listos de inmediato la primera vez que se transmite la imagen. Aún más molesto, si los clientes pierden demasiados datos debido a problemas de red o rendimiento, deben retirarse por completo de la cola de comunicación (porque no pueden asegurar que recibieron la imagen de disco completa), o bien todo el grupo deberá ir más despacio para adaptarse a las necesidades del cliente que tiene problemas. En una situación donde se implementan simultáneamente centenares de sistemas, asegurar que todos los clientes se inicien al mismo tiempo y que las deficiencias de velocidad de uno no afecten a los otros es motivo de mucha atención cuando se diseña un sistema de multidifusión.
El equipo de WDS modificó todo esto al proporcionar un nuevo motor de multidifusión que aprovecha la infraestructura basada en archivos del formato de imágenes de Windows (WIM) para permitir algunas características exclusivas. Se pueden realizar los mismos escenarios preparados de multidifusión que se logran con la mayoría del software de multidifusión de terceros, pero la solución de multidifusión para WDS proporciona mucho más.
En primer lugar, los equipos cliente se pueden unir en cualquier momento de la transferencia. La difusión de multidifusión es una difusión tipo "operación por turnos" de secuencias de archivo que se seguirán transmitiendo hasta cumplir con las necesidades de cada equipo cliente. Debido a esto, no importa en qué momento se conectan los clientes. Éstos vigilan el servidor WDS, y cuando el servidor finaliza la difusión del archivo de imagen, comenzará otra vez desde el principio. Si un cliente pierde un archivo, simplemente debe seguir vigilando hasta que el archivo pase otra vez (piense en los caballos en un carrusel).
En segundo lugar, el protocolo es completamente nuevo y ofrece control de congestión y control de flujo, lo que significa que funciona bien en redes de producción sin interferir con las comunicaciones de red existentes. Un temor común de los administraciones de red, justificado por algunas soluciones de multidifusión, es que al activarlas se inunda la red con tráfico cuando, irónicamente, se intentaba en realidad obtener una comunicación más eficiente.
En tercer lugar, la solución se diseñó para no depender de WDS ni de Active Directory®. Esto significa que no necesita disponer de Active Directory ni de una implementación activa de WDS para aprovechar las ventajas. La multidifusión de ImageX se puede realizar en forma independiente, prestándose a muchos escenarios adicionales. El cliente de multidifusión es una aplicación de línea de comandos que se puede ejecutar dentro de Windows Server "Longhorn" (y su versión asociada de Windows PE), Windows Vista™, Windows XP Service Pack 2 (SP2) o Windows Server 2003 SP2 lanzado recientemente.
Hay nuevas tareas de administración en la MMC de WDS y en la aplicación WDSUtil para instalar y configurar multidifusión. También hay cambios en la interfaz de usuario del cliente de WDS que indican que se usa multidifusión.
Las herramientas de administración de WDS permiten a los administradores supervisar en tiempo real el progreso de la transmisión hacia los clientes (incluida la eliminación de clientes de una transmisión). Las herramientas de administración también ofrecen la creación de registros e informes completos, lo que significa que ahora los administradores tendrán un método para registrar las instalaciones, algo que lamentablemente a RIS le faltaba.
La multidifusión en WDS para Windows Server "Longhorn" es uno de los anuncios más emocionantes que he escuchado. Es bueno saber que el equipo pudo cumplir este deseo tan solicitado por los clientes de una manera que funcionará tan bien para los consumidores tanto OEM como para empresas.

Rendimiento mejorado de descargas TFTP
El protocolo trivial de transferencia de archivos (TFTP) es un componente clave del entorno de ejecución previo al inicio (PXE), en sí mismo la red troncal tanto de RIS y como ahora de WDS. TFTP no se eligió por su eficiencia de red ni su solidez, sino en gran parte por el hecho de que se trata de un protocolo muy pequeño (por ser sin estado, no seguro y basado en UDP), prestándose a la encapsulación en una memoria ROM de inicio, necesaria para sistemas que inician PXE desde la red.
Para Windows Server "Longhorn", el demonio TFTP (TFTPD) se volvió a escribir por completo, de manera tal que se consiguieron mejoras significativas en los tiempos de descarga de TFTP (una importante mejora ahora que toda la implementación de WDS se basa en el inicio de Windows PE desde una imagen en la memoria RAM). Estas son buenas noticias para los clientes que desean un mejor rendimiento en las descargas de Windows PE desde RIS o WDS en Windows Server 2003.
A medida que el mundo de PCs comienza a alejarse del BIOS presente en todas partes (hoy la red troncal de PCs x86) para ir hacia el EFI, Microsoft prepara WDS para que funcione con los nuevos sistemas de servidor x64 disponibles que se inician mediante EFI, en lugar de BIOS. La funcionalidad incluida permitirá que los sistemas cliente x64 inicien mediante PXE desde un servidor WDS.

Preguntas
Con la actualización de WDS entre manos, me gustaría dedicar el resto del artículo a la respuesta de algunas preguntas que recibí por correo electrónico o que recientemente veo que se analizan en línea, y creo que pueden ser de interés general para mis lectores.

P ¿Es posible usar WDS en un entorno sin DHCP? Mi red no permite tráfico DHCP ni PXE.
R Sí, es posible que pueda usar WDS en un entorno sin DHCP, pero la solución no escala porque debe crear un soporte para CDs exclusivo por cada instalación que piensa admitir, cada uno con su propia dirección IP exclusiva. Probablemente es más conveniente usar soportes para DVD para la instalación. Si debe instalar a través de WDS sin DHCP, realice lo siguiente:
  1. Cree una imagen WDS Discover con un servidor definido de forma estática (es decir, apuntar al servidor WDS específico desde el que se instala).
  2. Permita tráfico DHCP en el puerto 4011en el servidor WDS de destino. Aunque no usará DHCP, debe permitirlo porque es la forma en que los clientes WDS realizan la negociación con el servidor.
  3. Cree soportes exclusivos de Windows PE con una dirección IP estática en vez de DHCP.
Tenga en cuenta que esta solución es dificultosa porque los soportes cliente deben ser exclusivos para evitar colisiones de direcciones IP y deberá apuntar a un servidor WDS específico en la red. Dado que PXE (de por sí basado en DHCP) es la red troncal de WDS, puede observar porqué WDS funciona mejor cuando se permite DHCP en el entorno.

P Quiero iniciar Windows PE 2.0 con PXE desde un servidor PXE que no sea WDS. ¿Cómo puedo hacerlo?
R El artículo de Microsoft Knowledge Base en support.microsoft.com/kb/926172 puede ofrecer alguna orientación para hacer que Windows PE 2.0 funcione desde un servidor PXE que no sea WDS, pero tenga en cuenta que el soporte técnico de Microsoft para esta situación es algo limitado.

P ¿Qué es BDD? ¿Es el Kit de instalación automatizada de Windows (WAIK) o una parte del mismo?
R BDD (en realidad, Business Desktop Deployment Solution Accelerator) es un marco de orientación sobre cómo usar herramientas de implementación de Windows (tal como WAIK) de manera que se pueda administrar y reproducir. WAIK no forma parte de BDD directamente, pero BDD juntará todas las herramientas necesarias, que incluyen WAIK, para que las pueda instalar, si aún no se instalaron. Entonces, aunque técnicamente BDD no incluye WAIK, necesita WAIK para funcionar. Visite microsoft.com/desktopdeployment para obtener más información sobre BDD.

P ¿Dónde puedo obtener WDS para mi sistema Windows Server 2003?
WDS está disponible como parte de la descarga de WAIK en el directorio de WDS (consulte go.microsoft.com/fwlink/?LinkId=85377).

P ¿Cómo puedo configurar el inicio de Windows PE 2.0 con una dirección IP estática y admitir una configuración DNS?
R Para configurar una dirección IP estática, use el ejemplo unattend.xml de la figura 1 y colóquelo en la raíz del CD, unidad flash USB u otro soporte de inicio para que sea tomado. Si también desea compatibilidad con DNS, necesitará ejecutar además el siguiente comando:
Figure 1 Figura 1 unattend.xml (Close Figure 1)
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
 <settings pass="windowsPE">
  <component
   name="Microsoft-Windows-TCPIP"
   processorArchitecture="x86"
   publicKeyToken="31bf3856ad364e35"
   language="neutral"
   versionScope="nonSxS"
   xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
   <Interfaces>
    <Interface wcm:action="add">
     <Ipv4Settings>
      <DhcpEnabled>false</DhcpEnabled>
     </Ipv4Settings>
     <UnicastIpAddresses>
      <IpAddress wcm:action="add" wcm:keyValue="1">
       192.168.0.1</IpAddress>
     </UnicastIpAddresses>
     <Identifier>Local Area Connection</Identifier>
    </Interface>
   </Interfaces>
  </component>
 </settings>
<cpi:offlineImage
 cpi:source="wim:c:/simtest/winpe.wim#Microsoft Windows Vista PE (X86)"
 xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

net start "DNS Client"
netsh interface ipv4 add dnsserver "Local Area Connection" 192.168.2.10 index=1

P ¿Es posible iniciar Windows PE desde un controlador de canal de fibra?
R Sí, siempre y cuando Fibre Channel HBA admita el registro del volumen de inicio a través de Int13 para que aparezca en el BIOS como un volumen de inicio para Windows PE. Debe agregar también el controlador de la controladora del canal de fibra como lo hace con cualquier otro controlador de la controladora de almacenamiento estándar.

P Windows Q PE 2.0 siempre inicia desde un RAMDisk. Algunos de mis sistemas no tienen suficiente RAM para iniciar de esta forma. ¿Puedo iniciar Windows PE 2.0 sin un RAMDisk?
R Sí, puede hacerlo. Concretamente los sistemas con menos de 256 MB de RAM pueden necesitar una implementación sin RAMDISK de Windows PE para iniciar. Hay un artículo del soporte técnico de Microsoft en preparación que describirá cómo hacerlo. Un par de advertencias importantes: no podrá cambiar soportes, como puede hacerlo con un RAMDisk, e iniciará más lentamente que con una versión de Windows PE 2.0 basada en RAMDISK.

P Intenté iniciar Windows PE 2004 y Windows PE 2005 (1.5 ó 1.6) desde otros soportes que no son DVD y copiar una imagen (u otros datos) desde un DVD. No inicio desde el DVD, sólo copio datos desde el mismo, pero no funciona. El DVD es legible en una instalación completa de Windows, pero en Windows PE recibo un error que indica que el volumen está dañado o es ilegible. ¿Puedo solucionarlo?
R Sí, puede hacerlo. De forma predeterminada, Windows PE 1.x no admite soportes en formato UDF. Los DVD, por definición se formatean con compatibilidad para ISO Bridge (un formato doble de ISO y UDF) o sólo para UDF. Debe agregar el controlador UDF a su instalación de Windows PE para que funcione. El controlador ya está allí; sólo que no está instalado. Para instalarlo, haga lo siguiente:
  1. En el Bloc de notas, abra el archivo txtsetup.sif en el directorio I386 (o MiniNT, en una instalación de disco duro de Windows PE).
  2. Busque la sección llamada [CdRomDrivers.Load] y vaya a la línea con el controlador denominado cdfs.sys. Debajo de esta línea, agregue la línea udfs = udfs.sys. La entrada debe ser similar a la siguiente:
[CdRomDrivers.Load]
cdfs = cdfs.sys
udfs = udfs.sys
3. Busque la sección llamada [CdRomDrivers.Load] y vaya a la línea con cdfs. Debajo de esta línea agregue la línea udfs = "Universal Disk File System". La entrada debe ser similar es ésta:
[CdRomDrivers]
cdfs = "CD-ROM File System"
udfs = "Universal Disk File System"
4. Guarde y cierre el archivo txtsetup.sif y vuelva a generar la imagen de Windows PE según sea necesario. Ahora debe poder leer cualquier DVD en formato UDF en Windows PE.

P Tengo varios sistemas más antiguos, en los que ejecuto Windows XP, que no son compatibles con ACPI. En estos sistemas ¿podría usar Windows PE 2.0 para migrar a Windows Vista o quizás volver a instalar Windows XP?
R No, no puede. Windows PE 2.0 sólo es compatible con sistemas que cumplen con la interfaz avanzada de configuración y energía (ACPI), y no se iniciará en estos sistemas. Si necesita usar Windows PE en esos sistemas, use Windows PE 1.6 o anterior.

P Escribí mi propia aplicación en Visual Studio® 2005 que me gustaría ejecutar en Windows PE (1.x o 2.0). ¿Funcionará?
R Depende de cómo está escrita su aplicación. Si usa C ++ no administrado, entonces sí, su aplicación debería funcionar. Si usa cualquiera de los lenguajes de código administrado (por ejemplo C# o J#) o escribe algún código administrado en C++, entonces no funcionará. Dado que Microsoft® .NET Framework (cualquier versión) no está disponible en Windows PE, el código administrado no se ejecutará.

P Intento escribir mi propia aplicación para Windows PE 2.0 y necesito un poco de ayuda. ¿Cuál es el mejor lugar para consultar?
R Sugiero que comience con el manual Windows PE Developer's Guide.

P Inicié varias veces Windows PE 2.0 desde un CD, pero la letra de la unidad (RAMDisk) es siempre X. ¿Cómo puedo saber desde qué letra de unidad se inicia en realidad?
R Si busca en el Registro, la siguiente clave debe reflejar la letra de unidad real desde la que se inició Windows PE:
HKEY_LOCAL_MACHINE\SYSTEM\Setup\SystemPartition
Si encuentra que esta clave está vacía, es porque se usa un shell de terceros en Windows PE, y al ejecutar el siguiente comando se actualizará al valor correcto:
start /w wpeinit UpdateBootInfo

P ¿Es posible usar ImageX y archivos WIM para realizar copias de seguridad de mis sistemas?
R Teóricamente es posible, pero no lo recomendaría. ImageX no puede realizar copias de seguridad de ningún archivo bloqueado o abierto como cualquier verdadera herramienta de copia de seguridad puede hacer. Recomiendo continuar con el uso de una verdadera utilidad de copia de seguridad que le permita proteger archivos abiertos y bloqueados.

R Si capturo un archivo WIM no comprimido, ¿se implementará más rápido que la misma imagen de volumen comprimida?
R No considerablemente, no. La captura demandará más tiempo, debido a la compresión. Sin embargo, la aplicación de la imagen a un sistema de destino no requiere una importante cantidad de tiempo adicional, independientemente del tipo de compresión usado (ninguno, XPress o LZX). Recomiendo elegir la compresión en función de las necesidades reales de tamaño de imagen y la cantidad de tiempo que puede dedicar para la captura.

P ¿Necesito volver a realizar la partición y dar formato al disco si pienso aplicar una imagen WIM al mismo?
R Sí, es necesario. Para generar una imagen limpia de un sistema, debe limpiar primero el volumen con la herramienta diskpart (o eliminar y volver a crear la partición de destino). Como alternativa, puede dar formato por completo al volumen, antes de aplicar WIM.
Además, debe recordar que las versiones de Windows anteriores a Windows Vista usaban un sector de inicio diferente, por lo que si usa Windows PE 2.0 para implementar Windows Server 2003 o versiones anteriores, deberá ejecutar el siguiente comando en Windows PE para establecer el sector de inicio a un sector desde el cual puedan iniciar Windows Server 2003 y versiones anteriores, antes de iniciar la instalación de Windows o aplicar WIM de ella:
bootsect /nt52 sys C: /force

Conclusión
Espero que la actualización de WDS y las respuestas a estas preguntas hayan sido de utilidad e interés. Apreciaré todas sus preguntas y haré todo lo posible por contestarlas siempre que tenga espacio en este artículo. Siga enviándolas a la dirección de correo electrónico que figura en mi bio.
Windows Vista Hardware Assessment
Baldwin Ng

Buenas noticias, su director finalmente responde a su propuesta del mes pasado. Aparentemente, estuvo considerando seriamente la idea de una implementación de Windows Vista en toda la organización y comenzó a evaluar las ventajas y los ahorros de la administración de un solo sistema operativo. Sin embargo, no está totalmente convencido de que desde el punto de vista financiero, tenga sentido reemplazar todos los equipos PC para la instalación de Windows Vista. Desea información concreta y detallada de cuáles PCs pueden migrar en estos momentos a Windows Vista y cuáles se podrán migrar si reciben alguna actualización menor, tal como memoria del sistema y espacio en disco duro adicionales. Y quiere una respuesta al final de la semana. Entonces, ¿por dónde comenzar? ¿Cómo se obtiene la respuesta en tan pocos días cuando la organización no cuenta con herramientas sofisticadas de administración de activos o de red? Para empeorar las cosas, su antecesor no le dejó suficiente información sobre los activos de red existentes.
Microsoft acaba de lanzar Windows Vista Hardware Assessment, un acelerador de soluciones que le ayuda a determinar la preparación de su organización para Windows Vista (consulte microsoft.com/technet/wvha). Esta herramienta evalúa rápidamente los equipos PC en una red y genera informes detallados acerca la preparación del hardware y compatibilidad de los dispositivos en cuestión de horas en la mayoría de las organizaciones medianas, todo sin necesidad de instalar ningún agente de software en los equipos de la red.
Creado a partir de tecnologías eficaces de recopilación e informes desarrollados para Microsoft Assessment and Deployment Solution (ADS), Windows Vista Hardware Assessment crea un conjunto de informes de preparación en un proceso de tres pasos:

1. Inventario de hardware
A través del uso del instrumental de administración de Windows (WMI), Active Directory® y otros protocolos de red de Windows tales como NetServerEnum, esta herramienta descubre equipos en un dominio así como en grupos de trabajo. Una vez que el inventario está completo, toda la información de recursos del sistema y dispositivos se almacena en la base de datos SQL Server™ 2005 Express. La versión actual de esta herramienta admite descubrimiento en red de hasta 5.000 equipos. Futuras versiones probablemente escalarán a redes mayores.

2. Análisis de compatibilidad
Mediante las bases de datos de BIOS y dispositivos más recientes del equipo de Windows, la herramienta analiza la preparación para Windows Vista de cada equipo PC respecto a la compatibilidad de hardware y dispositivos. Además, la información de controladores se obtiene de un servicio web actualizado periódicamente para que pueda disponer de la información más reciente cada vez que ejecute la herramienta.

3. Informes de preparación
El último paso es la autogeneración de un conjunto de informes de preparación en forma de documentos de Microsoft Word y hojas de cálculo Excel®. Estos informes ofrecen el estado de preparación junto con recomendaciones de actualización para cada equipo PC.
Windows Vista Hardware Assessment complementa otros aceleradores de soluciones de Windows Vista que incluyen Business Desktop Deployment 2007 y la Guía de seguridad de Windows Vista. Para obtener más información, visite la página principal de aceleradores de soluciones.

Baldwin Ng es administrador de productos en el equipo de aceleradores de soluciones de Microsoft que se centra en la creación de herramientas de software automatizadas para ayudar a clientes y consultores a adoptar software de Microsoft de una manera más rápida y eficaz. Puede ponerse en contacto con él en la dirección Baldwin.Ng@microsoft.com.

Wes Miller es director de desarrollo de Pluck (www.pluck.com) en Austin, TX. Ha trabajado en Winternals Software en Austin y en Microsoft como administrador de programas y administrador de producto para Windows. Póngase en contacto con Wes en la dirección technet@getwired.com. Wes agradece a Scott Dickens, administrador de programas para Servicios de implementación de Windows en Microsoft, por su ayuda con la nueva sección características de WDS.


 Notas de campo: Mantenerse informado
Notas de campo
Mantenerse informado
Joshua Hoffman

Ah, el campo. Lo conocí bien. Antes de dedicarme a mi función actual (como redactor técnico de esta excelente publicación) hace casi dos años, fui un profesional de TI activo en el campo. Dediqué cinco años a Microsoft Consulting Services y varios años en los departamentos de TI de diferentes compañías de Fortune 100. Luego comencé a trabajar en mi función actual. No me quejo; aquí tenemos un maravilloso grupo de personas, y además llego a conocer y a trabajar con ustedes, los lectores. Y si nunca jamás tuviera que tomar un avión para trabajar a las 6:00 de un lunes por la mañana, no me molestaría en absoluto.
Pero hay una desventaja en mi nuevo trabajo. Muchos profesionales de TI sostendrían que la mejor manera de aprender algo nuevo en nuestra línea de trabajo (y permanecer actualizado) es en realidad haciéndolo. La aplicación práctica es una herramienta educativa muy eficaz. Pero las carreras avanzan, las responsabilidades cambian y, de repente, encuentra que es un profesional de TI sin un sistema o una infraestructura para administrar. Y las cosas cambian muy rápidamente. Desde que asumí esta nueva función, hay una nueva versión de Windows ® con un nuevo marco de implementación, nueva infraestructura de seguridad, nueva pila de red y algunas otras características. Ah, y existe también una nueva versión de Office. Y de Exchange Server. Y de SQL Server™. Y de Microsoft® Operations Manager. Además, hay algunas herramientas nuevas por allí: Windows PowerShell™, MMC 3.0, el Kit de instalación automatizada de Windows. Espero no haberme olvidado de nada.
Resulta que en dos años, mucho puede cambiar. Entonces, si la mejor manera de aprender es hacer, y su trabajo ya no incluye el "hacer", ¿cómo puede mantener el ritmo?
Bien, espero con toda certeza que esta revista ayude. Sé que a mí me ayuda. Tenemos varios grandes autores que realmente conocen su material, y me beneficio constantemente de su experiencia. Pero igualmente, a veces se necesita en realidad obtener práctica. Normalmente, inicio con Virtual PC (o Virtual Server), ambos son descargas gratuitas del sitio web de Microsoft (encontrará los vínculos en la sección de descargas de nuestro sitio web. Con la tecnología de virtualización, puedo generar rápidamente mi propio Active Directory ® o personalizar una implementación de Windows Vista™ justo en mi equipo portátil. No se necesita hardware adicional. Atravesar el proceso por mí mismo cambia mucho las cosas cuando trato de entender cómo funciona algo.
La única trampa con Virtual PC es que necesita generar realmente el entorno virtual (instalar el sistema operativo, configurar todo apropiadamente, etc.), lo cuál es bueno cuando se trata de aquello sobre lo que se busca aprender. ¿Pero qué sucede si sólo quiere explorar una característica o función específica de un producto? Por ejemplo, ¿qué sucede si quiere obtener más información sobre las nuevas características de cumplimiento en Exchange Server 2007? La instalación y configuración de Windows Server®, Active Directory y Exchange Server desde cero parecen mucho trabajo. Ingrese a TechNet Virtual Labs. En mi humilde opinión, Virtual Labs es uno de los mejores recursos de aprendizaje que se presenta en mucho tiempo. El equipo Virtual Lab ya hizo la parte más difícil, tienen más de 180 equipos virtuales preinstalados y preconfigurados que cubren varias combinaciones de más de 20 productos. Cada uno viene con un conjunto de ejercicios de aprendizaje que le guiarán por tareas comunes y nuevas características. Y lo mejor es que todo el proceso se ejecuta en un entorno del explorador, alojado en servidores administrados por Microsoft, de modo que no necesita dedicar sus propios recursos de hardware.
Entonces, sí, es más difícil mantenerse al tanto cuando no se trabaja más en las primeras líneas, pero: ¡se puede hacer! Le he señalado algunos de mis recursos favoritos. Y como mi buen amigo Edward Dake indicó en esta columna hace varios meses atrás, entre los mejores recursos que contamos, nos encontramos todos. Siempre puede solicitar ayuda.

Joshua Hoffmanes el redactor técnico y de adquisiciones de TechNet Magazine


 Confidencial de Windows: Determinar lo que se usa con frecuencia
Confidencial de Windows
Determinar lo que se usa con frecuencia
Raymond Chen

Haga clic en el botón Inicio y arriba aparecerá el menú Inicio. En el lado izquierdo hay una lista de programas. ¿Cómo se eligió esa lista de programas? Comenzamos con el principio general de que los programas que se ejecutan más a menudo y recientemente son los que deben aparecer en la página del menú Inicio. Teniendo en mente este principio, pronto encontramos que es necesario realizar algún ajuste.
La regla básica es que cada vez que inicia un programa, éste gana un punto. Por el contrario, cuanto menos veces inicia un programa, más puntos pierde. El menú Inicio muestra los programas que tienen más puntos. Sencillo, ¿verdad? Esta no es la parte del algoritmo de selección que confunde a la gente. Después de que se aplica la regla básica, comienzan los ajustes, y esa es la parte que la gente encuentra más desconcertante.
Antes de entrar en el ajuste, hay algunas cosas que no son obvias en la regla básica. Observe que la regla habla acerca del inicio de programas, no de los accesos directos. Algunos programas instalan varios accesos directos y no importa qué acceso directo usa para iniciar un programa. Si todos señalan al mismo archivo ejecutable, entonces ese programa acumula todos los puntos ganados por los distintos accesos directos.
Menú Inicio
Esto también significa que un programa puede ganar puntos aunque no se use el menú Inicio para ejecutarlo, siempre que se ejecute desde el Explorador. Si ejecuta un programa en forma manual, es decir al abrir la carpeta y hacer doble clic en el archivo ejecutable, aún gana los puntos y puede ser promovido a la página del menú Inicio.
Ahora, una vez que un programa gana suficientes puntos para que aparezca en la página del menú Inicio, Windows ® tiene que decidir qué icono de acceso directo mostrar si hay más de un acceso directo que señala al programa. No resulta sorprendente que los enlaces se rompan a favor del acceso directo que se usa con mayor frecuencia.
Como parte del ajuste, ciertos programas se filtran de la lista. Por ejemplo, un programa que agregó al menú Inicio no aparecerá porque no tiene sentido mostrarle dos iconos para el mismo programa. A fin de cuentas, agregó el programa al menú Inicio porque lo ejecuta a menudo.
Otro paso de ajuste elimina el ruido. Muchos programas aparecían aquí porque fueron accesos directos a programas de ayuda comunes como el Bloc de notas o Wordpad, como por ejemplo, un acceso directo para mostrar un archivo Léame. Es necesario quitar estos accesos directos para que no lleguen a ser nominados, por ejemplo, como representantes del Bloc de notas. A propósito, un programa se puede registrar a sí mismo como no elegible para su inclusión en la página del menú Inicio si crea un valor NoStartPage en su registro de aplicación.
La regla básica tampoco tuvo en cuenta un programa que se inicia una vez y se mantiene todo el tiempo en ejecución. Según una interpretación estricta de la regla, este programa ganaría un punto cuando lo inició y perdería ese punto con el transcurso del tiempo. (En este caso, "con frecuencia" sería una subestimación asombrosa de "¡todo el horrible tiempo!"). De modo que agregamos otra regla: por cada día consecutivo que un programa se mantenga en ejecución, gana un punto. Esto es suficiente para mantener a flote el programa en la carrera de puntos, pero no tanto como para sobrecargar los programas que realmente inicia. A fin de cuentas, si mantiene el programa todo el tiempo en ejecución, no necesita iniciarlo con frecuencia.
En Windows Vista™, se agregaron unas pocas reglas adicionales de ajuste. Por ejemplo, al elegir entre accesos directos candidatos para un programa que nunca se ejecutó en el menú Inicio, ahora se prefiere un acceso directo con ningún parámetro de línea de comandos. Y el programa que ejecutó más recientemente siempre aparecerá en la lista, independientemente de su recuento de puntos.

Raymond Chen The Old New Thing, y su libro del mismo nombre (Addison-Wesley, 2007) tratan de la historia de Windows y la programación Win32. Su llamada es importante para él y se le responderá por el orden en que se recibe.